WeLeakInfo: তথ্য ফাঁস

এই ঘটনায় অর্থপ্রদানের ইতিহাস ও ক্রেডিট কার্ডের আংশিক তথ্যের পাশাপাশি ইমেইল ঠিকানা, পূর্ণ নাম, বসবাস বা অবস্থানের ঠিকানা এবং IP ঠিকানার মতো তথ্যও ফাঁস হয়েছে, যেগুলো একত্র করে কোনো ব্যক্তির পরিচয়ের বিভিন্ন দিকের মধ্যে যোগসূত্র তৈরি করা যায়। ক্রেডিট কার্ডের আংশিক তথ্য বলতে সম্পূর্ণ কার্ড নম্বর বা কার্ডের সব নিরাপত্তাসংক্রান্ত তথ্য বোঝায় না। তবে অর্থপ্রদানের ইতিহাস, নাম ও ঠিকানার সঙ্গে মিলিয়ে ব্যবহার করলে এসব তথ্য সোশ্যাল ইঞ্জিনিয়ারিং ও জালিয়াতির ঝুঁকি বাড়ায়। ব্রাউজারের ইউজার এজেন্টসংক্রান্ত তথ্য থেকেও ব্যবহৃত ডিভাইস, ব্রাউজার বা অপারেটিং সিস্টেম সম্পর্কে অতিরিক্ত সূত্র পাওয়া যেতে পারে।

WeLeakInfo সেবার প্রকৃতির কারণে ঝুঁকি শুধু প্রচলিত পরিচয় চুরির মধ্যে সীমাবদ্ধ নয়। যাঁরা এই সেবা কিনেছেন এবং চুরি হওয়া তথ্য অনুসন্ধানের এই সেবার সঙ্গে যুক্ত, তাঁরা গোপনীয়তা ও সুনামের ঝুঁকি, লক্ষ্যভিত্তিক চাপ এবং চাঁদাবাজির চেষ্টার মুখে পড়তে পারেন। নিয়োগকর্তা বা প্রতিষ্ঠানের তথ্য অন্তর্ভুক্ত থাকায় প্রাতিষ্ঠানিক ইমেইল ব্যবহারকারীদের কর্মক্ষেত্রের সঙ্গে যোগসূত্র প্রকাশ পেতে পারে। তাই ঘটনাটিকে অল্পসংখ্যক অ্যাকাউন্টের একটি তালিকা হিসেবে নয়, বরং সংবেদনশীল অর্থপ্রদান ও পরিচয়সংক্রান্ত তথ্য ফাঁস হিসেবে বিবেচনা করা উচিত।

যাচাইকৃত ঘটনার তারিখ 8 মার্চ 2021 এবং যাচাইকৃত তালিকাভুক্তির তারিখ 15 মার্চ 2021 হিসেবেই রাখতে হবে। অ্যাকাউন্ট অনুসন্ধানের আওতায় 11,788টি স্বতন্ত্র রেকর্ড রয়েছে। সংবাদ প্রতিবেদনে আনুমানিক 24,000 গ্রাহক বা অর্থপ্রদানের আরও বড় আর্কাইভের সংখ্যা উল্লেখ করা হলেও, LeakData-তে মিল যাচাইয়ের আওতা স্বতন্ত্র ইমেইল অ্যাকাউন্টের ভিত্তিতে নির্ধারিত থাকে। যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং হামলাকারীদের দাবিকে এই ঘটনার প্রকাশ্য পরিধির অংশ হিসেবে ধরা হয় না।

যাচাইকৃত তথ্যের বিভাগগুলো হলো ব্রাউজারের ইউজার এজেন্টসংক্রান্ত তথ্য, ইমেইল ঠিকানা, নিয়োগকর্তা বা প্রতিষ্ঠানের তথ্য, IP ঠিকানা, পূর্ণ নাম, ক্রেডিট কার্ডের আংশিক তথ্য, বসবাস বা অবস্থানের ঠিকানা এবং কেনাকাটার তথ্য। এই ঘটনার যাচাইকৃত অ্যাকাউন্ট অনুসন্ধানের তথ্যক্ষেত্রে পাসওয়ার্ড, পাসওয়ার্ড হ্যাশ, সম্পূর্ণ ক্রেডিট কার্ড নম্বর, কার্ডের নিরাপত্তা কোড, ব্যাংক অ্যাকাউন্ট নম্বর বা সরকারি পরিচয়পত্রের নম্বর অন্তর্ভুক্ত করা উচিত নয়। WeLeakInfo অন্য তথ্য ফাঁসের ঘটনা থেকে পাওয়া তথ্য অনুসন্ধানের সেবা হলেও, এই ঘটনায় ফাঁস হয়েছে সেবাটির নিজস্ব অর্থপ্রদানকারী গ্রাহকদের তথ্য।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা WeLeakInfo-এর মাধ্যমে অর্থপ্রদান করেন এবং কাজ, ব্যক্তিগত অ্যাকাউন্ট বা অন্য সংবেদনশীল সেবার জন্য একই ইমেইল ঠিকানা ব্যবহার করেন। ইমেইল, পূর্ণ নাম, বসবাস বা অবস্থানের ঠিকানা এবং কেনাকাটার তথ্য একত্র করলে ব্যক্তিটি কোন সেবার সঙ্গে যুক্ত, তা অনুমান করা যেতে পারে। এতে ফিশিং বার্তা আরও বিশ্বাসযোগ্য হয়ে ওঠে এবং অতীতে ওই ব্যক্তির অর্থপ্রদানের ধরন অনুযায়ী তাঁকে লক্ষ্যবস্তু করা হতে পারে। প্রাতিষ্ঠানিক ডোমেইনের ইমেইল ব্যবহারকারীদের ক্ষেত্রে নিয়োগকর্তার তথ্য প্রকাশ পাওয়ায় সুনামহানির অতিরিক্ত ঝুঁকি তৈরি হয়।

শুধু কার্ডের আংশিক তথ্য আর্থিক অ্যাকাউন্টে পূর্ণ প্রবেশাধিকার দেয় না। তবে শেষের অঙ্কগুলো, অর্থপ্রদানের তারিখ বা কেনাকাটার পরিমাণের মতো তথ্য প্রতারণায় সহায়তা করতে পারে। কোনো হামলাকারী নিজেকে ব্যাংক, অর্থপ্রদান প্রক্রিয়াকারী প্রতিষ্ঠান বা আগে ব্যবহৃত কোনো সেবার প্রতিনিধি হিসেবে বিশ্বাস করানোর চেষ্টা করতে পারে। পরিচয় যাচাইয়ের প্রশ্ন বা হুমকিমূলক বার্তায় বসবাস বা অবস্থানের ঠিকানা এবং IP ঠিকানা চাপ সৃষ্টির উপাদান হয়ে উঠতে পারে। তাই যাঁদের তথ্যের মিল পাওয়া গেছে, তাঁদের আর্থিক লেনদেন ও ইমেইলের নিরাপত্তা, দুটিই পরীক্ষা করা উচিত।

আপনার তথ্যের মিল পাওয়া গেলে প্রথমে ইমেইল অ্যাকাউন্টে সন্দেহজনক লগইন, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা, অপরিচিত ডিভাইস এবং অজানা ফরওয়ার্ডিং নিয়ম আছে কি না পরীক্ষা করুন। পেমেন্ট কার্ডের লেনদেনও পর্যালোচনা করুন। অপ্রত্যাশিত লেনদেন বা লেনদেনের অনুমোদন নেওয়ার চেষ্টা দেখা গেলে কার্ড ইস্যুকারী প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন। যেহেতু শুধু কার্ডের আংশিক তথ্য প্রকাশ পেয়েছে, তাই কার্ডের সম্পূর্ণ তথ্য ফাঁস হয়েছে বলে ধরে নেওয়া উচিত নয়। তবু কিছুদিন অ্যাকাউন্টের বিবরণী ও কার্ডের বিজ্ঞপ্তিগুলো নিবিড়ভাবে পর্যবেক্ষণ করা উচিত।

WeLeakInfo নাম, পুরোনো অর্থপ্রদানের তথ্য, ঠিকানা বা কেনাকাটার ইতিহাস ব্যবহার করে পাঠানো বার্তার ব্যাপারে সতর্ক থাকুন। প্রেরক কার্ড নবায়ন, অ্যাকাউন্ট বন্ধ, অর্থ ফেরত, প্রমাণ মুছে ফেলা বা আইনি ব্যবস্থা নেওয়ার হুমকির মতো বিষয় দেখিয়ে চাপ সৃষ্টি করতে পারে। এ ধরনের বার্তার লিংকে ক্লিক করবেন না, সংযুক্তি খুলবেন না এবং অর্থপ্রদানের অনুরোধে সাড়া দেবেন না। কর্মক্ষেত্রের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের নিরাপত্তা দলকে জানানো এবং সংশ্লিষ্ট অ্যাকাউন্টগুলোতে একাধিক উপাদানভিত্তিক পরিচয় যাচাইয়ের সুরক্ষা পরীক্ষা করা সমীচীন।

দীর্ঘমেয়াদে সংবেদনশীল বা উচ্চঝুঁকির সেবার জন্য ব্যক্তিগত প্রধান ইমেইলের বদলে আলাদা ইমেইল ঠিকানা বা ইমেইল ঠিকানা আড়াল করার ব্যবস্থা ব্যবহার করাই ভালো। অর্থপ্রদানের ক্ষেত্রে কার্ডের বিজ্ঞপ্তি চালু রাখা উচিত এবং ভার্চুয়াল কার্ড বা নির্দিষ্ট সীমাযুক্ত কার্ডের মতো উপায় বিবেচনা করা উচিত। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড ব্যবহার বজায় রাখতে হবে এবং পাসওয়ার্ড ম্যানেজার ব্যবহার করে একই পাসওয়ার্ড একাধিকবার ব্যবহারের ঝুঁকি কমাতে হবে। এই ঘটনায় পাসওয়ার্ড থাকার বিষয়টি যাচাইকৃত না হলেও, একই ইমেইল ঠিকানার সঙ্গে যুক্ত অন্য সেবাগুলোর জন্য শক্তিশালী পরিচয় যাচাই গুরুত্বপূর্ণ।

প্রতিষ্ঠানের দিক থেকে, কর্মীদের কাজের ইমেইল দিয়ে ঝুঁকিপূর্ণ বা সংবেদনশীল বাইরের সেবায় নিবন্ধন যতটা সম্ভব কমানো উচিত। অর্থপ্রদান ও কেনাকাটার তথ্য ফাঁসসংক্রান্ত সচেতনতা প্রশিক্ষণও দেওয়া উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট পর্যালোচনা করা, অপ্রয়োজনীয় সাবস্ক্রিপশন বন্ধ করা এবং অর্থপ্রদানের ইতিহাস সংরক্ষণ করে এমন সেবায় যতটা সম্ভব কম তথ্য দেওয়াকে অগ্রাধিকার দেওয়া উচিত। বসবাস বা অবস্থানের ঠিকানা এবং প্রাতিষ্ঠানিক তথ্য জড়িত এমন ঘটনায় শুধু পাসওয়ার্ড পরিবর্তনকে যথেষ্ট মনে করা উচিত নয়; গোপনীয়তা, আর্থিক লেনদেন পর্যবেক্ষণ এবং পরিচয় চুরির ঝুঁকি একসঙ্গে বিবেচনা করতে হবে।

যাচাইয়ের ফলাফলে মিল পাওয়া গেলে তার অর্থ হলো, আপনার দেওয়া ইমেইল ঠিকানাটি WeLeakInfo-এর অর্থপ্রদানকারী গ্রাহকদের সঙ্গে সম্পর্কিত যাচাইকৃত ডেটাসেটে রয়েছে। সে ক্ষেত্রে ইমেইল ঠিকানা, পূর্ণ নাম, IP ঠিকানা, বসবাস বা অবস্থানের ঠিকানা, ব্রাউজারের ইউজার এজেন্টসংক্রান্ত তথ্য, নিয়োগকর্তা বা প্রতিষ্ঠানের তথ্য, ক্রেডিট কার্ডের আংশিক তথ্য এবং কেনাকাটার তথ্য ঝুঁকিতে রয়েছে বলে বিবেচনা করা উচিত। ফলাফলে মিল না পাওয়ার অর্থ হলো, এই নির্দিষ্ট ডেটাসেটে কোনো মিল পাওয়া যায়নি; এতে প্রমাণ হয় না যে ওই ব্যক্তির তথ্য অন্য কোনো তথ্য ফাঁসের ঘটনায় ছিল না।

আপনার জন্য উপযুক্ত করণীয় হলো ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, পেমেন্ট কার্ডের লেনদেন পর্যবেক্ষণ করা, সন্দেহজনক বার্তায় সাড়া না দেওয়া, কাজের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের নিরাপত্তা কর্মকর্তাকে জানানো এবং সংবেদনশীল সেবার জন্য আলাদা ইমেইল ব্যবহার শুরু করা। WeLeakInfo-এর ঘটনাটি আর্থিক ও গোপনীয়তা, উভয় দিক থেকেই মূল্যায়ন করা উচিত, কারণ এটি দেখায় যে চুরি হওয়া তথ্য অনুসন্ধানের সেবার গ্রাহকদের নিজেদের অর্থপ্রদান ও পরিচয়সংক্রান্ত তথ্যও ঝুঁকিতে পড়তে পারে।