পেইডওয়ার্কের গাড়ভঙ্গ ২৩ মিলিয়ন একাউন্টের আর্থিক এবং ব্যক্তিগত তথ্য উন্মোচন করে

কী হলো

মার্চ ২০২৬-এ মাইক্রোটাস্ক প্ল্যাটফর্ম Paidwork-এর ব্যাকএন্ড সিস্টেমে একটি অননুমোদিত অনুপ্রবেশ ঘটেছিল। 'hackformetome' উপনামের অধীনে পরিচালিত একটি হুমকিকারী Paidwork-এর প্রোডাকশন ইনফ্রাস্ট্রাকচার থেকে সরাসরি নেওয়া বলে অভিযোগ করা ১১ জিবি ডাটাবেস ডাম্প প্রাপ্ত করেছে।

এপ্রিল ২০২৬ সালে, সেই ব্যক্তি চুরি করা ডেটাসেটটিকে সাইবার অপরাধ ফোরামে বিক্রির জন্য বিজ্ঞাপন দেওয়ার সময় দাবি করেছিল যে এটি প্রায় ২২ মিলিয়ন ব্যবহারকারীর সঙ্গে সম্পর্কিত তথ্য ধারণ করে। জুলাই ২০২৬ সালে, প্রায় সম্পূর্ণ ১১ জিবি ডাটাবেসটি অনলাইনে প্রকাশ করা হয়।

কীভাবে এটি প্রকাশ্যে এলো

সিকিউরিটি ঘটনার খবর তখনই প্রকাশ্যে আসে যখন হুমকিকারীরা চুরিকৃত ডাটাবেস অনলাইনে পোস্ট করে। ১৯ জুলাই, ২০২৬ সালে, ডেটা ব্রিচ নোটিফিকেশন সার্ভিস 'হ্যাভ আই বিন পনড' লিক করা ডেটাসেট বিশ্লেষণ করার পর আনুষ্ঠানিকভাবে এই সংবেদনশীলতার তালিকা তৈরি করে।

প্রকাশিত ফাইলগুলির বিশ্লেষণে নিশ্চিত হয় যে লঙ্ঘনের সঙ্গে জড়িত ২৩,২৭২,৭৬৫টি অনন্য ইমেল ঠিকানা রয়েছে। সাধারণ প্রকাশ এবং পরবর্তী ডাটাবেস ইনডেক্সিংয়ের আগে, পেইডওয়ার্ক লঙ্ঘনটি প্রকাশ্যে ঘোষণা বা স্বীকার করেছিল না।

যা প্রকাশ করা হয়েছিল

সুরক্ষা লঙ্ঘনের ফলে ২৩ মিলিয়নেরও বেশি অ্যাকাউন্টের ব্যক্তিগত এবং আর্থিক রেকর্ডের পাশাপাশি পরিচালনাগত প্ল্যাটফর্মের তথ্য প্রকাশিত হলো। নির্দিষ্টভাবে কমপ্রোমাইজড ক্ষেত্রগুলির মধ্যে রয়েছে ব্যবহারকারীর পূর্ণ নাম, ইমেইল ঠিকানা, ফোন নম্বর, পদাতিক বাড়ির ঠিকানা, জন্মতারিখ, লিঙ্গ, শিক্ষার স্তর, ব্যক্তিগত আগ্রহ, প্রোফাইল ছবি, ডিভাইসের তথ্য এবং আইপি ঠিকানা।

প্রদর্শিত আর্থিক ও কার্যক্রম সম্পর্কিত ডেটার মধ্যে ব্যাংক অ্যাকাউন্ট নম্বর, আর্থিক লেনদেনের রেকর্ড এবং কর্মীর অর্থপ্রদানের ইতিহাস অন্তর্ভুক্ত ছিল। ব্যবহারকারীর পাসওয়ার্ড ডাটাবেসে অন্তর্ভুক্ত করা হয়েছিল কিন্তু সেগুলি প্লেইনটেক্সটে সংরক্ষণের পরিবর্তে bcrypt হ্যাশ হিসেবে সংরক্ষণ করা হয়েছিল।

মূল কারণ

পেইডওয়ার্কের প্রোডাকশন ডাটাবেসে অননুমোদিত প্রবেশের জন্য যে নির্দিষ্ট অনুপ্রবেশ ভেক্টর বা সিস্টেম দুর্বলতা ব্যবহার করা হয়েছে তা প্রকাশ করা হয়নি।

আপনি ক্ষতিগ্রস্ত হলে কী করবেন

প্রভাবিত ব্যবহারকারীরা অবিলম্বে তাদের Paidwork অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত এবং যে কোনও অন্য সার্ভিসেও যেটি একই পাসওয়ার্ড পুনঃব্যবহার করা হয়েছে তা আপডেট করা উচিত।

ব্যাংক অ্যাকাউন্ট নম্বর এবং কর্মচারী পরিশোধ রেকর্ডের প্রকাশের প্রেক্ষিতে, প্রভাবিত ব্যক্তিদের উচিত অননুমোদিত লেনদেন বা সন্দেহজনক কার্যকলাপের জন্য ব্যাংক স্টেটমেন্ট এবং আর্থিক অ্যাকাউন্টগুলো ঘন ঘন পর্যবেক্ষণ করা।

ব্যবহারকারীদের লক্ষ্যভিত্তিক ফিশিং, এসএমএস প্রতারণা এবং ফোন সামাজিক প্রকৌশল প্রচেষ্টার বিরুদ্ধে সতর্ক থাকা উচিত, যা প্রকাশিত ব্যক্তিগত তথ্য, শারীরিক ঠিকানা বা পেমেন্ট ইতিহাস ব্যবহার করতে পারে। সংবেদনশীল অ্যাকাউন্ট জুড়ে মাল্টি-ফ্যাক্টর প্রমাণীকরণ সক্ষম করার পরামর্শ দৃঢ়ভাবে দেওয়া হয়।

সূত্রসহ অন্যান্য পর্যবেক্ষণ

এই বক্তব্যগুলোর নিজস্ব সূত্র আছে, তবে উপরের কোনো অনুচ্ছেদের সঙ্গে মেলানো যায়নি।

• একজন হুমকি কারী যিনি 'hackformetome' ছদ্মনামে কাজ করছেন, তিনি একটি ১১ জিবি ডেটাবেস ডাম্প অর্জন করেছেন যা দাবি করা হচ্ছে সরাসরি Paidwork-এর উৎপাদন অবকাঠামো থেকে নেওয়া হয়েছে।[1][5]
• ২০২৬ সালের এপ্রিল মাসে, এই অভিনেতা চুরি করা ডেটাসেটটি একটি সাইবারক্রাইম ফোরামে বিক্রির জন্য বিজ্ঞাপন দিলেন, দাবী করে এটি প্রায় ২২ মিলিয়ন ব্যবহারকারীর সাথে সম্পর্কিত তথ্য ধারণ করে[2][5]
• জুলাই ২০২৬ সালে, প্রায় পুরো ১১ জিবি ডাটাবেসটি পাবলিকভাবে অনলাইনে প্রকাশ করা হয়েছিল[5][6]
• ২০২৬ সালের ১৯ জুলাই, তথ্য লঙ্ঘনের বিজ্ঞপ্তি সেবা 'Have I Been Pwned' লিক হওয়া ডেটাসেট বিশ্লেষণ করার পরে আনুষ্ঠানিকভাবে এই নিরাপত্তা ঝুঁকি তালিকাভুক্ত করল[3][4]
• ফাঁস হওয়া ফাইলগুলো বিশ্লেষণ করে নিশ্চিত হওয়া গেছে যে, এই তথ্য ফাঁসের ঘটনায় ২৩,২৭২,৭৬৫টি স্বতন্ত্র ইমেইল ঠিকানা জড়িত ছিল।[3][5]
• জনসমক্ষে তথ্য ফাঁস এবং পরবর্তীকালে ডাটাবেস সূচীকরণের আগে, পেইডওয়ার্ক এই লঙ্ঘনের বিষয়টি প্রকাশ্যে জানায়নি বা স্বীকারও করেনি।[3][5]
• ফাঁস হওয়া নির্দিষ্ট ক্ষেত্রগুলোর মধ্যে ছিল ব্যবহারকারীর পুরো নাম, ইমেল ঠিকানা, ফোন নম্বর, বাড়ির ঠিকানা, জন্ম তারিখ, লিঙ্গ, শিক্ষাগত যোগ্যতা, ব্যক্তিগত আগ্রহ, প্রোফাইল ছবি, ডিভাইসের তথ্য এবং আইপি অ্যাড্রেস।[1][3][5]
• ফাঁস হওয়া আর্থিক ও পরিচালন তথ্যের মধ্যে ব্যাংক অ্যাকাউন্ট নম্বর, আর্থিক লেনদেনের রেকর্ড এবং কর্মীদের পাওনা পরিশোধের ইতিহাস অন্তর্ভুক্ত ছিল।[3][5][6]
• ব্যবহারকারীদের পাসওয়ার্ডগুলো ডেটাবেসে অন্তর্ভুক্ত ছিল, কিন্তু সেগুলো প্লেইনটেক্সটের পরিবর্তে বিক্রিপ্ট হ্যাশ হিসেবে সংরক্ষণ করা হয়েছিল।[3][5]
• ব্যাংক অ্যাকাউন্ট নম্বর এবং কর্মীদের অর্থ প্রদানের রেকর্ড ফাঁস হয়ে যাওয়ায়, ক্ষতিগ্রস্ত ব্যক্তিদের অননুমোদিত লেনদেন বা সন্দেহজনক কার্যকলাপের জন্য ব্যাংক স্টেটমেন্ট এবং আর্থিক অ্যাকাউন্টগুলো নিবিড়ভাবে পর্যবেক্ষণ করা উচিত।[1][7]
• ব্যবহারকারীদের টার্গেটেড ফিশিং, এসএমএস স্ক্যাম এবং ফোন সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টার বিরুদ্ধেও সতর্ক থাকা উচিত, যেগুলোতে ফাঁস হওয়া ব্যক্তিগত তথ্য, ঠিকানা বা অর্থ প্রদানের ইতিহাস ব্যবহার করা হয়।[1]
• সংবেদনশীল অ্যাকাউন্টগুলোতে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করার জন্য জোরালোভাবে পরামর্শ দেওয়া হচ্ছে।[3]