Excelsior Orthopaedics-এর 2024 সালের তথ্য ফাঁস

প্রধান উৎস হলো মেইন অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের আনুষ্ঠানিক পোর্টালে থাকা সংশোধিত নোটিশ। এতে লিংক দেওয়া চিঠিতে 23 জুন ঘটনাটি শনাক্ত হওয়া, ফরেনসিক তদন্তের প্রাথমিক ফলাফল, কোন রোগী ও কর্মীরা এর আওতায় ছিলেন, বিভিন্ন পর্যায়ে নোটিশ পাঠানো এবং প্রতিষ্ঠানের নেওয়া পদক্ষেপের বিবরণ রয়েছে। পরে জমা দেওয়া সংশোধিত নথিতে আগে জানানো মোট ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা বাড়িয়ে 3,94,752 করা হয়।

দ্বিতীয় উৎস হলো HHS Office for Civil Rights-এর আনুষ্ঠানিক তথ্য ফাঁসের পোর্টাল। সেখানে Excelsior Orthopaedics-এর সারিতে 2024 সালের 21 আগস্ট নেটওয়ার্ক-সার্ভারে হ্যাকিং/IT ঘটনার ফলে 2,92,913 জন ক্ষতিগ্রস্ত হওয়ার তথ্য রয়েছে। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস স্বাধীনভাবে মেইনের সংশোধিত নথি ও 2025 সালের সেপ্টেম্বরে অঙ্গরাজ্যগুলোতে প্রকাশিত নোটিশ মিলিয়ে বর্তমান মোট সংখ্যা এবং ফাঁস হওয়া তথ্যের ধরনগুলো নথিবদ্ধ করেছে।

Excelsior 23 জুন তাদের নেটওয়ার্কে অস্বাভাবিক কার্যকলাপ শনাক্ত করে। প্রতিষ্ঠানটি নেটওয়ার্কে বাইরের প্রবেশাধিকার বিচ্ছিন্ন করে, সন্দেহজনক যন্ত্রপাতি আলাদা করে, ব্যবহারকারী ও প্রশাসনিক লগইনের তথ্য পরিবর্তন করে এবং ফরেনসিক তদন্তের জন্য একটি বিশেষজ্ঞ সাইবার নিরাপত্তা প্রতিষ্ঠানকে নিয়োগ দেয়। প্রাথমিক ফলাফলে দেখা যায়, বর্তমান ও সাবেক রোগী ও কর্মীদের তথ্যের নিরাপত্তা লঙ্ঘিত হয়েছে।

এরপর নিরাপত্তা লঙ্ঘনের শিকার ফাইলগুলো কোন ব্যক্তিদের সঙ্গে সম্পর্কিত, তা শনাক্ত করতে Excelsior বাইরের তথ্য পর্যালোচনা বিশেষজ্ঞদের সঙ্গে কাজ করে। প্রাথমিকভাবে অল্পসংখ্যক ব্যক্তি 2024 সালের আগস্টে নোটিশ পান; ডিসেম্বরে তথ্য বিশ্লেষণের বেশির ভাগ কাজ শেষ হওয়ার পর 31 ডিসেম্বর দ্বিতীয় দফায় চিঠি ডাকযোগে পাঠানো হয়। প্রকাশ্য নথিতে প্রথমবার প্রবেশের পদ্ধতি, কাজে লাগানো নিরাপত্তা দুর্বলতা বা হামলাকারীর পরিচয় উল্লেখ করা হয়নি।

ব্যক্তিভেদে তথ্যের মূল ধরনগুলো ছিল পূর্ণ নাম, ঠিকানা, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর অথবা চালক নন এমন ব্যক্তিদের পরিচয়পত্রের নম্বর। কর্মীদের জন্য নমুনা নোটিশে বায়োমেট্রিক তথ্যও উল্লেখ ছিল। এই বিবরণে ধরে নেওয়া হয়নি যে প্রত্যেক নোটিশপ্রাপ্ত ব্যক্তির সব ধরনের তথ্যই এর আওতায় ছিল; কার কোন তথ্য এর আওতায় ছিল, তা তাঁর নিজস্ব নোটিশে নির্ধারিত আছে।

জন্মতারিখ ও সরকারি পরিচয়পত্রের নম্বরের সঙ্গে একটি SSN যুক্ত থাকলে প্রতারণার মাধ্যমে নতুন অ্যাকাউন্ট খোলা, অন্যের পরিচয় ব্যবহার করা বা বিশ্বাসযোগ্যভাবে উপস্থাপিত ফিশিংয়ের ঝুঁকি বাড়তে পারে। আনুষ্ঠানিক নমুনা নোটিশে “বায়োমেট্রিক তথ্য” একটি বিস্তৃত শ্রেণি হিসেবে উল্লেখ করা হয়েছে।

রোগীদের যেসব তথ্য এর আওতায় থাকতে পারে, সেগুলো হলো মেডিকেল রেকর্ড নম্বর, রোগ নির্ণয়ের তথ্য ও কোড, চিকিৎসার স্থান, চিকিৎসা পদ্ধতির ধরন, স্বাস্থ্যসেবাদাতার নাম, চিকিৎসার খরচ এবং সেবা দেওয়ার তারিখ। স্বাস্থ্যবিমার তথ্য, গ্রাহক বা সদস্য নম্বর এবং রোগীর অ্যাকাউন্ট নম্বরও তালিকায় ছিল। এসব তথ্য স্বাস্থ্যসেবা, বিল ও বিমার সুবিধা নিয়ে প্রতারণাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

আপনি নোটিশ পেয়ে থাকলে বিমার সুবিধা ও ব্যয়ের ব্যাখ্যাপত্র, রোগীদের পোর্টালে কার্যকলাপ, অপরিচিত সেবার বিবরণ, অপ্রত্যাশিত পাওনা আদায়ের চেষ্টা এবং স্বাস্থ্যসেবাদাতার বার্তা খতিয়ে দেখতে পারেন। কোনো বার্তায় প্রকৃত রোগ নির্ণয়ের তথ্য, সেবা দেওয়ার তারিখ বা স্বাস্থ্যসেবাদাতার নাম থাকলেই সেটি বিশ্বাসযোগ্য হয়ে যায় না। স্বাস্থ্যসেবাদাতার পরিচিত ফোন নম্বর বা আগে থেকে ব্যবহৃত রোগীদের পোর্টালের মাধ্যমে আলাদাভাবে তা যাচাই করুন।

3,94,752 হলো মেইন অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের সংশোধিত নথিতে থাকা দেশজুড়ে ক্ষতিগ্রস্ত ব্যক্তিদের সর্বশেষ মোট সংখ্যা। আগে প্রকাশিত 3,57,000 এবং HHS-এর 2,92,913 সংখ্যা ভিন্ন সময়ে সম্পন্ন পর্যালোচনা ও নোটিশের আওতাকে প্রতিফলিত করে; এগুলো একসঙ্গে যোগ করা যাবে না।

মেইনের আনুষ্ঠানিক চিঠিতে 2025 সালের জানুয়ারিতে বলা হয়েছিল যে ক্ষতিগ্রস্ত ব্যক্তিদের শনাক্ত করার কাজ চলমান ছিল। পরে জমা দেওয়া সংশোধিত নথিতে সেই সংখ্যা বাড়ানো হয়। একই ব্যক্তিকে একাধিকবার গণনা করা এড়াতে অঙ্গরাজ্যভিত্তিক বাসিন্দাদের সংখ্যা দেশজুড়ে মোট সংখ্যার সঙ্গে যোগ করা হয় না।

Excelsior নেটওয়ার্কে ঘটনাটির প্রভাব সীমিত করে এবং লগইনের তথ্য পরিবর্তন করে। প্রতিষ্ঠানটি জানায়, তারা নতুন নিরাপত্তা সরঞ্জাম চালু করেছে, গুরুত্বপূর্ণ সিস্টেম ও ব্যবসায়িক প্রক্রিয়াগুলো নতুনভাবে সাজিয়েছে এবং নিরাপত্তা সচেতনতা ও সতর্কবার্তা জোরদার করেছে। তারা ঘটনাটি FBI-কে জানায়। মেইনের নমুনা নোটিশে ক্ষতিগ্রস্ত ব্যক্তিদের CyberScout-এর মাধ্যমে 12 মাস বিনামূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরির ক্ষতি কাটিয়ে ওঠার সহায়তা দেওয়ার প্রস্তাব ছিল।

আপনি নোটিশ পেয়ে থাকলে নিজের চিঠিতে নিবন্ধনের শেষ তারিখ নিশ্চিত করে নিন। আপনার SSN বা পরিচয়পত্রের নম্বর এর আওতায় থাকলে ক্রেডিট ফ্রিজ, জালিয়াতির সতর্কতা এবং নতুন অ্যাকাউন্ট খোলার ওপর নজরদারির কথা বিবেচনা করুন। স্বাস্থ্যসংক্রান্ত তথ্যের ক্ষেত্রে বিমার সুবিধার বিবরণী ও রোগীর অ্যাকাউন্ট পর্যালোচনা করুন। Excelsior-এর নাম ব্যবহার করে আসা কোনো অপ্রত্যাশিত বার্তায় পাসওয়ার্ড, সম্পূর্ণ SSN বা একবার ব্যবহারযোগ্য কোড জানাবেন না এবং অর্থও দেবেন না। সন্দেহজনক কোনো বার্তা বা অ্যাকাউন্টে কোনো ঘটনা নজরে এলে বার্তার লিংক ব্যবহার না করে প্রতিষ্ঠানের বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে তা যাচাই করুন।