University of Oxford CareerConnect-এ 2026 সালের তথ্য নিরাপত্তা লঙ্ঘন

Oxford-এর তথ্য অনুযায়ী, CareerConnect হলো GTI-এর সরবরাহ করা একটি তৃতীয় পক্ষের সিস্টেম, যেখানে 28 মে অননুমোদিতভাবে প্রবেশ করা হয়। আক্রমণকারীরা প্ল্যাটফর্মের ব্যবহারকারীদের নামের প্রথম অংশ, পদবি ও ইমেইল ঠিকানায় প্রবেশ করতে পারত। যারা CareerConnect-এ স্থানীয়ভাবে সংরক্ষিত পাসওয়ার্ড দিয়ে সাইন ইন করতেন, তাঁদের এনক্রিপ্ট করা পাসওয়ার্ডের মানও আক্রমণকারীদের নাগালের মধ্যে ছিল।

GTI নিশ্চিত করেছে যে নিরাপত্তার দুর্বলতাটি দূর করা হয়েছে এবং বাড়তি সুরক্ষাব্যবস্থা কার্যকর করা হয়েছে। বিশ্ববিদ্যালয় সরবরাহকারীর সঙ্গে মিলে ঘটনার প্রভাব মূল্যায়ন চালিয়ে যায় এবং জানায়, আরও কোনো পদক্ষেপের প্রয়োজন হলে প্রভাবিত ব্যবহারকারীদের সঙ্গে সরাসরি যোগাযোগ করা হবে। বিজ্ঞপ্তিতে আক্রমণকারীর পরিচয়, কাজে লাগানো ত্রুটি, কতক্ষণ প্রবেশাধিকার ছিল বা কী পরিমাণ তথ্য ডাউনলোড করা হয়েছে, তা জানানো হয়নি।

Oxford-এর শিক্ষার্থীরা বিশ্ববিদ্যালয়ের Single Sign-On সিস্টেমের মাধ্যমে CareerConnect-এ সাইন ইন করেন। তাই বিশ্ববিদ্যালয় জানায়, শিক্ষার্থীদের পাসওয়ার্ড প্রভাবিত হয়নি এবং তাঁদের অ্যাকাউন্টের ক্ষেত্রে শুধু নাম ও ইমেইল ঠিকানায় প্রবেশ করা সম্ভব ছিল। এই পার্থক্যের অর্থ হলো, এনক্রিপ্ট করা পাসওয়ার্ডের শ্রেণিটি এই ঘটনায় জড়িত সব ব্যবহারকারীর ক্ষেত্রে প্রযোজ্য নয়।

SSO ব্যবহারের কারণে CareerConnect-এর ডেটাবেসে শিক্ষার্থীদের কোনো স্থানীয় পাসওয়ার্ড সংরক্ষিত ছিল না। তবে এতে নাম ও ইমেইল ঠিকানায় নিশ্চিতভাবে ঘটে যাওয়া প্রবেশের বিষয়টি অস্বীকার করা হয় না। এই রেকর্ডে পুরো ঘটনার তথ্যের ধরনগুলো তালিকাভুক্ত করা হয়েছে, আর এই বিবরণে ব্যবহারকারী গোষ্ঠীভেদে প্রযোজ্য সীমা বজায় রাখা হয়েছে। এটিকে শিক্ষার্থীদের পাসওয়ার্ড বা Oxford-এর SSO পরিচয়প্রমাণের তথ্য চুরি হিসেবে বোঝা উচিত নয়।

প্রাক্তন শিক্ষার্থী, গবেষণাকর্মী ও নিয়োগদাতা ব্যবহারকারীরা CareerConnect-এ স্থানীয়ভাবে নির্ধারিত পাসওয়ার্ড দিয়ে সাইন ইন করতেন। Oxford জানায়, এসব অ্যাকাউন্টের এনক্রিপ্ট করা পাসওয়ার্ডের মান প্রবেশযোগ্য তথ্যের আওতায় ছিল। GTI স্থানীয় পাসওয়ার্ডগুলো অকার্যকর করে দেয়, ফলে ব্যবহারকারীদের পরেরবার সাইন ইন করার সময় নতুন পাসওয়ার্ড তৈরি করতে হয়।

এনক্রিপ্ট করা পাসওয়ার্ড আর সরাসরি পড়া যায় এমন পাসওয়ার্ড এক নয়। তবে অফলাইনে পাসওয়ার্ড ভাঙার চেষ্টা এবং অন্য সেবায় একই পরিচয়প্রমাণের তথ্য পুনরায় ব্যবহারের মাধ্যমে এটি ঝুঁকি তৈরি করতে পারে। বিশ্ববিদ্যালয় জানায়, ঘটনাটির লক্ষ্য ফিশিংয়ে কাজে লাগতে পারে এমন পরিচয়প্রমাণের তথ্য সংগ্রহ করা ছিল বলে মনে হচ্ছে। পাসওয়ার্ড ডিক্রিপ্ট করে সফলভাবে ব্যবহার করা হয়েছে, এমন কোনো প্রমাণ প্রকাশ করা হয়নি।

Oxford ও GTI জানায়, কোর্সের তথ্য, আপলোড করা ফাইল, অ্যাপয়েন্টমেন্টের তথ্য বা আর্থিক তথ্য এই ঘটনার সঙ্গে জড়িত ছিল, এমন কোনো প্রমাণ নেই। বিশ্ববিদ্যালয়ের নিজস্ব সিস্টেমের নিরাপত্তা ভঙ্গ হয়েছে বলেও কোনো প্রমাণ নেই; ঘটনাটি শুধু তৃতীয় পক্ষের CareerConnect পরিবেশের সঙ্গে সম্পর্কিত। যাচাই না করা ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং হুমকি সৃষ্টিকারী পক্ষের দাবি প্রকাশ্যভাবে বর্ণিত ঘটনার পরিধির অংশ হিসেবে ধরা হয় না।

চাকরির আবেদন, জীবনবৃত্তান্ত, সাক্ষাৎকারের নোট, পেমেন্টের তথ্য ও বিশ্ববিদ্যালয়ের অভ্যন্তরীণ ফাইল নিশ্চিত পরিধির অংশ হিসেবে যোগ করা হয়নি। “কোনো প্রমাণ নেই” হলো প্রকাশিত তদন্তের ফলাফল; প্রযুক্তিগতভাবে এমন কিছু একেবারেই অসম্ভব, এমন দাবি নয়। নতুন আনুষ্ঠানিক প্রমাণের কারণে পরিধি বদলালে রেকর্ডটি হালনাগাদ করা যেতে পারে; বর্তমান সংস্করণে শুধু যাচাই করা তথ্যের ক্ষেত্রগুলো অন্তর্ভুক্ত রয়েছে।

GTI জানায়, ঘটনাটির উদ্দেশ্য পরিচয়প্রমাণের তথ্য সংগ্রহ করা ছিল বলে মনে হচ্ছে। Oxford কর্মী, শিক্ষার্থী এবং CareerConnect-এর বাইরের ব্যবহারকারীদের সন্দেহজনক ইমেইল ও বার্তা সম্পর্কে সতর্ক করে। ব্যক্তিগত বা আর্থিক তথ্য চাওয়া হলে তা একটি স্বতন্ত্র যোগাযোগমাধ্যমে যাচাই করতে এবং সন্দেহজনক যোগাযোগের কথা বিশ্ববিদ্যালয়ের তথ্যনিরাপত্তা দলকে জানাতে ব্যবহারকারীদের পরামর্শ দেওয়া হয়।

স্থানীয় পাসওয়ার্ড অকার্যকর করা, দুর্বলতা দূর করা এবং বাড়তি নিরাপত্তা নিয়ন্ত্রণ চালু করা ছিল সরাসরি প্রতিকারের পদক্ষেপ। Oxford জানায়, প্ল্যাটফর্মটি সুরক্ষিত করা হয়েছে এবং আবার ব্যবহারের জন্য নিরাপদ। একই সঙ্গে বিশ্ববিদ্যালয় GTI-এর সঙ্গে মিলে প্রভাব মূল্যায়ন চালিয়ে যায়। বিশ্ববিদ্যালয় আরও নিশ্চিত করে যে র‍্যানসমওয়্যার, ঘটনার দায় স্বীকারের দাবি বা নির্দিষ্ট কোনো আক্রমণকারীর সংশ্লিষ্টতার ইঙ্গিত দেয়, এমন কোনো তথ্য তাদের কাছে ছিল না।

এই রেকর্ডে শুধু তৃতীয় পক্ষের CareerConnect প্ল্যাটফর্মে 28 মে 2026 তারিখের ঘটনাটি অন্তর্ভুক্ত রয়েছে। একই বছর Oxford তার ব্যবহৃত Instructure Canvas শিক্ষণ প্ল্যাটফর্মে ঘটে যাওয়া অন্য একটি ঘটনাতেও প্রভাবিত হয়। Canvas-এর ঘটনায় সরবরাহকারী, তারিখ, সিস্টেম ও তথ্যের ধরন, সবই আলাদা ছিল; দুটি ঘটনাকে একটি তথ্য নিরাপত্তা লঙ্ঘন হিসেবে বা প্রভাবিত ব্যক্তিদের একক হিসাবে একত্র করা যাবে না।

যাচাই করা সিদ্ধান্ত হলো, CareerConnect-এ নামের প্রথম অংশ, পদবি ও ইমেইল ঠিকানায় প্রবেশ করা হয়েছে। এর পাশাপাশি SSO ব্যবহার না করা প্রাক্তন শিক্ষার্থী, গবেষণাকর্মী ও নিয়োগদাতাদের অ্যাকাউন্টের এনক্রিপ্ট করা পাসওয়ার্ডেও প্রবেশ করা হয়েছে। শিক্ষার্থীদের পাসওয়ার্ড, আর্থিক তথ্য, কোর্সের তথ্য, আপলোড করা ফাইল, অ্যাপয়েন্টমেন্ট বা Oxford-এর নিজস্ব সিস্টেম প্রভাবিত হওয়ার কোনো প্রমাণ ছিল না। কতজন স্বতন্ত্র ব্যবহারকারী প্রভাবিত হয়েছেন, তার মোট সংখ্যাও প্রকাশ করা হয়নি।