Zoomcar: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নামসংক্রান্ত তথ্য, ফোন নম্বর এবং পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটিকে bcrypt হ্যাশ আকারে সংরক্ষিত পাসওয়ার্ডের তথ্য হিসেবে বিবেচনা করতে হবে, সরাসরি পাঠযোগ্য পাসওয়ার্ড হিসেবে নয়। bcrypt পাসওয়ার্ড সংরক্ষণের একটি শক্তিশালী পদ্ধতি হলেও দুর্বল বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডের ঝুঁকি পুরোপুরি দূর হয় না। ইমেইল, যাতায়াত, পেমেন্ট, সামাজিক যোগাযোগমাধ্যম বা কর্মক্ষেত্রের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা স্বয়ংক্রিয়ভাবে সেসব অ্যাকাউন্টে লগইন করার চেষ্টা করতে পারে।

নাম, ফোন নম্বর ও ইমেইলের সমন্বয় নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং করার জন্য যথেষ্ট প্রাসঙ্গিক তথ্য দেয়। কোনো ব্যক্তির সঙ্গে গাড়ি ভাড়া সেবার সম্পর্ক জানা থাকলে ভুয়া বুকিং, পেমেন্ট নিশ্চিতকরণ, গাড়ি চালানোর নথি, নিরাপত্তা বিজ্ঞপ্তি বা সহায়তার অনুরোধসংক্রান্ত বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। শুধু একটি IP ঠিকানা অবস্থানের চূড়ান্ত প্রমাণ নয়; তবে অ্যাকাউন্টের কার্যক্রমের সঙ্গে মিলিয়ে দেখলে এটি আরও সূত্র দেয়। এই 2018 সালের রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে বাসা বা অফিসের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, ড্রাইভিং লাইসেন্সের ছবি, গাড়ির নিবন্ধনপত্র বা ভ্রমণের ইতিহাস নেই।

Zoomcar-এর ঘটনাটির ক্ষেত্রে LeakData-তে পরিসর 35,89,795টি স্বতন্ত্র ইমেইল অ্যাকাউন্ট হিসেবেই রাখতে হবে। তথ্য ফাঁসের তারিখ 1 জুলাই 2018 হিসেবে রাখতে হবে এবং রেকর্ড যুক্ত করার যাচাইকৃত তারিখ 5 জুন 2020 হিসেবে নথিভুক্ত করতে হবে। অন্যান্য সংবাদে বা ভিন্ন বছরের Zoomcar-এর ঘটনায় উল্লেখ করা সংখ্যা ও তথ্যের ক্ষেত্র এই 2018 সালের রেকর্ডে যোগ করা উচিত নয়। এই পার্থক্য বিশেষভাবে গুরুত্বপূর্ণ; একই ব্র্যান্ডের ক্ষেত্রে ভিন্ন তারিখে আলাদা ঘটনা ঘটতে পারে, কিন্তু প্রতিটি ঘটনাকে তার নিজস্ব যাচাইকৃত তারিখ ও তথ্যের ধরন অনুযায়ী মূল্যায়ন করতে হবে।

এই রেকর্ডের যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম, পাসওয়ার্ড এবং ফোন নম্বর। পাসওয়ার্ডের বিবরণে এটিকে bcrypt হ্যাশ আকারে সংরক্ষিত বলে উল্লেখ করতে হবে, সরাসরি পাঠযোগ্য পাসওয়ার্ড হিসেবে বর্ণনা করা যাবে না। এই ঘটনায় ফাঁস হওয়া বলে প্রমাণিত তথ্যের ক্ষেত্রগুলোর মধ্যে পেমেন্টের তথ্য, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ড্রাইভিং লাইসেন্সের ফাইল, গাড়ির নিবন্ধন নম্বর, বাসা বা অফিসের ঠিকানা কিংবা তাৎক্ষণিক অবস্থানের ইতিহাস অন্তর্ভুক্ত করা উচিত নয়। ব্যবহারকারীকে এই সীমা স্পষ্ট করে জানালে অযথা আতঙ্ক কমে এবং প্রয়োজনীয় নিরাপত্তা পদক্ষেপে মনোযোগ রাখা যায়।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা Zoomcar অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। ইমেইল ঠিকানা ও ফোন নম্বর দুটোই পাওয়া গেলে আক্রমণকারীরা ইমেইল এবং SMS, উভয় মাধ্যমে সহায়তা, বুকিং, প্রচারমূলক অফার বা বকেয়া পাওনাসংক্রান্ত ভুয়া বিজ্ঞপ্তি পাঠাতে পারে। নামসংক্রান্ত তথ্য দিয়ে বার্তাগুলো ব্যক্তিকেন্দ্রিক করা যায়; অন্যদিকে, IP ঠিকানা অ্যাকাউন্টের প্রযুক্তিগত প্রেক্ষাপট সম্পর্কে আরও সূত্র দিতে পারে। তাই পুরোনো গাড়ি ভাড়ার অ্যাকাউন্ট বর্তমানে সক্রিয় ইমেইল ও মোবাইল অ্যাকাউন্টের নিরাপত্তাকেও প্রভাবিত করতে পারে।

যাঁরা কর্পোরেট ইমেইল ঠিকানা দিয়ে Zoomcar ব্যবহার করেন, তাঁরা ভ্রমণ ও গাড়িবহর পরিচালনাসংক্রান্ত সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টায় তুলনামূলকভাবে বেশি ঝুঁকিতে থাকতে পারেন। যাঁরা ব্যক্তিগত ইমেইল ঠিকানা দিয়ে অ্যাকাউন্ট তৈরি করেন, তাঁদের ক্ষেত্রে একই পাসওয়ার্ড পুনর্ব্যবহার, ভুয়া ডেলিভারি বা ভুয়া বুকিংয়ের বার্তাসংক্রান্ত ঝুঁকি বেশি প্রাসঙ্গিক। ফোন নম্বরও এই তথ্যে থাকায় SIM অদলবদল, সহায়তার নামে ভুয়া ফোনকল এবং যাচাইকরণ কোড চেয়ে নেওয়ার চেষ্টা সম্পর্কে সতর্ক থাকা উচিত। আপনার তথ্যের মিল পাওয়া গেলে, পুরোনো অ্যাকাউন্টটি আর ব্যবহার করেন না, শুধু এই কারণে নিজেকে যথেষ্ট সুরক্ষিত ভাবা উচিত নয়।

আপনার ইমেইল ঠিকানা Zoomcar-এর তথ্যে থাকলে প্রথমেই নিশ্চিত করতে হবে, Zoomcar অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড দিয়ে অন্য কোনো অ্যাকাউন্টে আর প্রবেশ করা যাচ্ছে না। ইমেইল, ব্যাংকিং, সামাজিক যোগাযোগমাধ্যম, যাতায়াত, কেনাকাটা বা কর্মক্ষেত্রের অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড নির্ধারণ করতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি কমে। পাসওয়ার্ডের সামান্য অংশ বদলানো বা শেষে একটি তারিখ যোগ করা যথেষ্ট নয়; পুরোনো ধরনটি পুরোপুরি বাদ দিতে হবে।

আপনার ইমেইল অ্যাকাউন্ট ও ফোন নম্বরের সঙ্গে যুক্ত সেবাগুলোতে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। বুকিং, পেমেন্ট, ক্ষয়ক্ষতির ফি, গাড়ি চালানোর নথি বা অ্যাকাউন্টের নিরাপত্তা নিয়ে অপ্রত্যাশিত কোনো বার্তা পেলে লিংকে ক্লিক না করে সরাসরি অফিসিয়াল অ্যাপ বা ওয়েবসাইট ব্যবহার করুন। SMS-এর মাধ্যমে পাওয়া যাচাইকরণ কোড কাউকে দেবেন না। সন্দেহজনক কোনো সেশন, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের অনুরোধ বা অপরিচিত ডিভাইসের বিজ্ঞপ্তি দেখলে সেশনগুলো বন্ধ করতে হবে, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করতে হবে এবং একই ইমেইল দিয়ে খোলা অন্যান্য যাতায়াত সেবার অ্যাকাউন্ট পরীক্ষা করতে হবে।

Zoomcar-এর তথ্য ফাঁস দেখায় যে যাতায়াত ও গাড়ি ভাড়ার অ্যাকাউন্টেও পরিচয়সংক্রান্ত প্রধান অ্যাকাউন্টগুলোর মতোই সুরক্ষা প্রয়োজন। ব্যক্তিগত, কর্মক্ষেত্রের, আর্থিক, যাতায়াত এবং সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা থেকে বিরত থাকা উচিত। ফোন নম্বর ও ইমেইল ঠিকানা বহু বছর অপরিবর্তিত থাকে বলে পুরোনো ফাঁস হওয়া তথ্য নতুন ফিশিং অভিযানে আবার কাজে লাগতে পারে। অব্যবহৃত যাতায়াত সেবার অ্যাকাউন্ট বন্ধ করা উচিত, অথবা সেগুলোকে স্বতন্ত্র পাসওয়ার্ড ও বহু-উপাদানভিত্তিক পরিচয় যাচাইয়ের সুরক্ষা দিয়ে আলাদা রাখা উচিত।

সেবাদাতাদের জন্য মূল শিক্ষা হলো শক্তিশালী পদ্ধতিতে পাসওয়ার্ড হ্যাশ সুরক্ষিত রাখা, নিয়মিত প্রবেশের লগ নিরীক্ষা করা, অপ্রয়োজনীয় ব্যক্তিগত তথ্যের ক্ষেত্র কমিয়ে আনা এবং দেরি না করে তথ্য ফাঁসের বিজ্ঞপ্তি দেওয়া। গাড়ি শেয়ারিং সেবায় পেমেন্ট, পরিচয় ও গাড়ির নথির মতো আরও সংবেদনশীল তথ্য থাকতে পারে বলে ঘটনার প্রতিবেদনে কোন তথ্য প্রভাবিত হয়েছে এবং কোনটি হয়নি, তা স্পষ্টভাবে আলাদা করতে হবে। Zoomcar-এর এই 2018 সালের ঘটনায় ঝুঁকিসংক্রান্ত যোগাযোগের মূল বিষয় হওয়া উচিত অ্যাকাউন্টের নিরাপত্তা, ফোনভিত্তিক প্রতারণা এবং ফিশিং।

Zoomcar-এর তথ্য ফাঁসের রেকর্ড যাচাই করলে দেখা যায়, দেওয়া ইমেইল ঠিকানাটি এই যাচাইকৃত তথ্যসমষ্টিতে আছে কি না। ফলাফলে মিল পাওয়া গেলে ইমেইল ঠিকানা, IP ঠিকানা, নামসংক্রান্ত তথ্য, ফোন নম্বর এবং bcrypt পাসওয়ার্ড হ্যাশকে ঝুঁকিতে আছে বলে বিবেচনা করতে হবে। মিল না পাওয়ার অর্থ শুধু এই নির্দিষ্ট তথ্যসমষ্টিতে কোনো মিল পাওয়া যায়নি; এটি প্রমাণ করে না যে ওই ব্যক্তির তথ্য Zoomcar-এর অন্য কোনো ঘটনায় বা অন্যান্য যাতায়াত সেবার তথ্য ফাঁসে ছিল না। সঠিক তারিখ বজায় রাখলে পুরোনো ঘটনা ও ভিন্ন বছরের বিবৃতির মধ্যে বিভ্রান্তি এড়ানো যায়।

সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড পুরোপুরি বাদ দেওয়া, অন্য অ্যাকাউন্টে পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলানো, ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাইয়ের সুরক্ষা চালু করা এবং ফোন নম্বরে আসা সহায়তা বা বুকিংসংক্রান্ত ভুয়া বার্তা সম্পর্কে সতর্ক থাকা। একই ইমেইল ও ফোন নম্বর দিয়ে খোলা যাতায়াত, গাড়ি ভাড়া, পেমেন্ট এবং সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত। এভাবে 2018 সালের তথ্য ফাঁস থেকে বর্তমানে অ্যাকাউন্ট দখল, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং বা ফোনভিত্তিক প্রতারণার ঝুঁকি কমানো যায়।