SoFi Hong Kong-এর 2026 সালের তথ্যের নিরাপত্তা লঙ্ঘন

গ্রাহকদের পাঠানো এক ইমেইলে SoFi Hong Kong জানায়, তাদের সেবাদাতাদের একটির মাধ্যমে SoFi Securities (Hong Kong) Limited-এর একটি ডেটাবেসে অননুমোদিত প্রবেশ শনাক্ত হয়েছে। কোম্পানির একজন মুখপাত্র আলাদাভাবে BleepingComputer-এর কাছে নিরাপত্তা লঙ্ঘনের ঘটনাটি নিশ্চিত করেন। এই প্রত্যক্ষ বিবৃতিগুলো নিশ্চিত করে যে তৃতীয় পক্ষের মাধ্যমে ডেটায় অননুমোদিত প্রবেশ বাস্তবে ঘটেছে; বিষয়টি কেবল সন্দেহজনক কার্যকলাপের মধ্যে সীমাবদ্ধ ছিল না।

30 এপ্রিল হলো কোম্পানির ঘটনাটি শনাক্ত করার তারিখ; এটি আক্রমণকারীর প্রথম প্রবেশের তারিখ নয়, কিংবা ডেটাবেসে আক্রমণকারী কতক্ষণ ছিল, তাও নির্দেশ করে না। প্রকাশ্য বিবরণে কোন দুর্বলতা কাজে লাগানো হয়েছে, কোন অ্যাকাউন্টের নিরাপত্তা লঙ্ঘিত হয়েছে, নেটওয়ার্কের কোন পথ ব্যবহার করা হয়েছে বা কীভাবে তথ্য বাইরে সরানো হয়েছে, তা উল্লেখ নেই। সেবাদাতার নাম প্রকাশ না করায় কোনো প্ল্যাটফর্ম বা কোম্পানিকে প্রযুক্তিগতভাবে দায়ী হিসেবে চিহ্নিত করা হয়নি।

SoFi একটি গ্রাহক ডেটাবেসে প্রবেশের ঘটনা নিশ্চিত করেছে। তবে কোম্পানি বলেছে, ব্যক্তিগত তথ্য আদৌ এর সঙ্গে সংশ্লিষ্ট কি না এবং সংশ্লিষ্ট হলে তা কোন কোন শ্রেণির, সেটি তখনো জানা যায়নি। গ্রাহকদের নাম, যোগাযোগের তথ্য, পরিচয়পত্র, অ্যাকাউন্ট নম্বর, লেনদেনের ইতিহাস, পাসওয়ার্ড হ্যাশ ও আর্থিক রেকর্ড, কোম্পানি এগুলোর কোনোটিই পৃথকভাবে নিশ্চিত করেনি।

এই সাধারণ বিবরণে সিস্টেমের ধরন চিহ্নিত করা হয়েছে, তবে প্রতিটি গ্রাহক-সংক্রান্ত ফিল্ডের তথ্য চুরি হয়েছে বলে দাবি করা হয়নি। তদন্তে কোন সারি ও ফিল্ড দেখা বা কপি করা হয়েছে, তা নির্ধারিত হলে আরও নির্দিষ্ট তথ্যের শ্রেণি যুক্ত করে এই বিবরণ হালনাগাদ করা যেতে পারে।

কতজন গ্রাহক প্রভাবিত হয়েছেন, তা SoFi প্রকাশ করেনি এবং এ বিষয়ে অতিরিক্ত প্রশ্নের উত্তর দিতে কোম্পানির মুখপাত্র অস্বীকৃতি জানান। SoFi Hong Kong-এর মোট গ্রাহক বা অ্যাকাউন্টের সংখ্যা এই নিরাপত্তা লঙ্ঘনে প্রভাবিতদের মোট সংখ্যা নয়। পুরো ডেটাবেস কপি করা হয়েছে বলেও নিশ্চিত করা হয়নি। প্রতিষ্ঠানটি প্রভাবিত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনার কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না।

শূন্য মানে এই নয় যে ঘটনাটিতে কোনো গ্রাহক প্রভাবিত হননি বা এর কোনো প্রভাব ছিল না। গ্রাহকদের বিজ্ঞপ্তি পাঠানো এবং প্রভাবিত অ্যাকাউন্টগুলোতে অতিরিক্ত নজরদারি ব্যক্তিপর্যায়ে সম্ভাব্য প্রভাবের ইঙ্গিত দেয়, কিন্তু তা থেকে একই ব্যক্তিকে একবার গণনা করে মোট সংখ্যা নির্ধারণ করা যায় না।

যে অননুমোদিত প্রবেশের ঘটনা নিশ্চিত করা হয়েছে, তা ঘটেছে SoFi Hong Kong-এর পক্ষ থেকে একটি বাইরের সেবাদাতার কাছে রাখা ডেটাবেসে। প্রকাশিত তথ্যে বলা হয়নি যে যুক্তরাষ্ট্রে SoFi Technologies পরিচালিত সব ব্যাংকিং, ঋণদান, বিনিয়োগ বা অন্যান্য সিস্টেমের নিরাপত্তা লঙ্ঘিত হয়েছে।

সেবাদাতার পরিচয় বা তার অন্য গ্রাহকদের ওপর কোনো প্রভাবের তথ্য প্রকাশ করা হয়নি। তাই এই ঘটনাকে সম্পর্কহীন সরবরাহ-শৃঙ্খলসংক্রান্ত ঘটনাগুলোর সঙ্গে এক করে দেখা উচিত নয়। তৃতীয় পক্ষ কথাটিও প্রমাণ করে না যে কোনো নির্দিষ্ট SaaS পণ্য, ক্লাউড সেবাদাতা বা ইন্টিগ্রেশনের মাধ্যমে আক্রমণ হয়েছে। সমর্থনকারী প্রমাণ না পাওয়া পর্যন্ত প্রযুক্তিগতভাবে কার বা কিসের সঙ্গে ঘটনাটি সংশ্লিষ্ট, তা অনির্ধারিত রয়েছে।

ঘটনা শনাক্ত করার পর SoFi প্রতিক্রিয়ামূলক ব্যবস্থা নিতে এবং ঘটনার পরিসর ও প্রভাব তদন্ত করতে একটি বাইরের সাইবার নিরাপত্তা প্রতিষ্ঠানকে নিয়োগ দেয়। প্রভাবিত অ্যাকাউন্টগুলোতে অতিরিক্ত সুরক্ষাব্যবস্থা ও নজরদারি চালু করা হয়। কোম্পানি জানায়, সহায়তা চাওয়া বা অ্যাকাউন্টে পরিবর্তন করার ক্ষেত্রে গ্রাহকদের যাচাইয়ের জন্য অতিরিক্ত তথ্য দিতে হতে পারে।

গ্রাহকদের সন্দেহজনক ইমেইল ও বার্তা, ফিশিংয়ের চেষ্টা এবং অ্যাকাউন্টে অস্বাভাবিক কার্যকলাপের দিকে নজর রাখতে বলা হয়। SoFi পাসওয়ার্ড হালনাগাদ করা, সম্ভব হলে দুই-ধাপের প্রমাণীকরণ চালু করা, আর্থিক অ্যাকাউন্টগুলো পর্যবেক্ষণ করা এবং অনাকাঙ্ক্ষিত বার্তার লিংক বা সংযুক্তি এড়িয়ে চলার পরামর্শ দেয়। এগুলো সতর্কতামূলক পদক্ষেপ; এগুলো কোনো নির্দিষ্ট পাসওয়ার্ড বা আর্থিক তথ্য উন্মুক্ত হওয়ার প্রমাণ নয়।

এই বিবরণে SoFi Hong Kong-এর একটি গ্রাহক ডেটাবেসে অননুমোদিত প্রবেশের ঘটনা নিশ্চিত করা হয়েছে। তবে ব্যক্তিগত তথ্যের কোন ফিল্ডগুলোতে প্রবেশ করা হয়েছে বা কতজন ব্যক্তি প্রভাবিত হয়েছেন, তা চিহ্নিত করা হয়নি। অযাচাইকৃত ব্যক্তির সংখ্যা, ডেটা ফিল্ড ও আক্রমণকারী-সংক্রান্ত দাবিকে ঘটনার প্রকাশ্য পরিসরের অংশ হিসেবে ধরা হয়নি। তদন্তে যে অনিশ্চয়তার কথা জানানো হয়েছে, এই বিবরণে তা বজায় রাখা হয়েছে।

যাচাইকৃত সিদ্ধান্ত হলো, SoFi Hong Kong 30 এপ্রিল 2026 তারিখে তৃতীয় পক্ষের কাছে থাকা একটি গ্রাহক ডেটাবেসে অননুমোদিত প্রবেশ শনাক্ত করেছে, বাইরের বিশেষজ্ঞদের নিয়োগ দিয়েছে, গ্রাহকদের সতর্ক করেছে এবং অতিরিক্ত সুরক্ষাব্যবস্থা প্রয়োগ করেছে। সেবাদাতা, আক্রমণকারী, প্রযুক্তিগত পদ্ধতি, ব্যক্তির সংখ্যা, কোন শ্রেণির তথ্যে প্রবেশ করা হয়েছে এবং কতটা তথ্য কপি করা হয়েছে, এসব প্রকাশ করা হয়নি। তাই এই বিবরণে তথ্যের শ্রেণি সাধারণভাবে উল্লেখ করা হয়েছে এবং মোট সংখ্যা অজানা রাখা হয়েছে।