Verifications.io: তথ্য ফাঁস

Verifications.io-এর ঘটনায় যেসব ধরনের তথ্য ফাঁস হওয়ার বিষয়টি যাচাই করা হয়েছে, সেগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, নিয়োগদাতার তথ্য, লিঙ্গ, ভৌগোলিক অবস্থান, IP ঠিকানা, পদবি, নামের প্রথম ও শেষ অংশ, ফোন নম্বর এবং বাসস্থান বা কর্মস্থলের ঠিকানা। এসব তথ্য আলাদাভাবে অ্যাকাউন্টের পাসওয়ার্ডের মতো সরাসরি প্রবেশাধিকার দেয় না; তবে একসঙ্গে ব্যবহার করলে এগুলো কৌশলী সামাজিক প্রকৌশল, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, স্প্যাম, ফোনে প্রতারণা এবং কোনো প্রতিষ্ঠানের পরিচয় ব্যবহার করে ছদ্মবেশ ধারণের ঝুঁকি বাড়ায়। বিশেষ করে একই প্রোফাইলে নাম, পদবি, নিয়োগদাতা, ইমেইল ও ফোনের তথ্য থাকলে আক্রমণকারীরা আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে।

এই ডেটাসেটের ক্ষেত্রে পাসওয়ার্ডের তথ্য কোনো যাচাইকৃত ফাঁসের অন্তর্ভুক্ত নয়। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ ব্যবহারকারীর প্রাথমিক করণীয় শুধু পাসওয়ার্ড বদলানো নয়; ব্যক্তিগত ও পেশাগত তথ্য ব্যবহার করে তৈরি করা ভুয়া অফার, ভুয়া সহায়তা, ভুয়া বিল এবং কর্মক্ষেত্রকে ঘিরে প্রতারণার চেষ্টা সম্পর্কেও সতর্ক থাকা। জন্মতারিখ ও বাসস্থান বা কর্মস্থলের ঠিকানার মতো তথ্য কিছু সেবায় পরিচয় যাচাইয়ের প্রশ্ন বা গ্রাহক সহায়তা প্রক্রিয়ায় সহায়ক সূত্র হিসেবে ব্যবহার করা যেতে পারে। অন্যদিকে, ফোন নম্বর ভয়েস কল ও SMS-ভিত্তিক প্রতারণা সহজ করতে পারে।

IP ঠিকানা ও ভৌগোলিক অবস্থানের তথ্য থেকে ব্যবহারকারী আনুমানিক কোন অঞ্চলে আছেন বা কোন ইন্টারনেট সেবাদাতার সংযোগ ব্যবহার করেন, তা বোঝা যেতে পারে। এ ধরনের তথ্য একা সুনির্দিষ্ট অবস্থানের তথ্য হিসেবে বিবেচিত না হলেও, নাম ও কর্মসংক্রান্ত তথ্যের সঙ্গে মিলিয়ে প্রোফাইলে আরও তথ্য যোগ করতে ব্যবহার করা যেতে পারে। যাচাই সেবার তথ্যের মধ্যে ইমেইল ঠিকানা থাকার অর্থ হতে পারে যে ঠিকানাগুলো সক্রিয় এবং বিপণনে ব্যবহারযোগ্য বলে বিবেচিত। ফলে ফাঁসের পর স্প্যাম ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ইমেইলের পরিমাণ বাড়ার সম্ভাবনা বেশি।

যাচাইকৃত তথ্য অনুযায়ী, 25 ফেব্রুয়ারি 2019 প্রকাশ্যে আসা Verifications.io-এর তথ্য উন্মুক্ত হওয়ার ঘটনায় 76,31,17,241টি স্বতন্ত্র অ্যাকাউন্ট ক্ষতিগ্রস্ত হয়। ঘটনাটি 9 মার্চ 2019 যাচাইকৃত তথ্য ফাঁসের রেকর্ডে যুক্ত করা হয়, এবং তথ্যের ধরন ওপরের তালিকায় উল্লেখ করা ব্যক্তিগত ও পেশাগত তথ্যেই সীমাবদ্ধ। ঘটনাটি ইমেইল যাচাই ও বিপণনের তথ্যের প্রেক্ষাপটে মূল্যায়ন করা উচিত। তথ্যের একটি বড় অংশ ব্যবহারকারীদের জেনেশুনে সরাসরি Verifications.io অ্যাকাউন্ট খোলার মাধ্যমে নয়, বরং বিভিন্ন বিপণন কার্যক্রমে সংগ্রহ করা তালিকা যাচাই ও প্রক্রিয়াকরণের মাধ্যমে এসে থাকতে পারে।

তাই Verifications.io-এর ফলাফলে কোনো ইমেইল ঠিকানা দেখা যাওয়া নিশ্চিতভাবে বোঝায় না যে ব্যবহারকারী এই সেবার সদস্য বা Verifications.io-এর সঙ্গে তাঁর সরাসরি গ্রাহক সম্পর্ক ছিল। আরও যথাযথ ব্যাখ্যা হলো, সংশ্লিষ্ট ঠিকানাটি বিপণন বা যাচাইয়ের ডেটাসেটে অন্তর্ভুক্ত ছিল এবং ব্যক্তিগত তথ্যের সঙ্গে উন্মুক্ত হয়ে থাকতে পারে। এই সীমাবদ্ধতার কারণে ব্যবহারকারীকে দেওয়া পরামর্শও বদলে যায়: পাসওয়ার্ডকেন্দ্রিক অ্যাকাউন্ট পুনরুদ্ধারের পাশাপাশি ব্যক্তিগত তথ্যের অপব্যবহার এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে যোগাযোগের ঝুঁকিও বিবেচনা করা উচিত।

রেকর্ডে ফাঁস হওয়া তথ্যের তালিকায় পাসওয়ার্ড, পেমেন্ট কার্ড বা সরকারিভাবে দেওয়া পরিচয় নম্বর নেই। তবু বিপুলসংখ্যক রেকর্ড এবং প্রোফাইলের বিভিন্ন তথ্যক্ষেত্র একত্র হওয়া পরিস্থিতিকে গুরুতর পর্যায়ে নিয়ে যায়। ভুল মূল্যায়নে ঘটনাটিকে সাধারণ একটি ইমেইল তালিকার মতো মনে হতে পারে; আবার অতিরঞ্জিত মূল্যায়ন থেকে পাসওয়ার্ড বা আর্থিক তথ্য নিয়ে অযাচাইকৃত দাবি তৈরি হয়। সঠিক পদ্ধতি হলো যাচাইকৃত তথ্যের ভিত্তিতে মূল্যায়ন করা এবং ব্যবহারকারীকে স্পষ্ট, বাস্তবায়নযোগ্য ও পরিমিত নিরাপত্তা পদক্ষেপ জানানো।

সবচেয়ে উল্লেখযোগ্য ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁদের কর্মস্থলের বা ব্যক্তিগত ইমেইল ঠিকানা বিপণন তালিকায় রয়েছে। Verifications.io-এর মতো ইমেইল যাচাই সেবা প্রায়ই বিভিন্ন প্রতিষ্ঠানের প্রচারাভিযানের তালিকা প্রক্রিয়াকরণ করে, তাই ক্ষতিগ্রস্ত ব্যক্তির সেবাটিকে না চেনা স্বাভাবিক। ব্যবহারকারী মনে করলেও যে তিনি আগে সংশ্লিষ্ট ডোমেইনের সঙ্গে কোনো যোগাযোগ করেননি, তাঁর ইমেইল ঠিকানা তৃতীয় পক্ষের তালিকায় থেকে থাকতে পারে। প্রচারাভিযান, বিক্রয়, অনুষ্ঠান, নিউজলেটার বা সম্ভাব্য গ্রাহকের তালিকায় থাকা ব্যক্তিদের জন্য বিষয়টি বিশেষভাবে গুরুত্বপূর্ণ।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই কর্মীরা, যাঁদের ব্যক্তিগত যোগাযোগের তথ্যের সঙ্গে পেশাগত তথ্যও উন্মুক্ত হয়েছে। নামের প্রথম ও শেষ অংশ, নিয়োগদাতা, পদবি, ফোন ও ইমেইলের তথ্য প্রতিষ্ঠানকে লক্ষ্য করে আক্রমণের জন্য শক্তিশালী প্রেক্ষাপট দেয়। অর্থ, মানবসম্পদ, ক্রয়, সহায়তা, বিক্রয় ও নির্বাহী দলে কাজ করা ব্যক্তিদের ভুয়া বিল, ভুয়া সরবরাহকারী, নির্বাহীর নামে ভুয়া অনুরোধ বা সভার আমন্ত্রণের মতো পরিস্থিতিতে আরও সতর্ক থাকা উচিত। এই ঘটনা প্রতিষ্ঠানের সিস্টেমে অনুপ্রবেশ ঘটেছে বলে প্রমাণ করে না; তবে কর্মীদের লক্ষ্য করে আক্রমণ করা সহজ করতে পারে।

তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই ব্যক্তিরা, যাঁদের বাসস্থান বা কর্মস্থলের ঠিকানা, জন্মতারিখ বা ফোন নম্বরের তথ্য মিলে যায়। শুধু এই তথ্য পরিচয় চুরির প্রমাণ নয়; তবে প্রতারকদের পক্ষে এমনভাবে আচরণ করা সহজ হয়, যেন তারা ওই ব্যক্তিকে চেনে। নাম ধরে সম্বোধন করা বা অবস্থান কিংবা কর্মস্থলের উল্লেখ থাকা বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। তাই ক্ষতিগ্রস্ত ব্যক্তিদের শুধু ইমেইল ইনবক্স নয়, ফোন কল, খুদে বার্তা এবং সামাজিক যোগাযোগমাধ্যমে সংযোগের অনুরোধও সতর্কভাবে মূল্যায়ন করা উচিত।

এই ঘটনার তথ্যের সঙ্গে যেসব ব্যবহারকারীর তথ্য মিলে যায়, তাঁদের কাছে আসা ইমেইল ও ফোন কলে অপ্রত্যাশিত অনুরোধ সম্পর্কে সতর্ক থাকা উচিত। পাসওয়ার্ড ফাঁস নিশ্চিত না হওয়ায় প্রধান অগ্রাধিকার হলো লিংকে ক্লিক করানো, ভুয়া অর্থ পরিশোধ, ভুয়া সহায়তা, ভুয়া চাকরির প্রস্তাব এবং ব্যক্তিগত তথ্য পূরণ করার অনুরোধের মতো ফাঁদ চেনা। ইমেইলের লিংকে ক্লিক না করে সংশ্লিষ্ট প্রতিষ্ঠানের ঠিকানা নিজে ব্রাউজারে লিখতে হবে, সংযুক্ত ফাইল খোলার আগে আলাদা মাধ্যমে প্রেরকের পরিচয় যাচাই করতে হবে এবং ব্যক্তিগত তথ্য চাওয়া ফর্ম সতর্কভাবে পরীক্ষা করতে হবে।

দ্বিতীয় ধাপ হলো গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর নিরাপত্তা সেটিংস পর্যালোচনা করা। ইমেইল, ব্যাংকিং, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম এবং কাজের সরঞ্জামের অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। Verifications.io-এর ঘটনায় পাসওয়ার্ডের তথ্য যাচাই করা না হলেও, আক্রমণকারীরা ব্যক্তিগত তথ্য ব্যবহার করে পাসওয়ার্ড পুনরায় সেট করার প্রক্রিয়া বা গ্রাহক সহায়তার সঙ্গে যোগাযোগে বিশ্বাসযোগ্যভাবে নিজেদের উপস্থাপন করতে পারে। তাই পুনরুদ্ধারের ইমেইল ঠিকানা, ফোন নম্বর, সক্রিয় সেশন ও সাম্প্রতিক লগইন কার্যক্রম পরীক্ষা করা উচিত।

তৃতীয় ধাপ হলো স্প্যাম ও বিপণন বার্তার পরিমাণ নজরে রাখা। এই ঘটনায় ক্ষতিগ্রস্ত ইমেইল ঠিকানায় অনাকাঙ্ক্ষিত বার্তা বেড়ে যাওয়া অস্বাভাবিক নয়। সন্দেহজনক প্রচারাভিযানের বার্তায় থাকা সদস্যতা বাতিলের লিংকে ব্যবহারকারীদের যাচাই না করে ক্লিক করা উচিত নয়; এর বদলে বিশ্বস্ত ইমেইল অ্যাপের স্প্যাম চিহ্নিত করা ও ব্লক করার সুবিধা ব্যবহার করা উচিত। একই ডোমেইন ব্যবহারকারী অনেক কর্মী ক্ষতিগ্রস্ত হয়েছেন কি না, তা যাচাই করে প্রাতিষ্ঠানিক ব্যবহারকারীরা সচেতনতামূলক বিজ্ঞপ্তি ও ফিশিং অনুশীলনের মতো পদক্ষেপকে অগ্রাধিকার দিতে পারেন।

চতুর্থ ধাপ হলো ব্যক্তিগত তথ্যের অপব্যবহার মোকাবিলায় রেকর্ড রাখা। সন্দেহজনক কল, ভুয়া বিলের অনুরোধ, অপ্রত্যাশিত অ্যাকাউন্ট বিজ্ঞপ্তি ও পরিচয় যাচাইয়ের চেষ্টা তারিখসহ লিখে রাখা উচিত। ব্যক্তিগত নিরাপত্তা পর্যবেক্ষণ এবং প্রতিষ্ঠানের অভ্যন্তরীণ ঘটনায় সাড়া দেওয়া, উভয় ক্ষেত্রেই এই তথ্য কাজে আসে। বাসস্থান বা কর্মস্থলের ঠিকানা ও ফোনের তথ্য দেখা গেলে, পণ্য সরবরাহ, সদস্যতা, আর্থিক বিষয় ও সরকারি সেবার বিজ্ঞপ্তিতে অপ্রত্যাশিত পরিবর্তনের ব্যাপারে ব্যবহারকারীদের আরও সতর্ক থাকা উচিত।

Verifications.io-এর তথ্য ফাঁস দেখায় যে ব্যবহারকারীদের তথ্য এমন সেবাতেও থাকতে পারে, যার সঙ্গে তাঁদের সরাসরি কোনো সম্পর্ক নেই। দীর্ঘমেয়াদি সুরক্ষার জন্য ব্যবহারের উদ্দেশ্য অনুযায়ী ইমেইল ঠিকানা আলাদা রাখা, গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য পৃথক ইমেইল ঠিকানা বা ইমেইল অ্যালিয়াস ব্যবহার করা এবং অপ্রয়োজনীয় বিপণন অনুমতি সীমিত করা কার্যকর। প্রতিটি ফর্মে ব্যক্তিগত ফোন নম্বর ও ঠিকানা না দিলে ভবিষ্যতের সম্ভাব্য ডেটাসেটে প্রোফাইলের পূর্ণাঙ্গতা কমে। এতে একটি ঘটনার প্রভাব পুরো ডিজিটাল পরিচয়ে ছড়িয়ে পড়া কঠিন হয়।

প্রতিষ্ঠানের জন্য একটি স্থায়ী কৌশল হলো বাইরের তথ্য ফাঁসের ঘটনায় কর্মীদের ইমেইল দেখা যাচ্ছে কি না, তা নিয়মিত পর্যবেক্ষণ করা এবং ব্যবসায়িক ঝুঁকির সঙ্গে মিলিয়ে ফলাফল মূল্যায়ন করা। বিপণন, বিক্রয় ও সহায়তা দলের তথ্য স্বাভাবিকভাবেই বাইরের আরও বেশি তালিকায় থাকতে পারে; ফলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার ক্ষেত্রে তাঁদের চিহ্নিত করা সহজ হয়। প্রতিষ্ঠানগুলোর উচিত আরও বেশি অ্যাকাউন্ট ও সেবায় MFA প্রয়োগ করা, আর্থিক লেনদেন অনুমোদনের জন্য দ্বিতীয় একটি মাধ্যমে যাচাই করা এবং সরবরাহকারী পরিবর্তন ও অর্থ পরিশোধের অনুরোধের প্রক্রিয়া লিখিত নিয়মে নির্ধারণ করা।

প্রয়োজনের বেশি তথ্য সংগ্রহ না করাও এই ঘটনার একটি গুরুত্বপূর্ণ শিক্ষা। সম্ভাব্য গ্রাহক ও বিপণন তালিকায় অপ্রয়োজনীয় ব্যক্তিগত তথ্য সংগ্রহ না করা, তথ্য সংরক্ষণের সময়সীমা নির্ধারণ করা এবং তৃতীয় পক্ষের তথ্য প্রক্রিয়াকরণ সেবা নিয়মিত নিরীক্ষা করা প্রতিষ্ঠানগুলোর উচিত। ব্যবহারকারীদের ক্ষেত্রে নিয়মিত তথ্য ফাঁসের খোঁজ করা, স্প্যাম ফিল্টার, নিরাপত্তা বিজ্ঞপ্তি এবং সচেতনভাবে তথ্য শেয়ার করার অভ্যাস একসঙ্গে কাজে লাগানো উচিত। বড় পরিসরে বিপণনের তথ্য ফাঁস পুরোপুরি ঠেকানো না গেলেও, এসব ব্যবস্থা দিয়ে তার প্রভাব কমানো যায়।

Verifications.io তথ্য ফাঁস-এ আপনার ইমেইল ঠিকানা দেখা গেলে, এর অর্থ এই নয় যে আপনি জেনেশুনে সংশ্লিষ্ট সেবায় নিবন্ধন করেছিলেন। এই ফলাফল নির্দেশ করে যে আপনার ইমেইল ঠিকানা এবং কিছু ব্যক্তিগত বা পেশাগত তথ্য বিপণনের তালিকা যাচাইয়ের তথ্যে অন্তর্ভুক্ত হয়ে থাকতে পারে। অগ্রাধিকার হলো কোন কোন তথ্য দেখা গেছে, তা বোঝা এবং সেগুলোর অপব্যবহার থেকে আসতে পারে এমন বার্তার জন্য প্রস্তুত থাকা।

ব্যক্তিগত ইমেইল ব্যবহারকারীদের স্প্যাম, ভুয়া সহায়তা ও ভুয়া প্রচারমূলক বার্তা সম্পর্কে সতর্ক থাকা উচিত; প্রাতিষ্ঠানিক ব্যবহারকারীদের প্রতিষ্ঠানের ডোমেইনে পাঠানো লক্ষ্যভিত্তিক প্রতারণার চেষ্টা নজরে রাখা উচিত। পাসওয়ার্ড ফাঁস নিশ্চিত না হলেও গুরুত্বপূর্ণ অ্যাকাউন্টে MFA ব্যবহার করা এবং নিরাপত্তা সেটিংস পরীক্ষা করা ভালো সুরক্ষা ব্যবস্থা। নিয়মিত লগ পরীক্ষা করলে একই ইমেইল ঠিকানা বিভিন্ন তথ্য ফাঁসে দেখা যাচ্ছে কি না, তা বোঝা এবং কোন নিরাপত্তা পদক্ষেপটি আগে নেওয়া উচিত, তা নির্ধারণ করা সহজ হয়।