৫ কোটি ফেসবুক অ্যাকাউন্ট হ্যাক: আপনি কী করবেন?

সাইবর সুরক্ষা, অনলাইন গোপনীয়তা এবং ডেটা সুরক্ষার জগতে প্রতিমাসে অনেক কিছু ঘটে। সব কিছু ट्र্যাক রাখা কঠিন!

আমাদের মাসিক সুরক্ষা ডাইজেস্ট আপনাকে প্রতিমাসে সবচেয়ে গুরুত্বপূর্ণ সুরক্ষা ও গোপনীয়তা খবরের সাথে আপডেট রাখবে। সেপ্টেম্বরে কী ঘটেছিল, সেটা দেখে নিন।

১. ৫ কোটি ফেসবুক অ্যাকাউন্ট হ্যাক

সেপ্টেম্বরের শেষ সপ্তাহে了一条 বড় খবর: ৫ কোটি ফেসবুক ব্যবহারকারীর অ্যাকাউন্ট হ্যাক করা হয়েছে। ফেসবুক ৯ কোটি অ্যাকাউন্টের পাসওয়ার্ড রিসেট করেছে, কেবল নিশ্চিত হওয়ার জন্য, যা ইঙ্গিত দেয় আক্রান্ত অ্যাকাউন্টের সংখ্যা আরও বাড়তে পারে।

আক্রমণকারীদের ফেসবুকের "View As" ফিচারের একটি ঝুঁকি শোষন করেছে, যা ব্যবহারকারীদের নিজের অ্যাকাউন্ট অন্যদের কাছে কীভাবে দেখায় সেটা দেখতে দেয়। এই ঝুঁকির পেছনে তিনটি বাগ ছিল। প্রথমটি ফেসবুক ভিডিও আপলোড টুলকে View As পেজে দেখাতে দেয়। দ্বিতীয়টি আপলোড টুলকে একটি অ্যাক্সেস কোড তৈরি করতে দেয়। এবং তৃতীয় বাগ View As পেজকে হ্যাকারের পছন্দসই যেকোনো ব্যবহারকারীর অ্যাক্সেস কোড তৈরি করতে দেয়।

সমস্যা শুধু ফেসবুক সাইটে সীমাবদ্ধ নয়। Instagram-এর মতো অন্যান্য ফেসবুক সেবাও আক্রান্ত, এবং সার্বজনীন Facebook Login ব্যবহারকারী সাইট ও সেবাগুলোও। (সোশ্যাল লগইন ব্যবহার করলে আপনার অ্যাকাউন্ট কীভাবে সুরক্ষিত করবেন।)

প্রাথমিকভাবে, শুধু একটি উপায় ছিল জানার আপনি শিকার হয়েছেন কিনা: ফেসবুক আপনাকে সতর্কতা ছাড়া সাইন আউট করিয়ে দিলে। কিন্তু এখন ফেসবুক বলে, আপনার অ্যাকাউন্ট জড়িত হলে আপনার নিউজ ফিডের উপরে একটি মেসেজ পোস্ট করবে।

এই হ্যাক ইউরোপী পাঠকদের জন্য বিশেষ গুরুত্বপূর্ণ; মে ২০১৮-এ EU-এর জেনারেল ডেটা প্রোটেকশন (GDPR) আইন yürürlüğে যাওয়ার পর বড় টেক কোম্পানির থেকে এটি প্রথম বড় ডেটা লঙ্ঘন।

ফেসবুক যেহেতু আয়ারল্যান্ডে নিবন্ধিত, আয়ারিশ ডেটা প্রোটেকশন কমিশন GDPR-এর শর্তাবলী অনুযায়ী ফেসবুকে বিশাল জরিমানা দিতে পারে, কিন্তু কমিশনার এখনও "লঙ্ঘনের প্রকৃতি এবং ব্যবহারকারীদের ঝুঁকি" স্পষ্ট করেননি।

আপনি যদি ফেসবুক হ্যাকের শিকার হন, তবে নিচের চারটি কাজ অবিলম্বে করুন।

২. ফাইভ আইজ সরকাররা এনক্রিপশনে আক্রমণ

"যুক্তরাষ্ট্র, যুক্তরাজ্য, কানাডা, অস্ট্রেলিয়া এবং নিউজিল্যান্ডের সরকার ব্যক্তিগত অধিকার এবং গোপনীয়তার পক্ষে প্রতিবদ্ধ, এবং সেই অধিকার রক্ষায় এনক্রিপশনের ভূমিকা সমর্থন করে।"

ফাইভ আইজ সরকারের মন্ত্রিসভা—যুক্তরাষ্ট্র, যুক্তরাজ্য, কানাডা, অস্ট্রেলিয়া এবং নিউজিল্যান্ড—অস্ট্রেলিয়ায় বার্ষিক FCM-এ মিলিত হন। সেখানে এই যৌথ بیয়ান প্রস্তুত হয়েছিল।

তবে যৌথ বিবরণীর আরও তদন্ত করলে দেখা যায়, ফাইভ আইজ মিত্ররাষ্ট্ররা অ্যাপল, ফেসবুক এবং গুগলের মতো টেক জায়েন্টদের তাদের পণ্যে "قانونি পূরণের সমাধান" প্রদান করতে বাধ্য করার कानুন আনতে হুমকি দিচ্ছে। অন্য কথায়: ফাইভ আইজ দেশের সরকাররা এনক্রিপশন ব্যাকডোর চান, এবং এখনই চান।

দুর্ভাগ্যবশত, এটি সম্ভব নয়। একজনের জন্য ব্যাকডোর তৈরি করলে সেটা অন্যদের জন্যও অস্তিত্বে থাকে। একবার এনক্রিপশন ব্যাকডোর খুললে, কোটি কোটি আইনমান্য ব্যবহারকারীর সুরক্ষা বাষ্পীভূত হয়ে যায়।

এই সমস্যা দ্রুত সমাধান হবে না। এনক্রিপশন ভাঙতে বিপক্ষে অসংখ্য যুক্তি আছে, পক্ষে নগণ্য। কখনো কখনো গ্রে-কির মতো এনক্রিপশন ভাঙার টুল লো এনফোর্সমেন্টকে সুবিধা দেয়, কিন্তু সেগুলো বিরল। অন্য দেশ বিকল্প পথ বিবেচনা করছে। উদাহরণস্বরূপ, জার্মান ইন্টিরियर মিনিস্ট্রির ডকুমেন্টে রিমোট কমিউনিকেশন ইন্টারসেপশন সফটওয়্যার ব্যবহার করে iOS, Android এবং BlackBerry ডিভাইস টার্গেট করার কথা রয়েছে, অ্যাপল, গুগল, ফেসবুক মতো সার্ভিস প্রোভাইডারের ওপর নির্ভর না করে।

পুলিশ সন্দেহজনক লোকের ডিভাইসে ব্যাকডোর ইনস্টল করছে? সেটা আলাদা কাহিনী।

৩. ব্রিটিশ এয়ারওয়েজ লঙ্ঘন: ৩ লাখ কাস্টমার প্রভাবিত

UK-এর জাতীয় বাহক ব্রিটিশ এয়ারওয়েজ (BA) প্রকাশ করে, ২১ আগস্ট ২০১৮ রাত ২২:৫৮ থেকে ৫ সেপ্টেম্বর ২০১৮ রাত ২১:৪৫ পর্যন্ত ৩ লাখ কাস্টমারের পেমেন্ট ডিটেইলস লঙ্ঘিত হয়েছে। (এই নির্দিষ্ট সময়গুলো BA-র দিয়ে।)

চুরি করা তথ্যে সেই সময় BA-তে বুকিং করা কাস্টমারদের ব্যক্তিগত ও আর্থিক তথ্য ছিল। তবে পাসপোর্ট বা সনদ ডেটা ছিল না। BBC Radio 4-এ BA চেয়ারম্যান ও CEO অ্যালেক্স ক্রুজ বলেন, হ্যাকটি "একটি জটিল, দূরভিক্রমী অপরাধমূলক আক্রমণ" এবং BA "অত্যন্ত দুঃখিত"। তিনি প্রতিশ্রুতি দেন BA "১০০% প্রতিশ্রুতিবদ্ধ" প্রভাবিত কাস্টমারদের ক্ষতিপূরণের জন্য।

BA অফিসিয়ালি হ্যাক কীভাবে হয়েছে তা প্রকাশ করেনি। কিন্তু RiskIQ-এর সিকিউরিটি গবেষকরা মনে করেন হ্যাকাররা BA পেমেন্ট পেজে মডার্নিজর জাভাস্ক্রিপ্ট লাইব্রেরির একটি মডিফাইড ভার্সনের মাধ্যমে ম্যালিশিয়াস কোড চাপিয়েছিল। ম্যালিশিয়াস কোড চুরি করা ডেটা রোমেনিয়া-তে হোস্ট করা একটি সার্ভারে আপলোড করত। যা ลิথুয়েনিয়া-ভিত্তিক Time4VPS নামক একটি VPS প্রোভাইডারের অংশ।

"এই আক্রমণের জন্য ব্যবহৃত ইনফ্রাস্ট্রাকচার শুধু ব্রিটিশ এয়ারওয়েজকে লক্ষ্য করে তৈরি করা হয়েছিল এবং সাধারণ পেমেন্ট প্রসেসিং-এ মিশিয়ে ডিটেকশন এড়াতে স্ক্রিপ্ট টার্গেট করা হয়েছিল।"

গবেষকরা হ্যাকটিকে Magecart গ্রুপের সাথে লিঙ্ক করেছেন, যারা Ticketmaster এবং Newegg-এ সাম্প্রতিক আক্রমণের জন্যও দায়ী।

৪. ESET-এর প্রথম UEFI-ভিত্তিক রুটকিট আবিষ্কার

ESET-এর সিকিউরিটি গবেষকরা বাস্তব পরিবেশে প্রথম UEFI-ভিত্তিক রুটকিট আবিষ্কার করেছেন। এই রুটকিট হ্যাকারকে একটি আক্রান্ত সিস্টেমে স্থায়ী ম্যালওয়্যার ইনস্টল করতে দেয় যা ফুল সিস্টেম ফরম্যাটের পরও বাঁচতে পারে।

UEFI রুটকিট আবিষ্কার করা বিশেষভাবে চিন্তাজনক কারণ UEFI সিস্টেম ঐতিহাসিকভাবে এই ধরনের হুমকির বিরুদ্ধে নিরাপদ মনে হত। কিন্তু এই রুটকিট একটি বড় সমস্যা তৈরি করে কারণ এটি সরাতে পুরো মাদারবোর্ড ফার্মওয়্যার ফ্ল্যাশ করতে হয়; আপনার সাধারণ অ্যান্টিভাইরাস এবং অ্যান্টিম্যালওয়্যার প্রোগ্রাম রুটকিটের কাছে পৌঁছাতে পারবে না।

"যদিও একটি সিস্টেমের UEFI ইমেজ মডিফাই করা কঠিন, কিন্তু সিস্টেমের UEFI মডিউল স্ক্যান করে ম্যালিশিয়াসদের শনাক্ত করার কম সমাধান রয়েছে," ESET ব্লগে বলা হয়েছে। "বরং, সিস্টেমের UEFI ফার্মওয়্যার পরিষ্কার করা মানে সেটা রি-ফ্ল্যাশ করা, একটি অপারেশন যা সাধারণত করা হয় না এবং সাধারণ ব্যবহারকারীর জন্য নিশ্চয়ই নয়। এই সুবিধাগুলো ব্যাখ্যা করে কেন দৃঢ় এবং साधনসম্পন্ন আক্রমণকারী সিস্টেমের UEFI টার্গেট করতে থাকবে।"

এই রুটকিট, যাকে LoJack নামে ডাকা হয়, বিখ্যাত রাশিয়ান সরকার-লিঙ্কড হ্যাকিং গ্রুপ Fancy Bear-এর কাজ বলে মনে হয়। হ্যাকাররা Absolute Software-এর বৈধ LoJack ল্যাপটপ অ্যান্টি-থেফট টুল মডিফাই করেছেন। টুলটি সিস্টেম BIOS-এ ইনস্টল হয়ে সিস্টেম 와ইপের পরও বাঁচায়। মডিফিকেশনটি মূল LoJack কোডের অংশগুলো রিপ্লেস করে আক্রান্ত UEFI চিপস রি-রাইট করে।

UEFI রুটকিট থেকে কীভাবে রক্ষা পাবেন? সবচেয়ে সহজ উপায়: UEFI Secure Boot অন রেখে দিন। আপনার সিস্টেম ফার্মওয়্যার তারপর যেকোনো ফাইল যাচাই সার্টিফিকেট ছাড়া রিজেক্ট করবে, আপনার সিস্টেমকে ক্ষতির থেকে রক্ষা করবে।

৫. উত্তর কোরিয়ান হ্যাকার ওয়ানNAcry এবং সোনি হ্যাকের জন্য অভিযুক্ত

যুক্তরাষ্ট্র সরকার ২০১৭ সালের গ্লোবাল ওয়ানNAcry র‍্যানসমওয়ার্ম আক্রমণ এবং ২০১৪ সালের সোনি পিকচার্স হ্যাকের জন্য একটি উত্তর কোরিয়ান হ্যাকারকে অভিযুক্ত ও সンクশন করেছে। সোনি হ্যাকের কারণে কোম্পানিকে তখন-ih আপকামিং ফিল্ম The Interview ওয়াইনড্র করা পড়েছিল। (The Interview উত্তর কোরিয়ার নেতা কিম জং-উন হত্যার পরিকল্পনা নিয়ে একটি কমেডি।)

অভিযোগপত্রে অভিযোগ করা হয়েছে যে উত্তর কোরিয়ান প্রোগ্রামার পার্ক জিন হيوক, চীন এবং DPRK-তে অফিস সহ একটি সরকারি ফ্রন্ট কোম্পানিতে কাজ করতেন। পার্ক এবং তার সহকর্মীরা উত্তর কোরিয়ান সেনাবাহিনীর pihak থেকে দূরভিক্রমী কার্যকলাপে জড়িত ছিলেন বলে অভিযোগ।

"অভিযোগপত্রে cáoশ্বাস করা সাইবর অপরাধের মাত্রা এবং পরিধি চমৎকার এবং আইনের শাসন ও দায়িত্বশীল দেশগুলো দ্বারা স্বীকৃত সাইবর মানদণ্ডের प्रति আঘাতজনক," সহকারী অটর্নি জেনারেল জন ডেমার্স বলেন। "অভিযোগপত্রে দাবি করা হয়েছে যে, উত্তর কোরিয়ান সরকার, একটি রাষ্ট্র-প্রোশাসিত গ্রুপের মাধ্যমে, একটি কেন্দ্রীয় ব্যাঙ্ক এবং অন্য দেশের নাগরিকদের লুটপাট করেছে, আধা পৃথিবী দূরে szabad বক্তৃত্বের বিরুদ্ধে প্রতিহিংসা জানিয়েছে, এবং বিঘ্নকর ম্যালওয়্যার তৈরি করেছে যা ১৫০ এরও বেশি দেশের শিকারকে अंधাধুঁধ প্রভাবিত করেছে, শতকোটি ডলারের ক্ষতি করেছে।"

হ্যাকিং গ্রুপটি লকহিড মার্টিনের বিরুদ্ধে ব্যর্থ হ্যাক চেষ্টার জন্যও দায়ী বলে মনে হয়। গ্রুপটি বাংলাদেশ ব্যাংক, ইকুয়েডোরের Banco del Austro, ভিয়েতনামের Tien Phong Bank এবং কয়েকটি ক্রিপ্টোকারেন্সি এক্সচেঞ্জের বিরুদ্ধে আক্রমণের জন্যও দায়ী।

উত্তর কোরিয়ান সরকার আমেরিকান অভিযোগকে "কালনেক ক্যাম্পেইন" বলে ছাড়ুয়ে দিয়েছে। তারা পার্ককে "অস্তিত্বহীন" দাবি করেছে। পরিস্থিতি বিবেচনায় বোঝা যায়।

সিকিউরিটি নিউজ রাউন্ডআপ: সেপ্টেম্বর ২০১৮

সেপ্টেম্বর ২০১৮-এর শীর্ষ ৫টি সুরক্ষা গল্পগুলো ছিল এগুলো। কিন্তু আরও অনেক কিছু ঘটেছে; সাবইডেতে সবকিছু বিস্তারিত লিখতে জায়গা নেই। গত মাসে যেসব আরো আকর্ষণীয় সুরক্ষা খবর উঠেছে:

• US স্টেট ডিপার্টমেন্ট নিশ্চিত করে সিকিউরিটি লঙ্ঘনে "কর্মচারীদের ইনবক্সের ১%-এর কম" প্রভাবিত।
• ডেটা ম্যানেজমেন্ট ফার্ম Veeam ১০ দিন প্রায় ৪৪.৫ কোটি রেকর্ড এক্সপোজ করেছে।
• US অ্যাটর্নি অফিস উদ্ঘাটন করে Mirai বটনেট তৈরিকারারা কীভাবে FBI-কে "জটিল" সাইবর অপরাধের ক্ষেত্রে সাহায্য করছে। তাদের সহযোগিতা তাদের জেল থেকে বাঁচিয়ে রেখেছে।
• Uber ২০১৭ সালের ডেটা লঙ্ঘনের জন্য ১৪৮ মিলিয়ন ডলার জরিমানা দিয়েছে।
• গড় DDoS আক্রমণের আকার পাঁচগুণ বেড়ে ২৬ Gbps-এ পৌঁছেছে, Nexusguard-র মতে।

সাইবর সুরক্ষা, গোপনীয়তা, ডেটা সুরক্ষা, ম্যালওয়্যার এবং এনক্রিপশনে প্রতিমাসে অপ্রচুর ঘটনা ঘটে। অক্টোবর ২০১৮ সিকিউরিটি রাউন্ডআপের জন্য আগামী মাসের শুরুতে ফিরে আসুন। মাঝপথে, আপনার ডেটা ঝুঁকিপূর্ণ করতে পারে ৫টি সুরক্ষা লঙ্ঘন চেক করুন!