BAYADA Home Health Care-এর 2026 সালের তথ্যের নিরাপত্তা লঙ্ঘন

ঘটনার প্রাথমিক উৎস হলো BAYADA-এর নিজস্ব ওয়েবসাইটে লিংক দেওয়া তিন পৃষ্ঠার “সাম্প্রতিক তথ্যের গোপনীয়তা-সংক্রান্ত ঘটনা” শীর্ষক বিজ্ঞপ্তি। এতে অননুমোদিত পক্ষের অ্যাক্সেসের সময়কাল, প্রভাবিত সিস্টেম ও তথ্য, তদন্তের ধরন, প্রাথমিকভাবে চিহ্নিত তথ্যের বিভাগ, সরকারি সংস্থাগুলোকে জানানো প্রতিবেদন এবং প্রতিষ্ঠানের সুপারিশ করা সুরক্ষামূলক পদক্ষেপ সরাসরি বর্ণনা করা হয়েছে।

দ্বিতীয় আনুষ্ঠানিক উৎস হলো টেক্সাসের অ্যাটর্নি জেনারেলের নথি BR-0005185। এতে প্রতিষ্ঠানের আইনগত নাম BAYADA Home Health Care, Inc. এবং পেনসকেনের ঠিকানা ব্যবহার করা হয়েছে। নথিটিতে ঘটনার সময়কাল 18 ফেব্রুয়ারি থেকে 2 মার্চ, দেশজুড়ে মোট 550,164 জন এবং তাঁদের মধ্যে টেক্সাসের 1,270 জন প্রভাবিত হওয়ার তথ্য, চূড়ান্তভাবে চিহ্নিত তথ্যের বিভাগ এবং ডাক ও ওয়েবসাইটের মাধ্যমে ভোক্তাদের অবহিত করার কথা প্রকাশ করা হয়েছে। প্রতিষ্ঠান, ঠিকানা ও ঘটনার সময়কালের সুনির্দিষ্ট মিল থেকে বোঝা যায়, উভয় উৎস একই ঘটনার বিবরণ দিচ্ছে।

BAYADA জানায়, তারা 2026 সালের 2 মার্চ প্রথম সাইবার নিরাপত্তাজনিত ঘটনাটি সম্পর্কে জানতে পারে। এরপর পরিচালিত ফরেনসিক তদন্তে নির্ধারিত হয় যে একটি অননুমোদিত পক্ষ 18 ফেব্রুয়ারি থেকে 2 মার্চ পর্যন্ত BAYADA-এর কিছু সিস্টেম ও তথ্য অ্যাক্সেস করেছিল। প্রকাশ্য বিজ্ঞপ্তিতে ওই পরিবেশে প্রবেশের জন্য ব্যবহৃত অ্যাকাউন্ট, অ্যাপ্লিকেশন, দুর্বলতা বা প্রাথমিক প্রবেশপদ্ধতি শনাক্ত করা হয়নি।

তাই ঘটনাটিতে র‍্যানসমওয়্যার, ফিশিং, লগইন তথ্য চুরি বা কোনো নির্দিষ্ট সফটওয়্যার ত্রুটির সুযোগ নেওয়া হয়েছিল বলে ধরে নেওয়া উচিত নয়। BAYADA সিস্টেম ও তথ্যে অননুমোদিত অ্যাক্সেসের বিষয়টি নিশ্চিত করেছে, কিন্তু সংশ্লিষ্ট পক্ষকে শনাক্ত করেনি, তথ্য বাইরে স্থানান্তর করা হয়েছিল কি না তা জানায়নি, মুক্তিপণের দাবির বিবরণ দেয়নি এবং তথ্য অনলাইনে প্রকাশিত হওয়ার বিষয়টিও নিশ্চিত করেনি। প্রতিষ্ঠানটি জানায়, বিজ্ঞপ্তি প্রকাশের সময় পর্যন্ত এই ঘটনার সঙ্গে সম্পর্কিত পরিচয় চুরি বা জালিয়াতির কোনো ইঙ্গিত পাওয়া যায়নি। নির্দিষ্ট সময়সীমার এই পর্যবেক্ষণ পরবর্তী ঝুঁকির সম্ভাবনা নাকচ করে না।

BAYADA-এর প্রাথমিক প্রকাশ্য বিজ্ঞপ্তি অনুযায়ী, প্রভাবিত তথ্যের মধ্যে নাম, জন্মতারিখ, রোগনির্ণয় এবং চিকিৎসা বা শারীরিক চিকিৎসাসংক্রান্ত তথ্য, সেবাদাতার তথ্য, স্বাস্থ্যবিমা পরিকল্পনার তথ্য, প্রেসক্রিপশনের তথ্য, হাসপাতালে ভর্তি ও ছাড়পত্রের তথ্য, প্রতিবন্ধিতাসংক্রান্ত তথ্য এবং সোশ্যাল সিকিউরিটি নম্বর থাকতে পারে। সে সময় প্রতিষ্ঠানটি জানিয়েছিল যে তথ্য পর্যালোচনা তখনো চলছিল এবং ব্যক্তি ভেদে তথ্যের ধরন আলাদা হতে পারে।

টেক্সাসের পরবর্তী নথিতে নিশ্চিত তথ্যের বিভাগ হিসেবে নাম, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর, আর্থিক তথ্য, চিকিৎসাসংক্রান্ত তথ্য এবং স্বাস্থ্যবিমার তথ্য উল্লেখ করা হয়েছে। উৎসগুলো একসঙ্গে বিবেচনা করলে বোঝা যায়, পরবর্তী পর্যালোচনায় অন্তত কিছু মানুষের ক্ষেত্রে কোন কোন তথ্য প্রভাবিত হয়েছে তা আরও স্পষ্ট হয়েছে। তবে কোনো একটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রভাবিত হয়েছে বলে ধরে নেওয়া উচিত নয়। কোনো ব্যক্তির নির্দিষ্ট কোন তথ্য প্রভাবিত হয়েছে, সে বিষয়ে সবচেয়ে সরাসরি উৎস হলো তাঁর নিজের কাছে পাঠানো বিজ্ঞপ্তির চিঠি।

টেক্সাসের অ্যাটর্নি জেনারেলের নথি BR-0005185-এ দেশজুড়ে প্রভাবিত মানুষের সুনির্দিষ্ট মোট সংখ্যা 550,164 এবং তাঁদের মধ্যে টেক্সাসের বাসিন্দার সংখ্যা 1,270 বলা হয়েছে। টেক্সাসের সংখ্যাটি দেশজুড়ে মোট সংখ্যার মধ্যেই অন্তর্ভুক্ত; সেটি আবার যোগ করা হয় না। পোর্টালের নথিটিতে প্রকাশের তারিখ হিসেবে 2026 সালের 21 জুলাই দেখা যায়। BAYADA-এর প্রথম বিজ্ঞপ্তিতে যে তথ্য পর্যালোচনা চলমান ছিল বলে উল্লেখ করা হয়েছিল, তা শেষ হওয়ার পর প্রভাবিত মানুষের আরও পূর্ণাঙ্গ সংখ্যা এই নথিতে দেওয়া হয়েছে।

তৃতীয় পক্ষের তথ্য পর্যালোচনা তখনো চলছিল বলে কোম্পানির প্রাথমিক প্রকাশ্য বিজ্ঞপ্তিতে মোট সংখ্যা উল্লেখ করা হয়নি। তাই টেক্সাসের পরবর্তী নথিতে দেওয়া সুনির্দিষ্ট সংখ্যাটিই প্রযোজ্য। এই ঘটনা BAYADA-এর আগে প্রকাশ করা আরেকটি ঘটনা থেকে আলাদা, যেটি ভিন্ন সেবাদাতা Doctor Alliance-এর সঙ্গে সম্পর্কিত ছিল এবং যার সময়কাল ছিল 2025 সালের 31 অক্টোবর থেকে 17 নভেম্বর। দুটি ঘটনায় প্রভাবিত মানুষের সংখ্যা একসঙ্গে যোগ করা উচিত নয়।

BAYADA জানায়, তারা ঘটনা মোকাবিলার প্রোটোকল সক্রিয় করে, তৃতীয় পক্ষের বিশেষজ্ঞদের নিয়ে ফরেনসিক তদন্ত শুরু করে এবং ঘটনার পরিসর নিশ্চিত করা ও নিজেদের সিস্টেম সুরক্ষিত করার কাজ করে। প্রতিষ্ঠানটি ফেডারেল আইনশৃঙ্খলা রক্ষাকারী সংস্থা এবং মার্কিন স্বাস্থ্য ও মানবসেবা বিভাগসহ সংশ্লিষ্ট সরকারি সংস্থাগুলোকে ঘটনাটি জানায়। তারা আরও জানায়, সুরক্ষা জোরদার করতে বিদ্যমান নিরাপত্তাব্যবস্থা, নীতি ও পদ্ধতি পর্যালোচনা করা হচ্ছিল।

প্রাথমিক বিজ্ঞপ্তিতে বলা হয়, তথ্য পর্যালোচনা শেষ হলে সংশ্লিষ্ট ব্যক্তিদের আলাদাভাবে জানানো হবে। টেক্সাসের পরবর্তী নথিতে নিশ্চিত করা হয়েছে যে ওয়েবসাইট ও যুক্তরাষ্ট্রের ডাকসেবার মাধ্যমে ভোক্তাদের অবহিত করা হয়েছে। প্রকাশ্য বিজ্ঞপ্তিতে কোনো নির্দিষ্ট ক্রেডিট পর্যবেক্ষণ বা পরিচয় সুরক্ষা সেবা দেওয়ার প্রস্তাবের উল্লেখ নেই। এতে সহায়তার জন্য 1-800-305-3000 নম্বর দেওয়া হয়েছে, যেখানে যুক্তরাষ্ট্রের পূর্বাঞ্চলীয় সময় অনুযায়ী প্রতিদিন সকাল 8টা থেকে সন্ধ্যা 7টা পর্যন্ত যোগাযোগ করা যায়। পেনসকেনে BAYADA-এর গোপনীয়তা কর্মকর্তার কাছে চিঠি পাঠানোর ঠিকানাও দেওয়া হয়েছে।

আপনি বিজ্ঞপ্তির চিঠি পেয়ে থাকলে, আপনার কোন তথ্য প্রভাবিত হয়েছে তা জানতে নিজের চিঠির ওপর নির্ভর করুন। অপরিচিত লেনদেন বা দাবির খোঁজে স্বাস্থ্যবিমার সুবিধার বিবরণী, রোগী পোর্টাল, ব্যাংক ও কার্ডের লেনদেন এবং বিনামূল্যের ক্রেডিট রিপোর্ট পর্যালোচনা করুন। SSN বা ড্রাইভিং লাইসেন্সের তথ্য প্রভাবিত হয়ে থাকলে, বিনামূল্যে ক্রেডিট ফ্রিজ বা জালিয়াতির সতর্কবার্তা চালু করার কথা বিবেচনা করুন। আর্থিক অ্যাকাউন্টের তথ্য প্রভাবিত হয়ে থাকলে, পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন।

BAYADA, কোনো বিমা প্রতিষ্ঠান, ব্যাংক বা সরকারি সংস্থার নাম ব্যবহার করে আসা অপ্রত্যাশিত বার্তা স্বাধীনভাবে যাচাই করুন। কোনো বার্তায় আপনার স্বাস্থ্যসেবার প্রকৃত তথ্য থাকলেই সেটি বৈধ হয়ে যায় না। পাসওয়ার্ড, SSN, বিমার সদস্য নম্বর বা একবার ব্যবহারযোগ্য কোড প্রকাশ করবেন না। সন্দেহজনক স্বাস্থ্যসেবার দাবি বিমা প্রতিষ্ঠানকে এবং সন্দেহজনক আর্থিক লেনদেন সংশ্লিষ্ট প্রতিষ্ঠানকে জানান। পরিচয়ের অপব্যবহার হয়েছে বলে সন্দেহ হলে IdentityTheft.gov-এর মাধ্যমে জানান এবং উপযুক্ত ক্ষেত্রে আইনশৃঙ্খলা রক্ষাকারী সংস্থার কাছেও অভিযোগ করুন।