প্রযুক্তিপ্রতিষ্ঠান মেটার কয়েকটি ব্যক্তিগত গিটহাব রিপোজিটরিতে ঢুকে প্রায় ১ হাজার ৫০০ জনের তথ্য এবং প্রতিষ্ঠানটির বেশ কিছু পণ্যের সোর্স কোড হাতিয়ে নিয়েছে হ্যাকাররা। মেটা বলছে, তাদের অভ্যন্তরীণ ব্যবস্থা ও নেটওয়ার্কে কোনো অনুপ্রবেশ ঘটেনি।
ঢুকল কীভাবে
মেটার কোনো পণ্যের নিরাপত্তাত্রুটি দিয়ে নয়। প্রতিষ্ঠানটি বলছে, একটি বহিরাগত গোষ্ঠী এক কর্মীর চুরি হওয়া লগইন তথ্য ব্যবহার করে গিটহাবে রাখা কয়েকটি রিপোজিটরিতে প্রবেশ করে। গিটহাব সেই প্ল্যাটফর্ম, যেখানে ডেভেলপাররা সোর্স কোড সংরক্ষণ করেন আর একসঙ্গে প্রকল্পে কাজ করেন। কয়েক সপ্তাহ আগে ঘটনাটি শনাক্ত হয়, আর ক্ষতিগ্রস্ত ব্যক্তিদের আনুষ্ঠানিকভাবে জানানো শুরু হয়েছে গত মঙ্গলবার থেকে। তাঁদের অধিকাংশই যুক্তরাষ্ট্রে কর্মরত মেটার কর্মী।
কী কী গেল
নিরাপত্তাবিষয়ক সংবাদমাধ্যম সিকিউরিটিউইককে মেটা জানিয়েছে, চুরি যাওয়া তথ্যের প্রায় ৯৯ শতাংশ ব্যবসায়িক তথ্য ও পণ্যের সোর্স কোড। বাকি ১ শতাংশ ব্যক্তিগত তথ্য। এর উল্লেখযোগ্য অংশ কৃত্রিমভাবে তৈরি বা পরিচয় গোপন করা পরীক্ষামূলক তথ্য—সফটওয়্যার যাচাইয়ের জন্য ডেভেলপাররা যেমনটি বানিয়ে নেন। প্রতিষ্ঠানটির ধারণা, আসল আর পরীক্ষামূলক তথ্য পাশাপাশি থাকায় হ্যাকারদের পক্ষে কোনটি কী, তা আলাদা করা কঠিন হবে।
গিটহাবের সঙ্গে মিলে করা প্রাথমিক তদন্তে মেটা আরও বলছে, হ্যাকাররা বিশেষভাবে মেটার তথ্য চুরির উদ্দেশ্যেই হামলাটি চালিয়েছে—এমন কোনো ইঙ্গিত মেলেনি। কথাটি মন দিয়ে পড়া দরকার: এর অর্থ লক্ষ্য করে চালানো অভিযান নয়, বরং সুযোগ বুঝে ঢুকে পড়া। উদ্দেশ্যের দিক থেকে এটি স্বস্তির, আর উন্মুক্ততার দিক থেকে অস্বস্তির।
বিবৃতির ভেতরের স্বীকারোক্তি
মেটার বক্তব্যের সবচেয়ে কাজের বাক্যটি হ্যাকারকে নিয়ে নয়। ব্যক্তিগত তথ্য গিটহাবে রাখারই কথা ছিল না। ভুলবশত তা কয়েকটি রিপোজিটরিতে চলে যায়, যাকে প্রতিষ্ঠানটি নিজেই তাদের অভ্যন্তরীণ নিরাপত্তানীতির লঙ্ঘন বলছে।
বড় শিরোনামের নিচে সাধারণ ব্যর্থতাটি এখানেই। রিপোজিটরি হলো কোড রাখার জায়গা, আর কোড যাচাই করতে তথ্য লাগে। কোনো একসময় কেউ বানানো তথ্যের বদলে আসল তথ্য হাতে তুলে নিয়েছেন, কিংবা যে ফাইলটি পরীক্ষামূলক হিসেবে শুরু হয়েছিল তাতে আসল সারি ঢুকে গেছে—আর কমিটের আগে তা কারও চোখে পড়েনি। ওটুকু খুঁজে পেতে হ্যাকারদের মেটার প্রতিরক্ষা ভাঙতে হয়নি; লেগেছে একটি পাসওয়ার্ড আর খুঁজে দেখার ধৈর্য।
মেটা কী করছে
ঘটনা শনাক্ত হওয়ামাত্র হ্যাকারদের প্রবেশপথ বন্ধ করা হয়। মেটা কাজ করছে গিটহাবের নিরাপত্তা দল, নিয়ন্ত্রক সংস্থা ও আইনশৃঙ্খলা রক্ষাকারী বাহিনীর সঙ্গে। ক্ষতিগ্রস্ত ব্যক্তিদের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও ডার্ক ওয়েব পর্যবেক্ষণ সেবা দেওয়া হচ্ছে, যাতে তথ্যের অপব্যবহার ধরা পড়ে। ওই রিপোজিটরিগুলোর গোপন সংকেত ও প্রবেশাধিকার বদলে ফেলা হয়েছে, গিটহাবে ব্যক্তিগত তথ্য রাখা ঠেকাতে নতুন নিয়ন্ত্রণ যোগ হয়েছে, আর গিটহাবের সঙ্গে মিলে বাড়তি সুরক্ষাও নেওয়া হয়েছে।
ঢাকার সফটওয়্যার প্রতিষ্ঠানের জন্য কথাটি কী
বাংলাদেশের প্রায় প্রতিটি ডেভেলপমেন্ট প্রতিষ্ঠানই ক্লায়েন্টের কোড রাখে গিটহাবে, আর বহু ফ্রিল্যান্সারের পোর্টফোলিওর কাজও সেখানেই থাকে। শিক্ষাটি এই নয় যে গিটহাব অনিরাপদ। শিক্ষাটি হলো, একটি রিপোজিটরি ঠিক ততটাই ব্যক্তিগত, যতটা ব্যক্তিগত সেটি পড়তে পারা দুর্বলতম অ্যাকাউন্টটি—আর ভেতরে আসলে কী জমছে, তা কেউ খুব একটা দেখে না।
খরচ ছাড়াই করা যায় এমন চারটি কাজে ঝুঁকির বড় অংশ কমে। রিপোজিটরিতে প্রবেশাধিকার আছে এমন প্রতিটি অ্যাকাউন্টে দুই ধাপের যাচাই বা পাসকি চালু করুন, আর তা আশা করে বসে না থেকে প্রতিষ্ঠান পর্যায়ে বাধ্যতামূলক করুন। গিটহাবের সিক্রেট স্ক্যানিং ও পুশ প্রোটেকশন চালু রাখুন, যা এপিআই কি-র মতো দেখতে কিছু থাকলে কমিট আটকে দেয়। পারসোনাল অ্যাকসেস টোকেন নিয়ম করে বদলান, আর যাঁরা চলে গেছেন তাঁদের টোকেন মুছে ফেলুন—চুরি যাওয়া পাসওয়ার্ড সাধারণত ওই ধরনের অ্যাকাউন্টেরই হয়। আর পরীক্ষামূলক ফাইলকে আসল তথ্যের মতোই গণ্য করুন: আসল এনআইডি নম্বর, ফোন নম্বর বা গ্রাহকের ঠিকানাভরা একটি ফাইল ফোল্ডারের নাম যা-ই হোক, কমিট হওয়ার অপেক্ষায় থাকা একটি ফাঁসই।
সম্পর্কিত: সাইবার স্পেসে জাপানের জরুরি অবস্থা।
