Covenant Health-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

Covenant Health-এর আনুষ্ঠানিক “তথ্য নিরাপত্তা সংক্রান্ত ঘটনার নোটিশ” পৃষ্ঠায় অনুমোদনহীন পক্ষটি কবে তাদের IT ব্যবস্থায় প্রবেশ করেছিল, ঘটনাটি কবে শনাক্ত হয়েছিল, রোগীর তথ্যে প্রবেশের নিশ্চয়তা এবং সংশ্লিষ্ট তথ্যের ক্ষেত্রগুলো প্রকাশ করা হয়েছে। প্রতিষ্ঠানটি জানায়, যাঁরা প্রভাবিত হয়েছেন বলে জানা গেছে, তাঁদের কাছে 2025 সালের 11 জুলাই থেকে ডাকযোগে চিঠি পাঠানো শুরু হয়। বিস্তারিত তথ্য পর্যালোচনায় আরও রোগী শনাক্ত হলে অতিরিক্ত নোটিশ পাঠানোর কথাও জানানো হয়।

মেইনের অ্যাটর্নি জেনারেলের কাছে দাখিল করা হালনাগাদ প্রতিবেদনে চূড়ান্ত পরিসর বেড়ে 4,78,188 জন হওয়ার তথ্য দেওয়া হয়েছে। SecurityWeek স্বাধীনভাবে কোম্পানির নোটিশ এবং প্রথম প্রতিবেদনের 7,800 জন থেকে সংখ্যা বাড়ার বিষয়টি নিয়ে প্রতিবেদন প্রকাশ করেছে। রোগীর তথ্যে বাস্তবেই প্রবেশ করা হয়েছিল, এ বিষয়ে উৎসগুলো একমত। তবে Qilin গোষ্ঠীর 850 GB ও 13 লাখ ফাইলের দাবি কোম্পানির নিশ্চিত করা ব্যক্তির মোট সংখ্যা নয় এবং সেটিকে রেকর্ডের সংখ্যা হিসেবে ব্যবহার করা হয়নি।

ফরেনসিক তদন্তে নির্ধারিত হয় যে অনুমোদনহীন পক্ষটি 2025 সালের 18 মে Covenant Health-এর ব্যবস্থায় প্রবেশ করেছিল। প্রতিষ্ঠানটি 26 মে অস্বাভাবিক কার্যকলাপের সতর্কতা পায় এবং ঘটনার উৎস তদন্তের পাশাপাশি ব্যবস্থা সুরক্ষিত করা ও পুনরুদ্ধারের কাজ শুরু করে। প্রথম প্রকাশ্য নোটিশ ও চিঠি 11 জুলাই প্রকাশিত ও পাঠানো হয়, যখন সংশ্লিষ্ট তথ্য ও ব্যক্তিদের পর্যালোচনা চলছিল।

ডিসেম্বরে বিস্তারিত তথ্য পর্যালোচনা শেষ হওয়ার পর প্রতিবেদিত ব্যক্তির সংখ্যা উল্লেখযোগ্যভাবে বেড়ে যায়। মেইনে দাখিল করা 31 ডিসেম্বরের হালনাগাদ প্রতিবেদনে 4,78,188 জনের কথা নথিভুক্ত করা হয়েছে। এই ধারাবাহিকতা দেখায়, প্রাথমিক নোটিশে শুধু তখন পর্যন্ত যাচাই করা ব্যক্তিদের একটি অংশের তথ্য থাকতে পারে; LeakData কম সংখ্যার অন্তর্বর্তী হিসাবকে চূড়ান্ত প্রভাবের হিসাব হিসেবে না রেখে নিয়ন্ত্রক কর্তৃপক্ষের সর্বশেষ আনুষ্ঠানিক সংখ্যা ব্যবহার করে।

কোম্পানি জানায়, তথ্যের বিষয়বস্তু রোগীভেদে ভিন্ন ছিল, তবে এতে নামের পাশাপাশি আরও এক বা একাধিক তথ্যের ক্ষেত্র থাকতে পারে। নিশ্চিত করা তথ্যের ধরনগুলো হলো ঠিকানা, জন্মতারিখ, চিকিৎসা রেকর্ডের নম্বর এবং Social Security নম্বর। পরিচয় যাচাই, স্বাস্থ্যসেবার অ্যাকাউন্টের সঙ্গে তথ্য মেলানো এবং আর্থিক প্রতারণায় এই শনাক্তকারী তথ্যগুলোর অপব্যবহার হতে পারে। তাই ঘটনাটির গুরুতরতার মাত্রা উচ্চ এবং তথ্যের সংবেদনশীলতার মাত্রা চরম হিসেবে শ্রেণিবদ্ধ করা হয়েছে।

স্বাস্থ্যসংক্রান্ত তথ্যের মধ্যে রোগনির্ণয়, চিকিৎসার তারিখ ও চিকিৎসার ধরনসহ চিকিৎসার তথ্য এবং স্বাস্থ্যবিমার তথ্যও ছিল।

Covenant Health-এর প্রধান কার্যালয় ম্যাসাচুসেটসের অ্যান্ডোভারে এবং প্রতিষ্ঠানটি নিউ ইংল্যান্ড ও পেনসিলভানিয়াজুড়ে স্বাস্থ্যসেবা দেয়। আনুষ্ঠানিক নোটিশে সংশ্লিষ্ট প্রতিষ্ঠান হিসেবে নিউ হ্যাম্পশায়ারের ন্যাশুয়ায় St. Joseph Hospital; মেইনের ব্যাঙ্গরে St. Joseph Healthcare; এবং মেইনের লুইস্টনে St. Mary's Health System-এর নাম উল্লেখ করা হয়েছে। এই বিবরণে প্রতিষ্ঠানগুলোকে একই করপোরেট তদন্তের আওতায় থাকা একটি তথ্য নিরাপত্তা লঙ্ঘনের অংশ হিসেবে বিবেচনা করা হয়েছে।

4,78,188 হলো Covenant Health-এর হালনাগাদ হিসাবে প্রভাবিত ব্যক্তির মোট সংখ্যা; প্রতিটি প্রতিষ্ঠানের জন্য নিয়ন্ত্রক কর্তৃপক্ষের কাছে দাখিল করা প্রতিবেদন আলাদাভাবে যোগ করে তৈরি করা কোনো অনুমান নয়। তাই সংশ্লিষ্ট হাসপাতালগুলোর জন্য আলাদা রেকর্ড তৈরি করা হয়নি এবং একাধিক প্রতিষ্ঠানে কারও তথ্য থাকলেও তাঁকে ইচ্ছাকৃতভাবে আবার গণনা করা হয়নি। প্রতিষ্ঠানটি কার্যক্রম চালায় এমন প্রতিটি অঙ্গরাজ্যের সব সেবা প্রভাবিত হয়েছে বলে ধরে নেওয়া হয়নি; পরিসর নোটিশ পাওয়া ব্যক্তিদের মধ্যেই সীমাবদ্ধ।

যাঁদের Social Security নম্বর এই ঘটনায় জড়িত থাকতে পারে, তাঁদের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সেবা দেওয়ার প্রস্তাব দিয়েছে Covenant Health। নোটিশপ্রাপ্ত ব্যক্তিদের নির্ধারিত সময়ের মধ্যে এই সেবায় নিবন্ধন করা, নতুন অ্যাকাউন্ট খোলা হয়েছে কি না জানতে ক্রেডিট রিপোর্ট পর্যবেক্ষণ করা এবং অপরিচিত বিমা দাবি পর্যালোচনা করা উচিত। স্বাস্থ্যবিমার বিবরণীতে এমন কোনো সেবার উল্লেখ থাকলে, যা সংশ্লিষ্ট ব্যক্তি পাননি, তাঁর দ্রুত সংশ্লিষ্ট স্বাস্থ্যবিমা সংস্থা ও স্বাস্থ্যসেবা প্রতিষ্ঠানের সঙ্গে যোগাযোগ করা উচিত।

কোম্পানি জানায়, নোটিশের তারিখ পর্যন্ত এই ঘটনার সঙ্গে সম্পর্কিত ব্যক্তিগত তথ্যের কোনো প্রতারণামূলক অপব্যবহারের কথা তাদের জানা ছিল না। এতে দীর্ঘমেয়াদি ঝুঁকি দূর হয় না, বিশেষ করে Social Security ও চিকিৎসা রেকর্ডের নম্বর বদলানো কঠিন বা অসম্ভব বলে। কার কী তথ্য জড়িত ছিল সে সম্পর্কে নথিভুক্ত তথ্য অনুযায়ী সিকিউরিটি ফ্রিজ, জালিয়াতির সতর্কতা, শক্তিশালী বহু-উপাদানভিত্তিক পরিচয় যাচাই এবং করসংক্রান্ত অ্যাকাউন্ট পর্যবেক্ষণের কথা বিবেচনা করা যেতে পারে।

আনুষ্ঠানিক উৎসে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। 26 মে শনাক্তকরণ, 11 জুলাই প্রাথমিক নোটিশ এবং ডিসেম্বরে পর্যালোচনা শেষ হওয়া আলাদা ধাপ; পুরোনো অন্তর্বর্তী নোটিশের 7,800 জনকে চূড়ান্ত মোট সংখ্যার সঙ্গে যোগ করা হয়নি।

এই বিবরণে কেবল যাচাই করা ঘটনার সারসংক্ষেপ, ব্যক্তির বর্তমান সংখ্যা, তথ্যের ধরন, সময়রেখা ও সুরক্ষার নির্দেশনা রয়েছে। নিয়ন্ত্রক কর্তৃপক্ষ বা কোম্পানি আরও নতুন কোনো সংশোধন প্রকাশ করলে, সেই মূল নথির ভিত্তিতে মোট সংখ্যা ও বিবরণের বিষয়বস্তু পুনর্মূল্যায়ন করা যেতে পারে।