Palomar Health Medical Group-এর 2024 সালের তথ্য ফাঁস

প্রধান প্রমাণ হলো PHMG-এর নিজস্ব ডোমেইনে থাকা 3 জুলাই 2024 তারিখের “তথ্য-সংক্রান্ত ঘটনার বিজ্ঞপ্তি” PDF। তদন্ত চলাকালে প্রকাশিত এই বিজ্ঞপ্তিতে অনুমোদনহীন প্রবেশের সময়সীমা উল্লেখ করা হয়েছে, বলা হয়েছে যে ফাইলগুলো কপি করা হয়ে থাকতে পারে এবং কিছু ফাইল পুনরুদ্ধারের অযোগ্য হয়ে থাকতে পারে। প্রতিষ্ঠানটি স্পষ্টভাবে আরও জানায়, ওই পর্যায়ে ঠিক কোন কোন ব্যক্তি ও তথ্য ক্ষতিগ্রস্ত হয়েছে, তা তারা তখনও শনাক্ত করতে পারেনি।

দ্বিতীয় উৎস হলো পুনরায় জারি করা বিজ্ঞপ্তি, যা 15 অক্টোবর 2025 তারিখে ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের দপ্তরে জমা দেওয়া হয়। এতে নিশ্চিত করা হয়েছে যে তথ্য পর্যালোচনা 4 সেপ্টেম্বর 2025 তারিখে শেষ হয় এবং তাতে বর্তমান ও সাবেক রোগীদের তথ্য ক্ষতিগ্রস্ত হয়ে থাকতে পারে বলে দেখা যায়। তৃতীয় উৎস হলো HHS/OCR-এর এন্ট্রি, যেখানে ফেডারেল হিসাবে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 501, ঘটনার ধরন এবং ঘটনাস্থল হিসেবে নেটওয়ার্ক সার্ভারের উল্লেখ রয়েছে।

প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। 3 জুলাই প্রথম অনলাইন বিজ্ঞপ্তি প্রকাশের সময় ফাইল ও সংশ্লিষ্ট ব্যক্তিদের তথ্য পর্যালোচনা তখনও চলছিল। এ কারণেই ওই ঘোষণায় ক্ষতিগ্রস্ত ব্যক্তিদের চূড়ান্ত মোট সংখ্যা দেওয়া হয়নি।

PHMG 4 সেপ্টেম্বর 2025 তারিখে ফাইলগুলোর পূর্ণাঙ্গ পর্যালোচনা শেষ করে। যারা আগে বিজ্ঞপ্তি না-ও পেয়ে থাকতে পারেন, তাদের কাছে পৌঁছাতে এবং 2024 সালের ঘটনাটি সম্পর্কে সচেতনতা বাড়াতে প্রতিষ্ঠানটি 15 অক্টোবর আবার বিজ্ঞপ্তি জারি করে। HHS/OCR-এর এন্ট্রি জমা দেওয়ার তারিখ 8 মে 2026 হলেও তা নতুন কোনো সাইবার হামলার ইঙ্গিত দেয় না; ফেডারেল এন্ট্রি ও প্রতিষ্ঠানের নথিগুলো 2024 সালের এপ্রিল-মে মাসে প্রবেশের একই সময়সীমাকে নির্দেশ করে।

প্রতিষ্ঠানের হালনাগাদ বিজ্ঞপ্তি অনুযায়ী, জড়িত তথ্যের ধরন ব্যক্তিভেদে ভিন্ন। তালিকাভুক্ত পরিচয় ও আর্থিক তথ্যের মধ্যে রয়েছে নাম, ঠিকানা, জন্মতারিখ, সামাজিক নিরাপত্তা নম্বর, ড্রাইভিং লাইসেন্স, অঙ্গরাজ্যের পরিচয়পত্র, সামরিক পরিচয়পত্র, পাসপোর্ট এবং যুক্তরাষ্ট্রে বিদেশি নিবন্ধন নম্বর। আর্থিক অ্যাকাউন্ট, পেমেন্ট কার্ড ও স্বাস্থ্য সঞ্চয়ী অ্যাকাউন্টের তথ্যও সম্ভাব্য ক্ষতিগ্রস্ত তথ্যের পরিসরে রয়েছে।

স্বাস্থ্য ও অ্যাকাউন্ট-সংক্রান্ত তথ্যের মধ্যে রয়েছে চিকিৎসার ইতিহাস, রোগনির্ণয় ও চিকিৎসার তথ্য, বায়োমেট্রিক তথ্য, চিকিৎসা নথির নম্বর, Medicare বা Medicaid-এর পরিচয়সংক্রান্ত তথ্য, রোগীর অ্যাকাউন্ট নম্বর এবং স্বাস্থ্যবিমার তথ্য। ইমেইল ঠিকানা ও পাসওয়ার্ডের জোড়া এবং ব্যবহারকারীর নাম ও পাসওয়ার্ডের জোড়াও তালিকাভুক্ত আছে। এই তালিকা থেকে এমনটা বোঝা যায় না যে সব 501 জনের ক্ষেত্রে প্রতিটি তথ্যের ধরন প্রযোজ্য ছিল; কোনো ব্যক্তির জন্য কোন ধরনের তথ্য প্রাসঙ্গিক, তা জানার সবচেয়ে নির্ভরযোগ্য উৎস হলো তাকে পাঠানো ব্যক্তিগত বিজ্ঞপ্তির চিঠি।

প্রকাশ্য HHS/OCR ফেডারেল তথ্য ফাঁসের তালিকায় Palomar Health Medical Group-এর জন্য ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 501 দেখানো হয়েছে। আনুষ্ঠানিক উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির যে ব্যাপ্তির কথা জানানো হয়েছে, তা নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। তবে PHMG 2024 সালের জুলাইয়ে সব রোগীর উদ্দেশে যে সাধারণ সতর্কবার্তা দিয়েছিল, তা ব্যক্তিভিত্তিক পর্যালোচনা শেষ হওয়ার আগেই জারি করা হয়। তাই 501-কে সাধারণ বিজ্ঞপ্তিটি দেখেছেন এমন সবার সংখ্যা বা প্রতিষ্ঠানের মোট রোগীর সংখ্যা হিসেবে ধরা উচিত নয়।

এই সংখ্যাগুলো ভিন্ন ভিন্ন প্রশ্নের উত্তর দেয়; একটির পরিবর্তে অন্যটি ব্যবহার করা উচিত নয়।

একই পাসওয়ার্ড অন্য কোথাও পুনরায় ব্যবহার করা হলে ইমেইল ও পাসওয়ার্ডের জোড়া ক্রেডেনশিয়াল স্টাফিং হামলায় কাজে লাগতে পারে। PHMG বা সংশ্লিষ্ট স্বাস্থ্যসেবা পোর্টালের পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টের পাসওয়ার্ডের সঙ্গে মেলা উচিত নয়। ইমেইল ও আর্থিক অ্যাকাউন্টে পুনরায় ব্যবহার করা লগইন তথ্য আগে বদলানো উচিত। বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। অপ্রত্যাশিত পাসওয়ার্ড রিসেট, পেমেন্ট কার্ড বা স্বাস্থ্য অ্যাকাউন্ট-সংক্রান্ত বার্তার লিংক ব্যবহার না করে পরিচিত ঠিকানার মাধ্যমে অ্যাকাউন্টে প্রবেশ করা উচিত।

সামাজিক নিরাপত্তা নম্বর, সরকারি পরিচয়পত্র ও আর্থিক অ্যাকাউন্টের তথ্য একত্রে ব্যবহার করে নতুন অ্যাকাউন্ট খুলে প্রতারণা করা সহজ হতে পারে। অন্যদিকে বিমা, রোগীর অ্যাকাউন্ট, রোগনির্ণয় ও চিকিৎসার তথ্য চিকিৎসাসেবায় পরিচয় চুরির কাজে ব্যবহার করা যেতে পারে। ক্রেডিট রিপোর্ট, ব্যাংক ও কার্ডের লেনদেন এবং বিমা সুবিধার ব্যাখ্যামূলক বিবরণ পরীক্ষা করা উচিত। অপরিচিত কোনো সেবাদাতা, সেবা, বিমা দাবি বা বিল দেখা গেলে আনুষ্ঠানিক যোগাযোগমাধ্যমে বিমা প্রতিষ্ঠান ও স্বাস্থ্যসেবা প্রতিষ্ঠানকে জানানো উচিত।

PHMG জানায়, তারা ঘটনাটি তদন্ত করেছে, নেটওয়ার্ক পরিবেশ সুরক্ষিত করার পদক্ষেপ নিয়েছে, আইন প্রয়োগকারী সংস্থা ও সংশ্লিষ্ট নিয়ন্ত্রক কর্তৃপক্ষকে জানিয়েছে এবং বিদ্যমান নিরাপত্তা প্রক্রিয়া জোরদার করেছে। তাদের প্রাথমিক ও হালনাগাদ প্রকাশ্য বিবৃতিতে বলা হয়েছে, ঘটনাটির সঙ্গে সম্পর্কিত তথ্যের অপব্যবহার বা অপব্যবহারের চেষ্টার কোনো প্রমাণ তারা দেখেনি। এই বক্তব্য ভবিষ্যতে কখনো অপব্যবহার ঘটবে না, এমন নিশ্চয়তা দেয় না।

আপনি PHMG-এর ব্যক্তিগত বিজ্ঞপ্তির চিঠি পেয়ে থাকলে, আপনার কোন ধরনের তথ্য ক্ষতিগ্রস্ত হয়েছে এবং প্রতিষ্ঠান কী কী সুরক্ষার ব্যবস্থা দিয়েছে, তা জানতে ওই চিঠির ওপর নির্ভর করুন। চিঠি না পেয়ে থাকলেও আপনার কোনো প্রশ্ন থাকলে PHMG-এর বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যম ব্যবহার করুন। LeakData-এর কোনো ঘটনার পৃষ্ঠা দেখার অর্থ এই নয় যে দর্শনার্থী ক্ষতিগ্রস্ত ব্যক্তিদের মধ্যে আছেন; পৃষ্ঠাটি যাচাইকৃত ঘটনা ও ব্যবহারিক সতর্কতা নথিভুক্ত করে। পরিচয় বা চিকিৎসাতথ্যের অপব্যবহারের প্রমাণ সংরক্ষণ করা এবং দ্রুত সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে জানানো উচিত।