NYC Health + Hospitals-এর 2025 সালের তথ্য ফাঁস

NYC Health + Hospitals 24 মার্চ 2026 তারিখে ঘোষণা করে যে একটি নিরাপত্তা ঘটনায় ব্যক্তিগত ও সুরক্ষিত স্বাস্থ্যসংক্রান্ত তথ্য ফাঁস হয়েছে। ফরেনসিক তদন্তে দেখা যায়, অনুমোদনহীন তৃতীয় পক্ষটি প্রায় এগারো সপ্তাহ নেটওয়ার্কে অবস্থান করেছে এবং ফাইল বাইরে সরিয়ে নিয়েছে। এই বিবৃতির ভিত্তিতে ঘটনাটিকে কেবল তথ্য দেখার সম্ভাবনা নয়, বরং প্রতিষ্ঠান কর্তৃক নিশ্চিত তথ্য হাতিয়ে নেওয়ার ঘটনা হিসেবে চিহ্নিত করা হয়।

HHS OCR ঘটনাটিকে হ্যাকিং/IT-সংক্রান্ত ঘটনা, তথ্যের অবস্থানকে নেটওয়ার্ক সার্ভার এবং প্রতিষ্ঠানের ধরনকে স্বাস্থ্যসেবা প্রদানকারী হিসেবে তালিকাভুক্ত করেছে। HIPAA Journal প্রতিষ্ঠানের প্রকাশিত তথ্যের সঙ্গে ফেডারেল রেকর্ড তুলনা করে প্রবেশাধিকারের সময়সীমা, তথ্য বাইরে সরিয়ে নেওয়া, ক্ষতিগ্রস্ত গোষ্ঠী এবং তথ্যের বিস্তৃত শ্রেণিগুলোর পক্ষে সমর্থন পেয়েছে। সূত্রগুলো এই হামলার জন্য কোনো নির্দিষ্ট র‍্যানসমওয়্যার গোষ্ঠীকে দায়ী করেনি।

হামলাকারী প্রথমবার নেটওয়ার্কে প্রবেশ করে 25 নভেম্বর 2025 তারিখে। প্রতিষ্ঠানটি 2 ফেব্রুয়ারি 2026 তারিখে সন্দেহজনক কার্যকলাপ শনাক্ত করে এবং সিস্টেমগুলো সুরক্ষিত করে, তবে তদন্তে দেখা যায় যে 11 ফেব্রুয়ারি পর্যন্ত প্রবেশাধিকার বজায় ছিল। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

ক্ষতিগ্রস্ত ফাইলগুলো পর্যালোচনা চলমান থাকা অবস্থায় প্রতিষ্ঠানটি মার্চ 2026-এ ঘটনাটি প্রকাশ্যে ঘোষণা করে। HHS-এর রেকর্ডে জমা দেওয়ার তারিখ 24 মার্চ এবং ক্ষতিগ্রস্ত মানুষের সংখ্যা 18 লাখ দেখানো হয়েছে। NYC Health + Hospitals জানায়, নাম প্রকাশ না করা একটি তৃতীয় পক্ষের সরবরাহকারীর নিরাপত্তা লঙ্ঘনের পর প্রাথমিক প্রবেশ ঘটে থাকতে পারে; নিশ্চিত তথ্য না থাকায় এই মূল রেকর্ডে সরবরাহকারী বা ব্যবহৃত প্রযুক্তিগত পদ্ধতির নাম উল্লেখ করা হয়নি।

চিকিৎসাসংক্রান্ত তথ্যের মধ্যে ছিল মেডিকেল রেকর্ড নম্বর, প্রতিবন্ধিতার কোড, রোগনির্ণয়ের তথ্য, ওষুধ, পরীক্ষার ফলাফল, ছবি এবং চিকিৎসা পরিকল্পনা। এসব তথ্যক্ষেত্রে একজন ব্যক্তির স্বাস্থ্য সম্পর্কে বিস্তারিত ও দীর্ঘমেয়াদি তথ্য থাকে। প্রতিটি ফাইলে চিকিৎসাসংক্রান্ত প্রতিটি তথ্যক্ষেত্র ছিল বলে প্রতিষ্ঠানটি জানায়নি। তাই এই শ্রেণিগুলো কোনো ব্যক্তির ক্ষেত্রে কী কী তথ্য ক্ষতিগ্রস্ত হয়ে থাকতে পারে, তা নির্দেশ করে।

স্বাস্থ্যবিমার পরিকল্পনা ও পলিসির তথ্য, বিমাকারী প্রতিষ্ঠানের নাম, সদস্য ও গোষ্ঠীর শনাক্তকারী এবং Medicaid, Medicare বা অন্য সরকারি অর্থদাতা ব্যবস্থার শনাক্তকারী অন্তর্ভুক্ত হয়ে থাকতে পারে। বিল ও বিমার দাবি-সংক্রান্ত তথ্যও ঘটনার আওতায় ছিল। এসব তথ্য প্রতারণামূলক স্বাস্থ্যসেবা দাবি, চিকিৎসাসেবায় পরিচয় চুরি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বিমাসংক্রান্ত প্রতারণায় কাজে লাগতে পারে।

ব্যক্তিগত তথ্যক্ষেত্রের মধ্যে ছিল নাম, Social Security নম্বর, ড্রাইভিং লাইসেন্স বা অন্য সরকারি পরিচয়পত্রের নম্বর এবং করদাতা শনাক্তকরণ নম্বর। IRS-এর ইস্যু করা পরিচয় সুরক্ষা PIN এবং সুনির্দিষ্ট ভৌগোলিক অবস্থানের তথ্যও ঘটনার আওতায় ছিল। ক্রেডিট বা ডেবিট কার্ড নম্বর এবং আর্থিক অ্যাকাউন্টের তথ্য বা লগইন তথ্যও জড়িত ছিল, যা কর, সরকারি সহায়তা ও নতুন অ্যাকাউন্ট খোলাসংক্রান্ত প্রতারণার ঝুঁকি বাড়ায়।

ফাইলগুলোতে আঙুলের ছাপ ও হাতের তালুর ছাপের মতো বায়োমেট্রিক তথ্য এবং অনলাইন অ্যাকাউন্টের লগইন তথ্য ছিল। পাসওয়ার্ড পরিবর্তন করা যায়, কিন্তু বায়োমেট্রিক বৈশিষ্ট্য স্থায়ী হওয়ায় এর পরিণতি আরও দীর্ঘস্থায়ী হয়। এই বিস্তৃত তালিকার অর্থ এই নয় যে প্রত্যেক ব্যক্তির প্রতিটি তথ্যক্ষেত্র সেখানে ছিল।

সেবা সমন্বয়কারী সহযোগী NADAP-কে ঘিরে আলাদা একটি ঘটনাও প্রায় একই সময়ে NYC Health + Hospitals-এর রোগীদের প্রভাবিত করে। নভেম্বর 2025-এর সেই ঘটনায় প্রায় 5,086 জন জড়িত ছিলেন এবং নাম, জন্মতারিখ, ঠিকানা, Medicaid নম্বর, Social Security নম্বর ও বাড়িতে দেওয়া চিকিৎসাসেবা-সংক্রান্ত তথ্য ফাঁস হয়।

NADAP-এর ঘটনাটিতে প্রতিষ্ঠান, শনাক্ত করার তারিখ এবং বিজ্ঞপ্তির আওতা ভিন্ন ছিল। তাই সেটিকে 18 লাখ মানুষের নেটওয়ার্কভিত্তিক তথ্য ফাঁসের ঘটনায় যোগ করা হয়নি। এভাবে আলাদা রাখায় সম্ভাব্য দ্বৈত গণনা এবং পৃথক ঘটনাকে এক করে ফেলা এড়ানো যায়।

2020 থেকে 2 ফেব্রুয়ারি 2026 পর্যন্ত সময়ের মধ্যে যাঁরা রোগী ছিলেন বা প্রতিষ্ঠানের কর্মীবাহিনীর সদস্য ছিলেন, তাঁদের জন্য NYC Health + Hospitals বিনা খরচে 24 মাসের ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সুবিধা দেওয়ার প্রস্তাব করেছে। আপনি বিজ্ঞপ্তি পেয়ে থাকলে ক্রেডিট রিপোর্ট, কর ও সরকারি সহায়তাসংক্রান্ত অ্যাকাউন্ট, কার্ড এবং ব্যাংক লেনদেন নজরে রাখুন। আপনার Social Security নম্বর জড়িত থাকলে ক্রেডিট রিপোর্ট ফ্রিজ করার কথাও বিবেচনা করুন।

চিকিৎসা বা বিমার বিবরণীতে অপরিচিত সেবা ও দাবি দেখা গেলে তা জানান। আপনার বায়োমেট্রিক বা অনলাইন অ্যাকাউন্টের তথ্য জড়িত থাকলে অপ্রত্যাশিত যাচাইয়ের অনুরোধ সম্পর্কে সতর্ক থাকুন এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করুন।