প্রযুক্তিভিত্তিক নিরাপত্তা ভেঙে সরাসরি ফোন কল ও ভুয়া ওয়েবসাইটের মাধ্যমে যুক্তরাষ্ট্রের ওয়াল স্ট্রিটের ট্রিলিয়ন ডলারের প্রাইভেট ইকুইটি ও আর্থিক প্রতিষ্ঠানগুলোকে লক্ষ্য করেছে একদল হ্যাকার। কর্মকর্তাদের ধোঁকা দিয়ে সংবেদনশীল তথ্য হাতিয়ে নেওয়ার পর এসব প্রতিষ্ঠানের কাছে বিপুল অঙ্কের মুক্তিপণ দাবি করা হচ্ছে বলে গুগলের প্রতিবেদনে উঠে এসেছে। গুগল ও ইন্টারনেট ইনটেলিজেন্স ডেটা পর্যালোচনা করে এ তথ্য জানিয়েছে বার্তা সংস্থা রয়টার্স।

শীর্ষ আর্থিক প্রতিষ্ঠান লক্ষ্য
হ্যাকারদের লক্ষ্যবস্তু হয়েছে ব্ল্যাকস্টোন, ব্রিজওয়াটার অ্যাসোসিয়েটস, অ্যাপোলো গ্লোবাল ম্যানেজমেন্ট, বেইন ক্যাপিটাল, কেকেআর, টিপিজি, সিএমই গ্রুপ, ক্লিয়ারলেক ক্যাপিটাল ও মুডিসের মতো বড় প্রতিষ্ঠান। কর্মীদের পাসওয়ার্ড চুরি করতে এসব প্রতিষ্ঠানের আসল ওয়েবসাইটের আদলে ভুয়া সাইট তৈরি করা হয়েছে।

গুগল জানিয়েছে, ‘রেডাক্ট’, ‘পিংক’, ‘ফ্যালকন’ ও ‘হেলিক্স’সহ বিভিন্ন নামে সাইবার অপরাধীরা এসব কার্যক্রম চালাচ্ছে। কয়েকটি ভুক্তভোগী প্রতিষ্ঠান মুক্তিপণ দিতে বাধ্য হয়েছে বলেও ইঙ্গিত দিয়েছে গুগল।

মানুষের বিশ্বাসকে কাজে লাগানো
সাইবার নিরাপত্তা বিশেষজ্ঞরা বলছেন, এআইনির্ভর জটিল সাইবার হুমকির যুগেও সহজ ফোন কলের মাধ্যমে নিরাপত্তাবেষ্টনী ভেঙে পড়া বড় ধরনের দুর্বলতার ইঙ্গিত। রিটেইল অ্যান্ড হসপিটালিটি আইএসএসির সাইবার নিরাপত্তা বিশ্লেষক লি ক্লার্কের মতে, প্রযুক্তিগত নিরাপত্তার চেয়ে মানুষের সহজ বিশ্বাসকে কাজে লাগানোর সুযোগই এসব হামলা ছড়িয়ে পড়ার অন্যতম কারণ। গুগলের থ্রেট বিশ্লেষক অস্টিন লারসেনও বলেছেন, হ্যাকাররা মূলত আর্থিক লাভের আশায় এসব প্রতিষ্ঠানকে লক্ষ্য করছে।

৭২টি ভুয়া ওয়েবসাইট শনাক্ত
গুগলের প্রকাশিত প্রায় ৭২টি ক্ষতিকর ওয়েবসাইটের তালিকা বিশ্লেষণ করে ভুক্তভোগী বিভিন্ন প্রতিষ্ঠানের ভুয়া ডোমেইন ও ফাঁদ শনাক্ত করেছে রয়টার্স। তালিকায় থাকা কেকেআর, বেইন ক্যাপিটাল, ক্লিয়ারলেক ক্যাপিটাল, সিএমই, টিপিজি ও অ্যাপোলোসহ কয়েকটি প্রতিষ্ঠান এ বিষয়ে মন্তব্য করেনি। ব্ল্যাকস্টোন, ব্রিজওয়াটার অ্যাসোসিয়েটস ও মুডিস থেকেও সাড়া পাওয়া যায়নি। লারসেন জানিয়েছেন, এসব ওয়েবসাইট অননুমোদিত প্রবেশের চেষ্টায় ব্যবহৃত হলেও সব আক্রমণ সফল হয়নি।

ফোনে পরিচয় আইটি কর্মকর্তা
হ্যাকাররা ‘সোশাল ইঞ্জিনিয়ারিং’ কৌশল ব্যবহার করে কর্মীদের ব্যক্তিগত মোবাইলে ফোন করত এবং নিজেদের কোম্পানির আইটি হেল্প ডেস্কের কর্মকর্তা হিসেবে পরিচয় দিত। অনেক ক্ষেত্রে হেল্প ডেস্কের আসল নম্বরও কর্মীদের ফোনে দেখানো হতো। জরুরি ভিত্তিতে পাসকি বা মাল্টি-ফ্যাক্টর অথেন্টিকেশন হালনাগাদের কথা বলে কর্মীদের ‘পাসকিহেল্পডেস্ক’ বা ‘সিকিওর পাসকি’র মতো ভুয়া ওয়েবসাইটে নেওয়া হতো।

পাসওয়ার্ড ও ওটিপি চুরি
ভুয়া ওয়েবসাইটে কর্মীরা পাসওয়ার্ড দেওয়ার পর হ্যাকাররা ফোনে আসা ওটিপি বা টেক্সট কোডও হাতিয়ে নিত। ফলে ফোনকল শেষ হওয়ার আগেই সংশ্লিষ্ট অ্যাকাউন্টের নিয়ন্ত্রণ চলে যেত হ্যাকারদের হাতে। অস্টিন লারসেনের মতে, কৌশলটি কার্যকর হলেও প্রযুক্তিগতভাবে খুব জটিল বা আধুনিক নয়; বরং মানুষের সচেতনতার অভাবকে কাজে লাগানোই এর মূল শক্তি।

হ্যাকারদের পরিচয় নিয়ে ধোঁয়াশা
অভিযুক্ত হ্যাকারদের সঙ্গে যোগাযোগ করতে পারেনি রয়টার্স। ‘ব্ল্যাকফাইল’ নামে পরিচিত একটি দল তাদের ডার্কনেট ওয়েবসাইট ‘রেডাক্ট’-এ জানিয়েছে, তাদের কোনো রাজনৈতিক বা নৈতিক উদ্দেশ্য নেই। ‘ফ্যালকন’ নামের আরেকটি দল রেডাক্টের সঙ্গে সংশ্লিষ্টতার কথা স্বীকার করলেও ‘হেলিক্স’ বা ‘পিংক’-এর সঙ্গে সম্পর্ক অস্বীকার করেছে। একই ডিজিটাল অবকাঠামো ব্যবহারের পরও এসব দলের প্রকৃত পরিচয় ও পারস্পরিক সম্পর্ক এখনও স্পষ্ট নয় বলে জানিয়েছেন লারসেন।

বড় বিনিয়োগ তহবিলেও হামলার আশঙ্কা
ওয়াল স্ট্রিটের বিনিয়োগকারী ও আর্থিক খাতে এসব হামলা উদ্বেগ তৈরি করেছে। সংশ্লিষ্ট সূত্রের বরাতে জানা গেছে, শীর্ষস্থানীয় অ্যাসেট ম্যানেজমেন্ট কোম্পানি ‘পয়েন্ট৭২’ বুধবার বিনিয়োগকারীদের সতর্কবার্তা পাঠিয়েছে। রয়টার্সের পর্যালোচনা অনুযায়ী, ‘টু সিগমা ইনভেস্টমেন্টস’ ও ‘সিটাডেল’-এর মতো বড় ফান্ডও হ্যাকারদের লক্ষ্যবস্তু হয়েছিল। তবে প্রতিষ্ঠানগুলো এ বিষয়ে মন্তব্য করেনি।

দুই শতাধিক প্রতিষ্ঠানও ছিল টার্গেটে
আর্থিক খাতের আগে হ্যাকারদের লক্ষ্য ছিল অন্যান্য বড় প্রতিষ্ঠান। গুগলের তথ্য অনুযায়ী, গত পাঁচ সপ্তাহে উবার, জিলো, লেভি স্ট্রস এবং পল হেস্টিংস ও গ্রিনবার্গ ট্ররিগের মতো ল ফার্মসহ দুই শতাধিক প্রতিষ্ঠানের জন্য ভুয়া ফাঁদ তৈরি করা হয়েছিল। উবার, জিলো, পল হেস্টিংস ও লেভি স্ট্রস এ বিষয়ে মন্তব্য করেনি। তবে গ্রিনবার্গ ট্ররিগ জানিয়েছে, একাধিক স্তরের নিরাপত্তাব্যবস্থা থাকায় তাদের কোনো তথ্য চুরি হয়নি। সূত্র: রয়টার্স।