2024 সালে Restorix Health-এর তথ্য সুরক্ষা লঙ্ঘন

Restorix-এর আনুষ্ঠানিক বিজ্ঞপ্তিতে অননুমোদিত প্রবেশের সময়সীমা, ঘটনা জানার ও পর্যালোচনার তারিখ, ঘোষণায় উল্লেখ করা তথ্যের ধরন এবং প্রতিষ্ঠানের নেওয়া পদক্ষেপকে একই ঘটনার অংশ হিসেবে তুলে ধরা হয়েছে। HHS OCR-এর নথি Restorix Health-এর পরিচয়, স্বাস্থ্যসেবা খাতে এর ব্যবসায়িক সহযোগীর ভূমিকা, ইমেইল ব্যবস্থার সংশ্লিষ্টতা এবং বর্তমানে প্রভাবিত ব্যক্তির মোট সংখ্যা 38,553 হওয়ার বিষয়টি নিশ্চিত করে।

অঙ্গরাজ্যগুলোতে দাখিল করা নথি অনুসরণ করে তৈরি ঘটনার একটি স্বতন্ত্র সারসংক্ষেপেও 7 মে থেকে 29 মে পর্যন্ত অননুমোদিত প্রবেশের সময়সীমা, 2024 সালের 27 নভেম্বর তথ্য পর্যালোচনার গুরুত্বপূর্ণ ধাপ, 18 ডিসেম্বর স্বাস্থ্যসেবা অংশীদারদের নোটিশ দেওয়া এবং 2025 সালের 14 ফেব্রুয়ারি থেকে ব্যক্তিদের নোটিশ পাঠানো শুরু হওয়ার তথ্য সমর্থন করা হয়েছে। ঘোষণায় উল্লেখ করা তথ্যের ধরন ব্যক্তিভেদে ভিন্ন ছিল; মোট 38,553 জনের কথা বলা হলেও তার অর্থ এই নয় যে প্রত্যেকের ক্ষেত্রে সব ধরনের তথ্য জড়িত ছিল।

অননুমোদিত এক পক্ষ 7 মে থেকে 29 মে পর্যন্ত Restorix-এর এক কর্মীর ইমেইল অ্যাকাউন্টে প্রবেশ করে। Restorix জানায়, তারা এই প্রবেশের কথা 30 মে বা তার কাছাকাছি সময়ে জানতে পারে, অ্যাকাউন্টটি সুরক্ষিত করে এবং ঘটনার প্রকৃতি ও ব্যাপ্তি নির্ধারণের জন্য বিশেষজ্ঞদের নিযুক্ত করে।

বিস্তৃত তদন্ত ও নথি পর্যালোচনার মাধ্যমে 27 নভেম্বর নির্ধারিত হয় যে ওই অ্যাকাউন্টে স্বাস্থ্যসেবা অংশীদারদের সঙ্গে সংশ্লিষ্ট ব্যক্তিদের ব্যক্তিগত তথ্য বা সুরক্ষিত স্বাস্থ্যতথ্য ছিল। অ্যাকাউন্টের নিরাপত্তা কীভাবে লঙ্ঘিত হয়েছিল, কোন প্রযুক্তিগত দুর্বলতা কাজে লাগানো হয়েছিল বা দায়ী পক্ষের পরিচয় কী, এসব তথ্য প্রকাশ্য সূত্রে জানানো হয়নি।

ব্যক্তিভেদে যেসব তথ্য এই ঘটনার আওতায় এসে থাকতে পারে, সেগুলোর মধ্যে রয়েছে নামের প্রথম ও শেষ অংশ, জন্মতারিখ, ড্রাইভিং লাইসেন্স নম্বর, অন্যান্য সরকারি পরিচয়পত্রের নম্বর, পাসপোর্ট নম্বর এবং সোশ্যাল সিকিউরিটি নম্বর। আনুষ্ঠানিক বিজ্ঞপ্তিতে রোগী শনাক্তকারী তথ্য এবং সনদ বা লাইসেন্স নম্বরও উল্লেখ করা হয়েছে।

স্বাস্থ্যসংক্রান্ত তথ্যের মধ্যে চিকিৎসা ও ব্যবস্থাপত্রের তথ্য, সেবা পাওয়ার তারিখ, স্বাস্থ্যগত অবস্থা, চিকিৎসা বা রোগনির্ণয় এবং স্বাস্থ্যবীমার তথ্য থাকতে পারে। আর্থিক অ্যাকাউন্ট, পেমেন্ট কার্ড, পাসওয়ার্ড এবং নোটিশপ্রাপ্ত ব্যক্তিদের ইমেইল ঠিকানা এই তালিকায় যোগ করা হয়নি, কারণ আনুষ্ঠানিক বিজ্ঞপ্তিতে এগুলো উল্লেখ করা হয়নি।

পরিচয়সংক্রান্ত নম্বরের সঙ্গে রোগী ও স্বাস্থ্যসংক্রান্ত তথ্য যুক্ত হলে তা পরিচয় চুরি, স্বাস্থ্যসেবা-সংক্রান্ত জালিয়াতি বা বিশ্বাসযোগ্য মনে হয় এমন লক্ষ্যভিত্তিক বার্তা তৈরিতে সহায়ক হতে পারে। সোশ্যাল সিকিউরিটি, পাসপোর্ট ও সরকারি পরিচয়পত্রের নম্বর সহজে বদলানো যায় না, তাই দীর্ঘ সময় ধরে নজরদারি রাখা উপযুক্ত হতে পারে।

কেউ প্রকৃত চিকিৎসা, ব্যবস্থাপত্র, সেবা পাওয়ার তারিখ বা বীমার কোনো তথ্য জানলে, Restorix, কোনো হাসপাতাল, ক্লিনিক বা বীমা প্রতিষ্ঠানের প্রতিনিধি দাবি করে আরও বিশ্বাসযোগ্য অনুরোধ তৈরি করতে পারে। এসব তথ্য জানা থাকলেই কারও কর্তৃত্ব প্রমাণিত হয় না। অপ্রত্যাশিত অনুরোধ আলাদা, স্বাধীন যোগাযোগের মাধ্যমে যাচাই করা উচিত।

Restorix অননুমোদিতভাবে প্রবেশ করা অ্যাকাউন্টটি সুরক্ষিত করেছে, তৃতীয় পক্ষের ফরেনসিক বিশেষজ্ঞদের নিযুক্ত করেছে এবং কোন তথ্য জড়িত ছিল তা শনাক্ত করতে ম্যানুয়াল পদ্ধতিতে নথি পর্যালোচনা করেছে। 2024 সালের 18 ডিসেম্বর স্বাস্থ্যসেবা অংশীদারদের জানানো হয় এবং যাঁদের ডাকযোগে যোগাযোগের ঠিকানা পাওয়া গিয়েছিল, তাঁদের নোটিশ পাঠানো শুরু হয় 2025 সালের 14 ফেব্রুয়ারি।

প্রতিষ্ঠানটি জানায়, তারা সাইবার নিরাপত্তার জন্য অতিরিক্ত সুরক্ষাব্যবস্থা কার্যকর করেছে, কর্মীদের প্রশিক্ষণ জোরদার করেছে এবং নীতিমালা ও কার্যপদ্ধতি পর্যালোচনা করেছে। আনুষ্ঠানিক বিবরণে ঘটনাটিকে র‍্যানসমওয়্যার হিসেবে বর্ণনা করা হয়নি, নির্দিষ্ট কোনো দায়ী পক্ষের নাম বলা হয়নি এবং ঘোষণায় উল্লেখ করা তথ্যের কোনো জানা অপব্যবহারের কথাও জানানো হয়নি।

নোটিশপ্রাপ্ত ব্যক্তিদের আর্থিক অ্যাকাউন্ট, ক্রেডিট রিপোর্ট এবং স্বাস্থ্যবীমার ব্যাখ্যামূলক বিবরণী নিয়মিত পর্যালোচনা করে দেখা উচিত, যাতে তাঁরা চেনেন না এমন কোনো অ্যাকাউন্ট, লেনদেন, সেবা বা দাবি শনাক্ত করতে পারেন। সন্দেহজনক কার্যকলাপ সংশ্লিষ্ট আর্থিক প্রতিষ্ঠান, স্বাস্থ্যসেবা প্রদানকারী, বীমা প্রতিষ্ঠান এবং প্রযোজ্য ক্ষেত্রে কর্তৃপক্ষকে জানানো উচিত।

অপ্রত্যাশিত কোনো ইমেইল, বার্তা বা ফোনকলের জবাবে সোশ্যাল সিকিউরিটি নম্বর, রোগীর তথ্য, পাসওয়ার্ড বা একবার ব্যবহারযোগ্য যাচাইকরণ কোড দেবেন না। কোনো অনুরোধ Restorix বা স্বাস্থ্যসেবা প্রতিষ্ঠানের পক্ষ থেকে এসেছে বলে দাবি করা হলে, বার্তায় থাকা লিংক বা নম্বরের পরিবর্তে আনুষ্ঠানিক ওয়েবসাইটের যোগাযোগের তথ্য ব্যবহার করে তা যাচাই করুন।