HackerOne Navia 2025-এর তথ্য ফাঁস

নিয়ন্ত্রক সংস্থার নথির সঙ্গে সংযুক্ত HackerOne-এর বিজ্ঞপ্তিতে বলা হয়েছে, Navia কোম্পানির হয়ে কর্মী-সুবিধা সংক্রান্ত তথ্য সংরক্ষণ করত। HackerOne-কে জানানো হয়েছিল যে Broken Object Level Authorization দুর্বলতার কারণে অজ্ঞাত এক ব্যক্তি সেই তথ্যে প্রবেশ করতে পেরেছিল। মেইনের অ্যাটর্নি জেনারেলের কাছে জমা দেওয়া নথিতে HackerOne-এর 287 জন ক্ষতিগ্রস্ত কর্মীকে চিহ্নিত করা হয়েছে। এই নথিগুলো একত্রে নিশ্চিত করে যে বাস্তবে তথ্য চুরি হয়েছে এবং HackerOne-এর ক্ষেত্রে ঘটনার পরিসর কতটুকু।

BleepingComputer নিয়ন্ত্রক সংস্থার নথিগুলো তুলনা করে তথ্যে প্রবেশের সময়সীমা, মোট কর্মীসংখ্যা, চুরি হওয়া তথ্যের ধরন এবং Navia-এর ঘটনাক্রম প্রকাশ করেছে। Navia 23 জানুয়ারি 2026-এ সন্দেহজনক কার্যকলাপ শনাক্ত করে এবং ক্ষতিগ্রস্ত কোম্পানিগুলোকে 20 ফেব্রুয়ারি তারিখের চিঠি পাঠায়।

ব্যক্তিভেদে তথ্যের মধ্যে সোশ্যাল সিকিউরিটি নম্বর, পূর্ণ নাম, ঠিকানা, ফোন নম্বর, জন্মতারিখ ও ইমেইল ঠিকানার বিভিন্ন সমন্বয় থাকতে পারে। এ ছাড়া কর্মী-সুবিধা কর্মসূচিতে নিবন্ধনের তারিখ, কার্যকর হওয়ার তারিখ ও সমাপ্তির তারিখও থাকতে পারে, যা চাকরি ও সুবিধা কর্মসূচির সঙ্গে সংশ্লিষ্ট ব্যক্তির সম্পর্ক নির্দেশ করে। কর্মীদের ফাইলে তাঁদের সংশ্লিষ্ট নির্ভরশীল ব্যক্তিদের তথ্যও থাকতে পারে।

287 জন কর্মীর সবার বা তাঁদের প্রত্যেক নির্ভরশীল ব্যক্তির ক্ষেত্রে প্রতিটি ধরনের তথ্য ছিল বলে ধরে নেওয়া উচিত নয়। বিজ্ঞপ্তিতে তথ্যের বিভিন্ন সমন্বয়ের কথা বলা হয়েছে, তবে ধরনভিত্তিক আলাদা সংখ্যা দেওয়া হয়নি।

কোনো ব্যবহারকারী যে অবজেক্ট বা রেকর্ডে প্রবেশের অনুরোধ করছেন, সেটিতে প্রবেশের অনুমতি তাঁর আছে কি না, তা অ্যাপ্লিকেশন যথাযথভাবে যাচাই না করলে Broken Object Level Authorization দুর্বলতা দেখা দেয়। HackerOne-কে দেওয়া তথ্য অনুযায়ী, এই ত্রুটির কারণে অজ্ঞাত এক ব্যক্তি Navia-এর তথ্যে প্রবেশ করতে পেরেছিল। এই রেকর্ডে বিষয়টি সেবাদাতার জানানো প্রযুক্তিগত ব্যাখ্যা হিসেবেই ব্যবহার করা হয়েছে; নির্দিষ্ট এন্ডপয়েন্ট বা দুর্বলতাটি কাজে লাগানোর কোড নিয়ে কোনো অনুমান করা হয়নি।

এই ঘটনার অর্থ এই নয় যে HackerOne-এর বাগ বাউন্টি প্ল্যাটফর্ম বা গ্রাহকদের নিরাপত্তা কর্মসূচির নিরাপত্তা লঙ্ঘিত হয়েছে। আক্রান্ত পরিবেশটি ছিল Navia-এর, যার সেবা HackerOne কর্মীদের সুবিধা ব্যবস্থাপনার জন্য ব্যবহার করত। শুধু কোম্পানির সঙ্গে সম্পর্ক থাকার কারণে HackerOne-এর গ্রাহক, গবেষক ও কর্মসূচির তথ্যকে এই ঘটনার শিকার হিসেবে ধরা উচিত নয়।

সরকারি উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এই সংখ্যা Navia-এর সামগ্রিক মোট সংখ্যার সঙ্গে নতুন করে যোগ হওয়া আলাদা ব্যক্তিদের সংখ্যা নয়; এটি একই ঘটনার একটি কোম্পানিভিত্তিক অংশ। একই ব্যক্তি মূল Navia রেকর্ড এবং এই HackerOne রেকর্ড, দুটিতেই অন্তর্ভুক্ত থাকতে পারেন।

এই অধীনস্থ রেকর্ডের উদ্দেশ্য মোট সংখ্যা বাড়িয়ে দেখানো নয়। বরং HackerOne-এর কর্মীরা কোম্পানির নাম দিয়ে খুঁজলে যেন ঘটনাটি এবং তাঁদের ক্ষেত্রে প্রযোজ্য নির্দিষ্ট পরিসর খুঁজে পান, সেটিই উদ্দেশ্য। LeakData শিরোনাম, উৎস, ট্যাগ ও বিবরণে এই সম্পর্ক বজায় রাখে। এটি দ্বিতীয় কোনো হামলা, তথ্যে প্রবেশের আলাদা সময়সীমা বা হামলাকারীর স্বতন্ত্র কোনো দাবি তৈরি করে না।

Navia ক্ষতিগ্রস্ত ব্যক্তিদের জন্য বিনা মূল্যে 12 মাসের পরিচয় সুরক্ষা ও ক্রেডিট পর্যবেক্ষণ সেবা দেওয়ার প্রস্তাব করেছিল। HackerOne কর্মীদের সন্দেহজনক বার্তার দিকে নজর রাখতে, আর্থিক অ্যাকাউন্টে অস্বাভাবিক কার্যকলাপ হচ্ছে কি না পর্যবেক্ষণ করতে এবং পাসওয়ার্ডের সূত্র বা নিরাপত্তা প্রশ্নে বিজ্ঞপ্তিতে উল্লেখ করা ব্যক্তিগত তথ্য ব্যবহার করা হলে সেগুলো পরিবর্তনের কথা বিবেচনা করতে পরামর্শ দিয়েছিল।

যাঁদের সোশ্যাল সিকিউরিটি নম্বর বা জন্মতারিখ এই ঘটনার সঙ্গে জড়িত ছিল, তাঁরা ক্রেডিট ফ্রিজ বা প্রতারণা-সতর্কতা চালু করার কথা বিবেচনা করতে পারেন। সুবিধা কর্মসূচিতে নিবন্ধনের তারিখ জানা থাকলে অপরাধীরা মানবসম্পদ বিভাগ বা স্বাস্থ্যসেবা পরিকল্পনার প্রতিনিধির পরিচয় দিতে পারে। তাই কর্মীদের উচিত সুবিধা কর্মসূচিতে পরিবর্তন, ব্যাংকের বিবরণ বা পরিচয়পত্র চেয়ে আসা বার্তাগুলো HackerOne ও Navia-এর পরিচিত যোগাযোগমাধ্যম দিয়ে যাচাই করা।

প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন সবচেয়ে আগের প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। তথ্যে প্রবেশ 15 জানুয়ারি 2026 পর্যন্ত চলেছে, Navia 23 জানুয়ারি সন্দেহজনক কার্যকলাপ শনাক্ত করেছে, ফেব্রুয়ারিতে কোম্পানিগুলোকে বিজ্ঞপ্তি দেওয়া হয়েছে এবং মার্চে নিয়ন্ত্রক সংস্থার কাছে দেওয়া বিবরণ প্রকাশ্যে এসেছে। এই তারিখগুলো একই মূল Navia ঘটনার সময়রেখা গঠন করে।

HackerOne-এর যাচাই করা অংশটি হলো 287 জন কর্মী; তাঁদের নির্ভরশীল ব্যক্তিদের কিছু তথ্যও এর সঙ্গে জড়িত থাকতে পারে। নাম, যোগাযোগের তথ্য ও ঠিকানা, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর এবং সুবিধা কর্মসূচিতে নিবন্ধন ও কার্যকর হওয়ার তারিখ চুরি হয়েছে। দাবি-সংক্রান্ত তথ্য ও আর্থিক তথ্য এই পরিসরের বাইরে রাখা হয়েছে, আর HackerOne-এর প্ল্যাটফর্ম ও গ্রাহকদের কর্মসূচির নিরাপত্তা লঙ্ঘিত হয়েছে বলে উপস্থাপন করা হয়নি। আপনি কোনো সন্দেহজনক বার্তা পেলে বা অ্যাকাউন্টে সন্দেহজনক ঘটনা দেখলে, বার্তার লিংক ব্যবহার না করে প্রতিষ্ঠানের বর্তমান অফিসিয়াল যোগাযোগমাধ্যম দিয়ে তা যাচাই করুন।