DaVita 2025: তথ্য ফাঁস

DaVita-এর ঘটনায় জড়িত তথ্যের ধরন ব্যক্তিভেদে আলাদা। তবে প্রতিবেদনে উল্লেখ করা প্রধান বিভাগগুলো হলো নামের প্রথম ও শেষ অংশ, বাসার ঠিকানা, জন্মতারিখ, সামাজিক নিরাপত্তা নম্বর, স্বাস্থ্যবিমাসংক্রান্ত তথ্য, প্রতিষ্ঠানের অভ্যন্তরীণ রোগী বা নথি শনাক্তকরণ নম্বর, স্বাস্থ্যের অবস্থা, চিকিৎসার তথ্য এবং ডায়ালাইসিসসংক্রান্ত কিছু ল্যাবরেটরি পরীক্ষার ফলাফল। কিছু ব্যক্তির ক্ষেত্রে কর শনাক্তকরণ নম্বর এবং DaVita-এর নামে লেখা চেকের ছবিও ক্ষতিগ্রস্ত তথ্যসমষ্টিতে থাকতে পারে। সাধারণ যোগাযোগের তথ্য ফাঁসের তুলনায় এই ধরনের তথ্যের সমন্বয় বেশি গুরুতর, কারণ একই ঘটনায় পরিচয় যাচাইয়ের তথ্য, চিকিৎসাসেবা নেওয়ার ইতিহাস, বিমার লেনদেন এবং আর্থিক নথির ছবি একসঙ্গে জড়িত হতে পারে।

সবচেয়ে বড় ঝুঁকি তৈরি হয় পরিচয়সংক্রান্ত তথ্যের সঙ্গে স্বাস্থ্য ও ল্যাবরেটরির তথ্য একসঙ্গে ব্যবহার করার সুযোগ থেকে। সামাজিক নিরাপত্তা নম্বর ও জন্মতারিখ ঋণের আবেদন, ভুয়া পরিচয় নিবন্ধন, কর রিটার্নে জালিয়াতি এবং অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা যেতে পারে। অন্যদিকে, স্বাস্থ্যবিমার তথ্য ও চিকিৎসার নথি ভুয়া সেবার বিল, বিমার অপব্যবহার, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো প্রতারণামূলক বার্তা এবং রোগী সম্পর্কে বিশ্বাসযোগ্য মনে হয় এমন ভুয়া ফোনকলের জন্য অপব্যবহার করা হতে পারে। যাঁদের চেকের ছবি বা কর শনাক্তকরণ তথ্য জড়িত, তাঁদের ক্ষেত্রে ব্যাংক অ্যাকাউন্টধারী সেজে প্রতারণা, ব্যবসায়িক বা ব্যক্তিগত অর্থপ্রদানে জালিয়াতি এবং নথি ব্যবহার করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টার কারণে ঝুঁকি আরও বাড়ে।

এই ঘটনায় পাসওয়ার্ড বা অনলাইন অ্যাকাউন্টের সেশনসংক্রান্ত তথ্যকে প্রধান তথ্য বিভাগ হিসেবে যাচাই করা হয়নি। তাই এই রেকর্ডকে সরাসরি পাসওয়ার্ডের ডেটাবেস ফাঁসের ঘটনা হিসেবে বিবেচনা করা উচিত নয়। তবু ফাঁস হওয়া তথ্য অন্য ব্যবস্থায় পরিচয় যাচাইয়ের প্রশ্নের উত্তর দিতে, গ্রাহক সহায়তার প্রক্রিয়াকে প্রভাবিত করতে বা রোগীর হয়ে কোনো কার্যক্রম শুরু করার চেষ্টা করতে যথেষ্ট হতে পারে। ডায়ালাইসিসের মতো নিয়মিত স্বাস্থ্যসেবা গ্রহণকারী ব্যক্তিদের কাছে এসব প্রচেষ্টা বিশেষভাবে বিশ্বাসযোগ্য মনে হতে পারে। এ সুযোগে আক্রমণকারীরা অ্যাপয়েন্টমেন্ট, অর্থপ্রদান, বিমা ও ল্যাবরেটরি পরীক্ষার ফলাফল নিয়ে ভুয়া বার্তা বা যোগাযোগ তৈরি করতে পারে।

ঘটনাটির যাচাইযোগ্য সময়রেখা 24 মার্চ 2025 থেকে 12 এপ্রিল 2025 পর্যন্ত অননুমোদিত প্রবেশের সময়কালের ওপর ভিত্তি করে তৈরি। প্রতিষ্ঠানটি জানিয়েছে, তারা 12 এপ্রিল 2025 তারিখে ঘটনাটি শনাক্ত করে এবং একই দিনে অননুমোদিত পক্ষকে তাদের সিস্টেম থেকে সরিয়ে দেয়। পরবর্তীতে প্রকাশিত আর্থিক তথ্য ও নিয়ন্ত্রক সংস্থায় দাখিল করা প্রতিবেদন নিশ্চিত করে যে ঘটনাটি নেটওয়ার্কের কিছু অংশকে প্রভাবিত করেছে, কার্যক্রমে সাময়িক বিঘ্ন ঘটিয়েছে এবং DaVita Laboratory-এর কার্যক্রম থেকে ব্যক্তিকে শনাক্ত করা যায় এমন তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য বের করে নেওয়া হয়েছে। স্বাস্থ্যখাতের তথ্য ফাঁসের নথিতে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 26,89,826 হিসেবে উল্লেখ রয়েছে।

এই রেকর্ড ডার্ক ওয়েবে করা দাবিতে উল্লেখিত ফাইলের পরিমাণ, লাইনের সংখ্যা বা মুক্তিপণ দাবিকারী গোষ্ঠীর বক্তব্যের ওপর ভিত্তি করে তৈরি নয়। এর ভিত্তি হলো প্রকাশ্য ও নিয়ন্ত্রক নথিতে যাচাইযোগ্য মানুষের সংখ্যা, ঘটনার তারিখ এবং তথ্যের বিভাগগুলো। তাই তথ্যের ক্ষেত্রগুলো শুধু প্রতিবেদনে উল্লেখ করা বিভাগেই সীমাবদ্ধ রাখা হয়েছে। কিছু সংবাদ প্রতিবেদনে আরও বিস্তৃত আর্থিক তথ্য বা পরিচয়পত্রের তথ্যের উল্লেখ থাকলেও, এই রেকর্ডে মূল তথ্যের শ্রেণিগুলো নির্ভরযোগ্য প্রতিবেদনে ধারাবাহিকভাবে পাওয়া ক্ষেত্র অনুযায়ী নির্বাচন করা হয়েছে। এর ফলে ব্যবহারকারীর কাছে ঘটনাটিকে বাস্তবের চেয়ে বড় বা ভিন্নভাবে উপস্থাপন করা হয় না।

পরিধির একটি গুরুত্বপূর্ণ সীমাবদ্ধতা হলো, ক্ষতিগ্রস্ত তথ্যের ধরন সবার ক্ষেত্রে এক নয়। একজনের নথিতে শুধু জনমিতিক ও স্বাস্থ্যবিমার তথ্য থাকতে পারে, আবার অন্যজনের নথিতে ক্লিনিক্যাল পরীক্ষার ফলাফল বা করসংক্রান্ত তথ্য থাকতে পারে। ঝুঁকি মূল্যায়নের জন্য এই পার্থক্য গুরুত্বপূর্ণ। কোনো ব্যবহারকারীর রেকর্ড এই তথ্য ফাঁসের রেকর্ডের সঙ্গে মিলে গেলে তাঁর ধরে নেওয়া উচিত নয় যে তাঁর সব ধরনের তথ্য নিশ্চিতভাবে ফাঁস হয়েছে। তবে পরিচয়, স্বাস্থ্য ও বিমার তথ্য ব্যবহার করে প্রতারণার বিষয়ে তাঁর অত্যন্ত সতর্ক থাকা উচিত।

সবচেয়ে বেশি ঝুঁকিতে থাকা গোষ্ঠীর মধ্যে রয়েছেন DaVita কেন্দ্রগুলোতে সেবা নেওয়া বর্তমান ও সাবেক রোগী, DaVita Laboratory-এর মাধ্যমে যাঁদের পরীক্ষার ফলাফল প্রক্রিয়াকরণ করা হয়, মৃত রোগীর উত্তরাধিকার বা প্রতিনিধিত্বসংক্রান্ত প্রক্রিয়ায় যাঁদের তথ্য সংরক্ষিত আছে এমন স্বজন এবং স্বাস্থ্যবিমার লেনদেনে যাঁদের নথি রয়েছে এমন ব্যক্তি। ডায়ালাইসিস একটি নিয়মিত ও অত্যন্ত গুরুত্বপূর্ণ স্বাস্থ্যসেবা হওয়ায় এসব ব্যক্তি সাধারণত অ্যাপয়েন্টমেন্ট, অর্থপ্রদান, বিমার আগাম অনুমোদন ও ল্যাবরেটরি পরীক্ষার ফলাফল সম্পর্কে ঘন ঘন বার্তা পান। এই অভ্যাসের কারণে ভুয়া ফোনকল ও ইমেইলের মাধ্যমে প্রতারণার চেষ্টা আরও বিশ্বাসযোগ্য মনে হতে পারে।

রোগীর স্বজন ও পরিচর্যাকারীরাও পরোক্ষভাবে ঝুঁকিতে থাকতে পারেন। আক্রমণকারী রোগীর হয়ে তথ্য হালনাগাদ করা, বিল পরিশোধ করা, বিমা নিশ্চিত করা বা পরীক্ষার ফলাফল দেখার অজুহাতে স্বজনদের লক্ষ্য করতে পারে। DaVita থেকে এসেছে বলে মনে হয় এমন বার্তায় থাকা লিংকে ক্লিক করা, ফাইল ডাউনলোড করা বা পরিচয় যাচাইয়ের তথ্য দেওয়া বিশেষভাবে ঝুঁকিপূর্ণ। আক্রমণকারীরা প্রকৃত চিকিৎসা পরিভাষা, ডায়ালাইসিসের সময়সূচি বা বিমার বিবরণী ব্যবহার করে তাদের বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

ক্ষতিগ্রস্তদের একটি ছোট উপগোষ্ঠীর ক্ষেত্রে কর শনাক্তকরণ নম্বর বা চেকের ছবি জড়িত থাকায় ঝুঁকির আর্থিক দিকটি আরও প্রকট হয়। এসব ব্যক্তির শুধু স্বাস্থ্যসেবা নিয়ে প্রতারণা নয়, ভুয়া অর্থপ্রদানের অনুরোধ, ব্যাংক অ্যাকাউন্ট যাচাইয়ের নামে প্রতারণা এবং নথি ব্যবহার করে পরিচয় জালিয়াতির বিষয়েও সতর্ক থাকা উচিত। যাঁদের সামাজিক নিরাপত্তা নম্বর ক্ষতিগ্রস্ত হয়েছে, তাঁদের ঝুঁকি স্বল্পমেয়াদি নয়। এই তথ্য পরিবর্তন করা যায় না বলে ক্রেডিট ফ্রিজ, কর অ্যাকাউন্ট পর্যবেক্ষণ এবং দীর্ঘমেয়াদি পরিচয় সুরক্ষার ব্যবস্থা নেওয়া কার্যকর পদক্ষেপ।

এই ঘটনায় ক্ষতিগ্রস্ত ব্যবহারকারীদের প্রথমে তাঁদের কাছে পাঠানো আনুষ্ঠানিক বিজ্ঞপ্তির চিঠি বা বিশ্বস্ত উৎস থেকে অ্যাকাউন্টে পাওয়া বিজ্ঞপ্তি মনোযোগ দিয়ে পড়া উচিত। বিজ্ঞপ্তিতে তাঁদের কোন ধরনের তথ্য ক্ষতিগ্রস্ত হয়েছে তা উল্লেখ থাকলে, সে অনুযায়ী পদক্ষেপের অগ্রাধিকার নির্ধারণ করা উচিত। সামাজিক নিরাপত্তা নম্বর বা জন্মতারিখ ক্ষতিগ্রস্ত হলে ক্রেডিট রিপোর্ট পরীক্ষা করা, ক্রেডিট ফ্রিজের বিকল্প বিবেচনা করা এবং বিদ্যমান আর্থিক অ্যাকাউন্টে অস্বাভাবিক আবেদন বা ঠিকানা পরিবর্তন হয়েছে কি না তা খতিয়ে দেখা উচিত। স্বাস্থ্যবিমার তথ্য ক্ষতিগ্রস্ত হলে বিমা প্রদানকারীর সুবিধা ও ব্যয়সংক্রান্ত বিবরণী নজরে রাখা উচিত এবং গ্রহণ করা হয়নি এমন সেবার জন্য দাবি করা হলে আপত্তি জানানো উচিত।

ক্ষতিগ্রস্ত ব্যক্তিদের স্বাস্থ্যসেবা পোর্টালের পাসওয়ার্ড বদলে শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, সুবিধা থাকলে একাধিক উপাদানভিত্তিক পরিচয় যাচাই (মাল্টি-ফ্যাক্টর অথেনটিকেশন) চালু করা এবং রোগী পোর্টালে নিজেদের যোগাযোগের তথ্য পরীক্ষা করা উচিত। ফাঁস হওয়া তথ্যের অংশ হিসেবে পাসওয়ার্ড থাকার বিষয়টি সরাসরি নিশ্চিত না হলেও, পরিচয় যাচাইয়ের তথ্যের সহায়তায় সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টা অ্যাকাউন্ট দখলের দিকে নিয়ে যেতে পারে। তাই ইমেইল, রোগী পোর্টাল ও বিমা অ্যাকাউন্টের পাসওয়ার্ড অন্য কোনো সেবায় পুনরায় ব্যবহার করা উচিত নয়।

সন্দেহজনক ফোনকলের ক্ষেত্রে কলদাতার দেওয়া নম্বরে ফিরে ফোন না করে প্রতিষ্ঠানটির আনুষ্ঠানিক ওয়েবসাইটে থাকা ফোন নম্বর ব্যবহার করা উচিত। ইমেইলের লিংক ব্যবহার না করে ওয়েব ঠিকানা নিজে টাইপ করা বা আগে সংরক্ষণ করা বিশ্বস্ত বুকমার্ক ব্যবহার করা উচিত। কর শনাক্তকরণ তথ্য, চেকের ছবি বা অর্থপ্রদানের নথি ক্ষতিগ্রস্ত হলে ব্যাংকের লেনদেন নিয়মিত পর্যবেক্ষণ করা, অস্বাভাবিক ইলেকট্রনিক অর্থপ্রদানের চেষ্টার জন্য ব্যাংকের সঙ্গে সতর্কবার্তার ব্যবস্থা করা এবং ভুয়া চালান বা অর্থপ্রদানের তথ্য হালনাগাদের অনুরোধ আলাদাভাবে যাচাই করা উচিত।

এই তথ্য ফাঁসের পর দীর্ঘমেয়াদি পর্যবেক্ষণ প্রয়োজন, কারণ স্বাস্থ্য ও পরিচয়সংক্রান্ত তথ্যের মূল্য দ্রুত কমে যায় না। সামাজিক নিরাপত্তা নম্বর, জন্মতারিখ ও স্বাস্থ্যবিমার তথ্য বহু বছর পরও অ্যাকাউন্ট খোলা, কর জালিয়াতি, স্বাস্থ্যসেবায় প্রতারণা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় ব্যবহার করা যেতে পারে। ব্যবহারকারীদের ক্রেডিট ফ্রিজ, প্রতারণার সতর্কবার্তা, বছরে একবার ক্রেডিট রিপোর্ট পরীক্ষা এবং কর অ্যাকাউন্টের নিরাপত্তা একসঙ্গে বিবেচনা করা উচিত। স্বাস্থ্যবিমার সুবিধা ও ব্যয়সংক্রান্ত বিবরণী শুধু ঘটনার পর কয়েক মাস নয়, নিয়মিত বিরতিতে পর্যালোচনা করা উচিত।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে ঘটনাটি দেখায় যে স্বাস্থ্যসেবায় ল্যাবরেটরির তথ্যসংক্রান্ত কার্যক্রম ও নেটওয়ার্ক সার্ভারে গুরুতর ঝুঁকি রয়েছে। রোগীর তথ্য শুধু মূল রোগী পোর্টালেই নয়, পরীক্ষার ফলাফল প্রক্রিয়াকরণ, বিল তৈরি, বিমার হিসাব মেলানো এবং নথি সংরক্ষণের ব্যবস্থাতেও থাকতে পারে। তাই ন্যূনতম প্রয়োজনীয় অধিকার দেওয়ার নীতি অনুযায়ী প্রবেশাধিকার সীমিত রাখা, সংবেদনশীল তথ্যের ভান্ডার আলাদা রাখা, অস্বাভাবিক তথ্য স্থানান্তরের জন্য আগাম সতর্কতা ব্যবস্থা গড়ে তোলা এবং ব্যাকআপ প্রক্রিয়া নিয়মিত পরীক্ষা করা উচিত।

ব্যক্তিগত ব্যবহারকারীদের জন্য একটি টেকসই কৌশল হলো পরিচয়সংক্রান্ত ও স্বাস্থ্যসেবার অ্যাকাউন্টগুলোতে আলাদা নিরাপত্তা স্তর যোগ করা। ইমেইল অ্যাকাউন্টে শক্তিশালী পাসওয়ার্ড ও একাধিক উপাদানভিত্তিক পরিচয় যাচাই (মাল্টি-ফ্যাক্টর অথেনটিকেশন) না থাকলে অন্য অ্যাকাউন্টগুলোর নিরাপত্তাও দুর্বল হয়। ব্যবহারকারীদের স্বাস্থ্যসেবা পোর্টাল, বিমা অ্যাকাউন্ট, ব্যাংক অ্যাকাউন্ট ও কর অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত; অপরিচিত সংযুক্ত ফাইল খোলা এড়িয়ে চলা উচিত; এবং রোগীর সেবা নিয়ে জরুরি বলে মনে হয় এমন অনুরোধ দ্বিতীয় কোনো মাধ্যমে যাচাই করা উচিত। এই পদ্ধতি ফাঁস হওয়া তথ্য ব্যবহার করে অন্য অ্যাকাউন্টেও আক্রমণ ছড়িয়ে পড়ার ঝুঁকি কমায়।

LeakData-এ করা যাচাই ব্যবহারকারীর ইমেইল বা অন্য শনাক্তকারী তথ্য এই DaVita 2025 তথ্য ফাঁসের রেকর্ডের সঙ্গে মেলে কি না তা নির্ধারণে সহায়তা করে। মিল পাওয়া গেলে ব্যবহারকারীর প্রথমে নিজের বিজ্ঞপ্তিতে থাকা তথ্যের ক্ষেত্রগুলো পর্যালোচনা করা উচিত এবং ঘটনাটিকে স্বাস্থ্য ও পরিচয়সংক্রান্ত তথ্য জড়িত একটি উচ্চ ঝুঁকির তথ্য ফাঁস হিসেবে বিবেচনা করা উচিত। মিল না পাওয়া গেলে তা ব্যবহারকারী ক্ষতিগ্রস্ত হননি বলে নিশ্চিত প্রমাণ নয়; বিজ্ঞপ্তির পরিধি, আমদানি করা তথ্যসমষ্টি এবং প্রকাশ্যে পাওয়া যাচাইকৃত তথ্যের সীমাবদ্ধতার কারণে রেকর্ড সীমিত হতে পারে।

যাঁদের তথ্য মিলে গেছে, তাঁদের কর্মপরিকল্পনায় তিনটি অংশ থাকা উচিত: পরিচয় সুরক্ষা, স্বাস্থ্যবিমা যাচাই এবং যোগাযোগের নিরাপত্তা। পরিচয় সুরক্ষার জন্য ক্রেডিট রিপোর্ট ও কর অ্যাকাউন্ট পর্যবেক্ষণ করা উচিত; স্বাস্থ্যবিমা যাচাইয়ের জন্য দাবি করা হয়নি এমন সেবা, বিলে ভুল খাত এবং অস্বাভাবিক দাবির নথি নজরে রাখা উচিত; আর যোগাযোগের নিরাপত্তার জন্য প্রতিষ্ঠানের পক্ষ থেকে এসেছে বলে দাবি করা বার্তা ও ফোনে পাওয়া অনুরোধ আলাদা কোনো মাধ্যমে যাচাই করা উচিত। এসব পদক্ষেপ একবার নিয়ে থেমে যাওয়া উচিত নয়; ঘটনার পর এগুলোকে দীর্ঘমেয়াদি নিরাপত্তার অভ্যাস হিসেবে অনুসরণ করা উচিত।

এই রেকর্ড তৈরির সময় যাচাইকৃত ব্যক্তির সংখ্যা, তারিখের পরিসর এবং তথ্যের বিভাগগুলোকে ভিত্তি হিসেবে নেওয়া হয়েছে; যাচাই করা হয়নি এমন দাবি মূল তথ্যের ক্ষেত্রগুলোতে যোগ করা হয়নি। উদ্দেশ্য হলো অপ্রয়োজনীয় আতঙ্ক সৃষ্টি না করে ব্যবহারকারীকে প্রকৃত ঝুঁকি সম্পর্কে দিকনির্দেশনা দেওয়া। পরিচয় ও স্বাস্থ্যতথ্য একসঙ্গে জড়িত থাকায় DaVita 2025 তথ্য ফাঁসের ঘটনাকে গুরুতর হিসেবে বিবেচনা করা হয়। তাই ব্যবহারকারীদের শুধু পাসওয়ার্ড বদলানো নয়, ক্রেডিট, বিমা, কর ও রোগী পোর্টালের নিরাপত্তাও একসঙ্গে বিবেচনা করতে হবে।