Mid America Physician Services-এর 2024 সালের তথ্য নিরাপত্তা লঙ্ঘন

ঘটনাটির মূল বিবরণ রয়েছে 15 জুলাই 2025-এ MAPS-এর জন্য জারি করা তথ্য নিরাপত্তা সংক্রান্ত ঘটনার বিজ্ঞপ্তিতে। এতে বলা হয়েছে, প্রতিষ্ঠানটি একটি নেটওয়ার্ক-সংক্রান্ত ঘটনা শনাক্ত করে, তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় তদন্ত চালায় এবং এর ফলে নির্দিষ্ট কিছু রোগীর তথ্য উন্মুক্ত হয়ে যাওয়ার বিষয়টি শনাক্ত করে। বিজ্ঞপ্তিতে আরও বলা হয়েছে, আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানানো হয়েছিল।

HHS OCR-এর নথির সারিতে Mid America Physician Services-কে স্বাস্থ্যসেবাদানকারী প্রতিষ্ঠান হিসেবে উল্লেখ করা হয়েছে। ঘটনাটি হ্যাকিং/IT-সংক্রান্ত ঘটনা হিসেবে শ্রেণিবদ্ধ করা হয়েছে এবং তথ্যের অবস্থান হিসেবে নেটওয়ার্ক সার্ভার উল্লেখ করা হয়েছে; ক্ষতিগ্রস্ত ব্যক্তির সুনির্দিষ্ট মোট সংখ্যা 1,04,513। টেক্সাসের অ্যাটর্নি জেনারেলের তথ্য নিরাপত্তা পোর্টালে এই ঘটনার সঙ্গে জড়িত পরিচয় ও আর্থিক তথ্যের শ্রেণিগুলো প্রকাশ করা হয়েছে। Johnson County OB/GYN-এর আনুষ্ঠানিক ওয়েবসাইট থেকেও প্রতিষ্ঠানের পরিচয় নিশ্চিত হয়। সাইটটি নিজেদের Mid America Physician Services LLC-এর একটি বিভাগ হিসেবে উল্লেখ করে এবং MAPS-এর আনুষ্ঠানিক লোগো প্রদর্শন করে।

MAPS তার তথ্যপ্রযুক্তি ব্যবস্থাকে প্রভাবিত করা একটি নেটওয়ার্ক-সংক্রান্ত ঘটনা শনাক্ত করে 14 নভেম্বর 2024 বা তার কাছাকাছি সময়ে। ঘটনাটি মূল্যায়ন করা, এর বিস্তার রোধ করা এবং প্রতিকারমূলক ব্যবস্থা নেওয়ার জন্য প্রতিষ্ঠানটি অবিলম্বে বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করে। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

ফাইল পর্যালোচনা 8 মে 2025-এর কাছাকাছি সময়ে শেষ হয় এবং উন্মুক্ত হয়ে যাওয়া রোগীর তথ্যের ধরনগুলো শনাক্ত করা হয়। কোম্পানি 15 জুলাই প্রকাশ্য বিজ্ঞপ্তি প্রকাশ করে। এতে জানানো হয়, সম্ভাব্য ক্ষতিগ্রস্ত ব্যক্তিদের জানানো হচ্ছে এবং সুরক্ষার জন্য সহায়ক উপকরণ দেওয়া হচ্ছে। HHS-এর নথির সারিতে থাকা 13 জানুয়ারি 2025 তারিখটি ফেডারেল কর্তৃপক্ষের কাছে প্রতিবেদন জমা দেওয়ার তারিখ; এটিকে ঘটনার শুরুর তারিখ হিসেবে ধরা হয় না।

MAPS-এর বিজ্ঞপ্তিতে নিশ্চিত করা সাধারণ তালিকায় রয়েছে নাম, ঠিকানা, জন্মতারিখ, চিকিৎসা সংক্রান্ত তথ্য, বিল সংক্রান্ত তথ্য ও স্বাস্থ্যবিমা সংক্রান্ত তথ্য। টেক্সাসের নিয়ন্ত্রক কর্তৃপক্ষের নথিতে সোশ্যাল সিকিউরিটি নম্বর ও আর্থিক তথ্যও যুক্ত হয়েছে। ব্যক্তির সংখ্যার অযাচাইকৃত হিসাব, অযাচাইকৃত তথ্যক্ষেত্র এবং হুমকি সৃষ্টিকারীদের অযাচাইকৃত দাবিকে এই ঘটনার প্রকাশ্য পরিসরের অংশ হিসেবে ধরা হয় না।

প্রতিষ্ঠানটি বলেনি যে প্রত্যেক রোগীর একই ধরনের তথ্যের সমন্বয় জড়িত ছিল। চিকিৎসা ও বিমা সংক্রান্ত তথ্য চিকিৎসাক্ষেত্রে পরিচয়ের অপব্যবহারে ব্যবহৃত হতে পারে। অন্যদিকে, সোশ্যাল সিকিউরিটি ও আর্থিক তথ্য পরিচয় বা অ্যাকাউন্ট-সংক্রান্ত জালিয়াতিতে সহায়তা করতে পারে। এই নথিতে রোগীর তথ্য উন্মুক্ত হওয়ার বিষয়ে উৎসগুলোর অনুসন্ধানে যা নিশ্চিত হয়েছে, তা-ই তুলে ধরা হয়েছে; তবে ফাইলগুলো প্রকাশ্যে ছড়িয়ে দেওয়া হয়েছে, বিক্রি হয়েছে বা নির্দিষ্ট কোনো হুমকি সৃষ্টিকারী গোষ্ঠীর হাতে গেছে, এমন দাবি করা হয়নি।

আনুষ্ঠানিক উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের শ্রেণি প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এই সংখ্যাটি যাঁদের বিজ্ঞপ্তি দেওয়ার আওতায় রাখা হয়েছে, তাঁদের বোঝায়; উন্মুক্ত হয়ে যাওয়া ফাইল, সারি বা তথ্যক্ষেত্রের সংখ্যা নয়। একজনের একাধিক তথ্য উপাদান জড়িত থাকতে পারে, আর অন্যজনের ক্ষেত্রে প্রকাশিত তালিকার শুধু কিছু অংশ জড়িত থাকতে পারে।

Mid America Physician Services চারটি চিকিৎসাসেবা বিভাগের মাধ্যমে কার্যক্রম পরিচালনা করে: Johnson County OB/GYN, Women's Care, Women's Clinic of Johnson County এবং Women's Health Associates। এই ব্র্যান্ডগুলো একই MAPS ঘটনার অংশ হওয়ায় এগুলোর জন্য আলাদা তথ্য নিরাপত্তা লঙ্ঘনের নথি তৈরি করা হয় না। একই ঘটনার একাধিক নথি তৈরি ঠেকানোর ব্যবস্থা সব নামকে আওতায় রাখে, যাতে যেকোনো ক্লিনিকের নামে খুঁজলে একই যাচাইকৃত ঘটনাটি পাওয়া যায়।

ঘটনাটি শনাক্ত করার পর কোম্পানি মূল্যায়ন, বিস্তার রোধ ও প্রতিকারমূলক ব্যবস্থা নেওয়ার কাজে বাইরের বিশেষজ্ঞদের সঙ্গে কাজ করে এবং আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানায়। MAPS বলেছে, একই ধরনের ঘটনা আবার ঘটার সম্ভাবনা কমাতে তারা অতিরিক্ত পদক্ষেপ নিয়েছে। তবে এসব নিয়ন্ত্রণব্যবস্থার প্রযুক্তিগত বিবরণ প্রকাশ করেনি। LeakData অপ্রকাশিত নিরাপত্তাব্যবস্থা সম্পর্কে কোনো তথ্য বানিয়ে যোগ করে না।

বিজ্ঞপ্তি জারির সময় পর্যন্ত তদন্তে এই ঘটনার ফলে কোনো জালিয়াতি বা পরিচয় চুরির ঘটনা শনাক্ত হয়নি। এই সিদ্ধান্তটি বিজ্ঞপ্তি দেওয়ার সময় জানা অবস্থাকে তুলে ধরে; সংবেদনশীল পরিচয়, স্বাস্থ্য বা আর্থিক তথ্য কখনো অপব্যবহার হবে না, এমন নিশ্চয়তা দেয় না। কোম্পানি জানিয়েছে, তারা ক্ষতিগ্রস্ত ব্যক্তিদের সুরক্ষার জন্য সহায়ক উপকরণ দিচ্ছে এবং তথ্য নিরাপত্তা নিয়ে কাজ চালিয়ে যাচ্ছে।

যাঁরা বিজ্ঞপ্তি পেয়েছেন, তাঁদের নিজ নিজ চিঠিতে উল্লেখ করা তথ্যের ধরনকে ভিত্তি ধরে নিয়মিত ক্রেডিট রিপোর্ট, ব্যাংক অ্যাকাউন্ট, বিল ও স্বাস্থ্যবিমার সুবিধা সংক্রান্ত বিবরণী পর্যালোচনা করা উচিত। অপরিচিত কোনো চিকিৎসাসেবা, চিকিৎসা, বিমা দাবি বা পাওনা আদায়ের দাবি দেখা গেলে আগে থেকে জানা আনুষ্ঠানিক যোগাযোগের তথ্য ব্যবহার করে সেবাদাতা ও বিমা কোম্পানির সঙ্গে যোগাযোগ করুন।

যাঁদের সোশ্যাল সিকিউরিটি নম্বর বা আর্থিক তথ্য জড়িত ছিল, তাঁরা বিনামূল্যে জালিয়াতির সতর্কতা চালু করা ও ক্রেডিট ফ্রিজ করার কথা বিবেচনা করতে পারেন। MAPS বা এর অধিভুক্ত ক্লিনিকগুলোর নাম ব্যবহার করে আসা অপ্রত্যাশিত ফোনকল, ইমেইল বা অর্থপ্রদানের অনুরোধে দেওয়া লিংক সরাসরি খোলা উচিত নয়।