Oak Hill-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রাথমিক সূত্র হলো Oak Hill-এর নিজস্ব ডোমেইনে প্রকাশিত “তথ্য নিরাপত্তাসংক্রান্ত ঘটনার বিজ্ঞপ্তি”। প্রতিষ্ঠানটি সরাসরি ঘটনার তারিখ, বাইরের বিশেষজ্ঞদের সহায়তায় তদন্ত, নির্দিষ্ট কিছু অ্যাকাউন্টের ফাইলে প্রবেশ বা সেগুলো সংগ্রহ, 13 মে ব্যক্তিগত তথ্য থাকার বিষয়টি শনাক্ত করা, তথ্যের ধরন, 30 জুনের বিজ্ঞপ্তি, অপব্যবহার সম্পর্কে মূল্যায়ন এবং সহায়তা ফোন নম্বরের বিবরণ দিয়েছে।

Claim Depot স্বতন্ত্রভাবে প্রতিষ্ঠানটির আনুষ্ঠানিক বিজ্ঞপ্তির সারসংক্ষেপ দিয়েছে এবং The Connecticut Institute for the Blind Inc. dba Oak Hill-এর সঙ্গে ঘটনাটির সম্পর্ক নিশ্চিত করেছে। প্রবেশের ধরন, ঘটনাক্রম এবং পরিচয় ও স্বাস্থ্যসংক্রান্ত তথ্যের পরিধি নিয়ে দুটি সূত্রের বিবরণ মিলে যায়। দ্বিতীয় সূত্রের পৃষ্ঠায় ব্যবহৃত সাধারণ শ্রেণিবাচক নামের ভিত্তিতে প্রতিষ্ঠানটির স্পষ্টভাবে তালিকাভুক্ত তথ্যের বাইরে অন্য কোনো তথ্যকে অন্তর্ভুক্ত ধরা হয় না।

6 অক্টোবরের কাছাকাছি সময়ে Oak Hill-এ একটি নিরাপত্তাসংক্রান্ত ঘটনা ঘটে। বিষয়টি জানার পর প্রতিষ্ঠানটি বিস্তারিত তদন্ত শুরু করে। একই ধরনের ঘটনা নিয়ে কাজ করার অভিজ্ঞতাসম্পন্ন বাইরের সাইবার নিরাপত্তা পেশাজীবীদের যুক্ত করা হয়। তাঁদের বিশ্লেষণে দেখা যায়, Oak Hill-এর নেটওয়ার্কে প্রভাবিত কিছু অ্যাকাউন্টের ফাইলে অননুমোদিত প্রবেশ বা সেগুলো সংগ্রহের ঘটনা ঘটেছিল। এরপর ফাইলগুলোতে ব্যক্তিগত তথ্য ছিল কি না তা নির্ধারণ করতে সেগুলো পর্যালোচনা করা হয়।

প্রকাশ্য পৃষ্ঠাটিতে প্রাথমিকভাবে প্রবেশের পদ্ধতি, অ্যাকাউন্টের ধরন, ঘটনার জন্য দায়ী ব্যক্তি বা পক্ষ, ম্যালওয়্যার, শুরু ও শেষের সুনির্দিষ্ট সময়, মুক্তিপণ দাবি বা তথ্য প্রকাশের বিষয় উল্লেখ করা হয়নি। “অননুমোদিত প্রবেশ বা সংগ্রহ” থেকে প্রতিটি ফাইল কপি করা হয়েছে বলে প্রমাণিত হয় না। তবে আনুষ্ঠানিক তদন্তের মাধ্যমে এটি নিশ্চিত হয় যে বাইরে থেকে প্রবেশ ঘটেছিল এবং তথ্য বের করে নেওয়ার সম্ভাব্য ঝুঁকি ছিল।

প্রভাবিত ফাইলগুলোতে পূর্ণ নামের সঙ্গে জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্সের নম্বর বা অঙ্গরাজ্যের পরিচয়পত্রের নম্বর থাকতে পারে। Oak Hill স্পষ্টভাবে জানিয়েছে, প্রত্যেক ব্যক্তির ক্ষেত্রে সব ধরনের তথ্য প্রভাবিত হয়নি। পুরো ঘটনার জন্য উল্লিখিত তথ্যের ধরনগুলো সম্ভাব্য সর্বোচ্চ পরিধি বোঝায়। অন্যদিকে, কোনো ব্যক্তিকে পাঠানো বিজ্ঞপ্তির চিঠিতে সেই প্রাপকের ক্ষেত্রে শনাক্ত করা তথ্যের ধরন উল্লেখ থাকে।

নাম, জন্মতারিখ, SSN এবং সরকারি পরিচয়পত্রের তথ্য একসঙ্গে থাকলে জালিয়াতির মাধ্যমে ঋণ নেওয়া, করসংক্রান্ত কাজে পরিচয়ের অপব্যবহার, নথি ব্যবহার করে পরিচয় জালিয়াতি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের দীর্ঘমেয়াদি ঝুঁকি তৈরি হয়। প্রাপকদের প্রধান তিনটি ক্রেডিট ব্যুরোর প্রতিটিতে বিনামূল্যে ক্রেডিট ফ্রিজ করা বা জালিয়াতি সতর্কতা যোগ করা এবং IRS Identity Protection PIN নেওয়ার কথা বিবেচনা করা উচিত। Oak Hill থেকে পাঠানো হয়েছে বলে দাবি করা বার্তায় SSN, পরিচয়পত্রের ছবি বা যাচাইকরণ কোড দেওয়া উচিত নয়।

Oak Hill সম্ভাব্য প্রভাবিত তথ্যের তালিকায় চিকিৎসাসংক্রান্ত তথ্য এবং স্বাস্থ্যবীমার তথ্য স্পষ্টভাবে উল্লেখ করেছে। এসব তথ্যের মাধ্যমে কোনো ব্যক্তির সঙ্গে প্রতিবন্ধিতা, স্বাস্থ্যসেবা বা বীমাসংক্রান্ত সম্পর্কের যোগসূত্র পাওয়া যেতে পারে। এগুলো চিকিৎসাসংক্রান্ত পরিচয় জালিয়াতি বা প্রকৃত সেবা গ্রহণের প্রেক্ষাপট কাজে লাগিয়ে প্রতারণামূলক যোগাযোগের জন্য ব্যবহৃত হতে পারে। প্রতিষ্ঠানটি শিশু ও প্রাপ্তবয়স্কদের নানা ধরনের সেবা দেয় বলে প্রাপকেরা এর নাম দেখেই চিনতে নাও পারেন।

আনুষ্ঠানিক বিজ্ঞপ্তিতে রোগনির্ণয়, চিকিৎসা, ব্যবস্থাপত্র, চিকিৎসা নথির নম্বর, সেবা গ্রহণের তারিখ, সেবাদাতার নাম, পরীক্ষাগারের ফলাফল, পলিসি নম্বর বা সদস্য নম্বর আলাদাভাবে প্রকাশ করা হয়নি। LeakData এসব তথ্য অন্তর্ভুক্ত ছিল বলে ধরে নেয় না। সংশ্লিষ্ট ব্যক্তিদের বীমার আওতায় প্রদত্ত সুবিধার ব্যাখ্যাসংবলিত বিবরণী, স্বাস্থ্যসেবা পোর্টাল ও বীমার নথি পর্যালোচনা করে অচেনা সেবা, সেবাদাতা, দাবি বা যোগাযোগের তথ্যের পরিবর্তন খুঁজে দেখা উচিত। সন্দেহজনক কোনো তথ্য পেলে সরাসরি সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে তা যাচাই করা উচিত।

প্রকাশ্য বিজ্ঞপ্তি দেওয়ার তারিখে Oak Hill জানিয়েছিল, এই ঘটনার কারণে পরিচয় জালিয়াতি বা আর্থিক জালিয়াতি ঘটেছে বলে তাদের জানা ছিল না। তারা আরও জানিয়েছিল, চিকিৎসাসংক্রান্ত তথ্য অনভিপ্রেত উদ্দেশ্যে ব্যবহার করা হয়েছে বা হবে (এমন কোনো তথ্য তাদের কাছে ছিল না। এই মূল্যায়নগুলো নির্দিষ্ট সময়ের পরিস্থিতির ওপর ভিত্তি করে করা। যেসব তথ্যে প্রবেশ ঘটে থাকতে পারে, সেগুলো পরেও থেকে যেতে পারে বলে ভবিষ্যতে অপব্যবহার হবে না) এমন নিশ্চয়তা এসব মূল্যায়ন দিতে পারে না।

প্রাপকদের নিয়মিত আর্থিক অ্যাকাউন্টের কার্যক্রম, ক্রেডিট রিপোর্ট এবং স্বাস্থ্যবীমার আওতায় প্রদত্ত সুবিধার ব্যাখ্যাসংবলিত বিবরণী পর্যবেক্ষণ করা উচিত। অচেনা অ্যাকাউন্ট, ক্রেডিট যাচাইয়ের অনুরোধ, সেবা বা দাবি দেখলে দ্রুত জানানো উচিত। সাধারণ নির্দেশনায় আর্থিক অ্যাকাউন্ট বা কার্ডের তথ্য প্রভাবিত হলে ব্যাংকের সঙ্গে যোগাযোগ করতে বলা হলেও Oak Hill-এর ঘটনার বিবরণে এসব তথ্য প্রভাবিত হওয়ার বিষয়টি নিশ্চিত করা হয়নি। সুরক্ষামূলক ব্যবস্থার একটি উদাহরণকে এই ঘটনায় প্রভাবিত তথ্যের ধরন হিসেবে গণ্য করা যায় না।

একই ব্যক্তিকে একাধিকবার গণনা না করে সারা দেশে প্রভাবিত ব্যক্তির মোট সংখ্যা প্রকাশ্য সূত্রগুলোতে জানানো হয়নি।

প্রতিষ্ঠানটি বাইরের বিশেষজ্ঞদের সহায়তায় তদন্ত করেছে, ফাইল পর্যালোচনা করেছে এবং যাঁদের SSN জড়িত থাকতে পারে, তাঁদের বিনামূল্যে ক্রেডিট পর্যবেক্ষণ সেবা দেওয়ার প্রস্তাব করেছে। প্রশ্ন করতে এবং কেউ প্রভাবিত হয়েছেন কি না তা যাচাই করতে কর্মদিবসে সকাল 8টা থেকে বিকেল 5টা ET পর্যন্ত 1-877-418-8555 নম্বরে যোগাযোগ করা যায়। প্রাপকদের কেবল তাঁদের ব্যক্তিগত চিঠিতে দেওয়া নির্দেশনা অনুসরণ করেই এই সেবায় নিবন্ধন করা উচিত।