Vercel Context.ai OAuth: 2026 সালের তথ্য ফাঁস

Vercel-এর আনুষ্ঠানিক নিরাপত্তা বুলেটিনে অভ্যন্তরীণ সিস্টেমে অননুমোদিত প্রবেশ, আক্রমণের সূত্রপাত এবং গ্রাহকদের এনভায়রনমেন্ট ভেরিয়েবলের নিরাপত্তা লঙ্ঘনের বিষয়গুলো সরাসরি নিশ্চিত করা হয়েছে। প্রাথমিক পর্যালোচনায় দেখা যায়, গ্রাহকদের একটি সীমিত অংশ প্রভাবিত হয়েছে; পরে আরও বিস্তৃতভাবে লগ ও সূচক বিশ্লেষণ করে একই এপ্রিলের ঘটনায় আরও অল্প কয়েকটি অ্যাকাউন্টের নিরাপত্তা লঙ্ঘনের তথ্য পাওয়া যায়। প্রতিকারমূলক করণীয় জানাতে Vercel ওই গ্রাহকদের সঙ্গে যোগাযোগ করে।

BleepingComputer বুলেটিনটি এবং Vercel-এর CEO-র কারিগরি ব্যাখ্যা নিয়ে প্রতিবেদন প্রকাশ করে। তাদের প্রতিবেদনও Context.ai অ্যাকাউন্টের নিয়ন্ত্রণ দখল, এনভায়রনমেন্ট ভেরিয়েবল তালিকাভুক্ত করা এবং গ্রাহকদের দেওয়া পরামর্শের বিষয়গুলো সমর্থন করে। তারা সোর্স কোড, ডেটাবেসের তথ্য ও কর্মীদের রেকর্ড নিয়ে ফোরামের একজন ব্যবহারকারীর দাবিও তুলে ধরে, তবে সেগুলো স্বতন্ত্রভাবে যাচাই করতে পারেনি। তাই LeakData এসব দাবিকে ঘটনার নিশ্চিত পরিসরের অংশ হিসেবে গণ্য করে না।

নিশ্চিতভাবে প্রভাবিত তথ্যের ধরন হলো গ্রাহকদের সেই এনভায়রনমেন্ট ভেরিয়েবলগুলো, যেগুলো Vercel-এ “সংবেদনশীল নয়” হিসেবে সংরক্ষিত ছিল এবং যেগুলোর মান প্লেইনটেক্সটে পাওয়া সম্ভব ছিল। এনভায়রনমেন্ট ভেরিয়েবলে কনফিগারেশন তথ্য থাকতে পারে, তবে ব্যবহারকারীরা সেখানে API কী, অ্যাক্সেস টোকেন, ডেটাবেস ক্রেডেনশিয়াল বা সাইনিং কী-ও রাখতে পারেন। Vercel গ্রাহকদের এসব মান সম্ভাব্যভাবে ফাঁস হয়েছে বলে ধরে নিতে এবং সেগুলো বদলে নতুন মান ব্যবহার করার পরামর্শ দেয়।

এই তালিকার অর্থ এই নয় যে প্রত্যেক প্রভাবিত গ্রাহক সব ধরনের গোপন তথ্য সংরক্ষণ করেছিলেন। Vercel জানিয়েছে, গ্রাহকদের যেসব এনভায়রনমেন্ট ভেরিয়েবল সংবেদনশীল হিসেবে চিহ্নিত, সেগুলো সংরক্ষিত অবস্থায় এনক্রিপ্ট করা থাকে; ঘটনাটিতে আক্রমণ এগিয়েছিল এমন মানগুলোর মাধ্যমে, যেগুলো সংবেদনশীল নয় বলে শ্রেণিবদ্ধ ছিল এবং তাই পড়া সম্ভব ছিল।

Vercel-এর বক্তব্য অনুযায়ী, বৃহত্তর একটি আক্রমণ অভিযানের অংশ হিসেবে তৃতীয় পক্ষের একটি ছোট AI টুলের Google Workspace OAuth অ্যাপ্লিকেশনের নিরাপত্তা লঙ্ঘিত হয়। আক্রমণকারী সেই প্রবেশাধিকার ব্যবহার করে ওই টুল ব্যবহার করা একজন Vercel কর্মীর Google Workspace অ্যাকাউন্ট এবং পরে তাঁর Vercel অ্যাকাউন্টের নিয়ন্ত্রণ নেয়। সেখান থেকে অভ্যন্তরীণ পরিবেশে প্রবেশের ফলে একটি অ্যাকাউন্টে অনুপ্রবেশের প্রভাব সরবরাহ শৃঙ্খলে আরও বিস্তৃত হয়।

Vercel OAuth অ্যাপ্লিকেশনের শনাক্তকারী প্রকাশ করে এবং Google Workspace প্রশাসক ও অ্যাকাউন্ট মালিকদের একই অ্যাপ ব্যবহার করা হয়েছে কি না, তা পরীক্ষা করার আহ্বান জানায়। আক্রমণকারীর দ্রুত তৎপরতা এবং Vercel-এর পণ্যের API ইন্টারফেসগুলো সম্পর্কে বিস্তারিত জ্ঞানের ভিত্তিতে কোম্পানিটি তাকে অত্যন্ত দক্ষ বলে মূল্যায়ন করেছে। কোম্পানিটি আরও জানিয়েছে যে তারা Google Mandiant, অন্যান্য নিরাপত্তা প্রতিষ্ঠান, একই খাতের অন্য প্রতিষ্ঠান এবং আইন প্রয়োগকারী সংস্থার সঙ্গে কাজ করছে।

বুলেটিনে প্রথমে “সীমিত অংশ” এবং পরে “আরও অল্প কয়েকটি অ্যাকাউন্ট” বলা হয়েছে, তবে কোনো সুনির্দিষ্ট সংখ্যা দেওয়া হয়নি। Vercel-এর মোট গ্রাহকসংখ্যা, ডিপ্লয়মেন্টের সংখ্যা ও প্ল্যাটফর্মের ব্যবহারকারীর সংখ্যা এই তথ্য ফাঁসের মোট সংখ্যা নয়।

বিস্তৃত পর্যালোচনায় অন্য গ্রাহকদের অল্প কয়েকটি অ্যাকাউন্টেও নিরাপত্তা লঙ্ঘনের লক্ষণ পাওয়া যায়। সেগুলো এপ্রিলের ঘটনা থেকে আলাদা বলে মনে হয়েছিল এবং মূল্যায়ন অনুযায়ী, সেগুলোর সূত্রপাত Vercel-এর সিস্টেমে হয়নি। কোম্পানিটি ওই অ্যাকাউন্টগুলোর মালিকদের সঙ্গে যোগাযোগ করে, তবে সেগুলোকে এপ্রিলের তথ্য ফাঁসের ধারাবাহিকতা বা আগের কোনো Vercel নিরাপত্তা ঘটনা হিসেবে শ্রেণিবদ্ধ করেনি।

GitHub, Microsoft, npm ও Socket-এর সঙ্গে কাজ করে Vercel নিশ্চিত করেছে যে Vercel-এর প্রকাশিত কোনো npm প্যাকেজের নিরাপত্তা লঙ্ঘিত হয়নি এবং অননুমোদিত পরিবর্তনের কোনো প্রমাণ পাওয়া যায়নি। Next.js, Turbopack এবং কোম্পানির অন্যান্য ওপেন সোর্স প্রকল্প নিরাপদ ছিল। প্রকাশ্য সূত্রে ক্ষতিকর প্যাকেজ যুক্ত করা বা Vercel-এ হোস্ট করা প্রতিটি ডিপ্লয়মেন্ট প্রভাবিত হওয়ার বিষয়টি প্রতিষ্ঠিত হয়নি।

কোম্পানিটি এনভায়রনমেন্ট ভেরিয়েবলগুলোর সারসংক্ষেপ দেখার ব্যবস্থা চালু করেছে এবং সংবেদনশীল মান ব্যবস্থাপনায় উন্নতি এনেছে। গ্রাহকদের মনে রাখা উচিত, শুধু কোনো প্রকল্প বা অ্যাকাউন্ট মুছে ফেললেই ঝুঁকি দূর হয় না, কারণ চুরি হওয়া গোপন তথ্য ব্যবহার করে বাইরের কোনো প্রোডাকশন সিস্টেমে প্রবেশের সুযোগ থেকে যেতে পারে। সম্ভাব্যভাবে ফাঁস হওয়া মানগুলো আগে বদলে নতুন মান ব্যবহার করা উচিত। এরপর লগ ও সংযুক্ত সেবাগুলো পর্যালোচনা করা উচিত।

প্রকাশ্য সূত্রে যাচাইযোগ্য প্রথম প্রযুক্তিগত কার্যক্রমের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। নিশ্চিত ঘটনাপ্রবাহ হলো Context.ai OAuth-এর মাধ্যমে একজন কর্মীর অ্যাকাউন্টের নিয়ন্ত্রণ দখল, সেখান থেকে Vercel-এর পরিবেশে প্রবেশ এবং নির্দিষ্ট কিছু গ্রাহকের সংবেদনশীল নয় এমন এনভায়রনমেন্ট ভেরিয়েবল পড়া। গ্রাহক ও রেকর্ডের মোট সংখ্যা এখনো অজানা।

গ্রাহকদের উচিত সংবেদনশীল নয় এমন এনভায়রনমেন্ট ভেরিয়েবলে রাখা API কী, টোকেন, ডেটাবেস ক্রেডেনশিয়াল ও সাইনিং কী সম্ভাব্যভাবে ফাঁস হয়েছে বলে ধরে নেওয়া এবং সেগুলো বদলে নতুন মান ব্যবহার করা। সোর্স কোড, ডেটাবেস, অভ্যন্তরীণ ডিপ্লয়মেন্ট এবং কর্মীদের 580টি রেকর্ড নিয়ে ফোরামে করা দাবিগুলো Vercel নিশ্চিত করেনি। তাই সেগুলো প্রভাবিত তথ্যের ধরন ও সংখ্যাগত পরিসরের বাইরে রাখা হয়েছে।