700Credit-এর 2025 সালের তথ্য ফাঁস

ক্ষতিগ্রস্ত ব্যক্তিদের পাঠানো বিজ্ঞপ্তির চিঠিতে 700Credit স্পষ্টভাবে জানিয়েছে যে ওয়েব অ্যাপ্লিকেশনে থাকা তার ডিলারশিপ গ্রাহকদের সঙ্গে সংশ্লিষ্ট কিছু রেকর্ড অনুমতি ছাড়াই কপি করা হয়েছে। মেইনের অ্যাটর্নি জেনারেলের কাছে চিঠিটি দাখিল করার মাধ্যমে আনুষ্ঠানিকভাবে নিশ্চিত করা হয়েছে যে এটি ব্যক্তিগত তথ্য ফাঁসের ঘটনা এবং বিজ্ঞপ্তির আওতায় 58,36,521 জন ছিলেন। মিশিগানের অ্যাটর্নি জেনারেলও ঘটনাটি ও ক্ষতিগ্রস্ত তথ্যের ধরন বর্ণনা করে ভোক্তাদের জন্য একটি সতর্কবার্তা প্রকাশ করেছেন।

BleepingComputer আনুষ্ঠানিক চিঠি ও কোম্পানির একজন নির্বাহীর বক্তব্য পর্যালোচনা করে জানিয়েছে যে হামলায় এমন একটি API ব্যবহার করা হয়েছিল, যাতে নিরাপত্তা লঙ্ঘনের শিকার তৃতীয় পক্ষের এক ইন্টিগ্রেশন অংশীদারের মাধ্যমে প্রবেশ করা হয়। তাদের প্রতিবেদন নিশ্চিত হওয়া তথ্যের ধরন, তদন্তের সময়রেখা এবং বারো মাসের পরিচয় সুরক্ষা সহায়তার বিষয়গুলো স্বাধীনভাবে সমর্থন করে। LeakData এই সূত্রগুলোর প্রকাশিত অনুসন্ধানের ফলাফলের ওপর নির্ভর করে; আক্রমণকারীর পরিচয় বা অপ্রকাশিত প্রযুক্তিগত বিবরণ নিয়ে অনুমান করে না।

কোম্পানির বিবরণ অনুযায়ী, একজন আক্রমণকারী 2025 সালের জুলাই মাসে 700Credit-এর এক ইন্টিগ্রেশন অংশীদারের সিস্টেমে প্রবেশ করে এবং ভোক্তাদের তথ্য সংগ্রহের জন্য ব্যবহৃত একটি API খুঁজে পায়। অংশীদারটি সে সময় এই নিরাপত্তা লঙ্ঘনের কথা 700Credit-কে জানায়নি। একটি নিয়ন্ত্রণগত দুর্বলতার কারণে ভোক্তার রেফারেন্স শনাক্তকারী মূল অনুরোধকারীর সঙ্গে যথাযথভাবে মিলিয়ে যাচাই করা হতো না। এর ফলে আক্রমণকারী অনুমতি ছাড়াই ভোক্তাদের রেকর্ডের জন্য অনুরোধ করতে পেরেছিল।

25 অক্টোবর অস্বাভাবিক কার্যকলাপ দেখার পর 700Credit বাইরের কম্পিউটার ফরেনসিক বিশেষজ্ঞদের নিয়ে তদন্ত শুরু করে এবং উন্মুক্ত হয়ে পড়া APIটি বন্ধ করে দেয়। কোম্পানির একজন নির্বাহী প্রকাশ্যে বলেছেন, 2025 সালের মে থেকে অক্টোবরের মধ্যে ডিলারশিপগুলো থেকে সংগৃহীত ভোক্তাদের তথ্যের প্রায় বিশ শতাংশ আক্রমণকারী সংগ্রহ করেছে। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন সবচেয়ে আগের প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

বিজ্ঞপ্তির নথিতে চার ধরনের তথ্য নিশ্চিত করা হয়েছে: পূর্ণ নাম, বাসা বা অন্যান্য স্থানের ঠিকানা, জন্মতারিখ এবং সোশ্যাল সিকিউরিটি নম্বর। প্রত্যেক ব্যক্তির ক্ষেত্রে একই ধরনের তথ্য ছিল, এমনটি নিশ্চিত নয়; কোম্পানি জানিয়েছে, তথ্যের বিষয়বস্তু ব্যক্তিভেদে আলাদা ছিল।

উল্লিখিত সূত্রগুলো নিশ্চিত হওয়া তথ্য ফাঁসের আওতায় পেমেন্ট কার্ড নম্বর, ব্যাংক অ্যাকাউন্টের পাসওয়ার্ড, বায়োমেট্রিক টেমপ্লেট বা ড্রাইভিং লাইসেন্স নম্বর অন্তর্ভুক্ত করেনি। তাই এসব তথ্যের ধরনও এই বিবরণে যোগ করা হয়নি। 700Credit ক্রেডিট রিপোর্টিং ও পরিচয় যাচাইয়ের পণ্য সরবরাহ করলেও তার সব পণ্যে ব্যবহৃত প্রতিটি ধরনের তথ্য ফাঁস হয়েছে বলে ধরে নেওয়া যায় না; এই রেকর্ড বিজ্ঞপ্তিতে স্পষ্টভাবে উল্লেখ করা চার ধরনের তথ্যের মধ্যেই সীমাবদ্ধ।

700Credit জানিয়েছে, তার অভ্যন্তরীণ নেটওয়ার্কের নিরাপত্তা লঙ্ঘিত হয়নি এবং ঘটনাটি 700Dealer.com অ্যাপ্লিকেশন স্তরের মধ্যেই সীমাবদ্ধ ছিল। প্রাথমিক অনুপ্রবেশটি এক ইন্টিগ্রেশন অংশীদারের সিস্টেমে ঘটায়, এটি তৃতীয় পক্ষের সংযোগজনিত ঝুঁকির ঘটনা, যা একটি অ্যাপ্লিকেশন ইন্টারফেসের মাধ্যমে ছড়িয়েছে। তবে সহায়ক প্রমাণ ছাড়া নাম প্রকাশ না করা ওই অংশীদারের প্রতিটি সিস্টেম বা 700Credit-এর প্রতিটি ডিলারশিপ গ্রাহকের ক্ষেত্রে আলাদা তথ্য ফাঁস ঘটেছে বলে এই রেকর্ডে গণ্য করা হয় না।

কোম্পানি 21 নভেম্বর থেকে ক্ষতিগ্রস্ত ডিলারশিপ গ্রাহকদের জানানো শুরু করে এবং বলে যে ব্যক্তিদের লিখিত বিজ্ঞপ্তি পাঠানো শুরু হবে 22 ডিসেম্বর। National Automobile Dealers Association-এর সঙ্গে সমন্বয় করে প্রতিষ্ঠানটি নিজের ও ক্ষতিগ্রস্ত ডিলার গ্রাহকদের পক্ষে Federal Trade Commission-এর কাছে একটি সমন্বিত বিজ্ঞপ্তি দাখিল করে। অঙ্গরাজ্যগুলোর অ্যাটর্নি জেনারেলদের এবং FBI-কেও ঘটনাটি জানানো হয়েছে।

700Credit ক্ষতিগ্রস্ত ব্যক্তিদের জন্য TransUnion-এর মাধ্যমে বারো মাসের বিনা মূল্যের ক্রেডিট পর্যবেক্ষণ এবং পরিচয় চুরির প্রভাব থেকে পুনরুদ্ধারের সেবা দেওয়ার প্রস্তাব করেছে। আপনি বিজ্ঞপ্তি পেয়ে থাকলে উল্লেখিত সময়সীমার আগে এই সেবায় নিবন্ধন করুন, নিয়মিত আপনার ক্রেডিট রিপোর্ট পর্যালোচনা করুন এবং অপরিচিত কোনো অ্যাকাউন্ট বা ক্রেডিট অনুসন্ধান দেখলে দ্রুত জানান। কোনো বার্তা কোম্পানির কাছ থেকে এসেছে বলে মনে হলেও তাতে সোশ্যাল সিকিউরিটি নম্বর বা অর্থ চাওয়া হলে, স্বাধীনভাবে সংগ্রহ করা যোগাযোগের মাধ্যম ব্যবহার করে সেটির সত্যতা যাচাই করুন।

সোশ্যাল সিকিউরিটি নম্বর সহজে বদলানো যায় না বলে শুধু স্বল্পমেয়াদি পর্যবেক্ষণ চলমান ঝুঁকি মোকাবিলার জন্য যথেষ্ট নাও হতে পারে। যুক্তরাষ্ট্রের ভোক্তারা প্রধান তিনটি ক্রেডিট ব্যুরোর প্রতিটিতে বিনা মূল্যে সিকিউরিটি ফ্রিজ চালু করতে পারেন, কর ও সরকারি সেবার অ্যাকাউন্টে শক্তিশালী বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করতে পারেন এবং দীর্ঘমেয়াদে পরিচয় চুরির লক্ষণগুলোর দিকে নজর রাখতে পারেন। সিকিউরিটি ফ্রিজ বিদ্যমান অ্যাকাউন্ট বন্ধ করে না; এটি অনুমতি ছাড়া নতুন ঋণ বা ক্রেডিট অ্যাকাউন্ট খোলা কঠিন করে তোলে।

আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির যে ব্যাপ্তির কথা জানানো হয়েছে, তা নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। সংবাদের শিরোনামে রাউন্ড করে উল্লেখ করা 58 লাখ এবং পৃথক অঙ্গরাজ্যে দাখিল করা নথির অপেক্ষাকৃত ছোট অন্তর্বর্তী মোট সংখ্যা আলাদাভাবে যোগ করা হয় না। ঘটনার তারিখ 25 অক্টোবর 2025; এই যাচাইকৃত দিনেই 700Credit সন্দেহজনক কার্যকলাপ শনাক্ত করেছিল। তৃতীয় পক্ষের সিস্টেমে জুলাই থেকে শুরু হওয়া অনুপ্রবেশ সময়রেখায় বর্ণনা করা হয়েছে, তবে কোনো নির্দিষ্ট দিন বানিয়ে বলা হয়নি।

যাচাই না করা ব্যক্তিসংখ্যা, তথ্যের ধরন এবং হামলাকারীদের করা দাবি ঘটনাটির প্রকাশ্য পরিসরের অংশ হিসেবে গণ্য করা হয় না। কোনো নিয়ন্ত্রক সংস্থা সংশোধনী দিলে বা কোম্পানি চূড়ান্ত ফরেনসিক প্রতিবেদন প্রকাশ করলে এই পরিসর পুনর্মূল্যায়ন করা যেতে পারে; বর্তমান বিবরণ আনুষ্ঠানিক বিজ্ঞপ্তি ও স্বাধীন প্রতিবেদনে সমর্থিত তথ্যের বাইরে যায় না।