Cary Pediatric Center-এ 2025 সালের তথ্য ফাঁস

প্রধান সূত্র হলো প্রতিষ্ঠানটির নিজস্ব ওয়েবসাইটে থাকা “তথ্যনিরাপত্তাসংক্রান্ত ঘটনার বিজ্ঞপ্তি” PDF। এতে 19 সেপ্টেম্বর ঘটনাটি শনাক্ত করা, নেটওয়ার্কে ঘটনাটির বিস্তার রোধ, বিশেষজ্ঞদের ফরেনসিক পর্যালোচনা, প্রভাবের পরিসর রেকর্ড করা কলে সীমিত থাকা, ইলেকট্রনিক চিকিৎসা-রেকর্ড প্রভাবিত না হওয়া, সম্ভাব্য তথ্যের ধরন, 12 মাসের সুরক্ষাসেবা এবং 855-522-4713 সহায়তা নম্বরের বিবরণ রয়েছে।

দ্বিতীয় সূত্র হলো 17 নভেম্বর তারিখের আনুষ্ঠানিক HHS/OCR তালিকাভুক্তি, যেখানে 25,784 জনের কথা উল্লেখ করা হয়েছে। প্রতিষ্ঠানটির বর্তমান হোমপেজ একই প্রতিষ্ঠান ও ডোমেইন নিশ্চিত করে এবং “তথ্যসংক্রান্ত ঘটনার বিজ্ঞপ্তি” শিরোনামের অধীনে ঘটনাটির আনুষ্ঠানিক PDF-এর সরাসরি লিংক দেয়। এভাবে দুটি মূল নথির মাধ্যমে ঘটনাটি, মোট ব্যক্তির সংখ্যা এবং প্রতিষ্ঠানের পরিচয় মিলিয়ে যাচাই করা হয়েছে।

Cary Pediatric 19 সেপ্টেম্বরের কাছাকাছি সময়ে শনাক্ত করে যে প্রতিষ্ঠানটি নেটওয়ার্কের নিরাপত্তাসংক্রান্ত একটি ঘটনার লক্ষ্যবস্তু হয়েছে। অনুমোদনহীন একটি তৃতীয় পক্ষ নেটওয়ার্কে অনুপ্রবেশের চেষ্টা করলে প্রতিষ্ঠানটি নেটওয়ার্ক সুরক্ষিত করে এবং সম্ভাব্য অননুমোদিত প্রবেশের পরিসর নির্ধারণের জন্য ফরেনসিক তদন্ত ও ঘটনা মোকাবিলায় বিশেষজ্ঞ একটি প্রতিষ্ঠানকে নিয়োগ দেয়। প্রকাশ্য নথিতে প্রাথমিক অনুপ্রবেশের পদ্ধতি বা দায়ী পক্ষের পরিচয় জানানো হয়নি।

তদন্তে দেখা যায়, কিছু ব্যক্তিগত তথ্যের গোপনীয়তা ক্ষুণ্ণ হয়ে থাকতে পারে। এতে স্পষ্টভাবে বলা হয়েছে যে সংশ্লিষ্ট সংবেদনশীল তথ্য রোগী ও কার্যালয়ের মধ্যে রেকর্ড করা অডিও কলেই সীমিত ছিল এবং ইলেকট্রনিক চিকিৎসা-রেকর্ড প্রভাবিত হয়নি। তাই এই বিবরণে রোগীদের সাধারণ ফাইল বা পুরো EMR ডেটাবেস উন্মুক্ত হয়েছে বলে ধরে নেওয়া হয়নি।

PDF-এর শীর্ষাংশে “2025 সালের 19 ফেব্রুয়ারি” লেখা আছে, অথচ ঘটনার বিবরণে শনাক্ত করার তারিখ 2025 সালের 19 সেপ্টেম্বর বলা হয়েছে। শীর্ষাংশের তারিখটি ঘটনার আগের হওয়ায় তা দিয়ে একটি সংগতিপূর্ণ ঘটনাক্রম তৈরি করা যায় না।

ঘটনা ও তা শনাক্ত করার তারিখের জন্য প্রতিষ্ঠানের বিবৃতিতে উল্লেখ করা 2025 সালের 19 সেপ্টেম্বর ব্যবহার করা হয়েছে। আর আনুষ্ঠানিকভাবে প্রকাশিত ব্যক্তির সংখ্যা ও নিয়ন্ত্রক কর্তৃপক্ষের কাছে প্রতিবেদন দেওয়ার পর্যায়ের জন্য 2025 সালের 17 নভেম্বরের HHS/OCR তালিকাভুক্তি ব্যবহার করা হয়েছে। এই পদ্ধতিতে নথির স্পষ্ট অসংগতি আড়াল না করে যাচাইযোগ্য তারিখ ব্যবহার করা হয়েছে। প্রমাণ ছাড়া কোনো অতিরিক্ত তারিখ বা 2026 সাল যোগ করা হয়নি।

আনুষ্ঠানিক বিজ্ঞপ্তিতে সম্ভাব্য উন্মুক্ত তথ্য হিসেবে নাম, জন্মতারিখ ও সুরক্ষিত স্বাস্থ্যতথ্যের কথা বলা হয়েছে। এতে বলা হয়েছে, তথ্যের ধরন ব্যক্তিভেদে আলাদা ছিল এবং তালিকাভুক্ত প্রতিটি তথ্য সবার ক্ষেত্রে উন্মুক্ত হয়নি। PHI-কে রোগনির্ণয়, ওষুধ, চিকিৎসা-পদ্ধতি, বীমা বা অর্থপ্রদানসংক্রান্ত আরও নির্দিষ্ট তথ্যের ভাগে বিভক্ত করা হয়নি। তাই এই বিবরণে সেসব বিষয়ে অনুমান করা হয়নি।

প্রভাবিত মাধ্যম ছিল রেকর্ড করা টেলিফোন কল। একটি কলের সময় বলা হয়ে থাকতে পারে এমন তথ্য রোগীর ইলেকট্রনিক ফাইলে সংরক্ষিত সব তথ্যের সমতুল্য নয়। তাই তথ্যের ধরনগুলো আনুষ্ঠানিক বিজ্ঞপ্তির নাম, জন্মতারিখ ও PHI-এর উল্লেখেই সীমিত রাখা হয়েছে এবং এই বিবরণে ইলেকট্রনিক চিকিৎসা-রেকর্ডকে প্রভাবিত হিসেবে চিহ্নিত করা হয়নি।

HHS/OCR পোর্টালে প্রকাশিত প্রভাবিত ব্যক্তির সংখ্যা 25,784; এটি অডিও রেকর্ডিং, কল বা ফাইলের সংখ্যা নয়। আনুষ্ঠানিক সূত্রে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা প্রতিবেদনে উল্লেখ করা ঘটনার পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।

HHS-এ উল্লেখ করা 17 নভেম্বর হলো নিয়ন্ত্রক কর্তৃপক্ষের কাছে প্রতিবেদন দেওয়ার তারিখ, ঘটনার দিন নয়। প্রতিষ্ঠানটি ডাকযোগে বিজ্ঞপ্তি পাওয়া ব্যক্তির সংখ্যা বা রেকর্ড করা কলের সংখ্যা আলাদাভাবে প্রকাশ করেনি।

Cary Pediatric জানিয়েছে, তারা নেটওয়ার্ক সুরক্ষিত করেছে, IT বিশেষজ্ঞদের সঙ্গে তদন্ত করেছে, প্রযুক্তিগত সুরক্ষাব্যবস্থা পর্যালোচনা ও উন্নত করেছে এবং সম্ভাব্য প্রভাবিত সব ব্যক্তির জন্য 12 মাসের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার ব্যবস্থা করেছে। বিজ্ঞপ্তি দেওয়ার সময় প্রতিষ্ঠানটি জানায়, তথ্যের অপব্যবহার বা সংশ্লিষ্ট পরিচয় চুরির কোনো অভিযোগ তারা পায়নি।

855-522-4713 সহায়তা নম্বরে কর্মদিবসে ইস্টার্ন টাইম অনুযায়ী সকাল 8:00 থেকে রাত 8:00 পর্যন্ত যোগাযোগ করা যায়। আপনার ক্ষেত্রে কী কী তথ্য জড়িত থাকতে পারে এবং সেবায় নিবন্ধনের নির্দেশনার জন্য আপনার নিজের বিজ্ঞপ্তির ওপর নির্ভর করুন। অপ্রত্যাশিত কোনো কল বা বার্তায় জন্মতারিখ, স্বাস্থ্যতথ্য, পাসওয়ার্ড, অর্থপ্রদানের বিবরণ বা একবার ব্যবহারযোগ্য কোড দেবেন না। স্বাস্থ্যসংক্রান্ত কোনো রেকর্ড সন্দেহজনক মনে হলে সরাসরি চিকিৎসাসেবা প্রদানকারী প্রতিষ্ঠানটির সঙ্গে তা যাচাই করুন। সন্দেহজনক কোনো বার্তা পেলে বা অ্যাকাউন্টে সন্দেহজনক কোনো ঘটনা ঘটলে, বার্তার লিংক ব্যবহার না করে প্রতিষ্ঠানের বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করুন।