Northwest Iowa Community College-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান উৎস হলো 2026 সালের 8 জুলাই Northwest Iowa Community College-এর পক্ষে আইওয়ার অ্যাটর্নি জেনারেলের ভোক্তা সুরক্ষা বিভাগে পাঠানো সরকারি “তথ্য নিরাপত্তাসংক্রান্ত ঘটনার বিজ্ঞপ্তি”। এতে তথ্য অ্যাক্সেসের সময়সীমা, ঘটনা শনাক্তের তারিখ, 29 মে তথ্য পর্যালোচনার ফলাফল, 6 জুলাই ঠিকানা যাচাই, আইওয়ার 16,004 জন বাসিন্দার হিসাব, নাম ও SSN-সংক্রান্ত তথ্যের পরিসর এবং সেদিনই ডাকযোগে বিজ্ঞপ্তি পাঠানো শুরু হওয়ার কথা বর্ণনা করা হয়েছে।

Claim Depot কলেজের প্রোফাইলের সঙ্গে আইওয়ায় জমা দেওয়া সরকারি নথিটিকে যুক্ত করেছে। পাশাপাশি, স্বতন্ত্রভাবে 24–26 নভেম্বরের অ্যাক্সেসের সময়সীমা, 16,004 জন বাসিন্দার পরিসর, নাম ও SSN তথ্য এবং Cyberscout-এর 12 মাসের সেবার সারসংক্ষেপ দিয়েছে। মূল তথ্যগুলোর ক্ষেত্রে দুই উৎসের মধ্যে মিল রয়েছে।

NCC 26 নভেম্বর বা তার কাছাকাছি সময়ে নিজেদের কম্পিউটার ব্যবস্থায় অননুমোদিত কার্যকলাপের কথা জানতে পারে। প্রতিষ্ঠানটি দ্রুত নেটওয়ার্ক সুরক্ষিত করে এবং তৃতীয় পক্ষের বিশেষজ্ঞদের নিয়োগ করে। তদন্তে দেখা যায়, 24 থেকে 26 নভেম্বরের মধ্যে সীমিত পরিমাণ তথ্য অনুমতি ছাড়া অ্যাক্সেস বা ডাউনলোড করা হয়ে থাকতে পারে। উৎসে সম্ভাবনা বোঝাতে যে ভাষা ব্যবহার করা হয়েছে, তা গুরুত্বপূর্ণ: প্রতিটি ফাইল নিশ্চিতভাবেই কপি করা হয়েছিল, এমনটি এতে প্রতিষ্ঠিত হয় না।

প্রকাশ্য নথিতে প্রবেশের প্রাথমিক পদ্ধতি, ম্যালওয়্যার, ঘটনার সঙ্গে জড়িত পক্ষের পরিচয়, মুক্তিপণ দাবি, তথ্য প্রকাশ বা সংশ্লিষ্ট ফাইলের সংখ্যা সম্পর্কে কিছু জানানো হয়নি। ঘটনাটির তিন দিনের সময়সীমা নিশ্চিত করা হয়েছে, তবে কীভাবে প্রবেশাধিকার পাওয়া গিয়েছিল তা প্রকাশ করা হয়নি। তাই LeakData অনুমান দিয়ে প্রযুক্তিগত তথ্যের ঘাটতি পূরণ করে না; কলেজের দেওয়া তথ্য দিয়ে সমর্থিত অননুমোদিত সিস্টেম কার্যকলাপই শুধু বর্ণনা করে।

নিয়ন্ত্রক কর্তৃপক্ষকে পাঠানো সরকারি চিঠিতে সম্ভাব্যভাবে প্রভাবিত তথ্য বলতে ব্যক্তির নামের সঙ্গে তাঁর সোশ্যাল সিকিউরিটি নম্বরকে বোঝানো হয়েছে। এই দুটি তথ্য একসঙ্গে থাকলে পরিচয় চুরি, নতুন ক্রেডিট অ্যাকাউন্ট, জালিয়াতিমূলক কর রিটার্ন এবং সঠিক পরিচয়সংক্রান্ত তথ্য ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বাড়তে পারে। “সম্ভাব্যভাবে” শব্দটি বজায় রাখা জরুরি; বিজ্ঞপ্তি পাঠানো হয়েছে বলেই তথ্যের অপব্যবহার ঘটেছে বলে প্রমাণিত হয় না।

উৎসগুলোতে ইমেইল ঠিকানা, পাসওয়ার্ড, ব্যবহারকারীর নাম, টেলিফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, জন্মতারিখ, শিক্ষার্থী আইডি, গ্রেড, কোর্সের রেকর্ড, শৃঙ্খলাসংক্রান্ত রেকর্ড, ব্যাংক অ্যাকাউন্ট, পেমেন্ট কার্ড, স্বাস্থ্যতথ্য বা বায়োমেট্রিক তথ্যকে এই ঘটনায় প্রভাবিত নিশ্চিত তথ্য হিসেবে উল্লেখ করা হয়নি। সুরক্ষাবিষয়ক পরিশিষ্টে আরও কিছু ধরনের তথ্য নিয়ে সাধারণ পরামর্শ দেওয়া হলেও, তাতে সেসব তথ্য এই ঘটনার অংশ হয়ে যায় না।

বিজ্ঞপ্তিপ্রাপকদের উচিত তিনটি প্রধান ক্রেডিট ব্যুরোর রিপোর্টে অপরিচিত অ্যাকাউন্ট, ক্রেডিট-সংক্রান্ত অনুসন্ধান বা ঠিকানা পরিবর্তন আছে কি না, তা দেখা। বিনা খরচে সিকিউরিটি ফ্রিজ চালু করলে নতুন ঋণদাতার ওই রিপোর্ট দেখার সুযোগ সীমিত হয়। অন্যদিকে, এক বছরের ফ্রড অ্যালার্ট ব্যবসাপ্রতিষ্ঠানগুলোকে পরিচয় যাচাই জোরদার করতে বলে। IRS Identity Protection PIN কর-সংক্রান্ত পরিচয়ের অপব্যবহার কমাতে সাহায্য করতে পারে। করসংক্রান্ত কোনো সন্দেহজনক চিঠিপত্র পেলে তা IRS-এর আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে যাচাই করা উচিত।

অপ্রত্যাশিতভাবে যোগাযোগ করা কেউ নিজেকে NCC বা Cyberscout-এর প্রতিনিধি বলে দাবি করলে, তাঁকে আপনার সম্পূর্ণ SSN, ক্রেডিট ব্যুরোর PIN, পাসওয়ার্ড বা একবার ব্যবহারযোগ্য কোড দেবেন না। শুধু ব্যক্তিগত বিজ্ঞপ্তিতে দেওয়া স্বতন্ত্র নিবন্ধন কোড ও আনুষ্ঠানিক ঠিকানা ব্যবহার করুন। ফোনকারী আপনার নাম ও SSN-এর কিছু অংশ জানেন বলেই তাঁর পরিচয় যাচাই হয়ে যায় না; ফিরতি যোগাযোগের নম্বর অন্য নির্ভরযোগ্য উপায়ে সংগ্রহ করুন।

কলেজটি নিজেদের নেটওয়ার্ক সুরক্ষিত করেছে, ফরেনসিক তদন্ত চালিয়েছে এবং তথ্য নিরাপত্তা ও সাইবার নিরাপত্তা নীতিমালা পর্যালোচনা ও উন্নত করেছে। সম্ভাব্যভাবে প্রভাবিত তথ্যের পূর্ণাঙ্গ পর্যালোচনা 2026 সালের 29 মে শেষ হয়। এরপর NCC বর্তমান যোগাযোগের তথ্য নিশ্চিত করতে National Change of Address ব্যবস্থায় অনুসন্ধান করে, 6 জুলাই সেই ফলাফল পায় এবং 8 জুলাই ডাকযোগে বিজ্ঞপ্তি পাঠানো শুরু করে।

বিজ্ঞপ্তি পাওয়া প্রত্যেক ব্যক্তিকে Cyberscout-এর মাধ্যমে 12 মাসের বিনা খরচের একক ক্রেডিট ব্যুরোভিত্তিক ক্রেডিট পর্যবেক্ষণ, একটি ক্রেডিট রিপোর্ট, একটি ক্রেডিট স্কোর এবং জালিয়াতির বিরুদ্ধে আগাম সহায়তার সুযোগ দেওয়া হয়। চিঠির তারিখ থেকে 90 দিনের মধ্যে নিবন্ধন সম্পন্ন করতে হবে এবং এর জন্য স্বতন্ত্র সক্রিয়করণ কোড প্রয়োজন। NCC একটি বিশেষ কল সেন্টারও চালু করেছে, যা কর্মদিবসে ইস্টার্ন টাইম অনুযায়ী সকাল 8টা থেকে রাত 8টা পর্যন্ত চালু থাকে; প্রকাশ্য নমুনায় নম্বরটি আড়াল করা হয়েছে।

আইওয়ায় জমা দেওয়া সরকারি নথিতে স্পষ্টভাবে আইওয়ার 16,004 জন বাসিন্দাকে সম্ভাব্যভাবে প্রভাবিত হিসেবে উল্লেখ করা হয়েছে। এই সংখ্যা যে একই ব্যক্তির পুনরাবৃত্তি বাদ দিয়ে গণনা করা দেশব্যাপী মোট সংখ্যা, তা নথিতে বলা হয়নি। তাই LeakData এটিকে নিম্নসীমা হিসেবে সংরক্ষণ করে। এই ঘটনায় প্রভাবিত ব্যক্তির সংখ্যার বদলে কলেজের বার্ষিক শিক্ষার্থীসংখ্যা, কর্মীসংখ্যা, প্রাক্তন শিক্ষার্থীদের নেটওয়ার্কের সদস্যসংখ্যা বা তথ্যব্যবস্থার ব্যবহারকারীর সংখ্যা ব্যবহার করা যাবে না।

বিজ্ঞপ্তি পেয়ে থাকলে সেটি সংরক্ষণ করুন, সময়মতো বিনা খরচের সুরক্ষা চালু করুন এবং দীর্ঘ মেয়াদে ক্রেডিট ও করসংক্রান্ত রেকর্ড নজরে রাখুন, কারণ SSN-এর মেয়াদ শেষ হয় না। যাঁরা কোনো চিঠি পাননি, তাঁদের শুধু অতীতে কলেজের সঙ্গে সম্পর্ক ছিল বলে নিজেদের প্রভাবিত ধরে নেওয়া উচিত নয়।