YourPartTime: তথ্য উন্মুক্ত হওয়ার অভিযোগ

YourPartTime-এর রেকর্ড খোলার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, একই রকম ব্র্যান্ডের নাম, ঘটনার তারিখ ও নিবন্ধনের সংখ্যার সঙ্গে মিল আছে কি না, তা পরীক্ষা করা হয়েছে। একই ঘটনার কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। একই রকম নাম থাকলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য থাকতে পারে। এর কারণ হতে পারে অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুন করে সাজানো ডেটাসেট। এই পৃষ্ঠায় প্রদর্শিত সর্বোচ্চ সংখ্যার বদলে 34,741 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে, কারণ ডেটার ধরনগুলোর পাশাপাশি এই সংখ্যাটির পক্ষেও ধারাবাহিকভাবে সমর্থন পাওয়া যায়।

YourPartTime-কে মালয়েশিয়াভিত্তিক একটি খণ্ডকালীন চাকরির প্ল্যাটফর্ম হিসেবে মূল্যায়ন করা হয়েছে, যা চাকরিপ্রার্থী ও নিয়োগদাতাদের মধ্যে সংযোগ তৈরি করে। চাকরি খোঁজার অ্যাকাউন্ট ব্যক্তিগত ও পেশাগত পরিচয়ের সঙ্গে যুক্ত থাকে। তাই পাসওয়ার্ড ফাঁসকে শুধু অ্যাকাউন্টের প্রযুক্তিগত ঝুঁকি হিসেবে দেখা উচিত নয়।

এই ঘটনায় ইমেইল ঠিকানা ও প্লেইন টেক্সটে রাখা পাসওয়ার্ড উন্মুক্ত হয়ে পড়েছিল। কর্মসংস্থানসংক্রান্ত কোনো প্ল্যাটফর্মে ব্যবহৃত পাসওয়ার্ড যদি অন্য চাকরির সাইট, ইমেইল অ্যাকাউন্ট বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলেও ব্যবহার করা হয়ে থাকে, তাহলে এর প্রভাব বাড়ে।

YourPartTime-এর ঘটনায় প্লেইন টেক্সট পাসওয়ার্ডের তথ্য পাওয়া গেছে বলে সাধারণ ইমেইল ফাঁসের তুলনায় ঝুঁকি বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বারবার অনুমান করে চেষ্টা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে মিলিত হলে এটি আক্রমণের শক্তিশালী উপকরণ হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই YourPartTime-এর মতো পুরোনো ডেটা ফাঁসের তথ্য বহু বছর পরও পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় ব্যবহার করা হতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো মনে করার চেষ্টা করা যে অতীতে YourPartTime বা yourparttime.com-এ তাঁরা কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। একই মূল পাসওয়ার্ডের বিভিন্ন সংস্করণ অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পাসওয়ার্ড বদলানো যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ডের বদলে আলাদা ও এলোমেলোভাবে তৈরি পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি ডেটা ফাঁস থেকে ধারাবাহিকভাবে অন্য অ্যাকাউন্টে প্রভাব ছড়ানো ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা পুনরাবৃত্ত পাসওয়ার্ড সরিয়ে ফেলা উচিত।

দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু করা বিশেষভাবে অগ্রাধিকার পাবে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট ও প্রশাসনিক প্যানেলে। SMS-ভিত্তিক পরিচয় যাচাইয়ের তুলনায় অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার সিকিউরিটি কি আরও মজবুত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশন পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি YourPartTime অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারেন।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত পাওয়া লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে সাইটে যাওয়া, যাচাই না করে সংযুক্ত ফাইল না খোলা এবং জরুরি পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তা সম্পর্কে সতর্ক থাকা।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত কোনো অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-উপাদানভিত্তিক পরিচয় যাচাই এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও ডেটা সংগ্রহ সীমিত রাখা। প্লেইন টেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশ বিন্যাস ব্যবহারকারীর নিরাপত্তাকে সরাসরি দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ বিন্যাসগুলো ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, এক্সপোর্ট করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, প্রশাসনিক প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক ডেটা ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনা মোকাবিলার পরিকল্পনা নেই, সেখানে ব্যবহারকারীদের জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

বিস্তারিত তথ্যে YourPartTime-কে সরাসরি এমন একটি প্ল্যাটফর্ম হিসেবে উল্লেখ করা হয়েছে যা আর সক্রিয় নেই। বর্তমান পরীক্ষায় নির্ধারিত সময়ের মধ্যে সাড়া না পাওয়ায় রেকর্ডটিকেও আর সক্রিয় নয় বলে চিহ্নিত করা হয়েছে।

চাকরি খোঁজার প্রসঙ্গ থাকায় ভুয়া চাকরির প্রস্তাব, আবেদন যাচাই, বেতনের তথ্য বা নথি চাওয়াকে কেন্দ্র করে তৈরি ফিশিং বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। ব্যক্তিগত নথি চাওয়া হয় এমন বার্তা ব্যবহারকারীদের সতর্কভাবে যাচাই করা উচিত।

এই রেকর্ডে CV, ফোন, ঠিকানা বা কাজের ইতিহাসের ক্ষেত্রগুলো যোগ করা হয়নি, কারণ সেগুলোর পক্ষে সমর্থন নেই। সরাসরি সমর্থিত ক্ষেত্রগুলো শুধু ইমেইল ও প্লেইন টেক্সট পাসওয়ার্ডের মধ্যে সীমিত।

পাসওয়ার্ড প্লেইন টেক্সটে থাকায় ব্যবহারকারীদের সব চাকরি খোঁজার ও ইমেইল অ্যাকাউন্টে পুরোনো পাসওয়ার্ডটি কোথাও ব্যবহার করা হয়েছে কি না, তা খুঁজে দেখা দরকার। একই মূল পাসওয়ার্ড থেকে তৈরি বিভিন্ন সংস্করণও বদলাতে হবে।

YourPartTime-এর যাচাইকৃত লোগোর ছবি ফাইলে ডাউনলোড করা হয়েছে এবং নিবন্ধন পৃষ্ঠাটি ওই লোগোর ছবি ব্যবহার করে প্রদর্শনের ব্যবস্থা করা হয়েছে।

এই রেকর্ডে অযাচাইকৃত ডেটার ধরনগুলো ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। ডেটার শ্রেণির তালিকা দীর্ঘ করার চেয়ে সমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। ডেটা ফাঁসের পৃষ্ঠায় লক্ষ্য ভীতি তৈরি করা নয়, বরং সঠিক পরিধি ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

YourPartTime ডেটা ফাঁস, yourparttime.com ডেটা ফাঁস, YourPartTime পাসওয়ার্ড ফাঁস এবং YourPartTime ব্যবহারকারীর ডেটার মতো বিভিন্ন নামে সরল ও কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয়গুলো ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলোই আক্রমণকারীদের প্রথম লক্ষ্য। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদি ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন সংযোজন রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ অক্ষর যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ডোমেইন নামের সঙ্গে মেলে এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকাকে আরও সমৃদ্ধ করতে পারে।

এ ধরনের ঘটনায় ডেটা সংগ্রহ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতির আওতায় নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল ক্ষেত্রগুলোতে প্রবেশাধিকার সীমিত করা উচিত এবং ডেটা এক্সপোর্টের কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট সুরক্ষিত ও পরিপাটি রাখার কাজগুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে ডেটার শ্রেণিগুলোর সম্ভাব্য ভূমিকা এবং ঘটনাটিতে পুনরায় ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা সংকটজনক হিসেবে নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার নির্দেশ করে না; বরং এটি বোঝায় যে ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া দরকার।

সারসংক্ষেপে, YourPartTime-এর এই রেকর্ডটি 2023 সালের আগস্টে 34,741টি অ্যাকাউন্টকে প্রভাবিত করা একটি স্বতন্ত্র ডেটা ফাঁসের রেকর্ড, যাতে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্র রয়েছে। ব্যবহারকারীদের আলাদা পাসওয়ার্ড ব্যবহার, দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

YourPartTime-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়। তাই একই নামে প্রচলিত তালিকার অস্পষ্ট আইটেমগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারীর সামনে থাকা রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যে সীমিত।

ডেটার শ্রেণিগুলো সহজ ও সীমিত রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ সমর্থনহীন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড ছাড়া অন্য দাবিকে প্রমাণিত ডেটার ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

yourparttime.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদগুলো ব্যবহারকারীরা ভুলে গিয়ে থাকতে পারেন। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহার করা হয়েছে এমন অন্য সেবা খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়াই বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁসের তথ্যের সঙ্গে মিলিত হলে কোনো ব্যক্তির আগ্রহ, দেশ, খাত বা অতীতের সদস্যপদ নেওয়ার ধরন অনুমান করা আক্রমণকারীদের জন্য সহজ হয়ে যায়। তাই একটি ডেটা ফাঁসকে ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপ করার জন্য একটি সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখতে পেলে ব্যবহারকারীর উচিত সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করা: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দিতে হবে, প্রোফাইলের তথ্য ন্যূনতম রাখতে হবে এবং লগইনের বিজ্ঞপ্তি চালু করতে হবে।