University of Sydney-এর কোড লাইব্রেরিতে 2025 সালের তথ্য ফাঁস

18 ডিসেম্বর 2025 তারিখের University of Sydney-এর আনুষ্ঠানিক বিজ্ঞপ্তিতে জানানো হয় যে একটি কোড লাইব্রেরির নিরাপত্তা লঙ্ঘিত হয়েছে এবং সেখানে ব্যক্তিগত তথ্যসহ পুরোনো ডেটা থেকে নেওয়া তথ্যসমষ্টি ছিল। হালনাগাদ করা পৃষ্ঠায় বিশ্ববিদ্যালয়-সংশ্লিষ্ট কোন গোষ্ঠীগুলো প্রভাবিত হয়েছে, তাদের অবহিত করার সময়সূচি এবং গৃহীত পদক্ষেপ প্রকাশ করা হয়েছে। প্রতিষ্ঠানটি নিশ্চিত করেছে যে তারা অননুমোদিত প্রবেশ বন্ধ করেছে, শনাক্ত করা ডেটাসেটগুলো রিপোজিটরি থেকে মুছে ফেলেছে এবং অস্ট্রেলিয়ার সংশ্লিষ্ট কর্তৃপক্ষকে জানিয়েছে।

বিশ্ববিদ্যালয়ের আনুষ্ঠানিক FAQ (সচরাচর জিজ্ঞাস্য) পৃষ্ঠায় বলা হয়েছে, ঘটনাটি একটিমাত্র অনলাইন প্ল্যাটফর্মে সীমাবদ্ধ ছিল এবং বিশ্ববিদ্যালয়ের অন্য কোনো সিস্টেম প্রভাবিত হয়নি। বিশ্ববিদ্যালয়ের এই তথ্য প্রকাশ নিয়ে BleepingComputer-ও স্বতন্ত্রভাবে প্রতিবেদন করেছে, যেখানে ডাউনলোড হওয়া, গোষ্ঠীভিত্তিক সংখ্যা এবং কর্মীদের তথ্যের ধরনগুলো নিশ্চিত করা হয়েছে। LeakData এই উৎসগুলোতে জানানো পরিসরই ব্যবহার করে এবং হামলাকারীর পরিচয় বা প্রকাশ করা হয়নি এমন কোনো প্রযুক্তিগত অনুপ্রবেশ পদ্ধতি নিয়ে অনুমান করে না।

প্রভাবিত প্ল্যাটফর্মটি সাধারণত সোর্স কোড সংরক্ষণ ও সফটওয়্যার উন্নয়নের কাজে ব্যবহৃত হতো। বিশ্ববিদ্যালয় জানিয়েছে, ব্যক্তিগত তথ্য থাকা ফাইলগুলো ছিল পুরোনো ডেটা থেকে নেওয়া তথ্যসমষ্টি, যা মূলত কোড তৈরির সময় পরীক্ষার জন্য প্রস্তুত করা হয়েছিল। উন্নয়ন পরিবেশে এসব তথ্যসমষ্টি রেখে দেওয়ায় কোড রিপোজিটরির নিরাপত্তা লঙ্ঘনের মাধ্যমে বিশ্ববিদ্যালয়-সংশ্লিষ্ট ব্যক্তিদের পুরোনো রেকর্ডেও প্রবেশ করা সম্ভব হয়।

কর্মীদের তথ্যে এমন ব্যক্তিদের বিবরণ ছিল, যারা 4 সেপ্টেম্বর 2018 তারিখে বিশ্ববিদ্যালয়ে কর্মরত ছিলেন বা এর সঙ্গে সংশ্লিষ্ট ছিলেন। শিক্ষার্থী ও প্রাক্তন শিক্ষার্থীদের ফাইলগুলো মূলত 2010 থেকে 2019 পর্যন্ত সময়ের পুরোনো ডেটাসেট ছিল। এই সময়কাল থেকে বোঝা যায়, ঘটনাটি 2025 সালে ঘটলেও তথ্যগুলোতে বহু বছর আগের বিশ্ববিদ্যালয়-সম্পর্কিত সংযোগের বিবরণ ছিল; তথ্য পুরোনো হলেই গোপনীয়তার ঝুঁকি দূর হয়ে যায় না।

আনুমানিক 10,000 বর্তমান কর্মী ও সংশ্লিষ্ট ব্যক্তি এবং 12,500 সাবেক কর্মী ও সংশ্লিষ্ট ব্যক্তি প্রভাবিত হয়েছেন। বিশ্ববিদ্যালয়ের বক্তব্যের ভিত্তিতে প্রকাশিত প্রতিবেদনে কর্মীদের তথ্যের মধ্যে নাম, জন্মতারিখ, টেলিফোন নম্বর, বাড়ির ঠিকানা এবং পদ বা চাকরিসংক্রান্ত মৌলিক বিবরণের উল্লেখ রয়েছে। এই রেকর্ডে দাবি করা হচ্ছে না যে প্রত্যেক ব্যক্তির ক্ষেত্রে সব ধরনের তথ্যই ছিল। এখানে তথ্যের ধরনগুলো কর্মীদের ফাইলের প্রকাশ্যে বর্ণিত বিষয়বস্তুর মধ্যেই সীমিত রাখা হয়েছে।

বাকি শ্রেণিতে রয়েছেন আনুমানিক 5,000 শিক্ষার্থী ও প্রাক্তন শিক্ষার্থী, যাদের ডেটাসেটগুলো মূলত 2010 থেকে 2019 সময়ের, এবং ছয়জন সমর্থক। বিশ্ববিদ্যালয় নিশ্চিত করেছে যে এসব ব্যক্তির পুরোনো ব্যক্তিগত তথ্যে প্রবেশ করা হয়েছিল, তবে তাদের প্রকাশ্য পৃষ্ঠায় শিক্ষার্থী বা প্রাক্তন শিক্ষার্থীদের প্রতিটি তথ্যের ধরন আলাদাভাবে উল্লেখ করা হয়নি।

সন্দেহজনক কার্যকলাপ শনাক্ত করার পর বিশ্ববিদ্যালয় অনলাইন কোড লাইব্রেরিতে অননুমোদিত প্রবেশ বন্ধ করে, পরিবেশটি সুরক্ষিত করে এবং অন্যান্য সিস্টেমের জন্য জোরদার নিরাপত্তা ব্যবস্থা চালু করে। তারা শনাক্ত করা ডেটাসেটগুলো রিপোজিটরি থেকে মুছে ফেলে এবং ঘটনার পরিসর নির্ধারণ ও প্রভাবিত ব্যক্তিদের শনাক্ত করতে তদন্ত শুরু করে। তথ্যগুলো অনলাইনে প্রকাশিত হওয়ার কোনো লক্ষণ আছে কি না, তা জানতে বহিরাগত সাইবার নিরাপত্তা সহযোগীরা পর্যবেক্ষণ চালিয়ে যান।

প্রতিষ্ঠানটি NSW Privacy Commissioner, Australian Cyber Security Centre, Tertiary Education Quality and Standards Agency, National Student Ombudsman এবং ID Support NSW-কে অবহিত করে। বর্তমান কর্মীদের ডিসেম্বরের শেষ দিকে জানানো হয়, সাবেক কর্মীদের অবহিত করা শুরু হয় 19 জানুয়ারির সপ্তাহে এবং সাবেক শিক্ষার্থীদের সঙ্গে যোগাযোগ করা হয় 26 জানুয়ারির সপ্তাহে। এ ছাড়া একটি বিশেষ সহায়তা ফরম, কাউন্সেলিং এবং পরিচয় সুরক্ষার নির্দেশনাও দেওয়া হয়।

বিশ্ববিদ্যালয় অনলাইন, আর্থিক ও প্রাতিষ্ঠানিক অ্যাকাউন্টে অস্বাভাবিক কার্যকলাপ আছে কি না তা নজরে রাখা, পাসওয়ার্ড পরিবর্তন করা এবং সম্ভব হলে একাধিক উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করার পরামর্শ দিয়েছে। পুরোনো টেলিফোন নম্বর, ঠিকানা বা চাকরির বিবরণ থাকা বার্তা বিশ্বাসযোগ্য মনে হতে পারে। আরও ব্যক্তিগত তথ্য চেয়ে আসা কল বা ইমেইলের উত্তর দেওয়ার আগে, আলাদাভাবে সংগ্রহ করা আনুষ্ঠানিক যোগাযোগমাধ্যমে সেগুলোর সত্যতা যাচাই করা উচিত।

ঘটনা প্রকাশ ও পরবর্তী হালনাগাদের তারিখগুলোতে বিশ্ববিদ্যালয় জানিয়েছিল যে তথ্যগুলো অনলাইনে প্রকাশিত হয়েছে বা অপব্যবহার করা হয়েছে, এমন কোনো প্রমাণ তারা পায়নি। এই বক্তব্য নিশ্চিতভাবে ডাউনলোড হওয়ার ঘটনাকে নাকচ করে না; এটি কেবল তখন পর্যন্ত তথ্যের পরবর্তী ব্যবহার সম্পর্কে যা পর্যবেক্ষণ করা হয়েছিল, তার সীমা নির্দেশ করে। পরিচয়ের অপব্যবহার হয়েছে বলে সন্দেহ হলে স্থানীয় আইনশৃঙ্খলা রক্ষাকারী সংস্থা, বিশ্ববিদ্যালয়ের সাইবার নিরাপত্তা দল এবং ID Support NSW বা IDCARE-এর মতো অস্ট্রেলীয় সহায়তা সংস্থাকে জানানো যেতে পারে।

আনুষ্ঠানিক উৎসে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। শ্রেণিভিত্তিক সংখ্যাগুলো আনুমানিক হওয়ায়, সংখ্যার শেষ অঙ্কগুলোকে ব্যক্তি পর্যায়ে নির্ভুল যাচাইয়ের ফল হিসেবে ধরা উচিত নয়। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন সর্বপ্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

এই রেকর্ডে কোড রিপোজিটরির নিশ্চিত নিরাপত্তা লঙ্ঘন, ডাউনলোড করা পুরোনো ফাইল, প্রকাশিত শ্রেণিভিত্তিক মোট সংখ্যা এবং গৃহীত পদক্ষেপের সারসংক্ষেপ দেওয়া হয়েছে। তদন্তে প্রতিটি ব্যক্তিকে একবার গণনা করে নির্ধারিত মোট সংখ্যা বা আরও তথ্যের ধরন পাওয়া গেলে, বিশ্ববিদ্যালয়ের প্রাথমিক প্রকাশনার ভিত্তিতে এই পরিসর হালনাগাদ করা যেতে পারে।