WestJet-এর 2025 সালের তথ্য সুরক্ষা লঙ্ঘন

প্রধান সূত্র হলো WestJet-এর নিজস্ব ওয়েবসাইটে প্রকাশিত “যুক্তরাষ্ট্রের বাসিন্দাদের জন্য সাইবার নিরাপত্তাজনিত ঘটনার বিজ্ঞপ্তি”। বিমান সংস্থাটি সেখানে সরাসরি সন্দেহজনক কার্যকলাপের তারিখ, অননুমোদিত প্রবেশাধিকার, তথ্য সংগ্রহ করা হয়েছে বলে নিশ্চিত হওয়া, পর্যালোচনা ও বিজ্ঞপ্তি পাঠানোর প্রক্রিয়া, সংশ্লিষ্ট তথ্যের প্রধান ধরন, নির্দিষ্টভাবে বাদ দেওয়া তথ্যের ক্ষেত্র এবং ঘটনার পর নেওয়া নিরাপত্তাব্যবস্থার বিবরণ দিয়েছে।

ম্যাসাচুসেটসের ভোক্তাদের বিজ্ঞপ্তি দেওয়া সংক্রান্ত একটি নথিতে ব্যক্তিকে পাঠানো চিঠির নমুনা, Rewards-সংক্রান্ত তথ্যের ক্ষেত্র, কার্ড ও পাসওয়ার্ড-সংক্রান্ত তথ্য বাদ থাকার বিষয় এবং 24 মাসের Cyberscout সেবার উল্লেখ নিশ্চিত করা হয়েছে। Claim Depot আনুষ্ঠানিক WestJet পেজ ও একাধিক অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের রেকর্ডের লিংক দিয়েছে এবং যুক্তরাষ্ট্রে মোট 12 লাখ ক্ষতিগ্রস্ত ব্যক্তি, অঙ্গরাজ্যভিত্তিক সংখ্যা ও তথ্যের ক্ষেত্রগুলোর বিস্তারিত জানিয়েছে। মূল ঘটনা ও এর পরিসর নিয়ে সূত্রগুলোর বিবরণ পরস্পরের সঙ্গে মিলে যায়।

WestJet 13 জুন তাদের সিস্টেমে সন্দেহজনক কার্যকলাপ শনাক্ত করে। তদন্তে দেখা যায়, উন্নত কৌশল ব্যবহারকারী একটি অপরাধী পক্ষ অননুমোদিত প্রবেশাধিকার পেয়েছিল। বিমান সংস্থাটি ঘটনাটি নিয়ন্ত্রণে আনে, সিস্টেমগুলো সুরক্ষিত করে এবং অভ্যন্তরীণ ও বাইরের বিশেষজ্ঞদের নিয়ে প্রযুক্তিগত ও ফরেনসিক তদন্তের কাজ চালায়। তাদের বিজ্ঞপ্তি অনুযায়ী, বিমান সংস্থার কার্যক্রমের নিরাপত্তা ও অখণ্ডতা কখনোই প্রশ্নের মুখে পড়েনি।

ফরেনসিক তদন্তে নিশ্চিত হয় যে WestJet-এর সিস্টেম থেকে কিছু তথ্য সংগ্রহ করা হয়েছিল। এরপর সংস্থাটি প্রতিটি তথ্যের ধরন অনুযায়ী সংশ্লিষ্ট উপাদান বিশ্লেষণ করে এবং ক্ষতিগ্রস্ত যুক্তরাষ্ট্রের বাসিন্দাদের বর্তমান যোগাযোগের তথ্য খুঁজে বের করার চেষ্টা করে। এই পর্যালোচনা 15 সেপ্টেম্বর শেষ হয়। প্রকাশ্য বিজ্ঞপ্তিতে অপরাধী পক্ষের পরিচয়, প্রথমবার প্রবেশের পদ্ধতি, কত দিন সেই প্রবেশাধিকার বজায় ছিল কিংবা ফাইলগুলো প্রকাশ্যে ছড়িয়ে দেওয়া হয়েছিল কি না, তা জানানো হয়নি।

সংশ্লিষ্ট তথ্য ব্যক্তিভেদে আলাদা ছিল এবং এর মধ্যে নাম, জন্মতারিখ, ডাকযোগে যোগাযোগের ঠিকানা ও অন্যান্য যোগাযোগের তথ্য থাকতে পারে। বুকিং ও ভ্রমণের সঙ্গে যুক্ত নথিতে পাসপোর্ট নম্বর বা সরকারপ্রদত্ত অন্যান্য পরিচয়-সংক্রান্ত তথ্য থাকতে পারে। বিশেষ সুবিধার জন্য করা অনুরোধ, দাখিল করা অভিযোগ এবং ব্যক্তির সঙ্গে WestJet-এর সম্পর্ক বোঝায় এমন বুকিং-সংক্রান্ত অন্যান্য তথ্যও এর মধ্যে থাকতে পারে।

ভ্রমণ নথি ও বুকিংয়ের তথ্য ব্যবহার করে আক্রমণকারী নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হবে প্রেরক তার আসন্ন বা আগের কোনো ভ্রমণ সম্পর্কে জানে। বিশেষ সহায়তা বা সুবিধার অনুরোধ থেকে সংবেদনশীল বিষয় সম্পর্কে অনুমান করা সম্ভব হতে পারে, তবে সূত্রটি কোনো নির্দিষ্ট রোগ নির্ণয়ের তথ্য নিশ্চিত করেনি।

WestJet Rewards সদস্যদের ক্ষেত্রে Rewards ID নম্বর, ঘটনার তারিখে জমা থাকা পয়েন্টের পরিমাণ এবং অ্যাকাউন্ট ব্যবহারের সঙ্গে যুক্ত অন্যান্য তথ্য এ ঘটনার আওতায় পড়ে থাকতে পারে। যৌথ ব্র্যান্ডের WestJet RBC Mastercard গ্রাহকদের ক্ষেত্রে “World Elite”-এর মতো কার্ডের ধরন নির্দেশক পরিচিতি এবং পয়েন্টের পরিমাণে পরিবর্তনের তথ্যও এর মধ্যে থাকতে পারে। এসব তথ্য ব্যবহার করে লয়্যালটি অ্যাকাউন্টকে লক্ষ্য করে পাঠানো ফিশিং বার্তা আরও বিশ্বাসযোগ্য করা যায়।

আনুষ্ঠানিক বিজ্ঞপ্তিতে গুরুত্বপূর্ণ কিছু তথ্যের ক্ষেত্র স্পষ্টভাবে বাদ দেওয়া হয়েছে: ক্রেডিট কার্ড ও ডেবিট কার্ডের নম্বর, মেয়াদ শেষ হওয়ার তারিখ এবং CVV কোড সংগ্রহ করা হয়নি, আর অতিথি ব্যবহারকারীদের পাসওয়ার্ড এ ঘটনার আওতায় পড়েনি। কার্ডের ধরন নির্দেশক পরিচিতি আসল কার্ড নম্বর নয়। WestJet জানিয়েছে, পয়েন্ট ঝুঁকিতে আছে বলে মনে করার কোনো কারণ তাদের কাছে নেই, যদিও সদস্যদের তারপরও অ্যাকাউন্টের কার্যকলাপ নজরে রাখা উচিত।

তথ্যসূত্রের লিংকসহ রেকর্ড অনুযায়ী, যুক্তরাষ্ট্রের প্রায় 12,00,000 ব্যক্তি ক্ষতিগ্রস্ত হয়েছেন। আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। অঙ্গরাজ্যভিত্তিক উদাহরণের মধ্যে রয়েছে ম্যাসাচুসেটসের 1,847, টেক্সাসের 1,487, সাউথ ক্যারোলাইনার 1,177, মন্টানার 481, আইওয়ার 367, নিউ হ্যাম্পশায়ারের 289 এবং মেইনের 240 জন বাসিন্দা। অঙ্গরাজ্যভিত্তিক এসব সংখ্যা জাতীয় মোট সংখ্যার সঙ্গে অতিরিক্ত হিসেবে যোগ করা হয় না।

WestJet জানিয়েছে, তারা FBI, Canadian Centre for Cyber Security, Transport Canada, Office of the Privacy Commissioner of Canada এবং সংশ্লিষ্ট অঙ্গরাজ্যগুলোর অ্যাটর্নি জেনারেলদের সঙ্গে কাজ করেছে। TransUnion, Experian ও Equifax-কেও জানানো হয়েছে।

WestJet অননুমোদিত প্রবেশ নিয়ন্ত্রণে আনে, নজরদারি বাড়ায় এবং সিস্টেম ও তথ্যের নিরাপত্তায় অতিরিক্ত ব্যবস্থা কার্যকর করে। বিজ্ঞপ্তি পাওয়া যোগ্য গ্রাহকদের Cyberscout-এর মাধ্যমে 24 মাসের ক্রেডিট মনিটরিং, পরিচয় সুরক্ষা ও প্রতারণা-সংক্রান্ত সহায়তার প্রস্তাব দেওয়া হয়। কর্মদিবসে ইস্টার্ন সময় অনুযায়ী সকাল 8:00 থেকে রাত 8:00 পর্যন্ত সহায়তার জন্য 1-833-294-7065 নম্বর দেওয়া হয়।

ভ্রমণকারীদের উচিত কেবল আনুষ্ঠানিক অ্যাপ বা ওয়েবসাইটের মাধ্যমে আসন্ন ভ্রমণের তথ্য যাচাই করা। WestJet-এর পক্ষ থেকে পাঠানো বলে দাবি করা অপ্রত্যাশিত বার্তায় পেমেন্ট কার্ড, ভ্রমণ নথি বা লগইনের তথ্য দেওয়া উচিত নয়। অপরিচিত কার্যকলাপ আছে কি না দেখতে Rewards-এর কার্যকলাপ, ক্রেডিট রিপোর্ট ও অ্যাকাউন্টের বিবরণী পর্যালোচনা করা উচিত; প্রতারণার সতর্কতা জারি করা বা ক্রেডিট ফ্রিজ করা উপযুক্ত হতে পারে।