বাংলাদেশের শীর্ষস্থানীয় রাইড শেয়ারিং, পণ্য সরবরাহ ও আর্থিক সেবা প্রদানকারী প্রযুক্তি প্রতিষ্ঠান ‘পাঠাও’-এর সিস্টেম থেকে প্রায় ১৩৩ গিগাবাইট তথ্য হস্তগত করার দাবি করেছে একটি আন্তর্জাতিক সাইবার অপরাধী চক্র। এসব তথ্য ফেরত দেওয়া ও গোপন রাখার বিনিময়ে প্রতিষ্ঠানটির কাছে ক্রিপ্টোকারেন্সিতে ৪ লাখ ইউএসডিটি (প্রায় ৫ কোটি টাকা) মুক্তিপণ দাবি করা হয়েছে।
তবে কোম্পানিটি কিছু গ্রাহকের সীমিত ব্যক্তিগত তথ্য ফাঁসের কথা স্বীকার করলেও ডার্ক ওয়েবে অপরাধীদের দাবি করা বিপুল তথ্য চুরি বা মুক্তিপণ চাহিদার বিষয়টি নিশ্চিত করেনি।
ডার্ক ওয়েব নজরদারিকারী এক্স অ্যাকাউন্ট ‘ডেইলি ডার্ক ওয়েব’-এ প্রকাশিত একটি স্ক্রিনশটে এই সাইবার হামলার খবর প্রথম সামনে আসে। সেখানে অজ্ঞাতনামা এক হ্যাকার বা ‘থ্রেট অ্যাক্টর’ পাঠাও লিমিটেডকে উদ্দেশ করে একটি হুমকিমূলক নোটিশ পোস্ট করে।
স্ক্রিনশটে দেওয়া তথ্য অনুযায়ী, কথিত তথ্যভাণ্ডারে প্রায় ২৫ কোটি সারির (rows) ডেটা রয়েছে, যা ৫৯১টি টেবিলে সংরক্ষিত। হ্যাকারদের দাবি করা প্রধান তথ্যগুলোর মধ্যে রয়েছে:
গ্রাহক অ্যাকাউন্ট: ১ কোটি ৯ লাখের বেশি ব্যবহারকারীর নাম, ই-মেইল, ফোন নম্বর, পাসওয়ার্ডের হ্যাশ, জিপিএস লোকেশন ও ফেসবুক অ্যাক্সেস টোকেন।
পরিচয়পত্র: ১ কোটি ৯ লাখের বেশি জাতীয় পরিচয়পত্র (এনআইডি) নম্বর এবং প্রায় সমপরিমাণ ড্রাইভিং লাইসেন্স তথ্য।
ঠিকানা ও ছবি: প্রায় ৫৭ লাখ ব্যবহারকারীর বাসার ঠিকানা ও প্রোফাইল ছবি।
কর্মী ও বাণিজ্যিক তথ্য: পাঠাওয়ের মানবসম্পদ বিভাগের ৫৪৯ জন কর্মীর বেতন, ধর্ম ও জরুরি যোগাযোগের তথ্যসহ ১৭ হাজার ৯৪৩টি মার্চেন্ট ব্যাংক অ্যাকাউন্ট ও রাউটিং নম্বর।
তবে স্ক্রিনশটে দাবিকৃত তথ্যের কোনো নমুনা প্রকাশ করা হয়নি। ফলে তথ্যের সত্যতা নিরপেক্ষভাবে যাচাই করা সম্ভব হয়নি।
সাইবার অপরাধীরা মুক্তিপণ হিসেবে ক্রিপ্টোকারেন্সি ‘ইউএসডিটি’ (USDT)-তে ৪ লাখ ডলার দাবি করেছে, যা বর্তমান বিনিময় হারে প্রায় ৫ কোটি টাকা।
তারা হুমকি দিয়েছে, ২৪ ঘণ্টার মধ্যে অর্থ না দিলে এসব স্পর্শকাতর তথ্য জনসমক্ষে ফাঁস করে দেওয়া হবে। বিপরীতে, অর্থ পরিশোধ করলে সিস্টেমের ক্ষতিকর কার্যক্রম বন্ধ এবং তথ্য মুছে ফেলার প্রতিশ্রুতি দেওয়া হয়েছে।
সাময়িক সেবা বিঘ্ন ঘটার পর গত ৭ অক্টোবর এক বিবৃতিতে পাঠাও সাইবার নিরাপত্তার বিষয়টি স্বীকার করে। প্রতিষ্ঠানটি জানায়, গত ৪ অক্টোবর তাদের সেবায় যান্ত্রিক সমস্যা দেখা দিলে সুরক্ষার স্বার্থে সাময়িকভাবে কিছু সিস্টেম বন্ধ রাখা হয়েছিল। পরবর্তীতে তদন্তে দেখা যায়, অনাকাঙ্ক্ষিত উপায়ে কিছু ব্যবহারকারীর নাম, ই-মেইল ও ফোন নম্বরের মতো প্রাথমিক তথ্য হাতছাড়া হয়েছে।
তবে হ্যাকারদের দাবিকৃত ১৩৩ গিগাবাইট তথ্য চুরি কিংবা ৫ কোটি টাকার মুক্তিপণ দাবির বিষয়ে বিবৃতিতে কোনো তথ্য দেয়নি পাঠাও।
কোম্পানিটির পক্ষ থেকে জানানো হয়েছে: পরিস্থিতি নিয়ন্ত্রণে বাইরের আন্তর্জাতিক সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করা হয়েছে; বিষয়টি সংশ্লিষ্ট সরকারি কর্তৃপক্ষকে জানানো হয়েছে এবং তদন্ত চলছে; কোনো আর্থিক লেনদেন বা পাসওয়ার্ড সংক্রান্ত তথ্য ফাঁস হয়নি।
বিশেষজ্ঞদের মতে, যদি দাবি করা জাতীয় পরিচয়পত্র বা ড্রাইভিং লাইসেন্সের তথ্য সত্যিই হাতছাড়া হয়ে থাকে, তবে ব্যবহারকারীদের নাম ভাঙিয়ে পরিচয় চুরি বা সিম কার্ড জালিয়াতির (SIM Swapping) ঝুঁকি তৈরি হতে পারে।
এমন পরিস্থিতিতে পাঠাও তাদের গ্রাহকদের সতর্ক থাকার পরামর্শ দিয়ে জানিয়েছে: পাঠাওয়ের পরিচয় দিয়ে আসা যেকোনো সন্দেহজনক কল, মেসেজ বা লিংকের ব্যাপারে সতর্ক থাকতে হবে; মেসেজে আসা কোনো ওটিপি (OTP), পিন (PIN) বা পাসওয়ার্ড কারও সাথে শেয়ার করা যাবে না; অচেনা বা সন্দেহজনক কোনো ওয়েবলিংকে প্রবেশ করা থেকে বিরত থাকতে হবে।