URentBike-এর 2022 সালের তথ্য ফাঁস

URentBike রেকর্ডের প্রধান তথ্যগুলো হলো ব্যবহারকারীর নাম, ইমেইল ঠিকানা, পাসওয়ার্ডের হ্যাশ তথ্য এবং অ্যাকাউন্ট ব্যবহারের তারিখ। ইমেইল ঠিকানা ব্যবহার করে অন্য সেবায় একই ব্যবহারকারীকে শনাক্ত করা এবং তাঁকে লক্ষ্য করে বার্তা পাঠানো সম্ভব। বিভিন্ন প্ল্যাটফর্মে একই ছদ্মনাম ব্যবহার করা হলে, ব্যবহারকারীর নামের মাধ্যমে সেই প্রোফাইলগুলোকে একই ব্যক্তির বলে যুক্ত করার ঝুঁকি বাড়ে। পাসওয়ার্ডের হ্যাশ তথ্য অ্যাকাউন্টের নিয়ন্ত্রণ দখলের ঝুঁকি বাড়ায়, বিশেষ করে পাসওয়ার্ড দুর্বল হলে বা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহার করা হলে। সর্বশেষ লগইনের তারিখ ও ব্যবহারকারীর ভূমিকার মতো অ্যাকাউন্ট-সংক্রান্ত তথ্য ভুয়া নিরাপত্তা সতর্কতা, সাবস্ক্রিপশন বিজ্ঞপ্তি বা সহায়তার অনুরোধের বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

যাতায়াতসেবার অ্যাপে ব্যবহারকারীরা প্রায়ই পেমেন্ট, অবস্থান, যানবাহনের লক, সাবস্ক্রিপশন ও জরিমানার বিজ্ঞপ্তির মতো বিষয়ে দ্রুত সাড়া দেন। তাই URentBike-এর তথ্যকে শুধু পুরোনো অ্যাকাউন্টের তালিকা হিসেবে দেখা উচিত নয়। আক্রমণকারীরা ইমেইল ও ব্যবহারকারীর নামের তথ্য ব্যবহার করে বকেয়া পাওনা, লক খোলার ফি, দুর্ঘটনার খরচ, পার্কিং জরিমানা, সাবস্ক্রিপশন নবায়ন, অ্যাকাউন্ট যাচাই বা পাসওয়ার্ড রিসেটের ভুয়া বার্তা তৈরি করতে পারে। একই ব্যবহারকারীরা অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেন কি না, তা পরীক্ষা করতেও পাসওয়ার্ডের হ্যাশ তথ্য ব্যবহার করা যেতে পারে। ব্যবহারকারীদের উচিত বার্তার লিংকের পরিবর্তে সেবার অফিসিয়াল অ্যাপ বা পরিচিত ডোমেইনের মাধ্যমে প্রয়োজনীয় পদক্ষেপ নেওয়া।

URentBike অ্যাকাউন্টের পাসওয়ার্ড অন্য কোনো ইমেইল, ব্যাংক, সামাজিক যোগাযোগমাধ্যম, পরিবহন, মানচিত্র বা সাবস্ক্রিপশন অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে, সেসব পাসওয়ার্ড পরিবর্তনকে অগ্রাধিকার দেওয়া উচিত। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করাই যথেষ্ট নয়; প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড ব্যবহার করা উচিত। ইমেইল অ্যাকাউন্টও সুরক্ষিত রাখা উচিত, কারণ পাসওয়ার্ড রিসেটের লিংক সাধারণত ইমেইলের মাধ্যমেই পরিচালিত হয়। একাধিক উপাদানভিত্তিক প্রমাণীকরণের সুবিধা থাকলে তা চালু করা উচিত, সক্রিয় সেশনগুলো পরীক্ষা করা উচিত এবং অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তাগুলোও খতিয়ে দেখা উচিত। যাতায়াতসেবার অ্যাপে কোনো পেমেন্ট পদ্ধতি নিবন্ধিত থাকলে, অ্যাকাউন্টের ইতিহাস ও পেমেন্টের বিজ্ঞপ্তিগুলোও পর্যালোচনা করা উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, এই রেকর্ড ব্যক্তিগত যাতায়াতসেবার অ্যাপে কর্মীদের প্রাতিষ্ঠানিক ইমেইল ঠিকানা ব্যবহারের ঝুঁকিও তুলে ধরে। কোনো কর্মী ভাড়া, পরিবহন বা মাঠপর্যায়ের কাজের অ্যাপে একই প্রাতিষ্ঠানিক ইমেইল ব্যবহার করে থাকলে, প্রাতিষ্ঠানিক অ্যাকাউন্টে প্রবেশের চেষ্টায় সেই ইমেইল ঠিকানা ও পাসওয়ার্ডের হ্যাশ তথ্য পরীক্ষা করে দেখা হতে পারে। কোম্পানিগুলোর উচিত নয় এ ধরনের ঘটনাকে শুধু ভোক্তাদের অ্যাপের সমস্যা হিসেবে দেখা; বাইরের সেবায় কর্মীদের ইমেইল কতটা দৃশ্যমান, একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার হচ্ছে কি না এবং সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তা, এই বিষয়গুলো একসঙ্গে নজরদারিতে রাখা উচিত। ভুয়া জরিমানা, খরচ, চালান বা পরিবহন-সংক্রান্ত বিজ্ঞপ্তির বার্তা সম্পর্কে হেল্প ডেস্ক ও অর্থ বিভাগের দলগুলোকে বিশেষভাবে সতর্ক করা উচিত।

URentBike-এর তথ্য ফাঁসকে অত্যন্ত গুরুতর হিসেবে শ্রেণিবদ্ধ করা হয়েছে, কারণ ইমেইল ও ব্যবহারকারীর নামের মতো অ্যাকাউন্টে প্রবেশ-সংশ্লিষ্ট তথ্যের সঙ্গে পাসওয়ার্ডের হ্যাশ তথ্যও দেখা গেছে। তা সত্ত্বেও, প্রমাণসমর্থনহীন তথ্য যোগ করে রেকর্ডের পরিসর বাড়ানো হয়নি: উন্মুক্ত পেমেন্ট কার্ডের তথ্য, সরকারি পরিচয়পত্র, সুনির্দিষ্ট অবস্থানের ইতিহাস বা ফোন নম্বর এই হালনাগাদ করা প্রধান তথ্যশ্রেণিগুলোর অন্তর্ভুক্ত করা হয়নি। এই পৃষ্ঠার উদ্দেশ্য ব্যবহারকারীর সামনে অতিরঞ্জিত চিত্র তুলে ধরা নয়, বরং সমর্থিত তথ্যের ভিত্তিতে বাস্তবসম্মত ঝুঁকি ব্যাখ্যা করা। URentBike-এর তথ্য ফাঁস সম্পর্কে খোঁজ করছেন এমন ব্যবহারকারীদের অগ্রাধিকারমূলক পদক্ষেপ হলো একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড হালনাগাদ করা, দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা, সেবার অফিসিয়াল অ্যাপের বাইরের লিংক সম্পর্কে সতর্ক থাকা এবং আলাদা মাধ্যমে যাতায়াতের ইতিহাস বা পেমেন্টের সতর্কতা যাচাই করা।

URentBike-এ নিবন্ধনের তথ্য মূল্যায়নের সময় ব্যবহারকারীর কাছে সবচেয়ে গুরুত্বপূর্ণ যে পার্থক্যটি স্পষ্ট হয়, তা হলো পুরোনো যাতায়াতসেবার অ্যাকাউন্টের তথ্যের সঙ্গে পাসওয়ার্ডের নিরাপত্তার বিষয়টি যুক্ত হয়েছে। তাই শুধু অ্যাপের ভেতরের বিজ্ঞপ্তি নয়, একই ইমেইল ও কাছাকাছি পাসওয়ার্ড দিয়ে খোলা সব অ্যাকাউন্টও পরীক্ষা করা উচিত। পরিবহন, সাবস্ক্রিপশন ও পেমেন্ট-সংক্রান্ত বার্তাগুলো প্রকৃত সেবার স্বাভাবিক কার্যক্রমের অংশ বলে মনে হলেও, আলাদা মাধ্যমে সেগুলো যাচাই করা উচিত।