Klue-এর 2026 সালের OAuth সরবরাহ শৃঙ্খলে ডেটা ফাঁস
Klue-এর 2026 সালের OAuth সরবরাহ শৃঙ্খলে ডেটা ফাঁসের ঘটনা বলতে কোম্পানির তৃতীয় পক্ষের ইন্টিগ্রেশন সেবায় অননুমোদিতভাবে কোড চালানো এবং সংযুক্ত প্ল্যাটফর্মগুলোর ক্রেডেনশিয়াল সংগ্রহের ঘটনাকে বোঝায়। Klue-এর প্রকাশিত তদন্তের সারসংক্ষেপ অনুযায়ী, হামলাকারী 11 জুন 2026 তারিখে আগেই বেহাত হওয়া একটি GitHub ব্যক্তিগত অ্যাক্সেস টোকেন ব্যবহার করে ইন্টিগ্রেশন সেবায় কোড যুক্ত করে এবং তৃতীয় পক্ষের ইন্টিগ্রেশন ক্রেডেনশিয়াল সংগ্রহ করে। এর মধ্যে Salesforce OAuth অ্যাক্সেস ও রিফ্রেশ টোকেনও ছিল। Klue ক্ষতিগ্রস্ত গ্রাহক, এনভায়রনমেন্ট, অ্যাকাউন্ট বা টোকেনের মোট সংখ্যা প্রকাশ করেনি। এই ঘটনার জন্য প্রোডাকশন পরিবেশে ব্যক্তিপর্যায়ের কোনো স্থানীয় ডেটাসেট নেই।
প্রভাবিতের মোট সংখ্যা নিশ্চিত নয়, তাই শুধু রেকর্ডের সংখ্যা দিয়ে গুরুতরতার মাত্রা নির্ধারণ করা যায় না।
উন্মুক্ত হওয়া তথ্যের ধরন
2- তৃতীয় পক্ষের ইন্টিগ্রেশনের ক্রেডেনশিয়াল
- প্রমাণীকরণ টোকেন
এই তথ্য ফাঁস সম্পর্কে
ঘটনার সময়রেখা ও পরিসর কী?
12 জুন Salesforce, Klue-কে জানায় যে Klue-এর API ইন্টিগ্রেশন সেবা থেকে তৃতীয় পক্ষের সন্দেহজনক কার্যকলাপ দেখা গেছে। Klue জানায়, সেদিন সকালেই তারা আক্রান্ত GKE পড ও বেহাত হওয়া GitHub টোকেনগুলো নিষ্ক্রিয় করে এবং OAuth ক্রেডেনশিয়াল বদলে দেয়। কোম্পানির 18 জুনের প্রাথমিক আপডেটে বলা হয়, হামলাকারী সংযুক্ত গ্রাহক এনভায়রনমেন্টগুলোর কয়েকটিতে ডেটা অ্যাক্সেস করেছে। তবে Klue প্ল্যাটফর্মে সংরক্ষিত গ্রাহকদের কনটেন্ট ক্ষতিগ্রস্ত হয়েছে, এমন কোনো প্রমাণ পাওয়া যায়নি।
Klue জানায়, CrowdStrike 30 জুন তদন্ত শেষ করে এবং 1 জুলাই তদন্তের ফলাফলের সারসংক্ষেপ প্রকাশ করা হয়। ওই সারসংক্ষেপে বলা হয়, ইন্টিগ্রেশন সেবার সঙ্গে সম্পর্কিত সিস্টেমগুলো ছাড়া Klue-এর অন্য কোনো সিস্টেমে প্রবেশের প্রমাণ পাওয়া যায়নি। 12 জুনের পর Klue এনভায়রনমেন্টে হামলাকারীর কোনো কার্যকলাপের প্রমাণও পাওয়া যায়নি। মূল GitHub টোকেনটি কীভাবে সংগ্রহ করা হয়েছিল, তা তদন্তকারীরা নির্ধারণ করতে পারেননি। প্রকাশিত তদন্তের সিদ্ধান্ত এই সীমার মধ্যেই রয়েছে; এর ভিত্তিতে সংযুক্ত তৃতীয় পক্ষের এনভায়রনমেন্টগুলোতে সম্ভাব্য সব ধরনের প্রভাব নাকচ করা হয়েছে বলে দাবি করা যায় না।
কোন ধরনের ডেটা জড়িত থাকার প্রমাণ রয়েছে?
কাঠামোবদ্ধভাবে নথিভুক্ত ডেটার শ্রেণিগুলো তৃতীয় পক্ষের ইন্টিগ্রেশন ক্রেডেনশিয়াল ও পরিচয় যাচাইয়ের টোকেনের মধ্যে সীমাবদ্ধ। আনুষ্ঠানিক সারসংক্ষেপে স্পষ্টভাবে বলা হয়েছে, পরিচয় যাচাইয়ের টোকেনগুলোর মধ্যে Salesforce OAuth অ্যাক্সেস ও রিফ্রেশ টোকেন ছিল। এই শ্রেণিগুলোর উল্লেখ থেকে বোঝায় না যে Klue-এর সব গ্রাহক, প্রতিটি সংযোগ বা Klue প্ল্যাটফর্মে সংরক্ষিত কনটেন্ট ক্ষতিগ্রস্ত হয়েছে। পরে পৃথক প্রতিষ্ঠানগুলোর দেওয়া বিজ্ঞপ্তি আলাদা ঘটনার রেকর্ড হিসেবে রাখা হয়; একই ঘটনা একাধিকবার গণনা করার মতো করে সেগুলোকে এই মূল ইন্টিগ্রেশন ঘটনার সঙ্গে একত্র করা হয় না।
টোকেন বদলে দেওয়া ও পড বন্ধ করার পাশাপাশি Klue অ্যাক্সেস নিয়ন্ত্রণ, নেটওয়ার্ক বিভাজন, সিক্রেট ব্যবস্থাপনা, পর্যবেক্ষণ এবং নিয়ন্ত্রিতভাবে ইন্টিগ্রেশন পুনরায় চালু করার কাজের কথা জানায়। যেসব প্রতিষ্ঠানকে Klue বা কোনো সংযুক্ত প্ল্যাটফর্ম সরাসরি জানিয়েছে, তাদের উচিত সংশ্লিষ্ট OAuth টোকেনগুলো বাতিল করে নতুন টোকেন চালু করা এবং নিজেদের আওতায় 11–12 জুন সময়কালের সংযুক্ত অ্যাপের অনুমতি ও অ্যাক্সেস লগ পর্যালোচনা করা। যেসব ব্যবহারকারী কোনো বিজ্ঞপ্তি পাননি, তাঁদের ওপর ব্যক্তিপর্যায়ে প্রভাব পড়েছে কি না, তা প্রকাশিত সূত্রগুলো থেকে প্রতিষ্ঠিত হয় না।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
