एपको सुरक्षा कमजोरीका कारण होटल क्षेत्रको ठूलो कम्पनी वाइन्डह्यामका ग्राहकको व्यक्तिगत विवरण सार्वजनिक

काठमाडौं ।

होटल तथा रिसोर्ट क्षेत्रको ठूलो कम्पनी वाइन्डह्यामले साइबर सुरक्षा घटना भएको स्वीकार गरेको छ। एक सुरक्षा अनुसन्धानकर्ताले कम्पनीको एपमा रहेको कमजोरी पत्ता लगाएपछि ग्राहकहरूको व्यक्तिगत विवरणमा जोकोहीले पहुँच पाउन सक्ने अवस्था रहेको खुलेको हो।

‘ह्वाट सेक्युरिटी’ का सुरक्षा अनुसन्धानकर्ता रोबर्ट विगिन्सले टेकक्रन्चलाई विशेष जानकारी दिँदै वाइन्डह्यामको एन्ड्रोइड एपको स्रोत कोडभित्र एउटा पासवर्ड फेला पारेको बताए। उक्त पासवर्ड प्रयोग गरेर प्रविधि कम्पनी सेल्सफोर्सले सञ्चालन गरेको कम्पनीको आन्तरिक डाटाबेसमा पहुँच पाउन सकिन्थ्यो।

विगिन्सका अनुसार उक्त पासवर्डका कारण ग्राहकका नाम, इमेल ठेगाना र वाइन्डह्याम सदस्यता नम्बरजस्ता व्यक्तिगत विवरण सार्वजनिक हुने जोखिम थियो। उक्त डाटाबेसमा ग्राहकलाई पटक-पटक पासवर्ड प्रविष्ट नगरी एपमा लगइन रहन सहयोग गर्ने लगइन टोकन (JWT) समेत भण्डारण गरिएको थियो। यसका साथै डाटाबेसमा वाइन्डह्यामका फाइल तथा कागजातहरू पनि थिए।

विगिन्सका अनुसार उक्त डाटाबेसमा लाखौँ प्रविष्टिहरू थिए। तर, कति ग्राहकका विवरण सार्वजनिक भएका थिए भन्ने यकिन संख्या पत्ता लगाउन उनी सफल भएनन्। वाइन्डह्यामले आफ्नो रिवार्ड्स कार्यक्रममा करिब १२ करोड ९० लाख सदस्य आबद्ध रहेको बताउँदै आएको छ।

अनुसन्धानकर्ता विगिन्सले वाइन्डह्यामसँग सुरक्षा कमजोरीबारे जानकारी गराउने कुनै व्यवस्था नभएको बताए। त्यसैले उनले कम्पनीलाई यसबारे जानकारी गराउन टेकक्रन्चको सहयोग मागेका थिए। टेकक्रन्चले वाइन्डह्यामको साइबर सुरक्षा टोलीसँग सम्पर्क गरेपछि केही समयमै सार्वजनिक भएको पासवर्ड निष्क्रिय पारियो। यससँगै डाटाबेसमा थप पहुँच रोकिएको थियो।

वाइन्डह्यामका एक प्रवक्ताले भने, “हाम्रो टोलीले यस समस्यालाई सम्बोधन गर्न आवश्यक कदम चालेको छ।” उनले थपे, “हाम्रो सुरक्षा टोलीसँग अनधिकृत पहुँच भएको कुनै प्रमाण छैन।” तर, कम्पनीले यस दाबीबारे थप विवरण भने दिएको छैन।

ग्राहकको डाटाबेसमा विगिन्सले कमजोरी पत्ता लगाउनुअघि कसैले पहुँच बनाएको थियो वा थिएन भन्ने पत्ता लगाउन कम्पनीसँग सर्भर लगजस्ता प्राविधिक माध्यम उपलब्ध छन् कि छैनन् भनेर सोध्दा वाइन्डह्यामका प्रवक्ताले जवाफ दिन अस्वीकार गरे।

सार्वजनिक भएका विवरणसँग सम्बन्धित ग्राहकलाई जानकारी गराउने  र अमेरिकाको धितोपत्र तथा विनिमय आयोग (एसईसी) जस्ता नियामक निकायलाई यस घटनाबारे जानकारी गराउने योजना छ कि छैन भन्ने प्रश्नमा  वाइन्डह्यामले यसबारे कुनै जवाफ नदिएको टेकक्रञ्चले उल्लेख गरेको छ।

वाइन्डह्यामका प्रवक्ताले ग्राहकको एपमा उक्त पासवर्ड कति समयदेखि राखिएको थियो र एपको दीर्घकालीन सुरक्षा समस्या समाधान गर्न कम्पनीले कस्तो योजना बनाएको छ भन्नेबारे पनि जानकारी दिन चाहेनन्।

एप तथा सफ्टवेयर विकासकर्ताहरूले सार्वजनिक रूपमा उपलब्ध गराइने सफ्टवेयर र एपमा पासवर्ड वा अन्य पहुँच विवरण राख्ने काम सामान्यतया गर्दैनन्। यस्तो प्रक्रियालाई ‘हार्डकोडिङ’ भनिन्छ। किनभने सफ्टवेयरको प्रतिलिपि प्राप्त गर्ने जोकोहीले त्यसमा राखिएको पासवर्ड निकालेर सम्बन्धित सर्भर वा डाटाबेसमा पहुँच बनाउन सक्छ।

पहुँचसम्बन्धी विवरणको दुरुपयोग गर्न निकै सजिलो हुने भएकाले हार्डकोड गरिएका पासवर्डका धेरै घटनालाई स्वतः जोखिमको उच्चतम स्तरमा वर्गीकरण गरिन्छ।

टेकक्रन्चले सार्वजनिक भएका विवरणसँग सम्बन्धित ग्राहकलाई जानकारी गराउने कम्पनीको योजना छ कि छैन भन्ने पनि सोधेको थियो। साथै, अमेरिकाको धितोपत्र तथा विनिमय आयोग (एसईसी) जस्ता नियामक निकायलाई यस घटनाबारे जानकारी गराउने योजना छ कि छैन भन्ने प्रश्न पनि गरिएको थियो। महत्त्वपूर्ण साइबर सुरक्षा घटना भएमा सार्वजनिक कम्पनीहरूले नियामक निकायलाई जानकारी गराउनुपर्ने व्यवस्था छ। तर, वाइन्डह्यामले यसबारे कुनै जवाफ दिएन।

वाइन्डह्यामका प्रवक्ताले ग्राहकको एपमा उक्त पासवर्ड कति समयदेखि राखिएको थियो र एपको दीर्घकालीन सुरक्षा समस्या समाधान गर्न कम्पनीले कस्तो योजना बनाएको छ भन्नेबारे पनि जानकारी दिन चाहेनन्।

एप तथा सफ्टवेयर विकासकर्ताहरूले सार्वजनिक रूपमा उपलब्ध गराइने सफ्टवेयर र एपमा पासवर्ड वा अन्य पहुँच विवरण राख्ने काम सामान्यतया गर्दैनन्। यस्तो प्रक्रियालाई ‘हार्डकोडिङ’ भनिन्छ। किनभने सफ्टवेयरको प्रतिलिपि प्राप्त गर्ने जोकोहीले त्यसमा राखिएको पासवर्ड निकालेर सम्बन्धित सर्भर वा डाटाबेसमा पहुँच बनाउन सक्छ।

पहुँचसम्बन्धी विवरणको दुरुपयोग गर्न निकै सजिलो हुने भएकाले हार्डकोड गरिएका पासवर्डका धेरै घटनालाई स्वतः जोखिमको उच्चतम स्तरमा वर्गीकरण गरिन्छ।

टेकक्रन्चले सार्वजनिक भएका विवरणसँग सम्बन्धित ग्राहकलाई जानकारी गराउने कम्पनीको योजना छ कि छैन भन्ने पनि सोधेको थियो। साथै, अमेरिकाको धितोपत्र तथा विनिमय आयोग (एसईसी) जस्ता नियामक निकायलाई यस घटनाबारे जानकारी गराउने योजना छ कि छैन भन्ने प्रश्न पनि गरिएको थियो। महत्त्वपूर्ण साइबर सुरक्षा घटना भएमा सार्वजनिक कम्पनीहरूले नियामक निकायलाई जानकारी गराउनुपर्ने व्यवस्था छ। तर, वाइन्डह्यामले यसबारे कुनै जवाफ दिएन।

वाइन्डह्यामका प्रवक्ताले ग्राहकको एपमा उक्त पासवर्ड कति समयदेखि राखिएको थियो र एपको दीर्घकालीन सुरक्षा समस्या समाधान गर्न कम्पनीले कस्तो योजना बनाएको छ भन्नेबारे पनि जानकारी दिन चाहेनन्।

एप तथा सफ्टवेयर विकासकर्ताहरूले सार्वजनिक रूपमा उपलब्ध गराइने सफ्टवेयर र एपमा पासवर्ड वा अन्य पहुँच विवरण राख्ने काम सामान्यतया गर्दैनन्। यस्तो प्रक्रियालाई ‘हार्डकोडिङ’ भनिन्छ। किनभने सफ्टवेयरको प्रतिलिपि प्राप्त गर्ने जोकोहीले त्यसमा राखिएको पासवर्ड निकालेर सम्बन्धित सर्भर वा डाटाबेसमा पहुँच बनाउन सक्छ।

पहुँचसम्बन्धी विवरणको दुरुपयोग गर्न निकै सजिलो हुने भएकाले हार्डकोड गरिएका पासवर्डका धेरै घटनालाई स्वतः जोखिमको उच्चतम स्तरमा वर्गीकरण गरिन्छ।

विगिन्सका लागि दुई साताभित्र सार्वजनिक भएको हार्डकोड गरिएको पासवर्डसम्बन्धी यो दोस्रो सुरक्षा कमजोरी हो। यसअघि उनले एप्पलबीजको एपमा पनि यस्तै प्रकृतिको सुरक्षा कमजोरी फेला पारेका थिए, जसका कारण ग्राहकका व्यक्तिगत विवरण सार्वजनिक भएका थिए।

दुवै सुरक्षा कमजोरी पत्ता लगाउन विगिन्सले कृत्रिम बुद्धिमत्तामा आधारित उपकरणहरूको प्रयोग गरेका थिए। यस्ता उपकरणले डिकम्पाइल गरिएको एपको हजारौँ लाइनको कोड प्रत्येक सेकेन्डमा जाँच गरेर हार्डकोड गरिएका पासवर्डजस्ता सामान्य सुरक्षा कमजोरी पहिचान गर्न सहज बनाउँछन्।

वाइन्डह्यामले समस्या समाधान गरेकोमा आफू खुसी भए पनि विगिन्सले टेकक्रन्चलाई भने, विगतमा डाटाबेसमा भएका गतिविधिबारे जानकारी नहुँदा खराब नियत भएको व्यक्तिले ग्राहकका ठूलो परिमाणका व्यक्तिगत विवरण चुहाउन सक्ने सम्भावना थियो।

बाह्य सुरक्षा अनुसन्धानकर्ता तथा ह्याकरहरूलाई सुरक्षा कमजोरीबारे गोप्य रूपमा जानकारी गराउन दिने कार्यक्रम सञ्चालन गर्ने योजना छ कि छैन भन्नेबारे पनि कम्पनीले केही बताएन।

उक्त घटनामा प्रतिक्रिया दिएका वाइन्डह्यामका साइबर सुरक्षा निर्देशक माइकल फ्रान्सेसले सम्भावित सुरक्षा समस्याबारे विवरणसहित  इमेल गरेर जानकारी गराउन सकिने बताए। तर, अनुसन्धानकर्ताहरूले कम्पनीलाई सहज रूपमा जानकारी गराउन सक्ने व्यवस्था गर्न आफ्नो वेबसाइट परिवर्तन गर्ने योजना छ कि छैन भन्ने प्रश्नमा कम्पनीका प्रवक्ताले जवाफ दिएनन्।

पछिल्ला केही वर्षमा वाइन्डह्यामसँग सम्बन्धित सार्वजनिक भएको यो पछिल्लो सुरक्षा घटना हो। सन् २०२४ मा एक सुरक्षा अनुसन्धानकर्ताले वाइन्डह्यामका केही होटलमा चेक-इनका लागि प्रयोग हुने कम्प्युटरहरूमा रिमोट एक्सेस स्पाइवेयर सञ्चालन भइरहेको फेला पारेका थिए। उक्त स्पाइवेयरले होटलका पाहुनाको विवरण र बुकिङसम्बन्धी जानकारीका स्क्रिनसटहरू सार्वजनिक इन्टरनेटमा पठाइरहेको थियो।

यसअघि होटलका कम्प्युटरमा फेला परेको pcTattletale नामक स्पाइवेयर एप नै ह्याक भयो। त्यसका ग्राहकसम्बन्धी ठूलो परिमाणका विवरण चोरी भएपछि कम्पनीका मालिक ब्रायन फ्लेमिङले कम्पनी बन्द गर्नुपरेको थियो।

मिचिगनका पूर्वबासिन्दा फ्लेमिङलाई पछि संघीय अधिकारीहरूले पक्राउ गरेका थिए। सन् २०२६ अप्रिल ६ मा उनी गैरकानुनी स्पाइवेयर निर्माण, बिक्री तथा विज्ञापन गरेको अभियोगमा दोषी ठहर भएका थिए।