“আপনার তথ্য স্ক্র্যাপ করা হয়েছে” (You've Been Scraped) তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগদাতা, ভৌগোলিক অবস্থান, পদবি, নাম এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। একই ব্যক্তির ব্যক্তিগত ইমেইল ঠিকানার সঙ্গে কর্মক্ষেত্রের ইমেইল ঠিকানা যুক্ত করা গেলে আক্রমণকারীরা বুঝতে পারে তিনি কোন প্রতিষ্ঠানের সঙ্গে যুক্ত, কী পদে কাজ করেন এবং তাঁর কোন প্রোফাইলগুলো দেখা যায়। এসব তথ্য একসঙ্গে থাকলে সাধারণ স্প্যামের তুলনায় নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আক্রমণের ঝুঁকি বেশি হয়। কারণ পদ, প্রতিষ্ঠান, অবস্থান ও পেশাগত পটভূমি অনুযায়ী বার্তার বিষয়বস্তু ব্যক্তির উপযোগী করে সাজানো যায়।

পাসওয়ার্ডের তথ্য যাচাই করে নিশ্চিত করা হয়নি বলে এই ঘটনাকে সরাসরি অ্যাকাউন্ট দখলের উপযোগী তালিকা হিসেবে বিবেচনা করা উচিত নয়। তা সত্ত্বেও, ইমেইল ঠিকানা, নিয়োগদাতা, পদবি এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্য অন্য ফাঁসের পাসওয়ার্ড বা ফোনের তথ্যের সঙ্গে মিলিয়ে নেওয়া হলে ঝুঁকি বাড়ে। যাঁরা ব্যক্তিগত অ্যাকাউন্টের মতো একই ইমেইল বিন্যাসে কর্মক্ষেত্রের অ্যাকাউন্ট ব্যবহার করেন, প্রোফাইলে প্রতিষ্ঠানের অভ্যন্তরীণ কাজের বিস্তারিত তথ্য রাখেন বা কর্মক্ষেত্রের যোগাযোগের তালিকা সবার জন্য উন্মুক্ত রাখেন, তাঁরা আরও বিশ্বাসযোগ্য মনে হয় এমন ফিশিং বার্তা পেতে পারেন।

এই বিবরণের পরিসর 5 অক্টোবর 2018 তারিখের ঘটনা এবং ক্ষতিগ্রস্ত 6,61,47,869টি অ্যাকাউন্টের মধ্যে সীমিত। ডেটাসেটের মালিক কে তা যাচাই করা যায়নি বলে ডোমেইনের ঘরটি খালি রাখা হয়েছে। ঘটনাটিকে কোনো নির্দিষ্ট প্রতিষ্ঠানের সিস্টেমে সরাসরি অনুপ্রবেশ হিসেবে উপস্থাপন করা হয়নি। পাওয়া তথ্যগুলোর ধরন পেশাগত সামাজিক যোগাযোগমাধ্যমের প্রোফাইল থেকে সংকলিত তথ্যের মতো। তাই বিবরণে অনিশ্চিত ব্র্যান্ডের উল্লেখের বদলে যাচাইকৃত তথ্যের ধরন এবং ব্যবহারকারীর ওপর প্রভাবকে গুরুত্ব দেওয়া হয়েছে।

পাসওয়ার্ড, অর্থ পরিশোধের তথ্য, সরকারি পরিচয়পত্র, জন্মতারিখ বা স্বাস্থ্যসংক্রান্ত তথ্য যাচাইকৃত তালিকায় যোগ করা হয়নি। নিয়োগদাতা, পদবি এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একা আর্থিক তথ্যের মতো স্পষ্ট ঝুঁকি তৈরি না করলেও এগুলো দীর্ঘস্থায়ী তথ্য, যা কোনো ব্যক্তিকে শনাক্ত করতে এবং তাঁকে লক্ষ্য করে আক্রমণ চালাতে ব্যবহার করা যায়। তাই রেকর্ডটিকে সংবেদনশীল হিসেবে চিহ্নিত করা হয়নি, তবে পেশাগত পরিচয় ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার দিক থেকে এটি ব্যাপক প্রভাবসম্পন্ন তথ্য ফাঁস হিসেবে বিবেচিত।

প্রধানত ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁদের কর্মক্ষেত্রের বা ব্যক্তিগত ইমেইল ঠিকানা পেশাগত প্রোফাইলের তথ্যের সঙ্গে পাওয়া গেছে। মানবসম্পদ, বিক্রয়, অর্থ, ব্যবস্থাপনা, ক্রয়, গণমাধ্যমের সঙ্গে যোগাযোগ এবং প্রযুক্তি বিভাগে কর্মরত ব্যক্তিদের ক্ষেত্রে এ ধরনের তথ্য আক্রমণকারীর জন্য আস্থাজাগানো প্রাথমিক যোগাযোগ স্থাপন করা সহজ করতে পারে। একই ব্যক্তির নিয়োগদাতার নাম, পদবি এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একসঙ্গে থাকলে ভুয়া সভার আমন্ত্রণ, প্রস্তাব, চালান, চুক্তি বা নিয়োগের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে ঝুঁকি শুধু কোনো একজন ব্যবহারকারীর ইমেইল ইনবক্সে সীমাবদ্ধ নয়। উন্মুক্ত হয়ে যাওয়া পেশাগত প্রোফাইলের তথ্য প্রতিষ্ঠানের অভ্যন্তরীণ দায়িত্ব বণ্টন সম্পর্কে ধারণা করতে, সরবরাহ শৃঙ্খলে কাদের সঙ্গে যোগাযোগ করা হবে তা বেছে নিতে বা জ্যেষ্ঠ কর্মীদের পরিচয়ে ভুয়া বার্তা তৈরি করতেও ব্যবহার করা যেতে পারে। তাই ক্ষতিগ্রস্ত ব্যক্তিদের নিজেদের অ্যাকাউন্ট সুরক্ষিত করার পাশাপাশি, প্রতিষ্ঠানের নিরাপত্তা দলগুলোরও কর্মক্ষেত্রের ইমেইলে আসা অস্বাভাবিক লিংক, ফাইল এবং অর্থ পরিশোধের অনুরোধ আরও সতর্কভাবে যাচাই করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের প্রথমে কর্মক্ষেত্রের ও ব্যক্তিগত ইমেইল অ্যাকাউন্টে সেশনের ইতিহাস, ইমেইল ফরওয়ার্ড করার নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা এবং অপ্রত্যাশিত নিরাপত্তা বিজ্ঞপ্তি পরীক্ষা করা উচিত। একই ইমেইল ঠিকানা দিয়ে বিভিন্ন সেবায় ব্যবহৃত পাসওয়ার্ডগুলো প্রতিটি সেবার জন্য আলাদা করা উচিত এবং যেখানে সম্ভব একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। পাসওয়ার্ড এই ঘটনার যাচাইকৃত তথ্যের মধ্যে না থাকলেও, একই ইমেইল ঠিকানা আগের কোনো ফাঁসে পাওয়া গিয়ে থাকলে তা অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা হতে পারে।

পদবি বা নিয়োগদাতার তথ্যের ভিত্তিতে পাঠানো পর্যালোচনা, অর্থ পরিশোধের অনুমোদন বা মানবসম্পদ বিভাগের ফর্মের মতো নথি, ভুয়া সভার আমন্ত্রণ এবং প্রোফাইল হালনাগাদের বার্তা অন্য একটি যোগাযোগমাধ্যমে যাচাই করা উচিত। সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে সবার জন্য উন্মুক্ত ইমেইল, ফোন, জন্মদিন, কর্মজীবনের ইতিহাস এবং যোগাযোগের তালিকার মতো তথ্য কমিয়ে আনা উচিত। অপরিচিত ব্যক্তিদের সংযোগের অনুরোধ সতর্কভাবে পরীক্ষা করা উচিত। প্রতিষ্ঠানের অ্যাকাউন্ট ব্যবহারকারীদের সন্দেহজনক বার্তা নিরাপত্তা দলকে জানানো উচিত এবং সঙ্গে আসা অতিরিক্ত ফাইল সরাসরি খোলা উচিত নয়।

পেশাগত প্রোফাইলের স্থায়ী তথ্য একবার ফাঁস হয়ে গেলে তা ফিরিয়ে নেওয়া সম্ভব নয়। তাই দীর্ঘমেয়াদি সুরক্ষার ভিত্তি হওয়া উচিত তথ্যের দৃশ্যমানতা কমানো এবং অ্যাকাউন্টগুলো আলাদা রাখা। ব্যবহারকারীদের ব্যক্তিগত সাবস্ক্রিপশনের জন্য কর্মক্ষেত্রের ইমেইল ব্যবহার করা উচিত নয়, সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে অপ্রয়োজনীয় যোগাযোগের তথ্য সীমিত রাখা উচিত এবং পুরোনো অ্যাকাউন্ট বন্ধ করা উচিত। পাসওয়ার্ড ম্যানেজার, প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড, একাধিক উপাদানভিত্তিক পরিচয় যাচাই এবং নিয়মিত অ্যাকাউন্টের নিরাপত্তা পরীক্ষা হলো এ ধরনের ডেটাসেট অন্য আক্রমণের সঙ্গে মিলিয়ে ব্যবহারের বিরুদ্ধে মৌলিক প্রতিরক্ষা।

সবার জন্য উন্মুক্ত বিভিন্ন মাধ্যমে কর্মীদের দায়িত্বসংক্রান্ত কতটা তথ্য দেখা যাচ্ছে, প্রতিষ্ঠানগুলোর তা নিয়মিত পর্যালোচনা করা উচিত। ভুয়া নিয়োগ ও সরবরাহকারীর পরিচয়ে পাঠানো বার্তা সম্পর্কে সচেতনতার প্রশিক্ষণ হালনাগাদ রাখা এবং উচ্চঝুঁকির কাজে অতিরিক্ত অনুমোদনের ব্যবস্থা ব্যবহার করা উচিত। ইমেইলের নিরাপত্তা, ডোমেইন যাচাইয়ের রেকর্ড, ফিশিং জানানোর মাধ্যম এবং সরবরাহকারীকে অর্থ পরিশোধের তথ্য পরিবর্তনের নিয়ন্ত্রণ জোরদার করা হলে পেশাগত প্রোফাইলের তথ্যের ওপর ভিত্তি করে চালানো আক্রমণের প্রভাব উল্লেখযোগ্যভাবে কমে যায়।

আপনি যদি আপনার তথ্যের সঙ্গে মিল দেখতে পান, তাহলে কোন কোন তথ্য দেখা যাচ্ছে তা আলাদাভাবে মূল্যায়ন করুন। ইমেইল ঠিকানা যোগাযোগ ও পাসওয়ার্ড দিয়ে প্রবেশের প্রচেষ্টায়, নিয়োগদাতা ও পদবি ভুয়া চাকরিসংক্রান্ত বার্তায় এবং অবস্থান ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একই ব্যক্তির পরিচয়ের বিভিন্ন তথ্য একসঙ্গে মেলাতে ব্যবহার করা যেতে পারে। অগ্রাধিকারের ক্রম হওয়া উচিত: ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, একাধিক সেবায় ব্যবহৃত একই পাসওয়ার্ড বদলানো, সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের দৃশ্যমানতা কমানো এবং সন্দেহজনক কর্মসংক্রান্ত বার্তা যাচাই করা।

‘আপনার তথ্য স্ক্র্যাপ করা হয়েছে’ ঘটনাটি প্রচলিত ধরনের পাসওয়ার্ড ফাঁস না হলেও এটি বড় আকারের তথ্য ফাঁস, যা পেশাগত পরিচয় উন্মুক্ত করে দেয়। কোনো ব্যক্তির নাম, কাজের তথ্য এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একসঙ্গে পাওয়া গেলে আক্রমণকারীর পক্ষে বিশ্বাসযোগ্য মনে হয় এমন বার্তা তৈরি করা সহজ হয়। তাই ক্ষতিগ্রস্ত ব্যবহারকারীদের শুধু পাসওয়ার্ডের নিরাপত্তা নয়, কর্মক্ষেত্রের যোগাযোগ, প্রোফাইলের গোপনীয়তা, সামাজিক প্রকৌশল সম্পর্কে সতর্কতা এবং প্রতিষ্ঠানের যাচাইয়ের ধাপগুলোর দিকেও মনোযোগ দেওয়া উচিত।