Central Kansas Mental Health Center-এর 2025 সালের ডেটার নিরাপত্তা লঙ্ঘন

প্রধান সূত্র হলো Central Kansas Mental Health Center-এর আনুষ্ঠানিক ডোমেইনে প্রকাশিত ডেটার নিরাপত্তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তি। এতে সরাসরি ঘটনাটি শনাক্ত হওয়ার তারিখ, নেটওয়ার্কে অননুমোদিত প্রবেশ, সুরক্ষিত স্বাস্থ্যতথ্য থাকা ফাইল, বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের তদন্ত, প্রযুক্তিগত ব্যবস্থা এবং ক্ষতিগ্রস্ত ব্যক্তিদের বিজ্ঞপ্তি পাঠানোর পরিকল্পনা বর্ণনা করা হয়েছে।

দ্বিতীয় সূত্র হলো HHS OCR-এর নিরাপত্তা লঙ্ঘনবিষয়ক পোর্টাল। এটি প্রতিষ্ঠানটিকে স্বাস্থ্যসেবা প্রদানকারী হিসেবে নিশ্চিত করে এবং ঘটনাটিকে নেটওয়ার্ক সার্ভার-সংশ্লিষ্ট হ্যাকিং/IT ঘটনা হিসেবে শ্রেণিবদ্ধ করে। তৃতীয় সূত্র হলো 24 জুন 2026 তারিখে প্রকাশিত Texas Attorney General-এর রেকর্ড। পরবর্তী এই দাখিলপত্রে সংশ্লিষ্ট তথ্যের ধরন, ডাকযোগে পাঠানো বিজ্ঞপ্তি এবং চূড়ান্ত মোট সংখ্যা 37,610 জন উল্লেখ করা হয়েছে; Indiana Attorney General-এর একটি প্রতিবেদনেও ঘটনাটি শনাক্ত হওয়ার একই ধারাবাহিকতা উল্লেখ আছে।

26 সেপ্টেম্বর বা তার কাছাকাছি সময়ে CKMHC তার নেটওয়ার্কে সন্দেহজনক কার্যকলাপ শনাক্ত করে। প্রতিষ্ঠানটি ঘটনা মোকাবিলার নির্ধারিত প্রক্রিয়া চালু করে, নেটওয়ার্ক অফলাইনে নেয় এবং ঘটনার প্রকৃতি ও পরিসর তদন্তের জন্য বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করে। তদন্তে দেখা যায়, একজন অননুমোদিত ব্যক্তি নেটওয়ার্কে প্রবেশ করেছিলেন এবং সম্ভবত সংবেদনশীল ফাইলগুলো অ্যাক্সেস করেছিলেন।

নভেম্বর 2025-এ ওয়েবসাইটে প্রাথমিক বিজ্ঞপ্তি প্রকাশের সময়ও ফাইল পর্যালোচনা চলছিল। তখনো প্রতিষ্ঠানটি নির্ধারণ করতে পারেনি কোন ব্যক্তির ক্ষেত্রে কোন ধরনের তথ্য সংশ্লিষ্ট ছিল। CKMHC জানায়, পর্যালোচনার পর বৈধ ঠিকানা শনাক্ত হওয়ার সঙ্গে সঙ্গে তারা ডাকযোগে চিঠি পাঠাবে। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রযুক্তিগত কার্যকলাপের মধ্যে সবচেয়ে আগেরটির ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

টেক্সাসের পরবর্তী নিয়ন্ত্রক রেকর্ডে নাম, ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্সের বিবরণ, পাসপোর্ট বা অঙ্গরাজ্যের পরিচয়পত্রের নম্বরের মতো সরকারি পরিচয়সংক্রান্ত তথ্য, আর্থিক অ্যাকাউন্ট অথবা ক্রেডিট ও ডেবিট কার্ডের তথ্য, চিকিৎসাসংক্রান্ত তথ্য, স্বাস্থ্যবিমার তথ্য এবং জন্মতারিখ উল্লেখ করা হয়েছে। একত্রে এগুলো অত্যন্ত সংবেদনশীল ব্যক্তিগত তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য।

দাখিলপত্রে বলা হয়নি যে 37,610 জনের সবার ক্ষেত্রেই প্রতিটি ধরনের তথ্য ছিল। ওয়েবসাইটের আনুষ্ঠানিক বিজ্ঞপ্তি নিশ্চিত করে যে ফাইলগুলো সম্ভবত অ্যাক্সেস করা হয়েছিল; এতে বলা হয়নি যে ডেটা প্রকাশ্যে ছাড়া হয়েছে, বিক্রি করা হয়েছে বা নাম উল্লেখ করা কোনো র‍্যানসমওয়্যার গোষ্ঠী তা পেয়েছে।

25 নভেম্বর 2025 তারিখের HHS OCR তালিকার সারিতে 80,860 জন দেখানো হয়েছে। সেটি ছিল ঘটনার প্রাথমিক পর্যায়, যখন CKMHC জানিয়েছিল যে তাদের ফাইল পর্যালোচনা তখনো চলছিল। Texas Attorney General-এর প্রকাশিত 24 জুন 2026 তারিখের পরবর্তী ভোক্তা-বিজ্ঞপ্তি রেকর্ডে ক্ষতিগ্রস্ত ব্যক্তির মোট সংখ্যা হিসেবে 37,610 এবং ক্ষতিগ্রস্ত টেক্সাসবাসীর সংখ্যা হিসেবে 682 উল্লেখ করা হয়েছে।

আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর তুলে ধরে। এর অর্থ এই নয় যে যেসব ধরনের তথ্যের কথা জানানো হয়েছে, তার সবগুলোই প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এই সংখ্যা ব্যবহারের সিদ্ধান্ত ফেডারেল তালিকার সারিটিকে বাদ দেয় না বা আলাদা কোনো ঘটনা তৈরি করে না; sourceNotes-এ উভয় নিয়ন্ত্রক সংস্থার সংখ্যা ও সেগুলোর তারিখ সংরক্ষিত আছে। এই সংখ্যা চূড়ান্ত বিজ্ঞপ্তির আওতায় থাকা ব্যক্তিদের গণনা করে, ফাইল, চিকিৎসা, বিমার দাবি বা তথ্যের উপাদান গণনা করে না।

প্রতিষ্ঠানটি জানায়, তারা নেটওয়ার্ক অফলাইনে নিয়েছে, সিস্টেম ও ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করেছে, সিস্টেমগুলো পুনরুদ্ধার করেছে এবং আইন প্রয়োগকারী সংস্থাকে জানিয়েছে। তারা নেটওয়ার্কে এন্ডপয়েন্টের হুমকি শনাক্ত করার অতিরিক্ত সরঞ্জামও স্থাপন করেছে এবং তদন্ত ও ফাইল পর্যালোচনায় বাইরের বিশেষজ্ঞদের সঙ্গে কাজ করেছে।

প্রাথমিক বিজ্ঞপ্তি প্রকাশের সময় পর্যন্ত অপব্যবহারের কোনো প্রমাণ পাওয়া যায়নি। যাঁদের বৈধ ঠিকানা ছিল, তাঁরা ঘটনার আরও বিস্তারিত তথ্য, বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষার সেবা এবং সুরক্ষামূলক পদক্ষেপসংবলিত চিঠি পেয়েছেন। অপব্যবহারের কোনো ঘটনা জানা না গেলেও, পরবর্তী সময়ে পরিচয় ব্যবহার করে জালিয়াতি বা স্বাস্থ্যসেবা-সংক্রান্ত জালিয়াতি ঘটবে না, এমন নিশ্চয়তা নেই।

যাঁরা বিজ্ঞপ্তি পেয়েছেন, তাঁদের উচিত নির্ধারিত নিবন্ধন সময়সীমার মধ্যে প্রস্তাবিত পর্যবেক্ষণ ও পরিচয় সুরক্ষার সেবা চালু করা। অপরিচিত অ্যাকাউন্ট বা সেবা আছে কি না দেখতে তাঁদের ক্রেডিট রিপোর্ট, ব্যাংক ও কার্ডের লেনদেন এবং স্বাস্থ্যবিমার সুবিধা ও ব্যয়ের ব্যাখ্যামূলক বিবরণী পর্যালোচনা করা উচিত। কোনো সন্দেহজনক এন্ট্রি পাওয়া গেলে সংশ্লিষ্ট প্রতিষ্ঠানের আগে থেকে জানা আনুষ্ঠানিক যোগাযোগমাধ্যমে তা জানানো উচিত।

চিকিৎসা, আর্থিক ও পরিচয়সংক্রান্ত তথ্য একত্রে থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো প্রতারণা বিশ্বাসযোগ্য মনে হতে পারে। CKMHC, কোনো বিমা প্রতিষ্ঠান, ব্যাংক বা সরকারি সংস্থার কাছ থেকে এসেছে বলে দাবি করা অপ্রত্যাশিত বার্তার লিংক সরাসরি খোলা উচিত নয়; যোগাযোগ শুরু করা উচিত আনুষ্ঠানিক ওয়েবসাইট বা যাচাইকৃত নম্বরের মাধ্যমে।