Ecopetrol-এ 2026 সালের তথ্য ফাঁস

ঘটনার নিশ্চিত প্রভাব হলো Ecopetrol-সহ গোষ্ঠীভুক্ত প্রায় 15টি কোম্পানির ব্যবহৃত ক্লাউড সংরক্ষণ ব্যবস্থা থেকে কর্পোরেট ফাইল ডাউনলোড করা। কোম্পানি 3,300 সংখ্যাটিকে অননুমোদিত প্রবেশের সঙ্গে সংশ্লিষ্ট ব্যবহারকারী অ্যাকাউন্টের সংখ্যা হিসেবে উল্লেখ করেছে, চুরি হওয়া পৃথক পরিচয়-সংক্রান্ত রেকর্ডের সংখ্যা হিসেবে নয়। তাই LeakData-এ আক্রান্তের সংখ্যা বলতে সংশ্লিষ্ট অ্যাকাউন্টের সংখ্যা বোঝানো হয়েছে; এর অর্থ এই নয় যে 3,300 জনের ব্যক্তিগত তথ্য ফাঁস হয়েছে।

Ecopetrol জানায়, ডাউনলোড করা ফাইলগুলো শ্রেণিবিন্যাস করা এবং সেগুলোর গুরুত্বের মাত্রা মূল্যায়নের কাজ চলছিল। কোম্পানির প্রকাশ্য বিবৃতিগুলোতে ফাইলের ভেতরের নির্দিষ্ট তথ্যক্ষেত্রের তালিকা দেওয়া হয়নি। তাই এই বিবরণে অনুমান করে নাম, ইমেইল ঠিকানা, ফোন নম্বর, পরিচয় নম্বর বা পাসওয়ার্ডকে তথ্যের ধরন হিসেবে যোগ করা হয়নি। তথ্যের শ্রেণি কেবল নিশ্চিতভাবে ডাউনলোড হওয়া কর্পোরেট ক্লাউড-সংরক্ষিত ফাইলের মধ্যেই সীমাবদ্ধ।

20 জুলাইয়ের হালনাগাদ তথ্য অনুযায়ী, 3,300টি অ্যাকাউন্টের সঙ্গে সংশ্লিষ্ট ব্যবহারকারীদের পরিচয়-সংক্রান্ত তথ্যের নিরাপত্তা লঙ্ঘিত হয়নি এবং অ্যাক্সেসের জন্য ব্যবহৃত কোনো ব্যবহারকারীর পরিচয় যাচাইয়ের তথ্য হাতিয়ে নেওয়া হয়নি। ওই পক্ষ তথ্য ধ্বংস, মুছে ফেলা বা এনক্রিপ্ট করার চেষ্টা করলেও কোম্পানি তথ্যের অখণ্ডতার কোনো ক্ষতি খুঁজে পায়নি। তাই পাসওয়ার্ড ও ব্যবহারকারীদের পরিচয়-সংক্রান্ত বিবরণ তথ্যের শ্রেণিগুলোর মধ্যে অন্তর্ভুক্ত করা হয়নি।

Ecopetrol জানায়, এর ডিজিটাল পরিমণ্ডল, অধীনস্থ প্রতিষ্ঠান কিংবা বাণিজ্যিক ও আর্থিক অংশীদার, সরবরাহকারী এবং গ্রাহকদের নেটওয়ার্কে লেনদেন পরিচালনার প্রযুক্তিগত ব্যবস্থাগুলোর নিরাপত্তা লঙ্ঘিত হয়নি। কার্যক্রম নিরবচ্ছিন্নভাবে চলেছে। এসব ফলাফল ঘটনাটিকে গুরুত্বহীন করে না: ফাইলের গোপনীয়তা লঙ্ঘিত হয়েছে, তবে প্রকাশিত তথ্য অনুযায়ী সিস্টেমের অখণ্ডতা ও লেনদেন ব্যবস্থার ওপর প্রভাব সীমার মধ্যে রাখা গেছে।

বহিরাগত পক্ষটি বেআইনিভাবে সংগ্রহ করা তথ্য প্রকাশের হুমকি দিয়ে অর্থ দাবি করে। এটি দ্বৈত চাঁদাবাজির কৌশলের তথ্য চুরির অংশটিকে তুলে ধরে, যেখানে এনক্রিপশন সফল না হলেও অর্থ দাবি করার আগে তথ্য চুরি করা হয়। Ecopetrol-এর বিবৃতিতে আটকে দেওয়া র‍্যানসমওয়্যার চালুর চেষ্টার সঙ্গে বাস্তবে ঘটে যাওয়া ফাইল ডাউনলোড ও অর্থ দাবির বিষয়গুলো সতর্কভাবে পৃথক করা হয়েছে।

কোম্পানি হামলাকারী পক্ষ, ম্যালওয়্যার বা প্রথমবার প্রবেশের পদ্ধতি শনাক্ত করে জানায়নি। পরিচিত কোনো র‍্যানসমওয়্যার গোষ্ঠীর সংশ্লিষ্টতার নিশ্চিত তথ্য প্রকাশিত হয়নি। তাই এই বিবরণে কোনো গোষ্ঠীর নাম, দুর্বলতা বা অনুপ্রবেশের কৌশল অনুমান করা হয়নি। তথ্য ফাঁসের কোনো সাইটে করা একতরফা দাবির ভিত্তিতে এই রেকর্ডে নতুন তথ্য যোগ করা উচিত নয়, যদি না কোম্পানি বা কোনো নির্ভরযোগ্য অনুসন্ধানী সূত্র সেই দাবি যাচাই করে।

Ecopetrol জানায়, কোম্পানি অবিলম্বে অননুমোদিত প্রবেশাধিকার বাতিল করে, বিপুল পরিমাণ ফাইল ডাউনলোডের সঙ্গে সংশ্লিষ্ট ব্যবস্থাগুলো বন্ধ করে এবং হামলাকারী পক্ষের কৌশল, পদ্ধতি ও কার্যপ্রক্রিয়া শনাক্ত করে সেগুলো নিয়ন্ত্রণে আনে। তথ্য সংরক্ষণ বা ডাউনলোডে ব্যবহৃত বাহ্যিক অবকাঠামোর ব্যবহার সীমিত করার উদ্যোগও নেওয়া হয়। ডাউনলোড করা উপকরণ শ্রেণিবিন্যাস করা এবং সেগুলোর গুরুত্বের মাত্রা মূল্যায়ন করাও মোকাবিলা পরিকল্পনার অন্তর্ভুক্ত ছিল।

কোম্পানি কলম্বিয়ার অ্যাটর্নি জেনারেলের কাছে ফৌজদারি অভিযোগ দায়ের করে এবং ColCERT, সাইবার অপরাধবিষয়ক বিশেষায়িত অধিদপ্তর, সশস্ত্র বাহিনীর যৌথ সাইবার কমান্ড ও জাতীয় পুলিশের সাইবার অপরাধ ইউনিটগুলোর সঙ্গে কাজ করে। তদন্ত, প্রতিকার ও নিয়ন্ত্রক বাধ্যবাধকতা-সংক্রান্ত ব্যয় ব্যবস্থাপনার জন্য বীমা ও পুঁজিবাজারবিষয়ক দলগুলোকে সক্রিয় করা হয়। 20 জুলাই নাগাদ ঘটনা নিয়ন্ত্রণে আনার কাজ অনেক দূর এগিয়েছিল, যদিও ফাইল পর্যালোচনা তখনও চলছিল।

কোম্পানি যেহেতু বলেছে যে ব্যবহারকারীদের পরিচয়-সংক্রান্ত তথ্য ও অ্যাক্সেসের জন্য ব্যবহৃত পরিচয় যাচাইয়ের তথ্য হাতিয়ে নেওয়া হয়নি, তাই এই ঘটনাকে ভিত্তি করে সব পাসওয়ার্ড চুরি হয়েছে বলে দাবি করা উচিত নয়। তা সত্ত্বেও, Ecopetrol বা এর অধীনস্থ প্রতিষ্ঠানগুলোর সঙ্গে ফাইল আদান-প্রদানকারী দলগুলোর অস্বাভাবিক ডাউনলোড, শেয়ার করার লিংক, নতুন ডিভাইস-সংক্রান্ত ঘটনা এবং অ্যাক্সেসের সতর্কবার্তা খতিয়ে দেখা উচিত। অপ্রয়োজনীয় সর্বজনীন লিংক বন্ধ করা এবং সংবেদনশীল ফোল্ডারে কেবল প্রয়োজনীয় ন্যূনতম প্রবেশাধিকার দেওয়াও উচিত।

কর্পোরেট ফাইলে থাকা প্রকল্প, সরবরাহকারী বা কর্মীদের প্রকৃত বিবরণ নির্দিষ্ট ব্যক্তি বা প্রতিষ্ঠানকে লক্ষ্য করে ফিশিংয়ে কাজে লাগতে পারে। “তথ্য প্রকাশ ঠেকাতে অর্থ দিন”, “নথিতে প্রবেশাধিকার পুনরায় যাচাই করুন” বা “এই নিরাপত্তা আপডেট ইনস্টল করুন”, এমন বার্তা পেলে স্বাধীনভাবে যাচাই করুন। গ্রাহক ও সরবরাহকারীরা মনে রাখতে পারেন যে লেনদেন ব্যবস্থায় কোনো নিরাপত্তা লঙ্ঘন শনাক্ত হয়নি; পাশাপাশি Ecopetrol-এর নামে পাঠানো অপ্রত্যাশিত সংযুক্তি ও লিংক সম্পর্কে সতর্ক থাকাও জরুরি।

3,300 হলো ডাউনলোড করা তথ্যের সঙ্গে Ecopetrol যে ব্যবহারকারী অ্যাকাউন্টগুলোকে সংশ্লিষ্ট হিসেবে উল্লেখ করেছে, সেগুলোর সংখ্যা। এর অর্থ এই নয় যে 3,300 জনের পরিচয়-সংক্রান্ত তথ্য চুরি হয়েছে। কোম্পানি স্পষ্টভাবে বলেছে যে ব্যবহারকারীদের পরিচয়-সংক্রান্ত তথ্য ও পরিচয় যাচাইয়ের তথ্যের নিরাপত্তা লঙ্ঘিত হয়নি।

এই বিবরণে কেবল 2026 সালের জুলাই মাসে প্রকাশিত ক্লাউড ফাইল ডাউনলোড ও অর্থ দাবির ঘটনাটি অন্তর্ভুক্ত রয়েছে। আটকে দেওয়া র‍্যানসমওয়্যার চালুর চেষ্টাকে এখানে সফল এনক্রিপশন হিসেবে বর্ণনা করা হয়নি। প্রকাশ করা হয়নি এমন ফাইলের তথ্যক্ষেত্রগুলোকে ব্যক্তিগত তথ্য বলেও ধরে নেওয়া হয়নি। Ecopetrol পরে ফাইলের শ্রেণি, অনুপ্রবেশের সুনির্দিষ্ট তারিখ বা অতিরিক্ত যাচাইকৃত প্রভাব প্রকাশ করলে, কেবল সেই নতুন আনুষ্ঠানিক প্রমাণের সঙ্গে মিল রেখেই রেকর্ডটি হালনাগাদ করা উচিত।