Denton County MHMR Center-এ 2024 সালের তথ্য সুরক্ষা লঙ্ঘন

প্রধান প্রমাণ হলো কেন্দ্রের নিজস্ব ডোমেইনে প্রকাশিত তথ্য সুরক্ষা বিজ্ঞপ্তি, যা 2025 সালের 30 ডিসেম্বর হালনাগাদ করা হয়েছিল, এবং সেটিতে সংযুক্ত প্রাথমিক বিজ্ঞপ্তির PDF। এতে বলা হয়েছে, 2024 সালের 24 ডিসেম্বর থেকে 25 ডিসেম্বরের মধ্যে অননুমোদিত একটি পক্ষ নেটওয়ার্কে থাকা তথ্য অ্যাক্সেস করেছিল। এই অনুসন্ধানের ফল নিশ্চিত করে যে সুরক্ষিত তথ্য ওই প্রবেশের আওতায় ছিল; এটি কেবল পরিষেবা বন্ধ থাকা বা ব্যাখ্যাহীন কার্যকলাপের প্রমাণ নয়।

HHS OCR-এর তালিকার সংশ্লিষ্ট সারিতে Denton MHMR Center-কে স্বাস্থ্যসেবা প্রদানকারী, ঘটনাটিকে হ্যাকিং/IT-সংক্রান্ত ঘটনা এবং তথ্যের অবস্থানকে নেটওয়ার্ক সার্ভার হিসেবে শ্রেণিবদ্ধ করা হয়েছে; সেখানে প্রভাবিত ব্যক্তির সংখ্যা 1,08,967 বলে জানানো হয়েছে। HIPAA Journal স্বাধীনভাবে আনুষ্ঠানিক বিজ্ঞপ্তি, ফেডারেল নথি এবং হালনাগাদ তথ্যক্ষেত্রের তালিকা তুলনা করেছে। প্রতিষ্ঠান, প্রবেশের সময়সীমা এবং ঘটনার আওতা সম্পর্কে তিনটি উৎসের তথ্য মিলে যায়।

কেন্দ্রটি 2024 সালের 24 ডিসেম্বর বা তার কাছাকাছি সময়ে নেটওয়ার্কে অস্বাভাবিক কার্যকলাপ শনাক্ত করে, সংশ্লিষ্ট পরিবেশ সুরক্ষিত করে এবং তৃতীয় পক্ষের বিশেষজ্ঞদের নিয়ে তদন্ত শুরু করে। পর্যালোচনায় নির্ধারিত হয় যে অননুমোদিত পক্ষটি 24 ডিসেম্বর থেকে 25 ডিসেম্বর পর্যন্ত সীমিত সময়ের জন্য প্রবেশাধিকার পেয়েছিল। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

প্রতিষ্ঠানটি 2025 সালের 21 ফেব্রুয়ারি প্রাথমিক বিকল্প বিজ্ঞপ্তি প্রকাশ করার সময়ও ফাইল ও সংশ্লিষ্ট ব্যক্তিদের পর্যালোচনা চলছিল। সম্ভাব্য তথ্য উপাদানগুলোর বিস্তারিত আওতা 10 অক্টোবর নির্ধারণ করা হয়, 5 নভেম্বর ঘটনাটি HHS OCR-কে জানানো হয় এবং পরে অঙ্গরাজ্যগুলোর অ্যাটর্নি জেনারেলদের অবহিত করা হয়। ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবার তথ্য অন্তর্ভুক্ত করতে 30 ডিসেম্বর ওয়েব বিজ্ঞপ্তিটি হালনাগাদ করা হয়।

বর্তমান আনুষ্ঠানিক তালিকায় রয়েছে নাম, ঠিকানা, রোগীর শনাক্তকরণ নম্বর, জন্মতারিখ, রোগনির্ণয়ের তথ্য, চিকিৎসার ইতিহাস, চিকিৎসা নথির নম্বর, চিকিৎসা, পরীক্ষাগারের তথ্য, চিকিৎসা প্রদানকারী চিকিৎসকদের নাম, ওষুধ, টিকা, চিকিৎসাবিমার তথ্য এবং বায়োমেট্রিক শনাক্তকারী। যাচাই করা হয়নি এমন ব্যক্তিসংখ্যা, তথ্যক্ষেত্র এবং হুমকিসৃষ্টিকারী পক্ষের দাবি প্রকাশ্যে নথিভুক্ত ঘটনার আওতার অংশ হিসেবে ধরা হয় না।

পর্যালোচনা শেষ হওয়ার আগে প্রকাশিত ফেব্রুয়ারির PDF-এ সম্ভাব্য তথ্যক্ষেত্র হিসেবে সামাজিক নিরাপত্তা নম্বর ও ব্যাংক অ্যাকাউন্ট নম্বরও উল্লেখ করা হয়েছিল। ডিসেম্বরে হালনাগাদ করা পৃষ্ঠায় সম্পন্ন বিশ্লেষণের বিস্তারিত ফল দেওয়া হয়েছে এবং ওই দুটি উপাদান আর উল্লেখ করা হয়নি।

আনুষ্ঠানিক উৎসে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির রিপোর্ট করা আওতা নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের শ্রেণি প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। HIPAA Journal সংশ্লিষ্ট ব্যক্তিদের বর্তমান ও সাবেক রোগী হিসেবে চিহ্নিত করেছে। সংখ্যাটি বিজ্ঞপ্তির আওতায় থাকা ব্যক্তিদের গণনা করে, কপি করা ফাইল, সারি বা তথ্যক্ষেত্র নয়; একজন ব্যক্তির একাধিক ধরনের তথ্য এর সঙ্গে জড়িত থাকতে পারে।

আনুষ্ঠানিক বিবরণে কিছু তথ্য অ্যাক্সেস করার বিষয়টি নিশ্চিত করা হয়েছে, তবে ফাইল সরিয়ে নেওয়া, জনসমক্ষে প্রকাশ করা বা বিক্রি করার কথা বলা হয়নি। যাচাই করা হয়নি এমন ব্যক্তিসংখ্যা, তথ্যক্ষেত্র এবং হুমকিসৃষ্টিকারী পক্ষের দাবি প্রকাশ্যে নথিভুক্ত ঘটনার আওতার অংশ হিসেবে ধরা হয় না। একইভাবে, তালিকাভুক্ত প্রতিটি তথ্যের শ্রেণি 1,08,967 জনের সবার ক্ষেত্রে প্রযোজ্য ছিল বলেও এতে বলা হয়নি।

অস্বাভাবিক কার্যকলাপ শনাক্ত করার পর কেন্দ্রটি তার নেটওয়ার্ক সুরক্ষিত করে এবং তদন্তের জন্য বিশেষজ্ঞদের নিযুক্ত করে। পরে নেটওয়ার্কে অতিরিক্ত সুরক্ষা ব্যবস্থা চালু করতে তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের সঙ্গে কাজ করে এবং তথ্য সুরক্ষার নীতি ও পদ্ধতি পর্যালোচনা ও উন্নত করে। প্রাথমিক বিজ্ঞপ্তিতে আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানানোর কথাও বলা হয়েছে।

হালনাগাদ বিজ্ঞপ্তিতে বলা হয়েছে, সম্ভাব্য প্রভাবিত ব্যক্তিদের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবা দেওয়ার প্রস্তাব করা হয়েছিল। বিজ্ঞপ্তি দেওয়ার সময় কেন্দ্রটি জানিয়েছিল, ঘটনার সঙ্গে সম্পর্কিত তথ্যের অপব্যবহারের কোনো প্রমাণ তাদের কাছে নেই। অপব্যবহার পরিলক্ষিত না হলেও সংবেদনশীল স্বাস্থ্যতথ্য ও বায়োমেট্রিক তথ্যের কারণে সৃষ্ট দীর্ঘমেয়াদি ঝুঁকি দূর হয়ে যায় না।

আপনি বিজ্ঞপ্তি পেয়ে থাকলে, প্রস্তাবিত ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবার যোগ্যতা এবং নিবন্ধনের সময়সীমা নিশ্চিত করতে কেন্দ্রের নির্দিষ্ট সহায়তা নম্বরে যোগাযোগ করতে পারেন। অপরিচিত অ্যাকাউন্ট, লেনদেন, চিকিৎসক, পরীক্ষাগারের সেবা বা বিমা দাবি আছে কি না দেখতে ক্রেডিট প্রতিবেদন, আর্থিক বিবরণী এবং স্বাস্থ্যবিমার সুবিধার বিবরণী নিয়মিত পর্যালোচনা করা উচিত।

আপনি চিকিৎসা, প্রেসক্রিপশন, টিকা বা বিমা-সংক্রান্ত কোনো অপরিচিত এন্ট্রি দেখতে পেলে, পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সেবাদাতা ও বিমা প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন। বায়োমেট্রিক তথ্য পাসওয়ার্ডের মতো বদলানো যায় না, তাই অপ্রত্যাশিত পরিচয় যাচাইয়ের অনুরোধের ক্ষেত্রে বিশেষ সতর্কতা প্রয়োজন।