পাঠাওয়ের তথ্য ফাঁসের দাবি, হ্যাকারদের সঙ্গে কথা বললেন রুয়েট শিক্ষার্থীরা

রাইড শেয়ারিং, খাবার ও পণ্য সরবরাহের সেবা দেওয়া প্রতিষ্ঠান পাঠাওয়ের প্রায় ১ কোটি ৯০ লাখ ব্যবহারকারীর তথ্য চুরির দাবি করেছে একটি হ্যাকার গোষ্ঠী। এ দাবির সত্যতা অনুসন্ধানে হ্যাকারদের সঙ্গে যোগাযোগ করে সাক্ষাৎকার নিয়েছেন রাজশাহী প্রকৌশল ও প্রযুক্তি বিশ্ববিদ্যালয়ের (রুয়েট) সাইবার নিরাপত্তা ক্লাবের সদস্যরা।

গোষ্ঠীটির দেওয়া তথ্যের নমুনা পর্যালোচনা করে তাঁরা তথ্য ফাঁসের ঘটনার প্রাথমিক প্রমাণ পেয়েছেন বলে জানিয়েছেন। তবে তথ্য চুরির প্রকৃত পরিমাণ এবং হ্যাকারদের দাবি অনুযায়ী পাঠাওয়ের অভ্যন্তরীণ ব্যবস্থায় এখনো অননুমোদিত প্রবেশাধিকার রয়েছে কিনা, তা স্বাধীনভাবে নিশ্চিত হওয়া যায়নি।

রুয়েট সাইবার নিরাপত্তা ক্লাবের সভাপতি ও কম্পিউটার সায়েন্স অ্যান্ড ইঞ্জিনিয়ারিং (সিএসই) বিভাগের ২০২১-২২ শিক্ষাবর্ষের শিক্ষার্থী মো. ওলি হোসেন জানান, সামাজিক যোগাযোগমাধ্যম এক্সে (সাবেক টুইটার) একটি পোস্টের মাধ্যমে পাঠাওয়ের ওয়েবসাইট হ্যাকের বিষয়ে প্রথম ইঙ্গিত পান তাঁরা। ওই অ্যাকাউন্টে মূলত ডার্ক ওয়েব-সংক্রান্ত বিভিন্ন তথ্য প্রকাশ করা হয়। পরে বিষয়টি অনুসন্ধান করতে গিয়ে একটি আন্ডারগ্রাউন্ড ফোরামে এ-সংক্রান্ত পোস্টের সন্ধান পান ক্লাবের সদস্যরা।

এরপর হ্যাকার গোষ্ঠীটির ‘পাঠাও নেগোশিয়েশন’ নামের একটি টেলিগ্রাম চ্যানেল খুঁজে পান তাঁরা। সেখানে প্রকাশিত তথ্যের নমুনা পর্যালোচনার পর গোষ্ঠীটির জনসংযোগ কর্মকর্তা পরিচয় দেওয়া এক ব্যক্তির সঙ্গে সংক্ষিপ্ত সাক্ষাৎকার নেন ক্লাবের সদস্যরা।

সাক্ষাৎকারে ওই ব্যক্তি দাবি করেন, তাঁদের গোষ্ঠীর নাম ‘রেড মনসুন’। বিভিন্ন দেশের সদস্যদের নিয়ে গঠিত নতুন একটি অনানুষ্ঠানিক গোষ্ঠী এটি। কেন পাঠাওকে লক্ষ্যবস্তু করা হয়েছে, এমন প্রশ্নের উত্তরে তিনি দাবি করেন, আগে থেকে প্রতিষ্ঠানটিকে লক্ষ্যবস্তু হিসেবে নির্ধারণ করা হয়নি। বরং সিস্টেমে প্রবেশের পর তাঁরা প্রতিষ্ঠানটি সম্পর্কে জানতে পারেন।

হ্যাকারদের ওই প্রতিনিধি আরও দাবি করেন, পাঠাওয়ের অভ্যন্তরীণ মাইক্রোসার্ভিস ও পরিচয় যাচাইয়ের জন্য ব্যবহৃত অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেসে (এপিআই) তাঁদের এখনো অননুমোদিত প্রবেশাধিকার রয়েছে। নিজেদের দাবির পক্ষে তাঁরা প্রতিষ্ঠানের ঊর্ধ্বতন কর্মকর্তাদের সঙ্গে সংশ্লিষ্ট কিছু অভ্যন্তরীণ অ্যাকাউন্টের রেকর্ড, ডিভাইস টোকেন এবং যাতায়াত-সংক্রান্ত মেটাডেটা প্রকাশ করেছেন বলে জানিয়েছে রুয়েট সাইবার নিরাপত্তা ক্লাব।

তবে হ্যাকারদের দাবি করা প্রবেশাধিকার এখনো কার্যকর কি না, প্রকাশিত তথ্যের সত্যতা কতটুকু এবং এর মাধ্যমে ঠিক কতজন ব্যবহারকারীর তথ্য হাতিয়ে নেওয়া হয়েছে, তা নিশ্চিত করতে স্বাধীন প্রযুক্তিগত তদন্ত প্রয়োজন। নমুনা তথ্যের সঙ্গে প্রকৃত তথ্যভান্ডারের মিল যাচাই এবং সংশ্লিষ্ট সিস্টেমের নিরাপত্তা পরিস্থিতি পরীক্ষা ছাড়া তথ্য চুরির পূর্ণাঙ্গ পরিসর নির্ধারণ করা সম্ভব নয়।

এদিকে বিভিন্ন সূত্রে ‘ডেইকি ডার্ক ওয়েব’ নামের আরেকটি হ্যাকার গোষ্ঠীর পক্ষ থেকেও পাঠাওয়ের তথ্য চুরির দাবি সামনে এসেছে। গোষ্ঠীটির দাবি, তাদের কাছে পাঠাওয়ের প্রায় ৪৩৩ গিগাবাইট তথ্য রয়েছে। এর মধ্যে ব্যবহারকারীদের ব্যক্তিগত তথ্যের পাশাপাশি কর্মী, মার্চেন্ট, আর্থিক লেনদেন এবং প্রতিষ্ঠানের অভ্যন্তরীণ সিস্টেম-সংক্রান্ত তথ্যও রয়েছে বলে তারা দাবি করেছে। অর্থ পরিশোধ না করা হলে পর্যায়ক্রমে এসব তথ্য প্রকাশের হুমকিও দিয়েছে গোষ্ঠীটি। তবে এসব দাবির সত্যতা ও দুই গোষ্ঠীর দাবির মধ্যে কোনো সম্পর্ক রয়েছে কি না, তা নিশ্চিত হওয়া যায়নি।

পাঠাও গত ৭ অক্টোবর এক বিবৃতিতে জানায়, ৪ অক্টোবর সাইবার নিরাপত্তা-সংক্রান্ত একটি ঘটনা শনাক্ত হওয়ার পর সতর্কতামূলক ব্যবস্থা হিসেবে গুরুত্বপূর্ণ কিছু সিস্টেম সাময়িকভাবে বন্ধ রাখা হয়েছিল। পরে সেবাগুলো আবার চালু করা হয়। প্রতিষ্ঠানটি স্বীকার করে, ব্যবহারকারীদের নাম, ই-মেইল ঠিকানা ও ফোন নম্বরসহ কিছু ব্যক্তিগত তথ্য একটি নির্দিষ্ট গোষ্ঠীর হাতে পৌঁছেছে। তবে হ্যাকারদের দাবির মতো বিপুলসংখ্যক ব্যবহারকারীর তথ্য চুরি হয়েছে কি না কিংবা ফাঁস হওয়া তথ্যের পূর্ণাঙ্গ পরিমাণ কত, সে বিষয়ে প্রতিষ্ঠানটি নিশ্চিত করেনি।

তথ্য ফাঁসের এ ঘটনায় ব্যবহারকারীদের ব্যক্তিগত ও আর্থিক তথ্যের নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। পাঠাওয়ের প্ল্যাটফর্মে মার্চেন্টদের লেনদেন এবং ব্যাংক বা বিকাশ অ্যাকাউন্টের সঙ্গে যুক্ত স্বয়ংক্রিয় অর্থ কর্তনের মতো সুবিধা থাকায় তথ্যের অননুমোদিত ব্যবহার কী ধরনের ঝুঁকি তৈরি করতে পারে, তা নিয়েও প্রশ্ন উঠেছে। তবে ব্যাংক বা বিকাশের তথ্য কিংবা আর্থিক লেনদেনের তথ্য চুরি হয়েছে, এমন কিছু পাঠাও নিশ্চিত করেনি। ফলে সম্ভাব্য ঝুঁকির মাত্রা নির্ধারণে পূর্ণাঙ্গ তদন্ত জরুরি।

সাইবার নিরাপত্তা-সংশ্লিষ্টদের মতে, এ ধরনের ঘটনায় স্বাধীন ডিজিটাল ফরেনসিক তদন্তের পাশাপাশি সার্ভার, প্রবেশাধিকার ও কার্যক্রমের লগসহ ডিজিটাল আলামত সংরক্ষণ করা গুরুত্বপূর্ণ। একই সঙ্গে সংশ্লিষ্ট কর্তৃপক্ষের সঙ্গে সমন্বয় করে তথ্য ফাঁসের উৎস, পরিসর এবং চলমান নিরাপত্তাঝুঁকি নির্ধারণ করা প্রয়োজন।

এ পরিস্থিতিতে ব্যবহারকারীদের সন্দেহজনক ফোনকল, বার্তা ও লিংকের বিষয়ে সতর্ক থাকার পরামর্শ দেওয়া হচ্ছে। অপরিচিত কারও সঙ্গে পাসওয়ার্ড, পিন কিংবা এককালীন যাচাইকরণ কোড (ওটিপি) ভাগ করে নেওয়া থেকেও বিরত থাকা উচিত।