MCBS-এ 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

MCBS নিজস্ব প্রকাশ্য বিজ্ঞপ্তিতে নিশ্চিত করেছে যে তার নেটওয়ার্কে অননুমোদিত প্রবেশ ঘটেছে। সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় পরিচালিত ফরেনসিক তদন্তে নির্ধারিত হয় যে 22 সেপ্টেম্বর থেকে 26 সেপ্টেম্বর পর্যন্ত একজন অননুমোদিত ব্যবহারকারী সিস্টেমে উপস্থিত ছিল। নেটওয়ার্কের নিরাপত্তা লঙ্ঘনের এই নিশ্চিত ঘটনাটি কেন্দ্রীয় সরকারের HHS পোর্টালে Network Server-সংশ্লিষ্ট Hacking/IT Incident হিসেবে জানানো হয়।

প্রতিষ্ঠানটি জানিয়েছে, কিছু ফাইলে প্রবেশ করা বা সেগুলো সরিয়ে নেওয়া হয়ে থাকতে পারে; তবে তথ্য বাইরে নিয়ে যাওয়া নিশ্চিতভাবে প্রমাণিত হয়েছে বলে জানায়নি। তাই এই রেকর্ডে বাস্তবে ঘটে যাওয়া ও আনুষ্ঠানিকভাবে জানানো নিরাপত্তা লঙ্ঘনের ঘটনাটি নিশ্চিত করা হয়েছে, কিন্তু তথ্য চুরিকে নিশ্চিত ঘটনা হিসেবে উপস্থাপন করা হয়নি। HIPAA Journal-ও ফরেনসিক তদন্তে নির্ধারিত একই সময়সীমা ও তথ্য সংগ্রহ করে নেওয়ার সম্ভাবনার কথা জানিয়েছে।

প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রযুক্তিগত কার্যকলাপের সবচেয়ে আগের সময়ের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। MCBS আনুমানিক 25 সেপ্টেম্বর অননুমোদিত কার্যকলাপ শনাক্ত করে, ঘটনাটি নিয়ন্ত্রণে আনে এবং তদন্ত শুরু করে; অননুমোদিত কার্যকলাপের সময়সীমা শেষ হয় 26 সেপ্টেম্বর। শনাক্তকরণের তারিখ দিয়ে ঘটনার আগের শুরুর তারিখ প্রতিস্থাপন করা হয়নি।

প্রতিষ্ঠানটি সম্ভাব্য প্রভাবিত ফাইলগুলো হাতে-কলমে পর্যালোচনা করে এবং 2026 সালের 28 মে নির্ধারণ করে যে সেগুলোতে ব্যক্তিগত ও স্বাস্থ্যসংক্রান্ত তথ্য থাকতে পারে। 2026 সালের 26 জুন ঘটনাটি HHS OCR-এ জানানো হয় এবং পরে কেন্দ্রীয় সরকারের তালিকায় 12,61,464 জন প্রভাবিত হওয়ার তথ্যসহ এটি প্রকাশিত হয়। বিভিন্ন গ্রাহক প্রতিষ্ঠানের ফাইলগুলো সংশ্লিষ্ট ব্যক্তি ও তথ্যের ধরনগুলোর সঙ্গে মিলিয়ে দেখার কাজের কারণেই এই দীর্ঘ পর্যালোচনার প্রয়োজন হয়।

প্রকাশিত তথ্যের ধরনগুলোর মধ্যে ছিল নাম, বসবাসের ঠিকানা, জন্মতারিখ ও Social Security নম্বর। স্বাস্থ্য পরিকল্পনার সুবিধাভোগীর নম্বর, স্বাস্থ্যবিমার পলিসি নম্বর বা গ্রাহক শনাক্তকরণ নম্বর এবং অন্যান্য বিমাসংক্রান্ত তথ্যও সম্ভাব্যভাবে জড়িত ছিল। যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ধরন ও হুমকি সৃষ্টিকারী পক্ষের দাবিকে প্রকাশ্যে নথিভুক্ত ঘটনার পরিসরের অংশ হিসেবে ধরা হয়নি।

Social Security নম্বর ও জন্মতারিখ দীর্ঘমেয়াদি পরিচয় শনাক্তকারী তথ্য। এগুলোর সঙ্গে বিমার শনাক্তকারী তথ্য যুক্ত হলে নতুন অ্যাকাউন্ট খোলার মাধ্যমে জালিয়াতি, চিকিৎসাব্যয়সংক্রান্ত ভুয়া দাবি বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকি বাড়তে পারে। প্রতিষ্ঠানটি জানিয়েছে, এই ঘটনার সঙ্গে সম্পর্কিত পরিচয় চুরির কোনো প্রমাণ তার কাছে নেই। অপব্যবহার শনাক্ত না হওয়ার অর্থ এই নয় যে তথ্য উন্মুক্ত হয়ে পড়ায় ভবিষ্যতে কোনো ঝুঁকি নেই।

চিকিৎসাসংক্রান্ত তথ্যের ধরনগুলো ছিল চিকিৎসার ইতিহাস, মানসিক বা শারীরিক অবস্থা, চিকিৎসা গ্রহণের তথ্য এবং রোগ নির্ণয়ের তথ্য। এসব তথ্য থেকে অতীতের চিকিৎসা ও বর্তমানে চলমান স্বাস্থ্যগত অবস্থা, উভয় বিষয়েই সংবেদনশীল তথ্য প্রকাশ পেতে পারে। সূত্রগুলোতে পরীক্ষাগারের ফলাফল, ব্যবস্থাপত্র, ছবি বা চিকিৎসা রেকর্ডের নম্বর আলাদাভাবে নিশ্চিত করা হয়নি। তাই অনুমানের ভিত্তিতে এসব তথ্যের ধরন যোগ করা হয়নি।

MCBS স্বাস্থ্যসেবা প্রদানকারীদের জন্য বিলিং ও ব্যবস্থাপনা সেবা পরিচালনা করে। এই ভূমিকার কারণেই চিকিৎসাসংক্রান্ত তথ্যের একই ফাইলসমষ্টিতে পরিচয় ও বিমাসংক্রান্ত তথ্য থাকতে পারে। HHS প্রতিষ্ঠানটিকে ব্যবসায়িক সহযোগী হিসেবে শ্রেণিবদ্ধ করেছে; প্রভাবিত আওতাভুক্ত প্রতিষ্ঠানগুলোর প্রতিটিতে আলাদা হামলা হয়েছে, এমনভাবে সেগুলোকে উপস্থাপন করা হয়নি।

সরকারি সূত্রে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিসরকে নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। MCBS-এর প্রাথমিক প্রকাশ্য বিজ্ঞপ্তিতে কোনো সংখ্যা উল্লেখ করা হয়নি, আর জুলাইয়ের শুরুর দিকে HIPAA Journal-এর প্রতিবেদনে বলা হয়েছিল যে মোট সংখ্যা তখনো জানা যায়নি। নিয়ন্ত্রক সংস্থার পরে প্রকাশিত সংখ্যাটিই বর্তমানে যাচাইকৃত হিসাব; এই বিবরণে আগের অনিশ্চয়তার পরিবর্তে সেই হিসাব ব্যবহার করা হয়েছে।

প্রতিষ্ঠানটি C&C MD PC, Nuclear Medicine and Pathology Associates, Radiation Oncology Associates, SkinPath Solutions, South Georgia Radiology Consultants, Stephen W. Brown & Radiology Associates of Augusta এবং Vascular Radiology Associates II-কে আওতাভুক্ত প্রতিষ্ঠান হিসেবে তালিকাভুক্ত করেছে। কেন্দ্রীয় সরকারের প্রকাশিত মোট সংখ্যাটি এসব প্রতিষ্ঠানের মধ্যে ভাগ করে দেওয়া হয়নি, সাতবার গণনা করা হয়নি বা মনগড়া উপমোটে বিভক্ত করা হয়নি।

প্রকাশ্য বিজ্ঞপ্তিতে MCBS নিয়মিত আর্থিক অ্যাকাউন্টের কার্যক্রম পর্যালোচনা করার এবং বিনামূল্যে এক বছরের জালিয়াতি সতর্কতা চালু করা অথবা সিকিউরিটি ফ্রিজের কথা বিবেচনা করার পরামর্শ দিয়েছে। HIPAA Journal জানিয়েছে, প্রভাবিত ব্যক্তিদের 12 মাসের ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সেবা দেওয়ার প্রস্তাব করা হয়েছে। যাঁরা বিজ্ঞপ্তি পেয়েছেন, তাঁদের চিঠিতে উল্লেখ করা নিবন্ধন পদ্ধতি ও সেবার নির্দিষ্ট পরিসর অনুসরণ করা উচিত।

ক্রেডিট রিপোর্টের পাশাপাশি স্বাস্থ্যবিমার বিবরণীতেও অপরিচিত সেবা, সেবাদাতা বা দাবি আছে কি না, তা পরীক্ষা করা উচিত। MCBS বা সংশ্লিষ্ট কোনো সেবাদাতার নামে অপ্রত্যাশিতভাবে অর্থ পরিশোধ বা পরিচয় যাচাইয়ের অনুরোধ এলে পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করা উচিত। LeakData কোনো ব্যক্তিগত, চিকিৎসা বা বিমাসংক্রান্ত তথ্য প্রকাশ করে না; এটি শুধু ঘটনার যাচাইকৃত মেটাডেটা নথিভুক্ত করে।