- সুবারু স্টারলিংকের দুর্বলতার কারণে দূর থেকে বিভিন্ন ফাংশন (আনলক করা, ইগনিশন) নিয়ন্ত্রণ করা এবং অবস্থানের ইতিহাস জানা যেত।
- প্রশাসনিক পোর্টালের ব্যর্থতা: ক্লায়েন্টের নিরাপত্তা প্রশ্নগুলির নিশ্চিতকরণ ও যাচাইকরণ ছাড়াই পাসওয়ার্ড রিসেট করা হয়েছে, যা কর্মচারীদের প্রবেশাধিকার সহজ করে দিয়েছে।
- ফাঁস হওয়া তথ্যের মধ্যে রয়েছে এক বছরের অবস্থান, ঠিকানা, জরুরি যোগাযোগের তথ্য এবং আংশিক ব্যাংকিং ডেটা, যা চুরি ও গোপনীয়তা লঙ্ঘনের ঝুঁকি বাড়িয়েছে।
- সুবারু ২৪ ঘণ্টারও কম সময়ের মধ্যে সমস্যাটি সমাধান করেছে, কিন্তু কর্মচারীরা রেকর্ডগুলিতে প্রবেশাধিকার ধরে রেখেছেন; এটি শিল্পব্যাপী ঝুঁকি এবং প্রবিধান ও সর্বোত্তম অনুশীলনের প্রয়োজনীয়তা প্রতিফলিত করে।
সাম্প্রতিক তদন্তে সুবারুর স্টারলিঙ্ক কানেক্টেড ভেহিকেল সিস্টেমে গুরুতর দুর্বলতা প্রকাশ পেয়েছে , যার ফলে হ্যাকাররা মার্কিন যুক্তরাষ্ট্র, কানাডা এবং জাপানের লক্ষ লক্ষ গাড়ির নিরাপত্তা দূর থেকে অ্যাক্সেস করতে এবং তাতে অনুপ্রবেশ করতে সক্ষম হচ্ছে। এই নিরাপত্তা ত্রুটিগুলো কানেক্টেড ভেহিকেলগুলোর অন্তর্নিহিত ঝুঁকি সম্পর্কে উদ্বেগ বাড়িয়েছে, কারণ এগুলো বিপুল পরিমাণ সংবেদনশীল ডেটা সংগ্রহ করে এবং এদের অনেক কার্যক্রম পরিচালনার জন্য প্রযুক্তির ওপর নির্ভর করে।
গবেষক স্যাম কারি এবং শুভম শাহ আবিষ্কার করেছেন যে সুবারুর সিস্টেমে একাধিক দুর্বলতা ছিল, যার মাধ্যমে দূর থেকে যানবাহন নিয়ন্ত্রণ করা যেত এবং এক বছরের বিস্তারিত অবস্থানের ইতিহাসের মতো সংবেদনশীল তথ্য হাতিয়ে নেওয়া যেত। তারা গাড়ির দরজা খুলতে, ইগনিশন নিয়ন্ত্রণ করতে এবং এমনকি ব্যবহারকারীর সেটিংসও পরিবর্তন করতে সক্ষম হয়েছিলেন। এই আবিষ্কারটি মোটরগাড়ির ডিজিটাইজেশনের সাথে জড়িত গোপনীয়তা এবং নিরাপত্তার ঝুঁকিকে তুলে ধরে।
দুর্বলতাগুলি কীভাবে চিহ্নিত করা হয়েছিল?
এই বিশ্লেষণ শুরু হয়েছিল যখন কারি তার মায়ের জন্য কেনা একটি ২০২৩ সালের সুবারু ইমপ্রেজার সংযুক্ত সিস্টেমটি খতিয়ে দেখার সিদ্ধান্ত নেন। তাদের তদন্ত চলাকালে, তিনি এবং তার সহকর্মী সুবারুর কর্মীদের জন্য একটি প্রশাসনিক পোর্টাল আবিষ্কার করেন, যেটিতে গুরুতর নিরাপত্তা ত্রুটি ছিল। পোর্টালটি ব্যবহার করে শুধুমাত্র একজন কর্মীর ইমেল ঠিকানা জেনে কোনো রকম যাচাইকরণ ছাড়াই পাসওয়ার্ড রিসেট করা যেত । শুধু তাই নয়, নিরাপত্তা প্রশ্নগুলো সুবারুর সার্ভারের পরিবর্তে ব্যবহারকারীর ব্রাউজারেই স্থানীয়ভাবে যাচাই করা হতো, যার ফলে সুরক্ষার এই স্তরটি এড়িয়ে যাওয়া সহজ হয়ে গিয়েছিল।
একজন কর্মচারীর অ্যাকাউন্টে প্রবেশাধিকার পাওয়ার পর তদন্তকারীরা দেখিয়েছেন যে, তাঁরা পদবি, পোস্টাল কোড, ইমেল ঠিকানা, ফোন নম্বর বা লাইসেন্স প্লেট নম্বরের মতো সাধারণ তথ্য ব্যবহার করে যানবাহন অনুসন্ধান করতে পারেন। সেখান থেকে তাঁরা গাড়ির বিভিন্ন ফাংশন নিয়ন্ত্রণ করতে, সেটির অবস্থানের ইতিহাস দেখতে এবং মালিকের ব্যক্তিগত তথ্য, যার মধ্যে ঠিকানা, জরুরি যোগাযোগের নম্বর ও আংশিক বিলের বিবরণ অন্তর্ভুক্ত ছিল, তা সংগ্রহ করতে পারতেন।
দুর্বলতার প্রভাব
এই ব্যর্থতার সাথে সম্পর্কিত ঝুঁকিগুলি উল্লেখযোগ্য। অ্যাক্সেসযোগ্য ডেটা অন্তর্ভুক্ত:
- লোকেশন ইতিহাসের পুরো এক বছর, গাড়িটি শুরু করার সময় প্রতিবার আপডেট করা সুনির্দিষ্ট স্থানাঙ্ক সহ।
- ব্যক্তিগত তথ্য যেমন নাম, ঠিকানা, জরুরি যোগাযোগ এবং আংশিক ব্যাঙ্কের বিবরণ.
- যানবাহনের কার্যকারিতা যেমন দরজা খুলে দেওয়া, রিমোট ইগনিশন এবং হর্ন অ্যাক্টিভেশন।
এই দুর্বলতাগুলো শুধু গাড়ির মালিকদের গোপনীয়তাকেই বিপন্ন করেনি, বরং চুরি, হয়রানি এবং এমনকি অন্তর্ঘাতের পথও খুলে দিয়েছে । গবেষকরা জোর দিয়ে বলেছেন যে, এই লঙ্ঘনগুলো সামগ্রিকভাবে মোটরগাড়ি শিল্পের সাইবার নিরাপত্তার জন্য একটি উদ্বেগজনক চিত্র তুলে ধরে।
সুবারুর প্রতিক্রিয়া
২০২৪ সালের নভেম্বরে সুবারুকে এই দুর্বলতাগুলো সম্পর্কে সতর্ক করা হয়েছিল। প্রশংসার যোগ্য যে, কোম্পানিটি অবহিত হওয়ার ২৪ ঘণ্টারও কম সময়ের মধ্যে দ্রুত পদক্ষেপ নিয়েছিল এবং সিস্টেমটি প্যাচ করে ফেলেছিল । সুবারুর একজন মুখপাত্র জানিয়েছেন যে , “অনুমতি ছাড়া কোনো গ্রাহকের তথ্য অ্যাক্সেস করা হয়নি” এবং ভবিষ্যতের হুমকি প্রতিরোধ করার জন্য ক্রমাগত পর্যবেক্ষণের মাধ্যমে সিস্টেমগুলোকে আরও উন্নত করা হয়েছে ।
তবে, গবেষকরা উল্লেখ করেছেন যে, প্যাচগুলো থাকা সত্ত্বেও সুবারু কর্মীরা এখনও এমন একটি ফিচার ব্যবহার করতে পারেন যা তাদের কাজের উদ্দেশ্যে লোকেশন হিস্ট্রি দেখার সুযোগ দেয়, যা দীর্ঘমেয়াদী গোপনীয়তার উদ্বেগ বাড়িয়ে তোলে ।
শিল্পে একটি ব্যাপক সমস্যা
গবেষকদের মতে, সুবারুর ঘটনাটি কোনো একক ঘটনা নয়। অ্যাকুরা, হোন্ডা, হুন্দাই এবং টয়োটার মতো অন্যান্য ব্র্যান্ডের যানবাহনেও একই ধরনের দুর্বলতা শনাক্ত করা হয়েছে। ডেটা সুরক্ষা ব্যবস্থার দৃঢ়তার অভাব এই শিল্পে একটি পুনরাবৃত্ত সমস্যা, যেখানে নির্মাতারা প্রায়শই নিরাপত্তার চেয়ে কার্যকারিতাকে বেশি প্রাধান্য দেয়।
২০২৩ সালের মোজিলা-র একটি প্রতিবেদনে আধুনিক গাড়িগুলোকে “গোপনীয়তার দুঃস্বপ্ন” হিসেবে আখ্যায়িত করা হয়েছে। এতে উল্লেখ করা হয় যে, ৯২% নির্মাতা সংগৃহীত তথ্যের ওপর ব্যবহারকারীদের কোনো নিয়ন্ত্রণ দেয় না এবং ৮৪% সেই তথ্য শেয়ার বা বিক্রি করার অধিকার সংরক্ষণ করে। এই মাত্রার ঝুঁকি মোটরগাড়ি খাতে আরও কঠোর বিধিমালা এবং সাইবার নিরাপত্তা মানদণ্ডের জরুরি প্রয়োজনীয়তাকে তুলে ধরে।
নিজের ব্লগে কারি সেইসব সিস্টেমের অন্তর্নিহিত দুর্বলতার ওপর জোর দিয়েছেন, যেগুলো কর্মীদের পর্যাপ্ত বিধিনিষেধ ছাড়াই সংবেদনশীল তথ্যে প্রবেশাধিকার দেয়। তিনি মন্তব্য করেন, “গাড়ি শিল্প বিশ্বাসের ওপর ব্যাপকভাবে নির্ভরশীল, কিন্তু গ্রাহকের তথ্য সুরক্ষার জন্য প্রয়োজনীয় প্রতিবন্ধকতার অভাব রয়েছে ।”
এই ঘটনাটি শক্তিশালী নিরাপত্তা ব্যবস্থা বাস্তবায়নের গুরুত্বকে আরও জোরদার করে এবং গাড়িতে সংযোগ স্থাপনের সাথে জড়িত ঝুঁকি সম্পর্কে ব্যবহারকারীদের সচেতন থাকার কথাও মনে করিয়ে দেয়।
