জাপানে সম্ভাব্য তথ্য ফাঁসের সংখ্যা ১৬ কোটি ৫০ লাখ ছাড়িয়েছে, কোম্পানিগুলোর তথ্যে উঠে এসেছে আরও বিস্তৃত সাইবার হামলা

দৈনন্দিন নানা সেবায় কোটি কোটি রেকর্ড ফাঁস

নিরাপত্তা কোম্পানি ম্যাকনিক্যার হিসাব অনুযায়ী, ২০২৬ সালে জাপানে অননুমোদিত প্রবেশের মাধ্যমে সম্ভাব্য ফাঁস হওয়া ব্যক্তিগত তথ্যের রেকর্ড ১৬ কোটি ৫০ লাখ ছাড়িয়েছে। রেলভ্রমণ, কেনাকাটা, কারাওকে, সফটওয়্যার, পার্সেল ডেলিভারি ও গাড়ি ভাগাভাগির সেবায় এসব তথ্য ফাঁসের ঘটনা ঘটেছে। এর মধ্যে এমন মানুষের তথ্যও রয়েছে, যাঁরা আগেই তাঁদের অ্যাকাউন্ট বন্ধ করেছিলেন।

শুধু সোর্সনেক্সটই ১৫ অক্টোবর জানায়, তাদের ২ কোটি ২৫ লাখ ১৯ হাজার ৯৬০টি গ্রাহক রেকর্ড ফাঁস হয়ে থাকতে পারে। স্কাইটিকেট ভ্রমণ বুকিং ওয়েবসাইট পরিচালনাকারী অ্যাডভেঞ্চার প্রায় ১ কোটি ৪৬ লাখ ৪০ হাজার রেকর্ড জড়িত থাকতে পারে এমন একটি তথ্যভেদের কথা জানায়। পরে ইয়ামাতো ট্রান্সপোর্ট তাদের বিলম্বিত পরিশোধ সেবার সঙ্গে যুক্ত ৫৩ লাখ ১০ হাজার ক্ষতিগ্রস্ত রেকর্ড শনাক্ত করে।

১৬ কোটি ৫০ লাখের হিসাবটি বিভিন্ন ঘটনায় সম্ভাব্যভাবে ফাঁস হওয়া ব্যক্তিগত তথ্যের মোট সংখ্যা। তাই এক ব্যক্তির তথ্য একাধিক ক্ষতিগ্রস্ত সেবায় থাকলে তাঁকে একাধিকবার গণনা করা হতে পারে। এ মোট হিসাবে সম্ভাব্য তথ্য ফাঁসের পাশাপাশি কোম্পানিগুলোর শনাক্ত করা আপসকৃত তথ্যও রয়েছে।

ওয়েবসাইটে নির্দিষ্ট ধরনের তথ্যভেদের ঘটনা নিয়ে ম্যাকনিক্যার আরও বিস্তারিত তদন্তে দেখা গেছে, ৬ অক্টোবর পর্যন্ত ১১৯টি ঘটনার তথ্য প্রকাশ করা হয়েছে। ২০২৫ সালে পুরো বছরজুড়ে নথিভুক্ত ৮৪টি ঘটনার চেয়ে এ সংখ্যা ইতিমধ্যেই বেশি। ১১৯টি ঘটনার মধ্যে ৮১টির তথ্য প্রকাশ করা হয়েছে জুলাই থেকে।

জাপানের তথ্যপ্রযুক্তি উন্নয়ন সংস্থা, যা আইপিএ নামে পরিচিত, ৯ অক্টোবর জরুরি সতর্কতা জারি করে কোম্পানির নেতাদের ইন্টারনেটসেবা, অ্যাকাউন্ট ও সংরক্ষিত তথ্য যাচাই করার আহ্বান জানিয়েছে। তাদের পরামর্শে তাৎক্ষণিক দুটি কাজের ওপর গুরুত্ব দেওয়া হয়েছে: অনুপ্রবেশকারীদের খুঁজে বের করা এবং তারা যে পরিমাণ ব্যক্তিগত তথ্য চুরি করতে পারে, তা কমানো।

গ্রাহকদের ওপর প্রভাব নির্ভর করছে প্রতিটি সেবায় কী ধরনের তথ্য ছিল তার ওপর। কিছু ক্ষতিগ্রস্ত ডেটাবেইসে যোগাযোগের তথ্য ছিল। অন্যগুলোতে সম্ভাব্যভাবে পাসওয়ার্ড, ক্রেডিট কার্ডের তথ্য বা পরিচয়পত্রের ছবি ছিল। এসব তথ্য প্রকাশের ঘটনাও দেখায়, কোনো ঠিকাদারি প্রতিষ্ঠানে হামলা হলে একসঙ্গে একাধিক ব্যবসার গ্রাহক কীভাবে ক্ষতিগ্রস্ত হতে পারেন।

ম্যাকনিক্যা কী হিসাব করেছে, আর এই বৃদ্ধি কেন গুরুত্বপূর্ণ

ম্যাকনিক্যার ওয়েবসাইটে তথ্যভেদবিষয়ক বিশ্লেষণে ২০২৪ সালের জানুয়ারি থেকে ২০২৬ সালের ৬ অক্টোবর পর্যন্ত দেশের বিভিন্ন প্রতিষ্ঠানের প্রকাশ করা ২৬৫টি ঘটনার তথ্য পরীক্ষা করা হয়েছে। বছরে প্রকাশিত ঘটনার সংখ্যা ২০২৪ সালে ৬২, ২০২৫ সালে ৮৪ এবং ২০২৬ সালের অসম্পূর্ণ সময়কালে ১১৯টিতে দাঁড়িয়েছে।

২০২৬ সালের সংখ্যা আগের পুরো বছরের চেয়ে ইতিমধ্যেই ৩৫টি বা প্রায় ৪২ শতাংশ বেশি। জুলাই থেকে প্রকাশিত ৮১টি ঘটনা এ বছরের মোট সংখ্যার প্রায় ৬৮ শতাংশ এবং পরীক্ষা করা ২৬৫টি ঘটনার প্রায় ৩১ শতাংশ।

ম্যাকনিক্যার সিকিউরিটি রিসার্চ সেন্টারের ইউতাকা সেজিয়ামা প্রকাশ্য তথ্য বিশ্লেষণটি তৈরি করেছেন। হামলা বিশ্লেষণে অবদান রেখেছেন ইতোচু সাইবার অ্যান্ড ইন্টেলিজেন্সের মোটোহিকো সাতো এবং সিকিউর স্কাই টেকনোলজির প্রধান প্রযুক্তি কর্মকর্তা ইয়োসুকে হাসেগাওয়া।

গবেষকেরা তাঁদের বিবেচনায় একই ধরনের বৈশিষ্ট্যসম্পন্ন ঘটনাগুলো বেছে নিয়েছেন। তাঁদের ডেটাসেটে র‍্যানসমওয়্যার এবং কিছু অন্যান্য হামলার ধরন অন্তর্ভুক্ত নয়। এর মধ্যে অন্য সেবা থেকে চুরি করা পাসওয়ার্ড ব্যবহার করে গ্রাহকের অ্যাকাউন্টে প্রবেশের চেষ্টাও রয়েছে। একই ঠিকাদারি প্রতিষ্ঠানে একটি ঘটনায় ক্ষতিগ্রস্ত একাধিক গ্রাহক প্রতিষ্ঠান তথ্য প্রকাশ করলে গবেষকেরা ঠিকাদারকে ঘিরে ঘটনাটি একবারই গণনা করেছেন।

নিচে বর্ণিত কোম্পানিগুলোর বিস্তৃত তথ্য প্রকাশের তালিকায় র‍্যানসমওয়্যার হামলার ঘটনাও রয়েছে। তাই পাঠকদের দুটি হিসাব আলাদা করে দেখতে হবে: সম্ভাব্যভাবে ফাঁস হওয়া গ্রাহক-তথ্যের পরিমাণ এবং ম্যাকনিক্যার প্রযুক্তিগত তদন্তে নথিভুক্ত নির্বাচিত ওয়েবসাইট-সংক্রান্ত ঘটনার সংখ্যা।

কোন কোম্পানিগুলো সবচেয়ে বড় তথ্য ফাঁসের কথা জানিয়েছে?

সোর্সনেক্সট জানিয়েছে, সম্ভাব্যভাবে ক্ষতিগ্রস্ত তথ্যের মধ্যে নাম, ঠিকানা, টেলিফোন নম্বর, কর্মস্থল, ইমেইল ঠিকানা ও পাসওয়ার্ড রয়েছে। সফটওয়্যার কোম্পানিটি ১৩ অক্টোবর তাদের সদস্য-তথ্য ব্যবস্থায় অননুমোদিত প্রবেশ শনাক্ত করে এবং দুই দিন পর সম্ভাব্য তথ্য ফাঁসের কথা জানায়।

অ্যাডভেঞ্চার জানায়, স্কাইটিকেটের সার্ভার ও ব্যবসা ব্যবস্থাপনা ব্যবস্থায় হামলা হয়েছে। এতে প্রায় ১ কোটি ৪৬ লাখ ৪০ হাজার ব্যক্তিগত তথ্যের রেকর্ড ক্ষতিগ্রস্ত হয়ে থাকতে পারে। কোম্পানিটি বলেছে, ক্রেডিট কার্ড ও পাসপোর্ট নম্বর ফাঁস হয়নি।

বিগ ইকো কারাওকে চেইনের পরিচালনাকারী ডাইইচিকোশো জানায়, বাইরের এক ঠিকাদারের ব্যবস্থাপনায় থাকা সিস্টেমের মাধ্যমে প্রায় ৮৭ লাখ ২০ হাজার ব্যক্তিগত রেকর্ড ফাঁস হয়ে থাকতে পারে। আউটসোর্সিং কোম্পানিতে ম্যালওয়্যারের সংক্রমণ থেকে এ ঘটনা ঘটে।

জেআর ইস্ট জানিয়েছে, প্রায় ৬০ লাখ ৯০ হাজার গ্রাহক অ্যাকাউন্টের তথ্য আপসকৃত হয়ে থাকতে পারে। জেআর কিউশু তাদের সম্ভাব্য ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা প্রায় ১৩ লাখ বলে জানিয়েছে। দুটি কোম্পানিই তাদের তথ্যভেদকে সফটব্যাংকের ক্লাউড সেবা সহযোগী প্রতিষ্ঠান আইডিসি ফ্রন্টিয়ারে র‍্যানসমওয়্যার হামলার সঙ্গে যুক্ত করেছে। তাদের প্রকাশিত হিসাব মিলিয়ে মোট প্রায় ৭৩ লাখ ৯০ হাজার অ্যাকাউন্ট হয়।

বুকঅফ গ্রুপ হোল্ডিংসের সদস্য-তথ্য ব্যবস্থাপনাকারী সহযোগী প্রতিষ্ঠানে অননুমোদিত প্রবেশের পর কোম্পানিটি প্রথমে জানায়, সর্বোচ্চ ৬৪ লাখ ৩০ হাজার গ্রাহকের তথ্য ফাঁস হয়ে থাকতে পারে। পরে প্রকাশিত বিবরণে ফাঁস হওয়া তথ্যের সংখ্যা প্রায় ৬৩ লাখ ৮০ হাজার বলে উল্লেখ করা হয়। এর মধ্যে সাবেক সদস্য প্রায় ২ লাখ ১০ হাজার।

লসন জানায়, ২১ লাখ ৫০ হাজারের বেশি গ্রাহক রেকর্ডে অননুমোদিত প্রবেশ ঘটেছে। এতে সম্ভাব্যভাবে নাম, ইমেইল ঠিকানা ও ক্রেডিট কার্ডের তথ্য রয়েছে। নিউজপিক্স পরিচালনাকারী উজাবেস জানায়, একটি ব্যবস্থাপনা টুলে অননুমোদিত প্রবেশের মাধ্যমে কিছু ব্যবহারকারীর তথ্য ফাঁস হয়ে থাকতে পারে।

লসন, ডাইইচিকোশো ও উজাবেস জানিয়েছে, তাদের ঘোষণার সময় পর্যন্ত তথ্যের কোনো অবৈধ ব্যবহার নিশ্চিত হয়নি। রেল পরিচালনাকারী প্রতিষ্ঠান, বুকঅফ ও অ্যাডভেঞ্চারও তৃতীয় পক্ষের অপব্যবহারের প্রমাণ পায়নি বলে জানিয়েছে এবং গ্রাহকদের সন্দেহজনক ইমেইল ও টেলিফোন কলের বিষয়ে সতর্ক থাকতে বলেছে।

ডেলিভারির রেকর্ড, উন্নয়ন সরঞ্জাম ও শিক্ষাপ্রতিষ্ঠান ক্ষতিগ্রস্ত

ইয়ামাতো ট্রান্সপোর্ট ১৬ অক্টোবর জানায়, তাদের বিলম্বিত পরিশোধ সেবার কিছু ব্যবহারকারীর ৫৩ লাখ ১০ হাজার ব্যক্তিগত তথ্যের রেকর্ড আপসকৃত হয়েছে। কোম্পানিটি প্রথম তথ্যভেদের কথা জানায় ২৯ সেপ্টেম্বর।

ক্ষতিগ্রস্ত তথ্যে নাম, ঠিকানা ও টেলিফোন নম্বর ছিল। ২০১৮ সালের ১ অক্টোবর থেকে প্রায় আট বছর ধরে এসব তথ্য সংগ্রহ করা হয়েছিল। দীর্ঘ সংগ্রহকাল দেখায়, একটি অনুপ্রবেশে বহু বছরের গ্রাহক কর্মকাণ্ড থেকে জমা হওয়া তথ্য ফাঁস হতে পারে।

সিস্টেম উন্নয়নে ব্যবহৃত একটি ক্লাউড সেবায় অননুমোদিত প্রবেশের পর নিক্কেই ইনকরপোরেটেড প্রায় ১৮ লাখ ৩০ হাজার আপসকৃত রেকর্ডের কথা জানায়। এর মধ্যে নাম, ঠিকানা ও ইমেইল ঠিকানা ছিল। সফটওয়্যার তৈরি বা রক্ষণাবেক্ষণে উন্নয়নসেবা ব্যবহৃত হয়। ফলে কোম্পানির প্রযুক্তি ব্যবস্থার আরেকটি অংশও হামলাকারীদের নাগালে আসতে পারে।

জাপানের শিক্ষা মন্ত্রণালয়ও জানিয়েছে, সর্বশেষ তথ্য প্রকাশের আগের বৃহস্পতিবার থেকে সেপ্টেম্বরের শেষ পর্যন্ত আটটি শিক্ষাপ্রতিষ্ঠান, যাদের অধিকাংশই বিশ্ববিদ্যালয়, তথ্যভেদের কথা জানিয়েছে। ম্যাকনিক্যার তদন্তে ক্ষতিগ্রস্ত সেবার মধ্যে লাইব্রেরির বইয়ের তালিকা অনুসন্ধান, পর্যটন ট্রেনের আসন সংরক্ষণ, বিশ্ববিদ্যালয়ের আবাসন বুকিং ও টিকিট ফেরত ব্যবস্থাপনার মতো নানা সেবা পাওয়া গেছে।

তথ্য প্রকাশের ঘটনাগুলো যেভাবে সামনে এসেছে

তথ্যে ঠিক কতটা ক্ষতি হয়েছে তা নির্ধারণে তদন্ত চলার মধ্যেই কয়েক সপ্তাহের ব্যবধানে একাধিক ঘটনা প্রকাশ্যে আসে। অনুপ্রবেশ ও প্রতিক্রিয়ার সময় সম্পর্কে সোর্সনেক্সটের বিবরণে বিশেষভাবে নির্দিষ্ট তথ্য রয়েছে।

• ২৯ সেপ্টেম্বর: ইয়ামাতো ট্রান্সপোর্ট প্রথম তথ্যভেদের কথা জানায়। পার্ক২৪ সেপ্টেম্বরের শেষ দিকে তাদের গাড়ি ভাগাভাগির সেবায় তথ্যভেদের কথা জানায়।
• ৬ অক্টোবর: ম্যাকনিক্যার গবেষণার হিসাবের শেষ তারিখ পর্যন্ত ২০২৬ সালে নির্বাচিত ওয়েবসাইটে তথ্যভেদের ১১৯টি ঘটনার কথা প্রকাশিত হয়।
• ৮ অক্টোবর: জাপানের কম্পিউটার নিরাপত্তা ঘটনা মোকাবিলা সংস্থা জেপিসিইআরটি/সিসির একটি সংশ্লিষ্ট সতর্কতার উল্লেখ ম্যাকনিকা যুক্ত করে।
• ৯ অক্টোবর: আইপিএ জরুরি পরিদর্শনসংক্রান্ত পরামর্শ জারি করে। জেআর ইস্ট, বুকঅফ, ডাইইচিকোশো ও অ্যাডভেঞ্চারসহ কয়েকটি কোম্পানির তথ্যও সেদিন প্রকাশ্যে আসে। পরে সোর্সনেক্সট জানায়, তাদের সিস্টেমে অনুপ্রবেশ শুরু হয়েছিল ৯ অক্টোবর সকাল প্রায় ১০টার দিকে।
• ১৩ অক্টোবর: সোর্সনেক্সট সকাল প্রায় ৯টায় অননুমোদিত প্রবেশ শনাক্ত করে এবং সেদিন বিকেলের মধ্যে তা ঠেকাতে জরুরি পদক্ষেপ নেয়।
• ১৫ অক্টোবর: সোর্সনেক্সট সম্ভাব্যভাবে ক্ষতিগ্রস্ত ২ কোটি ২৫ লাখ ১৯ হাজার ৯৬০টি রেকর্ডের কথা জানায়।
• ১৬ অক্টোবর: ইয়ামাতো তাদের ক্ষতিগ্রস্ত ৫৩ লাখ ১০ হাজার রেকর্ডের বিস্তারিত জানায়, নিক্কেই তথ্যভেদের কথা প্রকাশ করে এবং পার্ক২৪ জানায়, অক্টোবরের শেষ নাগাদ পরিচয়পত্রের ছবি মুছে ফেলার কাজ শেষ করার পরিকল্পনা রয়েছে।

সোর্সনেক্সটের সময়রেখা অনুযায়ী, শনাক্ত হওয়ার প্রায় চার দিন আগে অননুমোদিত প্রবেশ শুরু হয়েছিল। আইপিএর নির্দেশনায় সাম্প্রতিক কার্যকলাপ পরীক্ষা করে এরপর অনুসন্ধানের সময় আরও পেছনে বাড়ানোর কথা বলা হয়েছে। সতর্কসংকেত পাওয়ার আগেই কী ঘটেছিল, তা পুনর্গঠনের প্রয়োজনের সঙ্গে এ পরামর্শ সরাসরি সম্পর্কিত।

হামলাকারীরা পুরো সেবাজুড়ে দুর্বলতা খুঁজেছে

ম্যাকনিক্যার প্রযুক্তিগত বিশ্লেষণে দেখা গেছে, হামলাকারীরা একেকটি ওয়েবসাইট এবং সেসবের অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস বা এপিআই পরীক্ষা করেছে। এপিআই হলো এমন একটি মাধ্যম, যার সাহায্যে অ্যাপ বা ওয়েবসাইট অন্য একটি সিস্টেমের কাছে তথ্য চায় বা কোনো কাজ করার নির্দেশ দেয়।

তদন্তকারীরা এমন দুর্বলতা দেখেছেন, যার মধ্যে রয়েছে এপিআইয়ের প্রয়োজনের চেয়ে বেশি তথ্য ফেরত দেওয়া, অতিরিক্ত অনুমতিসম্পন্ন ফাংশন এবং সদস্যদের জন্য তৈরি সুবিধা নাম-পরিচয় গোপন রাখা দর্শনার্থীদের জন্যও উন্মুক্ত থাকা। লগইন সেশন, প্রক্রিয়াকরণের নিয়ম এবং প্রবেশাধিকার নির্ধারণের সেটিংসেও সমস্যা ছিল।

কিছু হামলাকারী এপিআই কী বের করতে মোবাইল অ্যাপ পরীক্ষা করেছে। সেবার সঙ্গে যোগাযোগের সময় ব্যবহৃত পরিচয় যাচাইয়ের তথ্য হলো এই কী। পরে তারা সাধারণ ট্রাফিকের মতো দেখতে অনুরোধ পাঠাতে এগুলো ব্যবহার করেছে। গবেষকেরা দুর্বল প্রশাসক পাসওয়ার্ড এবং পরিচিত সফটওয়্যার দুর্বলতার সুযোগ নেওয়ার ঘটনাও দেখেছেন।

বাস্তবে চ্যালেঞ্জটি শুধু একটি সফটওয়্যার আপডেট ইনস্টল করার চেয়ে বিস্তৃত। কোনো সেবায় নিজস্ব যাচাইব্যবস্থা প্রয়োজন হতে পারে, যাতে সার্ভার নিশ্চিত করে কে অনুরোধ করছে এবং ওই ব্যক্তি কোন রেকর্ড পাওয়ার অনুমতি রাখেন। বিপুল পরিমাণ তথ্য রপ্তানির সুযোগ থাকা প্রশাসনিক সরঞ্জামগুলোও নিবিড়ভাবে পরীক্ষা করা দরকার।

অধিকাংশ তথ্য প্রকাশে ঘটনার কারণ সম্পর্কে সামান্যই বলা হয়েছে

জুলাই থেকে প্রকাশিত নির্বাচিত ৮১টি ঘটনার মধ্যে ম্যাকনিকা নয়টিকে সফটওয়্যার পণ্য বা সংশ্লিষ্ট সরঞ্জামের দুর্বলতাজনিত, চারটিকে পরিচয় যাচাইয়ের তথ্যের অপব্যবহার বা পাসওয়ার্ড হামলাজনিত এবং তিনটিকে ওয়েবসাইটের সেটিংস বা প্রবেশাধিকার নিয়ন্ত্রণের ত্রুটিজনিত বলে শ্রেণিবদ্ধ করতে পেরেছে।

বাকি ৬৫টি ঘটনায়, অর্থাৎ প্রায় ৮০ দশমিক ২ শতাংশ ক্ষেত্রে, কারণ নির্ধারণের মতো পর্যাপ্ত ব্যাখ্যা ছিল না। ফলে অন্য প্রতিষ্ঠানগুলো নিজেদের সিস্টেমে কোন দুর্বলতা খুঁজবে, সে বিষয়ে সীমিত তথ্য পেয়েছে।

কিছু ঘোষণায় অনুপ্রবেশকারীরা প্রবেশের পর কী করেছে তা বর্ণনা করা হয়েছে। ১১টি ঘটনায় অননুমোদিত প্রোগ্রাম ইনস্টল বা চালানো হয়েছিল, নয়টিতে এপিআই বা ডেটাবেইসের মাধ্যমে তথ্য নেওয়া বা দেখা হয়েছিল এবং ছয়টিতে অননুমোদিত অ্যাকাউন্ট বা পরিচয় যাচাইয়ের কী তৈরি করা হয়েছিল। একটি ঘটনায় একাধিক ধরনের কাজ থাকতে পারে বলে এসব শ্রেণি পরস্পরের সঙ্গে মিলে যেতে পারে।

ম্যাকনিকা আরও পেয়েছে, জুলাই থেকে অন্তত ২৫টি ঘটনার তথ্য প্রকাশিত হয়েছে, যেখানে ব্যক্তিগত তথ্য ফাঁসের নির্দিষ্ট আশঙ্কা ছাড়াই ওয়েবসাইটে পরিবর্তন বা অপব্যবহার ঘটেছে। এর মধ্যে দর্শনার্থীদের বাইরের ওয়েবসাইটে পাঠানো, ভুয়া সতর্কবার্তা দেখানো, নিবন্ধনের তথ্য বদলানো এবং ক্লাউড সেবার অপব্যবহারের ঘটনা রয়েছে।

গবেষকেরা অনেক ওয়েবসাইটজুড়ে বারবার অনুসন্ধান চালাতে কৃত্রিম বুদ্ধিমত্তা ব্যবহারের সম্ভাবনা নিয়ে আলোচনা করেছেন। এআই ব্যবহারের বিষয়টি এবং হামলাকারীদের চূড়ান্ত উদ্দেশ্য নিশ্চিত নয়। তাঁদের পর্যবেক্ষণে হামলাকারীদের কর্মকাণ্ডের মূল লক্ষ্য ছিল প্রবেশাধিকার, সেটিংস, পরিচয় যাচাই এবং পরিচিত দুর্বলতা। তাঁদের একটি অনুমান হলো, সংগৃহীত নাম, সেবার বিবরণ ও বুকিং-সংক্রান্ত তথ্য অপরাধীদের পরবর্তী ফিশিং বার্তা বা প্রতারণামূলক ফোনকলকে আরও বিশ্বাসযোগ্য করতে সাহায্য করতে পারে।

তথ্যভেদের ঘটনায় সাবেক গ্রাহকেরাও ক্ষতিগ্রস্ত

পার্ক২৪-এর তথ্যভেদে সাবেক সদস্যসহ প্রায় ৬৬ লাখ সদস্যের রেকর্ড এবং ড্রাইভিং লাইসেন্সের ছবির মতো প্রায় ১৬ লাখ পরিচয় যাচাইয়ের নথি জড়িত ছিল। টাইমস কার গ্রাহকেরা সদস্যপদ বাতিল করার পরও সাত বছর পর্যন্ত পরিচয়পত্রের নথি সংরক্ষণ করেছিল।

পার্ক২৪ ১৬ অক্টোবর জানায়, ওই মাসের শেষ নাগাদ পরিচয়পত্রের ছবি মুছে ফেলার কাজ শেষ করার পরিকল্পনা রয়েছে। তাদের প্রতিক্রিয়ায় এ বিষয়টির জন্য একটি সুনির্দিষ্ট সময়সীমা নির্ধারণ করা হয়েছে। আইপিএও বিষয়টি তুলেছে: ব্যবসাপ্রতিষ্ঠানকে যাচাই করতে হবে, তাদের কাছে থাকা তথ্যের আদৌ আর প্রয়োজন আছে কি না।

বুকঅফের ফাঁসের পরবর্তী বিবরণে শনাক্ত ৬৩ লাখ ৮০ হাজার মানুষের মধ্যে প্রায় ২ লাখ ১০ হাজার সাবেক সদস্য ছিলেন, যা মোটের প্রায় ৩ দশমিক ৩ শতাংশ। পোষা প্রাণীর পণ্য বিক্রেতা চার্মও জানিয়েছে, সাবেক গ্রাহকদের প্রায় ২৫ হাজার রেকর্ডের বেশির ভাগই ফাঁস হয়েছে।

অ্যাকাউন্ট বন্ধ করার পরও ব্যবসাপ্রতিষ্ঠান সংশ্লিষ্ট রেকর্ড রেখে দিলে গ্রাহক বছরের পর বছর ঝুঁকিতে থাকতে পারেন। যোগাযোগের তথ্য অপরাধীদের পরিচিত কোনো সেবার পরিচয় ধারণ করতে সাহায্য করতে পারে। আর পাসওয়ার্ড ও পরিচয়পত্রের ছবি তৈরি করে বাড়তি ঝুঁকি। অপ্রয়োজনীয় রেকর্ড, নোটের ঘরে জমে থাকা অপ্রত্যাশিত ব্যক্তিগত তথ্যসহ, পর্যালোচনা করার এবং কোনো সেবা বন্ধ হলে এপিআই কী বাতিল করার পরামর্শ দিয়েছে ম্যাকনিকা।

প্রতিষ্ঠানগুলোকে এখন কী যাচাই করতে বলছে আইপিএ

আইপিএর ৯ অক্টোবরের পরামর্শে ইন্টারনেটে উন্মুক্ত অ্যাপ্লিকেশন, বাইরের সেবা ও অ্যাকাউন্ট এবং সংরক্ষিত তথ্য জরুরিভিত্তিতে পরীক্ষা করতে বলা হয়েছে। যেসব প্রতিষ্ঠান বিপুল পরিমাণ ব্যক্তিগত বা সংবেদনশীল তথ্য পরিচালনা করে, সেসব প্রতিষ্ঠানের নেতৃত্বের ওপর বিশেষ গুরুত্ব দিয়ে এ দায়িত্ব দেওয়া হয়েছে।

অ্যাপ্লিকেশনের ক্ষেত্রে আইপিএ সাম্প্রতিক লগ বা সিস্টেমে সংরক্ষিত কার্যকলাপের রেকর্ড পর্যালোচনা এবং নিরাপত্তা প্যাচ বাদ পড়েছে কি না যাচাই করার পরামর্শ দিয়েছে। তদন্তকারীদের প্রথমে মোটামুটি গত এক মাসের তথ্য পরীক্ষা করে পরে পর্যালোচনার সময়সীমা তিন মাস পর্যন্ত বাড়ানো উচিত। এ সময় অস্বাভাবিক ত্রুটির সংখ্যা এবং স্বাভাবিক কার্যকলাপ থেকে বিচ্যুতি খুঁজতে হবে।

ক্লাউড ও ভিপিএন সেবাসহ বাইরের সেবাগুলোর ক্ষেত্রে প্রতিষ্ঠান এবং একেকটি বিভাগ কোনগুলো ব্যবহার করে, তার তালিকা তৈরি করা উচিত। লগ কত দিন সংরক্ষণ করা হয়, কারা সেগুলো পরীক্ষা করতে পারেন এবং গ্রাহক সরাসরি দেখতে পান না এমন রেকর্ড সেবাদাতার কাছে আছে কি না, তা নির্ধারণ করতে হবে।

অ্যাকাউন্ট যাচাইয়ের সময় অপরিচিত ব্যবহারকারী এবং আগে নিষ্ক্রিয় বা মুছে ফেলা হয়েছিল, অথচ এখন সক্রিয় হয়েছে এমন অ্যাকাউন্ট খুঁজতে হবে। অস্বাভাবিক লগইন সময়, অবস্থান এবং বারবার ব্যর্থ প্রবেশচেষ্টার দিকেও নজর দেওয়া প্রয়োজন। আইপিএর পরামর্শ হলো, অস্বাভাবিক লগ বা অ্যাকাউন্টকে নিরাপত্তা-ঘটনা হিসেবে বিবেচনা করে বিশেষজ্ঞের মাধ্যমে তদন্ত করানো।

ম্যাকনিক্যার সংশ্লিষ্ট পরামর্শের মধ্যে রয়েছে, এপিআই সার্ভার পর্যায়ে অনুমতি কার্যকর করছে কি না পরীক্ষা করা, অ্যাপের ভেতরে রাখা গোপন তথ্য সরানো, প্রশাসক অ্যাকাউন্টে একাধিক ধাপের পরিচয় যাচাই চালু করা এবং ব্যবস্থাপনা-সংক্রান্ত ফাংশনে প্রবেশাধিকার সীমিত করা। নজরদারির পাশাপাশি মানুষের স্পষ্ট দায়িত্বও প্রয়োজন: কাউকে সতর্কসংকেত পর্যালোচনা করতে, উপযুক্ত ব্যক্তিদের সঙ্গে যোগাযোগ করতে এবং তদন্ত শুরু করতে হবে।

সরবরাহশৃঙ্খলের জন্য ‘এসসিএস অ্যাসেসমেন্ট স্কিম’ নামে একটি নিরাপত্তা মূল্যায়নব্যবস্থা তৈরি করছে আইপিএ। এটি ২০২৭ সালের মার্চে চালুর পরিকল্পনা রয়েছে। তথ্য আদান-প্রদানকারী ব্যবসাপ্রতিষ্ঠানগুলোর নিরাপত্তা পরিস্থিতি বুঝতে গ্রাহক ও ঠিকাদারদের সহায়তা করাই এর অভিন্ন মূল্যায়ন মানদণ্ডের উদ্দেশ্য।

জাপানের বাইরেও একই ধরনের ঘটনা ঘটেছে

ম্যাকনিকা ১৩টি দেশ ও অঞ্চলে একই ধরনের ৯৯টি ঘটনা শনাক্ত করেছে, যার বেশির ভাগই ঘটেছে ২০২৬ সালের জুলাই থেকে সেপ্টেম্বরের মধ্যে। দক্ষিণ কোরিয়ায় ৩০টি, ফ্রান্সে ১১টি এবং পোল্যান্ডে আটটি ঘটনা ঘটেছে।

দক্ষিণ কোরিয়ার ঘটনাগুলোতে কেনাকাটা, বুকিং, শিক্ষা ও আর্থিক সহায়তার বিভিন্ন ওয়েবসাইট ও এপিআই জড়িত ছিল। এ বৈচিত্র্য জাপানে প্রকাশিত তথ্যভেদের ঘটনাগুলোতে দেখা সেবার পরিসরের সঙ্গে মেলে।

প্রকাশসংক্রান্ত আইন ও রীতিনীতি কোন দেশে কত ঘটনা প্রকাশ্যে আসে, তা প্রভাবিত করে। ম্যাকনিকা তাদের তদন্তে জাপানের উল্লেখযোগ্য অবস্থানের কথা বললেও হামলাকারীরা বিশেষভাবে জাপানকে লক্ষ্য করছিল কি না, সে বিষয়ে নিশ্চিত সিদ্ধান্ত দেয়নি।

জাপানের ঘটনাগুলোতে তাৎক্ষণিক অগ্রাধিকারগুলো স্পষ্ট: অননুমোদিত কার্যকলাপ শনাক্ত করা, গ্রাহকের তথ্যের প্রবেশাধিকার সুরক্ষিত করা এবং আর সংরক্ষণের প্রয়োজন নেই এমন রেকর্ড মুছে ফেলা। ঠিকাদারি প্রতিষ্ঠানের ঘটনা এবং সাবেক সদস্যদের তথ্য ফাঁস দেখায়, এ কাজ কোনো কোম্পানির মূল ওয়েবসাইট ও বর্তমান গ্রাহকের তালিকার মধ্যে সীমাবদ্ধ রাখলে চলবে না।

মূল তথ্য

• ম্যাকনিক্যার হিসাবে, ২০২৬ সালে অননুমোদিত প্রবেশের মাধ্যমে সম্ভাব্যভাবে ফাঁস হওয়া ব্যক্তিগত তথ্যের সংখ্যা ১৬ কোটি ৫০ লাখ রেকর্ড ছাড়িয়েছে। একাধিক সেবায় একই তথ্য থাকলে তা একাধিকবার গণনা হতে পারে।
• আরও সীমিত পরিসরের ওয়েবসাইট তদন্তে ৬ অক্টোবর পর্যন্ত ১১৯টি তথ্য প্রকাশের ঘটনা নথিভুক্ত হয়েছে, যার মধ্যে ৮১টি জুলাই থেকে।
• সোর্সনেক্সট সম্ভাব্যভাবে ক্ষতিগ্রস্ত ২ কোটি ২৫ লাখ ১৯ হাজার ৯৬০টি রেকর্ডের কথা জানিয়েছে; অ্যাডভেঞ্চার জানিয়েছে প্রায় ১ কোটি ৪৬ লাখ ৪০ হাজার রেকর্ডের কথা।
• ঠিকাদারি প্রতিষ্ঠানে হামলায় বড় কোম্পানিগুলোর গ্রাহকেরা ক্ষতিগ্রস্ত হয়েছেন। অন্যদিকে সংরক্ষিত রেকর্ডের কারণে পার্ক২৪, বুকঅফ ও চার্মের সাবেক সদস্যদের তথ্যও ফাঁস হয়েছে।
• লগ, প্যাচ, অ্যাকাউন্ট, বাইরের সেবা ও সংরক্ষিত তথ্য জরুরি ভিত্তিতে পর্যালোচনার আহ্বান জানিয়েছে আইপিএ।
• অক্টোবরের শেষ নাগাদ পরিচয়পত্রের ছবি মুছে ফেলার কাজ শেষ করার পরিকল্পনা করেছে পার্ক২৪। আইপিএর সরবরাহশৃঙ্খল নিরাপত্তা মূল্যায়নব্যবস্থা ২০২৭ সালের মার্চে চালু হওয়ার কথা।