Tchap 2026 ডেটা লঙ্ঘন

DINUM জানিয়েছে, ANSSI-এর সঙ্গে সমন্বিত তদন্তে দেখা গেছে যে একটি Tchap ব্যবহারকারী অ্যাকাউন্টের পরিচয় ব্যবহার করে ছদ্মবেশ ধারণ বা অ্যাকাউন্টটি বেহাত করার পর সেটির অপব্যবহার করা হয়েছিল। ক্ষতিকর অনুরোধ পাঠানোর জন্য ব্যবহৃত অ্যাকাউন্টটি শনাক্ত করে তাৎক্ষণিকভাবে ব্লক করা হয়, যাতে আক্রমণকারীর অব্যাহত প্রবেশাধিকার বন্ধ হয়। ব্যক্তিগত তথ্য উন্মুক্ত হয়ে থাকতে পারে বলে ঘটনাটি ফ্রান্সের তথ্য সুরক্ষা কর্তৃপক্ষ CNIL-কে জানানো হয়েছিল।

এই আনুষ্ঠানিক বিবৃতি থেকে নিশ্চিত হয় যে প্ল্যাটফর্মে অননুমোদিত প্রবেশের ঘটনা ঘটেছে; এটি কেবল আক্রমণকারীর দাবি বা শনাক্ত হওয়া কোনো দুর্বলতার ঘটনা নয়। প্রকাশিত বিবরণে অ্যাকাউন্টটি কীভাবে দখল করা হয়েছিল, তা চূড়ান্তভাবে শনাক্ত করা হয়নি; সামাজিক প্রকৌশল ব্যবহারের ব্যাখ্যাটি এসেছে আক্রমণকারীর কাছ থেকে। তাই LeakData কোনো নির্দিষ্ট ফিশিং কৌশল, ম্যালওয়্যার, দুর্বলতা বা সাইবার হুমকিসৃষ্টিকারী গোষ্ঠীকে এই ঘটনার যাচাইকৃত কারণ হিসেবে উল্লেখ করছে না।

DINUM জানিয়েছে, যে অ্যাকাউন্ট ও উন্মুক্ত কথোপকথনগুলোতে প্রবেশ করা সম্ভব ছিল, সেগুলোর পরিসর অনুযায়ী 73,467 জন সরকারি কর্মী ক্ষতিগ্রস্ত হয়ে থাকতে পারেন। এই সংখ্যা প্ল্যাটফর্মের 8,25,000-এর বেশি নিবন্ধিত ব্যবহারকারীর সবাইকে বোঝায় না; এটি মোট ব্যবহারকারীর নয় শতাংশেরও কম।

“সম্ভাব্যভাবে ক্ষতিগ্রস্ত” হওয়ার অর্থ এই নয় যে প্রত্যেক ব্যবহারকারীর প্রতিটি তথ্য দেখা বা সংগ্রহ করা হয়েছে। DINUM জানিয়েছে, তারা ইভেন্ট লগ এবং আক্রমণকারী যেসব কথোপকথনে প্রবেশ করতে পারছিলেন, সেগুলো পর্যালোচনা চালিয়ে যাচ্ছে। পরবর্তী কোনো আনুষ্ঠানিক হালনাগাদে নিশ্চিত করা, একই ব্যক্তিকে একাধিকবার গণনা না করে নির্ধারিত বা পরিসর আরও সীমিত করে নির্ধারিত সংখ্যা প্রকাশ করা হলে, সেই নতুন মোট সংখ্যা দিয়ে এই বিবরণ সংশোধন করা যেতে পারে।

DINUM জানিয়েছে, সম্ভাব্যভাবে উন্মুক্ত হওয়া ব্যবহারকারী অ্যাকাউন্টের তথ্যের মধ্যে অন্তত নামের শেষ অংশ, নামের প্রথম অংশ, ইমেইল ঠিকানা, প্রত্যেক ব্যবহারকারীর সংশ্লিষ্ট সরকারি খাতের প্রতিষ্ঠান এবং অ্যাভাটার ছিল। উন্মুক্ত রুমের বার্তা এবং আক্রমণকারী প্রবেশ করতে পারছিলেন এমন রুমে ব্যবহারকারীদের শেয়ার করা বিষয়বস্তুও এই ঘটনার পরিসরের অন্তর্ভুক্ত। এই তথ্যের ধরনগুলোতে অ্যাকাউন্টের যেসব ন্যূনতম তথ্য দেখা সম্ভব ছিল বলে নিশ্চিত করা হয়েছে এবং উন্মুক্ত রুমের যেসব বিষয়বস্তুতে সম্ভাব্য প্রবেশ ঘটেছে, সেগুলো প্রতিফলিত হয়েছে।

আনুষ্ঠানিক তদন্তে তখনও সম্পূর্ণভাবে নির্ধারণ করা যায়নি, কী ধরনের তথ্য বাইরে সরিয়ে নেওয়া হয়েছে। মিটিংয়ের লিংক, ডিভাইসের মেটাডেটা, কয়েক লাখ বার্তা, নথি বা কোডে সরাসরি লেখা লগইন তথ্য নিয়ে আক্রমণকারীর অতিরিক্ত দাবিগুলো কোনো স্বাধীন ফরেনসিক তদন্তের ফলাফলে নিশ্চিত হয়নি।

Tchap-এ উন্মুক্ত ও ব্যক্তিগত, উভয় ধরনের কথোপকথন করা যায়। DINUM জানিয়েছে, ব্যক্তিগত কথোপকথন এনক্রিপ্ট করা থাকে এবং কোনো ব্যবহারকারী অ্যাকাউন্ট বেহাত হলেও সেই কথোপকথনের আগের বিষয়বস্তুতে প্রবেশ করা যায় না। সম্ভাব্য প্রবেশ কেবল উন্মুক্ত কথোপকথনের মধ্যে সীমিত ছিল। এসব কথোপকথন এমনভাবে তৈরি করা হয়েছিল, যাতে প্রত্যেক Tchap ব্যবহারকারী সেগুলো খুঁজে পেতে ও তাতে যোগ দিতে পারেন; এগুলোর বার্তা এনক্রিপ্ট করা ছিল না।

কোনো রুম প্ল্যাটফর্মের ব্যবহারকারীদের জন্য উন্মুক্ত থাকার অর্থ এই নয় যে ক্ষতিকর উদ্দেশ্যে স্বয়ংক্রিয়ভাবে তথ্য সংগ্রহ করা বা ব্যক্তিগত তথ্য তার মূল প্রেক্ষাপট থেকে সরিয়ে নেওয়ার অনুমতি রয়েছে। ঘটনাটিকে ডেটা লঙ্ঘন হিসেবে বিবেচনা করা হচ্ছে, কারণ বেহাত হওয়া একটি অ্যাকাউন্ট থেকে ক্ষতিকর অনুরোধ পাঠিয়ে প্রবেশাধিকার বজায় রাখা এবং অনুমতি ছাড়া তথ্য সংগ্রহ করা হয়েছিল। এই বিবরণে এটিও স্পষ্ট করা হয়েছে যে এনক্রিপ্ট করা ব্যক্তিগত বার্তা উন্মুক্ত হয়েছে, এমন সিদ্ধান্ত ভুল হবে।

DINUM ক্ষতিকর অনুরোধ পাঠানোর জন্য ব্যবহৃত অ্যাকাউন্টটি ব্লক করেছে, আক্রমণকারীর প্রবেশাধিকার বন্ধ করেছে এবং বিশেষজ্ঞ দলগুলোর সঙ্গে ইভেন্ট লগ পর্যালোচনা শুরু করেছে। সংস্থাটি ANSSI-এর সঙ্গে সমন্বয় করেছে, CNIL-কে জানিয়েছে এবং সব Tchap ব্যবহারকারীকে মনে করিয়ে দিয়েছে যে উন্মুক্ত রুমগুলো খুঁজে পাওয়া ও তাতে যোগ দেওয়া যায় এবং সেগুলো এনক্রিপ্ট করা নয়। আক্রমণের পদ্ধতি ও প্রয়োজনীয় সুরক্ষাব্যবস্থা নির্ধারণের জন্য অনুসন্ধান ও প্রতিকারমূলক কাজ চলতে থাকে।

সংস্থাটি আবারও জানিয়েছে, ব্যক্তিগত, সংবেদনশীল বা পেশাগতভাবে গোপনীয় তথ্য উন্মুক্ত রুমে শেয়ার করা যাবে না; এসব তথ্য শুধু ব্যক্তিগত কথোপকথনে শেয়ার করা উচিত। ব্যবহারকারীদের অপ্রত্যাশিত সেশন ও পরিচয় যাচাইয়ের অনুরোধ পর্যালোচনা করা, নিজ প্রতিষ্ঠানের নামে পাঠানো বার্তা যাচাই করা এবং প্রকাশিত ইমেইল ঠিকানাগুলোকে লক্ষ্য করে ফিশিংয়ের চেষ্টা হচ্ছে কি না, সে বিষয়ে সতর্ক থাকা উচিত। এগুলো সতর্কতামূলক পদক্ষেপ, যা অ্যাকাউন্ট ও নিয়োগকারী প্রতিষ্ঠান-সংক্রান্ত যেসব তথ্য দেখা সম্ভব ছিল বলে যাচাই করা হয়েছে, তার সঙ্গে সামঞ্জস্যপূর্ণ।

73,467 সংখ্যাটি সম্ভাব্যভাবে ক্ষতিগ্রস্ত সরকারি কর্মীদের আনুষ্ঠানিকভাবে জানানো সর্বোচ্চ সীমা। নামের প্রথম অংশ, নামের শেষ অংশ, ইমেইল ঠিকানা, সংশ্লিষ্ট প্রতিষ্ঠান এবং অ্যাভাটার হলো অ্যাকাউন্টের ন্যূনতম যেসব তথ্য দেখা সম্ভব ছিল; উন্মুক্ত রুম থেকে সংগ্রহ করা বার্তার মোট পরিমাণ তখনও তদন্তাধীন ছিল।

যাচাইকৃত তথ্য অনুযায়ী, এনক্রিপ্ট করা ব্যক্তিগত কথোপকথন ও সেগুলোর আগের বার্তা সুরক্ষিত ছিল; ঘটনার প্রভাব উন্মুক্ত রুম ও সংশ্লিষ্ট ব্যবহারকারী তথ্যের মধ্যেই সীমিত ছিল। আক্রমণকারীর পরিচয়, অ্যাকাউন্ট দখলের কৌশল এবং বাইরে সরিয়ে নেওয়া সম্পূর্ণ বিষয়বস্তু প্রকাশ করা হয়নি। অযাচাইকৃত ব্যক্তিসংখ্যা, তথ্যের ধরন এবং সাইবার হুমকিসৃষ্টিকারীদের দাবি এই ঘটনার প্রকাশিত পরিসরের অংশ হিসেবে বিবেচনা করা হচ্ছে না।