গ্রোক বিল্ডের ত্রুটিতে স্পেসএক্সএসআইয়ের সংবেদনশীল তথ্য ফাঁস
ইলন মাস্কের মালিকানাধীন প্রতিষ্ঠান স্পেসএক্সএসআই-এর এআই-চালিত অ্যাপ্লিকেশন তৈরির টুল ‘গ্রোক বিল্ড’-এর নিরাপত্তা ত্রুটির কারণে হাজার হাজার ব্যবহারকারীর সংবেদনশীল তথ্য অনলাইনে উন্মুক্ত হয়ে পড়েছে।
নিরাপত্তা গবেষণা প্রতিষ্ঠান ‘ক্ল্যারোক’ এক প্রতিবেদনে জানিয়েছে, এই নিরাপত্তা ত্রুটির ফলে স্বয়ং স্পেসএক্সএসআই-এর অভ্যন্তরীণ নথিপত্রসহ বিভিন্ন হাসপাতাল ও ফায়ার সার্ভিসের গোপনীয় তথ্যও ফাঁস হয়েছে।
গবেষকরা এই ধরনের অরক্ষিত পেজগুলোকে ‘গোস্টশেয়ার’ নামে অভিহিত করেছেন। কারণ লিংক না থাকা সত্ত্বেও ইন্টারনেট থেকে যে কেউ খুব সহজেই এই অ্যাপ এবং পেজগুলো খুঁজে পেতে এবং খুলতে সমর্থ হয়েছেন।
যেভাবে তৈরি হয় নিরাপত্তা ত্রুটি
সাধারণত ব্যবহারকারীরা ‘ভাইব-কোডিং’ বা কৃত্রিম বুদ্ধিমত্তার কাছে বিবরণ দিয়ে গ্রোকের মাধ্যমে অ্যাপ তৈরি করে থাকেন। গ্রোক বিল্ড টুলটি লিংক তৈরির সময় র্যান্ডম চার শব্দের বাক্যাংশ ব্যবহার করলেও, এই র্যান্ডম অংশটি ওয়েবসাইটের ডোমেইনের ডানপাশের পরিবর্তে বামপাশে (সাবডোমেইন হিসেবে) যুক্ত করত।
গুগলের জেমিনি বা অন্যান্য প্ল্যাটফর্ম এই র্যান্ডম সংকেত ডোমেইনের ডানপাশে যুক্ত করে গোপনীয়তা রক্ষা করে। কিন্তু গ্রোকের ব্যবহৃত সাবডোমেইন ব্যবস্থার কারণে ‘প্যাসিভ ডিএনএস’ সার্ভারগুলো খুব সহজেই এই লিংকগুলো রেকর্ড করে নিতে পেরেছে এবং সেগুলো সর্বসাধারণের জন্য অনুসন্ধানযোগ্য পাবলিক ডাটাবেসে চলে গেছে।
ফাঁস হওয়া তথ্যের বিবরণ
ক্ল্যারোকের গবেষকরা প্রায় ৩৫ হাজারেরও বেশি উন্মুক্ত গ্রোক অ্যাপ বিশ্লেষণ করে জানিয়েছেন, এর মধ্যে প্রায় ১০ শতাংশ অ্যাপে সংবেদনশীল বা ব্যবসায়িক ডাটা ছিল এবং অন্তত ২ শতাংশ অ্যাপে অতি-সংবেদনশীল তথ্য অন্তর্ভুক্ত ছিল।
স্পেসএক্সএসআই-এর উন্মুক্ত হয়ে পড়া সংবেদনশীল তথ্যের মধ্যে ছিল নতুন কর্মীদের অনবোর্ডিং প্ল্যান, ৫৯৪টি স্ট্র্যাটেজিক অ্যাকাউন্টের সেলস ম্যাপ, এক্স (টুইটার)-এর বিজ্ঞাপন প্রস্তাবনা, লাইভ অ্যাকাউন্ট বোর্ড এবং ব্র্যান্ড সেফটি প্লেবুক।
এছাড়া একটি হাসপাতাল গ্রুপের সাড়ে তিন হাজারেরও বেশি কর্মীর তালিকা, ফায়ার সার্ভিসের শিফট রোস্টার এবং কর্মীদের ইউজারনেম-পাসওয়ার্ড সংবলিত পেজও উন্মুক্ত হয়ে পড়েছিল।
স্পেসএক্সএসআই-এর পদক্ষেপ
তথ্য ফাঁসের বিষয়টি ক্ল্যারোকের পক্ষ থেকে তাৎক্ষণিকভাবে জানানো হলেও স্পেসএক্সএসআই প্রথমে কোনো সাড়া দেয়নি।
পরবর্তীতে সামাজিক যোগাযোগমাধ্যম এক্সে ইলন মাস্ক ও সংশ্লিষ্ট কর্মকর্তাদের ট্যাগ করার পর প্রতিষ্ঠানটি সক্রিয় হয় এবং নিজেদের ফাঁস হওয়া ২৪টি অভ্যন্তরীণ অ্যাপ সরিয়ে নেয়।
তবে অন্যান্য সাধারণ ব্যবহারকারী বা প্রতিষ্ঠানের খোলা থাকা অরক্ষিত অ্যাপগুলোর ক্ষেত্রে এখনো কোনো যৌথ পদক্ষেপ নেওয়া হয়নি বলে গবেষকরা জানিয়েছেন।
ডিবিটেক/বিএমটি । সূত্র: এনগ্যাজেট
