ইরান যুদ্ধে মার্কিন সেনা নিহতের সংখ্যা পেন্টাগনের হিসাবের চেয়ে বেশি
ই-কমার্স প্রতিষ্ঠান ঘরের বাজারের প্রায় ৬ লাখ ৬ হাজার গ্রাহকের তথ্য ডার্ক ওয়েবে বিক্রির জন্য প্রকাশ করা হয়েছে—এমন দাবি ঘিরে উদ্বেগ তৈরি হয়েছে। বিক্রির বিজ্ঞাপনের সঙ্গে দেওয়া নমুনা ফাইলে থাকা কয়েকটি মোবাইল নম্বর যাচাই করে সংশ্লিষ্ট ব্যক্তিদের পরিচয় ও ঘরের বাজারের গ্রাহক হওয়ার তথ্যের সত্যতাও পাওয়া গেছে।
ডার্ক ওয়েবে প্রকাশিত বিজ্ঞাপনে একটি থ্রেট অ্যাক্টর দাবি করেছে, ঘরের বাজারের প্রোডাকশন ডাটাবেজ থেকে এসব তথ্য সংগ্রহ করা হয়েছে। পুরো ডাটাবেজের অ্যাকসেস বিক্রির জন্য চাওয়া হয়েছে ১ হাজার মার্কিন ডলার। বিজ্ঞাপনে প্রায় ৬ লাখ ৬ হাজার গ্রাহকের তথ্যসহ বিপুল পরিমাণ অর্ডার, ঠিকানা, ডেলিভারি ও অভ্যন্তরীণ ব্যবসায়িক তথ্য থাকার দাবি করা হয়েছে।
বিক্রির বিজ্ঞাপনের নমুনা ফাইলে প্রায় হাজারখানেক ফোন নম্বর রয়েছে। এর মধ্যে চাকরিজীবী, ব্যবসায়ীসহ পুলিশের একজন ঊর্ধ্বতন কর্মকর্তার ব্যক্তিগত মোবাইল নম্বরও রয়েছে। নমুনা ফাইলে থাকা কয়েকটি নম্বরে যোগাযোগ করে সংশ্লিষ্ট ব্যক্তিদের সঙ্গে কথা বলা হলে তারা নম্বরগুলো নিজেদের বলে নিশ্চিত করেন। একই সঙ্গে কয়েকজন জানান, তারা ঘরের বাজারের গ্রাহক এবং প্রতিষ্ঠানটির সঙ্গে তাদের লেনদেনও হয়েছে।
বিজ্ঞাপনে বলা হয়েছে, গত ২৩ আগস্ট ঘরের বাজারের তথ্য সংগ্রহ করা হয়েছে। ৪ দশমিক ১৫ গিগাবাইটের একটি এসকিউএল ডাম্পে ৩১১টি টেবিল এবং প্রায় ৪২ লাখ ৭০ হাজার রেকর্ড রয়েছে বলেও দাবি করা হয়েছে।
বিজ্ঞাপনের তথ্য অনুযায়ী, ওই ডাটাবেজে প্রায় ৬ লাখ ৬ হাজার গ্রাহকের প্রোফাইল, ৩ লাখ ৭২ হাজার ডেলিভারি ঠিকানা, ৪ লাখ ৪৯ হাজার অর্ডার এবং ৮ লাখ ৬২ হাজার পৃথক পণ্যের তথ্য রয়েছে। এ ছাড়া প্রায় ১৯ লাখ ৭০ হাজার ডেলিভারি ও লজিস্টিকস রেকর্ড, অভ্যন্তরীণ ইআরপি ও অ্যাকাউন্টিং তথ্য এবং এআই কাস্টমার সাপোর্ট চ্যাটবটের কথোপকথনের লগ থাকারও দাবি করা হয়েছে।
তবে ডাটাবেজে ৪২ লাখের বেশি রেকর্ড থাকার অর্থ এই নয় যে সমানসংখ্যক গ্রাহকের তথ্য রয়েছে। একই ব্যক্তির গ্রাহক প্রোফাইল, অর্ডার, ঠিকানা, লেনদেন ও ডেলিভারির তথ্য আলাদা টেবিল বা রেকর্ডে সংরক্ষিত থাকতে পারে। ফলে মোট রেকর্ড এবং ইউনিক গ্রাহকের সংখ্যা এক নয়।
ডার্ক ওয়েবে প্রকাশিত তথ্য সত্য হলে ঘটনাটি কেবল ওয়েবসাইট থেকে সাধারণভাবে তথ্য সংগ্রহ বা ডাটা স্ক্র্যাপিংয়ের মধ্যে সীমাবদ্ধ নয় বলে মনে করছেন ডিজিটাল ফরেনসিক বিশেষজ্ঞ ও আন্তর্জাতিক অপরাধ ট্রাইব্যুনালের প্রসিকিউটর তানভীর হাসান জোহা।
তিনি বলেন, তথ্যগুলো যদি সত্যিই প্রোডাকশন ডাটাবেজ কিংবা অভ্যন্তরীণ ইআরপি ইন্টিগ্রেশন থেকে নেওয়া হয়ে থাকে, তাহলে সার্ভার, ডাটাবেজ, এপিআই অথবা সংযুক্ত তৃতীয় পক্ষের কোনো সিস্টেমে অননুমোদিত প্রবেশের সম্ভাবনা রয়েছে।
সম্ভাব্য প্রবেশপথ হিসেবে ভুলভাবে কনফিগার করা বা ইন্টারনেটে উন্মুক্ত ডাটাবেজ, ওয়েব অ্যাপ্লিকেশন বা এপিআইয়ের দুর্বলতা, এসকিউএল ইনজেকশন, পুরোনো লারাভেল, প্লাগইন বা সার্ভারের নিরাপত্তা দুর্বলতা এবং চুরি হওয়া প্রশাসক, ডেভেলপার বা ডাটাবেজের লগইন তথ্যের কথা উল্লেখ করেন তিনি।
তবে ডার্ক ওয়েবে প্রকাশিত একটি পোস্টের ওপর ভিত্তি করে হামলাকারী কোন দেশ, আইপি ঠিকানা বা নেটওয়ার্ক থেকে সিস্টেমে প্রবেশ করেছে, তা নির্ধারণ করা সম্ভব নয় বলেও জানান জোহা।
প্রকাশিত তথ্যে নাম, মোবাইল নম্বর, ঠিকানা, অর্ডারের বিবরণ, ওয়ালেট ব্যালেন্স, ডেলিভারি রেকর্ড ও কাস্টমার সাপোর্টের কথোপকথনের লগ থাকার দাবি করা হয়েছে। এসব তথ্য সত্য হলে গ্রাহকদের লক্ষ্য করে বিভিন্ন ধরনের প্রতারণার সুযোগ তৈরি হতে পারে বলে মনে করেন বিশেষজ্ঞরা।
জোহার মতে, গ্রাহকের অর্ডারসংক্রান্ত তথ্য ব্যবহার করে ভুয়া ডেলিভারি চার্জ, রিফান্ড বা পেমেন্টের কথা বলে প্রতারণা করা হতে পারে। ফোন নম্বর ও ব্যক্তিগত তথ্য ব্যবহার করে অ্যাকাউন্ট পুনরুদ্ধার বা ওটিপি প্রতারণার চেষ্টাও চালানো সম্ভব।
একইভাবে প্রতিষ্ঠানের আর্থিক, বিক্রয় ও গ্রাহকসংক্রান্ত তথ্য প্রতিযোগী বা অপরাধী চক্রের হাতে গেলে তা বিভিন্নভাবে ব্যবহারের আশঙ্কা থাকে। তথ্য আটকে রেখে অর্থ দাবি, ব্ল্যাকমেইল কিংবা প্রতিষ্ঠানের সুনাম ক্ষুণ্ন করার চেষ্টাও হতে পারে।
তবে এখন পর্যন্ত পাসওয়ার্ড, পেমেন্ট কার্ড বা জাতীয় পরিচয়পত্রের তথ্য ফাঁস হয়েছে—এমন নিশ্চিত প্রমাণ পাওয়া যায়নি।
তথ্য ফাঁসের উৎস নিশ্চিত করতে প্রতিষ্ঠানের দ্রুত ইনসিডেন্ট রেসপন্স টিম সক্রিয় করা প্রয়োজন বলে মনে করেন বিশেষজ্ঞরা। সন্দেহজনক সার্ভার ও অ্যাকাউন্ট নিয়ন্ত্রণে আনার পাশাপাশি ফরেনসিক তদন্তের জন্য প্রয়োজনীয় তথ্য সংরক্ষণ করতে হবে।
এ ক্ষেত্রে তাড়াহুড়া করে সার্ভার ফরম্যাট, লগ মুছে ফেলা বা সিস্টেম নতুন করে ইনস্টল না করার পরামর্শ দিয়েছেন জোহা। কারণ এতে অননুমোদিত প্রবেশের পথ শনাক্ত করার জন্য গুরুত্বপূর্ণ ডিজিটাল প্রমাণ নষ্ট হয়ে যেতে পারে।
নিরাপত্তা বিশ্লেষকদের মতে, শুধু সিস্টেমের ত্রুটি মেরামত করলেই হবে না। কোন পথে অ্যাকসেস নেওয়া হয়েছে, কখন নেওয়া হয়েছে এবং কী ধরনের তথ্য বের করা হয়েছে—এসব বিষয়ও নির্ধারণ করতে হবে। গ্রাহকের তথ্য ঝুঁকিতে থাকলে নিরাপদভাবে পাসওয়ার্ড পরিবর্তনের ব্যবস্থা ও প্রয়োজনীয় সতর্কবার্তা দেওয়ার কথাও বলছেন তারা।
দীর্ঘমেয়াদে মাল্টিফ্যাক্টর অথেনটিকেশন, প্রিভিলেজড অ্যাকসেস ম্যানেজমেন্ট, সীমিত প্রবেশাধিকার, ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল, এপিআই নিরাপত্তা, ডাটাবেজ অ্যাক্টিভিটি মনিটরিং, ইডিআর/এক্সডিআর, এসআইইএম এবং ২৪ ঘণ্টার নিরাপত্তা পর্যবেক্ষণ ব্যবস্থা জোরদারের ওপরও গুরুত্ব দেওয়া হয়েছে।
ডার্ক ওয়েবে ঘরের বাজারের ডাটাবেজ বিক্রির দাবির বিষয়টি পুলিশের নজরেও এসেছে বলে জানিয়েছেন ঢাকা মহানগর পুলিশের গোয়েন্দা বিভাগের সাইবার ও স্পেশাল ক্রাইম দক্ষিণের সহকারী পুলিশ কমিশনার খান মাহমুদুল হাসান।
তিনি বলেন, বিভিন্ন ফোরাম ও গ্রুপে পুলিশও বিষয়টি দেখেছে। তবে ঘরের বাজারের পক্ষ থেকে এখনো কোনো অভিযোগ না পাওয়ায় এ বিষয়ে আইনগতভাবে কোনো পদক্ষেপ নেওয়া সম্ভব হয়নি।
ডার্ক ওয়েবে গ্রাহকের তথ্য বিক্রির দাবিকে ঘরের বাজারের পক্ষ থেকে অস্বীকার করা হয়েছে। প্রতিষ্ঠানটির প্রতিষ্ঠাতা জামশেদ মজুমদারের সঙ্গে যোগাযোগের চেষ্টা করা হলেও তা সম্ভব হয়নি।
পরে প্রতিষ্ঠানটির প্রধান নির্বাহী কর্মকর্তা নাজমুস সাকিব হ্যাকিং বা তথ্য বেহাতের বিষয়টি অস্বীকার করেন। তিনি বলেন, একটি চক্র ঘরের বাজারের নাম ব্যবহার করে তাদের কাছে গ্রাহকের তথ্য রয়েছে এবং সেগুলো ডার্ক ওয়েবে বিক্রির দাবি করছে। তবে প্রতিষ্ঠানের অভ্যন্তরীণ পর্যবেক্ষণ ও যাচাইয়ে ঘরের বাজারের নিজস্ব সিস্টেম থেকে গ্রাহকের তথ্য ফাঁস বা অননুমোদিতভাবে বেরিয়ে যাওয়ার কোনো প্রমাণ এখন পর্যন্ত পাওয়া যায়নি।
সাকিব আরও বলেন, গ্রাহকের তথ্য সুরক্ষিত রাখতে ঘরের বাজার প্রয়োজনীয় নিরাপত্তাব্যবস্থা গ্রহণ করেছে। তার ভাষ্য, ঘরের বাজারের নাম ও ব্র্যান্ডের বিশ্বাসযোগ্যতা ব্যবহার করে কোনো প্রতারক চক্র বিভ্রান্তি সৃষ্টি এবং মানুষের কাছ থেকে তথ্য সংগ্রহের চেষ্টা করতে পারে।
সব মিলিয়ে ডার্ক ওয়েবে প্রকাশিত বিজ্ঞাপনের সত্যতা ও তথ্যের প্রকৃত উৎস এখনো পুরোপুরি নিশ্চিত হয়নি। নমুনা ফাইলে থাকা কয়েকটি ফোন নম্বরের সত্যতা যাচাই করা গেলেও পুরো ডাটাবেজ কতটা বাস্তব এবং প্রকৃতপক্ষে কতজন গ্রাহকের তথ্য বেহাত হয়েছে, তা নির্ধারণে প্রতিষ্ঠানের নিজস্ব ডিজিটাল ফরেনসিক তদন্ত গুরুত্বপূর্ণ হয়ে উঠেছে।
