MMG Fusion-এর 2020 সালের তথ্য ফাঁস

এই ঘটনায় নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো অ্যাপয়েন্টমেন্ট, জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, বৈবাহিক অবস্থা, নাম, পাসওয়ার্ড, ফোন নম্বর ও ডাক ঠিকানা। অ্যাপয়েন্টমেন্টের তথ্য থেকে কোনো ব্যক্তি কখন বা কোন ক্লিনিকে স্বাস্থ্যসেবা নিয়েছেন, সে সম্পর্কে সংবেদনশীল তথ্য জানা যেতে পারে। ইমেইল, ফোন নম্বর ও ডাক ঠিকানা একসঙ্গে পাওয়া গেলে ক্লিনিকের ভুয়া বিজ্ঞপ্তি, অ্যাপয়েন্টমেন্ট নিশ্চিতকরণ, অর্থ পরিশোধের তাগাদা বা নথি হালনাগাদের নামে পাঠানো প্রতারণামূলক বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। জন্মতারিখ ও বৈবাহিক অবস্থার মতো তথ্য পরিচয় যাচাইয়ের প্রশ্নের উত্তর দেওয়া বা প্রোফাইল মিলিয়ে দেখার চেষ্টায় অতিরিক্ত ঝুঁকি তৈরি করে।

অল্প কিছু রেকর্ডের পাসওয়ার্ড bcrypt হ্যাশ আকারে রয়েছে বলে জানানো হয়েছে। পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় রয়েছে, এমন দাবি করা হয়নি। তবু দুর্বল পাসওয়ার্ড বা একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহারের ক্ষেত্রে ঝুঁকি থেকে যায়। কোনো ব্যবহারকারী ইমেইল, রোগীদের পোর্টাল, সামাজিক যোগাযোগমাধ্যম বা অন্য স্বাস্থ্যসেবা অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকলে পুরোনো তথ্য ফাঁসের ঘটনাও বর্তমান অ্যাকাউন্টগুলোকে প্রভাবিত করতে পারে। স্বাস্থ্যসেবার অ্যাপয়েন্টমেন্টের প্রেক্ষাপট থাকায় আক্রমণকারীরা শুধু অ্যাকাউন্টে লগইনের চেষ্টাতেই সীমাবদ্ধ না-ও থাকতে পারে; প্রকৃত যোগাযোগের তথ্য ব্যবহার করে তারা এমন বার্তা তৈরি করতে পারে, যা রোগী সহায়তা কেন্দ্র, অ্যাপয়েন্টমেন্ট কেন্দ্র বা বিমা বিভাগের কাছ থেকে এসেছে বলে মনে হয়।

যাচাইকৃত ঘটনার তারিখ 20 ডিসেম্বর 2020 হিসেবে ধরা হয়েছে। রেকর্ড যুক্ত করার ও উৎস পরিবর্তনের তারিখ ধরা হয়েছে 7 আগস্ট 2021। স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা 26,60,295। তথ্যের ধরন অ্যাপয়েন্টমেন্টের তথ্য, জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, বৈবাহিক অবস্থা, নাম, bcrypt পাসওয়ার্ড হ্যাশ, ফোন নম্বর ও ডাক ঠিকানার মধ্যে সীমিত। এই রেকর্ডে সামাজিক নিরাপত্তা নম্বর, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, রোগনির্ণয়ের বিস্তারিত তথ্য, ব্যবস্থাপত্র, পরীক্ষাগারের ফলাফল বা সম্পূর্ণ চিকিৎসা নথি যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই।

এই পরিধি সঠিকভাবে বোঝা জরুরি। মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর সম্পূর্ণ চিকিৎসা ইতিহাস ফাঁস হয়েছে। তবে অ্যাপয়েন্টমেন্ট ও যোগাযোগের তথ্য একসঙ্গে থাকা স্বাস্থ্যের তথ্যের গোপনীয়তার দিক থেকে যথেষ্ট গুরুতর। প্রতিষ্ঠানটি দন্তচিকিৎসা কেন্দ্রের ব্যবস্থাপনা সেবা দেয়। তাই রেকর্ডটিকে সাধারণ প্রযুক্তিবিষয়ক সাইটের বদলে দন্তচিকিৎসার অ্যাপয়েন্টমেন্ট ও রোগীদের সঙ্গে যোগাযোগের ব্যবস্থা হিসেবে শ্রেণিবদ্ধ করা উচিত। পাসওয়ার্ডের ঝুঁকির কথাও কেবল অল্প কিছু রেকর্ডের ক্ষেত্রে জানানো হয়েছে। তবু অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহারের সম্ভাবনা থাকায় নিরাপত্তামূলক পদক্ষেপ নেওয়ার পরামর্শ দেওয়া হচ্ছে।

সবচেয়ে বেশি ঝুঁকিতে থাকা গোষ্ঠীর মধ্যে রয়েছেন MMG Fusion ব্যবহারকারী ও দন্তচিকিৎসা বা ক্লিনিকের সেবার সঙ্গে যুক্ত রোগীরা, অ্যাপয়েন্টমেন্টের তথ্য থাকা ব্যক্তিরা এবং স্বাস্থ্যসেবা অ্যাকাউন্টগুলোতে একই ইমেইল ঠিকানা ব্যবহারকারী ব্যক্তিরা। যেসব ব্যবহারকারীর নাম, ফোন নম্বর, ঠিকানা ও জন্মতারিখ এই তথ্যে রয়েছে, তাঁদের ভুয়া অ্যাপয়েন্টমেন্ট, ক্লিনিকে বকেয়া অর্থের নোটিশ বা বিমা-সংক্রান্ত বার্তার মাধ্যমে লক্ষ্যবস্তু করা হতে পারে। লিঙ্গ ও বৈবাহিক অবস্থার মতো তথ্য ব্যবহার করে ব্যক্তিকে লক্ষ্য করে তৈরি বার্তা আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। এ ধরনের তথ্য পেমেন্ট কার্ডের তথ্যের মতো দ্রুত বদলানো যায় না; তাই গোপনীয়তার ওপর এর দীর্ঘমেয়াদি প্রভাব থাকতে পারে।

দন্তচিকিৎসা ক্লিনিকের কর্মী, অ্যাপয়েন্টমেন্ট কেন্দ্রের সঙ্গে নিয়মিত যোগাযোগ করা রোগী এবং পরিবারের সদস্যদের অ্যাপয়েন্টমেন্টের কাজে একই ইমেইল ঠিকানা ব্যবহার করা ব্যক্তিদেরও সতর্ক থাকা উচিত। আক্রমণকারীরা প্রকৃত ফোন নম্বর ও ঠিকানার তথ্য ব্যবহার করে কল করতে পারে এবং অ্যাপয়েন্টমেন্ট নিশ্চিত করতে, নথি পূরণ করতে বা অর্থ পরিশোধের নির্দেশনা অনুসরণ করতে বলতে পারে। পাসওয়ার্ড হ্যাশ থাকা অল্প কিছু রেকর্ডের সঙ্গে সংশ্লিষ্ট ব্যক্তিদের জন্য অতিরিক্ত ঝুঁকি রয়েছে। একই পাসওয়ার্ড অন্য সেবাতেও কার্যকর থাকলে অ্যাকাউন্টের নিরাপত্তা প্রভাবিত হতে পারে। তাই এই রেকর্ডে মিল পাওয়া গেলে যোগাযোগের মাধ্যমে প্রতারণা ও একই পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি একসঙ্গে বিবেচনা করা উচিত।

এই রেকর্ডে মিল পেলে আপনার প্রথমেই অ্যাপয়েন্টমেন্ট ও ক্লিনিক-সংক্রান্ত অপ্রত্যাশিত ইমেইল, SMS ও ফোন কল সম্পর্কে সতর্ক থাকা উচিত। বার্তায় প্রকৃত নাম, ফোন নম্বর, ঠিকানা বা অ্যাপয়েন্টমেন্টের প্রসঙ্গ থাকলেও সেটিকে বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। অ্যাপয়েন্টমেন্ট নিশ্চিতকরণ, অর্থ পরিশোধের বিজ্ঞপ্তি, নথি হালনাগাদ বা রোগীর ফর্ম-সংক্রান্ত বার্তায় লিংক থাকলে পরিচিত ক্লিনিক বা সেবার ঠিকানার মাধ্যমে সরাসরি যাচাই করা উচিত। ফোনে অনুরোধ এলে জন্মতারিখ, যাচাইকরণ কোড, কার্ডের তথ্য বা পাসওয়ার্ড দেওয়া উচিত নয়।

পাসওয়ার্ড ব্যবহার করে এমন প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড বেছে নেওয়া উচিত। MMG Fusion-সংশ্লিষ্ট অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করে থাকলে প্রথমে ইমেইল ও গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো উচিত। যেসব সেবায় একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাইয়ের সুবিধা রয়েছে, সেখানে তা চালু করা, সক্রিয় সেশনগুলো বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের জন্য দেওয়া ইমেইল ও ফোনের তথ্য পর্যালোচনা করা উচিত। ইমেইল অ্যাকাউন্টের সুরক্ষায় বিশেষ গুরুত্ব দেওয়া দরকার, কারণ চিকিৎসার অ্যাপয়েন্টমেন্টের বিজ্ঞপ্তি ও অ্যাকাউন্ট পুনরুদ্ধারের বার্তা প্রায়ই এই অ্যাকাউন্টে আসে।

স্বাস্থ্যসেবার অ্যাপয়েন্টমেন্ট ও যোগাযোগের তথ্য ফাঁসের ক্ষেত্রে দীর্ঘমেয়াদি ঝুঁকি হলো, বহু বছর পরও এসব তথ্য প্রতারণামূলক বার্তায় ব্যবহার করা যেতে পারে। ব্যবহারকারীদের স্বাস্থ্যসেবা, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। ফোন নম্বর ও ঠিকানার তথ্য কেবল প্রয়োজনীয় সেবাগুলোর সঙ্গেই শেয়ার করা উচিত। রোগীদের পোর্টাল ও ক্লিনিকের যোগাযোগমাধ্যমে একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাইকে অগ্রাধিকার দেওয়া এবং পুরোনো অ্যাপয়েন্টমেন্ট অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্টে ব্যক্তিগত তথ্য ও নিবন্ধিত যোগাযোগের তথ্য যতটা সম্ভব কম রাখা উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, এই ঘটনা দন্তচিকিৎসা ও স্বাস্থ্যসেবার অ্যাপয়েন্টমেন্ট ব্যবস্থায় কী তথ্য সংরক্ষিত আছে তার তালিকা রাখা, প্রবেশাধিকার নিয়ন্ত্রণ এবং পাসওয়ার্ড সংরক্ষণের মানের গুরুত্ব তুলে ধরে। অ্যাপয়েন্টমেন্টের রেকর্ড শুধু ক্যালেন্ডারের তথ্য নয়; রোগীর পরিচয়, যোগাযোগের মাধ্যম ও স্বাস্থ্যসেবার প্রেক্ষাপটের সঙ্গে যুক্ত হলে তা সংবেদনশীল হয়ে ওঠে। ব্যবহারকারীদের জন্য দীর্ঘস্থায়ী সুরক্ষা মানে ইমেইল অ্যাকাউন্ট শক্তভাবে সুরক্ষিত রাখা, ফোনে প্রতারণার বিষয়ে সতর্ক থাকা, ক্লিনিকের বার্তা আলাদা মাধ্যমে যাচাই করা এবং একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার পুরোপুরি বন্ধ করা।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো, ইমেইল ঠিকানাটি MMG Fusion-এর তথ্যসমষ্টিতে থাকা যাচাইকৃত ঠিকানাগুলোর একটি। মিল পাওয়া এই প্রমাণ দেয় না যে সামাজিক নিরাপত্তা নম্বর, পেমেন্ট কার্ড, সম্পূর্ণ চিকিৎসা নথি বা রোগনির্ণয়ের বিস্তারিত তথ্য এই তথ্যসমষ্টিতে রয়েছে। যাচাইকৃত তথ্যগুলো হলো অ্যাপয়েন্টমেন্টের তথ্য, জন্মতারিখ, ইমেইল, লিঙ্গ, বৈবাহিক অবস্থা, নাম, ফোন নম্বর, ডাক ঠিকানা এবং অল্প কিছু রেকর্ডে bcrypt পাসওয়ার্ড হ্যাশ। ব্যবহারকারীর এই সীমাবদ্ধতা সঠিকভাবে বোঝা এবং স্বাস্থ্যসেবা-সংক্রান্ত যোগাযোগের ঝুঁকি ও একই পাসওয়ার্ড পুনর্ব্যবহার, দুই দিকেই মনোযোগ দেওয়া উচিত।

প্রথম ধাপ হলো একই ইমেইল ও একই ধরনের পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলো শনাক্ত করা। এরপর ইমেইল অ্যাকাউন্ট, রোগীদের পোর্টাল, স্বাস্থ্যসেবা অ্যাকাউন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা এবং সক্রিয় সেশনগুলো পরীক্ষা করা উচিত। অ্যাপয়েন্টমেন্ট, ক্লিনিক, বিমা বা অর্থ পরিশোধ-সংক্রান্ত বার্তার লিংক আলাদা মাধ্যমে যাচাই করা উচিত। এই রেকর্ডে অতিরঞ্জন ছাড়াই যাচাইকৃত তথ্যের ধরনগুলো তুলে ধরা হয়েছে এবং স্বাস্থ্যের তথ্যের গোপনীয়তা, যোগাযোগের নিরাপত্তা ও পাসওয়ার্ড ব্যবস্থাপনা সম্পর্কে ব্যবহারকারীর জন্য অনুসরণযোগ্য পদক্ষেপ দেওয়া হয়েছে।