Marquis Software Solutions-এর 2025 সালের তথ্য ফাঁস

আইওয়ার অ্যাটর্নি জেনারেলের কাছে দাখিল করা Marquis-এর নোটিশ অনুযায়ী, কোম্পানি 14 আগস্ট নেটওয়ার্কে সন্দেহজনক কার্যকলাপ শনাক্ত করে এবং নির্ধারণ করে যে এটি একটি র‍্যানসমওয়্যার হামলা। কোম্পানি বাইরের সাইবারনিরাপত্তা বিশেষজ্ঞদের সহায়তা নেয় এবং ফেডারেল আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানায়। তদন্তে দেখা যায়, সেদিন অনুমতি ছাড়া একটি পক্ষ নেটওয়ার্কে প্রবেশ করেছিল এবং কিছু ফাইল সংগ্রহ করে থাকতে পারে।

ব্যক্তিগত নোটিশের নমুনায় আরও স্পষ্টভাবে বলা হয়েছে যে সংশ্লিষ্ট ফাইলগুলো কপি করা হয়েছিল এবং Marquis 27 অক্টোবর নির্ধারণ করে যে সেগুলোতে প্রাপকের তথ্যও অন্তর্ভুক্ত ছিল। এই প্রমাণ শুধু সেবা ব্যাহত হওয়া বা সম্ভাব্য অনুপ্রবেশ নয়, বরং ব্যক্তিগত ও আর্থিক তথ্য চুরি নিশ্চিত করে। কোনো র‍্যানসমওয়্যার চক্র প্রকাশ্যে দায় স্বীকার করেনি, তাই এই রেকর্ডে হামলার জন্য কোনো নির্দিষ্ট ব্যক্তি বা গোষ্ঠীকে দায়ী করা হয়নি।

Marquis প্রথমে অঙ্গরাজ্যভিত্তিক ও গ্রাহকদের উদ্দেশে বিচ্ছিন্নভাবে নোটিশ জমা দিয়েছিল; পরে দাখিল করা নোটিশগুলোতে মোট 6,72,075 জন ক্ষতিগ্রস্ত ব্যক্তির তথ্য উঠে আসে। এটি হামলার শিকার ব্যাংক সিস্টেমের সংখ্যা নয়। সংখ্যাটি সেই ব্যক্তিদের নির্দেশ করে, যাঁদের ব্যক্তিগত তথ্য Marquis-এর গ্রাহক প্রতিষ্ঠানগুলোর সরবরাহ করা ফাইলে ছিল এবং সেবাদাতা প্রতিষ্ঠানটির প্রযুক্তিগত পরিবেশে সংরক্ষিত ছিল।

প্রথম দিকের প্রকাশ্য তালিকাগুলোতে 74টি ব্যাংক, ক্রেডিট ইউনিয়ন ও আর্থিক প্রতিষ্ঠান শনাক্ত করা হয়। Marquis 700টির বেশি আর্থিক প্রতিষ্ঠানকে সেবা দেয় বলে এর সব গ্রাহকই তথ্য ফাঁসের আওতায় পড়েছে বলে ধরে নেওয়া যায় না।

ব্যক্তিভেদে ফাইলগুলোতে নাম, ঠিকানা, ফোন নম্বর, সোশ্যাল সিকিউরিটি নম্বর, করদাতা শনাক্তকরণ নম্বর, জন্মতারিখ এবং আর্থিক অ্যাকাউন্টের তথ্য থাকতে পারে। Marquis জানায়, আর্থিক অ্যাকাউন্টের তথ্যে নিরাপত্তা বা প্রবেশের কোড অন্তর্ভুক্ত ছিল না। প্রত্যেক ব্যক্তির ক্ষেত্রে সব ধরনের তথ্য ছিল বলে ধরে নেওয়া হয় না; ব্যক্তিগত চিঠিতে সংশ্লিষ্ট তথ্যের ধরনগুলো উল্লেখ করা হয়েছে।

এসব তথ্য একসঙ্গে থাকায় পরিচয় চুরি, নতুন অ্যাকাউন্ট খুলে জালিয়াতি, কর জালিয়াতি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ব্যাংকের নামে ফিশিংয়ের উল্লেখযোগ্য ঝুঁকি তৈরি হয়। কোম্পানি PIN, পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা পেমেন্ট কার্ডের তথ্য থাকার বিষয়টি নিশ্চিত করেনি, তাই এগুলো তথ্যের ধরন হিসেবে যোগ করা হয়নি। কর্মীদের নোট বা অ্যাকাউন্টের ব্যালান্স সম্পর্কেও এই রেকর্ডে প্রমাণবিহীন সাধারণ দাবি করা হয়নি।

অঙ্গরাজ্যের নোটিশগুলোতে ঘটনাটিকে র‍্যানসমওয়্যার হামলা হিসেবে বর্ণনা করা হয়। পরে কোম্পানির বিবৃতিতে বলা হয়, একটি SonicWall ফায়ারওয়ালের মাধ্যমে Marquis-এর নেটওয়ার্কে প্রবেশ করা হয়েছিল। পরবর্তী সময়ে Marquis সংশ্লিষ্ট নিরাপত্তা ঘটনা ও পণ্যের সুরক্ষাব্যবস্থা নিয়ে অভিযোগ তুলে SonicWall-এর বিরুদ্ধে মামলা করে।

ক্ষতিগ্রস্ত গ্রাহক ব্যাংকগুলোর সিস্টেম এই ঘটনার অংশ ছিল না। তথ্য এসেছে সেই ফাইলগুলো থেকে, যা প্রতিষ্ঠানগুলো Marquis-এর বিপণন ও যোগাযোগ সেবায় প্রক্রিয়াকরণের জন্য সরবরাহ করেছিল। এই পার্থক্যটি 74টি পৃথক ব্যাংক হ্যাক হয়েছিল, এমন ভুল সিদ্ধান্ত এড়াতে সাহায্য করে। একই সঙ্গে এটি দেখায়, তৃতীয় পক্ষের এক সেবাদাতা প্রতিষ্ঠানে একটি ঘটনা কীভাবে বহু প্রাতিষ্ঠানিক গ্রাহকের ওপর পরবর্তী প্রভাব ফেলেছে।

হামলা নিয়ন্ত্রণে আনা, নেটওয়ার্ক সুরক্ষিত করা এবং ক্ষতিগ্রস্ত গ্রাহক প্রতিষ্ঠান ও ব্যক্তিদের শনাক্ত করতে Marquis বিশেষজ্ঞদের সঙ্গে কাজ করে। 27 অক্টোবর থেকে 25 নভেম্বরের মধ্যে প্রতিষ্ঠানটি ব্যবসায়িক গ্রাহকদের জানানো শুরু করে এবং তাঁদের নির্দেশনা অনুযায়ী ব্যক্তিগত ও নিয়ন্ত্রক সংস্থার নোটিশ দেওয়ার কাজ পরিচালনা করে। কোম্পানি জানায়, তারা অতিরিক্ত নিরাপত্তা প্রযুক্তি ও প্রক্রিয়া চালু করেছে এবং আইনশৃঙ্খলা রক্ষাকারী সংস্থার সঙ্গে যোগাযোগ করেছে।

যোগ্য প্রাপকদের ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবা দেওয়ার প্রস্তাব করা হয় এবং অ্যাকাউন্টের বিবরণী ও ক্রেডিট রিপোর্ট পর্যালোচনা করার পরামর্শ দেওয়া হয়। যাঁদের নোটিশে সোশ্যাল সিকিউরিটি নম্বর বা করদাতা শনাক্তকরণ নম্বর অন্তর্ভুক্ত রয়েছে, তাঁরা ক্রেডিট ফ্রিজ বা ফ্রড অ্যালার্ট চালুর কথা বিবেচনা করতে পারেন, আর্থিক প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যমে অপরিচিত লেনদেন যাচাই করতে পারেন এবং ব্যাংকের নামে অপ্রত্যাশিতভাবে পাঠানো লিংক এড়িয়ে চলতে পারেন।

এই রেকর্ডে 14 আগস্ট 2025-এ Marquis-এর নেটওয়ার্কে অননুমোদিত প্রবেশ ও র‍্যানসমওয়্যার হামলা, গ্রাহক প্রতিষ্ঠানগুলোর কাছ থেকে পাওয়া ফাইল কপি করা এবং 6,72,075 জনকে অন্তর্ভুক্ত করে নোটিশ দেওয়ার বিষয়টি প্রতিষ্ঠিত হয়েছে। ঘটনাটি বহু আর্থিক প্রতিষ্ঠানের গ্রাহকদের ক্ষতিগ্রস্ত করেছে, তবে প্রতিষ্ঠানগুলোর নিজস্ব নেটওয়ার্কের নিরাপত্তা লঙ্ঘিত হয়েছে বলে প্রমাণ করে না। একটি প্রযুক্তিগত ঘটনাকে এক সেবাদাতা প্রতিষ্ঠানের রেকর্ডের অধীনে একত্র করা হয়েছে।

যাচাইকৃত তথ্যের মধ্যে রয়েছে নাম, ঠিকানা, ফোন নম্বর, সোশ্যাল সিকিউরিটি নম্বর, করদাতা শনাক্তকারী, জন্মতারিখ এবং প্রবেশের কোডবিহীন আর্থিক অ্যাকাউন্টের তথ্য। Marquis জানায়, নোটিশ দাখিলের সময় তাদের কাছে তথ্যের অপব্যবহারের কোনো প্রমাণ ছিল না; এতে নিশ্চিতভাবে ফাইল কপি হওয়ার বিষয়টি নাকচ হয় না। পর্যাপ্ত প্রাথমিক প্রমাণ না থাকায় হামলাকারীর পরিচয়, ঠিক কোন দুর্বলতা কীভাবে কাজে লাগানো হয়েছিল, মুক্তিপণ পরিশোধ করা হয়েছে, এমন দাবি এবং ক্ষতিগ্রস্ত ব্যক্তির আরও বেশি আনুমানিক সংখ্যা এই রেকর্ডে অন্তর্ভুক্ত করা হয়নি।