Pivot Health-এর 2026 সালের তথ্য ফাঁস

প্রধান সূত্র হলো Pivot Health-এর নিজস্ব তথ্যের গোপনীয়তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তির PDF। এতে 13 মার্চ ঘটনাটি শনাক্ত হওয়া, 26 ফেব্রুয়ারি–13 মার্চ সময়কালে AWS-এ প্রবেশ, তথ্য দেখা বা কপি করা, বাইরের ফরেনসিক বিশেষজ্ঞদের নিয়ে তদন্ত, প্রকাশিত তথ্যের ধরন এবং সহায়তার জন্য নির্দিষ্ট 844-593-8519 নম্বরের বিষয়গুলো নিশ্চিত করা হয়েছে।

দ্বিতীয় সূত্র হলো ইন্ডিয়ানা অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের 2026 সালের জুন মাসের আনুষ্ঠানিক তথ্য ফাঁসের তালিকা। সেখানে Pivot Health-এর এন্ট্রিতে বিজ্ঞপ্তির তারিখ 13 মে 2026, ঘটনার শুরুর তারিখ 26 ফেব্রুয়ারি এবং দেশজুড়ে ক্ষতিগ্রস্ত মানুষের সংখ্যা 8,391 দেখানো হয়েছে। HHS Office for Civil Rights-এর 5,864 জনের এন্ট্রিটি অন্য একটি নিয়ন্ত্রক সংস্থার মাধ্যমে আগের পরিসরটি স্বাধীনভাবে নিশ্চিত করে।

Pivot Health 13 মার্চের কাছাকাছি সময়ে তাদের AWS ক্লাউড পরিবেশে সন্দেহজনক কার্যকলাপ শনাক্ত করে, নিজেদের সিস্টেম সুরক্ষিত করে এবং প্রবেশের ধরন ও পরিসর পরীক্ষা করতে তৃতীয় পক্ষের ফরেনসিক বিশেষজ্ঞদের নিয়োগ দেয়। তদন্তে নির্ধারিত হয় যে, অনুমতি না থাকা ওই ব্যক্তি প্রায় দুই সপ্তাহের এই সময়কালে একাধিকবার AWS পরিবেশে প্রবেশ করেছেন।

প্রতিষ্ঠানটি স্পষ্টভাবে জানিয়েছে যে, অজ্ঞাত ব্যক্তি কিছু তথ্য দেখেছেন বা কপি করেছেন। এরপর তারা ঝুঁকিতে থাকা তথ্য, তথ্যের ধরন এবং সংশ্লিষ্ট ব্যক্তিদের শনাক্ত করতে একটি পূর্ণাঙ্গ পর্যালোচনা করে এবং ক্ষতিগ্রস্ত ব্যক্তিদের লিখিত চিঠি পাঠায়। প্রকাশ্য নথিতে প্রথমবার প্রবেশের পদ্ধতি, ব্যবহৃত লগইন তথ্য বা প্রযুক্তিগত দুর্বলতার বিবরণ দেওয়া হয়নি।

ব্যক্তিভেদে ভিন্ন তথ্যের ক্ষেত্রগুলোর মধ্যে ছিল নাম, জন্মতারিখ এবং স্বাস্থ্যবিমার তথ্য। বিমার তথ্যের মধ্যে বিল ও অর্থ পরিশোধের তথ্য ছিল; শনাক্তকরণ নম্বরের উদাহরণ হিসেবে সদস্য, ব্যক্তি, সনদ এবং বিমার আওতার শনাক্তকারী উল্লেখ করা হয়েছে। ক্ষতিগ্রস্ত ফাইলগুলোতে বিমার আওতাভুক্ত থাকার তারিখও ছিল।

এসব তথ্য ব্যবহার করে পলিসি, প্রিমিয়াম, বিমার দাবি, বিল বা সদস্যপদ-সংক্রান্ত ভুয়া বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা যেতে পারে। কোনো বার্তায় প্রকৃত সদস্য নম্বর বা বিমার আওতাভুক্ত থাকার তারিখ থাকলেই সেটি নির্ভরযোগ্য হয়ে যায় না। বিমার দাবি, অর্থ পরিশোধ এবং যোগাযোগের তথ্যের পরিবর্তন আলাদাভাবে যাচাই করতে বিমা প্রতিষ্ঠানের পরিচিত ওয়েবসাইট বা বিমা কার্ডে দেওয়া নম্বর ব্যবহার করুন।

Pivot Health জানিয়েছে, কিছু ব্যক্তির আর্থিক অ্যাকাউন্টের তথ্য সেখানে ছিল। এর অর্থ ব্যাংক অ্যাকাউন্ট নম্বর, রাউটিং নম্বর, পেমেন্ট কার্ড নাকি অন্য কোনো ধরনের আর্থিক তথ্য, প্রকাশ্য বিজ্ঞপ্তিতে তা বলা হয়নি। তাই এই এন্ট্রিতে শুধু বিস্তৃত “আর্থিক অ্যাকাউন্টের তথ্য” বিভাগটি নথিভুক্ত করা হয়েছে; প্রকাশ না করা কোনো বিস্তারিত তথ্য অনুমান করা হয়নি।

আপনার চিঠিতে আর্থিক অ্যাকাউন্ট-সংক্রান্ত কোনো তথ্যের ক্ষেত্র উল্লেখ থাকলে, সংশ্লিষ্ট প্রতিষ্ঠানের পরিচিত যোগাযোগমাধ্যম ব্যবহার করে অপরিচিত লেনদেন, নতুন অর্থপ্রাপক, স্বয়ংক্রিয় অর্থ পরিশোধ এবং যোগাযোগের তথ্যের পরিবর্তন যাচাই করতে পারেন। Pivot Health জানিয়েছে, এই ঘটনার ফলে পরিচয় চুরি বা প্রতারণা হয়েছে বলে তাদের জানা নেই; এটি বিজ্ঞপ্তি দেওয়ার সময়কার অবস্থা, আর এর অর্থ এই নয় যে নজরদারি করা আর দরকার নেই।

HHS/OCR-এর এন্ট্রিতে 13 মে 2026 তারিখের স্বাস্থ্যসেবা-সংক্রান্ত বিজ্ঞপ্তিতে 5,864 জনের কথা উল্লেখ আছে। ইন্ডিয়ানা অঙ্গরাজ্যের অ্যাটর্নি জেনারেলের পরবর্তী জুন মাসের তালিকায় একই প্রতিষ্ঠান এবং একই ঘটনার শুরুর তারিখের জন্য দেশজুড়ে 8,391 জন দেখানো হয়েছে। এগুলো পর্যায়ক্রমে দেওয়া বিজ্ঞপ্তির পরিসর; দুটি আলাদা ঘটনা নয়, কিংবা এমন দুটি জনগোষ্ঠীও নয় যাদের সংখ্যা যোগ করা উচিত।

আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে, প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। টেক্সাস, ইন্ডিয়ানা বা অন্য অঙ্গরাজ্যে প্রতিবেদিত বাসিন্দার সংখ্যা দেশজুড়ে মোট সংখ্যার অংশ; সেগুলো দ্বিতীয়বার যোগ করা হয় না।

Pivot Health জানিয়েছে, সন্দেহজনক কার্যকলাপ শনাক্ত করার পর তারা নিজেদের সিস্টেম সুরক্ষিত করেছে, ঘটনার ধরন ও পরিসর নিশ্চিত করতে ফরেনসিক তদন্ত শুরু করেছে, বিদ্যমান নিরাপত্তা নীতিগুলো পর্যালোচনা করেছে এবং অতিরিক্ত সাইবার নিরাপত্তাব্যবস্থা বাস্তবায়ন করেছে। প্রশ্নের জন্য প্রতিষ্ঠানটি 844-593-8519 নম্বর দিয়েছে, যেখানে কর্মদিবসে ইস্টার্ন সময় অনুযায়ী সকাল 8:00 থেকে রাত 8:00 পর্যন্ত যোগাযোগ করা যায়।

প্রাপক হিসেবে আপনার নিজের চিঠিতে উল্লেখ করা তথ্যের ক্ষেত্রগুলোর ওপর নির্ভর করা উচিত। বিমা বা বিমার আওতা-সংক্রান্ত তথ্য থাকলে সুবিধা, বিমার দাবি ও বিলের ওপর নজর রাখুন; আর্থিক অ্যাকাউন্টের তথ্য থাকলে লেনদেন পর্যবেক্ষণ করুন। Pivot Health বা বিমা প্রতিষ্ঠানের নাম ব্যবহার করে আসা অপ্রত্যাশিত কোনো বার্তার জবাবে পাসওয়ার্ড, আর্থিক অ্যাকাউন্টের তথ্য বা একবার ব্যবহারযোগ্য কোড দেবেন না এবং অর্থ পরিশোধ করবেন না।