CPAP Medical-এ 2024 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান উৎস হলো CPAP Medical Supplies and Services-এর প্রকাশিত তথ্য নিরাপত্তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তি। এতে সরাসরি বর্ণনা করা হয়েছে নেটওয়ার্কে অননুমোদিত প্রবেশ, ফরেনসিক তদন্ত ও নথি পর্যালোচনা, প্রবেশাধিকার থাকার সময়সীমা, বিজ্ঞপ্তি পাঠানো শুরু হওয়ার সময়, যাঁদের সোশ্যাল সিকিউরিটি নম্বর ছিল তাঁদের জন্য প্রস্তাবিত ক্রেডিট পর্যবেক্ষণ সেবা এবং সুরক্ষামূলক পরামর্শ।

দ্বিতীয় উৎস হলো HHS OCR-এর তথ্য নিরাপত্তা লঙ্ঘন-সংক্রান্ত পোর্টাল, যা 90,133 জন ক্ষতিগ্রস্ত হওয়ার পরিসর এবং ঘটনার শ্রেণিবিন্যাস নিশ্চিত করে। তৃতীয় উৎস হলো HIPAA Journal-এর 2025 সালের 20 আগস্টের প্রতিবেদন। মেইনের অ্যাটর্নি জেনারেলের কাছে দাখিল করা বিজ্ঞপ্তির ভিত্তিতে ওই প্রতিবেদনেও স্বতন্ত্রভাবে তারিখ ও তথ্যের ধরনগুলো বর্ণনা করা হয়েছে। প্রতিষ্ঠান, ঘটনার পরিসর, নেটওয়ার্কে প্রবেশ এবং পর্যালোচনার তারিখ সম্পর্কে উৎসগুলোর বিবরণ পরস্পরের সঙ্গে সামঞ্জস্যপূর্ণ।

অনুমোদনহীন এক পক্ষ 13 ডিসেম্বর CPAP Medical-এর নেটওয়ার্কে প্রবেশ করে এবং 21 ডিসেম্বর পর্যন্ত প্রবেশাধিকার ধরে রাখে। ঘটনাটি জানার পর প্রতিষ্ঠানটি জানায়, তারা হুমকিটি নিয়ন্ত্রণে এনেছে, নিজেদের অভ্যন্তরীণ পরিবেশ সুরক্ষিত করেছে এবং ব্যক্তিগত বা সংবেদনশীল তথ্য ক্ষতিগ্রস্ত হয়েছে কি না তা নির্ধারণ করতে বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়ে বিস্তারিত তদন্ত শুরু করেছে।

ফরেনসিক তদন্ত এবং জটিল প্রক্রিয়ায় হাতে-কলমে নথি পর্যালোচনার পর CPAP Medical 2025 সালের 27 জুন নির্ধারণ করে যে আক্রান্ত সিস্টেমগুলোতে ব্যক্তি শনাক্ত করা যায় এমন স্বাস্থ্য ও ব্যক্তিগত তথ্য ছিল। যাঁদের যোগাযোগের তথ্য পাওয়া গিয়েছিল, তাঁদের বিজ্ঞপ্তি পাঠানো শুরু হয় 15 আগস্ট। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন সর্বপ্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

নিয়ন্ত্রক কর্তৃপক্ষের কাছে দাখিল করা নথির ভিত্তিতে তৈরি HIPAA Journal-এর প্রতিবেদন অনুযায়ী, ফাইলগুলোতে পূর্ণ নাম, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, আর্থিক ও ব্যাংকিং তথ্য, চিকিৎসাসংক্রান্ত তথ্য এবং স্বাস্থ্যবিমার তথ্য থাকতে পারে। আনুষ্ঠানিক অনলাইন বিজ্ঞপ্তিতেও ব্যক্তি শনাক্ত করা যায় এমন ব্যক্তিগত তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য থাকার বিষয়টি নিশ্চিত করা হয়েছে এবং বলা হয়েছে যে কিছু আক্রান্ত ফাইলে সোশ্যাল সিকিউরিটি নম্বর ছিল।

প্রতিষ্ঠানটি বলেনি যে প্রতিটি তথ্যক্ষেত্র সব 90,133 জনের ক্ষেত্রে প্রযোজ্য ছিল। তাই এই বিবরণে বিভিন্ন তথ্যের ধরন যোগ করে উপগোষ্ঠীর মোট সংখ্যা তৈরি করা হয়নি এবং প্রকাশ না করা ইমেইল ঠিকানা, পাসওয়ার্ড বা পেমেন্ট কার্ডের বিবরণও অন্তর্ভুক্ত করা হয়নি। ফাইলগুলো দেখা বা অননুমোদিতভাবে বাইরে সরিয়ে নেওয়া হয়ে থাকতে পারে, তবে সেগুলো প্রকাশ্যে ছড়িয়ে দেওয়া হয়েছিল বা নাম উল্লেখ করা কোনো সাইবার হুমকি সৃষ্টিকারী গোষ্ঠীর কাছে বিক্রি করা হয়েছিল, উৎসগুলো তা প্রতিষ্ঠা করে না।

আনুষ্ঠানিক উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিসরকে বোঝায়। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। মেইনের অ্যাটর্নি জেনারেলের কাছে দাখিল করা নথির ভিত্তিতে প্রকাশিত প্রতিবেদনেও একই মোট সংখ্যা রয়েছে। এটি বিজ্ঞপ্তি পাঠানোর আওতাভুক্ত ব্যক্তিদের সংখ্যা; ফাইল, প্রেসক্রিপশন, সরঞ্জামের অর্ডার, বিমার দাবি বা পৃথক তথ্য উপাদানের সংখ্যা নয়।

জ্যাকসনভিলভিত্তিক CPAP Medical ঘুমের চিকিৎসায় ব্যবহৃত পণ্য ও CPAP সরঞ্জাম সরবরাহ করে, বিশেষ করে সামরিক সদস্যদের পরিবার এবং সক্রিয় দায়িত্বে থাকা বা অবসরপ্রাপ্ত সামরিক সদস্যদের জন্য।

CPAP Medical জানিয়েছে যে তারা হুমকিটি নিয়ন্ত্রণে এনেছে, নিজেদের সিস্টেম সুরক্ষিত করেছে, বাইরের বিশেষজ্ঞদের নিয়ে ফরেনসিক তদন্ত চালিয়েছে এবং নথি পর্যালোচনা সম্পন্ন করেছে। প্রতিষ্ঠানটি আরও জানিয়েছে, ব্যক্তিগত তথ্যের নিরাপত্তা ও গোপনীয়তা উন্নত করতে তারা নিয়মিত নিজেদের কাজের পদ্ধতি ও অভ্যন্তরীণ নিয়ন্ত্রণব্যবস্থা মূল্যায়ন এবং সংশোধন করে।

বিজ্ঞপ্তি পাঠানোর সময় পর্যন্ত এই ঘটনার ফলে তথ্যের অপব্যবহার হয়েছে, এমন কোনো প্রমাণ পাওয়া যায়নি। তবুও, যাঁদের সোশ্যাল সিকিউরিটি নম্বর ঘটনাটির আওতায় ছিল, তাঁদের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ সেবা দেওয়া হয়েছে। বিজ্ঞপ্তি পাওয়া ব্যক্তিদের আর্থিক হিসাব, ক্রেডিট রিপোর্ট এবং স্বাস্থ্যবিমার আওতায় প্রাপ্ত সুবিধার ব্যাখ্যাসংক্রান্ত বিবরণী পর্যালোচনা করার পরামর্শ দেওয়া হয়েছে। অপব্যবহারের কোনো ঘটনা জানা না থাকলেও ভবিষ্যতের ঝুঁকি দূর হয়ে যায় না।

বিজ্ঞপ্তি পাওয়া ব্যক্তিদের উচিত উল্লিখিত নিবন্ধনের সময়সীমার মধ্যে প্রস্তাবিত পর্যবেক্ষণ সেবা চালু করা এবং অপরিচিত অ্যাকাউন্ট, লেনদেন বা সেবা আছে কি না দেখতে ক্রেডিট রিপোর্ট, ব্যাংক লেনদেন ও স্বাস্থ্যবিমার নথি পর্যালোচনা করা। সন্দেহজনক কোনো তথ্য পাওয়া গেলে সংশ্লিষ্ট আর্থিক প্রতিষ্ঠান, বিমা প্রতিষ্ঠান বা স্বাস্থ্যসেবা প্রদানকারীর আগে থেকে জানা আনুষ্ঠানিক যোগাযোগমাধ্যমে তা জানানো উচিত।

সামরিক জনগোষ্ঠীর সঙ্গে সম্পর্ক এবং স্বাস্থ্যতথ্য একত্রে ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তা আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। CPAP Medical, সামরিক সদস্যদের জন্য কোনো সুবিধা কর্মসূচি, ব্যাংক বা বিমা প্রতিষ্ঠানের নামে আসা অপ্রত্যাশিত বার্তার লিংক সরাসরি খোলা উচিত নয়; আনুষ্ঠানিক ওয়েবসাইট বা যাচাইকৃত নম্বরের মাধ্যমে যোগাযোগ শুরু করা উচিত।