Vercel হ্যাক কাণ্ড: OAuth সাপ্লাই চেইন আক্রমণে উন্মোচিত বড় নিরাপত্তা ঝুঁকি

ক্লাউড ডেভেলপমেন্ট প্ল্যাটফর্ম Vercel-এ ঘটে যাওয়া সাম্প্রতিক নিরাপত্তা লঙ্ঘন প্রযুক্তি বিশ্বে বড় আলোড়ন তৈরি করেছে। এই ঘটনায় একটি OAuth সাপ্লাই চেইন আক্রমণের মাধ্যমে হ্যাকাররা প্ল্যাটফর্মের অভ্যন্তরীণ সিস্টেমে প্রবেশ করতে সক্ষম হয়, যা ব্যবহারকারীদের গোপন তথ্য ঝুঁকির মুখে ফেলে।

প্রাথমিকভাবে জানা গেছে, থার্ড-পার্টি অ্যাপ Context.ai-এর Google Workspace OAuth অ্যাপ্লিকেশন হ্যাক হওয়ার মাধ্যমে এই আক্রমণের সূচনা হয়। এরপর সেই অ্যাক্সেস ব্যবহার করে আক্রমণকারীরা Vercel-এর অভ্যন্তরীণ পরিবেশে প্রবেশ করে এবং বিভিন্ন প্রজেক্টের environment variables বা গোপন কনফিগারেশন তথ্য দেখতে সক্ষম হয়।

এই ঘটনায় সবচেয়ে বড় উদ্বেগের বিষয় হলো OAuth-ভিত্তিক ট্রাস্ট সিস্টেম। একবার কোনো থার্ড-পার্টি অ্যাপের মাধ্যমে অনুমতি পেলে, সেটি অনেক সময় দীর্ঘমেয়াদে কার্যকর থাকে এবং পাসওয়ার্ড ছাড়াই প্রবেশের সুযোগ দেয়। ফলে প্রচলিত নিরাপত্তা ব্যবস্থাগুলো সহজেই এড়িয়ে যাওয়া সম্ভব হয়।

বিশেষজ্ঞরা বলছেন, Vercel-এর environment variable মডেলও এই ঝুঁকি বাড়িয়েছে। যেসব তথ্য “sensitive” হিসেবে চিহ্নিত ছিল না, সেগুলো এনক্রিপ্টেড না থাকায় আক্রমণকারীরা সহজেই সেগুলো পড়তে পেরেছে। এতে সীমিত সংখ্যক হলেও গ্রাহকদের গুরুত্বপূর্ণ API key ও অন্যান্য তথ্য ফাঁস হওয়ার আশঙ্কা তৈরি হয়।

এই হামলার আরেকটি গুরুত্বপূর্ণ দিক হলো দীর্ঘ সময় ধরে অদৃশ্য থাকা। প্রায় ২০২৪ সালের মাঝামাঝি শুরু হওয়া এই অনুপ্রবেশ ২০২৬ সালে প্রকাশ পায়, যা নিরাপত্তা পর্যবেক্ষণ ও তথ্য প্রকাশে বিলম্বের বিষয়টিকে সামনে এনেছে।

বর্তমান সময়ে OpenAI, Google সহ বড় প্রযুক্তি কোম্পানিগুলোর প্ল্যাটফর্মেও API key ও ক্লাউড ক্রেডেনশিয়াল সংরক্ষণের ঝুঁকি বাড়ছে। ফলে এই ধরনের সাপ্লাই চেইন আক্রমণ ভবিষ্যতে আরও বড় হুমকি হয়ে উঠতে পারে।

বিশ্লেষকদের মতে, এই ঘটনা থেকে বড় শিক্ষা হলো—OAuth অ্যাপগুলোকে থার্ড-পার্টি ভেন্ডর হিসেবে বিবেচনা করা, দীর্ঘমেয়াদি অ্যাক্সেস টোকেন কমানো এবং সংবেদনশীল তথ্য এনক্রিপ্টেড রাখা জরুরি।

সব মিলিয়ে, Vercel হ্যাক শুধু একটি প্ল্যাটফর্মের সমস্যা নয়; এটি পুরো সফটওয়্যার সাপ্লাই চেইনের নিরাপত্তা নিয়ে নতুন করে ভাবার একটি বড় সতর্কবার্তা।