OpenLoop Health-এর 2026 সালের তথ্য ফাঁস

প্রতিষ্ঠানটি 2026 সালের 7 জানুয়ারি জানতে পারে যে একটি অননুমোদিত পক্ষ নির্দিষ্ট কিছু সিস্টেমে প্রবেশ করেছে। এরপর প্রতিষ্ঠানটি ঘটনা মোকাবিলায় ব্যবস্থা নিতে শুরু করে। সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় পরিচালিত তদন্তে নিশ্চিত হয় যে তৃতীয় পক্ষটি 7 ও 8 জানুয়ারি সিস্টেমে ছিল এবং ওই সময়ে নির্দিষ্ট কিছু ফাইল কপি করেছিল। এই ফলাফলের ভিত্তিতে তথ্য সংগ্রহের বিষয়টি প্রতিষ্ঠান নিজেই নিশ্চিত করেছে; এটি কেবল তথ্য দেখা হয়ে থাকতে পারে, এমন সম্ভাবনা নয়।

HHS OCR ঘটনাটিকে হ্যাকিং/IT-সংক্রান্ত ঘটনা হিসেবে, তথ্যের অবস্থানকে নেটওয়ার্ক সার্ভার হিসেবে এবং OpenLoop-কে ব্যবসায়িক সহযোগী হিসেবে তালিকাভুক্ত করেছে। HIPAA Journal ক্যালিফোর্নিয়ার বিজ্ঞপ্তির সঙ্গে কেন্দ্রীয় সরকারের নথি তুলনা করে সিস্টেমে প্রবেশাধিকার থাকার সময়কাল, ফাইল কপি করা এবং 7,16,000 জন প্রভাবিত হওয়ার পরিসর সম্পর্কে প্রতিবেদন প্রকাশ করেছে। সূত্রগুলো প্রাথমিকভাবে সিস্টেমে প্রবেশের কৌশল নিশ্চিত করেনি বা হামলাটিকে কোনো নির্দিষ্ট নামের র‍্যানসমওয়্যার গোষ্ঠীর কাজ বলে চিহ্নিত করেনি।

প্রকাশ্য সূত্র থেকে যাচাই করা সম্ভব এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। অননুমোদিত কার্যকলাপ 8 জানুয়ারি শেষ হয়। ঘটনাটি জানার পর প্রতিষ্ঠানটি তার সিস্টেমগুলো সুরক্ষিত করে এবং কোন ফাইলগুলো কপি করা হয়েছিল তা শনাক্ত করতে সেগুলোর বিষয়বস্তু পর্যালোচনা করে। ঘটনা শনাক্ত হওয়ার, প্রবেশাধিকার শেষ হওয়ার এবং বিজ্ঞপ্তি দেওয়ার তারিখগুলোকে ঘটনার শুরুর তারিখ থেকে আলাদা রাখা হয়েছে।

OpenLoop পরে প্রভাবিত ব্যক্তিদের অবহিত করে। ঘটনাটি 2026 সালের 17 মার্চ কেন্দ্রীয় সরকারের HHS পোর্টালে জমা দেওয়া হয়। মে মাসে হালনাগাদ করা সংবাদ প্রতিবেদনে কেন্দ্রীয় সরকারের নথিতে থাকা মোট 7,16,000 জনের সংখ্যাটির সমর্থন পাওয়া যায়। অল্প সময় প্রবেশাধিকার থাকলেও ঝুঁকি দূর হয়ে যায় না: ফাইল কপি করার বিষয়টি নিশ্চিত হওয়ার অর্থ হলো তথ্য প্রভাবিত সিস্টেমগুলো থেকে বাইরে চলে গেছে।

প্রকাশিত বিবরণ অনুযায়ী, ব্যক্তিগত তথ্যের মধ্যে ছিল নাম, বসবাসের ঠিকানা, ইমেইল ঠিকানা ও জন্মতারিখ। কপি করা ফাইলগুলোতে চিকিৎসাসংক্রান্ত তথ্যও ছিল। তবে প্রতিষ্ঠানটির বিজ্ঞপ্তিতে রোগনির্ণয়, চিকিৎসা বা ব্যবস্থাপত্রের মতো আরও নির্দিষ্ট তথ্যের ধরনগুলো আলাদাভাবে উল্লেখ করা হয়নি।

প্রত্যেক ব্যক্তির তথ্য একরকম ছিল না, এবং প্রকাশিত বিবরণে বলা হয়নি যে সব প্রভাবিত ব্যক্তির ক্ষেত্রে প্রতিটি ধরনের তথ্যই ছিল। যাচাই না করা ব্যক্তিসংখ্যা, তথ্যের ধরন এবং সাইবার হামলাকারীদের দাবি প্রকাশ্যভাবে জানা ঘটনার পরিসরের অংশ হিসেবে ধরা হয় না। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পাসওয়ার্ড ও বায়োমেট্রিক তথ্যও ঘটনার নিশ্চিত অংশ হিসেবে প্রকাশ করা হয়নি, তাই সেগুলো এখানে যোগ করা হয়নি।

সরকারি সূত্রে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির জানানো পরিসরকে নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রেই প্রযোজ্য ছিল। HIPAA অনুযায়ী অবহিতকরণের বাধ্যবাধকতা পূরণ করতে প্রতিষ্ঠানটি কেন্দ্রীয় কর্তৃপক্ষকে এই পরিসরই জানিয়েছিল। LeakData সংখ্যাটি রাউন্ড করে না, সংবাদ শিরোনাম থেকে নতুন করে হিসাব করে না এবং বিভিন্ন গ্রাহকগোষ্ঠীর জন্য অনুমানভিত্তিক আলাদা সংখ্যা তৈরি করে না।

Stuckin2019 নাম ব্যবহারকারী এক সাইবার হামলাকারী 16 লাখ রোগীর তথ্য সংগ্রহ করার দাবি করে এবং বলে যে নমুনা প্রকাশ করা হয়েছে। OpenLoop ওই বড় সংখ্যাটি নিশ্চিত করেনি; অন্যদিকে নির্ভরযোগ্য সরকারি নথিতে 7,16,000 জনের কথা উল্লেখ রয়েছে। তাই হামলাকারীর দাবি মোট সংখ্যায় যোগ করা হয়নি এবং এই দুই সংখ্যাকে একত্র করা হয়নি।

একটি ব্যবসায়িক সহযোগীর তথ্য ফাঁসের প্রভাব কোনো একক সরাসরি সেবাদাতার ঘটনার তুলনায় আরও বিস্তৃত চিকিৎসাসেবা নেটওয়ার্কে ছড়াতে পারে। ঠিকানা ও জন্মতারিখের মতো পরিচয়সংক্রান্ত তথ্যের সঙ্গে চিকিৎসাসংক্রান্ত তথ্য যুক্ত হলে স্বাস্থ্যসেবা প্রতিষ্ঠান সেজে ফিশিং, ভুয়া বিল পাঠানো বা সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে প্রতারণার চেষ্টা আরও বিশ্বাসযোগ্য মনে হতে পারে। তবে সূত্রগুলোতে বলা হয়নি যে তথ্যের অপব্যবহার শনাক্ত হয়েছে।

প্ল্যাটফর্ম সরবরাহকারী হিসেবে OpenLoop-এর ভূমিকার কারণে নথিটি প্রতিষ্ঠানটির নামেই রাখা হয়েছে; প্রতিটি গ্রাহকের জন্য নিশ্চিত নয় এমন আলাদা তথ্য ফাঁসের এন্ট্রি তৈরি করা হয়নি। HHS-এর নথির সারিতে ব্যবসায়িক সহযোগী হিসেবে শ্রেণিবিন্যাস এই সরবরাহকারী সম্পর্কের সমর্থন দেয়। এই এন্ট্রি শুধু জানুয়ারির একই প্রবেশাধিকারকাল ও কেন্দ্রীয় সরকারের প্রতিবেদনের আওতায় নিশ্চিত করা 7,16,000 জনকে অন্তর্ভুক্ত করে।

OpenLoop প্রভাবিত ব্যক্তিদের বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সেবা দেওয়ার প্রস্তাব করেছে। আপনি বিজ্ঞপ্তি পেয়ে থাকলে আপনার চিঠিতে উল্লেখ করা প্রভাবের পরিসর পর্যালোচনা করুন, ক্রেডিট রিপোর্ট ও স্বাস্থ্যবিমার সেবাসংক্রান্ত বিবরণী নজরে রাখুন এবং অপরিচিত সেবা বা বিমা দাবি দেখলে সংশ্লিষ্ট প্রতিষ্ঠানকে জানান। সোশ্যাল সিকিউরিটি নম্বর প্রভাবিত হয়নি বলে জানানো হলেও, স্বাস্থ্যসেবা নিয়ে অপ্রত্যাশিত বার্তা বা যোগাযোগের ক্ষেত্রে সতর্ক থাকা উচিত।

কারও নাম, ঠিকানা, ইমেইল ঠিকানা ও জন্মতারিখ ব্যবহার করা বার্তা দেখে মনে হতে পারে যে সেটি সত্যিকারের কোনো স্বাস্থ্যসেবা প্রদানকারীর কাছ থেকে এসেছে। বার্তার ভেতরের লিংক ব্যবহার না করে আপনার পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যম ব্যবহার করুন এবং অর্থ পরিশোধ বা পাসওয়ার্ড চেয়ে আসা অপ্রত্যাশিত অনুরোধ আলাদাভাবে যাচাই করুন।