Pierce County Library System-এর 2025 সালের তথ্য ফাঁস

সংবাদ প্রতিবেদনে উদ্ধৃত PCLS-এর ঘটনা-সংক্রান্ত বিবৃতিতে বলা হয়েছে, হামলাকারীরা গ্রন্থাগারের নেটওয়ার্কে প্রবেশ করে এবং এর সিস্টেমগুলো থেকে কিছু তথ্য হাতিয়ে নেয়। ঘটনা শনাক্ত হওয়ার পর সংস্থাটি এর ধরন ও পরিধি তদন্ত করে এবং ক্ষতিগ্রস্ত তথ্যের ধরনগুলো চিহ্নিত করে। SecurityWeek সংস্থার নোটিশ ও নিয়ন্ত্রক সংস্থার কাছে দাখিল করা নথি স্বাধীনভাবে পর্যালোচনা করে অননুমোদিত প্রবেশের সময়সীমা, ক্ষতিগ্রস্ত গোষ্ঠী এবং তথ্যের ক্ষেত্রগুলো সম্পর্কে প্রতিবেদন প্রকাশ করে।

মেইন অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের কাছে দাখিল করা নথিতে নিশ্চিত করা হয়েছে যে 3,40,101 জনকে অবহিত করার আওতায় রাখা হয়েছিল এবং লিখিত নোটিশ পাঠানো হচ্ছিল। PCLS প্রকাশ্যে হামলাকারীর পরিচয় বা প্রথম প্রবেশের কৌশল জানায়নি, আর পরিচিত কোনো র‍্যানসমওয়্যার গোষ্ঠী ঘটনাটির দায় স্বীকার করেনি। যাচাই না করা ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং হামলাকারীদের দাবিকে এই ঘটনার প্রকাশ্য পরিধির অংশ হিসেবে ধরা হয়নি।

তদন্তে নির্ধারিত হয়েছে যে হামলাকারীরা 2025 সালের 15 এপ্রিল থেকে 21 এপ্রিল পর্যন্ত PCLS-এর নেটওয়ার্কে প্রবেশ করেছিল। এই ছয় দিনের সময়সীমায় সিস্টেমগুলো থেকে কিছু তথ্য হাতিয়ে নেওয়া হয়েছিল। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন সবচেয়ে আগের প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। ঘটনা শনাক্ত করা এবং সংশ্লিষ্ট ব্যক্তিদের অবহিত করা হয় পরে, তবে ক্ষতিগ্রস্ত ব্যক্তিদের এই প্রবেশের সময়সীমার সঙ্গে যুক্ত একটি ঘটনার আওতায় নথিভুক্ত করা হয়েছে।

ঘটনা শনাক্ত হওয়ার পর PCLS এর ধরন ও পরিধি নির্ধারণ, কোন তথ্য ক্ষতিগ্রস্ত হয়ে থাকতে পারে তা চিহ্নিত করা এবং সংশ্লিষ্ট ব্যক্তিদের অবহিত করার দায়িত্ব পালনে কাজ করে। প্রকাশ্য সূত্রে প্রথম প্রবেশের পথ, ক্ষতিগ্রস্ত সার্ভারের সংখ্যা বা তথ্য বাইরে নিয়ে যাওয়ার সুনির্দিষ্ট পদ্ধতি বর্ণনা করা হয়নি। এই রেকর্ডে অনুপস্থিত বিবরণগুলো অনুমান দিয়ে পূরণ করা হয়নি।

গ্রন্থাগার ব্যবহারকারীদের ক্ষেত্রে নিশ্চিত তথ্যের ক্ষেত্রগুলো হলো নাম ও জন্মতারিখ। বই ধার নেওয়ার ইতিহাস, পড়ার পছন্দ, গ্রন্থাগার কার্ডের পাসওয়ার্ড, ইমেইলের বিষয়বস্তু বা পেমেন্ট কার্ডকে সূত্রগুলো ব্যবহারকারীদের যাচাইকৃত ক্ষতিগ্রস্ত তথ্যের আওতায় রাখেনি। তাই গ্রন্থাগারসেবায় এ ধরনের তথ্য থাকতে পারে বলেই গ্রন্থাগার ব্যবহারের সম্ভাব্য সংবেদনশীল রেকর্ডগুলো এখানে যোগ করা হয়নি।

নাম ও জন্মতারিখ নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, অ্যাকাউন্ট পুনরুদ্ধারের ব্যবস্থার অপব্যবহার এবং অন্য ডেটাসেটের সঙ্গে তথ্য মেলানোর কাজে ব্যবহার করা যেতে পারে। যেসব ব্যবহারকারী নোটিশ পেয়েছেন, তাঁদের PCLS থেকে এসেছে বলে মনে হয় এবং পরিচয় শনাক্তকারী অতিরিক্ত তথ্য চায়, এমন বার্তা যাচাই করা উচিত। ব্যবহারকারীদের ক্ষেত্রে প্রকাশিত এই দুটি তথ্যকে কর্মী ও পরিবারের সদস্যদের জন্য উল্লেখ করা আরও বিস্তৃত সংবেদনশীল তথ্যের তালিকার সমতুল্য ধরে নেওয়া যাবে না।

বর্তমান ও সাবেক কর্মী এবং পরিবারের সদস্যদের ক্ষেত্রে সম্ভাব্য পরিধিতে নাম ও জন্মতারিখের পাশাপাশি সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর এবং পাসপোর্ট নম্বর অন্তর্ভুক্ত ছিল। আর্থিক তথ্য ও ক্রেডিট কার্ডের বিবরণও ক্ষতিগ্রস্ত তথ্যের শ্রেণি হিসেবে প্রকাশ করা হয়েছিল। পরিচয় ও আর্থিক তথ্যের এই ক্ষেত্রগুলো পরিচয় চুরি, প্রতারণামূলক অ্যাকাউন্ট খোলা এবং পেমেন্ট জালিয়াতির দীর্ঘস্থায়ী ঝুঁকি তৈরি করে।

কর্মী ও পরিবারের সদস্যদের গোষ্ঠীর ক্ষেত্রে স্বাস্থ্যবিমা ও চিকিৎসা-সংক্রান্ত তথ্যও জড়িত ছিল। সংস্থাটি বলেনি যে প্রত্যেক ক্ষতিগ্রস্ত ব্যক্তির প্রতিটি তথ্যের ক্ষেত্র এতে ছিল; তাই এই শ্রেণিগুলো গোষ্ঠীটির সম্ভাব্য পরিধি নির্দেশ করে। গ্রন্থাগার ব্যবহারকারীদের ক্ষেত্রে প্রকাশ্যে শুধু নাম ও জন্মতারিখের কথা বলা হয়েছে, তাই এই রেকর্ড থেকে বোঝানো হচ্ছে না যে সব 3,40,101 জনের চিকিৎসা বা আর্থিক তথ্য এতে ছিল।

PCLS ক্ষতিগ্রস্ত ব্যক্তিদের বারো মাস বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবা দেওয়ার প্রস্তাব দেয়। নোটিশপ্রাপ্ত ব্যক্তিদের নিবন্ধনের শেষ তারিখ দেখে নেওয়া, ক্রেডিট রিপোর্ট পর্যালোচনা করা এবং অপরিচিত অ্যাকাউন্ট বা লেনদেন সম্পর্কে জানানো উচিত। সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর বা পাসপোর্ট নম্বর জড়িত থাকলে সিকিউরিটি ফ্রিজ চালু করা, নথি প্রদানকারী সংস্থাকে সতর্ক করা এবং কর-সংক্রান্ত অ্যাকাউন্ট পর্যবেক্ষণ করা উপযুক্ত হতে পারে।

যাঁদের স্বাস্থ্যবিমা বা চিকিৎসা-সংক্রান্ত তথ্য জড়িত ছিল, তাঁদের বিবরণীতে অপরিচিত সেবা বা সেবাদাতা আছে কি না তা পর্যালোচনা করা উচিত। ক্রেডিট কার্ডের বিবরণ চিহ্নিত হয়ে থাকলে কার্ড প্রতিস্থাপন বা নজরদারি বাড়ানোর বিষয়ে কার্ড প্রদানকারীর সঙ্গে আলোচনা করা যেতে পারে। PCLS থেকে এসেছে বলে দাবি করা কল ও বার্তার ক্ষেত্রে কোনো লিংক খোলার আগে সংস্থার নিজস্ব ওয়েবসাইট থেকে নিজে আলাদাভাবে সংগ্রহ করা যোগাযোগের তথ্য ব্যবহার করে সেগুলোর সত্যতা যাচাই করা উচিত।

আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিধি নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের শ্রেণি প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এই সংখ্যায় গ্রন্থাগারের ব্যবহারকারী, কর্মী এবং পরিবারের সদস্যরা অন্তর্ভুক্ত আছেন; সূত্রগুলো প্রতিটি গোষ্ঠীর আলাদা সংখ্যা প্রকাশ করেনি, তাই কোনো উপগোষ্ঠীর মোট সংখ্যা অনুমান করে যোগ করা হয়নি। তথ্যের শ্রেণিগুলো গোষ্ঠীভিত্তিক এবং এর অর্থ এই নয় যে প্রত্যেক ব্যক্তির প্রতিটি তথ্যের ক্ষেত্র এতে ছিল।

এই রেকর্ডে নিশ্চিত হওয়া নেটওয়ার্কে প্রবেশ ও তথ্য চুরি, আনুষ্ঠানিক সূত্রে প্রকাশিত ব্যক্তির সংখ্যা এবং সুরক্ষা-সংক্রান্ত নির্দেশনা তুলে ধরা হয়েছে। PCLS বা কোনো নিয়ন্ত্রক সংস্থা আরও বিস্তারিত চূড়ান্ত প্রতিবেদন প্রকাশ করলে সেই মূল উৎসের প্রমাণের ভিত্তিতে প্রবেশের পথ ও উপগোষ্ঠীগুলোর পরিধি হালনাগাদ করা যেতে পারে।