Devereux Foundation-এর 2025 সালের তথ্য ফাঁস

ঘটনাটির প্রধান তথ্যসূত্র হলো Devereux-এর নিজস্ব ডোমেইনে প্রকাশিত “তথ্যসংক্রান্ত ঘটনার বিজ্ঞপ্তি”। প্রতিষ্ঠানের নামে জারি করা এই বিজ্ঞপ্তিতে ঘটনাটি শনাক্ত করার তারিখ, অননুমোদিত প্রবেশের সময়সীমা, ফাইল কপি করা, পর্যালোচনা করা তথ্যের ধরন, আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানানো এবং বিনা মূল্যে ক্রেডিট পর্যবেক্ষণসেবা দেওয়ার বিষয়গুলো সরাসরি বর্ণনা করা হয়েছে।

দ্বিতীয় আনুষ্ঠানিক তথ্যসূত্র হলো টেক্সাসের অ্যাটর্নি জেনারেলের তথ্যসুরক্ষা লঙ্ঘনসংক্রান্ত রেকর্ড BR-0005199। এতে The Devereux Foundation-কে পেনসিলভানিয়ার ভিলানোভায় অবস্থিত ঠিকানাসহ শনাক্ত করা হয়েছে এবং যুক্তরাষ্ট্রজুড়ে ক্ষতিগ্রস্ত ব্যক্তির মোট সংখ্যা (86,958), এর মধ্যে টেক্সাসের বাসিন্দার সংখ্যা (5,341), বিজ্ঞপ্তি দেওয়ার পদ্ধতি এবং তথ্যের প্রধান ধরনগুলো প্রকাশ করা হয়েছে। প্রতিষ্ঠানটির পরিচয় এবং ঘটনার শুরুর তারিখ সম্পর্কে দুটি সূত্রের তথ্য মিলে যায়।

Devereux 9 নভেম্বর কম্পিউটার নেটওয়ার্কের কিছু সিস্টেমে সন্দেহজনক কার্যকলাপ শনাক্ত করে। এরপর প্রতিষ্ঠানটি সিস্টেমগুলো বিচ্ছিন্ন করা, নেটওয়ার্কের নিরাপত্তা মূল্যায়ন করা এবং ঘটনার প্রকৃতি ও ব্যাপ্তি তদন্ত করা শুরু করে। তৃতীয় পক্ষের বিশেষজ্ঞদের সহায়তায় পরিচালিত পর্যালোচনায় নির্ধারিত হয় যে একটি পক্ষ 6 নভেম্বর থেকে 9 নভেম্বর পর্যন্ত কিছু সিস্টেমে প্রবেশ করেছিল এবং অনুমতি ছাড়া ফাইল কপি করেছিল।

এরপর কপি করা ফাইলগুলোতে সংবেদনশীল তথ্য ছিল কি না এবং সেই তথ্য কোন ব্যক্তিদের সঙ্গে সম্পর্কিত, তা নির্ধারণ করতে প্রতিষ্ঠানটি বিস্তারিত পর্যালোচনা করে। প্রকাশ্য বিজ্ঞপ্তিতে প্রথমবার প্রবেশের পদ্ধতি, কাজে লাগানো নিরাপত্তা দুর্বলতা, ম্যালওয়্যার, মুক্তিপণের দাবি বা সংশ্লিষ্ট পক্ষের পরিচয় উল্লেখ করা হয়নি। তাই ঘটনাটিকে কোনো নির্দিষ্ট গোষ্ঠী বা আক্রমণকৌশলের সঙ্গে যুক্ত করা হয়নি।

Devereux-এর আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, ব্যক্তিভেদে তথ্যের ধরন আলাদা ছিল। সম্ভাব্য তথ্যের মধ্যে ছিল নাম, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স বা অঙ্গরাজ্যের পরিচয়পত্রের নম্বর, যুক্তরাষ্ট্রে বিদেশি নাগরিকদের নিবন্ধন নম্বর, করদাতা শনাক্তকরণ নম্বর এবং ডিজিটাল বা ইলেকট্রনিক স্বাক্ষর।

কপি করা ফাইলগুলোতে আর্থিক অ্যাকাউন্টের তথ্য, পেমেন্ট কার্ডের তথ্য, চিকিৎসাসংক্রান্ত তথ্য এবং স্বাস্থ্যবিমার তথ্যও থাকতে পারে। বিজ্ঞপ্তিতে বলা হয়নি যে প্রত্যেক ক্ষতিগ্রস্ত ব্যক্তির ক্ষেত্রে সব ধরনের তথ্যই জড়িত ছিল। ঘটনার আনুষ্ঠানিক বিজ্ঞপ্তিতে প্রভাবিত তথ্যের ধরনগুলোর মধ্যে পাসওয়ার্ড, ইমেইলের বিষয়বস্তু বা বায়োমেট্রিক তথ্যের উল্লেখ ছিল না, তাই এই রেকর্ডেও সেগুলো অন্তর্ভুক্ত করা হয়নি।

টেক্সাসের অ্যাটর্নি জেনারেলের BR-0005199 রেকর্ডে দেশজুড়ে ক্ষতিগ্রস্ত ব্যক্তির সুনির্দিষ্ট মোট সংখ্যা 86,958 বলা হয়েছে। একই রেকর্ডে টেক্সাসের 5,341 জন বাসিন্দাকে আলাদাভাবে উল্লেখ করা হয়েছে। টেক্সাসের সংখ্যাটি জাতীয় মোট সংখ্যার অংশ; এটিকে মোট সংখ্যার সঙ্গে আবার যোগ করা হয়নি।

টেক্সাসের পোর্টালে তথ্য ফাঁসের শুরুর তারিখ হিসেবে 2025 সালের 6 নভেম্বর উল্লেখ করা হয়েছে। সেখানে বলা হয়েছে, কোম্পানির ওয়েবসাইট বা বিশেষ ওয়েবসাইটে বিজ্ঞপ্তি প্রকাশ করে এবং যুক্তরাষ্ট্রের ডাকযোগে নোটিশ পাঠিয়ে জানানো হয়েছিল। Devereux-এর বিজ্ঞপ্তিতে বলা হয়েছে, প্রবেশ 9 নভেম্বর পর্যন্ত চলেছিল এবং বিজ্ঞপ্তি দেওয়া শুরু হয় 2026 সালের 8 জানুয়ারি। সূত্রগুলোতে তারিখের ভিন্ন ভিন্ন ক্ষেত্রকে একটি তারিখে একত্র না করে ঘটনা, পর্যালোচনা ও বিজ্ঞপ্তি দেওয়ার পৃথক পর্যায় হিসেবে বোঝা হয়েছে।

Devereux জানিয়েছে, তারা সিস্টেমগুলো বিচ্ছিন্ন করেছে, নেটওয়ার্কের নিরাপত্তা ও কার্যক্রমে সহায়তার জন্য তৃতীয় পক্ষের বিশেষজ্ঞদের যুক্ত করেছে এবং ঘটনাটি আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানিয়েছে। প্রতিষ্ঠানটি নীতি ও পদ্ধতিও পর্যালোচনা করেছে, একই ধরনের ঘটনার ঝুঁকি কমানোর উদ্দেশ্যে কর্মীদের জন্য অতিরিক্ত প্রশিক্ষণ শুরু করেছে এবং সংশ্লিষ্ট নিয়ন্ত্রক সংস্থাগুলোকে জানিয়েছে।

ক্ষতিগ্রস্ত ব্যক্তিদের Experian-এর মাধ্যমে বিনা মূল্যে ক্রেডিট পর্যবেক্ষণসেবার সুযোগ দেওয়া হয়েছিল। আনুষ্ঠানিক বিজ্ঞপ্তিতে বলা হয়েছে, এই ঘটনার ফলে পরিচয় চুরি বা জালিয়াতি ঘটেছে কিংবা তার চেষ্টা হয়েছে, এমন কোনো ইঙ্গিত পাওয়া যায়নি। বক্তব্যটি বিজ্ঞপ্তি দেওয়ার সময়কার পরিস্থিতি তুলে ধরে; ফাইল কপি করার বিষয়টি নিশ্চিত হওয়ায় পর্যবেক্ষণ চালিয়ে যাওয়া বিচক্ষণ হবে।

আপনি বিজ্ঞপ্তি পেয়ে থাকলে, আপনার চিঠিতে উল্লেখ করা তথ্যের ধরনগুলো পর্যালোচনা করুন এবং সেখানে দেওয়া যাচাইকৃত কোড ব্যবহার করেই Experian-এ নিবন্ধন করুন। অপরিচিত অ্যাকাউন্ট, লেনদেন বা সেবা আছে কি না, তা দেখতে ক্রেডিট রিপোর্ট, ব্যাংক ও কার্ডের কার্যক্রম, স্বাস্থ্যবিমার সুবিধার ব্যাখ্যামূলক বিবরণী এবং চিকিৎসাসেবার রেকর্ড পরীক্ষা করা উচিত। সোশ্যাল সিকিউরিটি নম্বর জড়িত থাকলে, বিনা মূল্যে ক্রেডিট ফ্রিজ এবং জালিয়াতি সতর্কতা চালু করা উপযুক্ত হতে পারে।

অপ্রত্যাশিত কোনো বার্তায় Devereux, Experian, কোনো স্বাস্থ্যবিমা পরিকল্পনা বা আর্থিক প্রতিষ্ঠানের প্রতিনিধি বলে দাবি করা হলে, সেখানে পাসওয়ার্ড, সম্পূর্ণ শনাক্তকরণ নম্বর, অর্থ বা যাচাইকরণ কোড দেবেন না। বার্তার লিংক ব্যবহার না করে পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যম ব্যবহার করুন। ঘটনাটি সম্পর্কে প্রশ্ন থাকলে Devereux-এর বিজ্ঞপ্তিতে দেওয়া 833-745-1528 নম্বরে যোগাযোগ করা যেতে পারে; কোনো ব্যক্তির ঠিক কোন কোন তথ্য জড়িত ছিল, তা জানার প্রধান উৎস হলো তাঁকে পাঠানো বিজ্ঞপ্তির চিঠি।