Upstox: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ব্যাংক অ্যাকাউন্ট নম্বর, জন্মতারিখ, ইমেইল ঠিকানা, পরিবারের সদস্যদের নাম, লিঙ্গ, সরকারি পরিচয়পত্রের তথ্য, আয়ের স্তর, বৈবাহিক অবস্থা, জাতীয়তা, পেশা, পাসওয়ার্ড, ফোন নম্বর এবং বাসা বা অন্য স্থানের ঠিকানা। আর্থিক ও সরকারি পরিচয়পত্রের তথ্য বিনিয়োগ অ্যাকাউন্টে প্রতারণা, পরিচয় চুরি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণায় ব্যবহার করা যেতে পারে। একই ব্যবহারকারীর একাধিক তথ্য একসঙ্গে যুক্ত করা গেলে ভুয়া বিজ্ঞপ্তি, অ্যাকাউন্ট পুনরুদ্ধার, সামাজিক প্রকৌশলভিত্তিক প্রতারণা বা পরিচয়ের সঙ্গে তথ্য মিলিয়ে নেওয়ার জন্য আক্রমণকারীদের প্রচেষ্টা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে।

পাসওয়ার্ডগুলো bcrypt হ্যাশ মানের সঙ্গে যুক্ত বলে জানা যায়; তবুও একই পাসওয়ার্ড অন্য কোনো আর্থিক সেবা বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে তা অবিলম্বে পরিবর্তন করা উচিত। পাসওয়ার্ড, পাসওয়ার্ডের ইঙ্গিত, ব্যক্তিগত বার্তা, সরকারি পরিচয়পত্র, আর্থিক তথ্য, অবস্থান বা প্রোফাইলের ছবির মতো তথ্য থাকলে ঝুঁকি শুধু অনাকাঙ্ক্ষিত ইমেইলেই সীমাবদ্ধ থাকে না। এমনকি পাসওয়ার্ড নেই এমন রেকর্ডেও ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো আক্রমণে ব্যবহার করা যেতে পারে।

এই তথ্য ফাঁসের ঘটনায় upstox.com ডোমেইনের সঙ্গে সংশ্লিষ্ট প্রায় 1,11,000 গ্রাহক অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে। ঘটনাটিকে নিশ্চিত তথ্য ফাঁস হিসেবে শ্রেণিবদ্ধ করা হয়েছে। অ্যাকাউন্টের সংখ্যা, ডোমেইন, দেশ, খাত এবং তথ্যের ধরন আলাদাভাবে যাচাই করে এর পরিধি বর্ণনা করা হয়েছে। তালিকায় নেই এমন তথ্য ব্যবহারকারীর রেকর্ডে রয়েছে বলে দেখানো হয়নি।

আর্থিক ও গ্রাহক শনাক্তকরণের তথ্য থাকায় সংবেদনশীলতার শ্রেণি বাড়ানো হয়েছে, এবং আগে হালনাগাদ না হওয়া সংশোধনের তারিখটি মূল রেকর্ডের তারিখের সঙ্গে সামঞ্জস্যপূর্ণ করা হয়েছে। কিছু ঘটনায় কোম্পানির প্রতিক্রিয়ায় তৃতীয় পক্ষের সেবা, ফোরাম অ্যাকাউন্ট, নিউজলেটারের তালিকা বা ব্যবহারকারীর প্রোফাইলের মতো ভিন্ন প্রসঙ্গ থাকতে পারে। এসব রেকর্ড আলাদাভাবে রাখা হয়েছে, একই রেকর্ড একাধিকবার যোগ করা হয়নি এবং ঘটনাটি প্রকৃতপক্ষে কোন সেবার সঙ্গে সম্পর্কিত, তা অক্ষুণ্ণ রাখা হয়েছে।

Upstox-এর গ্রাহক, বিনিয়োগ অ্যাকাউন্ট রয়েছে এমন ব্যক্তি এবং যেসব ব্যবহারকারীর সরকারি পরিচয়পত্র বা ব্যাংকের তথ্য উন্মুক্ত হয়েছে, তাঁরা ঝুঁকিতে রয়েছেন। তাঁদের জন্য প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য প্ল্যাটফর্মে ব্যবহৃত তথ্যের সঙ্গে মিলিয়ে নেওয়া যেতে পারে। ভিন্ন অ্যাকাউন্টে একই ইমেইল, ব্যবহারকারীর নাম, ফোন নম্বর, IP, ঠিকানা বা পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা এই অভিন্ন শনাক্তকারী তথ্য কাজে লাগাতে পারে।

ব্রোকারেজ সেবার প্রসঙ্গ কাজে লাগিয়ে ভুয়া বিনিয়োগ পরামর্শ, অ্যাকাউন্ট যাচাই, নথি নবায়ন, ব্যাংক অ্যাকাউন্ট নিশ্চিতকরণ বা বিনিয়োগ পোর্টফোলিওর সতর্কবার্তাসংক্রান্ত বার্তা পাঠানো হতে পারে। ফোরাম, গেম, রান্নার রেসিপি, আবাসন, জ্বালানি, অনুষ্ঠানের টিকিট, নিউজলেটার, সামাজিক যোগাযোগমাধ্যম ও আর্থিক সেবার মতো ভিন্ন প্রসঙ্গে ঝুঁকিও ভিন্ন হয়। ব্যবহারকারীর শুধু তথ্যের ধরন নয়, সেই তথ্য কোন সেবার সঙ্গে যুক্ত, তা-ও বিবেচনা করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের তাঁদের আর্থিক অ্যাকাউন্ট, ব্যাংকের বিজ্ঞপ্তি, পরিচয়পত্র ব্যবহার করে করা আবেদন এবং ইমেইলের নিরাপত্তা পরীক্ষা করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের ইঙ্গিত তালিকাভুক্ত থাকলে যে সব অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়, সেগুলোর পাসওয়ার্ড পরিবর্তন করা উচিত। প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করাও উচিত। ইমেইল অ্যাকাউন্টের নিরাপত্তাও পরীক্ষা করা উচিত।

যেসব রেকর্ডে ফোন নম্বর, ঠিকানা, অবস্থান, জন্মতারিখ, ব্যক্তিগত বার্তা, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল বা আর্থিক তথ্য রয়েছে, সেগুলোর ক্ষেত্রে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, সেশনের ইতিহাস, ফরওয়ার্ডিংয়ের নিয়ম এবং সন্দেহজনক বিজ্ঞপ্তি পরীক্ষা করা উচিত। যাঁদের প্রাতিষ্ঠানিক বা সবার জন্য উন্মুক্ত প্রোফাইল রয়েছে, তাঁদের লক্ষ্য করে পাঠানো বার্তা এবং সুনামের ক্ষতির ঝুঁকিও বিবেচনা করা উচিত।

আর্থিক অ্যাকাউন্টে শক্তিশালী বহু-উপাদানভিত্তিক প্রমাণীকরণ, লেনদেনের সতর্কবার্তা, পরিচয়সংক্রান্ত তথ্যের ব্যবহারের ওপর নজরদারি এবং নথির অপব্যবহার নিয়ন্ত্রণ দীর্ঘমেয়াদি সুরক্ষা দেয়। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলে অপ্রয়োজনীয় তথ্য কমিয়ে আনা হলো মৌলিক সুরক্ষাব্যবস্থা। স্থায়ী ব্যক্তিগত তথ্য পরিবর্তন করা যায় না বলে ব্যবহারকারীর আচরণ ও অ্যাকাউন্টের সেটিংসকে আরও নিরাপদ করা উচিত।

প্রতিষ্ঠানগুলোর জন্য এসব ঘটনা দেখায় যে ব্যাকআপ ফাইলে প্রবেশের কার্যক্রম, ফোরাম অ্যাকাউন্টের অনুমতি, নিউজলেটার সাবস্ক্রিপশনের তথ্য, গ্রাহকের তথ্য সংরক্ষণের মেয়াদ এবং বিজ্ঞপ্তি পাঠানোর প্রক্রিয়া নিয়মিত নিরীক্ষা করা প্রয়োজন। ব্যবহারকারীদের ক্ষেত্রে ভিন্ন সেবায় একই পরিচয়সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অপ্রত্যাশিত বার্তা অন্য একটি যোগাযোগমাধ্যম দিয়ে যাচাই করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

ব্যবহারকারীর তথ্য এই রেকর্ডের সঙ্গে মিলে গেলে তাঁর ব্যাংকিং, বিনিয়োগ ও ইমেইল অ্যাকাউন্টের নিরাপত্তা সেটিংস অবিলম্বে পর্যালোচনা করা উচিত। মিল পাওয়া গেলে প্রথমে কোন কোন তথ্য তালিকাভুক্ত রয়েছে, তা পড়ে নেওয়া এবং সে অনুযায়ী পদক্ষেপগুলোকে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তন, আর্থিক তথ্য থাকলে অ্যাকাউন্ট নজরদারি, ব্যক্তিগত বার্তা বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইল থাকলে গোপনীয়তা পরীক্ষা এবং অবস্থানের তথ্য থাকলে শারীরিক নিরাপত্তা মূল্যায়নকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ঠিকানা, আয় ও পাসওয়ার্ডের তথ্য একসঙ্গে থাকায় এটি উচ্চ সংবেদনশীলতার একটি আর্থিক তথ্য ফাঁসের রেকর্ড। ব্যবহারকারীর নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত; যেসব সেবায় তিনি একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম, ঠিকানা বা পাসওয়ার্ড ব্যবহার করেন, সেগুলো আলাদাভাবে পরীক্ষা করা উচিত। ঘটনার পর সন্দেহজনক অনুসন্ধান, ইমেইল, বার্তা বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।