Insightin Health-এর 2025 সালের তথ্যের নিরাপত্তা লঙ্ঘন

Insightin Health একটি বিকল্প বিজ্ঞপ্তিতে নেটওয়ার্কের সন্দেহজনক কার্যকলাপ এবং তৃতীয় পক্ষের মাধ্যমে পরিচালিত তদন্তের বিবরণ দেয়। ফরেনসিক পর্যালোচনায় 2025 সালের 17 সেপ্টেম্বর থেকে 23 সেপ্টেম্বরের মধ্যে অননুমোদিত প্রবেশ নিশ্চিত হয়। ফাইল পর্যালোচনায় দেখা যায়, ক্ষতিগ্রস্ত ফাইলগুলোতে প্রতিষ্ঠানটির গ্রাহকদের সঙ্গে সংশ্লিষ্ট সুরক্ষিত স্বাস্থ্যতথ্য ছিল। ফলে ঘটনাটি নিয়ন্ত্রক বিধিমালার আওতাধীন স্বাস্থ্যতথ্যের নিরাপত্তা লঙ্ঘন হিসেবে নিশ্চিত হয়।

HHS OCR-এর নথিতে Insightin Health-কে ব্যবসায়িক সহযোগী, ঘটনাটিকে হ্যাকিং/IT ঘটনা এবং তথ্যের অবস্থানকে নেটওয়ার্ক সার্ভার হিসেবে শ্রেণিবদ্ধ করা হয়েছে। HIPAA Journal প্রতিষ্ঠানটির বিজ্ঞপ্তি ও ঘটনার প্রেক্ষাপট পর্যালোচনা করে প্রবেশের সময়সীমা, তথ্যের ধরন এবং সুরক্ষাসেবা দেওয়ার প্রস্তাবের সমর্থন পেয়েছে। উৎসগুলো স্পষ্টভাবে জানায় যে Social Security নম্বরের নিরাপত্তা লঙ্ঘিত হয়নি।

যাচাই করা তথ্য অনুযায়ী, নেটওয়ার্কে প্রবেশ শুরু হয় 2025 সালের 17 সেপ্টেম্বর এবং শেষ হয় 23 সেপ্টেম্বর। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারিত হয়েছে। Insightin সেপ্টেম্বরে অস্বাভাবিক কার্যকলাপ শনাক্ত করে এবং ঘটনার প্রকৃতি, পরিসর ও ক্ষতিগ্রস্ত ফাইলগুলো নির্ধারণ করতে ফরেনসিক পর্যালোচনা শুরু করে।

HHS-এর সংশ্লিষ্ট সারিতে জমা দেওয়ার তারিখ 2026 সালের 16 জানুয়ারি এবং বর্তমানে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 19,49,534 দেখানো হয়েছে। প্রত্যেক গ্রাহককে কখন জানানো হয়েছিল, তা প্রকাশ্য উৎসগুলোতে উল্লেখ নেই। পৃথক স্বাস্থ্যবীমা পরিকল্পনা অনুযায়ী ক্ষতিগ্রস্তের সংখ্যাও দেওয়া হয়নি।

ফাইলগুলোতে নাম ও জন্মতারিখ থাকতে পারে। প্রকাশিত পরিসরের মধ্যে চুক্তি নম্বর এবং স্বাস্থ্যবীমা প্রদানকারীদের ব্যবহৃত অ-স্বতন্ত্র শনাক্তকারীও ছিল। এসব তথ্য ফিশিং ও বীমা অ্যাকাউন্টে প্রতারণার কাজে সহায়তা করতে পারে। তবে প্রদানকারীর কোনো অ-স্বতন্ত্র শনাক্তকারী নিজে ব্যক্তিগত অ্যাকাউন্টের পাসওয়ার্ড নয়।

কিছু ফাইলে Medicare সুবিধাভোগী শনাক্তকারী নম্বর ছিল। ব্যক্তিদের সঙ্গে সংশ্লিষ্ট স্বাস্থ্যসেবা প্রদানকারীদের তথ্যও ঘটনাটির আওতায় ছিল বলে Insightin জানিয়েছে। এই তথ্যগুলো একসঙ্গে ব্যবহার করে আক্রমণকারীরা Medicare-এর নামে বিশ্বাসযোগ্য ভুয়া বার্তা বা পরিচিত স্বাস্থ্যসেবা প্রদানকারীর সঙ্গে সম্পর্কের ভিত্তিতে বার্তা তৈরি করতে পারে।

Insightin Health স্পষ্টভাবে জানিয়েছে যে Social Security নম্বরের নিরাপত্তা লঙ্ঘিত হয়নি। উৎসগুলোতে নিশ্চিত হওয়া সাধারণ তথ্যের ক্ষেত্রগুলোর মধ্যে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, অ্যাকাউন্টের পাসওয়ার্ড, রোগনির্ণয়ের তথ্য, চিকিৎসার বিস্তারিত নোট বা প্রেসক্রিপশনের তথ্যও তালিকাভুক্ত করা হয়নি।

কোন কোন তথ্য একসঙ্গে ছিল, তা ব্যক্তি ও Insightin-এর গ্রাহকভেদে ভিন্ন হতে পারে। এই নথি থেকে এমনটা বোঝা যায় না যে 19,49,534 জনের সবার ক্ষেত্রেই প্রতিটি ধরনের তথ্য ছিল। “সুরক্ষিত স্বাস্থ্যতথ্য” কথাটি ব্যবহার করে অপ্রকাশিত চিকিৎসাসংক্রান্ত বিস্তারিত তথ্য ছিল বলে অনুমান করা হয়নি।

Medusa র‍্যানসমওয়্যার গোষ্ঠী ঘটনার দায় স্বীকার করে দাবি করেছে যে তারা Insightin-এর নেটওয়ার্ক থেকে 378 GB তথ্য সরিয়ে নিয়েছে এবং সেই তথ্য প্রকাশের হুমকি দিয়েছে। প্রতিষ্ঠানটির বিকল্প বিজ্ঞপ্তিতে এসব বিবরণ ছিল না। প্রকাশ্য উৎসগুলোতে এমন কোনো তথ্য নেই যা দেখায় যে Insightin Medusa-র নাম, ফাইলের পরিমাণ, মুক্তিপণের দাবি বা দাবি করা সম্পূর্ণ বিষয়বস্তু নিশ্চিত করেছে।

নির্ভরযোগ্য তথ্যের মূল ভিত্তি হলো প্রতিষ্ঠানের নিশ্চিত করা নেটওয়ার্কে প্রবেশ ও সংশ্লিষ্ট ফাইলের পরিসর এবং HHS-এর দেওয়া 19,49,534 জনের সংখ্যা। আক্রমণকারীর দাবি ব্যবহার করে তথ্যের ধরনের পরিসর বাড়ানো হয়নি।

Insightin Health ক্ষতিগ্রস্ত ব্যক্তিদের বিনা মূল্যে বারো মাসের ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সেবা দেওয়ার প্রস্তাব করেছে। Social Security নম্বর ঘটনাটির আওতার বাইরে থাকলেও বিজ্ঞপ্তি পাওয়া ব্যক্তিদের ক্রেডিট রিপোর্ট পর্যবেক্ষণ করা উচিত। কোনো স্বাস্থ্যবীমা পরিকল্পনা বা Medicare-এর প্রতিনিধি বলে দাবি করা বার্তা সতর্কভাবে যাচাই করা এবং অপ্রত্যাশিত ফোনকলে সুবিধাভোগী শনাক্তকারী নম্বর চাওয়া হলে তথ্য দিতে অস্বীকৃতি জানানোও উচিত।

Medicare ও স্বাস্থ্যবীমার বিবরণীতে অপরিচিত সেবাদাতা, সেবা বা বীমা দাবি দেখা গেলে সংশ্লিষ্ট বীমা পরিকল্পনার প্রতারণা-সংক্রান্ত অভিযোগ জানানোর আনুষ্ঠানিক যোগাযোগমাধ্যমে তা জানানো উচিত। কোনো বার্তার লিংক অনুসরণ না করে কার্ড বা আনুষ্ঠানিক ওয়েবসাইট থেকে স্বাধীনভাবে যোগাযোগের তথ্য সংগ্রহ করুন। সন্দেহজনক বার্তা বা অ্যাকাউন্টে কোনো ঘটনা দেখা গেলে বার্তার লিংক ব্যবহার না করে প্রতিষ্ঠানের বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করুন। ব্যক্তিগত বিজ্ঞপ্তির চিঠি পাওয়া গেলে, সংশ্লিষ্ট ব্যক্তির কোন তথ্য ক্ষতিগ্রস্ত হয়েছে এবং কী কী সুরক্ষার সুবিধা দেওয়া হয়েছে, তা জানার প্রধান উৎস সেই চিঠি। তারিখ ও তথ্যের ধরন কেবল প্রকাশ্য উৎসে যতটুকু সমর্থন পাওয়া যায়, ততটুকুর ভিত্তিতেই ব্যাখ্যা করা উচিত; অপ্রকাশিত বিবরণকে নিশ্চিত তথ্য হিসেবে ধরা উচিত নয়।