কেটি কর্পোরেশনের নিরাপত্তা লঙ্ঘনের মূল কারণ: অপর্যাপ্ত ফেমটোসেল ব্যবস্থাপনা, জানাল বিজ্ঞান ও আইসিটি মন্ত্রণালয়

সোমবার, ডিসেম্বর ২৯, ২০২৫ তারিখে, বিজ্ঞান ও তথ্যপ্রযুক্তি মন্ত্রণালয় (MSIT) কেটি কর্পোরেশনের নিরাপত্তা সংক্রান্ত ঘটনার তদন্তের চূড়ান্ত ফলাফল আনুষ্ঠানিকভাবে ঘোষণা করেছে। বিস্তৃত অনুসন্ধানে এটি স্পষ্ট হয়েছে যে এই মোবাইল অপারেটরের মূল দুর্বলতা নিহিত ছিল স্থানীয় নেটওয়ার্ক শক্তিশালীকরণের জন্য ব্যবহৃত ছোট বেস স্টেশন, অর্থাৎ ফেমটোসেল অবকাঠামোর ওপর তাদের অপর্যাপ্ত তত্ত্বাবধান এবং ব্যবস্থাপনা প্রোটোকলের মধ্যে। এই পদ্ধতিগত অবহেলাই এমন একটি সুযোগ তৈরি করে দেয়, যার ফলে দূষিত ফেমটোসেল প্রবেশ করানো সম্ভব হয় এবং তারা কেটির নিজস্ব অভ্যন্তরীণ নেটওয়ার্ক স্থাপত্যে অননুমোদিত প্রবেশাধিকার লাভ করে।

এই গুরুতর নিরাপত্তা ত্রুটির ফলস্বরূপ দুটি প্রধান বিপর্যয় ঘটে: প্রথমত, অননুমোদিত মোবাইল পেমেন্ট লেনদেন সহজতর হওয়া এবং দ্বিতীয়ত, গ্রাহকদের সংবেদনশীল তথ্যের ব্যাপক ফাঁস হওয়া। আর্থিক ক্ষতির পরিমাণ ছিল মোট ২৪৩ মিলিয়ন কোরিয়ান ওন, যা প্রায় ১৬৭,০০০ মার্কিন ডলারের সমতুল্য, এবং এই ঘটনায় মোট ৩৬৮ জন ব্যবহারকারী ক্ষতিগ্রস্ত হন। তবে, তথ্য চুরির মাত্রা ছিল অনেক বেশি বিস্তৃত; ২২,২২৭ জন ব্যবহারকারীর ব্যক্তিগত শনাক্তকরণ তথ্য, যেমন মোবাইল নম্বর, ইন্টারন্যাশনাল মোবাইল সাবস্ক্রাইবার আইডেন্টিটি (IMSI) নম্বর এবং ইন্টারন্যাশনাল মোবাইল ইকুইপমেন্ট আইডেন্টিটি (IMEI) নম্বর চুরি হয়ে যায়।

সরকার ও বেসরকারি খাতের যৌথ তদন্ত দল যে ফরেনসিক বিশ্লেষণ চালায়, তাতে ডিভাইস প্রমাণীকরণের পদ্ধতিতে একটি মারাত্মক ত্রুটি উন্মোচিত হয়। দেখা যায়, কেটি কর্তৃক ইস্যুকৃত সমস্ত ফেমটোসেল ডিভাইসে প্রস্তুতকারকের দেওয়া একই ডিজিটাল সার্টিফিকেট ব্যবহার করা হচ্ছিল, যার মেয়াদ ছিল দশ বছর পর্যন্ত। এই কাঠামোর অর্থ হলো, একবার কোনো আক্রমণকারী যদি এই একক সার্টিফিকেটটি নকল করতে সক্ষম হয়, তবে তারা প্রায় এক দশক ধরে নেটওয়ার্কে অবৈধ প্রবেশ বজায় রাখতে পারত। উপরন্তু, তদন্তে অভ্যন্তরীণ ম্যালওয়্যারের একটি উল্লেখযোগ্য উপস্থিতি ধরা পড়ে; কেটির ৯৪টি সার্ভার ১০৩ ধরনের ক্ষতিকারক কোড দ্বারা সংক্রমিত হয়েছিল, যার মধ্যে বিপিএফডোর (BPFDoor) এবং রুটকিট (Rootkit) অন্তর্ভুক্ত ছিল। কিছু সংক্রমণ এপ্রিল ২০২২ সাল পর্যন্ত পুরোনো বলে চিহ্নিত করা হয়েছে।

এমএসআইটি অবশেষে এই সিদ্ধান্তে উপনীত হয় যে, কেটি তাদের চুক্তিবদ্ধ দায়িত্ব পালনে ব্যর্থ হয়েছে, যার মাধ্যমে তারা সকল গ্রাহককে সম্ভাব্য হুমকির মুখে ঠেলে দিয়েছে। এই ঘটনাটি খাতটির জন্য একটি সতর্কবার্তা, কারণ কেটির প্রতিদ্বন্দ্বী এসকে টেলিকমও পূর্বে তাদের নিজস্ব তথ্য ফাঁসের জন্য ১৩৪.৮ বিলিয়ন ওন জরিমানা দিয়েছিল। মন্ত্রণালয় কেটিকে অবিলম্বে কঠোর নিরাপত্তা ব্যবস্থা গ্রহণের নির্দেশ দিয়েছে। এর মধ্যে রয়েছে প্রমাণীকরণ সার্ভারের আইপি ঠিকানা নিয়মিত পরিবর্তন করা এবং অননুমোদিত ফেমটোসেল সংযোগ সনাক্তকরণের জন্য শক্তিশালী ব্যবস্থা প্রতিষ্ঠা করা। কেটিকে এক মাসের মধ্যে একটি বিস্তারিত প্রতিকার পরিকল্পনা জমা দিতে হবে, এবং সম্মতি যাচাই করার জন্য জুন ২০২৬ সালে একটি ফলো-আপ সরকারি পরিদর্শন নির্ধারিত হয়েছে।

নিরাপত্তা ব্যর্থতার তীব্রতা বিবেচনা করে, এমএসআইটি ইঙ্গিত দিয়েছে যে শীঘ্রই অন্যান্য মোবাইল অপারেটরদেরও গ্রাহকরা প্রতিদ্বন্দ্বী সেবায় স্থানান্তরিত হলে বাতিলকরণ ফি মওকুফ করার নির্দেশ দেওয়া হতে পারে। এদিকে, আর্থিক জালিয়াতির দিকটি নিয়ে আইন প্রয়োগকারী সংস্থাগুলি দুই চীনা নাগরিককে গ্রেপ্তার করেছে বলে জানা গেছে। একটি সমান্তরাল ঘটনায়, এমএসআইটি জুলাই, ২০২৫-এ প্রকাশিত এলজি ইউপ্লাস কর্পোরেশনের তথ্য ফাঁসের তদন্তে বাধাগ্রস্ত হওয়ার খবর দিয়েছে। মন্ত্রণালয় জানিয়েছে, এলজি ইউপ্লাস কোরিয়া ইন্টারনেট অ্যান্ড সিকিউরিটি এজেন্সির (KISA) নির্দেশনার পরে প্রভাবিত সার্ভারগুলিতে মিথ্যা নথি জমা দিয়েছে এবং অপারেটিং সিস্টেম পুনরায় ইনস্টল করেছে, যা পুঙ্খানুপুঙ্খ ফরেনসিক তদন্তে গুরুতর বাধা সৃষ্টি করেছে। এলজি ইউপ্লাসের সমন্বিত পাসওয়ার্ড ব্যবস্থাপনা সমাধান, এপিএম (APPM) থেকে তথ্য ফাঁস হওয়ার বিষয়টি নিশ্চিত হলেও, এই বাধাদানের কারণে এমএসআইটি আনুষ্ঠানিকভাবে পুলিশের কাছে এলজি ইউপ্লাসের বিরুদ্ধে সরকারি কাজে বাধা দেওয়ার সন্দেহে তদন্তের অনুরোধ করেছে।

কেআইএসএ কর্তৃক জুলাই ১৯ তারিখে অনুপ্রবেশের নির্দেশনা দেওয়ার পর, নেটওয়ার্ক পথের মূল সার্ভারগুলি আগস্ট ১২ থেকে সেপ্টেম্বর ১৫ তারিখের মধ্যে পুনরায় ইনস্টল বা বাতিল করা হয়। বিজ্ঞান মন্ত্রী বে কিউং-হুন পরিস্থিতির গুরুত্ব তুলে ধরে জোর দিয়ে বলেছেন যে, তথ্য নিরাপত্তা যেকোনো প্রতিষ্ঠানের টিকে থাকার জন্য এবং দেশের জন্য একটি বিশ্বাসযোগ্য পরিষেবা বাস্তুতন্ত্র বজায় রাখার মৌলিক পূর্বশর্ত। চলমান নিয়ন্ত্রক পদক্ষেপগুলি দক্ষিণ কোরিয়ার সরকার কর্তৃক গুরুত্বপূর্ণ অবকাঠামো নিরাপত্তায় জবাবদিহিতা নিশ্চিত করার জন্য বর্ধিত অঙ্গীকারের ইঙ্গিত বহন করে।