Madera Community Hospital-এর 2025 সালের তথ্যের নিরাপত্তা লঙ্ঘন

প্রধান প্রমাণ হলো Madera Community Hospital-এর নিজস্ব ডোমেইনে প্রকাশিত তিন পৃষ্ঠার “তথ্যের নিরাপত্তা লঙ্ঘনের বিজ্ঞপ্তি”। হাসপাতালের হোমপেজে আনুষ্ঠানিক নিরাপত্তা বিজ্ঞপ্তির PDF-এর সরাসরি লিংক রয়েছে। নথিটিতে ঘটনার সময়রেখা, তদন্তের সীমাবদ্ধতা, সম্ভাব্য তথ্যের ধরন, বিজ্ঞপ্তি পাঠানোর তারিখ এবং প্রতিষ্ঠানের নেওয়া পদক্ষেপগুলো বর্ণনা করা হয়েছে।

California Attorney General-এর তথ্যের নিরাপত্তা লঙ্ঘনসংক্রান্ত প্রতিবেদনের পৃষ্ঠায় রাজ্য কর্তৃপক্ষের কাছে জমা দেওয়া ঘটনাটির আনুষ্ঠানিক প্রতিবেদন রয়েছে। Claim Depot স্বাধীনভাবে হাসপাতালের বিজ্ঞপ্তি ও নিয়ন্ত্রক কর্তৃপক্ষের নথির মধ্যে যোগসূত্র দেখায় এবং তারিখ ও তথ্যের ধরনগুলো সংক্ষেপে তুলে ধরে। প্রতিষ্ঠানটির পরিচয়, মে 2025-এর নেটওয়ার্কের ঘটনা, এপ্রিল 2026-এর তথ্য পর্যালোচনার ফলাফল এবং জুলাই 2026-এর অবহিতকরণ প্রক্রিয়া সম্পর্কে উৎসগুলোর তথ্য পরস্পরের সঙ্গে মেলে।

হাসপাতাল 29 মে তারিখে নেটওয়ার্কে সন্দেহজনক কার্যকলাপ শনাক্ত করে এবং তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় তদন্ত ও প্রতিকারমূলক ব্যবস্থা নেওয়া শুরু করে। জুন 2025-এ শেষ হওয়া ফরেনসিক মূল্যায়নে দেখা যায়, মে মাসের শেষ দিকে একটি অননুমোদিত তৃতীয় পক্ষ দুই দিন ধরে কম্পিউটার নেটওয়ার্কে প্রবেশাধিকার পেয়েছিল। রাজ্য কর্তৃপক্ষের নথিতে এই সময়কাল 28–29 মে হিসেবে উল্লেখ করা হয়েছে।

প্রাথমিক ফরেনসিক তদন্তে নেটওয়ার্ক থেকে নেওয়া হয়েছে এমন কোনো নির্দিষ্ট ফাইল শনাক্ত করা যায়নি। তবে পরবর্তী ঘটনাপ্রবাহে ইঙ্গিত পাওয়া যায় যে, একটি গোষ্ঠী নেটওয়ার্কের একটি অংশ থেকে ফাইল সংগ্রহ করে থাকতে পারে। আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, দায় স্বীকার করা গোষ্ঠীটি প্রতিষ্ঠানটি একটি হাসপাতাল বলে জানতে পেরে চাঁদা আদায়ের দাবি প্রত্যাহার করে এবং জানায় যে তারা রোগীদের ক্ষতি করতে চায় না। এই বক্তব্য ফাইল মুছে ফেলার প্রমাণ নয় এবং পরবর্তী অপব্যবহারও ঠেকায় না।

তথ্যের ধরন ব্যক্তি অনুযায়ী ভিন্ন ছিল, তবে এর মধ্যে নাম, জন্মতারিখ, যোগাযোগের তথ্য এবং লগইন ক্রেডেনশিয়াল থাকতে পারে। সরকারি পরিচয়সংক্রান্ত নম্বরের শ্রেণিতে Social Security নম্বরের মতো তথ্য থাকতে পারে। এসব তথ্য একত্রে পরিচয় চুরি, লক্ষ্যভিত্তিক ফিশিং, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহারের সুযোগ নিয়ে অ্যাকাউন্ট দখল এবং প্রতারণামূলক আবেদন করার সুযোগ তৈরি করতে পারে।

আনুষ্ঠানিক বিজ্ঞপ্তিতে স্পষ্টভাবে বলা হয়েছে যে, প্রত্যেক ব্যক্তির সব ধরনের তথ্য ক্ষতিগ্রস্ত হয়নি। যোগাযোগের তথ্য বলতে সাধারণত ঠিকানা, ফোন নম্বর বা ইমেইল ঠিকানা বোঝাতে পারে, তবে নথিতে এই উদাহরণগুলোর প্রতিটি আলাদাভাবে নিশ্চিত করা হয়নি।

সম্ভাব্য ক্ষতিগ্রস্ত ফাইলগুলোতে আর্থিক অ্যাকাউন্টের বিবরণ এবং চিকিৎসা ও স্বাস্থ্যবীমার বিবরণের মতো সীমিত চিকিৎসাসংক্রান্ত তথ্য ছিল। হাসপাতাল সম্ভাব্য ক্ষতিগ্রস্ত তথ্যের আওতায় সীমিত বায়োমেট্রিক তথ্যও উল্লেখ করেছে। এসব তথ্য আর্থিক প্রতারণা, চিকিৎসাসেবায় পরিচয়ের অপব্যবহার, বীমা জালিয়াতি এবং আরও বিশ্বাসযোগ্য সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টার ঝুঁকি তৈরি করতে পারে।

নথিটিতে কোনো ব্যাংক, অ্যাকাউন্ট নম্বরের বিন্যাস, পেমেন্ট কার্ড, রোগনির্ণয়, ব্যবস্থাপত্র, চিকিৎসা নথির নম্বর বা বায়োমেট্রিক টেমপ্লেটের ধরন উল্লেখ করা হয়নি। “সীমিত” শব্দটি একটি তথ্যের শ্রেণির উপস্থিতি নিশ্চিত করে, কিন্তু প্রতিটি ফাইলে একই বিবরণ ছিল কি না, তা প্রতিষ্ঠা করে না।

হাসপাতাল জানিয়েছে, পরবর্তী ঘটনাপ্রবাহের ভিত্তিতে তাদের বিশ্বাস করার কারণ তৈরি হয় যে, একটি তৃতীয় পক্ষ নেটওয়ার্কের একটি অংশ থেকে ফাইল সংগ্রহ করেছে। একই সঙ্গে, তদন্তে এমন কোনো চূড়ান্ত প্রমাণ পাওয়া যায়নি যে তৃতীয় পক্ষটি ব্যক্তিগত তথ্য বা সুরক্ষিত স্বাস্থ্যতথ্য থাকা ফাইল সংগ্রহ করেছে। প্রতিষ্ঠানটি আরও জানিয়েছে, সম্ভাব্য ক্ষতিগ্রস্ত কোনো তথ্য প্রকাশ্যে ছাড়া হয়েছে বা অন্য কোনোভাবে শেয়ার করা হয়েছে, এমন কোনো প্রমাণ তারা দেখেনি।

এই পার্থক্যটি গুরুত্বপূর্ণ: নেটওয়ার্কে অননুমোদিত প্রবেশ নিশ্চিত হয়েছে, ফাইল সংগ্রহের বিষয়টিকে বিশ্বাসযোগ্য সম্ভাবনা হিসেবে মূল্যায়ন করা হয়েছে, কিন্তু নির্দিষ্ট ব্যক্তিগত তথ্যসম্বলিত ফাইল কপি করা বা প্রকাশ্যে ছাড়ার বিষয়টি চূড়ান্তভাবে প্রতিষ্ঠিত হয়নি। ব্যক্তিসংখ্যা, তথ্যক্ষেত্র ও হামলাকারীদের দাবি সম্পর্কে অযাচাইকৃত তথ্যকে প্রকাশ্য বিবরণে ঘটনাটির আওতার অংশ হিসেবে ধরা হয় না।

Madera Community Hospital তৃতীয় পক্ষের বিশেষজ্ঞদের সঙ্গে কাজ করে সিস্টেম সুরক্ষিত করেছে, অননুমোদিত কার্যকলাপ তদন্ত করেছে এবং সুরক্ষাব্যবস্থা জোরদার করেছে; পাশাপাশি আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানিয়েছে। প্রতিষ্ঠানটি ফাইলগুলো শনাক্ত করেছে, সেগুলো বিশ্লেষণের জন্য একটি তথ্য পর্যালোচনাকারী প্রতিষ্ঠানকে নিয়োগ দিয়েছে, যোগাযোগের তথ্য খুঁজে বের করে হালনাগাদ করেছে এবং বৈধ ডাক ঠিকানা থাকা সম্ভাব্য ক্ষতিগ্রস্ত ব্যক্তিদের কাছে 15 জুলাই তারিখে পৃথক বিজ্ঞপ্তি পাঠিয়েছে।

বিজ্ঞপ্তিপ্রাপ্ত ব্যক্তিদের অপরিচিত লেনদেন বা সেবা শনাক্ত করতে ক্রেডিট রিপোর্ট, ব্যাংক ও অন্যান্য আর্থিক অ্যাকাউন্টের কার্যক্রম, স্বাস্থ্যসেবার বিল এবং বীমার সুবিধা-সংক্রান্ত ব্যাখ্যামূলক বিবরণী নজরে রাখা উচিত। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও একাধিক উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করা উপযুক্ত। পাশাপাশি ক্রেডিট ফ্রিজ, প্রতারণার সতর্কতা এবং IRS Identity Protection PIN ব্যবহারের কথাও বিবেচনা করা যেতে পারে।