শিরোনাম
- মেসির বিদায়ী ম্যাচ দেখতে হতে হবে কোটিপতি
- নামাজ রবের সঙ্গে বান্দার সবচেয়ে গভীরতম সম্পর্কের অন্যতম মাধ্যম
- কমলগঞ্জে চা শ্রমিকদের মাঝে রেইনকোট বিতরণ
- অপ্রতিম হত্যায়, দায় স্বীকার করে ৪ আসামির জবানবন্দি
- এশিয়ান গেমসে হতাশার দিন কাটল বাংলাদেশের
- ইরানের স্কুলে হামলা, দায়ী যুক্তরাষ্ট্রের ‘এআই’ নির্ভরতা
- ‘তুই ছাড়া না এ জগতে কিছুই আগে না’ দেব-শুভশ্রীর নতুন চমক
সাইবার নিরাপত্তার ঝুঁকি
ঘরের বাজারের ৬ লাখ গ্রাহকের তথ্য ডার্ক ওয়েবে
জবাবদিহি ডেস্ক
প্রকাশ: রোববার, ২০ সেপ্টেম্বর, ২০২৬, ৮:৩৭ পিএম
একজন চাকরিজীবীর ব্যক্তিগত মোবাইল ফোন নম্বর পাওয়া গেল একটি ডার্ক ওয়েবে বিক্রির জন্য দেয়া ডাটাবেজের নমুনা ফাইলে। নম্বরটিতে ফোন করে কথা বললে অপর প্রান্তের ব্যক্তি জানালেন, নম্বরটি তারই। একইভাবে নমুনা ফাইলে থাকা আরও কয়েকটি নম্বরে যোগাযোগ করে সংশ্লিষ্ট ব্যক্তিরা নিজেদের ই-কমার্স প্রতিষ্ঠানের গ্রাহক হওয়ার বিষয়টি নিশ্চিত করেন। এ নমুনা ফাইলে প্রায় হাজারখানেক ফোন নম্বরের মধ্যে চাকরিজীবী, ব্যবসায়ী এমনকি পুলিশের একজন ঊর্ধ্বতন কর্মকর্তার ব্যক্তিগত মোবাইল নম্বরও রয়েছে।
ই-কমার্স প্রতিষ্ঠান ঘরের বাজারের গ্রাহকদের তথ্য ডার্ক ওয়েবে বিক্রির একটি বিজ্ঞাপনকে ঘিরে এসব তথ্য পাওয়া গেছে। একটি থ্রেট অ্যাক্টর দাবি করেছে, বাংলাদেশের ই-কমার্স প্ল্যাটফর্ম ঘরের বাজারের প্রোডাকশন ডাটাবেজ থেকে এসব তথ্য সংগ্রহ করা হয়েছে। বিজ্ঞাপনে প্রায় ৬ লাখ ৬ হাজার গ্রাহকের তথ্য থাকার দাবি করা হয়েছে। বিজ্ঞাপনটি দেখে আরও বিস্তর তথ্য সংগ্রহে অনুসন্ধান করে। সেই অনুসন্ধানে ডার্ক ওয়েবে দেওয়া ওই বিক্রির বিজ্ঞাপনের সঙ্গে থাকা নমুনা ফাইল থেকে কয়েকটি ফোন নম্বর নিয়ে সংশ্লিষ্ট ব্যক্তিদের সঙ্গে যোগাযোগ করা হয়। কয়েকজনের সঙ্গে কথা বলে নম্বরগুলোর সত্যতা যাচাই করা হয়েছে। এমনকি ঘরের বাজারের সঙ্গে লেনদেন করেছেন, সেটিও নিশ্চিত করেন এসব গ্রাহক।
প্রকাশিত তথ্যের কিছু অংশ যাচাই করা গেলেও পুরো ঘটনার প্রকৃত পরিধি জানতে অধিকতর ডিজিটাল ফরেনসিক তদন্ত প্রয়োজন বলেও মনে করেন বিশেষজ্ঞরা।
ডাটাবেজের অ্যাকসেস বিক্রির জন্য ১ হাজার মার্কিন ডলার চাওয়া ওই বিজ্ঞাপনে দাবি করা হয়েছে, গত ২৩ আগস্ট এসব তথ্য সংগ্রহ করা হয়। যেখানে ৪ দশমিক ১৫ গিগাবাইটের একটি এসকিউএল ডাম্পে ৩১১টি টেবিল এবং প্রায় ৪২ লাখ ৭০ হাজার রেকর্ড রয়েছে। এর মধ্যে প্রায় ৬ লাখ ৬ হাজার গ্রাহকের প্রোফাইল, ৩ লাখ ৭২ হাজার ডেলিভারি ঠিকানা, ৪ লাখ ৪৯ হাজার অর্ডার এবং ৮ লাখ ৬২ হাজার পৃথক পণ্যের তথ্য থাকার কথা বলা হয়েছে। এ ছাড়া প্রায় ১৯ লাখ ৭০ হাজার ডেলিভারি ও লজিস্টিকস রেকর্ড, অভ্যন্তরীণ ইআরপি ও অ্যাকাউন্টিং তথ্য এবং এআই কাস্টমার সাপোর্ট চ্যাটবটের কথোপকথনের লগ থাকার দাবি করা হয়েছে। তবে ৪২ লাখ রেকর্ড মানেই ৪২ লাখ আলাদা গ্রাহক নয়। একটি ডাটাবেজে একই ব্যক্তির গ্রাহক প্রোফাইল, অর্ডার, ঠিকানা, লেনদেন ও ডেলিভারি তথ্য আলাদা টেবিল বা রেকর্ড হিসেবে থাকতে পারে। ফলে মোট রেকর্ডের সংখ্যা এবং ইউনিক গ্রাহকের সংখ্যা এক নয়।
প্রকাশিত বিজ্ঞাপনের তথ্য সত্য হলে, ঘটনাটি শুধু ওয়েবসাইট থেকে সাধারণ ডাটা স্ক্র্যাপিংয়ের মধ্যে সীমাবদ্ধ নয় বলে মনে করছেন ডিজিটাল ফরেনসিক বিশেষজ্ঞ ও আন্তর্জাতিক অপরাধ ট্রাইব্যুনালের প্রসিকিউটর তানভীর হাসান জোহা। তিনি বলেন, তথ্যগুলো যদি সত্যিই প্রোডাকশন ডাটাবেজ অথবা অভ্যন্তরীণ ইআরপি ইন্টিগ্রেশন থেকে নেওয়া হয়ে থাকে, তাহলে সার্ভার, ডাটাবেজ, এপিআই অথবা সংযুক্ত থার্ড-পার্টি সিস্টেমে অননুমোদিত প্রবেশের সম্ভাবনা রয়েছে। সম্ভাব্য প্রবেশপথ হিসেবে ভুলভাবে কনফিগার করা বা ইন্টারনেটে উন্মুক্ত ডাটাবেজ, ওয়েব অ্যাপ্লিকেশন বা এপিআইর দুর্বলতা, এসকিউএল ইনজেকশন, পুরোনো লারাভেল, প্লাগইন বা সার্ভারের দুর্বলতা এবং চুরি হওয়া অ্যাডমিনিস্ট্রেটর, ডেভেলপার বা ডাটাবেজ ক্রেডেনশিয়ালের কথা বলেন তিনি। তবে হামলাকারী কোন দেশ, আইপি অ্যাড্রেস বা নেটওয়ার্ক থেকে প্রবেশ করেছে, তা শুধু ডার্ক ওয়েবের পোস্ট দেখে বলা সম্ভব নয়।
প্রকাশিত তথ্যে নাম, ফোন নম্বর, ঠিকানা, অর্ডারের বিবরণ, ওয়ালেট ব্যালেন্স, ডেলিভারি রেকর্ড এবং কাস্টমার সাপোর্টের কথোপকথনের লগ থাকার দাবি করা হয়েছে। এতে গ্রাহকদের কী ক্ষতি হতে পারে এমন প্রশ্নের জবাবে এসব তথ্য সত্য হলে গ্রাহকদের লক্ষ্য করে বিভিন্ন ধরনের প্রতারণার সুযোগ তৈরি হতে পারে বলে মনে করেন তানভীর হাসান জোহা। তার মতে, গ্রাহকের অর্ডারের তথ্য ব্যবহার করে ভুয়া ডেলিভারি চার্জ, রিফান্ড বা পেমেন্ট চাওয়া হতে পারে। ফোন নম্বর ও ব্যক্তিগত তথ্য ব্যবহার করে অ্যাকাউন্ট রিকভারি বা ওটিপি প্রতারণার চেষ্টাও হতে পারে।
এ ছাড়া প্রতিষ্ঠানের আর্থিক, বিক্রয় ও গ্রাহক-সংক্রান্ত তথ্য প্রতিযোগী বা অপরাধী চক্রের হাতে গেলে তা বিভিন্নভাবে ব্যবহার করা সম্ভব। তথ্য আটকে রেখে অর্থ দাবি, ব্ল্যাকমেইল কিংবা প্রতিষ্ঠানের সুনাম ক্ষুণ্ন করার চেষ্টাও হতে পারে। তবে এখন পর্যন্ত পাসওয়ার্ড, পেমেন্ট কার্ড বা জাতীয় পরিচয়পত্রের তথ্য ফাঁস হয়েছে এমন নিশ্চিত প্রমাণ মেলেনি।
কীভাবে নিশ্চিত হবে তথ্য ফাঁসের উৎস এমন প্রশ্নের জবাবে জোহা বলেন, প্রতিষ্ঠানটির প্রথম কাজ হওয়া উচিত ইনসিডেন্ট রেসপন্স টিম সক্রিয় করা। সন্দেহজনক সার্ভার ও অ্যাকাউন্ট নিয়ন্ত্রণে আনতে হবে। তবে এ সময় তাড়াহুড়া করে সার্ভার ফরম্যাট, লগ ডিলিট বা সিস্টেম রিইনস্টল করা যাবে না। এতে গুরুত্বপূর্ণ ফরেনসিক প্রমাণ নষ্ট হতে পারে।
নিরাপত্তা বিশ্লেষকদের মতে ডাটা ফাঁসের পর শুধু সিস্টেম ঠিক করাই যথেষ্ট নয়। কোন পথে অ্যাকসেস নেওয়া হয়েছে, কখন নেওয়া হয়েছে এবং কী কী তথ্য বের হয়েছে এসব নির্ধারণ করতে হবে। গ্রাহকের তথ্য ঝুঁকিতে থাকলে সংশ্লিষ্টদের নিরাপদ পাসওয়ার্ড রিসেটের ব্যবস্থা এবং প্রয়োজনীয় সতর্কবার্তা দেওয়া উচিত। প্রাসঙ্গিক প্রমাণ সংরক্ষণ করে সংশ্লিষ্ট কর্তৃপক্ষ ও বিজিডি ই-গভ সিআইআরটিকে অবহিত করা এবং দীর্ঘমেয়াদে এমএফএ, প্রিভিলেজড অ্যাকসেস ম্যানেজমেন্ট, লিস্ট প্রিভিলেজ, ডব্লিউএএফ, এপিআই সিকিউরিটি, ডাটাবেজ অ্যাক্টিভিটি মনিটরিং, ইডিআর/এক্সডিআর, এসআইইএম এবং ২৪/৭ এসওসি মনিটরিং ব্যবহারের ওপর গুরুত্ব দেওয়া উচিত।
ডার্ক ওয়েবে ঘরের বাজারের ডাটাবেজ বিক্রির দাবির ঘটনায় এখন সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন হলো, তথ্যগুলো আসলে কোথা থেকে এসেছে এবং কতটা তথ্য বেহাত হয়েছে। স্যাম্পল ফাইলে থাকা কয়েকটি ফোন নম্বরের সত্যতা যাচাই করা গেলেও পুরো ডাটাবেজের সত্যতা ও ফাঁসের প্রকৃত পরিধি জানতে প্রতিষ্ঠানটির নিজস্ব ডিজিটাল ফরেনসিক তদন্তই এখন সবচেয়ে গুরুত্বপূর্ণ।
এই বিষয়ে ঢাকা মেট্রোপলিটন পুলিশের গোয়েন্দা বিভাগের সাইবার ও স্পেশাল ক্রাইম দক্ষিণের সহকারী পুলিশ কমিশনার খান মাহমুদুল হাসান বলেন, আমরাও বিভিন্ন ফোরাম ও গ্রুপে এই বিষয়টি দেখেছি। তবে ঘরের বাজারের পক্ষ থেকে কেউ এখনো কোনো অভিযোগ না করায় এই বিষয়ে কোনো পদক্ষেপ আমরা নিতে পারছি না।
এই বিষয়ে জানতে ঘরের বাজারের প্রতিষ্ঠাতা জামশেদ মজুমদারে সঙ্গে যোগাযোগের চেষ্টা করা হলেও তা সম্ভব হয়নি। পরবর্তীতে প্রতিষ্ঠানটির প্রধান নির্বাহী কর্মকর্তা নাজমুস সাকিবের সঙ্গে যোগাযোগ করা হলে তিনি হ্যাকিং ও তথ্য বেহাতের বিষয়টি অস্বীকার করেন। তিনি বলেন, একটি চক্র ঘরের বাজারের নাম ব্যবহার করে গ্রাহকের তথ্য তাদের কাছে রয়েছে এবং তা ডার্ক ওয়েবে বিক্রির দাবি করছে। এখন পর্যন্ত আমাদের অভ্যন্তরীণ পর্যবেক্ষণ ও যাচাইয়ে ঘরের বাজারের নিজস্ব সিস্টেম থেকে গ্রাহকের তথ্য ফাঁস বা অননুমোদিতভাবে বেরিয়ে যাওয়ার কোনো প্রমাণ পাওয়া যায়নি। আমাদের কাস্টমার ডাটা সুরক্ষিত রাখতে প্রয়োজনীয় নিরাপত্তা ব্যবস্থা রয়েছে।
সাকিব আরও বলেন, ‘ঘরের বাজারের নাম ও ব্র্যান্ডের বিশ্বাসযোগ্যতা ব্যবহার করে কোনো প্রতারক চক্র বিভ্রান্তি সৃষ্টি এবং মানুষের কাছ থেকে তথ্য সংগ্রহের চেষ্টা করতে পারে।’
জ/রা
Loading...
Loading...
