ট্রেজর ডেটা লিক আরও তীব্র আকার ধারণ করেছে, আরও ৬৭,০০০ মার্কিন ক্রেতা প্রকাশ্যে উন্মোচিত হয়েছে

নতুনভাবে শনাক্ত রেকর্ডগুলো ২০১৯ সালের নভেম্বর থেকে ২০২১ সালের আগস্টের মধ্যে দেওয়া যুক্তরাষ্ট্রের অর্ডারগুলোকে অন্তর্ভুক্ত করে এবং এমন একটি ঘটনার পরিধি বাড়ায়, যা আগেই একাধিক দেশে আরও সাম্প্রতিক ১৩,৬৮৯ জন গ্রাহককে প্রভাবিত করেছিল। সব মিলিয়ে, লঙ্ঘনটি এখন প্রায় ৮০,০০০ জনকে জড়িয়েছে, যদিও ট্রেজরের সিস্টেম, ডিভাইস, প্রাইভেট কী এবং ওয়ালেট ব্যাকআপগুলো ক্ষতিগ্রস্ত হয়নি।

লঙ্ঘনে ট্রেজর আরও ৬৭,০০০ মার্কিন গ্রাহককে শনাক্ত করেছে

সর্বশেষ প্রকাশের পর, ট্রেজর জানায় যে তারা ২ সেপ্টেম্বর জানতে পারে শিপমঙ্ক লঙ্ঘনটি প্রাথমিকভাবে রিপোর্ট হওয়ার চেয়ে বড় ছিল। পুরোনো রেকর্ডগুলিতে গ্রাহকদের নাম, ইমেইল ঠিকানা, ফোন নম্বর, শিপিং ঠিকানা এবং অর্ডার নম্বর রয়েছে, যা আক্রমণকারীদের এমন তথ্য দেয় যা প্রতারণাকে আরও অনেক বেশি বিশ্বাসযোগ্য করে তুলতে পারে।

এই আবিষ্কারটি বিশেষভাবে উদ্বেগজনক, কারণ ট্রেজরের দাবি—তারা বারবার শিপমঙ্ককে তথ্য মুছে ফেলতে বলেছিল এবং লিখিত নিশ্চয়তাও পেয়েছিল যে তা অপসারণ করা হয়েছে। ট্রেজর জানায়, এসব আশ্বাস তাদের চুক্তি, ডেটা নীতি এবং ফালফিলমেন্ট প্রদানকারীর সঙ্গে পূর্ববর্তী যোগাযোগের সঙ্গে সামঞ্জস্যপূর্ণ ছিল।

এটি ফালফিলমেন্ট পার্টনারদের সঙ্গে ট্রেজরের বিজ্ঞাপিত ৯০-দিনের ডেটা রিটেনশন নীতিকে নিয়েও প্রশ্ন তোলে। নতুনভাবে পাওয়া রেকর্ডগুলো বহু বছর আগের, যা দেখায় যে প্রভাবিত ২০১৯-২০২১ সালের মার্কিন গ্রাহকদের ক্ষেত্রে নীতিটি কার্যকর করা হয়নি।

ফাঁস হওয়া ঠিকানা ইমেইল ফিশিংয়ের বাইরে হুমকিকে নিয়ে যায়

উন্মোচিত তথ্য কোনো আক্রমণকারীকে দূর থেকে ট্রেজর ওয়ালেটে প্রবেশাধিকার দেয় না। প্রাইভেট কী এবং সিড ফ্রেজ—ক্রিপ্টো ওয়ালেট নিয়ন্ত্রণে ব্যবহৃত গোপন রিকভারি শব্দগুলো—এই লঙ্ঘনের অংশ ছিল না।

কিন্তু উন্মোচিত তথ্যের ধরন একটি ভিন্ন সমস্যার সৃষ্টি করে। ট্রেজর সতর্ক করেছে যে ফাঁস হওয়া ফোন নম্বর ও বাড়ির ঠিকানা সম্ভাব্যভাবে প্রভাবিত গ্রাহকদের শারীরিক ঝুঁকিতে ফেলতে পারে, আর প্রকৃত অর্ডার নম্বর ও যোগাযোগের তথ্য প্রতারকদেরকে কোম্পানি সেজে আরও বিশ্বাসযোগ্যভাবে প্রতারণা করতে সাহায্য করতে পারে।

লঙ্ঘনটির উৎস ট্রেজরের বাইরে। আক্রমণকারীরা শিপমঙ্ক ব্যবহৃত অ্যানালিটিক্স প্ল্যাটফর্ম মেটাবেজে আগে অজানা একটি SQL-ইনজেকশন দুর্বলতাকে কাজে লাগায়। মেটাবেজ প্রায় ৬ আগস্ট শিপমঙ্ককে জানায়, দুর্বলতাটি প্যাচ করে এবং সেশনগুলো ইনভ্যালিডেট করে, আর পরে শিপমঙ্ক ব্যাখ্যা করে যে তারা তাদের সিস্টেম সুরক্ষিত করেছে।

তৃতীয় পক্ষের ডেটা ব্যর্থতা হার্ডওয়্যার ওয়ালেট ক্রেতাদের ঝুঁকিতে ফেলে

এই ঘটনাটি ট্রেজর গ্রাহকদের জড়িয়ে থাকা অন্যান্য তৃতীয় পক্ষের উন্মোচনের পর ঘটল। ২০২২ সালের একটি ঘটনায় প্রায় ১,০৬,৮৫৬ জন গ্রাহক প্রভাবিত হয়েছিল, আর ২০২৪ সালে একটি কম্প্রোমাইজড সাপোর্ট পোর্টাল সর্বোচ্চ ৬৬,০০০টি নাম ও ইমেইল ঠিকানা উন্মোচন করে। প্রতিটি ক্ষেত্রেই হার্ডওয়্যার ওয়ালেটগুলোকে দূর থেকে কম্প্রোমাইজ করা যায়নি।

গ্রাহকরা কীভাবে প্রতিক্রিয়া জানাবেন তা নির্ধারণের ক্ষেত্রে এই পার্থক্যটি গুরুত্বপূর্ণ। ট্রেজর সতর্ক করে যে কোম্পানির কেউ কখনও ওয়ালেট ব্যাকআপ চাইবে না—অর্থাৎ গ্রাহকদের কখনও কোনো ওয়েবসাইটে তাদের সিড ফ্রেজ প্রবেশ করানো বা সাপোর্ট দিচ্ছে বলে দাবি করা কারও হাতে তা তুলে দেওয়া উচিত নয়।

শিপমঙ্কের ভবিষ্যৎ অনিশ্চিত থাকলেও ট্রেজর অ্যানোনিমাস ডেলিভারি এগিয়ে নিচ্ছে

ট্রেজর এখন একটি অ্যানোনিমাস ডেলিভারি সিস্টেম প্রচার করছে, যার লক্ষ্য হার্ডওয়্যার ওয়ালেট কেনার সময় সংরক্ষিত গ্রাহক তথ্যের পরিমাণ কমানো। এই সিস্টেমে লকার পিকআপ, নিরপেক্ষ প্যাকেজিং, একটি সাধারণ প্রেরক, এবং ডেলিভারির পর শিপিং আইডেন্টিফায়ার স্বয়ংক্রিয়ভাবে মুছে ফেলার ব্যবস্থা রয়েছে—সেপ্টেম্বরে ইউরোপে লঞ্চের লক্ষ্য নির্ধারিত, আর ২০২৬ সালের শেষ নাগাদ যুক্তরাষ্ট্রে রোলআউটের পরিকল্পনা আছে।

এ মুহূর্তে, ট্রেজর শিপমঙ্ককে বাদ দেওয়ার কোনো পরিকল্পনা ঘোষণা করেনি। কোম্পানিটি আগে বলেছিল যে ঘটনার পূর্ণ চিত্র পাওয়ার পর অংশীদারিত্বের ভবিষ্যৎ নির্ধারণ করবে—প্রভাবিত গ্রাহকের সংখ্যা ৮০,০০০-এর কাছাকাছি পৌঁছালেও সেই সিদ্ধান্তটি এখনো অমীমাংসিত। বিষয়টি ২০২৬ সালে ঘটে যাওয়া কয়েকটি ভীতিকর হার্ডওয়্যার ওয়ালেট ঘটনার পর এসেছে, সেফপাল এবং কোল্ডকার্ড ওয়ালেট-এর সঙ্গে সংশ্লিষ্ট।