Western Alliance Bank-এর 2024 সালের তথ্য ফাঁস

প্রধান প্রমাণ হলো গ্রাহকদের উদ্দেশে Western Alliance Bank-এর চিঠি, যা ক্যালিফোর্নিয়া ও ম্যাসাচুসেটসের নিয়ন্ত্রক সংস্থার নথিতে প্রকাশিত হয়েছে। ব্যাংকের পক্ষ থেকে এই নথিতে সরাসরি বর্ণনা করা হয়েছে তৃতীয় পক্ষের সফটওয়্যারের দুর্বলতা, সিস্টেমে প্রবেশ ও ফাইল সংগ্রহের সময়কাল, ঘটনা জানার ও তথ্য পর্যালোচনার তারিখ, নিশ্চিতভাবে উপস্থিত তথ্যের ধরন, আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানানোর বিষয় এবং দেওয়া পরিচয় সুরক্ষা সেবা।

মেইন ও অন্যান্য রাজ্যের অ্যাটর্নি জেনারেলের নথিও সংশ্লিষ্ট ব্যক্তিদের অবহিত করার প্রক্রিয়ার সমর্থনে প্রমাণ দেয়। Claim Depot ওই সরকারি নথিগুলোর সংযোগ দেয় এবং সারা দেশে মোট 21,899 জন ও রাজ্যভিত্তিক সংখ্যাগুলো সুবিন্যস্তভাবে প্রকাশ করে। ঘটনার সময়কাল, তৃতীয় পক্ষের ফাইল স্থানান্তর সফটওয়্যার, ফাইলের অনুলিপি সংগ্রহ এবং প্রধান তথ্যের ধরন সম্পর্কে সূত্রগুলোর বিবরণ পরস্পরের সঙ্গে মেলে।

Western Alliance এবং আরও অনেক প্রতিষ্ঠানের ব্যবহৃত নিরাপদ ফাইল স্থানান্তর সফটওয়্যারে আগে অজানা একটি দুর্বলতা ছিল। অননুমোদিত এক পক্ষ অক্টোবরে সেটি কাজে লাগিয়ে ব্যাংকের সিস্টেমের সীমিত একটি অংশে প্রবেশ করে। তদন্তে নিশ্চিত করা হয় যে ওই পক্ষ 12 অক্টোবর থেকে 24 অক্টোবরের মধ্যে কিছু নির্দিষ্ট ফাইল সংগ্রহ করেছিল।

ব্যাংক 2025 সালের 27 জানুয়ারি সম্ভাব্য অননুমোদিত প্রবেশের কথা জানতে পারে, ফাইলগুলো পর্যালোচনা শুরু করে এবং 21 ফেব্রুয়ারি নিশ্চিত করে যে সেগুলোতে ব্যক্তিগত তথ্য ছিল। একটি গৌণ সূত্রে বলা হয়েছে, CL0P গোষ্ঠী ঘটনার দায় স্বীকার করেছে। তবে গ্রাহকদের উদ্দেশে দেওয়া চিঠিতে কোনো পক্ষের নাম উল্লেখ করা হয়নি বা ঘটনাটিকে র‍্যানসমওয়্যারের সঙ্গে যুক্ত করা হয়নি। LeakData তৃতীয় পক্ষের সফটওয়্যারের দুর্বলতা ও ফাইল সংগ্রহের বিষয়কে যাচাইকৃত হিসেবে বিবেচনা করে, তবে গোষ্ঠীটির দাবিকে কারা দায়ী তার চূড়ান্ত প্রমাণ হিসেবে উপস্থাপন করে না।

বিজ্ঞপ্তিতে নাম ও সোশ্যাল সিকিউরিটি নম্বরকে নিশ্চিতভাবে উপস্থিত প্রধান তথ্য হিসেবে উল্লেখ করা হয়েছে। কোনো ব্যক্তি ব্যাংককে জন্মতারিখ, ড্রাইভিং লাইসেন্স নম্বর, কর শনাক্তকরণ নম্বর বা পাসপোর্ট দিয়ে থাকলে সেগুলোও উপস্থিত থাকতে পারে। প্রত্যেক ক্ষতিগ্রস্ত ব্যক্তির ক্ষেত্রে একই তথ্যসমষ্টি ছিল বলে ধরে নেওয়া উচিত নয়, কারণ গ্রাহক ও ফাইলভেদে তথ্যের পরিধি ভিন্ন ছিল।

SSN, কর শনাক্তকরণ নম্বর, জন্মতারিখ ও সরকারি নথি একসঙ্গে থাকলে প্রতারণার মাধ্যমে ঋণ নেওয়া, কর জালিয়াতি, ব্যবসায়িক পরিচয়ের অপব্যবহার এবং লক্ষ্যভিত্তিক ফিশিংয়ের দীর্ঘমেয়াদি ঝুঁকি তৈরি হয়। পাসপোর্ট বা ড্রাইভিং লাইসেন্স জড়িত থাকলে, সেগুলো নবায়ন করা এবং অপব্যবহার সম্পর্কে জানানোর জন্য ইস্যুকারী কর্তৃপক্ষের কী ব্যবস্থা আছে তা দেখে নেওয়া উপকারী হতে পারে। ব্যাংকের নাম ব্যবহার করে আসা অপ্রত্যাশিত বার্তার মাধ্যমে নথির ছবি বা যাচাইকরণ কোড দেওয়া উচিত নয়।

ব্যাংক জানিয়েছে, কিছু ফাইলে আর্থিক অ্যাকাউন্টের নম্বর থাকতে পারে। এই তথ্য ব্যবহার করে অ্যাকাউন্টসংক্রান্ত জালিয়াতি, প্রতারণামূলক অর্থ পরিশোধের অনুরোধ বা গ্রাহকের অ্যাকাউন্ট সম্পর্কে সঠিক তথ্য দেখিয়ে সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টা করা সম্ভব হতে পারে। প্রকাশ্য চিঠিতে অ্যাকাউন্টের ধরন, আর্থিক প্রতিষ্ঠানের নাম বা ঘটনার সময় অ্যাকাউন্টটি চালু ছিল কি না, তা উল্লেখ করা হয়নি।

সূত্রটি পেমেন্ট কার্ড নম্বর, মেয়াদ শেষ হওয়ার তারিখ, CVVs, PINs, অনলাইন ব্যাংকিংয়ের পাসওয়ার্ড, রাউটিং নম্বর, ব্যালান্স বা লেনদেনের ইতিহাসের উপস্থিতি নির্দিষ্টভাবে নিশ্চিত করেনি। বিজ্ঞপ্তি পাওয়া ব্যক্তিদের ব্যাংকের অফিসিয়াল অ্যাপ্লিকেশনের মাধ্যমে অ্যাকাউন্টের কার্যক্রমসংক্রান্ত সতর্কবার্তা চালু করা এবং অপরিচিত অর্থ স্থানান্তর, প্রাপক বা প্রোফাইলের পরিবর্তন সম্পর্কে সরাসরি প্রতিষ্ঠানকে জানানো উচিত।

সরকারি সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিধি নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। রাজ্যভিত্তিক সংখ্যার মধ্যে রয়েছেন টেক্সাসের 1,222 জন, ওয়াশিংটনের 539 জন, নিউ হ্যাম্পশায়ারের 41 জন, ম্যাসাচুসেটসের 17 জন এবং মেইনের ছয়জন বাসিন্দা। এসব রাজ্যের সংখ্যা সারা দেশের মোট সংখ্যার অংশ; এগুলো 21,899-এর সঙ্গে আবার যোগ করা হয় না।

Western Alliance জানিয়েছে, বিজ্ঞপ্তির তারিখ পর্যন্ত ব্যক্তিগত তথ্য প্রতারণা বা পরিচয় চুরির জন্য অপব্যবহার করা হয়েছে, এমন কোনো প্রমাণ তাদের কাছে ছিল না। নির্দিষ্ট সময় পর্যন্ত প্রযোজ্য এই মূল্যায়ন ভবিষ্যতের ঝুঁকি দূর করে না। যেহেতু ওই পক্ষ ফাইলের অনুলিপি সংগ্রহ করেছে বলে নিশ্চিত করা হয়েছে এবং সেগুলোতে SSNs-এর মতো দীর্ঘস্থায়ী শনাক্তকারী তথ্য ছিল, তাই বিজ্ঞপ্তি পাওয়া ব্যক্তিদের দীর্ঘমেয়াদে ক্রেডিট ও অ্যাকাউন্ট পর্যবেক্ষণ চালিয়ে যাওয়া উচিত।

Western Alliance আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানিয়েছে, প্রযুক্তিগত নিরাপত্তাব্যবস্থা জোরদার করেছে এবং যোগ্য ব্যক্তিদের বিনা মূল্যে এক বছরের Experian IdentityWorks Credit 3B সদস্যপদ দেওয়ার প্রস্তাব করেছে। এই সেবায় তিনটি ক্রেডিট ব্যুরোর তথ্যের ভিত্তিতে ক্রেডিট পর্যবেক্ষণ, পরিচয় পুনরুদ্ধার, সদস্যপদের মেয়াদ শেষ হওয়ার পরও সহায়তা এবং শর্তসাপেক্ষে সর্বোচ্চ $1 মিলিয়ন পর্যন্ত পরিচয় চুরির বিমা অন্তর্ভুক্ত রয়েছে। নিবন্ধনের বিস্তারিত তথ্য প্রত্যেকের ব্যক্তিগত চিঠিতে রয়েছে।

বিজ্ঞপ্তি পাওয়া ব্যক্তিদের কেবল অফিসিয়াল চিঠিতে দেওয়া কোড দিয়ে নিবন্ধন করা উচিত এবং অপরিচিত কার্যক্রম খুঁজতে ক্রেডিট রিপোর্ট ও Western Alliance-এর অ্যাকাউন্টগুলো পর্যালোচনা করা উচিত। SSN বা কর শনাক্তকরণ নম্বর জড়িত থাকলে, তিনটি ক্রেডিট ব্যুরোর সবগুলোতে ক্রেডিট ফ্রিজ করা, জালিয়াতির সতর্কতা জারি করা এবং একটি IRS Identity Protection PIN নেওয়া উপযুক্ত হতে পারে। সন্দেহজনক ফোনকলে একবার ব্যবহারযোগ্য কোড বা পাসওয়ার্ড দেওয়া উচিত নয়।