Wedbush Securities-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান প্রমাণ হলো গ্রাহকদের উদ্দেশে Wedbush Securities-এর 2025 সালের 20 নভেম্বরের নোটিশ, যা ম্যাসাচুসেটস ও ক্যালিফোর্নিয়ার নিয়ন্ত্রক সংস্থার নথিতে প্রকাশিত হয়েছে। প্রতিষ্ঠানটির পক্ষ থেকে পাঠানো এই চিঠিতে ভুলভাবে কনফিগার করা ওয়েবের মাধ্যমে প্রবেশযোগ্য অ্যাপ্লিকেশন, প্রবেশের সময়সীমা, পর্যালোচনার তারিখ, ব্যক্তিভেদে সংশ্লিষ্ট তথ্যের ধরন, প্রযুক্তিগত পরিবেশ সুরক্ষিত করার ব্যবস্থা এবং পরিচয় সুরক্ষা সেবার সরাসরি বিবরণ দেওয়া হয়েছে।

ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের নথি আনুষ্ঠানিকভাবে তথ্য প্রকাশের দ্বিতীয় একটি উৎস। Claim Depot দুই অঙ্গরাজ্যে জমা দেওয়া নথি ও গ্রাহকদের চিঠির মধ্যে যোগসূত্র তুলে ধরে এবং ঘটনাক্রম ও তথ্যের ধরনগুলোর নিজস্ব সারসংক্ষেপ দেয়। সংশ্লিষ্ট প্রতিষ্ঠান, ভুল কনফিগারেশন, 17 মে–11 জুলাই সময়কাল এবং নাম, আর্থিক প্রতিষ্ঠানের নাম, অ্যাকাউন্ট নম্বর ও SSNs-সংক্রান্ত পরিসরের বিষয়ে উৎসগুলোর তথ্য মিলে যায়।

11 জুলাইয়ের দিকে Wedbush জানতে পারে যে ওয়েবের মাধ্যমে প্রবেশযোগ্য একটি অভ্যন্তরীণ অ্যাপ্লিকেশন এমনভাবে ভুল কনফিগার করা ছিল, যাতে অননুমোদিত প্রবেশ সম্ভব হয়। প্রতিষ্ঠানটি দ্রুত অ্যাপ্লিকেশনটি সুরক্ষিত করে এবং সম্ভাব্য প্রবেশের প্রকৃতি ও পরিসর তদন্ত করতে শুরু করে। পর্যালোচনায় দেখা যায়, অননুমোদিত পক্ষগুলো 17 মে থেকে 11 জুলাই পর্যন্ত অ্যাপ্লিকেশনটিতে থাকা গ্রাহকদের সীমিত কিছু তথ্যে প্রবেশের সুযোগ পেয়ে থাকতে পারে।

নির্দিষ্ট কোনো ফাইল নিশ্চিতভাবে ডাউনলোড করা হয়েছে বা বাইরে সরিয়ে নেওয়া হয়েছে, এমন কথা প্রকাশ্য চিঠিতে বলা হয়নি; বরং মূল্যায়নে বলা হয়েছে যে অননুমোদিত পক্ষগুলো “প্রবেশের সুযোগ পেয়ে থাকতে পারে।” চিঠিতে সংশ্লিষ্ট পক্ষের পরিচয়, প্রথম শনাক্তকরণের পদ্ধতি, পরিচয় যাচাইয়ের ব্যবস্থা বা ভুল কনফিগারেশনের প্রযুক্তিগত বিবরণও উল্লেখ করা হয়নি।

প্রভাবিত ফাইলগুলোতে থাকা তথ্য ব্যক্তিভেদে আলাদা ছিল। তবে এতে গ্রাহকের নাম, সংশ্লিষ্ট আর্থিক প্রতিষ্ঠানের নাম, অ্যাকাউন্ট নম্বর ও সোশ্যাল সিকিউরিটি নম্বর থাকতে পারে। এই তথ্যগুলো একসঙ্গে থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ব্যাংক বা ব্রোকারেজ প্রতিষ্ঠানের পরিচয়ে প্রতারণা, প্রতারণামূলক অ্যাকাউন্ট যাচাইয়ের অনুরোধ এবং পরিচয় চুরির উল্লেখযোগ্য ঝুঁকি তৈরি হয়।

সুরক্ষা-সংক্রান্ত পরিশিষ্টে ক্রেডিট ফ্রিজের অনুরোধ করতে সাধারণভাবে যেসব তথ্য লাগতে পারে, তার মধ্যে জন্মতারিখ, ঠিকানা ও সরকারি পরিচয়পত্রের উল্লেখ রয়েছে। ওই অংশে নিশ্চিত করা হয়নি যে এই ঘটনায় সেসব তথ্যেও প্রবেশের সুযোগ ছিল।

আর্থিক প্রতিষ্ঠানের নাম জানা থাকলে আক্রমণকারী কোনো ব্যক্তির প্রকৃত ব্যাংকিং বা ব্রোকারেজ সম্পর্ককে কাজে লাগিয়ে তাঁকে লক্ষ্য করতে পারে। প্রতারণামূলক অর্থ স্থানান্তরের অনুরোধ, অ্যাকাউন্ট যাচাইয়ের নামে প্রতারণা বা গ্রাহক সহায়তাকর্মীর পরিচয় ধারণ করতে অ্যাকাউন্ট নম্বরের অপব্যবহার করা হতে পারে। এর সঙ্গে SSN যুক্ত হলে ঝুঁকি বাড়ে, তবে শুধু অ্যাকাউন্ট নম্বর পাওয়া গেছে বলেই যে পাসওয়ার্ড বা লগইন করার সুযোগও অন্যের হাতে চলে গেছে, তা নয়।

আনুষ্ঠানিক নোটিশে অ্যাকাউন্টের ধরন, রাউটিং নম্বর, ব্যালান্স বা পজিশন, লেনদেনের ইতিহাস, পেমেন্ট কার্ড নম্বর, PIN, অনলাইন পাসওয়ার্ড বা বহু-উপাদানভিত্তিক প্রমাণীকরণের কোড প্রকাশ করা হয়নি। গ্রাহকদের উচিত তাঁদের অ্যাকাউন্টে অপরিচিত অর্থ স্থানান্তর, নতুন অর্থপ্রাপক, যোগাযোগের তথ্যের পরিবর্তন এবং নিরাপত্তা সেটিংসে পরিবর্তন হচ্ছে কি না নজর রাখা।

অঙ্গরাজ্যগুলোর প্রকাশ্য নথিতে একই ব্যক্তিকে একবার গণনা করে নির্ধারিত দেশব্যাপী মোট সংখ্যা প্রকাশ করা হয়নি। ম্যাসাচুসেটস বা ক্যালিফোর্নিয়ার বাসিন্দাদের সংখ্যা পাওয়া গেলেও সেটিকে পুরো দেশের ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা হিসেবে ধরা যাবে না।

Wedbush জানিয়েছে, চিঠির তারিখ পর্যন্ত এই ঘটনার সঙ্গে সংশ্লিষ্ট তথ্যের অপব্যবহারের চেষ্টা বা প্রকৃত অপব্যবহারের কোনো ঘটনা তাদের জানা ছিল না। ওই তারিখ পর্যন্ত এটি ইতিবাচক তথ্য, ভবিষ্যতে প্রতারণা হবে না, এমন নিশ্চয়তা নয়। SSNs ও অ্যাকাউন্ট নম্বর দীর্ঘদিন ব্যবহৃত বা সংবেদনশীল শনাক্তকারী তথ্য হওয়ায় চিঠির প্রাপকদের জন্য দীর্ঘমেয়াদে ক্রেডিট তথ্য ও আর্থিক অ্যাকাউন্ট পর্যবেক্ষণ করা এখনও যথাযথ পদক্ষেপ।

প্রতিষ্ঠানটি অ্যাপ্লিকেশন সুরক্ষিত করে, প্রযুক্তিগত পরিবেশ রক্ষায় তাৎক্ষণিক পদক্ষেপ নেয়, আইনশৃঙ্খলা রক্ষাকারী বাহিনীকে জানায়, ঘটনার পরিসর নিয়ে তদন্ত শুরু করে এবং নীতিমালা ও কার্যপদ্ধতি পর্যালোচনা করে। যোগ্য ব্যক্তিদের Cyberscout-এর মাধ্যমে বিনা মূল্যে 12 মাসের জন্য একটি ক্রেডিট ব্যুরোর তথ্যভিত্তিক ক্রেডিট পর্যবেক্ষণ সেবা, একটি ক্রেডিট রিপোর্ট, ক্রেডিট স্কোর এবং প্রতারণা মোকাবিলায় আগাম সহায়তা দেওয়ার প্রস্তাব করা হয়েছিল।

প্রাপকদের শুধু তাঁদের চিঠিতে থাকা কোড দিয়েই নিবন্ধন করা উচিত এবং অপরিচিত অনুসন্ধান বা লেনদেন আছে কি না দেখতে অ্যাকাউন্টের বিবরণী ও ক্রেডিট রিপোর্ট পর্যালোচনা করা উচিত। SSN সংশ্লিষ্ট হয়ে থাকলে তিনটি ব্যুরোতেই ক্রেডিট ফ্রিজ, প্রতারণার সতর্কতা এবং একটি IRS Identity Protection PIN নেওয়া উপযুক্ত হতে পারে। সপ্তাহের কর্মদিবসগুলোতে ইস্টার্ন সময় সকাল 8:00 থেকে রাত 8:00 পর্যন্ত 833-467-0739 নম্বরের হেল্পলাইনে সহায়তা পাওয়া যায়।