Norton Healthcare-এর 2023 সালের তথ্য ফাঁস

যাচাইকৃত বিজ্ঞপ্তিগুলোতে ঝুঁকিতে থাকা তথ্যের ধরন হিসেবে নাম, যোগাযোগের তথ্য, সোশ্যাল সিকিউরিটি নম্বর, জন্মতারিখ, স্বাস্থ্য-সংক্রান্ত তথ্য, বিমার তথ্য ও চিকিৎসা শনাক্তকরণ নম্বরের কথা বলা হয়েছে। কিছু ফাইলে ড্রাইভিং লাইসেন্স নম্বর বা অন্য সরকারি পরিচয়পত্রের নম্বর, আর্থিক অ্যাকাউন্ট নম্বর ও ডিজিটাল স্বাক্ষরও থাকতে পারে। প্রত্যেক ব্যক্তির ক্ষেত্রে এসব তথ্যের সবগুলোই রয়েছে বলে দাবি করা হয়নি; ক্ষতিগ্রস্ত তথ্যের ধরন ব্যক্তিভেদে ভিন্ন হতে পারে।

এই তথ্যগুলো একত্রে থাকলে পরিচয় চুরি, স্বাস্থ্যসেবা নিয়ে প্রতারণামূলক দাবি, বিমা জালিয়াতি, আর্থিক অ্যাকাউন্টকে লক্ষ্য করে হামলা এবং ব্যক্তির তথ্য অনুযায়ী সাজানো সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বিশেষভাবে বেড়ে যায়। সোশ্যাল সিকিউরিটি নম্বর ও জন্মতারিখ স্থায়ী পরিচয়-সংক্রান্ত তথ্য; এগুলো একবার ফাঁস হলে শুধু পাসওয়ার্ড বদলালে ঝুঁকি পুরোপুরি দূর হয় না। অন্যদিকে, স্বাস্থ্য ও বিমার তথ্য ব্যবহার করে হামলাকারীরা রোগী হিসেবে সংশ্লিষ্টতা, বিল, অ্যাপয়েন্টমেন্ট, পরীক্ষার ফলাফল, বিমার অনুমোদন বা খরচ ফেরত দেওয়ার মতো বিষয় নিয়ে আরও বিশ্বাসযোগ্য পরিস্থিতি তৈরি করে আস্থা অর্জন করতে পারে।

তথ্য ফাঁসের যাচাইকৃত সময়সীমা 7 মে 2023 থেকে 9 মে 2023; শনাক্ত করার তারিখ হিসেবে 9 মে 2023 নথিভুক্ত রয়েছে। নিয়ন্ত্রক সংস্থাকে দেওয়া বিজ্ঞপ্তিতে ক্ষতিগ্রস্ত ব্যক্তির মোট সংখ্যা 25,00,000 উল্লেখ করা হয়েছে। নথিভুক্ত ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা এই সংখ্যার ভিত্তিতেই নির্ধারিত হয়েছে। প্রকাশিত তথ্য অনুযায়ী, ঘটনাটি বাহ্যিক সিস্টেমে নিরাপত্তা লঙ্ঘন ও র‍্যানসমওয়্যার হামলা হিসেবে চিহ্নিত। কোম্পানি জানিয়েছে, ঘটনার পর অননুমোদিত প্রবেশ বন্ধ করতে তারা বাইরের নিরাপত্তা বিশেষজ্ঞদের সঙ্গে কাজ করেছে এবং নিরাপত্তাব্যবস্থা জোরদার করেছে।

এই বিবরণে এমন কোনো ভাষা ব্যবহার করা হয়নি যা থেকে মনে হতে পারে যে মেডিকেল রেকর্ড সিস্টেম বা রোগী পোর্টালের নিরাপত্তা সরাসরি লঙ্ঘিত হয়েছে, কারণ আনুষ্ঠানিক বিজ্ঞপ্তিতে বলা হয়েছে, এসব সিস্টেমে প্রবেশ করা হয়নি। একইভাবে, সবার তথ্যের মধ্যে আর্থিক অ্যাকাউন্ট নম্বর, ডিজিটাল স্বাক্ষর বা সরকারি পরিচয়পত্র ছিল বলেও ধরে নেওয়া হয়নি। এগুলোকে শুধু অতিরিক্ত ঝুঁকির ক্ষেত্র হিসেবে চিহ্নিত করা হয়েছে, যা কিছু ক্ষেত্রে জড়িত থাকতে পারে। এভাবে বিবরণটি কোনো অতিরঞ্জন ছাড়াই তথ্য ফাঁসের ব্যাপকতা ও তার যাচাইকৃত সীমা, দুটিই তুলে ধরে।

ঝুঁকিতে থাকা প্রধান গোষ্ঠীগুলো হলো Norton Healthcare-এর রোগী, কর্মী, সাবেক কর্মী, কর্মীদের দায়িত্বে থাকা ব্যক্তি ও সুবিধাভোগী। বিজ্ঞপ্তিগুলোতে জানানো হয়েছে, ফাইলগুলোতে মূলত রোগী, কর্মী ও নির্ভরশীল ব্যক্তিদের তথ্য ছিল। তাই শুধু সক্রিয় রোগী অ্যাকাউন্ট আছে এমন ব্যক্তিরাই নন, আগে স্বাস্থ্যসেবা নিয়েছেন এমন ব্যক্তি, কর্মীদের নথিতে তালিকাভুক্ত ব্যক্তি কিংবা কোনো কর্মীর আত্মীয় হিসেবে সিস্টেমে অন্তর্ভুক্ত ব্যক্তিও ক্ষতিগ্রস্ত হয়ে থাকতে পারেন।

অপ্রাপ্তবয়স্কদের জন্যও বিজ্ঞপ্তির একটি নমুনা রয়েছে বলে শিশুদের পরিচয়-সংক্রান্ত ঝুঁকি বিশেষভাবে গুরুত্বপূর্ণ। শিশুদের সোশ্যাল সিকিউরিটি নম্বর বা পরিচয়ের তথ্য দীর্ঘ সময় ধরে অপব্যবহার হলেও তা নজরে না-ও আসতে পারে, কারণ প্রাপ্তবয়স্কদের তুলনায় তাদের ক্রেডিট ইতিহাস বা আর্থিক কার্যক্রম কম পুঙ্খানুপুঙ্খভাবে পর্যবেক্ষণ করা হয়। বর্তমান ও সাবেক কর্মীদের ক্ষেত্রে বেতন, চাকরির অতিরিক্ত সুযোগ-সুবিধা, বিমা ও নির্ভরশীল ব্যক্তিদের তথ্য ব্যবহার করে লক্ষ্যভিত্তিক প্রতারণার চেষ্টা দেখা যেতে পারে।

যাঁরা ক্ষতিগ্রস্ত হয়ে থাকতে পারেন, তাঁদের প্রথমে প্রাপ্ত বিজ্ঞপ্তিতে কোন কোন তথ্যের উল্লেখ রয়েছে তা দেখা উচিত। সোশ্যাল সিকিউরিটি নম্বর, জন্মতারিখ, সরকারি পরিচয়পত্র বা আর্থিক অ্যাকাউন্ট নম্বরের উল্লেখ থাকলে ক্রেডিট ফ্রিজ করা, প্রতারণা সতর্কতা চালু করা ও অ্যাকাউন্টের কার্যক্রম পর্যবেক্ষণের মতো সুরক্ষামূলক ব্যবস্থা নেওয়ার বিষয়টি গুরুত্বের সঙ্গে বিবেচনা করা উচিত। স্বাস্থ্যবিমার বিবরণী, চিকিৎসা বিলের নথি ও স্বাস্থ্যসেবা প্রদানকারীর সঙ্গে চিঠিপত্র নিয়মিত পরীক্ষা করা উচিত।

অপ্রত্যাশিত ফোনকল, ইমেইল, টেক্সট মেসেজ বা ডাকযোগে আসা অনুরোধের ক্ষেত্রে সতর্ক থাকা উচিত। স্বাস্থ্যসেবা, বিমা, বিল সংশোধন, পরিচয় যাচাই বা বিনা মূল্যে সুরক্ষা সেবা দেওয়ার অজুহাতে সোশ্যাল সিকিউরিটি নম্বর, ব্যাংকের তথ্য, যাচাইকরণ কোড বা অ্যাকাউন্টের পাসওয়ার্ড চাওয়া হলে এসব তথ্য দেওয়া উচিত নয়। প্রতিষ্ঠানের সঙ্গে যোগাযোগ করার সময় ব্যবহারকারীদের বিজ্ঞপ্তিতে বা আনুষ্ঠানিক ওয়েবসাইটে দেওয়া যাচাইকৃত যোগাযোগমাধ্যম ব্যবহার করা উচিত এবং আসা লিংকগুলো সরাসরি বিশ্বাস করা উচিত নয়।

স্বাস্থ্যসেবা প্রতিষ্ঠানগুলোর জন্য এই ঘটনা দেখায় যে রোগী পোর্টালের মতোই নেটওয়ার্ক স্টোরেজ ডিভাইসের সুরক্ষাকেও সমান গুরুত্ব দিতে হবে। মূল মেডিকেল রেকর্ড সিস্টেমের নিরাপত্তা লঙ্ঘিত না হলেও ফাইল শেয়ার করার স্থান, আর্কাইভ, মানবসম্পদ বিভাগের নথি ও বিমার রেকর্ডে বিপুল পরিমাণ সংবেদনশীল তথ্য থাকতে পারে। তাই সংরক্ষিত তথ্যের পরিমাণ প্রয়োজনীয় সর্বনিম্নে রাখা, ফাইল পর্যায়ে প্রবেশাধিকার নিয়ন্ত্রণ, নেটওয়ার্ককে পৃথক অংশে বিভক্ত করা, নিয়মিত ব্যাকআপ যাচাই, আচরণগত পর্যবেক্ষণ এবং উচ্চঝুঁকির ফাইল সংরক্ষণের স্থানে আলাদা নিরাপত্তা স্তর রাখা আবশ্যিক হয়ে ওঠে।

ব্যবহারকারীর দীর্ঘমেয়াদি সুরক্ষাকে শুধু দুই বছরের পর্যবেক্ষণ সেবার মধ্যে সীমাবদ্ধ ভাবা উচিত নয়। সোশ্যাল সিকিউরিটি নম্বর, জন্মতারিখ ও স্বাস্থ্য-সংক্রান্ত তথ্য স্থায়ী; বহু বছর পরও এসব তথ্য প্রতারণামূলক আবেদন, অ্যাকাউন্ট পুনরুদ্ধার বা স্বাস্থ্যবিমা জালিয়াতিতে ব্যবহার করা যেতে পারে। ক্ষতিগ্রস্ত ব্যক্তিদের নিয়মিত বিরতিতে ক্রেডিট রিপোর্ট, স্বাস্থ্যবিমার বিবরণী, অপ্রত্যাশিত পাওনা আদায়ের চিঠি ও ঠিকানা পরিবর্তনের বিজ্ঞপ্তি পরীক্ষা করে যেতে হবে।

LeakData-তে এই বিবরণটি তৈরি করা হয়েছে Norton Healthcare-এর 2023 সালের তথ্য ফাঁসের যাচাইকৃত তারিখ, ক্ষতিগ্রস্ত ব্যক্তির মোট সংখ্যা ও প্রকাশিত তথ্যের ধরন ব্যবহারকারীর কাছে বোধগম্যভাবে তুলে ধরার জন্য। ইমেইল বা ডোমেইন যাচাইয়ের ফলাফলে এই রেকর্ড দেখা গেলেই কোনো ব্যক্তির কোন কোন তথ্য ক্ষতিগ্রস্ত হয়েছে তা প্রমাণিত হয় না। তবে এটি নির্দেশ করে যে Norton Healthcare-এর সঙ্গে রোগী, কর্মী, সাবেক কর্মী, নির্ভরশীল ব্যক্তি বা সুবিধাভোগী হিসেবে সম্পর্ক রয়েছে এমন ব্যবহারকারীদের বিজ্ঞপ্তিগুলো সতর্কভাবে পর্যালোচনা করা উচিত।

এই রেকর্ড দেখলে ব্যবহারকারীদের প্রথমে নিজেদের স্বাস্থ্যসেবা নেওয়ার ইতিহাস এবং কর্মী বা নির্ভরশীল ব্যক্তি হিসেবে সংশ্লিষ্টতা মূল্যায়ন করা উচিত। এরপর পরিচয়, ক্রেডিট, স্বাস্থ্যবিমা ও আর্থিক অ্যাকাউন্টের কার্যক্রম পর্যবেক্ষণ করা উচিত। কোনো সন্দেহজনক চিকিৎসা বিল, বিমার লেনদেন, ক্রেডিট আবেদন বা অ্যাকাউন্টে পরিবর্তন শনাক্ত হলে আলাদাভাবে যাচাই করা যোগাযোগমাধ্যমে সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে সরাসরি যোগাযোগ করা উচিত। পরিচয়-সংক্রান্ত তথ্য, স্বাস্থ্য-সংক্রান্ত তথ্য, বিমার তথ্য এবং কিছু ব্যক্তির ক্ষেত্রে আর্থিক অ্যাকাউন্ট বা সরকারি পরিচয়পত্র নিয়ে ঝুঁকি থাকায় এই রেকর্ডকে অত্যন্ত সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করা হয়েছে।