Nissan Americas-এর 2026 সালের তথ্য নিরাপত্তা লঙ্ঘন

Nissan Americas জানিয়েছে, তারা বেতন ব্যবস্থাপনা, কর প্রশাসন ও কর্মীদের অন্যান্য নথি পরিচালনার জন্য Oracle PeopleSoft ব্যবহার করে। Oracle একটি সাইবার ঘটনার কথা Nissan-কে জানায়, যাতে হামলাকারীরা শত শত কোম্পানির কর্মীদের নথি হাতে পেয়ে থাকতে পারে। পরে Nissan জানতে পারে যে তাদের নির্দিষ্টভাবে লক্ষ্যবস্তু করা হয়েছিল। প্রতিষ্ঠানটি স্পষ্টভাবে জানায়, তাদের সিস্টেমে থাকা তথ্যে বেআইনিভাবে প্রবেশ করা হয়েছে।

ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের নথিতে প্রতিষ্ঠানটির নাম Nissan North America Inc. হিসেবে উল্লেখ করা হয়েছে এবং নিরাপত্তা লঙ্ঘনের জানা তারিখ হিসেবে 27 মে ও 9 জুন 2026 দেওয়া হয়েছে। একই সরকারি নথির সঙ্গে বর্তমান ও সাবেক কর্মীদের জন্য 25 জুন তারিখের নমুনা বিজ্ঞপ্তি প্রকাশ করা হয়েছে। LeakData পুরো হামলা অভিযানে জড়িত প্রতিষ্ঠানের সংখ্যাকে Nissan-এর প্রভাবিত ব্যক্তিদের মোট সংখ্যার বিকল্প হিসেবে ব্যবহার করে না।

Nissan জানিয়েছে, তদন্তের প্রাথমিক পর্যায়ে তাদের ধারণা ছিল যে কর্মীদের কিছু ব্যক্তিগত তথ্যে প্রবেশ করা হয়েছে। প্রকাশিত তথ্যের ধরনগুলোর মধ্যে রয়েছে যোগাযোগের তথ্য, ব্যাংকসংক্রান্ত তথ্য, যুক্তরাষ্ট্রের সামাজিক নিরাপত্তা নম্বর, কানাডার সামাজিক বিমা নম্বর বা অন্যান্য জাতীয় পরিচয় নম্বর, আর্থিক ও করসংক্রান্ত তথ্য এবং নির্ভরশীল ব্যক্তি বা সুবিধাভোগীদের তথ্য। এই বিভাগগুলো কোম্পানির বিজ্ঞপ্তিতে ব্যবহৃত ভাষা অনুসারে উল্লেখ করা হয়েছে।

কোম্পানি বলেনি যে প্রত্যেক কর্মীর প্রতিটি তথ্যক্ষেত্র প্রকাশ হয়েছে। বিজ্ঞপ্তি প্রকাশের সময়ও প্রতিটি ফাইলের বিষয়ে তদন্তের ফলাফল চূড়ান্ত হয়নি। তাই তথ্যের এই বিভাগগুলো নিশ্চিত হওয়া ঘটনার সম্ভাব্য পরিধি বর্ণনা করে; এগুলো প্রত্যেক ব্যক্তির ক্ষেত্রে একইভাবে প্রযোজ্য বলে ধরে নেওয়া উচিত নয়।

Nissan-এর তথ্য অনুযায়ী, এই ঘটনায় যুক্তরাষ্ট্র, কানাডা, মেক্সিকো ও ব্রাজিলের বর্তমান ও সাবেক Nissan কর্মীরা প্রভাবিত হয়ে থাকতে পারেন। সম্ভাব্য তথ্যের বিভাগগুলোর মধ্যে নির্ভরশীল ব্যক্তি ও সুবিধাভোগীদের বিবরণ থাকায়, কর্মীদের সঙ্গে সংশ্লিষ্ট কিছু ব্যক্তির নথিও সেখানে থাকতে পারে। যাঁদের তথ্যে প্রবেশ করা হয়েছে, তাঁদের দেশভিত্তিক বা বিশ্বব্যাপী মোট সংখ্যা কোম্পানি প্রকাশ করেনি; একই ব্যক্তিকে একবার গণনা করে এমন কোনো সংখ্যাও দেওয়া হয়নি।

প্রতিষ্ঠানটি প্রভাবিত ব্যক্তি বা নথির যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; বরং এর অর্থ হলো, প্রকাশ্য উৎসগুলোতে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। শত শত প্রতিষ্ঠান প্রভাবিত হয়ে থাকতে পারে বলে Oracle-এর বক্তব্য, পুরো হামলা অভিযান নিয়ে ShinyHunters-এর দাবি এবং Nissan-এর কর্মীর সংখ্যা পরস্পরের বিকল্প হিসেবে ব্যবহার করা যায় না। যাচাই না হওয়া ব্যক্তির সংখ্যা, তথ্যক্ষেত্র ও হামলাকারীদের দাবিকে প্রকাশ্য তথ্য অনুযায়ী নির্ধারিত ঘটনার পরিধির অংশ হিসেবে ধরা হয় না।

BleepingComputer ঘটনাটিকে আরও বিস্তৃত একটি তথ্য চুরির অভিযানের সঙ্গে যুক্ত করেছে, যেখানে Oracle PeopleSoft PeopleTools-এর CVE-2026-35273 দুর্বলতাকে জিরো-ডে হিসেবে কাজে লাগানো হয়েছিল। Google Mandiant-এর বলে উল্লেখ করা প্রযুক্তিগত অনুসন্ধানের ফলাফলে 27 মে থেকে 9 জুনের মধ্যে দুর্বলতাটি কাজে লাগানোর এবং বহু প্রতিষ্ঠানকে অবহিত করার তথ্য রয়েছে। এই সময়কাল Nissan-এর সরকারি নিরাপত্তা লঙ্ঘনসংক্রান্ত নথিতে দেওয়া তারিখগুলোর সঙ্গে মিলে যায়।

প্রতিবেদন অনুযায়ী, ShinyHunters গোষ্ঠী এই হামলা অভিযানের দায় স্বীকার করেছে। তবে কর্মীদের জন্য Nissan-এর বিজ্ঞপ্তিতে কোনো হামলাকারীর নাম উল্লেখ করা হয়নি। তাই LeakData ওই গোষ্ঠীর ওপর দায় আরোপকে কোম্পানির নিশ্চিত করা চূড়ান্ত পরিচয় হিসেবে উপস্থাপন করে না। Nissan-এর ক্ষেত্রে যে বিষয়গুলো নিশ্চিত হয়েছে, সেগুলো হলো: PeopleSoft-এর একটি অজানা দুর্বলতা এই ঘটনায় জড়িত ছিল, প্রতিষ্ঠানটিকে সরাসরি লক্ষ্যবস্তু করা হয়েছিল এবং কর্মীদের তথ্যে অনুমতি ছাড়া প্রবেশ করা হয়েছিল।

ঘটনাটি জানার পর Nissan ঘটনা মোকাবিলার নির্ধারিত পদ্ধতি কার্যকর করে, কর্তৃপক্ষের সঙ্গে যোগাযোগ করে এবং বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করে। প্রযুক্তিগত দলগুলো প্রভাবিত সিস্টেমগুলো সুরক্ষিত করে, Oracle-এর সঙ্গে কাজ শুরু করে এবং অননুমোদিত প্রবেশ বন্ধ করা ও আরও তথ্য প্রকাশ ঠেকানোর উদ্দেশ্যে ব্যবস্থা নেয়। কোম্পানি জোর দিয়ে জানায়, ঘটনার পরিধি নির্ধারণের তদন্ত তখনও চলছিল।

সতর্কতামূলক ব্যবস্থা হিসেবে বেতন স্লিপ দেখা এবং সরাসরি ব্যাংক হিসাবে অর্থ জমা দেওয়ার নির্দেশনা পরিবর্তনের সুযোগ শুধু কোম্পানির নেটওয়ার্কের কম্পিউটার বা নিরাপদ VPN সংযোগের মধ্যে সীমিত করা হয়। বেতনসংক্রান্ত অনুরোধের ক্ষেত্রে অতিরিক্ত পরিচয় যাচাইয়ের পরিকল্পনাও করা হয়। Nissan জানিয়েছে, যেখানে সেবা পাওয়া যায় সেখানে বিনা মূল্যে ক্রেডিট বা ডার্ক ওয়েব পর্যবেক্ষণ সেবা দেওয়া হবে। যাঁদের তথ্য প্রকাশ হওয়ার বিষয়টি শেষ পর্যন্ত নিশ্চিত হবে, তাঁদের পরে বিস্তারিত বিজ্ঞপ্তি পাঠানো হবে।

এই রেকর্ডের অর্থ এই নয় যে বিশ্বজুড়ে Nissan-এর প্রতিটি গ্রাহকসংক্রান্ত সিস্টেম বা নেটওয়ার্ক-সংযুক্ত যানবাহনের প্ল্যাটফর্মের নিরাপত্তা লঙ্ঘিত হয়েছে। ঘটনাটি যে পরিবেশে ঘটেছে বলে নিশ্চিত করা হয়েছে, তা হলো কর্মীদের নথির জন্য Nissan Americas-এর ব্যবহৃত Oracle PeopleSoft সিস্টেম। প্রকাশিত তথ্য অনুযায়ী, সংশ্লিষ্ট ব্যক্তিরা হলেন বর্তমান ও সাবেক কর্মী। গ্রাহক অ্যাকাউন্ট, ডিলারদের সিস্টেম, নেটওয়ার্ক-সংযুক্ত গাড়ির তথ্য বা যানবাহনের টেলিমেট্রিতে কোনো নিশ্চিত প্রভাবের কথা জানানো হয়নি।

যাচাই করা তথ্যের ভিত্তিতে সিদ্ধান্ত হলো, 27 মে–9 জুন 2026 সময়কালের PeopleSoft হামলায় Nissan North America-কে সরাসরি লক্ষ্যবস্তু করা হয়েছিল; কর্মীদের কিছু ব্যক্তিগত তথ্যে প্রবেশ করা হয়ে থাকতে পারে; এবং চারটি দেশের বর্তমান ও সাবেক কর্মীরা ঘটনার সম্ভাব্য পরিধির মধ্যে রয়েছেন।