মেরিয়ট ডেটা লঙ্ঘন: পাসপোর্টগুলি এনক্রিপ্ট করা হয়নি

ম্যারিয়ট আজ বলেছেন যে ফরেনসিক এবং ডেটা বিশ্লেষকদের দলগুলি হারিয়ে যাওয়া গেস্ট রিজার্ভেশন রেকর্ডের মোট সংখ্যার জন্য "উর্ধ্ব সীমা হিসাবে প্রায় 383 মিলিয়ন রেকর্ড" চিহ্নিত করেছে। সংস্থাটি এখনও বলেছে যে হামলাটি কে চালিয়েছে তার কোনও ধারণা নেই এবং এটি পরামর্শ দিয়েছে যে আরও সদৃশ রেকর্ড শনাক্ত করা হলে সময়ের সাথে সাথে সংখ্যাটি হ্রাস পাবে।

স্টারউড আক্রমণকে যা আলাদা করে তুলেছিল তা হল পাসপোর্ট নম্বরের উপস্থিতি, যা একটি গোয়েন্দা পরিষেবার পক্ষে সীমান্ত অতিক্রমকারী লোকদের ট্র্যাক করা আরও সহজ করে তুলতে পারে। এই ক্ষেত্রে এটি বিশেষভাবে গুরুত্বপূর্ণ: ডিসেম্বরে, দ্য নিউ ইয়র্ক টাইমস রিপোর্ট করেছে যে আক্রমণটি একটি চীনা গোয়েন্দা-সংগ্রহ প্রচেষ্টার অংশ ছিল যা 2014-এ ফিরে এসে মার্কিন স্বাস্থ্য বীমা সংস্থা এবং কর্মী ব্যবস্থাপনার অফিসও হ্যাক করেছিল, যা নিরাপত্তা রক্ষা করে। লক্ষ লক্ষ আমেরিকানদের ক্লিয়ারেন্স ফাইল।

এখন পর্যন্ত, এমন কোনো ঘটনা জানা যায়নি যাতে চুরি যাওয়া পাসপোর্ট বা ক্রেডিট কার্ডের তথ্য প্রতারণামূলক লেনদেনে পাওয়া গেছে। কিন্তু সাইবার অ্যাটাক তদন্তকারীদের কাছে এটি আরেকটি লক্ষণ যে হ্যাকিংটি গোয়েন্দা সংস্থার দ্বারা পরিচালিত হয়েছিল, অপরাধীরা নয়। সংস্থাগুলি তাদের নিজস্ব উদ্দেশ্যে ডেটা ব্যবহার করতে চাইবে - ডেটাবেস তৈরি করা এবং সরকার বা শিল্প নজরদারি লক্ষ্যগুলি ট্র্যাক করা - অর্থনৈতিক লাভের জন্য ডেটা শোষণের পরিবর্তে।

একসাথে নেওয়া, আক্রমণটি চীনের রাষ্ট্রীয় নিরাপত্তা মন্ত্রকের একটি বৃহত্তর প্রচেষ্টার অংশ হিসাবে প্রতীয়মান হয়েছে যাতে তারা আমেরিকান এবং অন্যান্যদের সংবেদনশীল সরকারী বা শিল্প অবস্থানের একটি বিশাল ডাটাবেস সংকলন করে — তারা যেখানে কাজ করেছিল, তাদের সহকর্মীদের নাম, বিদেশী পরিচিতি এবং বন্ধুদের নাম সহ। , এবং তারা যেখানে ভ্রমণ.

"বিগ ডেটা হল কাউন্টার ইন্টেলিজেন্সের জন্য নতুন তরঙ্গ," জেমস এ. লুইস, সাইবার সিকিউরিটি বিশেষজ্ঞ যিনি ওয়াশিংটনের সেন্টার ফর স্ট্র্যাটেজিক অ্যান্ড ইন্টারন্যাশনাল স্টাডিজের প্রযুক্তি নীতি প্রোগ্রাম পরিচালনা করেন, গত মাসে বলেছিলেন৷

ম্যারিয়ট ইন্টারন্যাশনাল বলেছে যে প্রাথমিকভাবে আশংকা করা হয়েছিল তার চেয়ে কম গ্রাহকের রেকর্ড চুরি হয়েছে কিন্তু যোগ করেছে যে গত মাসের সাইবার আক্রমণে 25 মিলিয়নেরও বেশি পাসপোর্ট নম্বর চুরি হয়েছে। কোম্পানিটি আজ বলেছে যে ইতিহাসে ব্যক্তিগত তথ্যের সবচেয়ে বড় হ্যাকিংটি এতটা বড় ছিল না যতটা প্রথম আশঙ্কা করা হয়েছিল কিন্তু প্রথমবারের মতো স্বীকার করেছে যে তার স্টারউড হোটেল ইউনিট প্রায় 5 মিলিয়ন অতিথির পাসপোর্ট নম্বর এনক্রিপ্ট করেনি। এই পাসপোর্ট নম্বরগুলি একটি আক্রমণে হারিয়ে গিয়েছিল যা অনেক বাইরের বিশেষজ্ঞরা বিশ্বাস করেন যে চীনা গোয়েন্দা সংস্থাগুলি এই হামলা চালিয়েছিল।

নভেম্বরের শেষে যখন ম্যারিয়ট দ্বারা প্রথম আক্রমণটি প্রকাশ করা হয়েছিল, তখন এটি বলেছিল যে 500 মিলিয়নেরও বেশি অতিথির তথ্য চুরি হয়ে থাকতে পারে, যা ম্যারিয়ট অর্জিত একটি প্রধান হোটেল চেইন স্টারউডের সংরক্ষণ ডাটাবেস থেকে। কিন্তু সেই সময়ে, সংস্থাটি বলেছিল যে চিত্রটি একটি সবচেয়ে খারাপ পরিস্থিতি ছিল কারণ এতে লক্ষ লক্ষ নকল রেকর্ড অন্তর্ভুক্ত ছিল।

সংশোধিত চিত্রটি এখনও ইতিহাসের সবচেয়ে বড় ক্ষতি, যা ভোক্তা ক্রেডিট-রিপোর্টিং এজেন্সি ইকুইফ্যাক্সের উপর হামলার চেয়েও বেশি, যেটি 145.5 সালে প্রায় 2017 মিলিয়ন আমেরিকানদের ড্রাইভিং লাইসেন্স এবং সোশ্যাল সিকিউরিটি নম্বর হারিয়েছিল, যার ফলে এর প্রধান নির্বাহীকে অপসারণ করা হয়েছিল। এবং ফার্মে আস্থার বিশাল ক্ষতি।

চীনের রাষ্ট্রীয় নিরাপত্তা মন্ত্রণালয়ের একজন শীর্ষ কর্মকর্তাকে গত বছরের শেষের দিকে বেলজিয়ামে গ্রেপ্তার করা হয়েছিল এবং মার্কিন প্রতিরক্ষা-সম্পর্কিত ফার্মগুলির হ্যাকিংয়ে কেন্দ্রীয় ভূমিকা পালনের অভিযোগে মার্কিন যুক্তরাষ্ট্রে প্রত্যর্পণ করা হয়েছিল এবং অন্যদের বিচার বিভাগের অভিযোগে চিহ্নিত করা হয়েছিল। ডিসেম্বর। কিন্তু সেই ঘটনাগুলি ম্যারিয়ট হামলার সাথে সম্পর্কিত ছিল না, যেটি এফবিআই এখনও তদন্ত করছে।

চীন ম্যারিয়ট হামলার বিষয়ে কোনো তথ্য অস্বীকার করেছে। ডিসেম্বরে, তার পররাষ্ট্র মন্ত্রণালয়ের একজন মুখপাত্র গেং শুয়াং বলেছিলেন, "চীন দৃঢ়ভাবে সব ধরনের সাইবার আক্রমণের বিরোধিতা করে এবং আইন অনুযায়ী এর বিরুদ্ধে কঠোর পদক্ষেপ নেয়।"

"প্রমাণ দেওয়া হলে, প্রাসঙ্গিক চীনা বিভাগ আইন অনুযায়ী তদন্ত করবে," মুখপাত্র যোগ করেছেন।

ম্যারিয়ট তদন্ত হোটেল সিস্টেমে একটি নতুন দুর্বলতা প্রকাশ করেছে: যখন একজন গ্রাহক একটি রিজার্ভেশন করেন বা হোটেলে চেক করেন, সাধারণত বিদেশে, এবং ডেস্ক ক্লার্কের কাছে পাসপোর্ট হস্তান্তর করেন তখন পাসপোর্ট ডেটার কী হয়। ম্যারিয়ট প্রথমবারের মতো বলেছিলেন যে স্টারউড সিস্টেমে 5.25 মিলিয়ন পাসপোর্ট নম্বরগুলি সরল, এনক্রিপ্ট করা ডেটা ফাইলগুলিতে রাখা হয়েছিল - যার অর্থ তারা সহজেই রিজার্ভেশন সিস্টেমের মধ্যে যে কেউ পড়তে পারে। একটি অতিরিক্ত 20.3 মিলিয়ন পাসপোর্ট নম্বর এনক্রিপ্ট করা ফাইলগুলিতে রাখা হয়েছিল, যা পড়ার জন্য একটি মাস্টার এনক্রিপশন কী প্রয়োজন। তাদের মধ্যে কতজন মার্কিন পাসপোর্ট যুক্ত এবং কতজন অন্যান্য দেশ থেকে এসেছেন তা স্পষ্ট নয়।

"এমন কোন প্রমাণ নেই যে অননুমোদিত তৃতীয় পক্ষ এনক্রিপ্ট করা পাসপোর্ট নম্বরগুলি ডিক্রিপ্ট করার জন্য প্রয়োজনীয় মাস্টার এনক্রিপশন কী অ্যাক্সেস করেছে," ম্যারিয়ট একটি বিবৃতিতে বলেছে৷

কেন কিছু নম্বর এনক্রিপ্ট করা হয়েছিল এবং অন্যগুলি কেন ছিল না তা তাৎক্ষণিকভাবে পরিষ্কার ছিল না — প্রতিটি দেশের হোটেল এবং কখনও কখনও প্রতিটি সম্পত্তির পাসপোর্টের তথ্য পরিচালনার জন্য আলাদা আলাদা প্রোটোকল ছিল। গোয়েন্দা বিশেষজ্ঞরা নোট করেছেন যে মার্কিন গোয়েন্দা সংস্থাগুলি প্রায়শই মার্কিন যুক্তরাষ্ট্রের বাইরে বিদেশিদের ট্র্যাক করছে তাদের পাসপোর্ট নম্বর খোঁজে - যা ব্যাখ্যা করতে পারে কেন মার্কিন সরকার বিশ্বব্যাপী পাসপোর্ট ডেটার শক্তিশালী এনক্রিপশনের উপর জোর দেয়নি।

ম্যারিয়ট এখন কীভাবে তথ্য পরিচালনা করছে তা জানতে চাওয়া হলে যে এটি স্টারউডের ডেটা ম্যারিয়ট রিজার্ভেশন সিস্টেমে একত্রিত করেছে — একটি একীভূতকরণ যা 2018 সালের শেষের দিকে সম্পন্ন হয়েছে — কনি কিম, একজন কোম্পানির মুখপাত্র বলেছেন: “আমরা আমাদের সরানোর ক্ষমতার দিকে নজর দিচ্ছি পাসপোর্ট নম্বরের সার্বজনীন এনক্রিপশনের জন্য এবং আমাদের সিস্টেম বিক্রেতাদের সাথে তাদের ক্ষমতাগুলি আরও ভালভাবে বোঝার পাশাপাশি প্রযোজ্য জাতীয় এবং স্থানীয় প্রবিধানগুলি পর্যালোচনা করার জন্য কাজ করবে।"

স্টেট ডিপার্টমেন্ট গত মাসে একটি বিবৃতি জারি করে পাসপোর্ট ধারকদের আতঙ্কিত না হওয়ার জন্য বলেছে কারণ একা নম্বরটি কাউকে জাল পাসপোর্ট তৈরি করতে সক্ষম করবে না। ম্যারিয়ট বলেছে যে এটি একটি নতুন পাসপোর্টের জন্য অর্থ প্রদান করবে যার পাসপোর্টের তথ্য, তাদের সিস্টেম থেকে হ্যাক করা হয়েছে, একটি জালিয়াতির সাথে জড়িত বলে প্রমাণিত হয়েছে। তবে এটি একটি কর্পোরেট কৌশলের কিছু ছিল, যেহেতু এটি এমন অতিথিদের জন্য কোন কভারেজ প্রদান করে না যারা একটি নতুন পাসপোর্ট চায় শুধুমাত্র কারণ তাদের তথ্য বিদেশী গুপ্তচররা নিয়ে গেছে।

এখনও অবধি, কোম্পানিটি এই ইস্যুটিকে সম্বোধন করে বলেছে যে হামলাকারীরা কারা ছিল সে সম্পর্কে কোনও প্রমাণ নেই এবং মার্কিন যুক্তরাষ্ট্র এই মামলায় আনুষ্ঠানিকভাবে চীনকে অভিযুক্ত করেনি। কিন্তু প্রাইভেট সাইবার ইন্টেলিজেন্স গোষ্ঠীগুলি যেগুলি লঙ্ঘনের দিকে নজর দিয়েছে তারা সেই সময়ে অন্যান্য চীনা-সম্পর্কিত আক্রমণগুলির সাথে শক্তিশালী সমান্তরাল দেখেছে। কোম্পানির প্রেসিডেন্ট এবং প্রধান নির্বাহী, আর্নে সোরেনসন, জনসমক্ষে হ্যাকিং সম্পর্কে প্রশ্নের উত্তর দেননি, এবং ম্যারিয়ট বলেছেন যে তিনি ভ্রমণ করছেন এবং হ্যাকিং সম্পর্কে কথা বলার জন্য টাইমসের একটি অনুরোধ প্রত্যাখ্যান করেছেন।

সংস্থাটি আরও বলেছে যে প্রায় 8.6 মিলিয়ন ক্রেডিট এবং ডেবিট কার্ড এই ঘটনায় "জড়িত" ছিল, কিন্তু সেগুলি সব এনক্রিপ্ট করা হয়েছে — এবং 354,000 কার্ড ছাড়া বাকি সবগুলি সেপ্টেম্বর 2018 এর মধ্যে মেয়াদ শেষ হয়ে গিয়েছিল, যখন হ্যাকিং, যা বছরের পর বছর ধরে চলেছিল, আবিষ্কৃত হয়েছিল।