Cure Dental-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রাথমিক উৎস হলো Cure Dental-এর নিজস্ব ডোমেইনে রোগীদের উদ্দেশে প্রকাশিত ওয়েবসাইট বিজ্ঞপ্তি। প্রতিষ্ঠানটি সেখানে সরাসরি জানিয়েছে কবে ঘটনাটি শনাক্ত হয়, কী প্রযুক্তিগত ব্যবস্থা নেওয়া হয়, কোন ধরনের ব্যক্তিগত তথ্য প্রভাবিত হয়ে থাকতে পারে, তাদের অনুসন্ধানে রোগীদের PHI প্রভাবিত হয়নি বলে পাওয়া গেছে এবং পরিচয় সুরক্ষায় রোগীদের কী কী পদক্ষেপ নেওয়ার পরামর্শ দেওয়া হয়েছে।

দ্বিতীয় নিশ্চিতকরণ উৎস হলো HHS OCR-এর তথ্য নিরাপত্তা লঙ্ঘনের প্রতিবেদন। এতে Cure Dental-কে একটি স্বাস্থ্যসেবা প্রদানকারী প্রতিষ্ঠান হিসেবে চিহ্নিত করা হয়েছে, ঘটনাটিকে নেটওয়ার্ক সার্ভারের সঙ্গে সংশ্লিষ্ট হ্যাকিং/IT-সংক্রান্ত ঘটনা হিসেবে শ্রেণিবদ্ধ করা হয়েছে, প্রভাবিত ব্যক্তির সংখ্যা 878 বলা হয়েছে এবং প্রতিবেদন জমা দেওয়ার তারিখ 23 জুন 2026 উল্লেখ করা হয়েছে। আনুষ্ঠানিক ওয়েবপেজ ও HHS-এর নথি ব্যবহার করে Claim Depot-ও স্বাধীনভাবে একই সংখ্যা, ঘটনা শনাক্তের তারিখ ও তথ্যের ধরনগুলো জানিয়েছে।

অননুমোদিত সাইবার প্রবেশ শনাক্ত করার পর প্রতিষ্ঠানটি অবিলম্বে নেটওয়ার্কে কঠোর প্রবেশ-নিয়ন্ত্রণ আরোপ করে, বাইরের সংযোগগুলো বিচ্ছিন্ন করে, ওয়েবের মাধ্যমে রিমোট ডেস্কটপে প্রবেশাধিকার থাকা অ্যাকাউন্টগুলো নিষ্ক্রিয় করে এবং পুরো অফিসে পাসওয়ার্ড রিসেট বাধ্যতামূলক করে। প্রতিষ্ঠানের সাইবার নিরাপত্তা প্ল্যাটফর্ম নেটওয়ার্কজুড়ে ক্ষতিকর কার্যকলাপের বিস্তার শনাক্ত করে কার্যকরভাবে তা থামিয়ে দেয়।

আনুষ্ঠানিক বিবরণে ঘটনাটিকে আপাতদৃষ্টিতে একটি র‍্যানসমওয়্যার হামলা বলে বর্ণনা করা হয়েছে, তবে কোনো হামলাকারী ব্যক্তি বা গোষ্ঠীকে শনাক্ত করা হয়নি। অনুপ্রবেশকারী পরে কয়েকবার অফিসে যোগাযোগ করে সিস্টেমে রেখে যাওয়া ম্যালওয়্যার ফাইলগুলো কর্মীদের নিজ হাতে চালু করার দাবি জানায়; কর্মীরা তা করেননি এবং পরে এসব চেষ্টা বন্ধ হয়ে যায়। ব্যক্তির সংখ্যা, তথ্যের ধরন এবং হুমকিদাতা সম্পর্কে অযাচাইকৃত দাবিগুলোকে প্রকাশ্য তথ্য অনুযায়ী ঘটনার পরিসরের অংশ হিসেবে ধরা হয় না।

তদন্তে দেখা যায়, রোগীদের তথ্য সংরক্ষণের প্ল্যাটফর্মে প্রবেশ সীমিত হয়ে পড়লেও সেটি দ্রুত পুনরুদ্ধার করা হয় এবং আর্কাইভে সংরক্ষিত তথ্য প্রভাবিত হয়নি। তবে প্রতিষ্ঠানটি সিদ্ধান্তে পৌঁছায় যে ঘটনার সময় রোগীদের সঙ্গে সংশ্লিষ্ট কিছু ব্যক্তিগত তথ্যে প্রবেশ করা হয়ে থাকতে পারে। উৎসগুলোতে ফাইলের সুনির্দিষ্ট সংখ্যা, ডাউনলোড করা তথ্যের পরিমাণ বা কতক্ষণ প্রবেশাধিকার ছিল, তা প্রকাশ করা হয়নি।

ঘটনার তারিখ নির্ধারণ করা হয়েছে প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে। আনুষ্ঠানিক বিজ্ঞপ্তিতে বলা হয়েছে, তথ্যে প্রবেশ করা হয়ে থাকতে পারে, কিন্তু সেই তথ্য প্রকাশ বা বিক্রি করা হয়েছে বলে নিশ্চিত করা হয়নি। প্রায় এক বছর পর HHS-এ প্রতিবেদন জমা দেওয়ার তারিখটি নিয়ন্ত্রক কর্তৃপক্ষের কাছে প্রতিবেদন দাখিলের একটি ধাপ, ঘটনার তারিখ নয়।

সম্ভাব্যভাবে প্রভাবিত তথ্যের মধ্যে রয়েছে নাম, ঠিকানা, জন্মতারিখ, সামাজিক নিরাপত্তা নম্বর ও ড্রাইভিং লাইসেন্স নম্বর। এই তথ্যগুলো একসঙ্গে থাকলে প্রতারণামূলকভাবে অ্যাকাউন্ট খোলা, অন্যের পরিচয় ধারণ করা, ঋণসংক্রান্ত প্রতারণা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের উল্লেখযোগ্য ঝুঁকি তৈরি হয়। প্রতিষ্ঠানটি আরও জানিয়েছে, একজন রোগী এমন এক ব্যক্তির ফোন পেয়েছিলেন, যিনি নিজেকে তথ্যপ্রযুক্তি পেশাজীবী বলে পরিচয় দিয়েছিলেন।

ওই রোগী সঙ্গে সঙ্গে ফোন কেটে দেন এবং প্রতিষ্ঠানটিকে জানান। Cure Dental জানিয়েছে, আর কোনো সন্দেহজনক কার্যকলাপের খবর পাওয়া যায়নি। আনুষ্ঠানিক ওয়েবপেজে বলা হয়নি যে 878 জনের সবার ক্ষেত্রে প্রতিটি ধরনের তথ্যই ছিল; কোন ধরনের তথ্য কতজনের ক্ষেত্রে ছিল, তার সংখ্যাও দেওয়া হয়নি।

Cure Dental স্পষ্টভাবে বলেছে, ঘটনাটি রোগীদের চিকিৎসা ও অর্থ পরিশোধের তথ্যের মতো সুরক্ষিত স্বাস্থ্যতথ্যকে প্রভাবিত করেনি। প্রতিষ্ঠানটি আরও বলেছে, রোগীদের তথ্য সংরক্ষণের প্ল্যাটফর্ম পুনরুদ্ধার করা হয়েছে এবং আর্কাইভে সংরক্ষিত তথ্য প্রভাবিত হয়নি।

কোনো দন্তচিকিৎসা প্রতিষ্ঠানের সঙ্গে একজন ব্যক্তির সংশ্লিষ্টতার তথ্যও গোপনীয়তার দিক থেকে গুরুত্বপূর্ণ হতে পারে। তবে উপলব্ধ উৎসগুলো এই সম্পর্কের বাইরে অন্য কোনো স্বাস্থ্যতথ্য উন্মুক্ত হয়েছে বলে নিশ্চিত করে না।

সম্ভাব্যভাবে প্রভাবিত ব্যক্তিদের উচিত তিনটি প্রধান ক্রেডিট ব্যুরো থেকে বিনামূল্যে প্রতিবেদন সংগ্রহ করা, অপরিচিত অ্যাকাউন্ট ও ঋণতথ্য যাচাইয়ের অনুরোধগুলো পর্যালোচনা করা এবং প্রতারণা সতর্কতা জারি করা বা বিনামূল্যে ক্রেডিট ফ্রিজ করার কথা বিবেচনা করা। Cure Dental-এর প্রতিনিধি দাবি করে ফোন করা কাউকে কখনোই পরিচয়সংক্রান্ত তথ্য দেওয়া উচিত নয়; যাচাইয়ের জন্য প্রতিষ্ঠানের আনুষ্ঠানিক ওয়েবসাইটে দেওয়া কোনো যোগাযোগের মাধ্যম ব্যবহার করে নিজে যোগাযোগ করা উচিত।

ঘটনাটি সম্পর্কে প্রশ্নের জন্য প্রতিষ্ঠানটি টোল-ফ্রি 888-766-1488 নম্বর প্রকাশ করেছে। অপরিচিত অ্যাকাউন্ট, ঋণতথ্য যাচাইয়ের অনুরোধ বা ভুয়া পরিচয়ে করা ফোনকলের প্রমাণ সংরক্ষণ করে সংশ্লিষ্ট সংস্থাকে এবং প্রযোজ্য ক্ষেত্রে আইন প্রয়োগকারী কর্তৃপক্ষকে জানানো উচিত। কোনো সন্দেহজনক বার্তা বা অ্যাকাউন্ট-সংক্রান্ত ঘটনা নজরে এলে বার্তার লিংক ব্যবহার না করে সংস্থাটির বর্তমানে চালু আনুষ্ঠানিক যোগাযোগের মাধ্যমে তা যাচাই করা উচিত। ব্যক্তিগতভাবে পাঠানো বিজ্ঞপ্তির চিঠি পাওয়া গেলে, সংশ্লিষ্ট ব্যক্তির কোন তথ্য প্রভাবিত হয়েছে এবং কী সুরক্ষার ব্যবস্থা প্রস্তাব করা হয়েছে, তা জানার প্রাথমিক উৎস হলো সেই চিঠি। তারিখ ও তথ্যের ধরনগুলো সম্পর্কে শুধু প্রকাশ্য উৎসে যতটুকু সমর্থন পাওয়া যায়, ততটুকুই ধরে নেওয়া উচিত; প্রকাশ করা হয়নি এমন কোনো বিবরণকে নিশ্চিত তথ্য হিসেবে ধরা উচিত নয়।