পাঠাওয়ের প্রায় ২ কোটি ব্যবহারকারীর তথ্য চুরির দাবি হ্যাকারের; ‘কিছু তথ্য দুর্বৃত্তদের হাতে গেছে’, বলছে পাঠাও
বাংলাদেশের রাইড শেয়ারিং, পণ্য সরবরাহ ও আর্থিক সেবার প্রযুক্তি প্রতিষ্ঠান পাঠাও লিমিটেডের সার্ভার থেকে ১ কোটি ৯০ লাখ গ্রাহকের ১৩৩ গিগাবাইট সংবেদনশীল তথ্য চুরির দাবি করেছে এক সাইবার অপরাধী চক্র। তবে পাঠাও কর্তৃপক্ষ হ্যাকারের এই দাবির বিষয়ে সুনির্দিষ্ট কোনো সংখ্যা বা কারা হামলা করেছে তা নিশ্চিত না করলেও, প্রতিষ্ঠানটি স্বীকার করেছে যে তাদের কিছু ব্যবহারকারীর ব্যক্তিগত তথ্য 'দুর্বৃত্তদের হাতে' চলে গেছে।
এসব তথ্যের মধ্যে মুঠোফোন নম্বর, ই-মেইল, জাতীয় পরিচয়পত্রের (এনআইডি) নম্বর, ড্রাইভিং লাইসেন্স, অবস্থান, ফেসবুক পরিচিতি ও বাসার ঠিকানা রয়েছে বলে দাবি করে ওই হ্যাকার গোষ্ঠী। এসব তথ্যের বিনিময়ে তারা পাঠাওয়ের কাছে ৪ লাখ মার্কিন ডলার সমমূল্যের ক্রিপ্টোকারেন্সি মুক্তিপণ দাবি করেছে।
সাইবার নিরাপত্তাবিষয়ক প্ল্যাটফর্ম ডেইলি ডার্ক ওয়েব বুধবার সামাজিক যোগাযোগমাধ্যম এক্সে (সাবেক টুইটার) বিষয়টি সামনে এনেছে। ডার্ক ওয়েবে করা ওই পোস্টের একটি স্ক্রিনশটও প্রকাশ করেছে ডেইলি ডার্ক ওয়েব। কিন্তু তাদের দাবিটির সত্যতা স্বাধীনভাবে যাচাই করা সম্ভব হয়নি।
ডার্ক ওয়েবের ওই পোস্টে দাবি করা হয়েছে, কথিত তথ্যভাণ্ডারে প্রায় ২৫ কোটি সারি তথ্য রয়েছে, যা ৫৯১টি টেবিলে সংরক্ষিত। এর মধ্যে ১ কোটি ৯ লাখ ৬৩ হাজার ৯১৮টি অ্যাকাউন্টের একটি মূল ব্যবহারকারী তথ্যভাণ্ডারের দাবি করেছে পোস্টদাতা। সেখানে ইমেইল, ফোন নম্বর, নাম, পাসওয়ার্ডের হ্যাশ, জিপিএস তথ্য এবং ফেইসবুক আইডি ও অ্যাক্সেস টোকেন থাকার দাবি করা হয়েছে।
এ ছাড়া ১ কোটি ৯ লাখ ৫৯ হাজার ৩৮৭টি জাতীয় পরিচয়পত্র নম্বর এবং ১ কোটি ৯ লাখ ৪৬ হাজার ৫৮৩টি ড্রাইভিং লাইসেন্সের তথ্য থাকার দাবি রয়েছে। এর সঙ্গে প্রায় ৫৭ লাখ বাসার ঠিকানা ও ব্যবহারকারীদের প্রোফাইল ছবির তথ্যও থাকার দাবি করা হয়েছে।
সাধারণ গ্রাহকদের পাশাপাশি পাঠাওয়ের ৫৪৯ জন নিজস্ব কর্মীর অভ্যন্তরীণ রেকর্ড (এনআইডি, বেতন, ধর্ম ও জরুরি যোগাযোগের নম্বর), ১৭ হাজার ৯৪৩টি মার্চেন্ট ব্যাংক অ্যাকাউন্ট ও রাউটিং রেকর্ড এবং ৮ লাখ ৪৫ হাজার ৮৭২টি ডিরেক্ট-ডেবিট সংক্রান্ত আর্থিক লেনদেনের তথ্য হাতিয়ে নেওয়ার কথাও জানিয়েছে ওই হ্যাকার।
এসব তথ্যের বিনিময়ে হ্যাকার চক্রটি পাঠাওয়ের কাছে ৪ লাখ ইউএসডিটি (ক্রিপ্টোকারেন্সি টিথার, যা প্রায় ৪ লাখ মার্কিন ডলারের সমপরিমাণ) মুক্তিপণ দাবি করেছে। এই অর্থ পরিশোধের জন্য তারা মাত্র ২৪ ঘণ্টার সময়সীমা বেঁধে দিয়েছে এবং অর্থ না পেলে এসব গোপন তথ্য ধাপে ধাপে ইন্টারনেটে ফাঁস করে দেওয়ার হুমকি দিয়েছে।
তবে চুরি হওয়া তথ্যের পরিমাণ ও ধরন সম্পর্কে এসব দাবি এখনও যাচাই করা সম্ভব হয়নি।
এদিকে, বুধবার এক বিজ্ঞপ্তিতে নিজেদের অবস্থান ব্যাখ্যা করেছে পাঠাও কর্তৃপক্ষ। তবে পাঠাওয়ের এই বিবৃতিতে ১৩৩ গিগাবাইট তথ্য, প্রায় ১ কোটি ৯০ লাখ অ্যাকাউন্টের রেকর্ড বা ৪ লাখ ইউএসডিটি মুক্তিপণ দাবির বিষয়ে কোনো নিশ্চিত তথ্য দেওয়া হয়নি।
পাঠাও জানিয়েছে, গত রবিবার (৪ অক্টোবর) তাদের প্ল্যাটফর্মজুড়ে সেবা বিঘ্নিত হয়েছিল। সাইবার নিরাপত্তাজনিত একটি ঘটনা শনাক্ত হওয়ার পর প্ল্যাটফর্মের নিরাপত্তা সুরক্ষিত রাখতে সতর্কতামূলক ব্যবস্থা হিসেবে দ্রুত কিছু গুরুত্বপূর্ণ সিস্টেম সাময়িকভাবে অফলাইনে রাখা হয়। পরবর্তীতে অল্প সময়ের মধ্যেই সেবাগুলো পুনরায় চালু করা হয়।
বিবৃতিতে পাঠাও উল্লেখ করে, 'আমরা জানতে পেরেছি যে, কিছু ব্যক্তিগত তথ্য—যার মধ্যে নাম, ই-মেইল ঠিকানা এবং ফোন নম্বর ইত্যাদি—দুর্বৃত্তদের হাতে গিয়েছে। পরিস্থিতি নিয়ন্ত্রণে তাৎক্ষণিক ব্যবস্থা নেওয়া হয়েছে এবং নিরাপত্তা ব্যবস্থা আরও শক্তিশালী করার পাশাপাশি পাঠাও-এর সিস্টেমগুলো নিরাপদ ও স্থিতিশীল রাখতে সাইবার নিরাপত্তা বিশেষজ্ঞদের সম্পৃক্ত করা হয়েছে।'
প্রতিষ্ঠানটি আরও জানায়, বিদ্যমান বিধিবিধান অনুযায়ী বিষয়টি ইতিমধ্যে সংশ্লিষ্ট আইনশৃঙ্খলা রক্ষাকারী বাহিনী ও সরকারি কর্তৃপক্ষকে যথাযথভাবে অবহিত করা হয়েছে। চলমান তদন্তে ঘটনার প্রকৃতি ও এর গুরুত্বের মাত্রা নির্ধারিত হওয়ার পর প্রয়োজনীয় ব্যবস্থা গ্রহণ করা হবে।
অনাকাঙ্ক্ষিত এই ঘটনার পরিপ্রেক্ষিতে গ্রাহকদের সর্বোচ্চ সতর্ক থাকার পরামর্শ দিয়েছে পাঠাও। প্রতিষ্ঠানটি ব্যবহারকারীদের অনুরোধ জানিয়ে বলেছে, পাঠাওয়ের পরিচয় দিয়ে পাঠানো কোনো অনাকাঙ্ক্ষিত মেসেজ, ফোন কল বা লিংকের বিষয়ে যেন সবাই সতর্ক থাকেন এবং কোনো অবস্থাতেই যেন পাসওয়ার্ড, পিন বা ওটিপি কারও সঙ্গে শেয়ার না করেন। এ ছাড়া সেবা বিঘ্নিত হওয়ার জন্য ব্যবহারকারী, চালক, মার্চেন্ট ও পার্টনারদের কাছে আন্তরিকভাবে দুঃখ প্রকাশ করেছে পাঠাও কর্তৃপক্ষ।
