Lidl-এর অনলাইন শপে 2026 সালের তথ্য ফাঁস

আনুষ্ঠানিক বিজ্ঞপ্তিগুলোতে ছয় ধরনের তথ্যের উল্লেখ রয়েছে: সম্বোধন, নামের প্রথম ও শেষ অংশ, টেলিফোন নম্বর, ইমেইল ঠিকানা, জন্মতারিখ এবং গ্রাহক নম্বর। এসব তথ্য অনলাইন শপের গ্রাহকদের ছিল। Lidl বলেছে, ফাইলের কিছু তথ্য চুরি হয়েছে; পুরো ফাইলটি নেওয়া হয়েছে বলে জানায়নি। তবে প্রত্যেক ব্যক্তির জন্য কোন কোন তথ্য ছিল, কিংবা বিজ্ঞপ্তি পাওয়া সবার ক্ষেত্রে একই ধরনের তথ্য ছিল কি না, তা ব্যাখ্যা করেনি।

প্রভাবিত ব্যক্তির সংখ্যা, ফাইলের আকার এবং চুরি হওয়া রেকর্ডের মোট সংখ্যা প্রকাশ করা হয়নি। Lidl-এর মোট গ্রাহক, কর্মী বা দোকানের সংখ্যা দিয়ে এই ঘটনার পরিসর মাপা যায় না। প্রতিষ্ঠানটি প্রভাবিত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য উৎসগুলোতে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। নির্ভরযোগ্য সংখ্যা প্রকাশ না হওয়া পর্যন্ত কোম্পানির সামগ্রিক আকার বোঝাতে ব্যবহৃত পরিসংখ্যানকে তথ্য ফাঁসের রেকর্ডের সংখ্যা হিসেবে ধরা যাবে না।

Lidl জানিয়েছে, সে সময় পাসওয়ার্ড, বিলিংয়ের ঠিকানা, ডেলিভারির ঠিকানা, ব্যাংক-সংক্রান্ত তথ্য এবং অর্থ পরিশোধের অন্যান্য তথ্য এই ঘটনার আওতা থেকে বাদ দেওয়া যায়। কোম্পানি আরও বলেছে, অনলাইন শপের সিস্টেমে নিরাপত্তা লঙ্ঘন ঘটেনি এবং গ্রাহকদের অ্যাকাউন্টের নিরাপত্তা ভঙ্গ হয়নি। এই সীমারেখা স্পষ্ট করে যে, কোনো সেবাদাতা প্রতিষ্ঠানে আলাদাভাবে সংরক্ষিত ফাইলে প্রবেশাধিকার পাওয়া আর Lidl-এর নিজস্ব ই-কমার্স প্ল্যাটফর্মে ব্যাপকভাবে গ্রাহকদের অ্যাকাউন্টে প্রবেশ করা এক বিষয় নয়।

“প্রভাবিত হয়নি” কথাটি শুধু সেই তথ্যগুলোর ক্ষেত্রেই প্রযোজ্য, যেগুলোকে কোম্পানি ঘটনার আওতা থেকে বাদ দিয়েছে। যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ধরন বা হামলাকারীদের দাবি প্রকাশ্য বিবরণে এই ঘটনার পরিসরের অংশ হিসেবে ধরা হয় না। তবে চুরি হওয়া নাম, জন্মতারিখ, ফোন নম্বর ও ইমেইল ঠিকানা একসঙ্গে ব্যবহার করে ব্যক্তিভিত্তিক ফিশিং বার্তা তৈরি করা সম্ভব। অর্থ পরিশোধের তথ্য চুরি না হলেও সামাজিক প্রকৌশলের সব ঝুঁকি দূর হয়ে যায় না।

গ্রাহকদের জন্য Lidl-এর বিজ্ঞপ্তিতে বলা হয়েছে, সপ্তাহের শুরুতে কোম্পানিকে ঘটনাটি জানানো হয়েছিল। তবে প্রথম অননুমোদিত প্রবেশ, তথ্য চুরি বা ঘটনা শনাক্ত হওয়ার সুনির্দিষ্ট তারিখ দেওয়া হয়নি। BleepingComputer 13 জুলাই 2026 তারিখে জানায় যে, আগের সপ্তাহে গ্রাহকদের অবহিত করা হয়েছিল। LeakData-তে 13 জুলাই তারিখটি ঘটনাটি প্রকাশ্যে জানানোর একটি যাচাইকৃত তারিখ হিসেবে ব্যবহৃত হয়েছে; এর অর্থ এই দাবি করা নয় যে হামলাকারী ওই দিনই প্রথম সেবাদাতা প্রতিষ্ঠানের ফাইলে প্রবেশ করেছিল।

কোম্পানি সংশ্লিষ্ট IT সেবাদাতা প্রতিষ্ঠানের পরিচয়, যে সিস্টেমে ফাইলটি রাখা ছিল, হামলার পদ্ধতি বা অননুমোদিত প্রবেশাধিকার কতক্ষণ ছিল, তা প্রকাশ করেনি। বিজ্ঞপ্তিতে শুধু নিশ্চিত করা হয়েছে যে, প্রবেশাধিকার অল্প সময়ের জন্য ছিল এবং আলাদাভাবে সংরক্ষিত একটি ফাইলের কিছু তথ্য চুরি হয়েছে। ফাইলটি তৃতীয় পক্ষের কাছে ছিল বলে ঘটনার বিবরণ থেকে Lidl-কে বাদ দেওয়া যায় না: চুরি হওয়া তথ্য Lidl-এর গ্রাহকদের ছিল এবং বিজ্ঞপ্তিগুলো Lidl-ই পাঠিয়েছে।

Lidl-এর ভাষ্য অনুযায়ী, IT সেবাদাতা প্রতিষ্ঠানটি তাৎক্ষণিকভাবে ব্যবস্থা নেয় এবং প্রভাবিত সিস্টেমগুলোর নিরাপত্তা পুরোপুরি পুনঃপ্রতিষ্ঠার জন্য প্রয়োজনীয় পদক্ষেপ গ্রহণ করে। প্রতিষ্ঠানটি পুলিশের কাছেও অভিযোগ দায়ের করে এবং তদন্তের জন্য দ্রুত IT ফরেনসিক বিশেষজ্ঞদের নিয়োগ দেয়। Lidl সংশ্লিষ্ট তথ্য সুরক্ষা কর্তৃপক্ষগুলোকে ঘটনাটি জানায়। সংবাদ প্রতিবেদনটিতে বিশেষভাবে Dutch Data Protection Authority-কে জানানোর কথা উল্লেখ করা হয়েছে।

কোম্পানি জানিয়েছে, বিজ্ঞপ্তি দেওয়ার সময় তথ্যের অপব্যবহারের কোনো সুনির্দিষ্ট প্রমাণ তাদের কাছে ছিল না। এই বক্তব্যের অর্থ এই নয় যে কোনো তথ্য চুরি হয়নি; তথ্য চুরির ঘটনা নিশ্চিত, আর বক্তব্যটি শুধু তখন পর্যন্ত দেখা যাওয়া অপব্যবহারের সীমা বোঝায়। সতর্কতামূলক ব্যবস্থা হিসেবে Lidl প্রভাবিত গ্রাহকদের সম্ভাব্য ফিশিং ও পরিচয়ের অপব্যবহার সম্পর্কে সতর্ক করেছে। অপ্রত্যাশিত বার্তার প্রেরক যাচাই করা, তথ্য শেয়ার করা থেকে বিরত থাকা এবং অজানা লিংকে ক্লিক না করার পরামর্শ দিয়েছে।

এই ঘটনায় প্রভাবিত গ্রাহকদের এমন বার্তার বিষয়ে সতর্ক থাকা উচিত, যেখানে Lidl, কোনো পার্সেল পরিবহনকারী বা অর্থ পরিশোধের সেবাদাতা কোম্পানির পরিচয় ব্যবহার করা হয় এবং বিশ্বাসযোগ্য মনে করানোর জন্য জন্মতারিখ, গ্রাহক নম্বর বা টেলিফোন-সংক্রান্ত তথ্য উল্লেখ করা হয়। অর্ডারের সমস্যা, টাকা ফেরত, কুপন, ডেলিভারি ফি বা অ্যাকাউন্ট যাচাইয়ের জন্য কোনো লিংক খুলতে বলা হলে, আপনি Lidl-এর আনুষ্ঠানিক ওয়েবসাইট বা পরিচিত সহায়তা চ্যানেলের মাধ্যমে আলাদাভাবে তা যাচাই করতে পারেন। প্রকৃত ব্যক্তিগত তথ্য ব্যবহার করা হয়েছে বলেই কোনো বার্তা বৈধ প্রমাণিত হয় না।

Lidl জানিয়েছে, পাসওয়ার্ড এই ঘটনায় প্রভাবিত হয়নি। তাই এই ঘটনার ভিত্তিতে পাসওয়ার্ড রিসেট করা বাধ্যতামূলক বলে দাবি করা যায় না। তবে সাধারণ সুরক্ষার জন্য গ্রাহকেরা একাধিক জায়গায় ব্যবহার করা বা আগে ফাঁস হওয়া পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করতে পারেন। সন্দেহজনক কল ও ইমেইলের তথ্য সংরক্ষণ করে Lidl-এর তথ্য-সংক্রান্ত আনুষ্ঠানিক যোগাযোগ চ্যানেলের মাধ্যমে জানানো যেতে পারে। আপনি কোনো বিজ্ঞপ্তি না পেয়ে থাকলে, শুধু অনলাইন শপটি ব্যবহার করেছেন বলে এই ঘটনার শিকার হয়েছেন ধরে নেবেন না; আপনার নির্দিষ্ট পরিস্থিতির বিষয়ে নিশ্চিত হতে কোম্পানির কাছে জানতে পারেন।

এটি Lidl-এর অনলাইন শপ প্ল্যাটফর্মের অ্যাকাউন্টের নিরাপত্তা লঙ্ঘনের ঘটনা নয়; এটি একটি IT সেবাদাতা প্রতিষ্ঠানে আলাদাভাবে সংরক্ষিত গ্রাহক-তথ্যের ফাইল থেকে তথ্য চুরির ঘটনা। প্রভাবিত ব্যক্তির সংখ্যা শূন্য দেখানো হলে তার অর্থ হলো, কোনো যাচাইকৃত মোট সংখ্যা প্রকাশ করা হয়নি, কেউ প্রভাবিত হননি, এমন নয়। তথ্যের ধরনগুলোতে শুধু আনুষ্ঠানিক বিজ্ঞপ্তিতে তালিকাভুক্ত ছয়টি ক্ষেত্র অন্তর্ভুক্ত রয়েছে। স্পষ্টভাবে বাদ দেওয়া পাসওয়ার্ড, ঠিকানা, ব্যাংক-সংক্রান্ত তথ্য বা অর্থ পরিশোধের তথ্য এতে অন্তর্ভুক্ত নয়।

যাচাইকৃত তথ্য থেকে যা নিশ্চিত হওয়া যায় তা হলো, অজ্ঞাতপরিচয় ব্যক্তিরা সেবাদাতা প্রতিষ্ঠানের একটি আলাদা ফাইলে অল্প সময়ের জন্য প্রবেশ করে Lidl-এর অনলাইন শপের কিছু গ্রাহকের তথ্য চুরি করেছে। এর মধ্যে ছিল সম্বোধন, নাম, ফোন নম্বর, ইমেইল ঠিকানা, জন্মতারিখ এবং গ্রাহক নম্বর। অনলাইন শপ, অ্যাকাউন্ট, পাসওয়ার্ড ও অর্থ পরিশোধের তথ্য এই ঘটনায় প্রভাবিত হয়নি। সুনির্দিষ্ট সময়, প্রবেশের পদ্ধতি এবং ব্যক্তির সংখ্যা এখনো প্রকাশ করা হয়নি।