সাইবার সিকিউরিটি দুর্বলতা একবার আবার হেডলাইন বানিয়ে ডিজিটাল যুগে ডেটা সুরক্ষা নিয়ে গুরুতর চিন্তা সৃষ্টি করেছে।
আজ বিশ্বের হাজার হাজার ভাষায় ওয়েবসাইট পড়া হয়। জনপ্রিয় কন্টেন্ট ম্যানেজমেন্ট সিস্টেম WordPress যেটি আমাদের ওয়েবসাইট তৈরি করতে দেয়, সেটির জন্য একটি প্লাগইন রয়েছে। WPML বা WordPress মাল্টি-লিঙ্গুয়াল প্লাগইন ৬০০,০০০-এরও বেশি ওয়েবসাইট দ্বারা ব্যবহৃত হয় তাদের কন্টেন্ট বিভিন্ন ভাষায় প্রদর্শনের জন্য।
এই সপ্তাহের শেষে, জনপ্রিয় WordPress প্লাগইন WPML (WP MultiLingual) যেটি WordPress ব্যবহারকারীদের জন্য ভেরিয়েন্ট ল্যাঙ্গুয়েজ সুবিধা দেয়, হ্যাক হয়েছিল সাইবার জগতে বড় বাজবাজ তৈরি করে।
এক্সপ্লয়েট
পুরনো পাসওয়ার্ড এবং একটি হিডেন ব্যাকডোরের মাধ্যমে ওয়েবসাইটে অ্যাক্সেস পাওয়ার পর হ্যাকার ওয়েবসাইটটি ডিফেস করল একটি মেসেজ পোস্ট করে যেটি দাবি করেছিল যে WPML প্লাগইন দুর্বলতাগুলো থেকে ভরা পড়ে এবং এর ক্লায়েন্টদের তাদের ওয়েবসাইট যেকোনো কম্প্রোমাইজের জন্য চেক করতে হবে। সে একই মেসেজ WPML ক্লায়েন্টদের স্প্যাম ইমেইল হিসেবে পাঠালো দাবি করে যে সে একটি সিকিউরিটি গবেষক যিনি প্লাগইন-এ কয়েকটি দুর্বলতা রিপোর্ট করেছিলেন WPML টিমকে, যেগুলো ডেভেলপাররা উপেক্ষা করলেন।
অনুমান করা হয় একটি বিচ্ছিন্ন সাবেক কর্মী এই ঘটনার মূল কারণ। মনে হয় হিডেন ব্যাকডোরটি আক্রমণকারী সেটি কম্পানিতে কর্মরত থাকা সময় ইনসার্ট করেছিলেন। প্রথম впечатিতে এটি প্লাগইন ডিফেস করার একটি চেষ্টা লাগল। হ্যাকার তার কাস্টমারদের ইমেইল পাঠিয়ে ওয়েবসাইটের নिन्दা করলেন সিকিউরিটি অফারিং-এর অভাবের জন্য, যতটা এটি চার্জ করে। সে কাস্টমারদের অনসাবস্ক্রাইব করতে এবং মালিকদের থেকে রিফান্ড দাবি করতে উত্সাহিত করলেন। ইমেইলের নিচে অনসাবস্ক্রাইবের জন্য একটি লিংকও ছিল।
WPML টিমের আক্রমণের প্রতিক্রিয়া:
WPML ডেভেলপারদের অনুযায়ী:
- ক্লায়েন্টের সাইটে চলমান WPML প্লাগইন এক্সপ্লয়েট ধারণ করে না
- ক্লায়েন্টের পেমেন্ট ইনফরমেশন কম্প্রোমাইজড হয়নি কারণ সেগুলো স્ટোর করা হয়নি
- ঘুসখোরের কাছে ব্যবহারকারীদের নাম এবং ইমেইল ঠিকানা আছে। তাদের WPML.org-এ ইউজার অ্যাকাউন্টে ও অ্যাক্সেস থাকতে পারে
- ঘুসখোর ক্লায়েন্টের সাইটের কি চুরি করলেন, কিন্তু সেগুলো কোনো কাজের নয়। সেগুলো সাইটকে wpml.org থেকে আপডেট পাওয়ার অনুমতি দিত কিন্তু সে সেগুলো ব্যবহার করে সাইটে যেকোনো পরিবর্তন আনতে পারত না
WPML টিমের আক্রমণের প্রতিরোধমূলক ব্যবস্থা:
WPML টিম বলেছে যে তারা তাদের ডেটা সার্ভারগুলো স্ক্র্যাচ থেকে রিবিল্ড করা শুরু করেছে যাতে ব্যাকডোরটি সরিয়ে ফেলা যায় এবং তাদের ক্লায়েন্টদের অ্যাকাউন্ট রক্ষা করা যায়।
এই সেনসেশনাল সিকিউরিটি ব্রিচে, আমরা বাধ্য হয়েছি চিন্তা করতে যে অনলাইনে আমাদের ডেটা কতটুকু সুরক্ষিত? এই আক্রমণের ক্ষতি বিশ্লেষণ করে জানা গেল WordPress-এ WPML প্লাগইন ব্যবহারকারী বড় সংখ্যক ইউজারের প্রচুর পরিমাণ ডেটা অসুরক্ষিত ছিল এবং হ্যাকারের দয়ার আশ্রয়ে ছিল, যা WPML টিম পরে কনফার্ম করলেন। তারা বলল তাদের ডাটাবেস যেটি কাস্টমার নাম এবং ইমেইল ID ধারণ করত, হ্যাকার দ্বারা কম্প্রোমাইজড হয়েছে। যাইহোক, হ্যাকার লগইন করে ইউজারদের সাইট অ্যাক্সেস করতে পারত কিনা সেটি নিয়ে টিম চুপchap रही। তারা ইউজারদের ইমেইলের সাথে পাঠানো যেকোনো লিংক খোলা থেকে পরিহার করার পরামর্শ দিলেন কারণ সেটিতে ম্যালওয়্যার থাকতে পারে। ফিলহাল তারা ইউজারদের শুধু অফিসিয়াল ওয়েব অ্যাড্রেসের মাধ্যমে লগইন করার অনুরোধ করলেন।
WPML টিম ক্ষমা প্রার্থনা করলেন এবং তাদের ইউজারদের তাদের সাইট স্ক্র্যাচ থেকে রিবিল্ড করা হচ্ছে একটি আপডেটেড এবং উন্নত সিকিউরিটি স্ট্রাকচার দিয়ে জানালেন। মালিকও বললেন কোম্পানি আইনি کارরওয়া নেওয়ার পরিকল্পনা করছে। এমনকি কোম্পানি লুপহোল খুঁজে বের করে সেগুলো মেন্ড করার দাবি বারবার করলেও, প্রশ্নটি বাকি: অনলাইনে আমাদের ডেটা কতটুকু সুরক্ষিত?
