Easypak 2026 ডেটা লঙ্ঘন

প্রাথমিক উৎস হলো ম্যাসাচুসেটসের ভোক্তা-অবহিতকরণ আর্কাইভে থাকা G-Pak Holdings LLC dba Easypak-এর আনুষ্ঠানিক “গুরুত্বপূর্ণ তথ্য” শিরোনামের চিঠি। এতে সরাসরি 13 জানুয়ারি ঘটনা শনাক্ত করার কথা, সিস্টেমের নিরাপত্তা ব্যবস্থা, বাইরের বিশেষজ্ঞদের নিয়ে তদন্ত, 8 জুনের তথ্য পর্যালোচনার ফলাফল, বিনামূল্যে ক্রেডিট পর্যবেক্ষণ সেবা এবং সহায়তার জন্য নির্দিষ্ট ফোন নম্বর 978-537-5683, এক্সটেনশন 1003-এর উল্লেখ রয়েছে।

Claim Depot আনুষ্ঠানিকভাবে দাখিল করা নথিটির সঙ্গে Easypak-এর কোম্পানি প্রোফাইলের সংযোগ দেখায় এবং ম্যাসাচুসেটসের অন্তত 217 জন বাসিন্দা ও পরিচয়সংক্রান্ত, আর্থিক এবং চিকিৎসাসংক্রান্ত তথ্যের উল্লিখিত শ্রেণিগুলোর সারসংক্ষেপ দেয়। সেখানে আরও বলা হয়, Akira র‍্যানসমওয়্যার গোষ্ঠী 29 জানুয়ারি দাবি করেছিল যে তারা 67 GB ডেটা নিয়ে গেছে। Easypak-এর প্রকাশ্য চিঠিতে গোষ্ঠীর নাম, র‍্যানসমওয়্যার বা 67 GB পরিমাণ, কোনোটিই নিশ্চিত করা হয়নি। তাই LeakData স্পষ্টভাবে এগুলোকে হামলাকারীর দাবি হিসেবেই উল্লেখ করে।

Easypak 13 জানুয়ারি বা তার কাছাকাছি সময়ে তাদের কম্পিউটার নেটওয়ার্কে অননুমোদিত প্রবেশের কথা জানতে পারে। প্রতিষ্ঠানটি নিজেদের সিস্টেম সুরক্ষিত করার পদক্ষেপ নেয় এবং ঘটনার পূর্ণ ব্যাপ্তি ও প্রভাবিত তথ্যের পরিধি নির্ধারণে অভিজ্ঞ বাইরের সাইবার নিরাপত্তা পেশাজীবীদের সঙ্গে কাজ করে। 8 জুন তদন্তে জানা যায় যে ব্যক্তিগত তথ্য থাকা কিছু ফাইলে 13 জানুয়ারি অনুমতি ছাড়া প্রবেশ করা হয়ে থাকতে পারে।

আনুষ্ঠানিক চিঠিতে প্রথম প্রবেশের পথ, প্রবেশের সুনির্দিষ্ট স্থায়িত্ব, ডেটা বাইরে সরিয়ে নেওয়া নিশ্চিত হয়েছিল কি না, হামলাকারীর পরিচয় বা সিস্টেমগুলো এনক্রিপ্ট করা হয়েছিল কি না, এসব প্রকাশ করা হয়নি। গৌণ উৎসে থাকা Akira ও 67 GB-সংক্রান্ত বক্তব্যগুলো Easypak-এর নয়, বরং হামলাকারীর দাবি হিসেবে উল্লেখ করা হয়েছে। তাই যাচাইকৃত বিবরণটি নেটওয়ার্কে অননুমোদিত প্রবেশ এবং ফাইলে সম্ভাব্য প্রবেশের মধ্যেই সীমিত; র‍্যানসমওয়্যার-সংশ্লিষ্টতার দাবিকে প্রতিষ্ঠিত সত্য হিসেবে উপস্থাপন করা হয়নি।

আনুষ্ঠানিক নমুনা চিঠিতে বলা হয়েছে, প্রভাবিত ফাইলগুলোতে প্রাপকের পূর্ণ নাম এবং আরেকটি PII তথ্যের ঘর ছিল, যা ওই ব্যক্তির জন্য আলাদাভাবে পূরণ করা হয়েছিল। মূল উৎসের লিংকযুক্ত নিয়ন্ত্রক সারসংক্ষেপে এই পরিবর্তনশীল শ্রেণিগুলোকে সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্সের তথ্য, আর্থিক হিসাবের তথ্য এবং চিকিৎসা নথি হিসেবে চিহ্নিত করা হয়েছে। প্রতিটি প্রাপকের ক্ষেত্রে সব শ্রেণির তথ্য একসঙ্গে ছিল, পাঠকদের এমনটি ধরে নেওয়া উচিত নয়; প্রত্যেকের নিজস্ব চিঠিই তাঁর প্রভাবিত তথ্যের প্রামাণ্য তালিকা।

প্রকাশ্য উপকরণে ইমেইল ঠিকানা, পাসওয়ার্ড, পাসওয়ার্ড হ্যাশ, ব্যবহারকারীর নাম, ব্যাংকের নাম, রাউটিং নম্বর, হিসাবের স্থিতি, পেমেন্ট কার্ড, CVVs, PINs, রোগনির্ণয়, চিকিৎসা, প্রেসক্রিপশন, পলিসি নম্বর বা চিকিৎসা নথির নম্বর আলাদাভাবে নিশ্চিত করা হয়নি। “আর্থিক হিসাব” ও “চিকিৎসা নথি” বিস্তৃত শ্রেণি। উৎসে নেই এমন নির্দিষ্ট তথ্যের ঘর যোগ করলে বর্ণিত ঝুঁকিকে কৃত্রিমভাবে বড় করে দেখানো হবে।

নামের সঙ্গে SSN বা ড্রাইভিং লাইসেন্সের তথ্য থাকলে তা নতুন হিসাব খোলার জালিয়াতি, করসংক্রান্ত পরিচয়ের অপব্যবহার বা পরিচয় যাচাইয়ের ছদ্মবেশে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে অনুরোধ পাঠানোর কাজে সহায়তা করতে পারে। আপনার নোটিশে আর্থিক হিসাবের তথ্যের উল্লেখ থাকলে অচেনা লেনদেন, নতুন অর্থপ্রাপক বা যোগাযোগের তথ্য বদলের দিকে নজর রাখা উচিত। ঘটনার সামগ্রিক তালিকায় কোনো শ্রেণির তথ্যের উল্লেখ থাকলেই প্রমাণিত হয় না যে প্রত্যেক ব্যক্তির ওই তথ্য এতে ছিল বা সেই তথ্যের অপব্যবহার হয়েছে।

চিকিৎসা নথির শ্রেণির তথ্য ভুয়া স্বাস্থ্যসেবাদাতার ফোনকল বা বিলসংক্রান্ত বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। স্বাস্থ্যবিমার সুবিধা ও খরচের বিবরণী বা রোগীর পোর্টালে অপরিচিত সেবা, সেবাদাতা বা পরিবর্তন দেখলে সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে সরাসরি যাচাই করা উচিত। কেউ অপ্রত্যাশিতভাবে যোগাযোগ করে Easypak, কোনো পর্যবেক্ষণ সেবাদাতা বা স্বাস্থ্যসেবা প্রতিষ্ঠানের প্রতিনিধি বলে দাবি করলে তাকে পূর্ণ SSN, হিসাবের তথ্য বা একবার ব্যবহারযোগ্য কোড দেওয়া উচিত নয়।

Easypak জানিয়েছে যে তারা নিজেদের সিস্টেম সুরক্ষিত করেছে, বাইরের সাইবার নিরাপত্তা পেশাজীবীদের নিয়ে বিস্তারিত পর্যালোচনা চালিয়েছে এবং নিরাপত্তা ও গোপনীয়তা নিয়ন্ত্রণগুলো মূল্যায়ন ও উন্নত করার কাজ অব্যাহত রেখেছে। চিঠি দেওয়ার সময় পর্যন্ত ব্যক্তিগত তথ্য আর্থিক জালিয়াতি বা পরিচয় চুরির কাজে ব্যবহৃত হওয়ার কোনো প্রমাণ তাদের কাছে ছিল না। এই ফলাফল ওই সময় পর্যন্তই প্রযোজ্য এবং পরবর্তী অপব্যবহার না হওয়ার নিশ্চয়তা দেয় না।

প্রতিষ্ঠানটি বিনামূল্যে ক্রেডিট পর্যবেক্ষণ সেবা দেওয়ার প্রস্তাব করেছে এবং জালিয়াতি সতর্কতা, ক্রেডিট ফ্রিজ ও বিনামূল্যে ক্রেডিট রিপোর্টের নির্দেশনা দিয়েছে। প্রতিটি চিঠির তারিখ থেকে 90 দিন পর্যন্ত সহায়তার জন্য নির্দিষ্ট ফোন নম্বরটি কর্মদিবসে ইস্টার্ন টাইম অনুযায়ী সকাল 8টা থেকে রাত 8টা পর্যন্ত চালু থাকে। পরিশিষ্টে SSN ও চিকিৎসাসংক্রান্ত পরিচয় নিয়ে দেওয়া সাধারণ নির্দেশনা সতর্কতামূলক; এতে প্রমাণিত হয় না যে প্রতিটি প্রাপকের সব শ্রেণির তথ্য প্রভাবিত হয়েছিল।

নিয়ন্ত্রক উৎসগুলো ম্যাসাচুসেটসের অন্তত 217 জন বাসিন্দা প্রভাবিত হওয়ার বিষয়টি নিশ্চিত করে, তবে দেশব্যাপী মোট সংখ্যা প্রকাশ করে না। তাই এই সংখ্যা যাচাইকৃত ন্যূনতম সীমা; প্রভাবিত ব্যক্তির সংখ্যার বদলে Easypak-এর কর্মী, গ্রাহক বা সরবরাহকারীর সংখ্যা ব্যবহার করা উচিত নয়।

আপনি নোটিশ পেয়ে থাকলে প্রথমে আপনার নিজস্ব চিঠিতে ঠিক কোন তথ্যগুলোর উল্লেখ রয়েছে তা শনাক্ত করুন। SSN বা ড্রাইভিং লাইসেন্সের তথ্য তালিকাভুক্ত থাকলে ক্রেডিট ফ্রিজ ও জালিয়াতি সতর্কতা দেওয়ার বিষয়টি বিবেচনা করুন; আর্থিক হিসাবের তথ্য থাকলে সংশ্লিষ্ট প্রতিষ্ঠানে আপনার হিসাবের ওপর নজর রাখুন এবং হিসাব পরিবর্তন করা উপযুক্ত হবে কি না তা নিয়ে আলোচনা করুন। প্রাসঙ্গিক হলে অপরিচিত চিকিৎসাসেবার বিষয়গুলো পর্যালোচনা করুন। যাঁরা কোনো নোটিশ পাননি, তাঁদের শুধু এই প্রকাশ্য বিবরণের ভিত্তিতে নিজেদের প্রভাবিত বলে ধরে নেওয়া উচিত নয়। একইভাবে, Akira-এর দাবিকে Easypak কর্তৃক হামলাকারীর পরিচয় নিশ্চিত করা হয়েছে বলে বিবেচনা করা উচিত নয়।