Ericsson US-এর সেবা প্রদানকারীর 2025 সালের তথ্য ফাঁস

ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের কাছে দাখিল করা Ericsson-এর নমুনা বিজ্ঞপ্তিতে বলা হয়েছে, সেবা প্রদানকারী Ericsson-এর কর্মী ও গ্রাহকদের ব্যক্তিগত তথ্য সংরক্ষণ করত এবং কিছু ফাইলে অনুমতি ছাড়া প্রবেশ করা হয়ে থাকতে পারে বা সেগুলো সংগ্রহ করা হয়ে থাকতে পারে। মেইনের অ্যাটর্নি জেনারেলের নথিতে প্রভাবিত ব্যক্তির মোট সংখ্যা 15,661 বলা হয়েছে। এসব নথি থেকে প্রতিষ্ঠিত হয় যে এটি কোম্পানির জানানো তৃতীয় পক্ষের তথ্য ফাঁসের ঘটনা, কেবল কোনো হামলাকারীর দাবি নয়।

BleepingComputer নিয়ন্ত্রক সংস্থাগুলোর কাছে দাখিল করা নথি তুলনা করে অননুমোদিত প্রবেশের সম্ভাব্য সময়সীমা, তদন্তের তারিখ, ব্যক্তির মোট সংখ্যা এবং টেক্সাসের প্রতিবেদনে উল্লেখ করা তথ্যের ধরনগুলো প্রকাশ করেছে। Ericsson-এর একজন মুখপাত্র চিঠিতে দেওয়া তথ্যের বাইরে আর কোনো বিস্তারিত তথ্য দেননি।

ব্যক্তিভেদে অঙ্গরাজ্যগুলোর কাছে দাখিল করা নথিতে নাম, ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর এবং পাসপোর্ট বা অঙ্গরাজ্যের পরিচয়পত্রের মতো সরকারি পরিচয়পত্রের নম্বর উল্লেখ রয়েছে। সেখানে অ্যাকাউন্ট নম্বর ও ক্রেডিট বা ডেবিট কার্ড নম্বরের মতো আর্থিক তথ্য, চিকিৎসাসংক্রান্ত তথ্য এবং জন্মতারিখও উল্লেখ করা হয়েছে। সব ধরনের তথ্যই 15,661 জনের প্রত্যেকের ক্ষেত্রে ছিল বলে ধরে নেওয়া উচিত নয়।

এসব তথ্য ব্যবহার করে পরিচয় চুরি, প্রতারণামূলকভাবে অ্যাকাউন্ট খোলা, অ্যাকাউন্টের নিয়ন্ত্রণ দখল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা করা সম্ভব। নিয়ন্ত্রক সংস্থার কাছে দাখিল করা নথিতে আর্থিক তথ্যের ধরন সুনির্দিষ্টভাবে উল্লেখ করা হয়নি বলে LeakData ধরে নিচ্ছে না যে সেখানে PINs, CVVs, পাসওয়ার্ড বা নিরাপত্তা প্রশ্ন ছিল। চিকিৎসাসংক্রান্ত তথ্যকেও সাধারণ একটি শ্রেণি হিসেবেই উল্লেখ করা হচ্ছে, কারণ কোনো নির্দিষ্ট রোগনির্ণয়, চিকিৎসা বা ব্যবস্থাপত্রের বিস্তারিত তথ্য প্রকাশ করা হয়নি।

প্রভাবিত সিস্টেমটি কোম্পানির প্রধান নেটওয়ার্কের অংশ ছিল না; এটি এমন একটি সেবা প্রদানকারীর ছিল, যারা Ericsson-এর হয়ে কর্মী ও গ্রাহকদের তথ্য সংরক্ষণ করত। তবু ওই তথ্য এবং প্রভাবিত ব্যক্তিদের কাছে পাঠানো বিজ্ঞপ্তির সঙ্গে Ericsson Inc.-এর সরাসরি সম্পর্ক রয়েছে। তাই LeakData ঘটনাটিকে Ericsson US-এর প্রেক্ষাপটেই রেখেছে, একই সঙ্গে স্পষ্টভাবে জানাচ্ছে যে এর উৎস ছিল তৃতীয় পক্ষের একটি সেবা প্রদানকারী।

প্রকাশ্য বিজ্ঞপ্তিতে সেবা প্রদানকারীর নাম উল্লেখ করা হয়নি। এই অনুল্লেখের ভিত্তিতে কোনো সরবরাহকারীর নাম অনুমান করা বা অন্য সম্ভাব্য গ্রাহকদের স্বয়ংক্রিয়ভাবে এই ঘটনার সঙ্গে যুক্ত করা যুক্তিসংগত নয়। এই নথি শুধু নিয়ন্ত্রক সংস্থাগুলোর নথিতে Ericsson-এর কর্মী ও গ্রাহকদের ক্ষেত্রে নিশ্চিত হওয়া পরিসরটুকুই তুলে ধরে; মূল কোম্পানির বিশ্বজুড়ে সব কর্মীকে এই ঘটনার আওতায় ধরা হয় না।

আনুষ্ঠানিক সূত্রে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। সংখ্যাটি Ericsson-এর বিশ্বজুড়ে আনুমানিক কর্মীসংখ্যা, গ্রাহকসংখ্যা বা সংরক্ষিত ফাইলের পরিমাণ থেকে অনুমান করা হয়নি। শিরোনামে সংখ্যা সরল করে 15,000-এর বেশি বলার পরিবর্তে অঙ্গরাজ্যের নথিতে উল্লেখ করা ঘটনাটির মোট সংখ্যাকেই অগ্রাধিকার দেওয়া হয়েছে।

এই মোট সংখ্যার অর্থ নয় যে প্রতিটি ধরনের তথ্য 15,661 বার ছিল। বিজ্ঞপ্তিগুলোতে বলা হয়েছে, তথ্যের ধরন ব্যক্তিভেদে ভিন্ন হতে পারে এবং ফাইলগুলোতে কর্মী ও গ্রাহক, উভয়ের তথ্য ছিল।

সেবা প্রদানকারী FBI-কে জানিয়েছে, বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের নিযুক্ত করেছে এবং প্রভাবিত ফাইলগুলো পর্যালোচনা করেছে। যাঁদের বিজ্ঞপ্তি পাঠানো হয়েছে, তাঁদের জন্য Ericsson IDX-এর পরিচয় সুরক্ষা, ক্রেডিট পর্যবেক্ষণ, ডার্ক ওয়েব পর্যবেক্ষণ, পরিচয় চুরির পর পুনরুদ্ধারে সহায়তা এবং পরিচয়ভিত্তিক প্রতারণায় হওয়া ক্ষতির জন্য সর্বোচ্চ 10 লাখ ডলার পর্যন্ত ক্ষতিপূরণ কভারেজের প্রস্তাব দিয়েছে। সেবা প্রদানকারী জানিয়েছে, বিজ্ঞপ্তি দেওয়ার সময় পর্যন্ত তারা তথ্যের অপব্যবহারের কোনো প্রমাণ পায়নি।

আপনি এই ঘটনার আওতায় পড়ে থাকলে, প্রস্তাবিত সুরক্ষা সুবিধার জন্য নির্ধারিত সময়সীমার আগেই নিবন্ধন করুন, ক্রেডিট রিপোর্ট এবং ব্যাংক বা কার্ডের লেনদেন পর্যালোচনা করুন এবং অপরিচিত কোনো আবেদন দেখলে আপত্তি জানান। যাঁদের সোশ্যাল সিকিউরিটি বা সরকারি পরিচয়পত্রের তথ্য এই ঘটনার অন্তর্ভুক্ত ছিল, তাঁরা ফ্রড অ্যালার্ট বা ক্রেডিট ফ্রিজ চালু করার কথা বিবেচনা করতে পারেন। কোনো অপব্যবহার শনাক্ত হয়নি, এমন বক্তব্য ভবিষ্যতের ঝুঁকি দূর করে না।

ঘটনাটি 28 এপ্রিল শনাক্ত হয়, তথ্য পর্যালোচনা 2026 সালের 23 ফেব্রুয়ারি শেষ হয় এবং এরপর 2026 সালের মার্চে প্রকাশ্য বিজ্ঞপ্তি দেওয়া হয়। মাঝের এই সময়টুকু জুড়ে একটানা হামলা চলেছে, এমন অর্থ করা যায় না; ফাইলগুলো তদন্ত করা এবং প্রভাবিত ব্যক্তিদের শনাক্ত করতে যে সময় লেগেছে, এটি তার প্রতিফলন।

যাচাই করা মোট সংখ্যা হলো Ericsson Inc.-এর 15,661 জন কর্মী ও গ্রাহক। ব্যক্তিভেদে তথ্যের মধ্যে নাম, ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স ও অন্যান্য সরকারি পরিচয়পত্র, আর্থিক তথ্য, চিকিৎসাসংক্রান্ত তথ্য এবং জন্মতারিখ থাকতে পারে। সেবা প্রদানকারী ও হামলাকারীর পরিচয় এবং প্রবেশের সুনির্দিষ্ট পদ্ধতি প্রকাশ করা হয়নি, তাই এই নথিতে সেসব বিষয়ে কোনো অনুমান করা হয়নি।