Gateway Community Services-এর 2025 সালের তথ্য ফাঁস

HHS OCR-এর নথিতে একই ঘটনার সঙ্গে ফ্লোরিডার স্বাস্থ্যসেবাদাতা Gateway Community Services, মোট 34,498 জন, প্রতিবেদনের তারিখ 29 মে 2025 এবং একটি নেটওয়ার্ক সার্ভারকে যুক্ত করা হয়েছে। প্রতিষ্ঠানটির বর্তমান আনুষ্ঠানিক ওয়েবসাইট Gateway-এর পরিচয় এবং জ্যাকসনভিলে এর সেবাগুলো নিশ্চিত করে।

স্বতন্ত্র স্বাস্থ্যসেবা-নিরাপত্তা বিষয়ক প্রতিবেদন এবং অঙ্গরাজ্যে দাখিল করা নথিতে থাকা ঘটনার সারসংক্ষেপ 11 এপ্রিল নেটওয়ার্কে প্রবেশ, তথ্য বাইরে সরিয়ে নেওয়া, 16 মে ঘটনার পরিধি পর্যালোচনা শেষ হওয়া এবং জানানো তথ্যের ধরনগুলো সমর্থন করে। অবহিতকরণ চিঠিগুলোতে অনুপ্রবেশ কখন শনাক্ত হয়েছিল তা বলা নেই, তাই শনাক্তকরণের কোনো নির্দিষ্ট তারিখ যোগ করা হয়নি।

11 এপ্রিল অননুমোদিত ব্যক্তিরা Gateway-এর নেটওয়ার্কে প্রবেশ করে। ঘটনাটি শনাক্ত হওয়ার পর প্রতিষ্ঠানটি তার নেটওয়ার্ক সুরক্ষিত করে এবং অননুমোদিত কার্যকলাপের ধরন ও পরিধি নির্ধারণের জন্য তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়োগ করে।

তদন্তে দেখা যায়, নেটওয়ার্ক থেকে কিছু তথ্য বাইরে সরিয়ে নেওয়া হয়েছিল। কতক্ষণ প্রবেশাধিকার বজায় ছিল, প্রথমে কীভাবে প্রবেশ করা হয়েছিল, কোন প্রযুক্তিগত দুর্বলতা কাজে লাগানো হয়েছিল কিংবা দায়ী ব্যক্তি বা পক্ষের পরিচয়, এসব প্রকাশ্য সূত্রে জানানো হয়নি; 11 এপ্রিলকে শুধু নিশ্চিত প্রবেশের তারিখ হিসেবে নথিভুক্ত করা হয়েছে।

ব্যক্তিভেদে সম্ভাব্য প্রভাবিত তথ্যের মধ্যে ছিল প্রথম নাম ও পদবি, ঠিকানা, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর এবং ড্রাইভিং লাইসেন্স বা অঙ্গরাজ্যের পরিচয়পত্রের নম্বর। প্রতিবেদনে স্পষ্টভাবে বলা হয়েছে, জানানো তথ্যের ধরনগুলো সবার ক্ষেত্রে এক ছিল না।

স্বাস্থ্যসংক্রান্ত তথ্যের মধ্যে চিকিৎসার বিবরণ ও স্বাস্থ্যবিমার তথ্য থাকতে পারে। ইমেইল ঠিকানা, পাসওয়ার্ড, আর্থিক অ্যাকাউন্ট, পেমেন্ট কার্ড এবং প্রেসক্রিপশনসংক্রান্ত তথ্য যোগ করা হয়নি, কারণ ঘটনাটি নিয়ে প্রকাশিত প্রতিবেদন এগুলো নিশ্চিত করে না।

চিকিৎসা ও বিমার তথ্যের সঙ্গে পরিচয় শনাক্তকারী নম্বর একত্রে থাকলে, সেগুলো পরিচয় চুরি, স্বাস্থ্যসেবাসংক্রান্ত জালিয়াতি বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বিশ্বাসযোগ্য বার্তা তৈরিতে কাজে লাগানো যেতে পারে। সোশ্যাল সিকিউরিটি ও সরকারি পরিচয়পত্রের নম্বর সহজে বদলানো যায় না, তাই দীর্ঘ সময় ধরে নজর রাখা যুক্তিযুক্ত হতে পারে।

কারও চিকিৎসা বা বিমার প্রকৃত কোনো তথ্য জানা থাকলে, সেই তথ্য ব্যবহার করে Gateway, কোনো ক্লিনিক, হাসপাতাল বা বিমা প্রতিষ্ঠানের প্রতিনিধি পরিচয়ে আরও বিশ্বাসযোগ্য অনুরোধ করা সম্ভব। এসব তথ্য জানা থাকলেই কেউ অনুমোদিত প্রতিনিধি বলে প্রমাণিত হয় না। অপ্রত্যাশিত অনুরোধ আলাদা, স্বাধীন যোগাযোগমাধ্যমে যাচাই করা উচিত।

Gateway তার নেটওয়ার্ক সুরক্ষিত করে, তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়োগ করে এবং প্রভাবিত ব্যক্তি ও তথ্যের ধরন শনাক্ত করতে একটি পূর্ণাঙ্গ পর্যালোচনা চালায়। সেই কাজ 16 মে 2025 তারিখে শেষ হয় এবং প্রভাবিত ব্যক্তিদের লিখিত নোটিশ পাঠানো হয়।

ঘটনার একটি স্বতন্ত্র সারসংক্ষেপে জানানো হয়েছে, যোগ্য ব্যক্তিদের 12 মাসের ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সুবিধা দেওয়ার প্রস্তাব করা হয়েছিল। প্রকাশ্য সূত্রগুলো ঘটনাটিকে র‍্যানসমওয়্যার হিসেবে বর্ণনা করে না, কোনো নির্দিষ্ট গোষ্ঠীর নাম উল্লেখ করে না এবং জানানো প্রতিটি তথ্যের ধরন সবার ক্ষেত্রে প্রযোজ্য ছিল বলেও জানায় না।

নোটিশ পাওয়া ব্যক্তিদের নিয়মিত ক্রেডিট রিপোর্ট, আর্থিক অ্যাকাউন্ট এবং স্বাস্থ্যবিমার বিবরণী পর্যালোচনা করা উচিত, যাতে অপরিচিত কোনো অ্যাকাউন্ট, লেনদেন, সেবা বা বিমা দাবি শনাক্ত করা যায়। সন্দেহজনক কার্যকলাপ সংশ্লিষ্ট আর্থিক প্রতিষ্ঠান, স্বাস্থ্যসেবাদাতা ও বিমা প্রতিষ্ঠানকে এবং প্রযোজ্য ক্ষেত্রে কর্তৃপক্ষকে জানানো উচিত।

অপ্রত্যাশিত কোনো ইমেইল, বার্তা বা ফোনকলের জবাবে সোশ্যাল সিকিউরিটি নম্বর, স্বাস্থ্যতথ্য, পাসওয়ার্ড বা একবার ব্যবহারযোগ্য যাচাইকরণ কোড দেবেন না। Gateway বা অন্য কোনো স্বাস্থ্যসেবা প্রতিষ্ঠানের পক্ষ থেকে এসেছে বলে দাবি করা অনুরোধ যাচাই করতে বার্তায় দেওয়া লিংক বা নম্বরের বদলে আনুষ্ঠানিক ওয়েবসাইটের যোগাযোগের তথ্য ব্যবহার করুন।