Kemper-এর 2026 সালের তথ্য ফাঁস
Kemper-এর 2026 সালের তথ্য ফাঁসের রেকর্ডে সেই ঘটনাটি অন্তর্ভুক্ত রয়েছে, যেখানে ShinyHunters 2026 সালের 15 এপ্রিল একটি তথ্য প্রকাশের সাইটে এই বিমা প্রতিষ্ঠানের নাম উল্লেখ করে। Kemper নিশ্চিত করেছে যে তারা বিশেষজ্ঞদের সহায়তায় একটি সাইবার নিরাপত্তার ঘটনা তদন্ত করছে এবং আইন প্রয়োগকারী সংস্থাকে জানিয়েছে; প্রতিষ্ঠানটি বলেছে, তাদের কার্যক্রমে কোনো বিঘ্ন ঘটেনি। একটি যাচাইকৃত বাহ্যিক তথ্য ফাঁস সূচি অনুযায়ী, প্রকাশিত তথ্যসমষ্টিতে 2,69,299টি স্বতন্ত্র ইমেইল ঠিকানা রয়েছে। প্রোডাকশন পরিবেশে কোনো স্থানীয় তথ্য আমদানি করা হয়নি এবং ব্যক্তি-ভিত্তিক তথ্যও নেই।
উন্মুক্ত হওয়া তথ্যের ধরন
6- ইমেইল ঠিকানা
- নাম
- ক্রেডিট কার্ডের আংশিক তথ্য
- ফোন নম্বর
- বাসা বা প্রতিষ্ঠানের ঠিকানা
- কেনাকাটা
এই তথ্য ফাঁস সম্পর্কে
তথ্য প্রকাশের দাবি ও যাচাইকৃত পরিমাপের মধ্যে পার্থক্য কী?
হামলাকারী দাবি করেছে যে Kemper-এর Salesforce পরিবেশ থেকে সংগ্রহ করা 29 GB-এর বেশি তথ্য এবং 13 মিলিয়নের বেশি রেকর্ড প্রকাশ করেছে। স্বাধীন গবেষকেরা একটি নমুনায় SharePoint, Azure, Salesforce ও Stripe নামে চিহ্নিত ফোল্ডারের পাশাপাশি অভ্যন্তরীণ নথি, কর্মীদের নাম ও ইমেইল ঠিকানা এবং লেনদেনের লগ দেখেছেন। প্রতিষ্ঠানের বিবৃতি থেকে ঘটনাটির তদন্ত চলার বিষয়টি নিশ্চিত হয়, তবে দাবিকৃত 13 মিলিয়ন সারি, তথ্যের পরিমাণ বা প্রথম প্রবেশের পদ্ধতি নিশ্চিত হয় না।
2,69,299 সংখ্যাটি প্রকাশিত বাহ্যিক তথ্যসমষ্টিতে থাকা স্বতন্ত্র ইমেইল ঠিকানার পরিমাপ। হামলাকারীর 13 মিলিয়নের বেশি সারির দাবি ব্যক্তি বা অ্যাকাউন্টের সংখ্যা নয়, এবং দাবিটির পূর্ণাঙ্গ স্বাধীন যাচাই হয়নি। পুনরাবৃত্ত লগের সারি ও স্বতন্ত্র ইমেইল ঠিকানার গণনার একক আলাদা, তাই এই সংখ্যাগুলো যোগ করা হয় না বা একটির বিকল্প হিসেবে অন্যটি ব্যবহার করা হয় না। 15 এপ্রিল হলো বাহ্যিক ক্যাটালগে অন্তর্ভুক্তি ও তথ্য প্রকাশের তারিখ; প্রথমবার সিস্টেমে প্রবেশের তারিখ প্রকাশ করা হয়নি।
কোন কোন তথ্যের ক্ষেত্র এর আওতায় রয়েছে?
যাচাইকৃত বাহ্যিক সূচিতে ছয়টি কাঠামোবদ্ধ শ্রেণি তালিকাভুক্ত রয়েছে: ইমেইল ঠিকানা, নাম, ফোন নম্বর, বাসা বা প্রতিষ্ঠানের ঠিকানা, কেনাকাটার তথ্য এবং পেমেন্ট কার্ডের আংশিক তথ্য। সূচির বিবরণে আংশিক কার্ড তথ্যের ক্ষেত্রগুলোকে শেষ চারটি অঙ্ক, মেয়াদ শেষ হওয়ার তারিখ ও কার্ডের ব্র্যান্ড হিসেবে বর্ণনা করা হয়েছে। প্রতিটি ইমেইল ঠিকানার জন্য প্রতিটি ক্ষেত্রের তথ্য ছিল, বা সেগুলো একই ব্যক্তির ছিল, এমন ধরে নেওয়া উচিত নয়।
স্বাধীন গবেষকেরা আরও উল্লেখ করেছেন যে Stripe-এর যে নমুনাটি তাঁরা পরীক্ষা করতে পেরেছিলেন, তাতে সরাসরি কোনো কার্ড নম্বর বা ব্যাংক অ্যাকাউন্টের তথ্য ছিল না। সীমিত সেই নমুনায় পাওয়া ফলাফল আর বৃহত্তর বাহ্যিক তথ্যসমষ্টির জন্য তালিকাভুক্ত আংশিক কার্ড তথ্যের শ্রেণি একই পরিমাপ নয়। সম্পূর্ণ কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট, সোশ্যাল সিকিউরিটি নম্বর, পাসওয়ার্ড ও পলিসি নম্বর যাচাইকৃত কাঠামোবদ্ধ শ্রেণিগুলোর মধ্যে নেই।
ঘটনার উৎস নির্ধারণ ও স্থানীয় তথ্যের আওতার সীমা
উৎসগুলো এই ঘটনাকে শত শত Salesforce গ্রাহককে লক্ষ্য করে পরিচালিত একটি বৃহত্তর সামাজিক প্রকৌশল অভিযানের সঙ্গে যুক্ত করেছে; Kemper-এর প্রকাশ্য বিবৃতিতে তাদের নিজস্ব পরিবেশে প্রথম প্রবেশের পদ্ধতি নিশ্চিত করা হয়নি। প্রতিষ্ঠানের সক্রিয় ডোমেইন থেকে তার বিমা সেবাদানকারী পরিচয় নিশ্চিত হয়, তবে শুধু ডোমেইন দিয়ে ঘটনার প্রযুক্তিগত উৎস নিশ্চিত করা যায় না।
প্রোডাকশন পরিবেশে Kemper-এর তথ্য আমদানির কোনো প্রক্রিয়া নেই, এবং ব্যক্তি-ভিত্তিক তথ্যের প্রতিটি স্থানীয় সংগ্রহে লিংকের সংখ্যা শূন্য। তাই 2,69,299টি স্বতন্ত্র ইমেইল ঠিকানা স্থানীয় অনুসন্ধানের আওতাভুক্ত নয়। যাঁরা এই ঘটনা-সংক্রান্ত বিজ্ঞপ্তি পেয়েছেন, তাঁরা অর্থপ্রদান বা পলিসি নিয়ে অপ্রত্যাশিত কোনো বার্তা পেলে বিদ্যমান পলিসি অ্যাকাউন্ট বা আলাদাভাবে সংগ্রহ করা আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করতে পারেন; কোনো বার্তায় কিছু সঠিক যোগাযোগের তথ্য থাকলেই সেটি বিশ্বাসযোগ্য বলে প্রমাণিত হয় না।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
