Community First Health Plans-এ 2026 সালের তথ্য ফাঁস

প্রধান উৎস হলো Community First Health Plans-এর নিজস্ব সংবাদ বিজ্ঞপ্তি, যার তারিখ 2026 সালের 29 জুন। এতে সরাসরি জানানো হয়েছে কখন ও কীভাবে ফাইলটি আপলোড করা হয়েছিল, কোম্পানির সিস্টেম কীভাবে সঙ্গে সঙ্গে নীতি লঙ্ঘন শনাক্ত করেছিল এবং পরদিন সকালে কী পদক্ষেপ নেওয়া শুরু হয়েছিল। কোন কোন তথ্য জড়িত ছিল, 12 মাসের পরিচয় পর্যবেক্ষণ সেবার প্রস্তাব এবং সদস্যদের সহায়তার জন্য দেওয়া যোগাযোগের মাধ্যমও এতে উল্লেখ করা হয়েছে।

দ্বিতীয় আনুষ্ঠানিক উৎস হলো HHS Office for Civil Rights-এর তথ্য ফাঁসসংক্রান্ত পোর্টাল। সেখানে সংশ্লিষ্ট সারিতে কোম্পানিটিকে টেক্সাসের একটি স্বাস্থ্যবিমা সংস্থা হিসেবে চিহ্নিত করা হয়েছে, ঘটনাটিকে ল্যাপটপের মাধ্যমে অননুমোদিত প্রবেশ/তথ্য প্রকাশ হিসেবে শ্রেণিবদ্ধ করা হয়েছে, প্রভাবিত ব্যক্তির সংখ্যা 1,549 বলা হয়েছে এবং তথ্য জমা দেওয়ার তারিখ 2026 সালের 29 জুন উল্লেখ করা হয়েছে। সংস্থা, ঘটনার ধরন ও সময়ের বিষয়ে সংস্থার বিজ্ঞপ্তি এবং নিয়ন্ত্রক কর্তৃপক্ষের নথির তথ্য মিলে যায়।

Community First-এর ভাষ্য অনুযায়ী, একজন কর্মী 29 এপ্রিল সন্ধ্যায় বাড়ির কম্পিউটার নেটওয়ার্ক থেকে কিছু সদস্যের ব্যক্তিগত তথ্যসম্বলিত একটি ফাইল ChatGPT-তে আপলোড করেন। কোম্পানিটি জানায়, তারা ChatGPT ব্যবহার করে না; ওই কাজের মাধ্যমে প্রাতিষ্ঠানিক ফায়ারওয়ালের সুরক্ষাব্যবস্থা এড়ানো হয়েছে এবং নীতি লঙ্ঘন করা হয়েছে। কোম্পানির সিস্টেম সেদিন সন্ধ্যায়ই নীতি লঙ্ঘন শনাক্ত করে এবং IT বিভাগকে সতর্ক করে।

পরদিন সকালে সংস্থার নেতৃত্ব তদন্ত শুরু করে, কোম্পানির সিস্টেমে ওই কর্মীর প্রবেশাধিকার বাতিল করে এবং ChatGPT অ্যাকাউন্ট থেকে ব্যক্তিগত তথ্য মুছে ফেলার নির্দেশ দেয় ও তা মুছে ফেলা হয়েছে কি না যাচাই করে। Community First সংশ্লিষ্ট তথ্য মুছে ফেলার দাবি জানাতে ChatGPT পরিচালনাকারী OpenAI-এর সঙ্গেও যোগাযোগ করে, কর্মীর কাছ থেকে সব ব্যক্তিগত তথ্য ফেরত নেয় এবং তাঁর চাকরি শেষ করে।

আনুষ্ঠানিক বিবৃতিতে সম্ভাব্য সংশ্লিষ্ট তথ্য হিসেবে নাম, বসবাসের ঠিকানা, জন্মতারিখ, সদস্য শনাক্তকরণ নম্বর ও প্রেসক্রিপশনের ওষুধসংক্রান্ত তথ্যের তালিকা দেওয়া হয়েছে। সদস্যভেদে তথ্যের ধরন আলাদা ছিল কি না বা সবার ক্ষেত্রে পাঁচ ধরনের তথ্যই ছিল কি না, প্রকাশ্য বিজ্ঞপ্তিতে তা বিস্তারিত বলা হয়নি। তাই এই বিবরণে এগুলোকে সম্ভাব্য তথ্যের পরিসর হিসেবে উপস্থাপন করা হয়েছে এবং প্রত্যেক ব্যক্তিকে পাঠানো বিজ্ঞপ্তির তথ্যকে অগ্রাধিকার দেওয়া হয়েছে।

বিজ্ঞপ্তিতে SSNs, ড্রাইভিং লাইসেন্স, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যবহারকারীর পাসওয়ার্ড ও ইমেইল অ্যাকাউন্টকে প্রভাবিত তথ্যের তালিকায় রাখা হয়নি। সদস্য ID হলো স্বাস্থ্যবিমা পরিকল্পনার একটি স্বতন্ত্র শনাক্তকারী; এটিকে পলিসি নম্বর, আর্থিক অ্যাকাউন্ট বা সরকারি পরিচয়পত্রের নম্বর হিসেবে ধরা হয়নি।

নাম, ঠিকানা, জন্মতারিখ, স্বাস্থ্যবিমা পরিকল্পনার সঙ্গে সম্পর্ক ও ওষুধসংক্রান্ত তথ্য একসঙ্গে থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। প্রতারণামূলক বার্তায় প্রকৃত ওষুধ, বিমা পরিকল্পনা বা সদস্যসংক্রান্ত তথ্য ব্যবহার করে প্রেসক্রিপশন নবায়ন, বিমার আওতা হালনাগাদ, অর্থ প্রদান বা পোর্টালে যাচাইকরণের অনুরোধ করা হতে পারে। বার্তায় সঠিক তথ্য থাকলেও প্রাপকদের উচিত আলাদাভাবে সেটির সত্যতা যাচাই করা।

সংস্থাটি জানায়, তাদের প্রকাশ্য বিবৃতি দেওয়ার সময় পর্যন্ত সংশ্লিষ্ট তথ্যের অপব্যবহারের কোনো ঘটনা তাদের জানা ছিল না। এর অর্থ এই নয় যে ঝুঁকি শূন্য বা তথ্য কখনো প্রক্রিয়াকরণ করা হয়নি; বরং এর অর্থ, নিশ্চিত কোনো অপব্যবহারের ঘটনা জানা ছিল না। প্রকাশিত ঘটনাটি কোনো বাইরের হামলাকারীর কোম্পানির সিস্টেমে অনুপ্রবেশও ছিল না; এটি ছিল অভ্যন্তরীণ একজন ব্যবহারকারীর তৃতীয় পক্ষের একটি টুলের অননুমোদিত ব্যবহার।

HHS-এর নথিতে প্রভাবিত ব্যক্তির সুনির্দিষ্ট সংখ্যা 1,549। ঘটনাটি ঘটে 29 এপ্রিল, কোম্পানি ব্যবস্থা নিতে শুরু করে 30 এপ্রিল সকালে, আর নিয়ন্ত্রক কর্তৃপক্ষের কাছে তথ্য দাখিল ও প্রকাশ্য ঘোষণার তারিখ 2026 সালের 29 জুন।

প্রবেশাধিকার বাতিল ও তথ্য মুছে ফেলার অনুরোধের পাশাপাশি Community First জানায়, কর্মীদের লগইন করার অনুমোদিত সময়সীমা নির্ধারণ এবং সব সময় VPN সংযোগ বাধ্যতামূলক করার ব্যবস্থা চালু করতে তারা কাজ করছে। নীতিমালা সংশোধন করা হয়েছে, কর্মীদের আবার প্রশিক্ষণ দেওয়া হয়েছে এবং অননুমোদিত AI টুল ব্যবহারের নিষেধাজ্ঞা জোরদার করা হয়েছে। প্রভাবিত সদস্যদের 12 মাসের বিনামূল্যের পরিচয় পর্যবেক্ষণ সেবা দেওয়ার প্রস্তাব করা হয়েছে।

আপনি বিজ্ঞপ্তি পেলে কোন কোন তথ্য আপনার ক্ষেত্রে প্রযোজ্য তা শনাক্ত করুন এবং চাইলে নির্ধারিত সময়ের মধ্যে প্রস্তাবিত পরিচয় পর্যবেক্ষণ সেবা চালু করুন। স্বাস্থ্যবিমা পরিকল্পনার পোর্টাল, প্রেসক্রিপশনের ইতিহাস ও বিমার সুবিধার হিসাবসংক্রান্ত বিবরণী পর্যালোচনা করে দেখুন, সেখানে অপরিচিত কোনো ওষুধ, চিকিৎসাসেবা প্রদানকারী, বিমা দাবি বা যোগাযোগের তথ্যের পরিবর্তন আছে কি না।

Community First বা ফার্মেসির নাম ব্যবহার করে পাঠানো অপ্রত্যাশিত কোনো বার্তায় সদস্য নম্বর, জন্মতারিখ, পাসওয়ার্ড, অর্থ প্রদানের তথ্য বা একবার ব্যবহারযোগ্য কোড দেবেন না। প্রশ্ন থাকলে কর্মদিবসে সেন্ট্রাল সময় অনুযায়ী সকাল 8:00 থেকে বিকেল 5:00 পর্যন্ত privacy@cfhp.com বা 800-434-2347-এ যোগাযোগ করতে পারেন; যোগাযোগের এই তথ্য যাচাই করতে নিজে আলাদাভাবে আনুষ্ঠানিক বিজ্ঞপ্তিটি খুলে দেখুন।