ডার্ক ওয়েবে প্রকাশিত বিজ্ঞাপনের সঙ্গে থাকা নমুনা ফাইলে প্রায় হাজারখানেক ফোন নম্বর রয়েছে। এর মধ্যে কয়েকটি নম্বরে যোগাযোগ করে সংশ্লিষ্ট ব্যক্তিদের পরিচয় ও ঘরের বাজারের গ্রাহক হওয়ার তথ্য যাচাই করা হয়েছে। নমুনা তালিকায় চাকরিজীবী, ব্যবসায়ীসহ পুলিশের একজন ঊর্ধ্বতন কর্মকর্তার ব্যক্তিগত মোবাইল নম্বর থাকারও দাবি করা হয়েছে।

তবে নমুনা ফাইলের কিছু তথ্য যাচাই করা গেলেও পুরো ডাটাবেজের সত্যতা, তথ্য ফাঁসের উৎস এবং প্রকৃত ক্ষতির পরিমাণ এখনো নিশ্চিত নয়। এ বিষয়ে পূর্ণাঙ্গ ডিজিটাল ফরেনসিক তদন্ত প্রয়োজন বলে মনে করছেন বিশেষজ্ঞরা।

ডাটাবেজে কী থাকার দাবি

ডার্ক ওয়েবের বিজ্ঞাপনে দাবি করা হয়েছে, গত ২৩ আগস্ট তথ্যগুলো সংগ্রহ করা হয়। ৪ দশমিক ১৫ গিগাবাইটের SQL ডাম্পে রয়েছে ৩১১টি টেবিল এবং প্রায় ৪২ লাখ ৭০ হাজার রেকর্ড।

এর মধ্যে প্রায় ৬ লাখ ৬ হাজার গ্রাহক প্রোফাইল, ৩ লাখ ৭২ হাজার ডেলিভারি ঠিকানা, ৪ লাখ ৪৯ হাজার অর্ডার এবং ৮ লাখ ৬২ হাজার পণ্যের তথ্য থাকার দাবি করা হয়েছে।

এ ছাড়া প্রায় ১৯ লাখ ৭০ হাজার ডেলিভারি ও লজিস্টিকস রেকর্ড, অভ্যন্তরীণ ERP ও অ্যাকাউন্টিং তথ্য এবং AI কাস্টমার সাপোর্ট চ্যাটবটের কথোপকথনের লগ থাকার কথাও বলা হয়েছে।

তবে ৪২ লাখ রেকর্ডকে ৪২ লাখ আলাদা গ্রাহক হিসেবে দেখার সুযোগ নেই। একই গ্রাহকের প্রোফাইল, অর্ডার, ঠিকানা ও ডেলিভারি তথ্য আলাদা রেকর্ড হিসেবে সংরক্ষিত থাকতে পারে।

সাধারণ স্ক্র্যাপিং, নাকি অননুমোদিত প্রবেশ?

ডিজিটাল ফরেনসিক বিশেষজ্ঞ ও আন্তর্জাতিক অপরাধ ট্রাইব্যুনালের প্রসিকিউটর তানভীর হাসান জোহা বলেন, বিজ্ঞাপনে দেওয়া তথ্য সত্য হলে ঘটনাটি শুধু ওয়েবসাইট থেকে সাধারণ ডাটা স্ক্র্যাপিংয়ের মধ্যে সীমাবদ্ধ নাও থাকতে পারে।

তার মতে, তথ্যগুলো যদি সত্যিই প্রোডাকশন ডাটাবেজ বা অভ্যন্তরীণ ERP ইন্টিগ্রেশন থেকে নেওয়া হয়ে থাকে, তাহলে সার্ভার, ডাটাবেজ, API অথবা সংযুক্ত তৃতীয় পক্ষের সিস্টেমে অননুমোদিত প্রবেশের সম্ভাবনা রয়েছে।

সম্ভাব্য ঝুঁকির মধ্যে ভুলভাবে কনফিগার করা বা ইন্টারনেটে উন্মুক্ত ডাটাবেজ, ওয়েব অ্যাপ্লিকেশন কিংবা API-এর দুর্বলতা, SQL Injection, পুরোনো সফটওয়্যার বা সার্ভারের দুর্বলতা এবং চুরি হওয়া অ্যাডমিন, ডেভেলপার বা ডাটাবেজ ক্রেডেনশিয়াল থাকতে পারে।

তবে ডার্ক ওয়েবে প্রকাশিত পোস্টের ভিত্তিতে হামলাকারী কোন দেশ, IP ঠিকানা বা নেটওয়ার্ক থেকে প্রবেশ করেছে—তা নিশ্চিত করা সম্ভব নয়।

গ্রাহকদের কী ধরনের ঝুঁকি?

বিজ্ঞাপনে দাবি করা তথ্য সত্য হলে গ্রাহকদের লক্ষ্য করে প্রতারণার সুযোগ তৈরি হতে পারে বলে মনে করেন বিশেষজ্ঞরা।

অর্ডার ও ডেলিভারি তথ্য ব্যবহার করে ভুয়া ডেলিভারি চার্জ, রিফান্ড বা পেমেন্টের নামে অর্থ হাতিয়ে নেওয়ার চেষ্টা হতে পারে। ফোন নম্বর ও ব্যক্তিগত তথ্য ব্যবহার করে অ্যাকাউন্ট রিকভারি বা OTP-ভিত্তিক প্রতারণার চেষ্টাও হতে পারে।

প্রতিষ্ঠানের আর্থিক, বিক্রয় ও গ্রাহক-সংক্রান্ত তথ্য অপরাধী চক্রের হাতে গেলে তথ্য আটকে রেখে অর্থ দাবি, ব্ল্যাকমেইল কিংবা প্রতিষ্ঠানের সুনাম ক্ষুণ্ন করার চেষ্টাও হতে পারে।

তবে এখন পর্যন্ত পাসওয়ার্ড, পেমেন্ট কার্ড বা জাতীয় পরিচয়পত্রের তথ্য ফাঁস হয়েছে—এমন নিশ্চিত প্রমাণ পাওয়া যায়নি।

ফরেনসিক তদন্তে জোর

তানভীর হাসান জোহার মতে, তথ্য ফাঁসের সন্দেহ দেখা দিলে প্রতিষ্ঠানের দ্রুত ইনসিডেন্ট রেসপন্স টিম সক্রিয় করা উচিত। সন্দেহজনক সার্ভার ও অ্যাকাউন্ট নিয়ন্ত্রণে নেওয়ার পাশাপাশি ডিজিটাল প্রমাণ সংরক্ষণ করতে হবে।

তদন্তের আগে সার্ভার ফরম্যাট, লগ মুছে ফেলা বা সিস্টেম রিইনস্টল করা হলে গুরুত্বপূর্ণ ফরেনসিক প্রমাণ নষ্ট হতে পারে বলেও সতর্ক করেন তিনি।

নিরাপত্তা বিশ্লেষকদের মতে, শুধু সিস্টেম ঠিক করাই যথেষ্ট নয়। কোন পথে অ্যাকসেস নেওয়া হয়েছে, কখন নেওয়া হয়েছে এবং কী কী তথ্য বের হয়েছে—তা শনাক্ত করা জরুরি। প্রয়োজনে গ্রাহকদের পাসওয়ার্ড পরিবর্তনের ব্যবস্থা ও সতর্কবার্তা দেওয়ার পাশাপাশি সংশ্লিষ্ট কর্তৃপক্ষকে অবহিত করার পরামর্শ দিয়েছেন তারা।

পুলিশের নজরে বিষয়টি

ঢাকা মেট্রোপলিটন পুলিশের গোয়েন্দা বিভাগের সাইবার ও স্পেশাল ক্রাইম দক্ষিণের সহকারী পুলিশ কমিশনার খান মাহমুদুল হাসান বলেন, বিভিন্ন ফোরাম ও গ্রুপে বিষয়টি পুলিশের নজরে এসেছে। তবে ঘরের বাজারের পক্ষ থেকে এখনো কোনো অভিযোগ না পাওয়ায় এ বিষয়ে আনুষ্ঠানিক পদক্ষেপ নেওয়া হয়নি।

ঘরের বাজারের অস্বীকৃতি

ঘরের বাজারের প্রতিষ্ঠাতা জামশেদ মজুমদারের সঙ্গে যোগাযোগের চেষ্টা করা হলেও তা সম্ভব হয়নি।

তবে প্রতিষ্ঠানটির প্রধান নির্বাহী কর্মকর্তা নাজমুস সাকিব হ্যাকিং বা তথ্য বেহাতের বিষয়টি অস্বীকার করেছেন। তিনি বলেন, একটি চক্র ঘরের বাজারের নাম ব্যবহার করে গ্রাহকের তথ্য তাদের কাছে রয়েছে এবং তা ডার্ক ওয়েবে বিক্রির দাবি করছে।

তার ভাষ্য, অভ্যন্তরীণ পর্যবেক্ষণ ও যাচাইয়ে এখন পর্যন্ত ঘরের বাজারের নিজস্ব সিস্টেম থেকে গ্রাহকের তথ্য ফাঁস বা অননুমোদিতভাবে বেরিয়ে যাওয়ার কোনো প্রমাণ পাওয়া যায়নি। গ্রাহকের তথ্য সুরক্ষায় প্রয়োজনীয় নিরাপত্তাব্যবস্থা রয়েছে বলেও দাবি করেন তিনি।

সাকিব আরও বলেন, ঘরের বাজারের নাম ও ব্র্যান্ডের বিশ্বাসযোগ্যতা ব্যবহার করে কোনো প্রতারক চক্র বিভ্রান্তি সৃষ্টি এবং মানুষের কাছ থেকে তথ্য সংগ্রহের চেষ্টা করতে পারে।

সব মিলিয়ে এখন সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন—ডার্ক ওয়েবে দেওয়া বিজ্ঞাপনের তথ্য কতটা সত্য, তথ্যগুলো আসলে কোথা থেকে এসেছে এবং প্রকৃতপক্ষে কতজন গ্রাহকের তথ্য ঝুঁকিতে পড়েছে। নমুনা ফাইলের কিছু তথ্য যাচাই করা গেলেও এসব প্রশ্নের নির্ভরযোগ্য উত্তর পেতে পূর্ণাঙ্গ ডিজিটাল ফরেনসিক তদন্ত প্রয়োজন।