Accenture-এর 2026 সালের তথ্য ফাঁস

Accenture-এর একমাত্র সুনির্দিষ্ট প্রকাশ্য বিবৃতিতে বলা হয়েছে, ঘটনাটি বিচ্ছিন্ন ছিল, এর মূলে থাকা সমস্যার সমাধান করা হয়েছে এবং কার্যক্রম ও সেবা প্রদান অক্ষত ছিল। প্রতিষ্ঠানটি সংবাদমাধ্যমগুলোর কাছে নিশ্চিত করেছে যে তাদের প্রযুক্তিগত পরিবেশের সঙ্গে সম্পর্কিত একটি নিরাপত্তা লঙ্ঘনের ঘটনা ঘটেছে, তবে কীভাবে প্রবেশ করা হয়েছিল তা ব্যাখ্যা করেনি। ব্যক্তিগত তথ্য, কর্মীদের তথ্য বা গ্রাহকদের তথ্য উন্মুক্ত হয়েছে কি না, তাও নিশ্চিত করেনি। ফলে তথ্যের শ্রেণিবিন্যাস কেবল ‘প্রতিষ্ঠানের অভ্যন্তরীণ তথ্য’, এই বিস্তৃত শ্রেণির মধ্যেই সীমিত।

ব্যক্তি, গ্রাহক, ফাইল বা বাইটের মোট সংখ্যা, ঘটনার স্থায়িত্ব কিংবা প্রভাবিত সিস্টেম সম্পর্কে Accenture কোনো যাচাইকৃত হিসাব প্রকাশ করেনি। বিশ্বজুড়ে তাদের কর্মীসংখ্যা, গ্রাহকতালিকা ও প্রকল্পের পরিমাণকে এই ঘটনার পরিসর হিসেবে ধরা যায় না। প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যাও প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না।

হামলাকারী প্রায় 35 GB সোর্স কোড, কনফিগারেশন ফাইল, Azure-এর পার্সোনাল অ্যাক্সেস টোকেন, Azure-এর স্টোরেজ অ্যাক্সেস কী, RSA কী ও SSH কী নেওয়ার দাবি করেছে। তথ্য নিজের কাছে থাকার প্রমাণ হিসেবে একটি স্ক্রিনশটও পোস্ট করা হয়েছিল, যা একটি ব্যক্তিগত Azure DevOps রেপোজিটরির মতো দেখাচ্ছিল। এসব বিবরণের ভিত্তিতে অনুসন্ধান শুরু হয়, কিন্তু এগুলোকে নিশ্চিত তথ্যের শ্রেণি হিসেবে উপস্থাপন করা হচ্ছে না। কারণ Accenture তথ্যের পরিমাণ বা ফাইলের ধরন নিশ্চিত করেনি এবং BleepingComputer স্বাধীনভাবে পুরো পরিসর যাচাই করতে পারেনি।

একটি স্ক্রিনশট কোনো একটি রেপোজিটরিতে প্রবেশের সম্ভাবনাকে সমর্থন করতে পারে, কিন্তু তা দিয়ে একটি সম্পূর্ণ আর্কাইভে কী আছে, তা কতটা হালনাগাদ বা তার মোট পরিমাণ কত, এসব প্রতিষ্ঠা করা যায় না। একইভাবে, অনলাইনে বিক্রির একটি পোস্ট একাই তথ্যের অখণ্ডতা বা উৎস প্রমাণের জন্য যথেষ্ট নয়।

হামলাকারীর ভাষ্য অনুযায়ী, ঘটনাটি 2026 সালের জুলাইয়ের শুরুর দিকে ঘটেছিল। BleepingComputer 7 জুলাই Accenture-এর নিশ্চিতকরণ প্রকাশ করে। এরপর 8 জুলাই SecurityWeek ও Cybersecurity Dive তা প্রকাশ করে। Accenture প্রথম প্রবেশের তারিখ বা ঘটনাটি শনাক্ত করার তারিখ জানায়নি।

Accenture ঘটনার মূলে থাকা সমস্যার সমাধান করেছে বলে জানালেও কী প্রযুক্তিগত প্রতিকার নেওয়া হয়েছে, কখন প্রবেশাধিকার বন্ধ করা হয়েছে বা স্বাধীন ফরেনসিক পর্যালোচনার ফল কী ছিল, তা বর্ণনা করেনি। বিবৃতিটি সংক্ষিপ্ত বলে ঘটনাটি অবাস্তব হয়ে যায় না; বরং এর অর্থ হলো, বিস্তারিত পরিসর এখনো অজানা। নিয়ন্ত্রক সংস্থায় দাখিল করা কোনো নথি বা প্রতিষ্ঠানের আরও পূর্ণাঙ্গ প্রতিবেদন প্রকাশিত হলে, সেই অধিক নির্ভরযোগ্য প্রমাণের ভিত্তিতে তারিখ, তথ্যের ধরন ও ক্ষতিগ্রস্তের সংখ্যা হালনাগাদ করা উচিত।

সোর্স কোড বা সক্রিয় অ্যাক্সেস কী সত্যিই সংগ্রহ করা হয়ে থাকলে, হামলাকারীরা অ্যাপ্লিকেশনের কার্যপ্রণালি পরীক্ষা করতে, দুর্বল কনফিগারেশন খুঁজতে বা ক্লাউড রিসোর্সে প্রবেশের চেষ্টা করতে পারে। এসব ঝুঁকির সম্ভাবনা নির্ভর করে দাবি করা উপকরণগুলো আসল, হালনাগাদ ও ব্যবহারযোগ্য কি না, তার ওপর।

কেবল অনলাইন বাজারে করা দাবির ভিত্তিতে Accenture-এর গ্রাহক, অংশীদার ও কর্মীদের নিজেদের সরাসরি ক্ষতিগ্রস্ত বলে ধরে নেওয়া উচিত নয়। তবে Accenture-এর প্রকল্প, কোড রেপোজিটরি বা ক্লাউড অ্যাক্সেসের সঙ্গে যুক্ত দলগুলো ঝুঁকিভিত্তিক সতর্কতা হিসেবে অস্বাভাবিক পরিচয় যাচাই, রেপোজিটরিতে প্রবেশ ও গোপন অ্যাক্সেস তথ্যের ব্যবহার পর্যালোচনা করতে পারে। অপ্রত্যাশিতভাবে ফাইল শেয়ার করা, পাসওয়ার্ড রিসেট করা বা প্রবেশাধিকার চাওয়ার অনুরোধ এলে তা পৃথক যোগাযোগমাধ্যমে যাচাই করা উচিত।

প্রতিষ্ঠানের একজন মুখপাত্র তিনটি সংবাদমাধ্যমকেই বলেছেন যে ঘটনার মূলে থাকা সমস্যার সমাধান করা হয়েছে এবং কার্যক্রম বা সেবা প্রদানে কোনো প্রভাব পড়েনি। ব্যবসায়িক কার্যক্রম অব্যাহত থাকার ক্ষেত্রে এটি একটি ইতিবাচক প্রাথমিক ইঙ্গিত, তবে এটি ব্যক্তিগত তথ্যসংক্রান্ত প্রভাবের সম্পূর্ণ পরিসর প্রমাণকারী কোনো পূর্ণাঙ্গ ফরেনসিক প্রতিবেদন নয়। হামলাকারী, প্রথম প্রবেশের পদ্ধতি, ঘটনার স্থায়িত্ব, সম্ভাব্য কোনো দাবি বা গ্রাহকদের অবহিত করার বিষয়ে Accenture আর কোনো বিস্তারিত তথ্য দেয়নি।

ঘটনাটিকে প্রতিষ্ঠানটি যে “বিচ্ছিন্ন বিষয়” হিসেবে বর্ণনা করেছে, তা তাদের বর্তমান প্রকাশ্য মূল্যায়নকে তুলে ধরে। দাবিতে উল্লেখ করা গোপন অ্যাক্সেস তথ্য বাতিল করা হয়েছে কি না বা রেপোজিটরিগুলো নতুন করে তৈরি করা হয়েছে কি না, Accenture তা জানায়নি। তাই কোনো নির্দিষ্ট প্রতিকারমূলক পদক্ষেপ নেওয়া হয়েছে বলে ধরে নিয়ে তা উল্লেখ করা হয়নি; প্রতিষ্ঠানটি ঘটনার মূলে থাকা সমস্যার সমাধান করেছে বলে যে নিশ্চিতকরণ দিয়েছে, শুধু সেটিই নথিভুক্ত করা হয়েছে।

এই বিবরণ প্রতিষ্ঠানটির প্রকৃত স্বীকারোক্তির ওপর নির্ভর করে, তবে ইচ্ছাকৃতভাবে এর পরিসর সীমিত রাখা হয়েছে, যাতে হামলাকারীর অযাচাইকৃত বিবরণগুলোকে সত্য হিসেবে উপস্থাপন করা না হয়। ‘প্রতিষ্ঠানের অভ্যন্তরীণ তথ্য’ শ্রেণিটি এমন একটি তথ্য লঙ্ঘনকে বোঝায়, যা প্রতিষ্ঠানটি নিশ্চিত করেছে কিন্তু নির্দিষ্ট তথ্যক্ষেত্রের নাম জানায়নি। সোর্স কোড, Azure টোকেন, স্টোরেজ কী, RSA কী ও SSH কী-কে এই লেখায় স্পষ্টভাবে হামলাকারীর দাবি হিসেবে বর্ণনা করা হয়েছে; যাচাইকৃত তথ্যের শ্রেণি হিসেবে গণ্য করা হয়নি।

যাচাইকৃত সিদ্ধান্ত হলো, Accenture 2026 সালের জুলাই মাসে একটি বিচ্ছিন্ন নিরাপত্তা ঘটনার সম্মুখীন হয়েছে এবং এর মূলে থাকা সমস্যার সমাধান করেছে। প্রতিষ্ঠানটি জানিয়েছে, কার্যক্রম বা সেবা প্রদানে কোনো প্রভাব পড়েনি। তবে কতজন ব্যক্তি ক্ষতিগ্রস্ত হয়েছেন, গ্রাহকদের ওপর কী প্রভাব পড়েছে, কী ধরনের তথ্য জড়িত ছিল এবং কোন প্রযুক্তিগত পথে প্রবেশ করা হয়েছিল, এসব এখনো নিশ্চিত নয়। পাঠকদের 35 GB-এর মতো পরিমাণকে ঘটনার নিশ্চিত পরিসর হিসেবে গণ্য করা উচিত নয়। ভবিষ্যতে প্রতিষ্ঠান বা নিয়ন্ত্রক সংস্থার কোনো নথি প্রকাশিত হলে সেগুলোকে বেশি গুরুত্ব দেওয়া উচিত।