Novo Nordisk-এর 2026 সালের তথ্য ফাঁস

কোম্পানি জানিয়েছে, ঘটনায় সীমিতসংখ্যক অভ্যন্তরীণ IT সিস্টেম জড়িত ছিল এবং সেগুলোতে সংরক্ষিত কিছু ব্যক্তিগত তথ্যে অননুমোদিত প্রবেশ ঘটেছিল। তদন্ত চলাকালীন কোম্পানি আরও নিশ্চিত করে যে কিছু অপ্রকাশ্য তথ্য অনুমতি ছাড়া বাইরে কপি করা হয়েছে। “বাইরে কপি করা হয়েছে” কথাটি শুধু সম্ভাব্য প্রবেশের তুলনায় তথ্য বাইরে সরিয়ে নেওয়ার আরও জোরালো প্রমাণ নির্দেশ করে। তবে ফাইলের সংখ্যা, তথ্যের পরিমাণ ও ব্যবহৃত প্রযুক্তিগত পদ্ধতি প্রকাশ করা হয়নি।

Novo Nordisk এই ঘটনার সঙ্গে জড়িত ব্যক্তি বা গোষ্ঠী, প্রথম প্রবেশের পথ, ব্যবহৃত অ্যাকাউন্ট, সম্ভাব্য মুক্তিপণ দাবি কিংবা সংশ্লিষ্ট নির্দিষ্ট পণ্য ও গবেষণা সিস্টেমের পরিচয় প্রকাশ করেনি। তাই র‍্যানসমওয়্যার, নাম উল্লেখ করা কোনো নিরাপত্তা দুর্বলতা, ক্রেডেনশিয়াল চুরি বা রাষ্ট্রীয় পৃষ্ঠপোষকতাকে নিশ্চিত তথ্য হিসেবে যুক্ত করা হয়নি। যাচাইকৃত পরিধি হলো অভ্যন্তরীণ সিস্টেমে প্রবেশ এবং নির্দিষ্ট তথ্য অনুমতি ছাড়া বাইরে কপি করা।

প্রভাবিত রোগীদের তথ্যের ধরনগুলোর মধ্যে রয়েছে এলোমেলোভাবে নির্ধারিত অক্ষর ও সংখ্যা মিশ্রিত রোগী ID, ট্রায়ালে অংশগ্রহণের তথ্য, লিঙ্গ, জন্মসাল, বায়োমার্কার, স্বাস্থ্য ও ইমিউনোজেনিসিটি-সংক্রান্ত তথ্য এবং ধূমপান, অ্যালকোহল সেবন ও শরীরের ভরসূচকের মতো জীবনযাপন-সংক্রান্ত বিষয়। Novo Nordisk জোর দিয়ে বলেছে, সব ধরনের তথ্য যে প্রত্যেক রোগীর ক্ষেত্রে প্রযোজ্য ছিল, তা নয়। চিকিৎসা গবেষণার প্রেক্ষাপটে এই তথ্যগুলো সংবেদনশীলই থাকে এবং তথ্যের ধরনগুলোর তালিকায় সেগুলো আলাদাভাবে উল্লেখ করা হয়েছে।

Novo Nordisk জানিয়েছে, তথ্যে ছদ্মপরিচয় ব্যবহার করা হয়েছিল এবং সেগুলো রোগীদের নাম বা সরাসরি পরিচয় শনাক্তকারী অন্য তথ্যের সঙ্গে সরাসরি যুক্ত ছিল না। কোনো অংশগ্রহণকারীকে নাম দিয়ে শনাক্ত করতে হলে মূল সংযোগ-তথ্যে প্রবেশের প্রয়োজন হতো, যা ফাঁস হয়নি। তাই কোম্পানি মনে করেনি যে এই ঘটনা তৃতীয় পক্ষকে ক্লিনিক্যাল ট্রায়ালের অংশগ্রহণকারীদের পরিচয় শনাক্ত করার সুযোগ দিয়েছে। কোম্পানি রোগীদের জন্য তাৎক্ষণিক কোনো ঝুঁকিও দেখেনি, তবে সতর্ক থাকতে এবং অস্বাভাবিক কিছু ঘটলে তা জানাতে পরামর্শ দিয়েছে।

স্বাস্থ্যসেবা পেশাজীবীদের উদ্দেশে লেখা আনুষ্ঠানিক চিঠিতে নিশ্চিত করা হয়েছে যে সীমিত পরিমাণ অসংবেদনশীল HCP তথ্য কপি করা হয়েছে। তথ্যের ধরনগুলো হলো নাম ও পেশাগত নিবন্ধন নম্বর, ইমেইল ঠিকানা, ফোন নম্বর, WhatsApp-এর তথ্য এবং অফিসের অবস্থান। চিঠিতে বলা হয়েছে, তালিকাভুক্ত সব ধরনের তথ্য যে প্রত্যেক স্বাস্থ্যসেবা পেশাজীবীর ক্ষেত্রে প্রযোজ্য ছিল, তা নয়। রোগীদের তথ্যের সুরক্ষায় ব্যবহৃত ছদ্মপরিচয় এই সরাসরি HCP যোগাযোগের তথ্যের ক্ষেত্রে প্রযোজ্য নয়।

Novo Nordisk সম্ভাব্য পরিণতি হিসেবে ইমেইল, টেলিফোন বা WhatsApp-এর মাধ্যমে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং সহকর্মীর পরিচয়ে প্রতারণামূলক যোগাযোগের কথা উল্লেখ করেছে। স্বাস্থ্যসেবা পেশাজীবীদের অপ্রত্যাশিত বার্তা ও ফোনকলের বিষয়ে সতর্ক থাকতে এবং সন্দেহজনক কার্যকলাপ কোম্পানিকে জানাতে পরামর্শ দেওয়া হয়েছে। নিবন্ধন নম্বর বা অফিসের অবস্থানের মতো যাচাইযোগ্য তথ্য প্রতারণামূলক যোগাযোগকে আরও বিশ্বাসযোগ্য বলে মনে করাতে পারে।

ফাঁস হওয়া ক্লিনিক্যাল ট্রায়ালের তথ্যে রোগীদের নাম বা সরাসরি পরিচয় শনাক্তকারী অন্য তথ্য ছিল না। Novo Nordisk আরও জানিয়েছে, রোগীর পরিচয় শনাক্ত করতে প্রয়োজনীয় মূল সংযোগ-তথ্যও ফাঁস হয়নি। তবে স্বাস্থ্যসেবা পেশাজীবীদের নাম ও যোগাযোগের তথ্য প্রভাবিত হওয়ার বিষয়টি স্পষ্টভাবে নিশ্চিত করা হয়েছে। এই দুটি বিষয়কে এক করে দেখা যাবে না: “নাম ফাঁস হয়নি” কথাটি ট্রায়ালের রোগীদের ক্ষেত্রে প্রযোজ্য; এর অর্থ এই নয় যে HCP নামের তথ্য প্রভাবিত তালিকা থেকে বাদ যাবে।

Novo Nordisk কর্মী, গ্রাহক বা সরবরাহকারীদের কোন কোন তথ্য জড়িত ছিল, তা প্রকাশ্যে তালিকাভুক্ত করেনি। সংশ্লিষ্ট পক্ষগুলোর তথ্য সম্পর্কে সাধারণ উল্লেখ থেকে প্রতিটি গোষ্ঠী প্রভাবিত হয়েছে বলে প্রমাণিত হয় না। ট্রায়ালের সংখ্যা, দেশের তালিকা ও ব্যক্তির সংখ্যাও অপ্রকাশিত ছিল। বিশ্বজুড়ে কোম্পানির কর্মীসংখ্যা বা তাদের সেবার আওতায় থাকা রোগীর সংখ্যাকে এই তথ্য ফাঁসের মোট সংখ্যা হিসেবে ব্যবহার করা যায় না।

Novo Nordisk জানিয়েছে, ঘটনা সম্পর্কে জানার পর তারা বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়ে তদন্ত শুরু করে এবং সংশ্লিষ্ট কর্তৃপক্ষের সঙ্গে যোগাযোগ করে। নিজেদের IT পরিবেশ সুরক্ষিত রাখতে কোম্পানি কিছু অভ্যন্তরীণ IT সিস্টেম সাময়িকভাবে অফলাইনে নিয়ে যায় এবং নিয়ন্ত্রিত ও নিরাপদ উপায়ে সেগুলো আবার চালু করতে শুরু করে। কোম্পানি জানিয়েছে, তদন্তের ভিত্তিতে প্রয়োজন অনুযায়ী প্রভাবিত পক্ষগুলোকে অবহিত করা হচ্ছে।

মূল ব্যবসায়িক কার্যক্রম প্রভাবিত হয়নি এবং চালু ছিল। এই তথ্য সেবা অব্যাহত থাকার বিষয়টি বোঝায়; এটি তথ্য কপি হওয়ার নিশ্চিত ঘটনাকে নাকচ করে না। Novo Nordisk স্বীকার করেছে যে প্রভাবিত সিস্টেমগুলো নিরাপদে পুনরুদ্ধার করতে সময় লাগবে।

এই রেকর্ডে একই ঘটনার দুটি পৃথক গোষ্ঠীর তথ্য নথিভুক্ত করা হয়েছে: রোগীদের নামের সঙ্গে সরাসরি যুক্ত নয় এমন ছদ্মপরিচয়যুক্ত ক্লিনিক্যাল ট্রায়ালের তথ্য এবং স্বাস্থ্যসেবা পেশাজীবীদের সরাসরি পেশাগত ও যোগাযোগের তথ্য। প্রভাবিত ব্যক্তির সংখ্যা শূন্য দেখানো হলে তার অর্থ হলো কোনো যাচাইকৃত মোট সংখ্যা প্রকাশ করা হয়নি, কেউ প্রভাবিত হননি, এমন নয়। রোগীদের পরিচয় পুনরায় শনাক্ত করার সুযোগ তৈরি হয়নি বলে কোম্পানি মনে করলেও, স্বাস্থ্য-সংক্রান্ত তথ্য বাইরে কপি হওয়ার বিষয়টি তাতে বদলে যায় না।

যাচাইকৃত সিদ্ধান্ত হলো, সীমিতসংখ্যক অভ্যন্তরীণ সিস্টেমে প্রবেশ ঘটেছে, অপ্রকাশ্য ব্যক্তিগত তথ্য বাইরে কপি করা হয়েছে, কিছু ট্রায়ালের রোগীদের ছদ্মপরিচয়যুক্ত স্বাস্থ্য ও জীবনযাপন-সংক্রান্ত তথ্য জড়িত ছিল এবং কিছু HCP-এর নাম, নিবন্ধন, যোগাযোগের তথ্য ও অবস্থান প্রভাবিত হয়েছে। রোগীদের নাম ও সংযোগ-তথ্য ফাঁস হয়নি এবং মূল কার্যক্রম চালু ছিল। সুনির্দিষ্ট সময়, ব্যক্তির সংখ্যা ও আক্রমণের পদ্ধতি এখনো অপ্রকাশিত।