Tata Motors-এর iRA অ্যাপে হ্যাকিংয়ের ঝুঁকি, সতর্ক করল CERT-In
নয়াদিল্লি: Tata Motors-এর গাড়ি সংক্রান্ত দুটি মোবাইল অ্যাপে একাধিক নিরাপত্তাজনিত দুর্বলতা চিহ্নিত করেছে ভারতের সাইবার নিরাপত্তা সংস্থা CERT-In। সংস্থার সতর্কবার্তা অনুযায়ী, এই ত্রুটিগুলিকে কাজে লাগিয়ে…
নয়াদিল্লি: Tata Motors-এর গাড়ি সংক্রান্ত দুটি মোবাইল অ্যাপে একাধিক নিরাপত্তাজনিত দুর্বলতা চিহ্নিত করেছে ভারতের সাইবার নিরাপত্তা সংস্থা CERT-In। সংস্থার সতর্কবার্তা অনুযায়ী, এই ত্রুটিগুলিকে কাজে লাগিয়ে হ্যাকাররা ব্যবহারকারীদের সংবেদনশীল তথ্য হাতিয়ে নিতে পারে। এমনকী গাড়ি সংক্রান্ত বিভিন্ন অনলাইন পরিষেবাতেও অননুমোদিত প্রবেশের আশঙ্কা রয়েছে। বিষয়টি সামনে আসার পর Tata Motors জানিয়েছে, সফটওয়্যার আপডেট এবং অতিরিক্ত নিরাপত্তা ব্যবস্থা চালু করে সমস্যাগুলি ইতিমধ্যেই সমাধান করা হয়েছে।
iRA 2.0 ও iRA.ev অ্যাপে চারটি নিরাপত্তা ত্রুটি
CERT-In-এর পরামর্শমূলক বিজ্ঞপ্তিতে Tata Motors-এর iRA 2.0-এর ২৬.৭.৩ এবং তার আগের সংস্করণ এবং iRA.ev-এর ২৬.৭.২ ও তার আগের সংস্করণে মোট চারটি দুর্বলতার কথা উল্লেখ করা হয়েছে। এই সমস্যাগুলিকে ‘High’ বা উচ্চ ঝুঁকির বলে চিহ্নিত করেছে সংস্থাটি।
প্রথম ত্রুটিটি অ্যাপের মধ্যেই কিছু গুরুত্বপূর্ণ তথ্য সংরক্ষণের পদ্ধতি নিয়ে। অ্যাপের প্যাকেজের মধ্যে হার্ডকোড করা সার্ভিস অ্যাকাউন্টের লগইন তথ্য, API Key এবং অথরাইজেশন টোকেন পাওয়া যেতে পারে। ফলে কোনও হ্যাকার অ্যাপে প্রবেশের অনুমতি ছাড়াই সেটি ডাউনলোড করে ওই তথ্য বের করে নিতে পারে। এর মাধ্যমে অ্যাপের ব্যাকএন্ড পরিষেবায় অননুমোদিত প্রবেশের সুযোগ তৈরি হতে পারে।
দ্বিতীয় দুর্বলতাটি অ্যাপের WebView ফিচারের সঙ্গে সম্পর্কিত। WebView-তে লোড হওয়া URL এবং ওয়েবসাইটের উৎস যথাযথভাবে যাচাই না করার কারণে ক্ষতিকর ওয়েব কনটেন্ট ব্যবহারকারীর অ্যাপে পৌঁছে যেতে পারে। CERT-In-এর আশঙ্কা, এর মাধ্যমে ব্যবহারকারীর সক্রিয় Bearer Authentication Token হাতিয়ে নিয়ে তাঁর পরিচয় ব্যবহার করে অ্যাপে প্রবেশ করতে পারে আক্রমণকারীরা।
লগ ও SSL নিরাপত্তাতেও সমস্যা
তৃতীয় ত্রুটিটি অ্যাপের লগিং ব্যবস্থায়। ডেভেলপমেন্ট এবং ডিবাগিংয়ের কাজে ব্যবহৃত অ্যাপ্লিকেশন লগে ব্যবহারকারীদের Authentication Token সংরক্ষিত হচ্ছিল। কোনও স্থানীয় আক্রমণকারী ওই লগে প্রবেশ করতে পারলে সেখান থেকে সেশন টোকেন সংগ্রহ করে ব্যবহারকারীর পরিচয়ে গাড়ি সংক্রান্ত তথ্য ও পরিষেবা ব্যবহারের চেষ্টা করতে পারে।
চতুর্থ সমস্যাটি SSL Certificate Pinning-এর সঠিক প্রয়োগ না হওয়া নিয়ে। এই নিরাপত্তা ব্যবস্থায় ত্রুটি থাকায় নেটওয়ার্কের মধ্যে তথ্য আদানপ্রদানের সময় কোনও আক্রমণকারী যোগাযোগের তথ্য আটকাতে বা পরিবর্তন করতে পারে। বিশেষ করে অ্যাপ এবং সংস্থার ব্যাকএন্ড সার্ভারের মধ্যে আদানপ্রদান হওয়া তথ্যের নিরাপত্তা এতে বিঘ্নিত হওয়ার আশঙ্কা রয়েছে।
কী জানাল Tata Motors?
CERT-In-এর সতর্কবার্তার পর Tata Motors Passenger Vehicles জানিয়েছে, সফটওয়্যার আপডেট এবং উন্নত নিরাপত্তা ব্যবস্থার মাধ্যমে চিহ্নিত দুর্বলতাগুলি দূর করা হয়েছে। iRA 2.0-এর জন্য ২৬.৮.২ সংস্করণ এবং iRA.ev-এর জন্য ২৬.৯.১ সংস্করণের আপডেট যথাক্রমে ২০২৬ সালের অগস্ট ও সেপ্টেম্বরে চালু করা হয়েছে।
সংস্থার এক মুখপাত্র জানিয়েছেন, CERT-In-এর পরামর্শ মেনেই এই আপডেটগুলি বাধ্যতামূলক করা হয়েছে। ব্যবহারকারীরা সংশ্লিষ্ট অ্যাপ খুললেই আপডেটের বিজ্ঞপ্তি পাবেন। কয়েক মিনিটের মধ্যেই Over-the-Air পদ্ধতিতে আপডেট সম্পন্ন করা সম্ভব।
Tata Motors-এর দাবি, সক্রিয় ব্যবহারকারীদের ক্ষেত্রে আপডেট পৌঁছে দেওয়ার কাজ সম্পূর্ণ হয়েছে। যাঁরা এখনও আপডেট করেননি, তাঁদের সঙ্গেও সরাসরি যোগাযোগ করছে সংস্থা।
গ্রাহকদের কী করতে হবে?
CERT-In-এর পরামর্শ অনুযায়ী, iRA 2.0 ব্যবহারকারীদের অ্যাপটি ২৬.৮.২ সংস্করণে এবং iRA.ev ব্যবহারকারীদের ২৬.৯.১ সংস্করণে আপডেট করতে হবে। পুরনো সংস্করণ ব্যবহার করলে নিরাপত্তার ঝুঁকি থেকে যেতে পারে।
Tata Motors-এর দাবি, তাদের অভ্যন্তরীণ মূল্যায়নে গ্রাহকদের ব্যক্তিগত তথ্য, গাড়ি সংক্রান্ত তথ্য এবং লগইন সংক্রান্ত তথ্য সুরক্ষিত রয়েছে। এখনও পর্যন্ত গ্রাহকদের তথ্য বা পরিচয়সংক্রান্ত তথ্যের অননুমোদিত ব্যবহার কিংবা নিরাপত্তা লঙ্ঘনের কোনও প্রমাণ পাওয়া যায়নি বলেও জানিয়েছে সংস্থা। পাশাপাশি, গ্রাহকদের তথ্য সুরক্ষিত রাখতে নিজেদের সিস্টেমের উপর নজরদারি চালিয়ে যাচ্ছে তারা।
Essential Business Intelligence, Sharp Market Insights, Practical Personal Finance Advice, Daily Fuel, Gold and Silver Prices and Latest Stories – On Kolkata24x7 Business