AdaptHealth-এর 2026 সালের তথ্য লঙ্ঘন

AdaptHealth যে প্রধান তিনটি শ্রেণির কথা নিশ্চিত করেছে, সেগুলো হলো ব্যক্তিকে শনাক্ত করা যায় এমন তথ্য, সুরক্ষিত স্বাস্থ্যতথ্য এবং বিমার বিলিংয়ের সঙ্গে যুক্ত সংরক্ষিত পাসওয়ার্ড ফাইল। PII ও PHI বিস্তৃত শ্রেণিবিভাগ; এগুলোর অন্তর্ভুক্ত কোন কোন তথ্য (যেমন নাম, জন্মতারিখ, ঠিকানা, রোগনির্ণয়ের তথ্য, ব্যবস্থাপত্র বা বিমা নম্বর) ছিল, তা প্রতিষ্ঠানটি এখনো জানায়নি।

প্রতিষ্ঠানটি স্পষ্টভাবে বলেছে যে ঘটনায় প্রভাবিত সিস্টেমে তারা সোশ্যাল সিকিউরিটি নম্বর সংগ্রহ করে না এবং সংশ্লিষ্ট সিস্টেমগুলোতে ব্যাংক অ্যাকাউন্ট বা পেমেন্ট কার্ডের তথ্য সংরক্ষণ করে না। SSNs, ক্রেডিট কার্ড, ব্যাংক অ্যাকাউন্ট ও পেমেন্টের তথ্যকে নিরাপত্তা লঙ্ঘনের শিকার তথ্যের শ্রেণি হিসেবে তালিকাভুক্ত করা হয়নি। পাসওয়ার্ড ফাইলগুলো বিমার বিলিংয়ের সঙ্গে সম্পর্কিত বলে নিশ্চিত করা হলেও, AdaptHealth সেগুলোর বিন্যাস, এনক্রিপশনের অবস্থা, কতটা হালনাগাদ ছিল বা সেগুলোতে কতটি অ্যাকাউন্টের তথ্য ছিল, তা প্রকাশ করেনি।

SEC-তে দাখিল করা নথি অনুযায়ী, আক্রমণটি শুরু হয় সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে, যা তৃতীয় পক্ষের একজন ঠিকাদারের সঙ্গে যুক্ত ব্যবহারকারী সেশনের নিরাপত্তা ভঙ্গ করে। এই বর্ণনা থেকে কোনো সফটওয়্যার দুর্বলতা কাজে লাগানো হয়েছিল বা AdaptHealth-এর পুরো নেটওয়ার্কের নিরাপত্তা ভঙ্গ হয়েছিল বলে প্রমাণিত হয় না। অননুমোদিত পক্ষটি নির্দিষ্ট কিছু ক্লাউডভিত্তিক ব্যবসায়িক অ্যাপ্লিকেশনে প্রবেশ করে। তবে প্রাথমিক প্রবেশাধিকার পেতে ইমেইল, টেলিফোন, ভুয়া লগইন পৃষ্ঠা বা সোশ্যাল ইঞ্জিনিয়ারিংয়ের অন্য কোনো পদ্ধতি ব্যবহার করা হয়েছিল কি না, তা প্রতিষ্ঠানটি জানায়নি।

যেসব ব্যবস্থায় প্রবেশ করা হয়েছিল, সেগুলোর মধ্যে ছিল অভ্যন্তরীণ রোগী ব্যবস্থাপনা সিস্টেম, নথি সংরক্ষণের প্ল্যাটফর্ম এবং নির্দিষ্ট কিছু বাহ্যিক ইলেকট্রনিক স্বাস্থ্যরেকর্ড পোর্টাল। এই তালিকা থেকে প্রমাণিত হয় না যে প্রতিটি প্ল্যাটফর্মের সব রেকর্ড বের করে নেওয়া হয়েছিল। AdaptHealth জানায়, কোন কোন তথ্যসমষ্টি কতটা প্রভাবিত হয়েছে, তা নির্ধারণের কাজ তখনো চলছিল।

আক্রমণকারী পক্ষ 2026 সালের 15 জুন AdaptHealth-কে জানায় যে তাদের সিস্টেম থেকে তথ্য নেওয়া হয়েছে। ঝুঁকিতে থাকা তথ্যের ধরন ও সম্ভাব্য পরিমাণের কারণে 27 জুন প্রতিষ্ঠানটি ঘটনাটিকে গুরুত্বপূর্ণ বলে নির্ধারণ করে এবং 2 জুলাই Form 8-K দাখিল করে। ঠিক কবে প্রথম অননুমোদিত প্রবেশ ঘটেছিল এবং নিরাপত্তা ভঙ্গ হওয়া সেশনটি কতক্ষণ স্থায়ী ছিল, তা প্রকাশ করা হয়নি।

ঘটনার গুরুত্ব মূল্যায়ন থেকে ধারণা পাওয়া যায় যে সংশ্লিষ্ট তথ্যের সম্ভাব্য পরিমাণ উল্লেখযোগ্য হতে পারে। তবে দাখিল করা নথিতে ব্যক্তি, ফাইল বা রেকর্ডের কোনো সংখ্যা দেওয়া হয়নি। প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনার কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য উৎসগুলোতে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। পরে রোগীদের পাঠানো নোটিশে বা স্বাস্থ্যসেবা নিয়ন্ত্রক সংস্থার নথিতে নির্ভরযোগ্য সংখ্যা প্রকাশিত হলে তা হালনাগাদ করা যাবে। এই পর্যায়ে সংখ্যাটি অজানা হিসেবে উল্লেখ করাই সবচেয়ে নির্ভুল ও সতর্ক উপস্থাপন।

আক্রমণ শনাক্ত করার পর AdaptHealth নিরাপত্তা ভঙ্গ হওয়া ব্যবহারকারী অ্যাকাউন্টটি নিষ্ক্রিয় করে, প্রভাবিত লগইন তথ্য পুনর্নির্ধারণ করে এবং অতিরিক্ত প্রবেশাধিকার নিয়ন্ত্রণ চালু করে। প্রতিষ্ঠানটি জানায়, ঘটনাটি নিয়ন্ত্রণে আনা হয়েছে, চলমান তদন্তে বাইরের ডিজিটাল ফরেনসিক দলগুলো সহায়তা করছে এবং বের করে নেওয়া তথ্য ছড়িয়ে পড়ার ঝুঁকি কমাতে পদক্ষেপ নেওয়া হয়েছে। এগুলোই প্রতিষ্ঠানটির প্রকাশ করা সুনির্দিষ্ট ব্যবস্থা; নথিভুক্ত নয় এমন কোনো প্রযুক্তিগত পরিবর্তন এই বিবরণে যোগ করা হয়নি।

নথি দাখিলের তারিখ পর্যন্ত ঘটনাটি AdaptHealth-এর কার্যক্রমে উল্লেখযোগ্য প্রভাব ফেলেনি বা রোগীদের সেবা দেওয়ার সক্ষমতায় বাধা সৃষ্টি করেনি। তা সত্ত্বেও প্রতিষ্ঠানটি বলেছে, ঘটনা মোকাবিলা, আইনি ও নিয়ন্ত্রক বিষয়, অবহিতকরণ, রোগী, সুনাম এবং আর্থিক অবস্থার ওপর এর সব প্রভাব তখনো নির্ধারণ করা সম্ভব হয়নি। সাইবার নিরাপত্তা বিমা কিছু ক্ষতির জন্য ক্ষতিপূরণ দিতে পারে, তবে বিমা চুরি হওয়া তথ্যের কারণে গোপনীয়তা ও অ্যাকাউন্টের নিরাপত্তার ওপর প্রভাব দূর করে না।

সুরক্ষিত স্বাস্থ্যতথ্য সংবেদনশীল, কারণ তা থেকে কোনো ব্যক্তির স্বাস্থ্যসেবা গ্রহণের সম্পর্ক বা চিকিৎসাসংক্রান্ত পরিস্থিতি জানা যেতে পারে। বিমার বিলিংয়ের সঙ্গে সম্পর্কিত পাসওয়ার্ড ফাইলগুলোর তথ্য হালনাগাদ ও উদ্ধারযোগ্য হলে সেগুলো অ্যাকাউন্টে অননুমোদিত প্রবেশ বা প্রতারণার ঝুঁকি তৈরি করতে পারে। তথ্যের নির্দিষ্ট ক্ষেত্রগুলো প্রকাশ করা হয়নি বলে পাঠকদের ধরে নেওয়া উচিত নয় যে প্রত্যেক রোগীর একই তথ্য চুরি হয়েছে। প্রত্যেককে পরবর্তী সময়ে পাঠানো নোটিশে যে নির্দিষ্ট তথ্যের উল্লেখ থাকবে, তার ভিত্তিতে ঝুঁকি মূল্যায়ন করা উচিত।

যেসব রোগীকে ঘটনা সম্পর্কে জানানো হয়েছে, তাঁদের উচিত AdaptHealth বা কোনো বিমা প্রতিষ্ঠানের নামে পাঠানো অপ্রত্যাশিত বিল, পোর্টালে লগইন করার লিংক, পাসওয়ার্ড পুনর্নির্ধারণের বার্তা বা স্বাস্থ্যতথ্য নিশ্চিত করার অনুরোধ আলাদাভাবে যাচাই করা। অন্য অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হলে সেগুলো বদলে ফেলা উচিত এবং যেখানে সুযোগ আছে, সেখানে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। প্রভাবিত সিস্টেমগুলোতে SSNs ও পেমেন্ট কার্ডের তথ্য না থাকলেও ফিশিং এবং চিকিৎসাসংক্রান্ত গোপনীয়তার ঝুঁকি দূর হয় না।

প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনার কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য উৎসগুলোতে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। AdaptHealth-এর মোট রোগীর সংখ্যা, সরঞ্জাম বিক্রি এবং সহযোগী প্রতিষ্ঠানগুলোর গ্রাহকসমষ্টি এই তথ্য লঙ্ঘনের পরিসর নির্দেশ করে না। তথ্যের শ্রেণিগুলো SEC-তে দাখিল করা নথিতে বের করে নেওয়া হয়েছে বলে নিশ্চিত করা বিস্তৃত শ্রেণিগুলো বোঝায়; প্রতিটি রেকর্ডে প্রতিটি তথ্যক্ষেত্র ছিল, এমনটি বোঝায় না।

যাচাই করে নিশ্চিত হওয়া সিদ্ধান্ত হলো, সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে তৃতীয় পক্ষের একজন ঠিকাদারের সেশনের নিরাপত্তা ভঙ্গ করা হয় এবং এর ফলে AdaptHealth-এর নির্দিষ্ট কিছু ক্লাউড অ্যাপ্লিকেশন ও ইলেকট্রনিক স্বাস্থ্যরেকর্ড পোর্টাল থেকে PII, PHI এবং বিমার বিলিংয়ের পাসওয়ার্ড ফাইল চুরি করা সম্ভব হয়। ঘটনাটি নিয়ন্ত্রণে আনা হয়েছে এবং সেবায় উল্লেখযোগ্য ব্যাঘাতের কোনো খবর জানানো হয়নি। তবে তদন্ত চলাকালে ক্ষতিগ্রস্তের সংখ্যা ও তথ্যের নির্দিষ্ট ক্ষেত্রগুলো এখনো নির্ধারিত হয়নি।