ফাইল আটকায় না, ডেটা নিয়ে যায়: চাঁদাবাজির নতুন ধরন থেকে কীভাবে বাঁচবেন

একসময় র‍্যানসমওয়্যারের গল্পটা ছিল সোজা। হ্যাকার অফিসের কম্পিউটার আর সার্ভারের ফাইল এনক্রিপ্ট করে দিত, পর্দায় মুক্তিপণের নোট ভেসে উঠত, আর প্রতিষ্ঠান টাকা দিলে তবেই ফাইল খোলার চাবি পাওয়া যেত। এই গল্পের সমাধানও ছিল মোটামুটি পরিচিত: ভালো ব্যাকআপ রাখুন, তাহলে চাবির দরকার পড়বে না।

এখন অনেক অপরাধী দল সেই চাবির খেলাটাই বাদ দিচ্ছে। তারা আপনার ফাইল আটকায় না। চুপচাপ ডেটা নামিয়ে নিয়ে যায়, তারপর বলে, টাকা না দিলে সব প্রকাশ করে দেব। ব্যাকআপ এখানে কোনো কাজে আসে না, কারণ সমস্যা ডেটা হারানো নয়, ডেটা অন্যের হাতে চলে যাওয়া। জুন মাসে কোডাক ও Klue-কে ঘিরে আসা খবর এই ধরনের আক্রমণকে নতুন করে আলোচনায় এনেছে।

সত্যিই কি র‍্যানসমওয়্যারকে ছাড়িয়ে গেছে?

উত্তরটা নির্ভর করছে আপনি কার হিসাব দেখছেন তার ওপর। সাইবার বিমা প্রতিষ্ঠান Resilience-এর তথ্য নিয়ে Infosecurity Magazine জানিয়েছে, ২০২৫ সালের দ্বিতীয়ার্ধে তাদের সামলানো চাঁদাবাজি-সংক্রান্ত দাবির ৬৫ শতাংশে কোনো এনক্রিপশনই ছিল না। প্রথমার্ধে এই হার ছিল ৪৯ শতাংশ। একই হিসাবে ২০২৫ সালের শেষে মাত্র ১৩ শতাংশ হামলা শুধু এনক্রিপশনের ওপর নির্ভর করেছে।

তবে এটি একটি বিমা প্রতিষ্ঠানের নিজস্ব গ্রাহকদের হিসাব, পুরো বিশ্বের শুমারি নয়। অন্য সংস্থার তদন্তের তথ্য ভিন্ন গ্রাহক ও ভিন্ন পদ্ধতিতে তৈরি, তাই সংখ্যাও আলাদা হয়। পুরো বিশ্বে ডেটা-চুরি-নির্ভর চাঁদাবাজি র‍্যানসমওয়্যারকে ছাড়িয়ে গেছে, এমন নিশ্চিত দাবি করার মতো একক পরিসংখ্যান আমরা পাইনি। তবে দিকটা বেশ স্পষ্ট: এনক্রিপশনের ওপর নির্ভরতা কমছে, চুরি করা ডেটাই হয়ে উঠছে চাপ দেওয়ার প্রধান হাতিয়ার।

কোডাক ও Klue: দুই ঘটনা, দুই আলাদা দল

BleepingComputer জানিয়েছে, ShinyHunters নামের চাঁদাবাজ দলটি তাদের ডার্ক ওয়েব ফাঁস সাইটে কোডাকের নাম তুলে দাবি করে, তারা ২২ লাখের বেশি রেকর্ড চুরি করেছে এবং যোগাযোগের শেষ সময় বেঁধে দেয় ১৮ জুন। কোডাক স্বীকার করেছে, একটি অননুমোদিত পক্ষ সাময়িকভাবে সীমিত পরিমাণ কোম্পানি-ডেটায় প্রবেশ করেছিল। তবে কোম্পানিটি কোনো দলের নাম বলেনি, ২২ লাখ সংখ্যাটিও নিশ্চিত করেনি এবং হামলাকারীরা কীভাবে ঢুকেছিল তা জানায়নি। সময়সীমার পর ডেটা প্রকাশ পেয়েছে কি না, তার নিশ্চিত খবর আমরা নির্ভরযোগ্য কোনো সূত্রে পাইনি।

Klue-এর ঘটনাটি প্রায়ই একই নিঃশ্বাসে বলা হচ্ছে, কিন্তু এখানে একটি সংশোধন জরুরি। নিরাপত্তা প্রতিষ্ঠান ReliaQuest বলেছিল, এই হামলার ধরন ShinyHunters-এর আগের কিছু হামলার মতো। কিন্তু BleepingComputer জেনেছে, এর পেছনে ShinyHunters নয়, ছিল Icarus নামের আরেকটি দল। TechCrunch-ও Icarus-এর দায় স্বীকারের কথাই লিখেছে। তাই Klue-কে ShinyHunters-এর শিকার বলা ঠিক নয়। কোডাকের ঘটনার সঙ্গে Klue-এর কোনো সংযোগের প্রমাণও আমরা পাইনি।

একটি পুরনো চাবি কীভাবে শত প্রতিষ্ঠানের দরজা খোলে

সরবরাহ-শৃঙ্খল আক্রমণের মূল ভাবনাটা সহজ উদাহরণে বোঝা যায়। ধরুন আপনার অফিসের পরিচ্ছন্নতাকর্মী সরবরাহকারী প্রতিষ্ঠানের কাছে আপনার অফিসসহ আরও অনেক অফিসের চাবি রাখা আছে। চোরের তখন প্রতিটি অফিসের তালা ভাঙার দরকার নেই, ওই একটি প্রতিষ্ঠানের চাবির গোছা পেলেই চলে।

সফটওয়্যারের জগতে এই চাবির নাম OAuth টোকেন। আপনি যখন কোনো অ্যাপকে আপনার Salesforce, Google বা অন্য অ্যাকাউন্টের সঙ্গে যুক্ত করেন, তখন অ্যাপটি পাসওয়ার্ড জানে না, একটি অনুমতিপত্র পায়। এই অনুমতিপত্র যার হাতে থাকে, সিস্টেম তাকে বৈধ অ্যাপ হিসেবেই দেখে। Klue হলো বিক্রয় দলের জন্য প্রতিযোগী-বিশ্লেষণের একটি প্ল্যাটফর্ম, যা গ্রাহকদের এমন অনেক সিস্টেমের সঙ্গে যুক্ত থাকে।

Klue জানিয়েছে, ১২ জুন তারা অননুমোদিত কার্যকলাপ শনাক্ত করে। TechCrunch-কে প্রতিষ্ঠানটি বলেছে, যে ক্রেডেনশিয়াল দিয়ে হামলা শুরু হয়, সেটি ২০২২ সালে এক সীমিত পাইলট প্রকল্পের জন্য তৃতীয় পক্ষকে দেওয়া হয়েছিল। চার বছরেও কেন তা বাতিল হয়নি, সেই ব্যাখ্যা তারা দেয়নি। এরপর হামলাকারীরা গ্রাহকদের টোকেন হাতিয়ে তাদের Salesforce ডেটা তুলে নেয়। ReliaQuest স্বয়ংক্রিয় স্ক্রিপ্টে প্রায় ২৪ ঘণ্টা ধরে এই কার্যকলাপ চলতে দেখেছে। Salesforce পরে Klue-এর ইন্টিগ্রেশন বন্ধ করে দেয়।

TechCrunch-এর তালিকায় আক্রান্ত হিসেবে নিশ্চিত করা প্রতিষ্ঠানের মধ্যে আছে LastPass, Huntress, Snyk, Tanium, HackerOne ও Recorded Future. অর্থাৎ নিরাপত্তা প্রতিষ্ঠানগুলোও রেহাই পায়নি। আরেকটি দল দাবি করছে আক্রান্ত গ্রাহক ১৯৫টি এবং Icarus-এর কাছ থেকে ডেটা পেয়েছে। এই দাবি যাচাই হয়নি। Klue গ্রাহকদের জানিয়েছে, Icarus ডেটা মুছে ফেলার কথা বলছে, কিন্তু অপরাধীদের এমন প্রতিশ্রুতি যাচাই করার উপায় নেই।

ShinyHunters-এর কৌশল: ফোনকল ও বৈধ লগইন

Google-এর Mandiant দল চলতি বছরের জানুয়ারিতে জানিয়েছে, ShinyHunters-এর নামে চলা অভিযানগুলো কোনো সফটওয়্যার ত্রুটির ওপর নয়, মানুষকে ঠকানোর ওপর দাঁড়িয়ে। হামলাকারীরা ফোন করে আইটি বা সরবরাহকারীর লোক সেজে কর্মীদের ভুয়া লগইন পাতায় নিয়ে যায়, পরিচয় যাচাইয়ের ব্যবস্থাকে ফাঁকি দেয়, তারপর সফটওয়্যারের সাধারণ এক্সপোর্ট সুবিধা ব্যবহার করেই ডেটা নামায়। ম্যালওয়্যার না থাকায় অনেক প্রতিষ্ঠান টের পায় চাঁদার বার্তা আসার পর।

বাংলাদেশে এই বিপদ কতটা কাছে?

ঘটনাটি দূরের নয়। The Business Standard জানিয়েছে, সুপারশপ চেইন স্বপ্ন-এর এমডির ভাষ্য অনুযায়ী ২০২৫ সালের আগস্টে তাদের গ্রাহক ডেটাবেসে হামলা হয়, হ্যাকাররা ই-মেইলে ১৫ লাখ ডলার দাবি করে, আর কয়েক মাস পর গ্রাহকদের নাম, ফোন নম্বর ও কেনাকাটার তথ্য সামাজিক মাধ্যমে ছড়ায়। প্রতিষ্ঠানটির নিবন্ধিত গ্রাহক ৪০ লাখের বেশি, তবে কতজন আক্রান্ত তা কোম্পানি তখন নিশ্চিত করেনি। ধরনটা একই: কোনো ফাইল আটকে রাখা নয়, ফাঁসের ভয় দেখিয়ে টাকা চাওয়া।

বাংলাদেশের ছোট প্রতিষ্ঠানগুলোও এখন ক্লাউড অ্যাকাউন্টিং, সিআরএম ও মার্কেটিং টুল ব্যবহার করছে, আর এই টুলগুলো একে অন্যের সঙ্গে যুক্ত থাকে। এ ধরনের হামলার কোনো দেশভিত্তিক পরিসংখ্যান আমরা পাইনি, তবে সংযোগ যত বাড়ে, আমাদের মতে ঝুঁকির পথও তত বাড়ে।

আপনি কী করবেন?

সাধারণ ব্যবহারকারীদের জন্য

পাসওয়ার্ড আলাদা রাখুন: প্রতিটি অ্যাকাউন্টে ভিন্ন পাসওয়ার্ড দিন, পাসওয়ার্ড ম্যানেজার ব্যবহার করুন।
পাসকি বা অ্যাপভিত্তিক যাচাই চালু করুন: এসএমএসের চেয়ে এগুলো নিরাপদ।
ফোনকলে বিশ্বাস করবেন না: ব্যাংক, এমএফএস বা অফিসের আইটির নামে কেউ ওটিপি বা কোড চাইলে ফোন কেটে নিজে অফিসিয়াল নম্বরে ফোন করুন।
যুক্ত অ্যাপ পরিষ্কার করুন: Google বা Facebook অ্যাকাউন্টের নিরাপত্তা পাতায় গিয়ে অপ্রয়োজনীয় অ্যাপের অনুমতি সরিয়ে দিন।
ফাঁসের পর সতর্ক থাকুন: আপনার কেনাকাটার তথ্য জানে এমন ফোন বা বার্তা মানেই আসল প্রতিষ্ঠান নয়।

ছোট প্রতিষ্ঠানের জন্য

তালিকা বানান: কোন কোন তৃতীয় পক্ষের অ্যাপ আপনার ডেটায় যুক্ত, তা লিখে রাখুন। বন্ধ হওয়া পরীক্ষামূলক প্রকল্পের অনুমতি সঙ্গে সঙ্গে বাতিল করুন। Klue-এর ঘটনার সবচেয়ে সহজ শিক্ষা এটাই।
অনুমতি কমিয়ে দিন: প্রতিটি অ্যাপ ও সার্ভিস অ্যাকাউন্টকে শুধু প্রয়োজনীয় অধিকার দিন, দীর্ঘমেয়াদি কি-এর বদলে স্বল্পমেয়াদি টোকেন ব্যবহার করুন।
অ্যাডমিন অ্যাকাউন্ট শক্ত করুন: Google-এর পরামর্শ অনুযায়ী এসএমএস বা পুশ-এর বদলে পাসকি বা হার্ডওয়্যার সিকিউরিটি কি ব্যবহার করুন।
হেল্পডেস্কের নিয়ম ঠিক করুন: ফোনে পাসওয়ার্ড বা এমএফএ রিসেট চাইলে পরিচিত নম্বরে ফিরতি ফোন করে পরিচয় যাচাই করুন।
অস্বাভাবিক ডাউনলোডে নজর রাখুন: বড় আকারের এক্সপোর্ট ও এপিআই ব্যবহারের লগ চালু রাখুন।
কম ডেটা রাখুন: যে তথ্য আপনার কাছে নেই, তা চুরিও হবে না। সংবেদনশীল তথ্য এনক্রিপ্ট করুন।
আগেই পরিকল্পনা করুন: ঘটনা ঘটলে কে সিদ্ধান্ত নেবেন, গ্রাহককে কী জানাবেন, তা আগে থেকে ঠিক রাখুন।

টাকা দিলেই সমস্যা মিটে যাবে, এমন ভরসাও করবেন না। Resilience-এর তথ্য বলছে, ডেটা ফাঁস ঠেকাতে যাঁরা টাকা দিয়েছিলেন, তাঁদের ৩০ থেকে ৪০ শতাংশ সেই লক্ষ্য পূরণ করতে পারেননি। চুরি করা ডেটার কোনো অনুলিপি মুছে গেছে কি না, তা বাইরে থেকে প্রমাণ করার উপায় নেই। তাই লড়াইটা শুরু করতে হবে ডেটা বের হওয়ার আগেই।