GrayRobinson-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান উৎস হলো ঘটনাটি সম্পর্কে GrayRobinson-এর নিজস্ব নোটিশ। এতে সংস্থাটি সরাসরি জানিয়েছে কখন অননুমোদিত প্রবেশ ঘটেছিল, কবে তা শনাক্ত হয়েছিল, কী ব্যবস্থা নেওয়া হয়েছিল, ফাইল পর্যালোচনায় কী পাওয়া গিয়েছিল এবং ব্যক্তিভেদে কোন কোন ধরনের তথ্য সংশ্লিষ্ট ছিল। নোটিশটি থেকে বোঝা যায়, ঘটনাটি শুধু সন্দেহজনক নেটওয়ার্ক ট্রাফিকের মধ্যে সীমাবদ্ধ ছিল না: এতে বলা হয়েছে, অননুমোদিত ব্যক্তি বা ব্যক্তিরা সংশ্লিষ্ট ফাইলগুলোতে প্রবেশ করে থাকতে পারেন বা সেগুলো সরিয়ে নিয়ে থাকতে পারেন।

ইন্ডিয়ানার অ্যাটর্নি জেনারেলের চলতি বছরের শুরু থেকে এখন পর্যন্ত তথ্য নিরাপত্তা লঙ্ঘনের বর্তমান প্রতিবেদনে GrayRobinson P.A.-এর নাম রয়েছে। সেখানে ঘটনার শুরুর তারিখ 2025 সালের 5 মার্চ, নোটিশ পাঠানোর তারিখ 2026 সালের 24 এপ্রিল এবং ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা ইন্ডিয়ানায় 234 জন ও মোট 80,383 জন বলে উল্লেখ করা হয়েছে। HHS Office for Civil Rights-এর পোর্টালে আলাদাভাবে সংস্থাটিকে ব্যবসায়িক সহযোগী হিসেবে তালিকাভুক্ত করা হয়েছে, ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 54,131 বলে জানানো হয়েছে এবং ঘটনাটিকে নেটওয়ার্ক সার্ভার-সংশ্লিষ্ট হ্যাকিং/IT-সংক্রান্ত ঘটনা হিসেবে শ্রেণিবদ্ধ করা হয়েছে। ফলে সংস্থার নোটিশ, অঙ্গরাজ্যের নিয়ন্ত্রক কর্তৃপক্ষের প্রতিবেদন এবং ফেডারেল স্বাস্থ্য-সংক্রান্ত নথি পরস্পরের পরিপূরক হিসেবে ঘটনাটি নিশ্চিত করে।

GrayRobinson-এর আনুষ্ঠানিক বিবৃতিতে বলা হয়েছে, 2025 সালের 5 মার্চ থেকে 24 মার্চের মধ্যে তাদের নেটওয়ার্কে অননুমোদিত প্রবেশ ঘটে। সংস্থাটি 24 মার্চ বা তার কাছাকাছি সময়ে ঘটনাটি শনাক্ত করে। তদন্তে দেখা যায়, ওই সময়ে কিছু ফাইলে প্রবেশ করা হয়ে থাকতে পারে বা সেগুলো সরিয়ে নেওয়া হয়ে থাকতে পারে। তবে প্রকাশ্য নোটিশে কোন নিরাপত্তা দুর্বলতা কাজে লাগানো হয়েছিল, প্রথমবার কীভাবে প্রবেশ করা হয়েছিল, কারা দায়ী ছিল কিংবা কোনো ফাইল পরে প্রকাশ করা হয়েছিল কি না, এসব জানানো হয়নি।

প্রকাশ্য উৎসগুলো ঘটনাটিকে র‍্যানসমওয়্যার হিসেবে বর্ণনা করেনি এবং নির্দিষ্ট কোনো সাইবার হুমকি সৃষ্টিকারী গোষ্ঠীকে দায়ী করেনি। HHS-এর শ্রেণিবিন্যাসে হ্যাকিং/IT-সংক্রান্ত ঘটনা এবং নেটওয়ার্ক সার্ভার শব্দগুলো ব্যবহার করা হয়েছে। তাই এই বিবরণে নেটওয়ার্কে অনুপ্রবেশের নিশ্চিত ঘটনা এবং ফাইলে প্রবেশ বা ফাইল সরিয়ে নেওয়ার সম্ভাবনার কথা বলা হয়েছে; যাচাই না হওয়া কোনো কৌশল, মুক্তিপণ দাবি বা ডার্ক ওয়েবে প্রকাশের দাবি যোগ করা হয়নি।

GrayRobinson জানিয়েছে, ব্যক্তিভেদে তথ্যের ধরন আলাদা ছিল এবং নিচের এক বা একাধিক তথ্য এতে অন্তর্ভুক্ত হয়ে থাকতে পারে: নামের প্রথম অংশ ও পদবি, জন্মতারিখ, সামাজিক নিরাপত্তা নম্বর, ড্রাইভিং লাইসেন্স নম্বর, অঙ্গরাজ্য বা সরকারপ্রদত্ত পরিচয়সংক্রান্ত তথ্য, আর্থিক অ্যাকাউন্টের তথ্য, চিকিৎসা-সংক্রান্ত তথ্য এবং স্বাস্থ্যবিমার তথ্য। নোটিশে বলা হয়নি যে ক্ষতিগ্রস্ত প্রত্যেক ব্যক্তির ফাইলে সব ধরনের তথ্য ছিল।

সামাজিক নিরাপত্তা নম্বরের সঙ্গে সরকারপ্রদত্ত পরিচয়সংক্রান্ত তথ্য থাকলে প্রতারণার মাধ্যমে অ্যাকাউন্ট খোলা বা অন্যের পরিচয় ব্যবহার করার ঝুঁকি বাড়তে পারে। আর্থিক অ্যাকাউন্টের তথ্য অ্যাকাউন্ট-সংক্রান্ত জালিয়াতিতে সহায়তা করতে পারে। অন্যদিকে, চিকিৎসা ও বিমার তথ্য ব্যবহার করে চিকিৎসাসেবা নেওয়ার ক্ষেত্রে অন্যের পরিচয় অপব্যবহার করা বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে অত্যন্ত বিশ্বাসযোগ্য বার্তা পাঠানো সম্ভব হতে পারে। ব্যক্তিগত নোটিশে প্রাপকের কোন কোন তথ্য জড়িত ছিল তা উল্লেখ থাকে, তাই সাধারণ তালিকার চেয়ে সেই নির্দিষ্ট চিঠির তথ্যকেই প্রাধান্য দেওয়া উচিত।

ইন্ডিয়ানার অ্যাটর্নি জেনারেলের বর্তমানে উন্মুক্ত প্রতিবেদনে 80,383-কে স্পষ্টভাবে মোট ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা এবং 234-কে ইন্ডিয়ানার বাসিন্দার সংখ্যা হিসেবে চিহ্নিত করা হয়েছে। ইন্ডিয়ানার আগের একটি সংস্করণে মোট সংখ্যা 65,113 দেখানো হয়েছিল, তবে বর্তমান প্রতিবেদনে তা বাড়িয়ে 80,383 করা হয়েছে। তাই এই বিবরণে আগের সংখ্যার পরিবর্তে নিয়ন্ত্রক কর্তৃপক্ষের সর্বশেষ স্পষ্টভাবে উল্লেখ করা মোট সংখ্যা ব্যবহার করা হয়েছে।

HHS পোর্টালের 54,131 সংখ্যাটি ফেডারেল HIPAA তথ্য নিরাপত্তা লঙ্ঘন কর্মসূচির মাধ্যমে আলাদাভাবে জানানো সংখ্যা। এটি ইন্ডিয়ানার মোট সংখ্যার চেয়ে 26,252 কম। HHS-এর প্রতিবেদনটি স্বাস্থ্য খাতের নিয়ন্ত্রক প্রতিবেদন, আর ইন্ডিয়ানার প্রতিবেদনে সামগ্রিক মোট সংখ্যার জন্য আলাদা কলাম রয়েছে। এই পার্থক্য ক্ষতিগ্রস্ত জনগোষ্ঠীর পরিধি, প্রতিবেদন দেওয়ার বাধ্যবাধকতা নাকি হালনাগাদের সময়ের কারণে হয়েছে, তা উৎসগুলো ব্যাখ্যা করেনি। তাই সংখ্যাগুলো যোগ করা হয়নি এবং দেশব্যাপী মোট সংখ্যার পরিবর্তে HHS-এর সংখ্যা ব্যবহার করা হয়নি।

সংস্থাটি জানিয়েছে, তারা নেটওয়ার্ক সুরক্ষিত করেছে, ঘটনাটি আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানিয়েছে এবং এ ধরনের ঘটনা মোকাবিলায় অভিজ্ঞ বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের সঙ্গে কাজ করেছে। এরপর তারা সম্ভাব্য ক্ষতিগ্রস্ত তথ্য বিস্তারিতভাবে পর্যালোচনা করে। 2026 সালের 13 এপ্রিল সেই পর্যালোচনা শেষ করার পর GrayRobinson 24 এপ্রিল এমন ব্যক্তিদের নোটিশ পাঠানো শুরু করে, যাদের তথ্য ফাইলগুলোতে থেকে থাকতে পারে।

একটি নমুনা নোটিশে বলা হয়েছে, নোটিশের তারিখ পর্যন্ত তথ্যগুলো আর্থিক জালিয়াতি বা পরিচয় চুরিতে ব্যবহৃত হওয়ার কোনো প্রমাণ সংস্থাটির কাছে ছিল না। যোগ্য প্রাপকদের Experian IdentityWorks-এর মাধ্যমে বিনামূল্যে পর্যবেক্ষণ সেবাও দেওয়ার প্রস্তাব করা হয়েছিল। এই বক্তব্য ভবিষ্যতে তথ্যের অপব্যবহার হবে না, এমন নিশ্চয়তা দেয় না। GrayRobinson আরও জানিয়েছে, তারা নিজেদের কার্যপদ্ধতি ও অভ্যন্তরীণ নিয়ন্ত্রণব্যবস্থা মূল্যায়ন এবং পরিবর্তন করা অব্যাহত রেখেছে, যদিও প্রকাশ্য নোটিশে প্রযুক্তিগত পরিবর্তনগুলোর বিবরণ নেই।

আপনি নোটিশ পেয়ে থাকলে প্রথমে চিঠিতে দেখুন আপনার কোন কোন তথ্য জড়িত ছিল এবং কোনো বিনামূল্যের সেবায় নিবন্ধনের শেষ সময় কবে। সামাজিক নিরাপত্তা নম্বর বা সরকারপ্রদত্ত পরিচয় শনাক্তকারী তথ্য জড়িত থাকলে, তিনটি ক্রেডিট ব্যুরোর প্রতিবেদন পর্যালোচনা করুন এবং বিনামূল্যে জালিয়াতি-সংক্রান্ত সতর্কতা চালু করা বা ক্রেডিট ফ্রিজ করার কথা বিবেচনা করুন। আর্থিক অ্যাকাউন্টের তথ্য উল্লেখ থাকলে লেনদেন ও যোগাযোগের তথ্যের পরিবর্তন নজরে রাখুন।

আপনার চিঠিতে চিকিৎসা বা স্বাস্থ্যবিমার তথ্যের উল্লেখ থাকলে, অপরিচিত কোনো সেবা, চিকিৎসা পদ্ধতি বা সেবাদাতা রয়েছে কি না দেখতে বিমা সুবিধার ব্যাখ্যাপত্র ও রোগীদের পোর্টাল পর্যালোচনা করতে পারেন। GrayRobinson-এর নাম ব্যবহার করে আসা অপ্রত্যাশিত কোনো বার্তার জবাবে পাসওয়ার্ড, পেমেন্টের তথ্য বা একবার ব্যবহারযোগ্য কোড দেবেন না। ঘটনা-সংক্রান্ত সহায়তার ফোন নম্বর 844-403-4596; সোমবার থেকে শুক্রবার ইস্টার্ন সময় অনুযায়ী সকাল 9:00 থেকে সন্ধ্যা 6:30 পর্যন্ত এই নম্বরে যোগাযোগ করা যায়। ফোন করার আগে সংস্থাটির বর্তমান আনুষ্ঠানিক নোটিশে নম্বরটি যাচাই করুন।