Estée Lauder-এর 2025 সালের তথ্য ফাঁস

প্রভাবিত তথ্য ব্যক্তি অনুযায়ী ভিন্ন ছিল। এর মধ্যে নাম, ডাক ও ইমেইল ঠিকানা, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর এবং পাসপোর্ট নম্বর অন্তর্ভুক্ত ছিল। সংগ্রহ করা ফাইলগুলোতে ব্যাংক অ্যাকাউন্ট নম্বর, স্বাস্থ্যসংক্রান্ত তথ্য এবং কর্মদক্ষতার মূল্যায়ন ও বেতন প্রদানের ইতিহাসের মতো চাকরিসংক্রান্ত নথিও থাকতে পারে।

ক্ষতিগ্রস্ত প্রত্যেক ব্যক্তির তালিকাভুক্ত সব ধরনের তথ্যই উন্মুক্ত হয়েছে, প্রতিষ্ঠানটি এমন কথা বলেনি। তা সত্ত্বেও পরিচয়সংক্রান্ত, আর্থিক, স্বাস্থ্যসংক্রান্ত ও চাকরিসংক্রান্ত তথ্য একসঙ্গে থাকায় পরিচয় চুরি, নতুন অ্যাকাউন্ট খুলে প্রতারণা, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা এবং কর্মীদের লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বাড়ে।

প্রতিষ্ঠানটি জানিয়েছে, ঘটনাটির সঙ্গে মানবসম্পদ ব্যবস্থাপনার কাজে ব্যবহৃত Oracle E-Business Suite সিস্টেমের একটি নিরাপত্তা দুর্বলতা জড়িত ছিল। তবে অবহিতকরণ চিঠিতে কোনো CVE-এর নাম উল্লেখ করা হয়নি বা আক্রমণকারীকে শনাক্ত করা হয়নি। নিরাপত্তা গবেষকেরা লক্ষ্য করেছেন, সিস্টেমে প্রবেশের তারিখটি 2025 সালে Oracle EBS ইনস্টলেশনগুলোকে লক্ষ্য করে চালানো একটি ব্যাপক তথ্য চুরির অভিযানের সময়সীমার মধ্যে পড়ে। ওই অভিযানে CVE-2025-61882-সহ বেশ কয়েকটি নিরাপত্তা দুর্বলতা কাজে লাগানো হয়েছিল।

সময়ের এই মিল প্রমাণ করে না যে Cl0p নামে পরিচিত গোষ্ঠীটি Estée Lauder-এর ঘটনার জন্য দায়ী ছিল। তাই এই নথিতে প্রতিষ্ঠান কর্তৃক নিশ্চিত করা Oracle EBS-এর নিরাপত্তা দুর্বলতা ও তথ্যে প্রবেশের ঘটনাকে কোনো নির্দিষ্ট হামলাকারী বা CVE সম্পর্কে অনিশ্চিত প্রেক্ষাপট থেকে আলাদা রাখা হয়েছে। যদিও একটি সরবরাহকারীর পণ্যের নিরাপত্তা দুর্বলতা এতে জড়িত ছিল, প্রভাবিত ইনস্টলেশনটি Estée Lauder-এর মানবসম্পদ কার্যক্রমে ব্যবহৃত হতো এবং প্রতিষ্ঠানটিই তথ্য ফাঁসের বিজ্ঞপ্তি দিয়েছে।

Estée Lauder জানিয়েছে, বিষয়টি জানার পর ঘটনার ধরন, পরিসর এবং প্রভাবিত তথ্য নির্ধারণ করতে তারা বাইরের শীর্ষস্থানীয় সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়ে তদন্ত শুরু করে। প্রতিষ্ঠানটি আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানায় এবং সিস্টেমটি সুরক্ষিত করার উদ্দেশ্যে অতিরিক্ত সুরক্ষা ব্যবস্থা চালু করে। অনুপ্রবেশকারী সিস্টেমে প্রবেশের সুযোগ ধরে রেখেছিল বা তথ্য জনসমক্ষে প্রকাশ করা হয়েছিল, চিঠিতে এমন কিছু বলা হয়নি।

প্রতিষ্ঠানটি যুক্তরাষ্ট্রের যোগ্য প্রাপকদের Kroll-এর মাধ্যমে 24 মাসের বিনামূল্যে পরিচয়সংক্রান্ত তথ্য পর্যবেক্ষণ, প্রতারণা বিষয়ে পরামর্শ এবং পরিচয় চুরির পর পুনরুদ্ধার সহায়তা দেওয়ার প্রস্তাব করেছে। আনুষ্ঠানিক চিঠিতে নিবন্ধনের শেষ তারিখ 2026 সালের 31 অক্টোবর। যাচাই করা হয়নি এমন তথ্যের ধরন ও হামলাকারী সম্পর্কে দাবিকে এই ঘটনার প্রকাশ্য পরিসরের অংশ হিসেবে ধরা হয়নি।

যাঁদের সোশ্যাল সিকিউরিটি নম্বর বা জন্মতারিখ প্রভাবিত হয়েছে, তাঁদের দেশজুড়ে কার্যক্রম চালানো তিনটি ক্রেডিট ব্যুরোর প্রতিটির প্রতিবেদন পরীক্ষা করা এবং নতুন ঋণ গ্রহণের মাধ্যমে প্রতারণার ঝুঁকি কমাতে বিনামূল্যে সিকিউরিটি ফ্রিজ দেওয়ার কথা বিবেচনা করা উচিত। প্রতিটি ব্যুরোতে আলাদাভাবে ফ্রিজ দিতে হবে। আপনি যদি অপরিচিত কোনো অ্যাকাউন্ট, ক্রেডিট অনুসন্ধান বা ঠিকানা পরিবর্তন দেখতে পান, তাহলে সংশ্লিষ্ট প্রতিষ্ঠানের কাছে লিখিতভাবে আপত্তি জানান, নথিগুলো সংরক্ষণ করুন এবং পরিচয় চুরির ঘটনা জানানোর প্রক্রিয়া অনুসরণ করুন।

ব্যাংক অ্যাকাউন্ট নম্বর জড়িত থাকলে আর্থিক প্রতিষ্ঠানের পরিচিত আনুষ্ঠানিক নম্বরে যোগাযোগ করে অ্যাকাউন্টটি বদলানো দরকার কি না তা যাচাই করুন এবং লেনদেনের সতর্কবার্তা চালু করুন। পাসপোর্টের বিষয়ে নির্দেশনার জন্য পাসপোর্ট প্রদানকারী সরকারি কর্তৃপক্ষের সঙ্গে যোগাযোগ করুন। ইমেইলে কেউ পাসপোর্টের ছবি বা নম্বর চাইলে তা পাঠাবেন না। নিয়মিত অ্যাকাউন্টের বিবরণী, জমা হওয়া বেতন ও করসংক্রান্ত নথি পর্যালোচনা করলে একবার ক্রেডিট যাচাই করার তুলনায় দীর্ঘমেয়াদে বেশি সুরক্ষা পাওয়া যায়।

স্বাস্থ্য ও চাকরিসংক্রান্ত নথি ব্যবহার করে প্রতারক মানবসম্পদ বিভাগ, বেতন ব্যবস্থাপনা সেবাদাতা, স্বাস্থ্যবিমা পরিকল্পনার প্রতিনিধি বা কোনো নির্বাহী কর্মকর্তার পরিচয়ে যোগাযোগ করতে পারে। কোনো বার্তায় কর্মদক্ষতা সম্পর্কে সঠিক তথ্য, পদবি বা বেতনের ইতিহাস থাকলেও সেটি প্রতারণামূলক হতে পারে। ব্যাংক অ্যাকাউন্ট পরিবর্তন, জরুরি অর্থ স্থানান্তর, নথি আপলোড বা একবার ব্যবহারযোগ্য কোড চাওয়া হলে বার্তায় দেওয়া যোগাযোগের তথ্য ব্যবহার না করে প্রতিষ্ঠানের পরিচিত যোগাযোগমাধ্যমে অনুরোধটি যাচাই করুন।

অপরাধীরা “আপনার Kroll নিবন্ধন সম্পন্ন করুন” বা “আপনার বেতনের অ্যাকাউন্ট যাচাই করুন”, এ ধরনের বিষয় ব্যবহার করে ঘটনার বিজ্ঞপ্তি নকল করতে পারে। প্রেরকের প্রদর্শিত নাম বিশ্বাস করবেন না; ডোমেইন, বিজ্ঞপ্তির তারিখ এবং প্রাপকের জন্য নির্দিষ্ট রেফারেন্স যাচাই করুন। অপ্রত্যাশিত কোনো ফোনকলে পাসওয়ার্ড, সম্পূর্ণ সোশ্যাল সিকিউরিটি নম্বর, ব্যাংকে লগইন করার তথ্য বা যাচাইকরণ কোড চাইলে কলটি শেষ করুন। এরপর নিজে HR Services বা আর্থিক প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন।

টেক্সাসের অ্যাটর্নি জেনারেলের BR-0005187 নম্বরের নথিতে জানানো হয়েছে, যুক্তরাষ্ট্রজুড়ে 31,859 জন ক্ষতিগ্রস্ত হয়েছেন, যাঁদের মধ্যে টেক্সাসের 1,959 জন বাসিন্দা রয়েছেন। যাঁরা প্রতিষ্ঠানের কাছ থেকে সরাসরি বিজ্ঞপ্তি পেয়েছেন, তাঁদের নিজেদের চিঠিতে উল্লেখ করা তথ্যের ধরনগুলোর ওপর নির্ভর করা উচিত।

এই নথিতে 2025 সালের 9 আগস্ট থেকে 12 আগস্ট পর্যন্ত অননুমোদিত প্রবেশের ঘটনা অন্তর্ভুক্ত রয়েছে; 2026 সালের জুনে তদন্তের মাধ্যমে তথ্য নেওয়ার বিষয়টি নির্ধারণ এবং 2026 সালের জুলাইয়ে অবহিতকরণ আলাদা সময়ের ঘটনা। Estée Lauder-এর অতীতের অন্য সাইবার ঘটনা এবং Oracle EBS-কে লক্ষ্য করে চালানো অভিযানে প্রভাবিত অন্য প্রতিষ্ঠানগুলো এই নথির অংশ নয়। প্রকাশ্য আনুষ্ঠানিক বিজ্ঞপ্তিগুলোতে কোনো নির্দিষ্ট CVE বা আক্রমণকারীর পরিচয় নিশ্চিত করা হয়নি।