প্রযুক্তিপ্রতিষ্ঠান মেটার গিটহাব রিপোজিটরিতে অননুমোদিতভাবে প্রবেশ করে প্রায় ১ হাজার ৫০০ ব্যক্তির তথ্য হাতিয়ে নিয়েছে হ্যাকাররা। চুরি হওয়া তথ্যের মধ্যে রয়েছে প্রতিষ্ঠানটির বিভিন্ন পণ্যের সফটওয়্যারের সোর্স কোড, ব্যবসায়িক তথ্য এবং সীমিত পরিসরে কিছু ব্যক্তিগত তথ্য। তবে এ ঘটনায় মেটার অভ্যন্তরীণ সিস্টেম ও নেটওয়ার্কে কোনো অনুপ্রবেশ ঘটেনি বলে জানিয়েছে প্রতিষ্ঠানটি। মেটার দাবি, একজন কর্মীর চুরি হওয়া লগইন তথ্য ব্যবহার করেই গিটহাবে সংরক্ষিত কয়েকটি রিপোজিটরিতে প্রবেশ করে হ্যাকাররা।
ভারতীয় সংবাদমাধ্যম ইন্ডিয়া টুডের প্রতিবেদনে বলা হয়েছে, কয়েক সপ্তাহ আগে নিরাপত্তা লঙ্ঘনের ঘটনাটি শনাক্ত করে মেটা। এরপর ক্ষতিগ্রস্ত ব্যক্তিদের বিষয়টি জানানো শুরু করে প্রতিষ্ঠানটি। তথ্য চুরির সম্ভাব্য অপব্যবহার ঠেকাতে নিরাপত্তাব্যবস্থা জোরদার করার পাশাপাশি ক্ষতিগ্রস্ত ব্যক্তিদের জন্য বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও ডার্ক ওয়েব পর্যবেক্ষণ সেবাও দিচ্ছে তারা।
চুরি হওয়া তথ্যের ৯৯ শতাংশই ব্যবসায়িক তথ্য ও সোর্স কোড
মেটার তথ্য অনুযায়ী, হ্যাকারদের হাতিয়ে নেওয়া তথ্যের প্রায় ৯৯ শতাংশই ব্যবসায়িক তথ্য এবং বিভিন্ন পণ্যের সফটওয়্যারের সোর্স কোড। বাকি প্রায় ১ শতাংশ ব্যক্তিগত তথ্য। প্রযুক্তিবিষয়ক সংবাদমাধ্যম সিকিউরিটিওয়িককে মেটা জানিয়েছে, গিটহাবে সংরক্ষিত কয়েকটি রিপোজিটরিতে প্রবেশ করে এসব তথ্যের নাগাল পায় বহিরাগত একটি গোষ্ঠী।
ক্ষতিগ্রস্ত ব্যক্তিদের অধিকাংশই যুক্তরাষ্ট্রে কর্মরত মেটার কর্মী। গত মঙ্গলবার থেকে তাঁদের আনুষ্ঠানিকভাবে এ বিষয়ে জানাতে শুরু করেছে প্রতিষ্ঠানটি। তবে ঠিক কোন কোন সফটওয়্যারের সোর্স কোড চুরি হয়েছে কিংবা সেগুলোর কতটা অংশ হ্যাকারদের হাতে গেছে, সে বিষয়ে বিস্তারিত তথ্য প্রকাশ করা হয়নি।
গিটহাব সফটওয়্যার নির্মাতাদের মধ্যে বহুল ব্যবহৃত একটি অনলাইন প্ল্যাটফর্ম। সফটওয়্যারের সোর্স কোড সংরক্ষণ, পরিবর্তন ব্যবস্থাপনা এবং বিভিন্ন প্রকল্পে একসঙ্গে কাজ করার জন্য ডেভেলপাররা এটি ব্যবহার করেন। বিভিন্ন প্রযুক্তিপ্রতিষ্ঠানও নিজেদের সফটওয়্যার উন্নয়ন ও পরিচালনার কাজে গিটহাবে কোড সংরক্ষণ করে থাকে। ফলে কোনো প্রতিষ্ঠানের রিপোজিটরিতে অননুমোদিত প্রবেশ ঘটলে সেখানকার সংরক্ষিত কোড ও ব্যবসায়িক তথ্য ঝুঁকির মুখে পড়তে পারে।
কর্মীর চুরি হওয়া লগইন তথ্য ব্যবহার করে হামলা
মেটার বক্তব্য অনুযায়ী, এ ঘটনা তাদের কোনো পণ্যের নিরাপত্তাত্রুটির কারণে ঘটেনি। বরং একজন কর্মীর চুরি হওয়া লগইন তথ্য ব্যবহার করে হ্যাকাররা গিটহাবে প্রবেশের সুযোগ পায়। এরপর কয়েকটি রিপোজিটরিতে সংরক্ষিত ব্যবসায়িক তথ্য ও সফটওয়্যারের কোডে প্রবেশ করে তারা। এ সময় সীমিতসংখ্যক ব্যক্তির কিছু ব্যক্তিগত তথ্যও তাদের নাগালে আসে।
মেটার এক মুখপাত্র জানান, প্রতিষ্ঠানের অভ্যন্তরীণ সিস্টেম ও নেটওয়ার্কে কোনো অনুপ্রবেশের প্রমাণ পাওয়া যায়নি। অর্থাৎ, হ্যাকাররা মেটার অভ্যন্তরীণ নেটওয়ার্কে সরাসরি প্রবেশ না করেও চুরি হওয়া লগইন তথ্যের মাধ্যমে গিটহাবে রাখা কিছু তথ্য পেতে সক্ষম হয়।
এ ধরনের ঘটনা কর্মীদের লগইন তথ্য সুরক্ষিত রাখা এবং তৃতীয় পক্ষের প্ল্যাটফর্মে সংরক্ষিত তথ্যের প্রবেশাধিকার নিয়ন্ত্রণের গুরুত্ব আবারও সামনে এনেছে। কোনো কর্মীর পরিচয়সংক্রান্ত তথ্য বা লগইন তথ্য অন্যের হাতে চলে গেলে, সেই তথ্য ব্যবহার করে প্রতিষ্ঠানের অনুমোদিত ডিজিটাল সেবায় প্রবেশের ঝুঁকি তৈরি হতে পারে।
গিটহাবে ব্যক্তিগত তথ্য রাখার কথা ছিল না
মেটা জানিয়েছে, গিটহাবের রিপোজিটরিতে ব্যক্তিগত তথ্য সংরক্ষণের কথা ছিল না। ভুলবশত কয়েকটি রিপোজিটরিতে এ ধরনের তথ্য রাখা হয়েছিল, যা প্রতিষ্ঠানটির অভ্যন্তরীণ নিরাপত্তানীতির লঙ্ঘন।
তবে মেটার দাবি, ফাঁস হওয়া ব্যক্তিগত তথ্যের উল্লেখযোগ্য অংশই কৃত্রিমভাবে তৈরি অথবা পরিচয় গোপন করা পরীক্ষামূলক তথ্য। সফটওয়্যার পরীক্ষা ও উন্নয়নের সময় ডেভেলপাররা সাধারণত এ ধরনের তথ্য ব্যবহার করেন। এর উদ্দেশ্য হলো বাস্তব ব্যবহারকারীর ব্যক্তিগত তথ্য প্রকাশ না করেই সফটওয়্যারের কার্যকারিতা যাচাই করা।
মেটার ধারণা, প্রকৃত তথ্যের সঙ্গে পরীক্ষামূলক তথ্য মিশে থাকায় হ্যাকারদের পক্ষে কর্মীদের আসল ব্যক্তিগত তথ্য আলাদা করে শনাক্ত করা কঠিন হবে। তবে এ বক্তব্যের অর্থ এই নয় যে সব ব্যক্তিগত তথ্য নিরাপদ ছিল। প্রতিষ্ঠানটির পক্ষ থেকে তথ্যের প্রকৃত ধরন ও সম্ভাব্য ঝুঁকি মূল্যায়নের কাজ চলছে।
প্রাথমিক তদন্তে গিটহাবের সঙ্গে যোগাযোগের ভিত্তিতে মেটা আরও জানিয়েছে, বিশেষভাবে তাদের তথ্য চুরির উদ্দেশ্যে এ হামলা চালানো হয়েছে—এমন কোনো ইঙ্গিত পাওয়া যায়নি। তবে হ্যাকাররা কী উদ্দেশ্যে তথ্য সংগ্রহ করেছে, তা পুরোপুরি নিশ্চিত হওয়া যায়নি।
হামলার পরপরই প্রবেশের সুযোগ বন্ধ
নিরাপত্তা লঙ্ঘনের ঘটনা শনাক্ত হওয়ার পরপরই হ্যাকারদের প্রবেশের সুযোগ বন্ধ করে দেয় মেটার নিরাপত্তা দল। একই সঙ্গে ঘটনার তদন্তে গিটহাবের নিরাপত্তা দল, সংশ্লিষ্ট নিয়ন্ত্রক সংস্থা ও আইনশৃঙ্খলা রক্ষাকারী বাহিনীর সঙ্গে কাজ শুরু করে প্রতিষ্ঠানটি।
মেটার মুখপাত্রের ভাষ্য অনুযায়ী, গিটহাবের রিপোজিটরিতে থাকা সংবেদনশীল তথ্য সুরক্ষিত করতে সংশ্লিষ্ট গোপন সংকেত বা সিক্রেট এবং প্রবেশাধিকারসংক্রান্ত তথ্য পরিবর্তন করা হয়েছে। পাশাপাশি রিপোজিটরিগুলোর নিরাপত্তা বাড়াতে গিটহাবের সঙ্গে সমন্বয় করে অতিরিক্ত ব্যবস্থা নেওয়া হয়েছে।
চুরি হওয়া সোর্স কোডের অপব্যবহার করে যাতে নতুন কোনো নিরাপত্তাঝুঁকি তৈরি করা না যায়, সে বিষয়েও পদক্ষেপ নিচ্ছে প্রতিষ্ঠানটি। সোর্স কোডের কোনো অংশ অননুমোদিতভাবে ব্যবহার করা হলে তা থেকে সফটওয়্যারের দুর্বলতা শনাক্ত করার চেষ্টা হতে পারে। তাই চুরি হওয়া কোডের সম্ভাব্য অপব্যবহার ঠেকানোকে তদন্ত ও নিরাপত্তা জোরদারের গুরুত্বপূর্ণ অংশ হিসেবে দেখছে মেটা।
ক্ষতিগ্রস্তদের জন্য বিনা মূল্যে নিরাপত্তা সেবা
তথ্য চুরির ঘটনায় ক্ষতিগ্রস্ত ব্যক্তিদের পরিচয় চুরি ও ফিশিং হামলার ঝুঁকি থেকে সুরক্ষিত রাখতে বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ এবং ডার্ক ওয়েব পর্যবেক্ষণ সেবা দিচ্ছে মেটা। এসব সেবার মাধ্যমে ব্যক্তিগত তথ্যের সম্ভাব্য অপব্যবহার, পরিচয় চুরির ঝুঁকি কিংবা ফাঁস হওয়া তথ্যের ব্যবহার শনাক্ত করার চেষ্টা করা যায়।
ফিশিং হামলায় প্রতারকেরা সাধারণত ই-মেইল, বার্তা বা ভুয়া ওয়েবসাইটের মাধ্যমে ব্যবহারকারীদের কাছ থেকে পাসওয়ার্ড, আর্থিক তথ্য কিংবা অন্যান্য সংবেদনশীল তথ্য হাতিয়ে নেওয়ার চেষ্টা করে। কোনো প্রতিষ্ঠানের কর্মীদের তথ্য ফাঁস হলে সেই তথ্য ব্যবহার করে তাঁদের লক্ষ্য করে প্রতারণামূলক বার্তা পাঠানোর আশঙ্কা থাকে। এ কারণে ক্ষতিগ্রস্ত ব্যক্তিদের সতর্ক রাখা এবং সম্ভাব্য অপব্যবহার শনাক্ত করা জরুরি।
ভুলবশত ব্যক্তিগত তথ্য আপলোড ঠেকাতে নতুন ব্যবস্থা
ভবিষ্যতে একই ধরনের ঘটনা এড়াতে গিটহাবে ব্যবহারকারীদের ব্যক্তিগত তথ্য সংরক্ষণ ঠেকাতে নতুন নিয়ন্ত্রণব্যবস্থা চালু করেছে মেটা। পাশাপাশি, ভুলবশত কোনো কর্মী বা ব্যবহারকারীর ব্যক্তিগত তথ্য রিপোজিটরিতে আপলোড করা হলে তা দ্রুত শনাক্ত করতে স্বয়ংক্রিয় নজরদারিব্যবস্থা চালুর উদ্যোগ নিয়েছে প্রতিষ্ঠানটি।
এ ব্যবস্থার মাধ্যমে অনিচ্ছাকৃতভাবে ব্যক্তিগত তথ্য উন্মুক্ত হওয়ার ঝুঁকি কমানোর পাশাপাশি সংবেদনশীল তথ্য সংরক্ষণের নিয়ম আরও কঠোরভাবে কার্যকর করতে চায় মেটা। একই সঙ্গে গিটহাবে সংরক্ষিত কোড ও তথ্যের প্রবেশাধিকার নিয়ন্ত্রণ এবং নিরাপত্তা পর্যবেক্ষণ বাড়ানোর ওপরও গুরুত্ব দেওয়া হচ্ছে।
ঘটনাটি দেখিয়েছে, প্রতিষ্ঠানের নিজস্ব নেটওয়ার্কে সরাসরি অনুপ্রবেশ না ঘটলেও কর্মীর লগইন তথ্য চুরি এবং তৃতীয় পক্ষের প্ল্যাটফর্মে সংরক্ষিত তথ্যের দুর্বল ব্যবস্থাপনা বড় ধরনের নিরাপত্তাঝুঁকি তৈরি করতে পারে। মেটার তদন্ত ও নেওয়া নতুন ব্যবস্থাগুলো এ ঝুঁকি কতটা কমাতে পারে, তা নির্ভর করবে নিরাপত্তাব্যবস্থার কার্যকারিতা এবং ভবিষ্যতে এ ধরনের অননুমোদিত প্রবেশ ঠেকানোর সক্ষমতার ওপর। সূত্র: ইন্ডিয়া টুডে, সিকিউরিটিওয়িক
সন্ধানী বার্তা/এএএন/এসএ
