Meta Instagram HTS 2026 তথ্য নিরাপত্তা লঙ্ঘন
Meta Instagram HTS 2026 তথ্য নিরাপত্তা লঙ্ঘন হলো অ্যাকাউন্ট দখলের একটি ঘটনা। Instagram-এর AI-সহায়তাপ্রাপ্ত High Touch Support অ্যাকাউন্ট পুনরুদ্ধার টুলের যাচাই প্রক্রিয়ায় থাকা একটি ত্রুটি অননুমোদিতভাবে কাজে লাগানোর ফলে ঘটনাটি ঘটে। নিয়ন্ত্রক কর্তৃপক্ষের কাছে দেওয়া বিজ্ঞপ্তিতে Meta জানিয়েছে, পাসওয়ার্ড রিসেটের অনুরোধকারী যে ইমেইল ঠিকানা দিয়েছিলেন, সেটি সংশ্লিষ্ট Instagram অ্যাকাউন্টের কি না, তা সিস্টেম যথাযথভাবে নিশ্চিত করতে পারেনি। ফলে আক্রমণকারীরা নিজেদের মালিকানাধীন নয়, এমন অ্যাকাউন্টের পাসওয়ার্ড রিসেটের লিংক পেতে পারতেন।
উন্মুক্ত হওয়া তথ্যের ধরন
7- Contact information (potentially accessible)
- Dates of birth (potentially accessible)
- Social media posts and content (potentially accessible)
- Direct messages and communications (potentially accessible)
- Account activity and interaction history (potentially accessible)
- Profile information (potentially accessible)
- Connected accounts and linked services (potentially accessible)
এই তথ্য ফাঁস সম্পর্কে
Meta 31 মে 2026 তারিখে ত্রুটিটি কাজে লাগানোর বিষয়টি শনাক্ত করে। মেইন অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের কাছে দাখিল করা কোম্পানির চিঠিতে ওই অঙ্গরাজ্যের 30টি অ্যাকাউন্ট চিহ্নিত করা হয়েছে। অন্যদিকে, দাখিল করা নথির মোট সংখ্যা সম্পর্কে প্রকাশিত প্রতিবেদনে সম্ভাব্য ক্ষতিগ্রস্ত 20,225টি Instagram অ্যাকাউন্টের কথা বলা হয়েছে। এটি প্রমাণিত স্বতন্ত্র ব্যক্তির সংখ্যা নয়, কিংবা প্রতিটি অ্যাকাউন্টের তথ্য দেখা হয়েছে বলে নিশ্চিত হওয়ার ভিত্তিতে করা গণনাও নয়; এটি Meta-র প্রতিকারমূলক ব্যবস্থার আওতায় অন্তর্ভুক্ত অ্যাকাউন্টের প্রকাশিত সর্বোচ্চ সীমা।
ঘটনাটি কীভাবে ঘটেছিল?
High Touch Support একটি AI-সহায়তাপ্রাপ্ত টুল। যেসব Instagram ব্যবহারকারী নিজেদের অ্যাকাউন্টে ঢুকতে পারছেন না, তাঁদের সহায়তা পেতে এবং ইমেইলে পাসওয়ার্ড রিসেটের লিংক চাইতে সাহায্য করার জন্য এটি তৈরি করা হয়েছে। Meta জানিয়েছে, টুলটি তার নির্ধারিত কাজই করেছে। তবে কোডের আলাদা একটি কার্যপ্রবাহে ত্রুটি থাকায় অনুরোধে দেওয়া ঠিকানাটি অ্যাকাউন্টে নিবন্ধিত ঠিকানার সঙ্গে মেলে কি না, তা যাচাই করা হয়নি। অ্যাকাউন্টের সঙ্গে সম্পর্কহীন ঠিকানাটি প্রত্যাখ্যান না করে সিস্টেম সেখানেই লিংক পাঠিয়েছে।
অননুমোদিত কোনো পক্ষ লিংকটি ব্যবহার করে পাসওয়ার্ড বদলে দেওয়ার পর, অ্যাকাউন্টে দুই-স্তরের প্রমাণীকরণ চালু না থাকলে সেই পক্ষ লগইন করতে পারত। তাই ঘটনাটি শুধু ভুল ঠিকানায় পাসওয়ার্ড রিসেটের ইমেইল পাঠানোর মধ্যে সীমাবদ্ধ ছিল না: Meta-র বিজ্ঞপ্তি অনুযায়ী, কিছু অ্যাকাউন্টে সম্ভবত অননুমোদিত পক্ষ প্রবেশ করেছে। দুই-স্তরের প্রমাণীকরণ চালু থাকলে একই রিসেট লিংক ব্যবহার করেও অ্যাকাউন্টে সফলভাবে লগইন করা ঠেকানো সম্ভব হতো।
20,225 অ্যাকাউন্টের হিসাবটি কীভাবে বুঝতে হবে?
BleepingComputer-এর প্রতিবেদন অনুযায়ী, Meta এই ঘটনায় মোট 20,225 জন Instagram ব্যবহারকারীর কথা প্রকাশ করেছে। মেইনে পাঠানো মূল চিঠিতে ওই অঙ্গরাজ্যের 30 জন ব্যবহারকারীর উল্লেখ রয়েছে। চিঠিতে বলা হয়েছে, এই গোষ্ঠীতে এমন অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে, যেগুলোর পাসওয়ার্ড সহায়তা টুলের মাধ্যমে রিসেট করা হয়েছে, যেগুলোতে 2FA ছিল না এবং যেগুলোতে সম্ভবত কোনো অননুমোদিত পক্ষ প্রবেশ করেছে। এই সংজ্ঞা থেকেই বোঝা যায়, সংখ্যাটি তদন্ত ও বিজ্ঞপ্তি দেওয়ার আওতাভুক্ত অ্যাকাউন্টের সর্বোচ্চ সীমা, প্রমাণিত ভুক্তভোগীদের চূড়ান্ত সংখ্যা নয়।
Meta জানিয়েছে, কিছু পাসওয়ার্ড রিসেট অ্যাকাউন্টের মালিকেরা বৈধভাবেই করে থাকতে পারেন। একজন ব্যক্তি একাধিক অ্যাকাউন্টও নিয়ন্ত্রণ করতে পারেন। পরবর্তী তদন্তে এই সর্বোচ্চ সীমা কমে আসতে পারে।
কোন তথ্য দেখা সম্ভব হতে পারত?
Meta জানিয়েছে, কোনো Instagram অ্যাকাউন্টে প্রবেশ করা হলে সেখান থেকে ইমেইল ঠিকানা বা ফোন নম্বরের মতো যোগাযোগের তথ্য, জন্মতারিখ, সামাজিক যোগাযোগমাধ্যমের পোস্ট এবং ছবি, ভিডিও ও স্টোরিসহ বিভিন্ন কনটেন্ট, সরাসরি পাঠানো বার্তা ও যোগাযোগ, অ্যাকাউন্টের কার্যকলাপ ও পারস্পরিক যোগাযোগের ইতিহাস, পরিচিতি ও প্রোফাইল ছবির মতো প্রোফাইলের বিবরণ এবং সংযুক্ত অ্যাকাউন্ট বা লিংক করা সেবার তথ্য দেখা সম্ভব হতে পারে।
কোম্পানিটি স্পষ্টভাবে জানিয়েছে, বাস্তবে কোনো ব্যক্তিগত তথ্য দেখা হয়েছে কি না, আর হয়ে থাকলে কী তথ্য দেখা হয়েছে, তা তাদের জানা নেই। পাসওয়ার্ড রিসেট করা হলেও Meta সরলপাঠে সংরক্ষিত পাসওয়ার্ডের ডেটাবেস বা পাসওয়ার্ড হ্যাশ উন্মুক্ত হওয়ার কথা জানায়নি। তাই পাসওয়ার্ড-সংক্রান্ত তথ্যের কোনো বিভাগ যোগ করা হয়নি।
তারিখ ও ঘটনার পরিসর
মেইনে দাখিল করা নথিতে ঘটনার তারিখ হিসেবে 17 এপ্রিল 2026 উল্লেখ করা হয়েছে। তবে আক্রমণ কখন শুরু হয়েছিল, তা Meta-র চিঠিতে আলাদাভাবে বলা হয়নি। Meta 31 মে ত্রুটিটি সক্রিয়ভাবে কাজে লাগানোর বিষয়টি শনাক্ত করে এবং নিয়ন্ত্রক কর্তৃপক্ষের জন্য তৈরি বিজ্ঞপ্তিতে 5 জুন তারিখ দেয়।
এই রেকর্ডটি Instagram-এর High Touch Support পুনরুদ্ধার প্রক্রিয়া নিয়ে; এর অর্থ এই নয় যে Facebook, WhatsApp, Threads বা Meta-র সব AI পণ্যের নিরাপত্তা লঙ্ঘিত হয়েছে। Meta জানিয়েছে, তাদের বিভিন্ন প্ল্যাটফর্মে অনুরূপ পুনরুদ্ধার প্রক্রিয়াগুলো পর্যালোচনা করা শুরু করেছে। তবে সতর্কতামূলক এই পর্যালোচনা অন্য কোনো পণ্যে একই ত্রুটি ছিল বা তা কাজে লাগানো হয়েছিল বলে প্রমাণ করে না।
Meta-র প্রতিকারমূলক ব্যবস্থা
ত্রুটিটি কাজে লাগানোর বিষয়টি যেদিন শনাক্ত করে, সেদিনই Meta AI-সহায়তাপ্রাপ্ত সহায়তা টুলটি বন্ধ করে দেয় এবং ত্রুটিপূর্ণ কার্যপ্রবাহের মাধ্যমে তৈরি হওয়া বিদ্যমান পাসওয়ার্ড রিসেটের লিংকগুলো অকার্যকর করে। সম্ভাব্য ক্ষতিগ্রস্ত অ্যাকাউন্টগুলোকে বাধ্যতামূলক নিরাপত্তা যাচাইয়ের আওতায় আনা হয়। অ্যাকাউন্টের নিয়ন্ত্রণ ফিরে পাওয়ার আগে ব্যবহারকারীদের পরিচয় প্রমাণ করতে, পাসওয়ার্ড রিসেট করতে এবং যাচাইকৃত মাধ্যমে আবার সাইন ইন করতে বলা হয়।
Meta জানিয়েছে, টুলটি আবার চালু করার আগে পুনরুদ্ধার প্রক্রিয়ার প্রবেশবিন্দুতে ইমেইল যাচাইয়ের ব্যবস্থাটি ঠিক করবে এবং তাদের বিভিন্ন প্ল্যাটফর্মে অনুরূপ অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়াগুলোর পূর্ণাঙ্গ পর্যালোচনা করবে। ক্ষতিগ্রস্ত ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা সেটিংস পর্যালোচনা করতে এবং দুই-স্তরের প্রমাণীকরণ চালু করতে পরামর্শ দেওয়া হয়েছে। এই ব্যবস্থাগুলো সরাসরি ঘটনার নিশ্চিত হওয়া প্রযুক্তিগত কারণ মোকাবিলার জন্য নেওয়া হয়েছে।
এই ঘটনাকে কীভাবে বিবেচনা করা উচিত?
20,225 সংখ্যাটি সম্ভাব্য ক্ষতিগ্রস্ত অ্যাকাউন্টের প্রকাশিত সর্বোচ্চ সীমা। নানা ধরনের তথ্য দেখা সম্ভব ছিল, তবে প্রতিটি বিভাগের তথ্য দেখা বা বের করে নেওয়ার বিষয়টি নিশ্চিত করা হয়নি।
ব্যবহারকারীদের উচিত Instagram-এর পাসওয়ার্ড বদলানো, দুই-স্তরের প্রমাণীকরণ চালু করা, অপরিচিত সেশন ও সংযুক্ত অ্যাপ্লিকেশনগুলো পর্যালোচনা করা এবং ইমেইল ঠিকানা বা ফোন নম্বরে অপ্রত্যাশিত কোনো পরিবর্তন হয়েছে কি না দেখা। যেসব অ্যাকাউন্টে অননুমোদিত প্রবেশ ঘটেছে, সেগুলোর সরাসরি পাঠানো বার্তা দেখা সম্ভব হয়ে থাকতে পারে। তাই পরিচিত ব্যক্তিদের কাছে অর্থ বা প্রমাণীকরণ কোড চেয়ে অপ্রত্যাশিত কোনো অনুরোধ গেলে, তাঁদের স্বতন্ত্রভাবে সেটির সত্যতা যাচাই করা উচিত। এই পরামর্শ যাচাইকৃত অ্যাকাউন্ট দখলের পদ্ধতির ভিত্তিতে দেওয়া হয়েছে; এটি অপ্রমাণিত কোনো ব্যাপক ডেটাবেস ফাঁসের ইঙ্গিত দেয় না।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
