EY-এর 2026 সালের তথ্য ফাঁস

নথিভেদে ডাউনলোড করা তথ্যে কোনো ব্যক্তির নাম, ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর, আর্থিক হিসাবের নম্বর এবং ক্রেডিট বা ডেবিট কার্ড নম্বর থাকতে পারত। EY আরও জানিয়েছে, কর রিটার্ন প্রস্তুত করতে ব্যবহৃত অন্যান্য ব্যক্তিগত ও আর্থিক তথ্যও এর অন্তর্ভুক্ত হয়ে থাকতে পারে। এই বিবরণে শুধু কোম্পানির বিজ্ঞপ্তি ও নিয়ন্ত্রক সংস্থার নোটিশে সমর্থিত তথ্যের ধরনগুলো তালিকাভুক্ত করা হয়েছে।

কোম্পানি বলেনি যে প্রত্যেক গ্রাহকের নথিতে প্রতিটি ধরনের তথ্য ছিল। বর্ণিত ঘটনার পরিধিতে পাসওয়ার্ড, বায়োমেট্রিক তথ্য ও চিকিৎসা নথি ছিল না, তাই এগুলোকে তথ্যের ধরন হিসেবে যোগ করা হয়নি। তা সত্ত্বেও, সোশ্যাল সিকিউরিটি নম্বর, আর্থিক হিসাব ও করসংক্রান্ত তথ্য একসঙ্গে থাকলে পরিচয় চুরি, জাল কর রিটার্ন দাখিল, অন্যের পরিচয়ে নতুন হিসাব খোলার মাধ্যমে প্রতারণা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আর্থিক প্রতারণার গুরুতর ঝুঁকি তৈরি হয়।

তথ্য ফাঁসের ঘটনাটি EY-এর মূল সর্বসাধারণের জন্য উন্মুক্ত ওয়েবসাইটে নয়, করসংক্রান্ত সহায়তার অনুরোধের জন্য ব্যবহৃত একটি বাহ্যিক সেবা ব্যবস্থাপনা প্ল্যাটফর্মে ঘটেছে। টিকিট ব্যবস্থাপনা সিস্টেমে স্ক্রিনশট, সংযুক্তি ও গ্রাহকের পরিস্থিতির বিস্তারিত তথ্য জমা হতে পারে। ফলে আপাতদৃষ্টিতে সাধারণ একটি সহায়তার অনুরোধেও প্রত্যাশার চেয়ে অনেক বেশি সংবেদনশীল তথ্য থাকতে পারে। ঘটনাটি দেখায়, সহায়তার অনুরোধের সঙ্গে যুক্ত নথির জন্যও মূল ব্যবসায়িক সিস্টেমের সমতুল্য তথ্য শ্রেণিবিন্যাস, তথ্য সংরক্ষণের নিয়ন্ত্রণ এবং প্রবেশাধিকার সুরক্ষা প্রয়োজন।

আক্রমণকারী প্রথমে কীভাবে প্ল্যাটফর্মে প্রবেশ করেছিল, কোনো নির্দিষ্ট দুর্বলতা ছিল কি না বা কোন ব্যক্তি বা গোষ্ঠী দায়ী ছিল, এসব EY প্রকাশ করেনি। পরিচিত কোনো র‍্যানসমওয়্যার বা চাঁদাবাজ গোষ্ঠী ঘটনাটির দায় স্বীকার করেছে, এমন কোনো নিশ্চিত প্রতিবেদনও নেই। এই বিবরণে আক্রমণের পদ্ধতি নিয়ে অনুমান করা হয়নি; এটি প্ল্যাটফর্মে প্রবেশ, প্রবেশের সময়সীমা ও ডাউনলোড করা নথি সম্পর্কে যাচাইকৃত তথ্যের মধ্যেই সীমিত।

করসংক্রান্ত নথিতে নিয়োগকর্তা, আয়, হিসাব ও পরিচয়ের তথ্য একসঙ্গে থাকতে পারে। আক্রমণকারী এসব তথ্য ব্যবহার করে জাল কর ফেরতের দাবি দাখিল করতে পারে, গ্রাহকের প্রকৃত তথ্য দিয়ে অত্যন্ত বিশ্বাসযোগ্য বার্তা লিখতে পারে অথবা কর উপদেষ্টার পরিচয় ধারণ করতে পারে। আপনি যদি কর কর্তৃপক্ষের কাছ থেকে অপ্রত্যাশিত কোনো নোটিশ, একই কর রিটার্ন একাধিকবার দাখিলের সতর্কবার্তা বা আপনার অজানা কোনো কর ফেরতের অনুরোধ পান, তাহলে কর কর্তৃপক্ষের আনুষ্ঠানিক যোগাযোগমাধ্যমে দ্রুত আপত্তি জানান।

যাঁদের কার্ড বা ব্যাংক হিসাবের নম্বর ক্ষতিগ্রস্ত তথ্যের মধ্যে ছিল, তাঁদের উচিত কার্ড বা হিসাবের জন্য পরিচিত ফোন নম্বরে সংশ্লিষ্ট আর্থিক প্রতিষ্ঠানের সঙ্গে যোগাযোগ করা। লেনদেনের সতর্কবার্তা চালু করুন, পরীক্ষামূলকভাবে কাটা ছোট অঙ্কের অর্থও খতিয়ে দেখুন এবং প্রতিষ্ঠান পরামর্শ দিলে কার্ড বা হিসাব বদলান। যাঁদের সোশ্যাল সিকিউরিটি নম্বর এর অন্তর্ভুক্ত ছিল, তাঁদের উচিত তিনটি ক্রেডিট ব্যুরোতেই বিনামূল্যে ক্রেডিট ফ্রিজ করার কথা এবং তাঁদের কর হিসাবের জন্য দেওয়া অতিরিক্ত পরিচয় সুরক্ষার যেকোনো সুবিধা বিবেচনা করা।

EY জানিয়েছে, অস্বাভাবিক কার্যকলাপ শনাক্ত করার পর তারা ঘটনা মোকাবিলা, প্রতিকার ও পুনরুদ্ধারের কার্যক্রম চালু করে এবং ঘটনার প্রকৃতি ও পরিধি তদন্ত করতে একটি স্বাধীন সাইবার নিরাপত্তা প্রতিষ্ঠানকে নিয়োগ দেয়। বিজ্ঞপ্তি দেওয়ার সময় কোম্পানি জানিয়েছিল, ক্ষতিগ্রস্ত ব্যক্তিগত তথ্যের অপব্যবহার বা আরও ফাঁস হওয়ার কোনো তথ্য তাদের জানা ছিল না। এই বক্তব্যের অর্থ ঝুঁকি নেই, এমন নয়; এটি শুধু জানায় যে সেই সময় পর্যন্ত অপব্যবহার নিশ্চিত করা হয়নি।

যোগ্য ক্ষতিগ্রস্ত ব্যক্তিদের দুই বছরের জন্য বিনামূল্যে ক্রেডিট পর্যবেক্ষণ, পরিচয় পর্যবেক্ষণ ও পরিচয় পুনরুদ্ধার সেবা দেওয়ার প্রস্তাব করা হয়েছিল। প্রাপকদের উচিত সার্চ বিজ্ঞাপন বা অপ্রত্যাশিত বার্তার মাধ্যমে খোলা কোনো পৃষ্ঠায় সোশ্যাল সিকিউরিটি নম্বর না দিয়ে, তাঁদের নিজস্ব নোটিশে থাকা লিংক ও কোড ব্যবহার করে নিবন্ধন করা। পর্যবেক্ষণ সেবা বিদ্যমান হিসাব, হিসাবের বিবরণী ও করসংক্রান্ত নথি নিয়মিত পর্যালোচনার বিকল্প নয়।

ডাউনলোড করা সহায়তার নথি যার হাতে আছে, সে প্রকল্প, গ্রাহক, কর মেয়াদ বা হিসাবের সঠিক তথ্য ব্যবহার করে EY-এর কোনো পেশাজীবীর পরিচয় ধারণ করতে পারে। কোনো বার্তায় প্রকৃত তথ্য থাকলেই সেটি আসল প্রেরকের কাছ থেকে এসেছে, এমন নয়। নতুন নথি আপলোড, ব্যাংকিং তথ্য পরিবর্তন, দূরবর্তী প্রবেশাধিকার চালু বা একবার ব্যবহারযোগ্য কোড শেয়ার করার অনুরোধ এলে সেই বার্তায় উত্তর না দিয়ে, আলাদা যোগাযোগমাধ্যমে EY-এর পরিচিত যোগাযোগব্যক্তির সঙ্গে তা যাচাই করুন।

“তথ্য ফাঁসের ক্ষতিপূরণ”, “বিনামূল্যের পর্যবেক্ষণ সেবা চালু করুন” বা “আপনার কর ফাইল আবার জমা দিন”, এ ধরনের বার্তার ক্ষেত্রে বিশেষ সতর্কতা অবলম্বন করুন। সংযুক্তিতে ম্যাক্রো চালু করবেন না এবং সম্পূর্ণ ডোমেইনটি প্রতিটি অক্ষর ধরে পরীক্ষা করুন। গ্রাহক প্রতিষ্ঠানের ভেতরে কর, আইন, অর্থ ও নিরাপত্তা বিভাগের মধ্যে সমন্বয় করে বিষয়টি পর্যালোচনা করুন, কারণ সহায়তার অনুরোধের সঙ্গে যুক্ত একটি চুরি হওয়া ফাইলেই একাধিক বিভাগের গোপন তথ্য থাকতে পারে।

টেক্সাসের অ্যাটর্নি জেনারেলের নথি BR-0005180-এ যুক্তরাষ্ট্রজুড়ে ক্ষতিগ্রস্ত ব্যক্তির সুনির্দিষ্ট মোট সংখ্যা 10,895 এবং তাঁদের মধ্যে টেক্সাসের বাসিন্দার সংখ্যা 873 প্রকাশ করা হয়েছে। টেক্সাসের সংখ্যাটি দেশজুড়ে মোট সংখ্যার অন্তর্ভুক্ত; এটি আবার যোগ করা হয়নি। যাঁরা সরাসরি নোটিশ পেয়েছেন, তাঁদের নিজস্ব EY নোটিশে উল্লেখ করা তথ্যের ধরনগুলোর ওপর নির্ভর করা উচিত।

এই বিবরণ শুধু 28 মার্চ–12 এপ্রিল 2026 সময়সীমায় তৃতীয় পক্ষের সহায়তা প্ল্যাটফর্মে প্রবেশের ঘটনাটি নিয়ে এবং এটি EY-এর অন্যান্য সাইবার ঘটনা থেকে আলাদা। টেক্সাস পোর্টালের সমাপ্তির তারিখের ঘরে থাকা 23 এপ্রিল হলো সেই তারিখ, যেদিন কোম্পানির চিঠি অনুযায়ী অস্বাভাবিক কার্যকলাপ শনাক্ত হয়েছিল; এটি প্রবেশের বিস্তারিত সময়সীমার বিকল্প নয়। ভবিষ্যতে প্ল্যাটফর্ম, অনুপ্রবেশের পদ্ধতি বা তথ্যের ধরন সম্পর্কে বিস্তারিত তথ্য কেবল যাচাই হওয়ার পরই যোগ করা উচিত।