19 மில்லியன் கணக்குகள் அம்பலமானதாக உறுதிப்படுத்தப்படாத குற்றச்சாட்டுகள் எழுந்துள்ள நிலையில், தனிப்பட்ட தரவுகள் திருடப்பட்டதை Pathao உறுதிப்படுத்தியது

தரவு திருட்டு உறுதி; ஆனால் அதன் அளவு இன்னும் தெரியவில்லை

அக்டோபர் 4 அன்று வங்கதேசம் மற்றும் நேபாளத்தில் தனது செயல்பாடுகளைப் பாதித்த இணையப் பாதுகாப்புச் சம்பவத்தின்போது, சில பயனர்களின் பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் ஆகியவற்றைத் தாக்குதல்காரர்கள் பெற்றதாக Pathao உறுதிப்படுத்தியுள்ளது. 19,063,918 கணக்குகள் தொடர்பான 133 ஜிகாபைட் தகவல்களை குற்றவாளிகள் திருடி, அவற்றை வெளியிடாமல் இருக்க 400,000 USDT கோரியதாகக் கூறப்படும் மிகப் பெரிய குற்றச்சாட்டை நிறுவனம் உறுதிப்படுத்தவில்லை.

இந்த வேறுபாடு முக்கியமானது: சில தனிப்பட்ட தகவல்கள் திருடப்பட்டதை Pathao ஒப்புக்கொண்டுள்ளது. அதேவேளை, அடையாள ஆவணங்கள், நிதிப் பரிவர்த்தனைகள், கடவுச்சொற்கள், இருப்பிடத் தரவுகள் அம்பலமானதாகக் கூறப்படுவது இன்னும் சரிபார்க்கப்படவில்லை. எத்தனை பேர் பாதிக்கப்பட்டனர், தாக்குதல்காரர்கள் அதன் அமைப்புகளுக்குள் எவ்வாறு நுழைந்தனர், எவ்வளவு காலம் அணுகலைப் பெற்றிருந்தனர் என்பதையும் நிறுவனம் வெளியிடவில்லை.

அக்டோபர் 7 அன்று தனது சரிபார்க்கப்பட்ட Facebook பக்கத்தில் வெளியிட்ட அறிக்கையில், தனிப்பட்ட தகவல்கள் பெறப்பட்டதை Pathao முதன்முறையாகப் பொதுவெளியில் உறுதிப்படுத்தியது. தாக்குதல்காரர்களிடம் சென்றதாகத் தனக்குத் தெரியவந்த தகவல்களை நிறுவனம் இவ்வாறு விவரித்தது:

பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் உள்ளிட்ட சில தனிப்பட்ட தகவல்களைத் தீங்கிழைக்கும் நபர்கள் பெற்றுள்ளதாக நாங்கள் அறிகிறோம்.

சம்பவத்தைக் கண்டறிந்ததும் முன்னெச்சரிக்கையாக முக்கிய அமைப்புகளைத் தற்காலிகமாகச் செயலிழக்கச் செய்ததாகவும், சிறிது நேரத்திலேயே சேவைகளை மீட்டதாகவும், வெளிப்புற இணையப் பாதுகாப்பு நிபுணர்களை ஈடுபடுத்தியதாகவும் Pathao தெரிவித்தது. தளத்தை நிலைப்படுத்தும் பணி தொடர்ந்தபோது சில பயனர்கள் அவ்வப்போது சிக்கல்களைச் சந்திக்கக்கூடும் என்றும் நிறுவனம் கூறியது.

இந்தச் சம்பவம் ஒரே ஒரு சேவையை மட்டும் பாதிக்கவில்லை. Pathao தனது Pathao Pay டிஜிட்டல் பணப்பை, Pathao Pay Later சேவை உள்ளிட்ட நிதித் தயாரிப்புகளுடன் போக்குவரத்து மற்றும் விநியோகச் சேவைகளையும் இயக்குகிறது. இதனால் எந்த அமைப்புகள், பதிவுகள் பாதிக்கப்பட்டன என்பதைத் தீர்மானிப்பது அவசியமாகிறது. ஆனால் நிதித் தயாரிப்புகள் இருப்பது மட்டுமே பணப்பரிவர்த்தனைத் தகவல்கள் திருடப்பட்டன என்பதை உறுதிப்படுத்தாது.

அக்டோபர் 9 நிலவரப்படி, பெரிய தரவுத்தொகுப்பு தொடர்பான குற்றச்சாட்டுகளை நிறுவனம் தொடர்ந்து விசாரித்து வந்தது. இரு நாடுகளிலும் செயல்பாடுகள் பாதிக்கப்பட்டதை அது உறுதிப்படுத்தியிருந்தாலும், பாதிக்கப்பட்ட பயனர்கள் அல்லது பதிவுகளின் எண்ணிக்கையை நாடுவாரியாகப் பிரித்து வெளியிடவில்லை.

சம்பவம் எவ்வாறு நடந்தது

தொடக்கச் சேவைத் தடங்கல், நிறுவனத்தின் ஒப்புதல், கூறப்படும் தரவுத்தொகுப்பு குறித்த அடுத்தடுத்த பதில்கள் ஆகியவற்றை இந்தப் பொதுத் தகவல்கள் உள்ளடக்குகின்றன. சம்பவம் எப்போது கண்டறியப்பட்டு பொதுவெளியில் பேசப்பட்டது என்பதை இந்தத் தேதிகள் காட்டுகின்றன; தாக்குதல்காரர்களின் அணுகல் எவ்வளவு காலம் நீடித்தது என்பதை முழுமையாகக் காட்டுவதில்லை.

• அக்டோபர் 4: இணையப் பாதுகாப்புச் சம்பவத்தைக் கண்டறிந்த Pathao, சேவைத் தடங்கலைச் சந்தித்தது. முன்னெச்சரிக்கையாக முக்கிய அமைப்புகளைத் தற்காலிகமாகச் செயலிழக்கச் செய்தது.
• அக்டோபர் 7: சில தனிப்பட்ட தகவல்கள் பெறப்பட்டதை Pathao பொதுவெளியில் ஒப்புக்கொண்டது. அதே நாளில், மிகப் பெரிய அளவிலான திருட்டு மற்றும் பணயத் தொகைக் கோரிக்கையை விவரிக்கும் குற்றவாளிகள் மன்றப் பதிவு ஒன்றின் திரைப்பிடிப்பு X தளத்திலும் பரவியது.
• அக்டோபர் 9: வங்கதேசம் மற்றும் நேபாளத்தில் செயல்பாடுகள் பாதிக்கப்பட்டதை நிறுவனத்தின் அடுத்தடுத்த பதில்கள் உறுதிப்படுத்தின. கூறப்படும் தரவின் அளவு, பதிவுகளின் எண்ணிக்கை, முக்கியமான தகவல் வகைகள் ஆகியவை தொடர்ந்து விசாரணையில் இருந்தன.

சேவைத் தடை செய்யப்பட்ட சிறிது நேரத்திலேயே அவை மீண்டும் தொடங்கியதாக Pathao தெரிவித்தது. தடங்கலின் சரியான கால அளவையோ, சேவைகள் மீட்கப்பட்ட தொழில்நுட்ப விவரங்களையோ அது வெளியிடவில்லை. செயலிக்கான அணுகலை மீட்டெடுப்பதும், தரவு மீறல் குறித்த விசாரணையை முடிப்பதும் வெவ்வேறு பணிகள்: விசாரணையாளர்கள் என்ன தகவல் எடுக்கப்பட்டது என்பதைத் தொடர்ந்து கண்டறிந்துகொண்டிருக்கும்போதே சேவைகள் மீண்டும் தொடங்கலாம்.

கூறப்படும் தரவுத்தொகுப்பில் என்ன உள்ளது

குற்றவாளிகளின் கூற்றில், 591 அட்டவணைகளில் சுமார் 250 மில்லியன் தரவுத்தள வரிசைகள் இருப்பதாகவும், முதன்மைக் கணக்குத் தரவுத்தொகுப்பில் 19,063,918 பதிவுகள் இருப்பதாகவும் கூறப்படுகிறது. தரவுத்தள வரிசை என்பது ஒரு தனிப்பட்ட பதிவைக் குறிக்கும்; அட்டவணை என்பது குறிப்பிட்ட வகையைச் சேர்ந்த பதிவுகளின் தொகுப்பு. ஒரே நபருடன் பல வரிசைகள் தொடர்புடையிருக்கலாம். எனவே 250 மில்லியன் வரிசைகள் என்பது 250 மில்லியன் பயனர்கள் பாதிக்கப்பட்டனர் என்று பொருளல்ல.

கூறப்படும் கணக்குத் தகவல்களில் பெயர்கள், தொலைபேசி எண்கள், மின்னஞ்சல் முகவரிகள், கடவுச்சொல் தரவுகள், GPS தகவல்கள், Facebook அடையாள எண்கள், அணுகல் டோக்கன்கள் ஆகியவை அடங்கும். அணுகல் டோக்கன் என்பது கடவுச்சொல்லைத் திரும்பத் திரும்பக் கேட்காமல், ஒரு கணக்கு அல்லது சேவையை அணுகச் செயலிக்கு அனுமதிக்கும் டிஜிட்டல் சான்றாகும்.

குற்றச்சாட்டின் சில அம்சங்களை அறிக்கைகள் வெவ்வேறாக விவரிக்கின்றன. ஒரு அறிக்கை கடவுச்சொற்கள் ஹாஷ் செய்யப்பட்டதாகக் குறிப்பிடுகிறது; மற்றொன்று கடவுச்சொற்கள் என்று மட்டும் கூறுகிறது. ஹாஷிங் என்பது கடவுச்சொல்லை வாசிக்கக்கூடிய உரையாகச் சேமிக்காமல், மாற்றிய வடிவில் சேமிக்கும் முறையாகும். இருப்பினும், அது எவ்வாறு பாதுகாக்கப்பட்டது என்பதைப் பொறுத்து தகவல் அம்பலமானால் அபாயங்கள் ஏற்படலாம். இவ்விரு வடிவங்களில் எதுவும் திருடப்பட்டதாக Pathao உறுதிப்படுத்தவில்லை.

தரவுத்தொகுப்பின் அமைப்பும் வெவ்வேறு விதமாக விவரிக்கப்படுகிறது: 591 கூறுகளைச் சிலர் தரவுத்தள அட்டவணைகள் எனக் குறிப்பிடுகின்றனர்; மற்றொரு அறிக்கை அவற்றைத் தரவுத்தளங்கள் அல்லது தரவுக் களஞ்சியங்கள் என்கிறது. இந்தச் சொற்கள் ஒன்றுக்கொன்று மாற்றாகப் பயன்படுத்தக்கூடியவை அல்ல. நம்பகத்தன்மை உறுதிப்படுத்தப்பட்ட தரவுத்தொகுப்போ தொழில்நுட்ப விசாரணை முடிவோ இல்லாமல், அதன் சரியான அமைப்பைத் தீர்மானிக்க முடியாது.

கூறப்படும் அடையாளப் பதிவுகளில் 19,059,387 தேசிய அடையாள அட்டை எண்களும் 19,046,583 ஓட்டுநர் உரிமப் பதிவுகளும் உள்ளன. சுமார் 5.7 மில்லியன் வீட்டு முகவரிகளும், சில தகவல்களின்படி சுமார் 19 மில்லியன் பயனர் புகைப்படங்களும் இருப்பதாகக் கூறப்படுகிறது. இந்தத் தகவல் வகைகளில் எதையும் Pathao உறுதிப்படுத்தவில்லை.

கணக்குகளின் துல்லியமான எண்ணிக்கை மட்டுமே தனிப்பட்ட நபர்களின் எண்ணிக்கையை உறுதிப்படுத்தாது. அந்த எண்ணிக்கையைப் பாதிக்கப்பட்ட பயனர்களின் எண்ணிக்கையாகக் கருதுவதற்கு முன், பதிவுகள் உண்மையானவையா, தற்போதையவையா அல்லது நகல்களா என்பதை விசாரணையாளர்கள் கண்டறிய வேண்டும்.

பணியாளர், வணிகர், பரிவர்த்தனைப் பதிவுகளும் திருடப்பட்டதாகக் கூறப்படுகிறது

கூறப்படும் திருட்டு வாடிக்கையாளர் விவரங்களைத் தாண்டியும் விரிவடைகிறது. தேசிய அடையாள விவரங்கள், சம்பளம், மதச் சார்பு, அவசரகாலத் தொடர்பு எண்கள் உள்ளிட்ட 549 பணியாளர்கள் தொடர்பான பதிவுகள் அந்தத் தரவுத்தொகுப்பில் இருப்பதாகக் கூறப்படுகிறது. நிர்வாக அணுகல் பதிவுகள், விநியோக இடங்கள், ஓட்டுநர்களின் பயணப் பதிவுகள் ஆகியவையும் அதில் இருப்பதாக மற்ற குற்றச்சாட்டுகள் தெரிவிக்கின்றன.

நிதி தொடர்பான குற்றச்சாட்டுகளில் வணிகர்களின் 17,943 வங்கிக் கணக்கு மற்றும் வழிமாற்றுப் பதிவுகளும், 845,872 நேரடிப் பற்று பரிவர்த்தனைப் பதிவுகளும் அடங்கும். வங்கியின் வழிமாற்றுத் தகவல் என்பது பணப்பரிவர்த்தனையில் தொடர்புடைய நிறுவனம் அல்லது கிளையை அடையாளம் காட்டும். பரிவர்த்தனைப் பதிவு பணம் செலுத்தப்பட்ட நிகழ்வைப் பதிவு செய்கிறது; ஆனால் அத்தகைய பதிவு இருப்பது மட்டுமே தாக்குதல்காரர் பணத்தை நகர்த்த முடிந்தது என்பதை உறுதிப்படுத்தாது.

இந்த எண்ணிக்கைகள் வெவ்வேறு வகையான பதிவுகளைக் குறிக்கின்றன; பாதிக்கப்பட்டவர்களின் எண்ணிக்கையைக் கணக்கிட இவற்றை ஒன்றாகக் கூட்ட முடியாது. பணியாளர் விவரங்கள், வணிகர் கணக்குகள், மீண்டும் மீண்டும் நிகழும் பரிவர்த்தனைகள் ஆகியவை கூறப்படும் தரவுத்தொகுப்பின் பிற பதிவுகளுடன் ஒத்துப்போகலாம்.

Pathao நிறுவனத்தின் கூட்டாண்மை மற்றும் மக்கள் தொடர்புப் பிரிவு மேலாளர் Md. Foyej, முக்கியமான தகவல் வகைகள் குறித்த குற்றச்சாட்டுகளை நிறுவனம் உறுதிப்படுத்தவில்லை என்றார். மின்னஞ்சல் வழிப் பதிலில் அவர் கூறியதாவது:

தேசிய அடையாள அட்டை, ஓட்டுநர் உரிமம், இருப்பிடம், முகவரி அல்லது நிதித் தகவல்கள் தொடர்பான குற்றச்சாட்டுகள் இந்தக் கட்டத்தில் உறுதிப்படுத்தப்படவில்லை. மேலும் சரிபார்க்கப்பட்ட தகவல்கள் ஏதேனும் இருந்தால், அவை Pathao-வின் அதிகாரப்பூர்வ வழிகள் மூலம் தெரிவிக்கப்படும்.

பணயத் தொகைக் கோரிக்கை இன்னும் உறுதிப்படுத்தப்படவில்லை

குற்றவாளிகள் வெளியிட்டதாகக் கூறப்படும் பதிவில் 400,000 USDT கோரப்பட்டதாகவும், இது சுமார் 400,000 அமெரிக்க டாலருக்குச் சமம் என்றும் செய்திகள் தெரிவிக்கின்றன. Tether என்றும் அழைக்கப்படும் USDT, அமெரிக்க டாலரின் மதிப்பைப் பின்பற்றும் வகையில் வடிவமைக்கப்பட்ட கிரிப்டோகரன்சி ஆகும். பணம் செலுத்த Pathao-வுக்கு அந்தக் குழு 24 மணி நேரம் அவகாசம் அளித்ததாகவும், தகவல்களைப் பல கட்டங்களாக வெளியிடுவதாக மிரட்டியதாகவும் கூறப்படுகிறது.

அடையாளம், வங்கி, பணியாளர், நிர்வாகம் தொடர்பான தகவல்களை வெளியிடுவதாக மிரட்டியதாகச் செய்திகள் தெரிவிக்கின்றன. அந்தக் கூற்றையும் அதன் காலக்கெடுவையும் சுயாதீனமாகச் சரிபார்க்க முடியவில்லை. காலக்கெடு எப்போது தொடங்கியது, பணம் செலுத்த முடிவு எடுக்கப்பட்டதா, பின்னர் தகவல்கள் வெளியிடப்பட்டனவா என்பதற்கான உறுதிப்படுத்தப்பட்ட விவரங்கள் இல்லை.

Pathao சார்பில் பேசிய Foyej, கூறப்படும் கோரிக்கையை உறுதிப்படுத்த மறுத்தார்:

பணயத் தொகைக் கோரிக்கைகள் தொடர்பான சரிபார்க்கப்படாத குற்றச்சாட்டுகள் குறித்து Pathao கருத்து தெரிவிக்க விரும்பவில்லை.

திருடப்பட்ட தகவல்களை வெளியிடுவதாக மிரட்டுவது தரவு மிரட்டிப் பறிப்பின் ஒரு வடிவமாகும். தாக்குதல்காரர்கள் அமைப்புகளை முடக்கியுள்ளனர் அல்லது தனது கோப்புகளை அணுகும் திறனை நிறுவனத்திடமிருந்து பறித்துள்ளனர் என்று இது அவசியம் பொருள்படாது. குறியாக்கத்துக்கான சான்றுகளை Pathao வெளியிடவில்லை; சேவைத் தடங்கலுக்குப் பின்னால் இருந்த தொழில்நுட்ப வழிமுறையையும் விளக்கவில்லை.

Pathao மேற்கொண்டதாகக் கூறும் நடவடிக்கைகள்

Pathao அறிவித்த நடவடிக்கைகளில் மூன்று முக்கிய அம்சங்கள் உள்ளன: முக்கிய அமைப்புகளைத் தற்காலிகமாகச் செயலிழக்கச் செய்தல், வெளிப்புற இணையப் பாதுகாப்பு நிபுணர்களை ஈடுபடுத்துதல், தொடர்புடைய அதிகாரிகளுக்குத் தகவல் தெரிவித்தல். பொருந்தக்கூடிய விதிகளின்படி சட்ட அமலாக்க அல்லது அரசு அமைப்புகளுக்குத் தகவல் அளித்ததாக நிறுவனம் கூறியது. ஆனால் அந்த அமைப்புகள் யாவை அல்லது எந்தச் சட்ட விதிகள் பொருந்தின என்பதைக் குறிப்பிடவில்லை.

தனது பொதுவான அறிக்கையில், உடனடி நடவடிக்கையையும் நிபுணர்களின் பங்கையும் Pathao இவ்வாறு விவரித்தது:

உடனடியாகக் கட்டுப்பாட்டு நடவடிக்கைகள் எடுக்கப்பட்டன. பாதுகாப்புக் கட்டுப்பாடுகளை வலுப்படுத்தவும் Pathao-வின் அமைப்புகள் பாதுகாப்பாகவும் நிலையாகவும் இருப்பதை உறுதிசெய்ய உதவவும் வெளிப்புற இணையப் பாதுகாப்பு நிபுணர்கள் ஈடுபடுத்தப்பட்டுள்ளனர்.

விசாரணை தொடர்ந்தபோது அதிகாரிகளுடன் ஒத்துழைத்து வருவதாக நிறுவனம் தெரிவித்தது. இந்தச் சம்பவம் மற்றும் சேவைத் தடங்கலுக்காக பயனர்கள், ஓட்டுநர்கள், வணிகர்கள், கூட்டாளர்களிடம் மன்னிப்புக் கோரிய நிறுவனம், தன்னிடம் ஒப்படைக்கப்பட்ட தகவல்களைப் பாதுகாக்கும் பொறுப்பு தனக்கு இருப்பதையும் ஒப்புக்கொண்டது.

முன்னெச்சரிக்கை நடவடிக்கைகள் காரணமாக சில பயனர்கள் தானாகவே வெளியேற்றப்பட்டிருக்கலாம் என்றும் Foyej கூறினார். அத்தகைய பயனர்கள் சேவையைப் பயன்படுத்த மீண்டும் உள்நுழையலாம். தானாக வெளியேற்றப்பட்டிருப்பது மட்டும் குறிப்பிட்ட ஒருவரின் தகவல் திருடப்பட்டதற்கான சான்றல்ல.

தொடர்பு விவரங்கள் அம்பலமானால்கூட ஏன் அபாயம் ஏற்படலாம்

பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்கள் அம்பலமானது உறுதிப்படுத்தப்பட்டுள்ள நிலையில், மோசடியான தொடர்புகள் நம்பகமானவை போலத் தோன்றுவதற்குத் தாக்குதல்காரர்களுக்கு இந்தத் தகவல்கள் உதவலாம். ஒருவரின் பெயரைக் குறிப்பிட்டு, அவர் பயன்படுத்தும் சேவையைப் பற்றி பேசும் செய்தி, அடையாளமற்ற கோரிக்கையைவிட நம்பத்தகுந்ததாகத் தோன்றலாம்.

நம்பகமான நிறுவனம் அல்லது நபர் போல நடித்து, தகவல்களை வெளியிடச் செய்யவோ, தீங்கிழைக்கும் இணைப்பைப் பின்தொடரச் செய்யவோ, ஏதேனும் நடவடிக்கைக்கு ஒப்புதல் அளிக்கச் செய்யவோ முயல்வதே ஃபிஷிங் எனப்படுகிறது. இத்தகைய சாத்தியம் குறித்து Pathao எச்சரித்தது; ஆனால் தரவு மீறலுடன் தொடர்புடைய ஃபிஷிங் அல்லது ஆள்மாறாட்டத் தாக்குதல்கள் ஏற்கெனவே நிகழ்ந்ததாகக் கூறவில்லை.

பெரிய குற்றச்சாட்டுகள் உண்மையென நிரூபிக்கப்பட்டால் அடையாளத் திருட்டு, வங்கிக் கணக்கு மோசடி, ஃபிஷிங், மிரட்டிப் பணம் பறித்தல், சமூக ஊடகக் கணக்குகள் கைப்பற்றப்படுதல் போன்றவை சாத்தியமான அபாயங்கள் என்று தகவல் தொழில்நுட்ப நிபுணர் Suman Ahmed Sabir குறிப்பிட்டார். இது ஏற்படக்கூடிய விளைவுகள் குறித்த அவரது மதிப்பீடே தவிர, Pathao பயனர்களுக்கு எதிராகக் குற்றங்கள் உறுதிப்படுத்தப்பட்டுள்ளன என்பதல்ல.

அம்பலமான தகவலின் வகையைப் பொறுத்து அபாயமும் மாறும். தொடர்பு விவரங்கள் இலக்கு வைத்து ஏமாற்ற உதவலாம்; அடையாள ஆவணங்கள் ஆள்மாறாட்ட முயற்சிகளுக்கு உதவலாம்; இருப்பிடம் மற்றும் பயணப் பதிவுகள் தனிப்பட்ட நடமாட்டங்களை வெளிப்படுத்தலாம். அணுகல் டோக்கன்களின் அனுமதிகள் மற்றும் அவை இன்னும் செல்லுபடியாக உள்ளனவா என்பதைப் பொறுத்து, அவை கணக்குப் பாதுகாப்புக்கு அபாயம் ஏற்படுத்தலாம். இந்த முக்கியமான தகவல் வகைகள் அம்பலமானதை Pathao உறுதிப்படுத்தவில்லை.

பயனர்களுக்கு வழங்கப்பட்ட அறிவுறுத்தல்கள்

நிறுவனத்தைப் பிரதிநிதித்துவப்படுத்துவதாகக் கூறிக்கொண்டு எதிர்பாராத விதமாகத் தொடர்புகொள்பவர்களின் செய்திகள், அழைப்புகள், இணைப்புகள் குறித்து எச்சரிக்கையாக இருக்க வேண்டும் என்பதே Pathao-வின் முக்கிய அறிவுறுத்தலாகும். இத்தகைய தொடர்புகளுக்குப் பதிலளிக்கும்போது கடவுச்சொற்கள், PIN எண்கள் அல்லது ஒருமுறை கடவுச்சொற்களைப் பகிர வேண்டாம் என்றும் பயனர்களிடம் நிறுவனம் கூறியுள்ளது.

OTP என்பது உள்நுழைவை அல்லது பரிவர்த்தனையை அங்கீகரிக்கப் பயன்படுத்தப்படும் தற்காலிகக் குறியீடு. கணக்கின் வழக்கமான கடவுச்சொல் தெரியாவிட்டாலும், அந்தக் குறியீட்டைப் பகிர்வதால் அது பாதுகாக்கும் செயலை வேறொருவர் முடிக்க முடியும்.

சரிபார்க்கப்பட்ட தகவல்களுக்கு நிறுவனத்தின் அதிகாரப்பூர்வத் தொடர்பு வழிகளைப் பயன்படுத்துமாறு Pathao பயனர்களுக்கு அறிவுறுத்தியது. இந்தச் சம்பவம் தொடர்பாகப் பேசப்பட்ட பாதுகாப்பு ஆலோசனைகளில் அறிமுகமில்லாத இணைப்புகளைத் தவிர்ப்பதும், Facebook மற்றும் பிற கணக்குகளில் இரு-கட்ட அங்கீகாரத்தைச் செயல்படுத்துவதும் அடங்கும். இது கடவுச்சொல்லுக்கு மேலாக இரண்டாவது சரிபார்ப்புப் படியைச் சேர்க்கிறது.

ஒவ்வொரு குற்றச்சாட்டும் உண்மை என்று முன்கூட்டியே கருதாமல், தகவல்கள் தவறாகப் பயன்படுத்தப்படக்கூடிய சாத்தியத்தைத் தடுப்பதற்கே இந்த முன்னெச்சரிக்கைகள் உதவுகின்றன. இந்தச் சம்பவத்தால் Facebook கணக்குகள் சமரசம் செய்யப்பட்டன, மோசடியான பரிவர்த்தனைகள் நடந்தன அல்லது அடையாளத் திருட்டு நிகழ்ந்தது என்பதற்கான உறுதிப்படுத்தப்பட்ட எண்ணிக்கை எதுவும் இல்லை.

விசாரணையில் இன்னும் கண்டறிய வேண்டியவை

சுயாதீனமான டிஜிட்டல் தடயவியல் விசாரணை நடத்துதல், தொடர்புடைய சேவையகங்கள் மற்றும் அணுகல் பதிவுகளைப் பாதுகாத்தல், பொருந்தக்கூடிய சட்டத்தின்படி ஒழுங்குமுறை அமைப்புகளுக்கும் சட்ட அமலாக்கத் துறைக்கும் தகவல் தெரிவித்தல் ஆகியவற்றைப் பரிந்துரைத்தார் இணையப் பாதுகாப்பு நிபுணர் Tanvir Hassan Zoha. டிஜிட்டல் தடயவியல் என்பது எந்த அமைப்புகள் அணுகப்பட்டன, என்ன நடவடிக்கைகள் மேற்கொள்ளப்பட்டன உள்ளிட்ட விவரங்களைத் தொழில்நுட்பச் சான்றுகளைக் கொண்டு மீளமைக்கும் முறையாகும்.

நுழைந்த வழி, அனுமதியற்ற அணுகல் நீடித்த காலம், தாக்குதல்காரர் எட்டிய பதிவுகள் ஆகியவற்றைக் கண்டறியப் பதிவுகளைப் பாதுகாப்பது முக்கியம். வெளிப்புற நிபுணர்கள் ஈடுபடுத்தப்பட்டுள்ளதாக Pathao அறிவித்துள்ளது. ஆனால் அவர்களின் பணி சுயாதீனமான தடயவியல் விசாரணையா என்பதை அது வெளியிடவில்லை; அதன் முடிவுகளையும் வெளியிடவில்லை.

சம்பவங்களுக்குப் பதிலளிக்கும் பொறுப்புடைய நிறுவனங்கள் உட்பட, வங்கதேசத்தின் இணையப் பாதுகாப்பு மேற்பார்வையில் பணியாளர் மற்றும் வளக் குறைபாடுகள் இருப்பதாகவும் Sabir வாதிட்டார். இழப்பைச் சந்திக்கும் வாடிக்கையாளர்களுக்கு இழப்பீடு வழங்குவதற்கான சட்டக் கட்டமைப்பு வேண்டும் என்றும் அவர் அழைப்பு விடுத்தார். இவை அவரது மதிப்பீடுகளும் பரிந்துரைகளுமே தவிர, Pathao குறித்து விசாரிக்கும் அதிகார அமைப்பின் கண்டறிதல்கள் அல்ல.

உடனடியாகத் தீர்க்கப்பட வேண்டிய கேள்விகள் இன்னும் குறிப்பிட்டவை: எத்தனை பயனர்கள் பாதிக்கப்பட்டனர், எந்த வகைத் தகவல்கள் எடுக்கப்பட்டன, இரு நாடுகளிலிருந்தும் பதிவுகள் அம்பலமானதா, கூறப்படும் நிதி அல்லது கணக்குச் சான்றுகள் உண்மையானவையா என்பன. விசாரணையை முடிக்கவோ, முடிவுகளை வெளியிடவோ, அடுத்த தகவலை வெளியிடவோ தேதி எதையும் Pathao அறிவிக்கவில்லை.

சரிபார்க்கப்பட்ட தகவல்களைத் தெரிவிப்பதாக நிறுவனம் அளித்துள்ள உறுதிமொழி, பயனர்கள் கவனத்தில் கொள்ள வேண்டிய ஒரு வேறுபாட்டைத் தெளிவாக்குகிறது. சில தனிப்பட்ட தரவுகள் திருடப்பட்டது உறுதி. 19 மில்லியனுக்கும் அதிகமான கணக்குகள், விரிவான அடையாளப் பதிவுகள், நிதித் தகவல்கள் அடங்கிய 133 ஜிகாபைட் தரவுத்தொகுப்பு குறித்த கூற்று உறுதிப்படுத்தப்படவில்லை.

முக்கிய அம்சங்கள்

• அக்டோபர் 4 சம்பவத்தின்போது சில பெயர்கள், மின்னஞ்சல் முகவரிகள், தொலைபேசி எண்களைத் தாக்குதல்காரர்கள் பெற்றதை Pathao உறுதிப்படுத்தியது.
• வங்கதேசம் மற்றும் நேபாளத்தில் செயல்பாடுகள் பாதிக்கப்பட்டன; சேவைகளை நிலைப்படுத்தும் பணியின்போது சில பயனர்கள் அவ்வப்போது சிக்கல்களைச் சந்திக்கக்கூடும்.
• 133 ஜிகாபைட் தரவு, 19,063,918 கணக்குகள், சுமார் 250 மில்லியன் தரவுத்தள வரிசைகள் தொடர்பான குற்றச்சாட்டுகள் உறுதிப்படுத்தப்படவில்லை.
• கடவுச்சொற்கள், அடையாளப் பதிவுகள், இருப்பிடத் தரவுகள் அல்லது நிதித் தகவல்கள் அம்பலமானதாக Pathao உறுதிப்படுத்தவில்லை.
• 400,000 USDT கோரிக்கை மற்றும் 24 மணி நேரக் காலக்கெடு குறித்த செய்தியை நிறுவனம் உறுதிப்படுத்தவில்லை.
• வெளிப்புற இணையப் பாதுகாப்பு நிபுணர்கள் ஈடுபடுத்தப்பட்டுள்ளனர்; தொடர்புடைய அதிகாரிகளுக்குத் தகவல் தெரிவிக்கப்பட்டுள்ளது; விசாரணை முடியும் தேதி அறிவிக்கப்படவில்லை.
• கோரப்படாத தொடர்புகள் குறித்து பயனர்கள் எச்சரிக்கப்பட்டுள்ளனர்; கடவுச்சொற்கள், PIN எண்கள் அல்லது OTP-களை ஒருபோதும் பகிர வேண்டாம் என்றும் அறிவுறுத்தப்பட்டுள்ளனர்.