Troy Hunt-এর Mailchimp তালিকা

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, IP ঠিকানা এবং অক্ষাংশ-দ্রাঘিমাংশের জোড়া। IP ও তা থেকে নির্ণীত অবস্থানের তথ্য গ্রাহকসংক্রান্ত তথ্যের সঙ্গে মিলিয়ে কোনো ব্যক্তির আনুমানিক এলাকা এবং নিরাপত্তাবিষয়ক ব্লগে তাঁর আগ্রহের মধ্যে যোগসূত্র তৈরি করা সম্ভব। একই ব্যবহারকারীর একাধিক তথ্যক্ষেত্র একসঙ্গে মেলানো গেলে আক্রমণকারীদের ভুয়া বিজ্ঞপ্তি, অ্যাকাউন্ট পুনরুদ্ধার, সামাজিক প্রকৌশল বা পরিচয়সংক্রান্ত তথ্য মিলিয়ে দেখার প্রচেষ্টা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে।

এই রেকর্ডে পাসওয়ার্ডের তথ্যক্ষেত্র তালিকাভুক্ত নেই; গ্রাহকসংক্রান্ত তথ্য, IP ও অবস্থানের তথ্য একত্র হওয়ার কারণে ঝুঁকি তৈরি হয়েছে। পাসওয়ার্ড, পাসওয়ার্ডের ইঙ্গিত, ব্যক্তিগত বার্তা, সরকারি পরিচয়পত্র, আর্থিক তথ্য, অবস্থান বা প্রোফাইল ছবির মতো তথ্যক্ষেত্র থাকলে ঝুঁকি শুধু ইমেইল স্প্যামে সীমাবদ্ধ থাকে না। পাসওয়ার্ড নেই এমন রেকর্ডেও ফোন, ঠিকানা, IP, জন্মতারিখ বা সামাজিক মাধ্যমের প্রোফাইলের তথ্য লক্ষ্যভিত্তিক আক্রমণে ব্যবহার করা যেতে পারে।

তথ্য ফাঁসের এই ঘটনায় troyhunt.com ডোমেইনের সঙ্গে যুক্ত প্রায় 16.6 হাজার নিউজলেটার গ্রাহক অন্তর্ভুক্ত রয়েছে। ঘটনাটিকে যাচাইকৃত তথ্য ফাঁসের ঘটনা হিসেবে শ্রেণিবদ্ধ করা হয়েছে। অ্যাকাউন্টের সংখ্যা, ডোমেইন, দেশ, খাত ও তথ্যের শ্রেণিগুলো আলাদাভাবে পরীক্ষা করে এর পরিধি লেখা হয়েছে। তালিকায় নেই এমন তথ্যের ধরন ব্যবহারকারীর সম্পর্কে রয়েছে বলে দেখানো হয়নি।

আগের রেকর্ডে অনুপস্থিত অক্ষাংশ-দ্রাঘিমাংশের তথ্যক্ষেত্রটি তথ্যের শ্রেণিতে যোগ করা হয়েছে। কিছু ঘটনায় প্রতিষ্ঠানের প্রতিক্রিয়া, তৃতীয় পক্ষের সেবা, ফোরাম অ্যাকাউন্ট, নিউজলেটারের তালিকা বা ব্যবহারকারীর প্রোফাইলের মতো ভিন্ন প্রেক্ষাপট থাকে। এসব রেকর্ড পৃথকভাবে রাখা হয়েছে, একই রেকর্ড একাধিকবার তৈরি করা হয়নি এবং ঘটনাটি আসলে কোন সেবার সঙ্গে সম্পর্কিত, সেই প্রেক্ষাপট অক্ষুণ্ণ রাখা হয়েছে।

নিউজলেটারের গ্রাহক, নিরাপত্তা খাতে কর্মরত ব্যক্তি এবং IP ও অবস্থানের তথ্য ব্যবহার করে যাঁদের লক্ষ্যবস্তু করা সম্ভব, তাঁরা ঝুঁকিতে রয়েছেন। এই ব্যবহারকারীদের জন্য প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্যক্ষেত্রগুলো অন্য প্ল্যাটফর্মে ব্যবহৃত তথ্যের সঙ্গে মেলানো যেতে পারে। ভিন্ন অ্যাকাউন্টে একই ইমেইল, ব্যবহারকারীর নাম, ফোন নম্বর, IP, ঠিকানা বা পাসওয়ার্ড বারবার ব্যবহার করা হলে আক্রমণকারীরা এই অভিন্ন শনাক্তকারী তথ্যগুলো কাজে লাগাতে পারে।

নিরাপত্তাবিষয়ক ব্লগের প্রেক্ষাপট ভুয়া নিউজলেটার, অ্যাকাউন্টের বিজ্ঞপ্তি বা নিরাপত্তা সতর্কবার্তায় ব্যবহার করা যেতে পারে। ফোরাম, গেম, রান্নার রেসিপি, আবাসন, জ্বালানি, অনুষ্ঠানের টিকিট, নিউজলেটার, সামাজিক মাধ্যম ও আর্থিক সেবার মতো ভিন্ন প্রেক্ষাপট ভিন্ন ধরনের ঝুঁকি তৈরি করে। ব্যবহারকারীর শুধু তথ্যক্ষেত্রগুলো নয়, সেগুলো কোন সেবার সঙ্গে যুক্ত, তা-ও বিবেচনা করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের ইমেইল অ্যাকাউন্টের নিরাপত্তা পরীক্ষা করা এবং নিউজলেটারসংক্রান্ত লিংকগুলো আনুষ্ঠানিক চ্যানেলের মাধ্যমে যাচাই করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের ইঙ্গিত তালিকাভুক্ত থাকলে, যেসব অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়েছে, সেগুলোর সবকটিতে তা পরিবর্তন করা উচিত। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। ইমেইল অ্যাকাউন্টের নিরাপত্তাও পরীক্ষা করা উচিত।

যেসব রেকর্ডে ফোন, ঠিকানা, অবস্থান, জন্মতারিখ, ব্যক্তিগত বার্তা, সামাজিক মাধ্যমের প্রোফাইল বা আর্থিক তথ্য রয়েছে, সেগুলোর ক্ষেত্রে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, সেশনের ইতিহাস, ফরওয়ার্ডিংয়ের নিয়ম এবং সন্দেহজনক বিজ্ঞপ্তি পরীক্ষা করা উচিত। যাঁদের প্রাতিষ্ঠানিক বা সবার জন্য উন্মুক্ত প্রোফাইল রয়েছে, তাঁদের লক্ষ্যভিত্তিক বার্তা ও সুনামের ঝুঁকিও বিবেচনা করা উচিত।

নিউজলেটার ও সাবস্ক্রিপশন অ্যাকাউন্টে অপ্রয়োজনীয় অবস্থানের তথ্য সংগ্রহ করা উচিত নয় এবং ইমেইলের নিরাপত্তা নিয়মিত পরীক্ষা করা উচিত। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলে অপ্রয়োজনীয় তথ্য কমানো হলো মৌলিক সুরক্ষাব্যবস্থা। স্থায়ী ব্যক্তিগত তথ্য পরিবর্তন করা যায় না বলে ব্যবহারকারীর আচরণ ও অ্যাকাউন্টের সেটিংসের ক্ষেত্রে নিরাপত্তা জোরদার করা উচিত।

প্রতিষ্ঠানগুলোর জন্য এসব ঘটনা দেখায় যে ব্যাকআপ ফাইলে প্রবেশের ঘটনাগুলো, ফোরাম অ্যাকাউন্টের অনুমতি, নিউজলেটারের গ্রাহকসংক্রান্ত তথ্য, গ্রাহকের তথ্য সংরক্ষণের মেয়াদ এবং বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া নিয়মিত নিরীক্ষা করা প্রয়োজন। ব্যবহারকারীদের ক্ষেত্রে ভিন্ন সেবায় একই পরিচয়সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অপ্রত্যাশিত বার্তা দ্বিতীয় কোনো চ্যানেলের মাধ্যমে যাচাই করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডে আপনার তথ্যের মিল পাওয়া গেলে ইমেইল অ্যাকাউন্টের সেশন ও নিরাপত্তা বিজ্ঞপ্তিগুলো পর্যালোচনা করা উচিত। মিল দেখা গেলে প্রথমে কোন তথ্যক্ষেত্রগুলো তালিকাভুক্ত রয়েছে, তা পড়ে নিন এবং সে অনুযায়ী করণীয় ঠিক করুন। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে, আর্থিক তথ্য থাকলে অ্যাকাউন্টের কার্যক্রম পর্যবেক্ষণকে, ব্যক্তিগত বার্তা বা সামাজিক মাধ্যমের প্রোফাইল থাকলে গোপনীয়তা যাচাইকে এবং অবস্থানের তথ্য থাকলে শারীরিক নিরাপত্তার মূল্যায়নকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: এই রেকর্ডে পাসওয়ার্ড না থাকলেও IP ও অক্ষাংশ-দ্রাঘিমাংশের তথ্যক্ষেত্র থাকায় এটিকে সংবেদনশীল গ্রাহকসংক্রান্ত তথ্য হিসেবে চিহ্নিত করা হয়েছে। আপনার অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখুন; যেসব সেবায় একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম, ঠিকানা বা পাসওয়ার্ড ব্যবহার করেছেন, সেগুলো আলাদাভাবে পরীক্ষা করুন। এই ঘটনার পর যেকোনো সন্দেহজনক অনুসন্ধান, ইমেইল, বার্তা বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে আগের চেয়ে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।