হিসাব যুদ্ধ। জেফ্রির কফি চেইনের প্রতিষ্ঠাতা ভিকন্টাক্টে মামলা করছেন

এমটিএস গ্রাহক শনাক্তকরণ সিস্টেমের দুর্বলতার কারণে প্রতারকরা উদ্যোক্তা আলেক্সি মিরোনভের ভিকন্টাক্টে পৃষ্ঠা চুরি করেছে। সোশ্যাল নেটওয়ার্ক কখনও এটি তার মালিকের কাছে ফেরত দেয়নি এবং তার কাছ থেকে অসম্ভব দাবি করছে। এখন তিনি এর জন্য ভিকন্টাক্টে মামলা করছেন। তিনি সেন্টার ফর ডিজিটাল রাইটসের প্রতিনিধিত্ব করেন।

অ্যালেক্সি মিরোনভ জেফ্রি'স কফি চেইনের প্রতিষ্ঠাতা। এটি মস্কো এবং অঞ্চলের কফি শপগুলির একটি ফ্র্যাঞ্চাইজি। আলেক্সি প্রায়ই ভিকন্টাক্টে সহকর্মী এবং অংশীদারদের সাথে যোগাযোগ করতেন এবং সেখানে তার নেটওয়ার্কের জন্য একটি খুব জনপ্রিয় পাবলিক পৃষ্ঠা বজায় রেখেছিলেন, যার সংখ্যা 50 এরও বেশি গ্রাহক।

2018 সালের নভেম্বরে, খুব ভোরে, আলেক্সি যখন চীনে একটি ব্যবসায়িক ভ্রমণে ছিলেন, তখন তার ভিকন্টাক্টে পৃষ্ঠাটি হ্যাক করা হয়েছিল। তিনি ভিকন্টাক্টে, হোয়াটসঅ্যাপ থেকে এসএমএস এবং এমটিএস অপারেটরের কাছ থেকে একটি বার্তা পেয়েছেন, যেখানে বলা হয়েছে যে অন্য নম্বরে ফরওয়ার্ডিং সেট আপ করা হয়েছে। আলেক্সি ফরওয়ার্ডিং সেট আপ করেননি, তাই তিনি অবিলম্বে চিন্তিত হয়েছিলেন এবং এমটিএসকে কল করেছিলেন। তারা অবিলম্বে নির্ধারণ করেনি যে সত্যিই একটি পুনঃনির্দেশ ছিল। আলেক্সির কলের মাত্র দুই ঘন্টা পরে অপারেটর এটি বন্ধ করতে সক্ষম হয়েছিল। কিভাবে এবং কখন ফরওয়ার্ডিং সক্রিয় করা হয়েছিল সে সম্পর্কে MTS কখনই ডেটা খুঁজে পায়নি।

আলেক্সি সোশ্যাল নেটওয়ার্ক এবং ইনস্ট্যান্ট মেসেঞ্জারে অ্যাক্সেস চেক করেছে এবং দেখেছে যে সে তার ফোন নম্বর ব্যবহার করে আর লগ ইন করতে পারবে না। হ্যাকাররা তার অ্যাকাউন্টের সাথে আরেকটি নম্বর যুক্ত করেছে। হোয়াটসঅ্যাপের মাধ্যমে সমস্যাটি দ্রুত সমাধান করা হয়েছে। ফরওয়ার্ডিং বাতিল করার পরপরই, মেসেঞ্জার সঠিক মালিকের কাছে অ্যাকাউন্টে অ্যাক্সেস পুনরুদ্ধার করে।

আলেক্সি ভিকন্টাক্টে সমর্থনে পৃষ্ঠাটি ফেরত দিতে বলেছে এবং তার পাসপোর্টের একটি ছবি পাঠিয়েছে। সন্ধ্যায় তিনি একটি এসএমএস পান যে আবেদনটি প্রত্যাখ্যান করা হয়েছে, যেহেতু বর্তমান মালিক অ্যাক্সেসের অধিকার নিশ্চিত করেছেন।

একজন প্রযুক্তিগত সহায়তা বিশেষজ্ঞ বলেছেন যে আলেক্সি স্বেচ্ছায় তার পৃষ্ঠার অ্যাক্সেস তৃতীয় পক্ষের কাছে স্থানান্তর করতে পারে, তাই তারা তার অ্যাক্সেস পুনরুদ্ধার করবে না। আলেক্সি হ্যাকিং পরিস্থিতি ব্যাখ্যা করেছিলেন, কিন্তু তাকে এমটিএস থেকে একটি নিশ্চিতকরণ চিঠি পাঠাতে বলা হয়েছিল, যেখানে অপারেটর নিশ্চিত করবে যে একটি হ্যাক হয়েছে। আলেক্সি এমটিএস থেকে একটি চিঠি প্রদান করেছে। এর পরে, VKontakte প্রশাসন দাবি করেছিল যে এই চিঠিটি পুলিশ দ্বারা প্রত্যয়িত হবে। এই প্রয়োজনীয়তা পূরণ করা খুবই কঠিন কারণ চিঠি এবং স্বাক্ষরকারীর পরিচয়পত্র প্রত্যয়িত করা পুলিশের কাজ নয়। আলেক্সি শুধুমাত্র তার VKontakte কর্মীদের ব্যক্তিগতভাবে এটি করতে বলে হ্যাক হওয়া পৃষ্ঠাটি ব্লক করতে সক্ষম হয়েছিল। পৃষ্ঠাটি এখনও ফেরত দেওয়া হয়নি। আলেক্সি অর্জন একমাত্র জিনিস তার অ্যাকাউন্ট ব্লক করা ছিল. এখন স্ক্যামার বা তিনি নিজেও এটি ব্যবহার করতে পারবেন না।

VKontakte সমর্থন পরিষেবা একটি ভিন্ন গল্প। শুধুমাত্র অনুমোদিত ব্যবহারকারীরা VKontakte সহায়তা পরিষেবার সাথে যোগাযোগ করতে পারেন। এর মানে হল যে আপনি যদি আপনার পৃষ্ঠায় অ্যাক্সেস হারান, তাহলে আপনাকে অবশ্যই একটি নতুন তৈরি করতে হবে বা সমর্থনে লেখার জন্য আপনার বন্ধুদের তাদের পৃষ্ঠাগুলিতে অ্যাক্সেস দিতে বলুন৷ আলেক্সি তার স্ত্রীর পৃষ্ঠা থেকে সহায়তা পরিষেবা বিশেষজ্ঞদের সাথে যোগাযোগ করেছিলেন এবং এটি তাদের বিরক্ত করেনি, যদিও ব্যবহারকারীর চুক্তি অন্য কাউকে লগইন এবং পাসওয়ার্ড স্থানান্তর করার অনুমতি দেয় না।

পৃষ্ঠাটি হ্যাক করা এবং অ্যাকাউন্ট এবং সর্বজনীন পৃষ্ঠায় আরও অ্যাক্সেস হারানো স্পষ্টতই আলেক্সির ব্যবসায়িক খ্যাতি এবং তার সম্পত্তির স্বার্থ উভয়কেই ক্ষতিগ্রস্ত করেছে। উল্লেখ করার মতো নয় যে এটি অজানা গন্তব্যে উল্লেখযোগ্য পরিমাণে ব্যক্তিগত এবং বাণিজ্যিক তথ্য ফাঁস করার অনুমতি দিয়েছে। ব্যবসায়ীর অ্যাকাউন্ট থেকে প্রতারকরা তার বন্ধুদের তাদের মোটা অংকের টাকা ট্রান্সফার করতে বলে। এক ব্যক্তি তাদের 34 হাজার রুবেল স্থানান্তর করেছে। আক্রমণকারীরা আলেক্সির অ্যাকাউন্ট থেকে XNUMX ঘন্টার জন্য ব্যক্তিগত তথ্য অ্যাক্সেস করেছিল।

ভিকন্টাক্টের বিরুদ্ধে মামলা

আলেক্সি মিরোনভ সেন্ট পিটার্সবার্গের স্মলনিনস্কি জেলা আদালতে সামাজিক নেটওয়ার্ক ভিকন্টাক্টের বিরুদ্ধে একটি মামলা দায়ের করেছেন এবং এখন মামলার নিয়োগের জন্য অপেক্ষা করছেন। তিনি আদালতকে সোশ্যাল নেটওয়ার্ককে তার নিজস্ব চুক্তি পূরণ করতে বাধ্য করতে বলেন, একটি ব্যবহারকারী চুক্তির আকারে সমাপ্ত হয় এবং তাকে তার পৃষ্ঠায় অ্যাক্সেস ফিরিয়ে দেয়। আজ অবধি, VKontakte প্রশাসন অযৌক্তিকভাবে অ্যালেক্সিকে তার অ্যাকাউন্টে অ্যাক্সেস থেকে বঞ্চিত করে চলেছে, যখন তিনি আন্তরিকভাবে ব্যবহারকারীর চুক্তির শর্তাবলী মেনে চলেন এবং তত্ক্ষণাত হ্যাক সম্পর্কে সামাজিক নেটওয়ার্কের প্রযুক্তিগত সহায়তা পরিষেবাকে অবহিত করেছিলেন। VKontakte পৃষ্ঠায় তার অ্যাক্সেস পুনরুদ্ধার করতে অস্বীকার করেছিল, ব্যবহারকারী চুক্তির একটি ধারা উদ্ধৃত করে যা ব্যবহারকারীদের তাদের পৃষ্ঠা লগইন এবং পাসওয়ার্ড তৃতীয় পক্ষের কাছে স্থানান্তর করতে নিষেধ করে। VKontakte সমর্থন এজেন্ট যার সাথে আলেক্সি কথা বলেছিল যে আপনি শুধুমাত্র অপারেটরের অফিসে গিয়ে এবং আপনার পাসপোর্ট উপস্থাপন করে ফোন নম্বর ফরওয়ার্ডিং সেট আপ করতে পারেন। প্রকৃতপক্ষে, এটি এমন নয়, এবং আলেক্সির আবেদনের প্রতিক্রিয়ায় রোসকোমনাডজোর দ্বারা এটি নিশ্চিত করা হয়েছিল।

সামাজিক নেটওয়ার্ক, ব্যবহারকারীর চুক্তি লঙ্ঘন করে, অযৌক্তিকভাবে আলেক্সির তার পৃষ্ঠার ব্যবহারে অ্যাক্সেস সীমিত করেছে। এটি শিল্পের অনুচ্ছেদ 1 লঙ্ঘন করে বাধ্যবাধকতা পূরণে একতরফা প্রত্যাখ্যান। রাশিয়ান ফেডারেশনের 30 সিভিল কোড। তাকে তার অ্যাকাউন্টে অ্যাক্সেস থেকে বঞ্চিত করে, ভিকে আলেক্সিকে তার সর্বজনীন পৃষ্ঠা পরিচালনা করার অধিকার থেকেও বঞ্চিত করেছিল, যা তার জন্য একটি গুরুত্বপূর্ণ অস্পষ্ট সম্পদ। (আমরা ডিজিটাল সম্পত্তির একটি নতুন রূপ এবং তাদের সাথে লেনদেন শেষ করার বিশেষত্ব হিসাবে পাবলিক মার্কেট সম্পর্কে লিখেছি পূর্বে)

এমটিএস সনাক্তকরণ সিস্টেমে নিরাপত্তা গর্ত

উদ্যোক্তার পক্ষে স্ক্যামারদের দ্বারা পরিচালিত চিঠিপত্র দেখায় যে তারা তার ব্যবসা এবং ব্যবসায়িক ভ্রমণ সম্পর্কে জানত। তারা এমটিএস যোগাযোগ কেন্দ্রে কল করেছিল, আলেক্সির পক্ষে নিজেদের সনাক্ত করতে এবং কল ফরওয়ার্ডিং সেট আপ করতে সক্ষম হয়েছিল। হামলাকারীরা সামাজিক প্রকৌশলের মাধ্যমে তার পাসপোর্টের তথ্য পেতে পারে। আলেক্সি মিরোনভ ফ্র্যাঞ্চাইজির প্রতিষ্ঠাতা, তাই ফ্র্যাঞ্চাইজি প্রতিষ্ঠান খোলার সাথে জড়িত অনেক লোকের কাছে তার পাসপোর্টের তথ্য থাকতে পারে। এমটিএস একটি অভ্যন্তরীণ তদন্ত পরিচালনা করে, কিন্তু কে ঠিকভাবে ফরওয়ার্ডিং ইনস্টল করেছে এবং আক্রমণকারী কীভাবে এসএমএসটি বাধা দিয়েছে তা নির্ধারণ করতে পারেনি। সংস্থাটি দোষ স্বীকার করেনি, তবে একই সাথে আলেক্সিকে একটি খুব অদ্ভুত ক্ষতিপূরণের প্রস্তাব দিয়েছে - 750 রুবেল।

আমরা বিবেচনা করেছি যে কেবলমাত্র সঠিক ব্যক্তিগত ডেটা ব্যবহার করে গ্রাহককে দূর থেকে সনাক্ত করা একটি অত্যন্ত সন্দেহজনক অনুশীলন এবং ব্যক্তিগত ডেটা সম্পর্কিত আইনের প্রয়োজনীয়তাগুলির সাথে এই ধরণের কোম্পানির প্রক্রিয়ার সম্মতি যাচাই করার জন্য Roskomnadzor-এর কাছে একটি অভিযোগ লিখেছিলাম। ফলস্বরূপ, Roskomnadzor এমটিএসের পক্ষে ছিলেন, নির্দেশ করে যে সঠিক ব্যক্তিগত ডেটা সরবরাহ করার সময় ফোনের মাধ্যমে দূরবর্তী শনাক্তকরণের পরে যোগাযোগ পরিষেবাগুলি পরিচালনা করা বেশ স্বাভাবিক এবং এই ধরণের অননুমোদিত ক্রিয়াকলাপের বিরুদ্ধে সুরক্ষার অতিরিক্ত পদ্ধতি স্থাপন করা গ্রাহকের নিজের জন্য মাথাব্যথার কারণ নয়। কোম্পানি . (সম্পূর্ণ উত্তর পড়ুন- এখানে)

অ্যালেক্সি মিরনভের অ্যাকাউন্ট হ্যাকিং এমটিএস গ্রাহকের ডেটাতে অননুমোদিত অ্যাক্সেসের প্রথম ঘটনা নয়। 2018 সালে, 500 হাজার গ্রাহকের ডেটাবেস উত্তরী নোভোসিবিরস্কে, দুই আক্রমণকারী, যাদের মধ্যে একজন কোম্পানির কর্মচারী ছিলেন। তারা এক গ্রাহকের ডেটার জন্য 1 রুবেল দামে ডাটাবেস বিক্রি করার চেষ্টা করেছিল।

2016 সালে ছিল হ্যাক বিরোধী কর্মী জর্জি আলবুরভ এবং ওলেগ কোজলভস্কির টেলিগ্রাম অ্যাকাউন্ট। তাদের অ্যাকাউন্টগুলি MTS নম্বরগুলির সাথে লিঙ্ক করা হয়েছিল এবং হ্যাক হওয়ার কিছুক্ষণ আগে, তাদের এসএমএস পরিষেবা নিষ্ক্রিয় করা হয়েছিল এবং ফরওয়ার্ডিং সক্ষম করা হয়েছিল৷ ব্রেক-ইন পরিস্থিতিও প্রতিষ্ঠিত হয়নি। 2019 সালে, ওলেগ কোজলভস্কি এমটিএসের বিরুদ্ধে একটি মামলা দায়ের করেছিলেন, কিন্তু আদালত তা প্রত্যাখ্যান করেছিল।

হ্যাকিং থেকে বিভিন্ন ওয়েব সার্ভিস এবং অ্যাপ্লিকেশনের অ্যাকাউন্ট রক্ষা করা ব্যবহারকারীর নিজের দায়িত্ব। এই অবস্থানটি উভয় টেলিকম অপারেটর এবং নিয়ন্ত্রক দ্বারা ভাগ করা হয়, যে অনুসারে তারা তাদের নিজস্ব গ্রাহকদের সাথে এই ঝুঁকিগুলি ভাগ করতে অস্বীকার করে।

আরকেএন তার প্রতিক্রিয়ায় এটিকে এভাবে বর্ণনা করে:
“... এমটিএস শর্তাবলীর 2.11 ধারা অনুসারে, সনাক্তকরণের উদ্দেশ্যে, টেলিকম অপারেটরের গ্রাহকদের একটি কোড ওয়ার্ড ব্যবহার করার সুযোগ দেওয়া হয় - চিহ্নের একটি ক্রম (অক্ষর, সংখ্যা) যা গ্রাহক দ্বারা প্রতিষ্ঠিত ফর্মে নির্দিষ্ট করা হয়েছে অপারেটর, যা চুক্তি সম্পাদন করার সময় গ্রাহককে সনাক্ত করতে কাজ করে। চুক্তি সম্পাদন করার সময় (এই ক্ষেত্রে এটি বাধ্যতামূলক বিশদ সহ চুক্তি ফর্মে প্রবেশ করানো হয়) এবং চুক্তি সম্পাদনের সময় যে কোনও সময়ে গ্রাহকের একটি কোড ওয়ার্ড সেট করার সুযোগ রয়েছে। এই সত্ত্বেও, গ্রাহক Mironov A.K. কোড শব্দটি পরিষেবার বিতর্কিত সংযোগের আগে সেট করা হয়নি। এই ধরনের পরিস্থিতিতে, শুধুমাত্র গ্রাহক, টেলিকম অপারেটরের সাথে সনাক্তকরণের সময় একটি কোড ওয়ার্ড স্থাপন করে, এই ধরনের পরিস্থিতি থেকে বিরূপ পরিণতির ঝুঁকি নিরপেক্ষ করতে পারে, কিন্তু এই সুযোগের সদ্ব্যবহার করেনি।"

একাউন্ট পুনরুদ্ধার. অসম্ভব মিশন

Roskomnadzor এর নিষ্ক্রিয়তা সম্পর্কে একটি অভিযোগ ইতিমধ্যে প্রসিকিউটর অফিসে দায়ের করা হয়েছে. এদিকে অপরাধ প্রতিবেদনে পুলিশ নীরব রয়েছে। তদন্তের ফলাফল সম্পর্কে কোম্পানির অভ্যন্তরে কেউ কিছু জানায় না। MTS কোনো অপরাধ স্বীকার করে না। কেউ গ্রাহ্য করে না. একই সময়ে, VKontakte অ্যাকাউন্টের মালিককে এটিতে অ্যাক্সেস পুনরুদ্ধার করতে অস্বীকার করে চলেছে যতক্ষণ না তিনি পুলিশের কাছ থেকে একটি ফৌজদারি মামলা শুরু করার জন্য একটি রেজোলিউশন নিয়ে আসেন যা নির্দিষ্ট তথ্য এবং এমটিএস থেকে একটি চিঠি দেয়, যা নিশ্চিত করবে যে পুনর্নির্দেশ পরিষেবাটি প্রতিদ্বন্দ্বিতাযোগ্য। মোটামুটি বিস্তৃত ব্যাখ্যা সহ চিঠিতে, মিরোনভকে এমটিএস থেকে একটি শংসাপত্রও প্রদান করতে হবে যে তিনিই একমাত্র (এবং কি, কোথাও অপারেটররা ফোন নম্বরগুলির যৌথ মালিকানা নিবন্ধন করেন?) যে ফোন নম্বরটির সাথে লিঙ্ক করা হয়েছিল তার ব্যবহারকারী। পৃষ্ঠা. প্রতিক্রিয়াটি গত সপ্তাহের শেষে এসেছে, এবং পরিস্থিতির অচলাবস্থা এবং এখন ছয় মাসের জন্য VKontakte-এর সাথে একটি চুক্তিতে পৌঁছানোর অসম্ভবতার কারণে আমরা আদালতে গিয়েছিলাম।

কিভাবে হ্যাকিং থেকে নিজেকে রক্ষা করবেন

আক্রমণকারীরা অন্যান্য দুর্বলতার মাধ্যমে একটি ফোন নম্বর পরিচালনা করার অ্যাক্সেসও পেতে পারে - SS7 প্রোটোকল বা অসাধু অপারেটর কর্মীদের সাহায্যে একটি ডুপ্লিকেট সিম কার্ড প্রাপ্ত করা।

SS7 হল একটি প্রযুক্তিগত প্রোটোকল যা টেলিকম অপারেটরদের দ্বারা ব্যবহৃত হয়। এটি একটি পুরানো এবং দৃশ্যত অপসারণযোগ্য ধারণ করে দুর্বলতা, যা আপনাকে একটি কলের সময় বা SMS এর মাধ্যমে গ্রাহকদের দ্বারা প্রেরিত ডেটা আটকাতে দেয়৷ শুধুমাত্র অপারেটরদেরই SS7-এ অ্যাক্সেস রয়েছে, কিন্তু আক্রমণকারীরা অনুন্নত দেশগুলির অপারেটরদের থেকে বা মোবাইল অপারেটরদের অসাধু কর্মীদের মাধ্যমে ডার্কনেটে অ্যাক্সেস কিনে এটি পেতে পারে। আক্রমণ ঘটে যখন একজন আক্রমণকারী গ্রাহকের বিলিং সিস্টেমের ঠিকানা তার নিজের ঠিকানায় পরিবর্তন করে। প্রায়শই, আক্রমণকারীরা সিস্টেমকে জানায় যে গ্রাহক আন্তর্জাতিক রোমিংয়ে রয়েছে, তাই নিজেকে রক্ষা করার সবচেয়ে সহজ উপায় হল আন্তর্জাতিক রোমিং অক্ষম করা যদি আপনি এটি ব্যবহার না করেন।

অ্যালেক্সি মিরনভের এখনও ভিকন্টাক্টের জন্য কনফিগার করা একটি দ্বি-ফ্যাক্টর প্রমাণীকরণ সিস্টেম ছিল না। এই ফাংশন হাজির 2014 সালের জুনে ভিকেতে। সম্ভবত সে তার অ্যাকাউন্ট হ্যাক হওয়া থেকে রক্ষা করতে পারে। এটি মনে রাখা উচিত যে কেবল একটি ফোন নম্বরের সাথে একটি অ্যাকাউন্ট লিঙ্ক করা দ্বি-ফ্যাক্টর প্রমাণীকরণ নয়। দুই ফ্যাক্টর প্রমাণীকরণ — এটি একটি অ্যাকাউন্টে লগইন করার সুরক্ষা যখন, পাসওয়ার্ড ছাড়াও, অন্য একটি কাজ করা হয়। সবচেয়ে সাধারণ বিকল্প একটি এসএমএস কোড। এই পদ্ধতিটি সবচেয়ে নির্ভরযোগ্য নয়, কারণ আক্রমণকারীরা এসএমএস বার্তাটি আটকাতে পারে। আরও নিরাপদ বিকল্প হল একটি মূল ফাইল, অস্থায়ী কোড, একটি মোবাইল অ্যাপ্লিকেশন এবং একটি হার্ডওয়্যার টোকেন।

দুর্ভাগ্যবশত, আমরা এমন এক যুগে বাস করতে বাধ্য হচ্ছি যেখানে ডেটা নিরাপত্তা নিশ্চিত করা আমাদের নিজস্ব সমস্যা হয়ে দাঁড়ায়। তারা আশা করে যে হ্যাক হওয়ার ক্ষেত্রে অপারেটররা স্বাধীনভাবে দায়িত্ব বহন করবে, তবে দৃশ্যত এটি এমন নয়। সেইসাথে Roskomnadzor উপর নির্ভর করে, যা দীর্ঘদিন ধরে তার ডেটা সুরক্ষা অনুশীলনে বাস্তবতা থেকে তালাকপ্রাপ্ত হয়েছে। স্থানীয় পুলিশ অফিসারের "অস্বীকৃতির উপাদান" এর বর্ম ভেদ করা অবিশ্বাস্যভাবে কঠিন যে একই ক্ষেত্রে আপনার আবেদন গ্রহণ করবে, বিশেষত একজন সাধারণ ব্যক্তির জন্য যে এই সিস্টেমটি কীভাবে কাজ করে তা জানে না। কি অবশিষ্ট থাকে? ডিজিটাল হাইজিন সম্পর্কে ভুলবেন না, গণিতের উপর আস্থা রাখুন এবং আদালতে আপনার অধিকার রক্ষা করুন।

উত্স: www.habr.com