Brevard Skin and Cancer Center-এর 2025 সালের তথ্য ফাঁস

ঘটনার বিবরণের প্রধান উৎস হলো Brevard-এর প্রকাশ্য নিরাপত্তা বিজ্ঞপ্তি। পর্যালোচনার সময় প্রতিষ্ঠানের মূল পেজে 404 দেখালেও, সংরক্ষিত একটি PDF থেকে 14 অক্টোবর ঘটনাটি শনাক্ত হওয়া, আনুমানিক 28 সেপ্টেম্বর অননুমোদিত প্রবেশ, তথ্যের ধরন, FBI-কে জানানোর বিষয় এবং IDX-এর সহায়তা ফোন নম্বর নিশ্চিত করা যায়। বিজ্ঞপ্তিতে স্পষ্টভাবে বলা হয়েছে যে সিস্টেমগুলো থেকে নির্দিষ্ট কিছু তথ্য বের করে নিয়ে যাওয়া হয়েছিল।

দ্বিতীয় উৎস হলো 54,570 জনের বিষয়ে সরকারি HHS/OCR নথি। ম্যাসাচুসেটসের অ্যাটর্নি জেনারেল কর্তৃক প্রকাশিত 26 ডিসেম্বরের একটি ভোক্তা চিঠি থেকেও রোগীদের তথ্যের ধরন, ঘটনার তারিখ এবং 24 মাসের IDX সেবার বিষয়টি স্বতন্ত্রভাবে সমর্থিত হয়। অফিসিয়াল নথিগুলোতে কোনো হামলাকারীর নাম বা 1.8 টেরাবাইট তথ্যের পরিমাণ নিশ্চিত করা হয়নি, তাই গৌণ উৎসের ওই দাবিগুলো এখানে অন্তর্ভুক্ত করা হয়নি।

14 অক্টোবর ঘটনাটি শনাক্ত করার পর Brevard সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়োগ করে, ঘটনা নিয়ন্ত্রণে আনার পদক্ষেপ নেয় এবং তার ইলেকট্রনিক ব্যবস্থার সমস্যা সংশোধনের কাজ শুরু করে। তদন্তে নির্ধারিত হয় যে অনুমোদনহীন একটি তৃতীয় পক্ষ 28 সেপ্টেম্বর বা তার কাছাকাছি সময়ে কিছু তথ্য ব্যবস্থায় প্রবেশ করেছিল। প্রতিষ্ঠানটি জানায়, ক্ষতিগ্রস্ত ব্যক্তিদের শনাক্ত করতে এবং কোন কোন ধরনের তথ্য অ্যাক্সেস করা হয়েছিল তা নির্ধারণ করতে তারা সংশ্লিষ্ট তথ্য বিশ্লেষণ অব্যাহত রেখেছিল।

প্রকাশ্য বিবরণে অননুমোদিত প্রবেশ ঠিক কখন শেষ হয়েছিল, প্রথম প্রবেশের পদ্ধতি কী ছিল বা অননুমোদিত পক্ষটির পরিচয় কী, এসব জানানো হয়নি। তবে এতে নির্দিষ্ট কিছু তথ্য সিস্টেম থেকে বের করে নিয়ে যাওয়ার বিষয়টি নিশ্চিত করা হয়েছে। ফলে এটি কেবল সম্ভাব্য অননুমোদিত প্রবেশ হিসেবে বর্ণিত কোনো ঘটনা থেকে আলাদা। বিজ্ঞপ্তিতে আরও বলা হয়েছে, ঘটনাটি সেবা ব্যাহত করেনি এবং রোগীদের চিকিৎসায় বাধা সৃষ্টি করবে না।

বর্তমান বা সাবেক রোগীদের ক্ষেত্রে সম্ভাব্য তথ্যের মধ্যে রয়েছে পুরো নাম, জন্মতারিখ, বাসার ঠিকানা, সামাজিক নিরাপত্তা নম্বর, ফোন নম্বর, রোগনির্ণয় ও ক্লিনিক্যাল তথ্য, ইমেইল ঠিকানা এবং বিল ও দাবি-সংক্রান্ত তথ্য। ম্যাসাচুসেটসের ভোক্তা চিঠিতেও রোগীদের তথ্যের একই ধরনগুলো উল্লেখ করা হয়েছে। প্রত্যেক ব্যক্তির ক্ষেত্রে সব ধরনের তথ্য ছিল বলে ধরে নেওয়া উচিত নয়।

বর্তমান বা সাবেক কর্মীদের ক্ষেত্রে সম্ভাব্য তথ্যের মধ্যে রয়েছে পুরো নাম, জন্মতারিখ, বাসার ঠিকানা, SSN, ফোন নম্বর, FMLA ফর্মে উল্লেখ করা স্বাস্থ্যগত অবস্থা এবং ইমেইল ঠিকানা। Brevard আলাদাভাবে জানিয়েছে, তাদের ধারণা অনুযায়ী এসব তথ্যের মধ্যে আর্থিক অ্যাকাউন্ট নম্বর, ব্যাংকিং তথ্য কিংবা ক্রেডিট বা ডেবিট কার্ডের বিবরণ ছিল না; তাই বাদ দেওয়া এই তথ্যগুলোকে এখানে ফাঁস হওয়া তথ্য হিসেবে উপস্থাপন করা হয়নি।

12 ডিসেম্বর 2025 তারিখে HHS/OCR পোর্টালে প্রকাশিত বর্তমান সরকারি হিসাবে মোট ব্যক্তির সংখ্যা 54,570। 53,255 সংখ্যাটি একটি গৌণ উৎসের ঘটনা-সংক্রান্ত পেজে পাওয়া যায়, যা HHS-এর নথিভুক্তির দুই দিন আগে, 10 ডিসেম্বর প্রথম প্রকাশিত হয়েছিল। সরকারি উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।

এই দুটি সংখ্যা যোগ করা হয় না এবং এগুলোর জন্য আলাদা তথ্য ফাঁসের ঘটনা নথিভুক্ত করা হয় না; এগুলো ভিন্ন সময়ে একই ঘটনার পরিসর নির্দেশ করে। এখানে HHS-এর বর্তমান সরকারি মোট সংখ্যা, 54,570 জন, ব্যবহার করা হয়েছে।

নাম, জন্মতারিখ, ঠিকানা ও SSN একসঙ্গে থাকলে অন্যের পরিচয় ব্যবহার, নতুন অ্যাকাউন্ট খুলে জালিয়াতি, কর জালিয়াতি বা সুবিধা গ্রহণে জালিয়াতির ঝুঁকি বাড়তে পারে। রোগনির্ণয়, ক্লিনিক্যাল তথ্য, বিল ও দাবির বিবরণ ব্যবহার করে বিশ্বাসযোগ্য মনে হয় এমন ভুয়া স্বাস্থ্যসেবা-সংক্রান্ত বার্তা তৈরি করা সম্ভব। বিজ্ঞপ্তিপ্রাপ্ত ব্যক্তিদের ক্রেডিট রিপোর্টের পাশাপাশি স্বাস্থ্যবিমার সুবিধার বিবরণী এবং অপ্রত্যাশিত চিকিৎসা বিলও নজরে রাখা উচিত।

কোনো বার্তা Brevard বা ক্লিনিকের পরিচিত কোনো কর্মীর কাছ থেকে এসেছে বলে মনে হলেও, সেটি যে আসল তা ধরে নেওয়া যায় না, এমনকি তাতে প্রকৃত রোগনির্ণয় বা বিলের কোনো বিবরণ উল্লেখ থাকলেও। বার্তার লিংক ব্যবহার না করে সেবাদাতা প্রতিষ্ঠানের পরিচিত ওয়েবসাইট বা ফোন নম্বর ব্যবহার করুন। পাসওয়ার্ড, সম্পূর্ণ SSN বা একবার ব্যবহারযোগ্য কোড দেবেন না এবং অর্থ পাঠাবেন না। অপরিচিত ক্রেডিট-সংক্রান্ত কার্যকলাপ দেখা গেলে জালিয়াতির সতর্কতা জারি করা বা বিনা খরচে ক্রেডিট ফ্রিজ করা উপযুক্ত হতে পারে।

Brevard জানিয়েছে, তারা ঘটনা নিয়ন্ত্রণে এনে নিজেদের ব্যবস্থা সুরক্ষিত করেছে, ক্ষতিগ্রস্ত সিস্টেমগুলো পর্যালোচনা করতে IT ও সাইবার নিরাপত্তা দলের সঙ্গে কাজ করেছে, তথ্যের অখণ্ডতা মূল্যায়ন করেছে এবং নিরাপত্তা সুরক্ষা জোরদার করেছে। তারা বিষয়টি FBI ও সংশ্লিষ্ট নিয়ন্ত্রক সংস্থাগুলোকে জানিয়েছে। প্রতিষ্ঠানটি নেটওয়ার্কের সুরক্ষায় আরও ব্যবস্থা নেওয়ার কথা বিবেচনা করার পাশাপাশি গোপনীয়তা ও নিরাপত্তার নীতি এবং প্রক্রিয়াও পর্যালোচনা করেছে।

ক্ষতিগ্রস্ত ব্যক্তিদের IDX-এর মাধ্যমে 24 মাসের জন্য তিনটি ক্রেডিট ব্যুরোর তথ্যভিত্তিক ক্রেডিট পর্যবেক্ষণ, CyberScan, পরিচয় পুনরুদ্ধার এবং অন্যান্য সুরক্ষাসেবা দেওয়ার প্রস্তাব করা হয়েছিল। সাধারণ বিজ্ঞপ্তিতে নিবন্ধনের শেষ তারিখ 13 ফেব্রুয়ারি উল্লেখ করা হয়েছে, আর পরে পাঠানো ম্যাসাচুসেটসের ব্যক্তিগত চিঠিতে শেষ তারিখ 26 মার্চ 2026 বলা হয়েছে। তাই বিজ্ঞপ্তিপ্রাপ্ত ব্যক্তিদের নিজ নিজ চিঠির নির্দেশনা অনুসরণ করা উচিত। 1-833-779-4803 নম্বরে কর্মদিবসে ইস্টার্ন সময় অনুযায়ী সকাল 9:00 থেকে রাত 9:00 পর্যন্ত যোগাযোগ করা যায়।