ক্যানভা প্রো’র মাধ্যমে ফিচার ছবি।

হ্যালোউইনের কয়েকদিন আগে ত্রিনিদাদ ও টোবাগোর টেলিযোগাযোগ পরিষেবাতে (টিএসটিটি) নিবন্ধিত প্রযুক্তি ব্যবহারকারী গ্রাহকরা কোম্পানিতে একটি র‍্যানসামওয়্যার (মুক্তিপণের সফটওয়্যার) আক্রমণের ভীতিকর খবর পেয়েছে। স্থানীয় প্রযুক্তি সাংবাদিক মার্ক লিন্ডারসে প্রযুক্তি সংবাদ টিএন্ডটিতে একটি লেখায় বলেছেন বেশ কয়েকটি ডেটা লঙ্ঘন জানানো সাইট “[কোম্পানি] সিস্টেমগুলি থেকে [২৭ অক্টোবর, ২০২৩ তারিখে] ডেটা অপসারণ” উল্লেখ করেছে৷

অপরাধী একটি কুখ্যাত র‍্যানসামওয়্যার গোষ্ঠী র‍্যানসামইএক্সএক্স তার নামের সাথে মিল রেখে মুক্তিপণ পরিশোধ না করা পর্যন্ত ডেটা জিম্মি করে রাখে। ডেটা লঙ্ঘন প্রতিবেদনের জন্যে নিবেদিত একটি টুইটার অ্যাকাউন্ট ডার্ক ওয়েব ইনফর্মার টিএসটিটিকে হ্যাকারদের উদ্দেশ্য সম্পর্কে সতর্ক করা কথিত একটি নোটে প্রবেশ করেছে জানানোর জন্যে প্রযুক্তি সংবাদ টিএন্ডটি ২৮ অক্টোবর তাদের পোস্টটি হালনাগাদ করে। পরের দিনই র‍্যানসামইএক্সএক্স তার ৮ লক্ষ টিএসটিটি গ্রাহকের বিস্তারিত তথ্যের সফল ডেটা এক্সফিল্ট্রেশনের প্রমাণের জন্যে একটি সিএসভি ফাইল পোস্ট করেছে, তবে তা কোনোভাবেই পুরো ডেটা ডাম্পের প্রমাণ নয়।

দুই দিন পরে ৩১ অক্টোবর টিএসটিটি হ্যাকিংয়ের প্রচেষ্টা ব্যর্থ হওয়ার দাবি করে, আর সরকারি পরিষেবা মন্ত্রী মারভিন গঞ্জালেস বলেন এটা কোনো হ্যাকই ছিল না। পুরো বিপর্যয়ের মধ্যেই প্রযুক্তি সাংবাদিক লিন্ডারসে দাবি করেছেন “এটি গ্রাহকের গোপনীয়তার সমস্যা এবং গ্রাহকদের জানার অধিকার আছে।”

টিএসটিটি অবশেষে ৩ নভেম্বর “গ্রাহকের ডেটার কোন ক্ষতি বা সমঝোতা করা হয়নি” বলা থেকে সরে এসে বলেছে “প্রকাশিত ডেটাতে মূলত সনাক্তকারী তথ্য রয়েছে এবং সাইবার সন্ত্রাসীরা যাদের তথ্যে প্রবেশে  করেছে টিএসটিটি সেই গ্রাহকদের কাছে ক্ষমাপ্রার্থী।” এটির প্রকাশ এখনো পরিস্থিতি সামলানোর চেষ্টা করলেও আরো বলা হয়েছে  “প্রবেশ করা ৬জিবি ডেটা কোম্পানির উৎপাদিত ও সঞ্চিত ডেটার ১% এরও কম,” তথ্যের প্রতিনিধিত্ব করে যা “টিএসটিটি’র গ্রাহক ভিত্তির ছোট একটি উপসেট।”

তাড়াহুড়ো করে এটি আরো বলে আক্রমণটি গ্রাহকদের নাম, ইমেল ও আবাসিক ঠিকানা, ছবিযুক্ত পরিচয়পত্র, অ্যাকাউন্ট এবং মোবাইল নম্বর এবং অর্থপ্রদানের রসিদে প্রবেশ করলেও এতে কল রেকর্ড, পাসওয়ার্ড বা গ্রাহকদের আর্থিক তথ্য না থাকায় সেখানে “প্রভাবিত গ্রাহক গোষ্ঠীর প্রতারণামূলক কর্মকাণ্ডের উচ্চতর ঝুঁকি নেই।” কোম্পানিটি “স্পষ্টভাবে অস্বীকার [করে]” দাবি করে তার ডেটা কেন্দ্রের লঙ্ঘন বলাকে “সম্পূর্ণ ভুল, অসতর্ক এবং অসৌজন্যমূলক” বলে অভিহিত করেছে।

তবে লিন্ডারসে ব্যাখ্যা করেছেন:

উল্লেখ্য কোম্পানিটি টেরাবাইট ডেটা তৈরি করে বলে ডেটা সরানোর বিবরণ ও গুরুত্ব একটি কাকতাড়ুয়ারও দৃষ্টি আকর্ষণ করবে। কোম্পানির সার্ভার থেকে কোন ৬জিবি ডেটা কপি করা হয়েছে সেটা গুরুত্বপূর্ণ।

টিএসটিটি’র হালনাগাদের সংবাদ বিজ্ঞপ্তির আগে ১ নভেম্বর প্রযুক্তি সংবাদ টিএন্ডটি পোস্টে লিন্ডারসের চলমান একটি হালনাগাদ অনুসারে ডেটা ডাম্পের একটি স্বাধীন পর্যালোচনা জানিয়েছে “অভ্যন্তরীণ সিস্টেম পাসওয়ার্ড ও বাহ্যিক গ্রাহকের পাসওয়ার্ডগুলি কোম্পানির সার্ভারের ডেটা প্যাকেজের অংশ ছিল”:

টিএসটিটি তার সংবাদ বিজ্ঞপ্তিতে প্রকাশ্য ডোমেনে থাকা ডেটা পরীক্ষার অনেক সময় থাকার কথা স্বীকার করলেও এই লঙ্ঘনের ক্ষেত্রে ব্যবসায়িক গ্রাহকদের সতর্ক করা হয়েছে কিনা সে বিষয়ে পরামর্শ দেয়নি। কোম্পানিটি তার বাইরের গ্রাহক ভিত্তিকে তাদের ব্যক্তিগতভাবে শনাক্তযোগ্য তথ্য প্রকাশের বিষয়ে সতর্কতা জারির কোনো চেষ্টা করছে না।

পাঠকদের তাদের পাসওয়ার্ড পরিবর্তনের পরামর্শ দেওয়ার আগে এবং “আপনার উন্মোচন সম্পর্কে কোম্পানির প্রতিনিধিদের সাথে আলোচনা করুন” জানিয়ে লিন্ডারসে আরো বলেন, “টিএসটিটি যেহেতু এটা বলবে না তাই আমিই বলবো।”

এছাড়াও প্রযুক্তি সংবাদ টিএন্ডটিতে ডেটা লঙ্ঘনের সময় সম্পর্কে উদ্বেগ প্রকাশকারী ডেটা সুরক্ষা পরামর্শদাতা ঋষি মহারাজ লিখছেন:

টিএসটিটি ৯ অক্টোবর, ২০২৩-এ সাইবার-আক্রমণ সম্পর্কে সচেতন হওয়ার কথা উল্লেখ করেছে। বিশেষত ডেটা সুরক্ষা নীতির অধীনে জনগণের ব্যক্তিগত ডেটা অন্তর্ভুক্ত বলে আক্রমণ ও জনসাধারণকে জানানোর মধ্যে ব্যবধান যথেষ্ট বলে মনে হচ্ছে।

মহারাজ বলেছেন, ত্রিনিদাদ ও টোবাগোতে কোম্পানিগুলিকে একটি নির্দিষ্ট সময়সীমার মধ্যে (সাধারণত তিন থেকে পাঁচ দিনের মধ্যে) ডেটা লঙ্ঘনের প্রতিবেদন করে ক্ষতিগ্রস্ত ব্যক্তিদের অবহিত করতে বা চুরি হওয়া ডেটার প্রকৃতি সম্পর্কে জানাতে বাধ্য করার “কোনো আইন নেই।” দেশের ডেটা সুরক্ষা আইনে ব্যক্তিগত তথ্যের সুরক্ষা সংক্রান্ত একটি ধারা রয়েছে যাতে বলা হয়েছে:

একটি সরকারি সংস্থার তার হেফাজত বা নিয়ন্ত্রণে অননুমোদিত প্রবেশ, সংগ্রহ, ব্যবহার, পরিবর্তন, প্রকাশ বা নিষ্পত্তির মতো ঝুঁকির বিরুদ্ধে যুক্তিসঙ্গত নিরাপত্তা ব্যবস্থার মাধ্যমে ব্যক্তিগত তথ্য রক্ষা করা উচিত।

উল্লেখ্য যে র‍্যানসামইএক্সএক্স উপস্থাপিত প্রমাণের বিপরীতে টিএসটিটি’র কোনো ডেটা না হারানোর প্রাথমিক দাবি “আশংকাজনক[ভাবে]” স্ববিরোধী বলে, মহারাজ মনে করেন এই ঘটনাটি “ডেটা সুরক্ষার দৃষ্টিকোণ থেকে ছাড়াও সাইবার অপরাধের দৃষ্টিকোণ থেকেও সংশোধিত আইনের মাধ্যমে একটি স্বাধীন নিয়ন্ত্রকের ব্যবস্থা এবং টিটি-সিএসআইআরটি’র [ত্রিনিদাদ ও টোবাগো সাইবার নিরাপত্তার ঘটনা প্রতিরোধ টিম] স্বাধীনভাবে কাজ এবং তথ্য ও তদন্তের সঠিক ও সময়মতো প্রকাশ নিশ্চিতের ক্ষমতা দিয়ে [এবং] কোম্পানিগুলিকে সৎ ও দায়বদ্ধ রাখা”র প্রয়োজনীয়তার কথা বলে।

ত্রিনিদাদ ও টোবাগোর টেলিযোগাযোগ কর্তৃপক্ষ ডেটা লঙ্ঘনে “বিরক্ত” হয়ে বলেছে তারা বিষয়টিকে “গুরুতর” হিসেবে দেখেছে এবং “সর্বোচ্চ স্তরের নেটওয়ার্ক সুরক্ষা নিশ্চিতের জন্যে পরিষেবা প্রদানকারীদের সাথে কাজ করার পরিকল্পনা করেছে।” ইতোমধ্যে সামাজিক গণমাধ্যম ব্যবহারকারীরা ডার্ক ওয়েবে তাদের ব্যক্তিগত ডেটা প্রকাশের বিষয়ে আতঙ্কিত হলেও সাইবার নিরাপত্তা বিশেষজ্ঞরা বলছে এসম্পর্কে কিছুই করার নেই।

ক্যারিবীয় অঞ্চলে অফিস আছে এমন একটি বৈশ্বিক সফ্টওয়্যার ও প্রযুক্তি উন্নয়ন সংস্থা কোয়ান্টাম ক্যাওস একটি নাম-ভিত্তিক অনুসন্ধান লিঙ্ক তৈরি করে গ্রাহকদের তথ্যের সাথে আপস করা হয়েছে কিনা তা নির্ধারণ করতে সহায়তা করার চেষ্টা করেছে৷ অনেক লোক ব্যবহারকারীদের তাদের নামের সাথে যুক্ত ফাঁসকৃত নথির সংখ্যা নির্ধারণ করতে দেওয়া সরঞ্জামটির সুবিধা নিয়েছে। লিঙ্কটি অবশ্য ডাম্প করা ডেটাতে প্রবেশাধিকার দেয় না।

কোয়ান্টাম ক্যাওস তার লিঙ্কডইন পৃষ্ঠায় বলেছে:

টিএসটিটি’র সাম্প্রতিক লঙ্ঘন আমাদের মনে করিয়ে দেয় আমাদের #ক্যারিবীয় সংস্থাগুলি #নিশ্চয়তা লাভের আগে এখনো অনেক কাজ বাকি

প্রথম ধাপ হলো শিক্ষা।

আঘাতের উপর অপমান হলো টিএসটিটি’র টেলিফোন ডিরেক্টরিতে পাওয়া তথ্যের সাথে লঙ্ঘনে প্রাপ্ত তথ্যের তুলনা, যাকে লিন্ডারসে “অযৌক্তিক” অভিহিত করে বলেছেন, “একটি ফোন ডিরেক্টরি সংবেদনশীল কোনো তথ্য নয় যাকে অন্যান্য ডেটাসেটের সাথে তুলনা করা যায়। এছাড়াও এতে ব্যাংক অ্যাকাউন্টের বা ব্যক্তিগত পরিচয়পত্রের তথ্য থাকে না।”

সম্পূর্ণ ১৮০° ঘুরে গিয়ে ত্রিনিদাদ ও টোবাগোর নাগরিক সুবিধা মন্ত্রী টিএসটিটি আক্রমণের তদন্তের আহ্বান জানালে র‍্যানসামইএক্সএক্স আবার আঘাত করতে পারে বলে নিরাপত্তা পরামর্শদাতারা সতর্ক করছে। লিন্ডারসে দুই বছর আগে র‍্যানসামইএক্সএক্সের আঞ্চলিক টেলিযোগাযোগ প্রদানকারী ডিজিসেল হ্যাকের কথা স্মরণ করেন।

ফেসবুক ব্যবহারকারী ও ডিজিটাল কৌশলবিদ কেরন রোজ মন্তব্য করেছেন:

হ্যাক হওয়ার জন্যে আমরা টিএসটিটি’কে দোষারোপ করতে পারি না…এটা যে কারোর ক্ষেত্রেই হতে পারে।
কিছুই ঘটেনি বা আপনার ডেটা পুরোপুরি নিরাপদ – মন্ত্রী ও টিএসটিটির আচরণ ও যোগাযোগ এমন ভানের চেষ্টাটাই সমস্যা।

জ্যামাইকা অবজার্ভারের সাইবার নিরাপত্তা সংক্রান্ত একটি প্রতিবেদন ভাগাভাগি করে রোজ আরো বলেছেন:

ওএএস সাইবার নিরাপত্তা সিম্পোজিয়াম আমাকে জানিয়েছে র‍্যানসমওয়্যারের মাধ্যমে ক্যারিবীয় নিরাপত্তা লঙ্ঘনে ক্ষতিগ্রস্ত হচ্ছে। […]
ক্যারিবীয় সাইবার নিরাপত্তা খুবই অনুন্নত, আমাদের অঞ্চলের ডেটা সুরক্ষায় প্রয়োজনীয় মানব পুঁজির ৯৩% অভাব রয়েছে।
টিএসটিটি হ্যাকের মাধ্যমে ডেটা ও সিস্টেম উন্মুক্ত কোম্পানিগুলির দীর্ঘ তালিকার আরেকটি মাত্র।