PIH Health-এর 2024 সালের তথ্য সুরক্ষা লঙ্ঘন

PIH Health 2024 সালের 1 ডিসেম্বর কার্যক্রমে বিঘ্ন সৃষ্টিকারী আক্রমণটি শনাক্ত করে এবং সাইবার ফরেনসিক বিশেষজ্ঞদের সহায়তায় পর্যালোচনা শুরু করে। 2025 সালের 16 ডিসেম্বরের কাছাকাছি সময়ে প্রতিষ্ঠানটি নির্ধারণ করে যে নেটওয়ার্কের আক্রান্ত অংশগুলোর ফাইলে রোগীদের তথ্য ছিল এবং আক্রমণকারী সেগুলোতে প্রবেশ করে থাকতে পারে বা সেগুলো সংগ্রহ করে থাকতে পারে। এই অনুসন্ধানের ফল এবং HHS-এর প্রতিবেদন ঘটনাটিকে ব্যক্তিগত তথ্যের সুরক্ষা লঙ্ঘন হিসেবে প্রতিষ্ঠিত করে।

HHS OCR ঘটনাটিকে হ্যাকিং/IT-সংক্রান্ত ঘটনা, তথ্যের অবস্থানকে নেটওয়ার্ক সার্ভার এবং প্রতিষ্ঠানের ধরনকে স্বাস্থ্যসেবা প্রদানকারী হিসেবে তালিকাভুক্ত করেছে। PIH Health-এর হালনাগাদ বিবৃতি, নিয়ন্ত্রক সংস্থার নথি ও আক্রমণের সময়রেখা নিয়ে HIPAA Journal-এর পর্যালোচনাতেও প্রায় 2.95 মিলিয়ন রোগী ক্ষতিগ্রস্ত হওয়ার তথ্যের সমর্থন মিলেছে। সূত্রগুলো একমত যে ঘটনাটি শুধু সিস্টেম অচল হয়ে যাওয়ার মধ্যে সীমাবদ্ধ ছিল না; ব্যক্তিগত ও সুরক্ষিত স্বাস্থ্যতথ্যও এতে ক্ষতিগ্রস্ত হয়েছিল।

ফরেনসিক অনুসন্ধান অনুযায়ী, আক্রমণকারী 2024 সালের 14 নভেম্বর থেকে 23 ডিসেম্বর পর্যন্ত PIH Health-এর নেটওয়ার্কে ছিল। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রযুক্তিগত কার্যকলাপের সবচেয়ে আগের সময়টির ভিত্তিতে ঘটনার তারিখ নির্ধারিত হয়েছে। 1 ডিসেম্বর শনাক্ত হওয়া আক্রমণটি কিছু কম্পিউটার সিস্টেম ও ফোন লাইনের কার্যক্রমে বিঘ্ন ঘটায়; স্বাস্থ্যসেবা কর্মীরা সিস্টেম অচল থাকাকালীন নির্ধারিত পদ্ধতি ও হাতে লেখা নথি ব্যবহার করে সেবা চালিয়ে যান।

আক্রান্ত ফাইলগুলো বিস্তারিতভাবে পর্যালোচনা করতে এবং সংশ্লিষ্ট ব্যক্তিদের তালিকা তৈরি করতে প্রায় এক বছর সময় লাগে। 2025 সালের ডিসেম্বরে ক্ষতিগ্রস্ত সবার তালিকা পাওয়ার পর PIH Health যোগাযোগের তথ্য সংগ্রহ করে এবং বিজ্ঞপ্তি দেওয়া শুরু করে। HHS-এর তালিকাভুক্ত সারিতে প্রথম জমা দেওয়ার তারিখ হিসেবে 2025 সালের 31 জানুয়ারি রয়ে গেছে, আর বর্তমানে প্রদর্শিত 29,47,264 সংখ্যাটি পরবর্তী পরিসর-পর্যালোচনার ফল প্রতিফলিত করে।

PIH Health জানিয়েছে, তথ্যের ধরন ব্যক্তিভেদে ভিন্ন ছিল। নাম ও ডাকযোগে যোগাযোগের ঠিকানার পাশাপাশি ফাইলগুলোতে সোশ্যাল সিকিউরিটি নম্বর এবং করদাতা শনাক্তকরণ নম্বর থাকতে পারে। প্রকাশিত পরিচয়সংক্রান্ত তথ্যক্ষেত্রগুলোর মধ্যে ড্রাইভিং লাইসেন্স নম্বরও ছিল। এই তথ্যগুলো একসঙ্গে থাকায় পরিচয় চুরি, করসংক্রান্ত প্রতারণা এবং নতুন অ্যাকাউন্ট খুলে অপব্যবহারের ঝুঁকি বাড়ে।

চিকিৎসা ও স্বাস্থ্যবিমাসংক্রান্ত তথ্যও এতে জড়িত ছিল। কিছু ফাইলে আর্থিক অ্যাকাউন্টের বিবরণ এবং ক্রেডিট বা ডেবিট কার্ডের নম্বরও ছিল। সূত্রগুলো বলেনি যে 29,47,264 জনের সবার তথ্যেই প্রতিটি তথ্যক্ষেত্র ছিল; পাসওয়ার্ড, ইমেইলের বিষয়বস্তু এবং আক্রমণকারীর দাবি করা চিকিৎসাসংক্রান্ত প্রতিটি বিস্তারিত তথ্যক্ষেত্রকে প্রতিষ্ঠান কর্তৃক নিশ্চিত সামগ্রিক পরিসরের অংশ হিসেবে এখানে যুক্ত করা হয়নি।

HHS OCR-এর চলমান তদন্তের তালিকায় PIH Health Inc.-এর একটি সারিতে 29,47,264 জনের তথ্য দেখানো হয়েছে। প্রতিষ্ঠানের তথ্য পর্যালোচনার পর নির্ধারিত ক্ষতিগ্রস্ত ব্যক্তিদের সংখ্যা এটি। সরকারি সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।

HHS-এর সংখ্যাটি ক্ষতিগ্রস্ত ব্যক্তিদের বোঝায়, চুরি হওয়া ফাইল বা ডেটাবেসের সারির সংখ্যা নয়। একজন রোগীর একাধিক চিকিৎসা রেকর্ড থাকতে পারে, তাই রেকর্ডের সংখ্যা ও ব্যক্তির সংখ্যা সমান হওয়া আবশ্যক নয়।

যে আক্রমণকারীর পরিচয় প্রকাশ্যে জানা যায়নি, সে প্রায় 2 TB তথ্য এবং 17 মিলিয়ন রোগীর রেকর্ড হাতিয়ে নেওয়ার দাবি করেছিল, মুক্তিপণ চেয়েছিল এবং কিছু নমুনা অনলাইনে প্রকাশ করেছিল। ওই দাবিতে চিকিৎসার বিভিন্ন পর্ব, ক্যানসারের চিকিৎসার রেকর্ড, ব্যক্তিগত ইমেইল এবং প্রতিষ্ঠানের নথির কথা বলা হয়েছিল। PIH Health প্রথমে জানিয়েছিল যে মুক্তিপণের বার্তা বা তথ্য চুরির দাবির সত্যতা তারা যাচাই করতে পারেনি।

পরে HHS-এর নথিতে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 29,47,264 হওয়া ইঙ্গিত দেয় যে 17 মিলিয়ন রেকর্ডের দাবিটি পৃথক রোগীর সংখ্যা বোঝায়নি অথবা তা অতিরঞ্জিত ছিল। সরকারি সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি ধরনের তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এই বিবরণে নিয়ন্ত্রক সংস্থার মোট সংখ্যা এবং প্রতিষ্ঠান কর্তৃক নিশ্চিত তথ্যের ধরনগুলোকে ভিত্তি হিসেবে নেওয়া হয়েছে।

PIH Health জানিয়েছে, বিজ্ঞপ্তি দেওয়ার সময় পর্যন্ত তারা ক্ষতিগ্রস্ত তথ্যের অপব্যবহার বা অপব্যবহারের চেষ্টার কোনো প্রমাণ পায়নি। প্রতিষ্ঠানটি বিনা মূল্যে ক্রেডিট পর্যবেক্ষণ ও পরিচয় চুরি থেকে সুরক্ষার সুবিধাও দিয়েছে। যাঁরা বিজ্ঞপ্তি পেয়েছেন, তাঁদের ক্রেডিট রিপোর্ট, করসংক্রান্ত অ্যাকাউন্ট ও আর্থিক লেনদেন পর্যালোচনা করা উচিত। সোশ্যাল সিকিউরিটি নম্বর ক্ষতিগ্রস্ত হয়ে থাকলে সিকিউরিটি ফ্রিজের কথাও বিবেচনা করা উচিত।

চিকিৎসা ও বিমার বিবরণীতে অপরিচিত সেবা, সেবাদাতা বা বিমা দাবি দেখা গেলে PIH Health এবং স্বাস্থ্যবিমা পরিকল্পনার আনুষ্ঠানিক গোপনীয়তা-সংক্রান্ত যোগাযোগমাধ্যমে তা জানানো উচিত। যাঁদের কার্ড বা অ্যাকাউন্টের তথ্য ক্ষতিগ্রস্ত হয়েছে, তাঁরা প্রতিস্থাপন ও আরও নিবিড় পর্যবেক্ষণের বিষয়ে সংশ্লিষ্ট আর্থিক প্রতিষ্ঠানের সঙ্গে আলোচনা করতে পারেন।