Richmond Behavioral Health Authority-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

মূল প্রাথমিক সূত্র হলো RBHA-এর 4 ডিসেম্বর 2025 তারিখের তথ্য নিরাপত্তা বিজ্ঞপ্তি, যা সংস্থার নিজস্ব ডোমেইনে প্রকাশিত হয়েছে। নথিটিতে সরাসরি 29 সেপ্টেম্বরের অনুপ্রবেশ, 30 সেপ্টেম্বর তা শনাক্ত হওয়া, র‍্যানসমওয়্যার দিয়ে নেটওয়ার্কের কিছু অংশ এনক্রিপ্ট করা, সম্ভাব্য তথ্যের ধরন, সংস্থার নেওয়া ব্যবস্থা এবং এর 844-572-2716 সহায়তা নম্বরের বিবরণ রয়েছে।

দ্বিতীয় প্রাথমিক সূত্র হলো HHS/OCR-এর 28 নভেম্বর তারিখের এন্ট্রি, যেখানে 1,13,232 জন আক্রান্ত হওয়ার কথা জানানো হয়েছে। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর ঘটনা-সংক্রান্ত পাতায় একই সময়ক্রম, HHS-এর মোট সংখ্যা এবং সংস্থার বিজ্ঞপ্তি একসঙ্গে তুলে ধরা হয়েছে, যা স্বতন্ত্রভাবে তথ্য মিলিয়ে দেখার সুযোগ দেয়। যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ধরন এবং হামলাকারীদের দাবি ঘটনাটির প্রকাশ্যে বর্ণিত পরিধির অংশ হিসেবে ধরা হয় না।

RBHA-এর তদন্ত অনুযায়ী, দুর্বৃত্তরা 29 সেপ্টেম্বরের কাছাকাছি সময়ে নেটওয়ার্কে প্রবেশ করে এবং এর কিছু অংশ এনক্রিপ্ট করতে র‍্যানসমওয়্যার ব্যবহার করে। সংস্থাটি 30 সেপ্টেম্বরের কাছাকাছি সময়ে তথ্য নিরাপত্তার ঘটনাটি সম্পর্কে জানতে পারে। তদন্ত করা, তথ্য সুরক্ষিত করা এবং নেটওয়ার্কে আরও অনুপ্রবেশ ঠেকাতে ব্যবস্থাপনা কর্তৃপক্ষ, তথ্যপ্রযুক্তি কর্মী এবং তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করা হয়।

আনুষ্ঠানিক চিঠিতে বলা হয়েছে, দুর্বৃত্তদের নেটওয়ার্কে প্রবেশ শনাক্ত হওয়ার সঙ্গে সঙ্গেই তা বন্ধ করা হয়েছিল। চিঠিতে আরও স্পষ্টভাবে বলা হয়েছে, ব্যক্তিগত তথ্যে প্রবেশ করা হয়েছিল, এমন কোনো চূড়ান্ত প্রমাণ পাওয়া যায়নি এবং প্রকাশের সময় পর্যন্ত RBHA অননুমোদিত অপব্যবহারের কোনো ইঙ্গিত পায়নি। নেটওয়ার্কে অনুপ্রবেশ ও র‍্যানসমওয়্যার ব্যবহারের ঘটনাটি নিশ্চিত হয়েছে, তবে প্রতিটি তথ্যক্ষেত্রের তথ্য কপি করা বা ব্যবহার করা হয়েছে বলে ধরে নেওয়া উচিত নয়।

আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, পুরো নাম অথবা প্রথম নামের আদ্যক্ষর ও পদবির পাশাপাশি সোশ্যাল সিকিউরিটি নম্বর, পাসপোর্ট নম্বর, আর্থিক অ্যাকাউন্টের তথ্য বা স্বাস্থ্যসংক্রান্ত তথ্য দেখা বা তাতে প্রবেশ করা হয়ে থাকতে পারে। সংশ্লিষ্ট তথ্যের পরিধি ব্যক্তিভেদে আলাদা। প্রত্যেক ব্যক্তির জন্য প্রতিটি তথ্যক্ষেত্র উপস্থিত ছিল, দুর্বৃত্তরা প্রতিটি তথ্যক্ষেত্র খুলে দেখেছিল, অথবা তথ্যগুলো অনলাইনে প্রকাশ করা হয়েছিল, এমন সিদ্ধান্তে আসা যায় না।

বিজ্ঞপ্তিতে আর্থিক অ্যাকাউন্টের ধরনও উল্লেখ করা হয়নি। তথ্যের ধরন সংস্থার নিজস্ব বর্ণনার মধ্যেই সীমাবদ্ধ রাখা হয়েছে; একটি স্বাস্থ্যসেবা প্রতিষ্ঠানের সাধারণ কার্যক্রম থেকে প্রমাণিত হয় না যে প্রকাশ করা হয়নি এমন অন্য ধরনের তথ্যও এই ঘটনায় জড়িত ছিল।

এই ঘটনায় আক্রান্ত ব্যক্তির সংখ্যা হিসেবে HHS/OCR পোর্টালে 1,13,232 প্রকাশ করা হয়েছে। হামলাকারীর দাবি করা ডেটা সারির সংখ্যা দিয়ে এই আনুষ্ঠানিক মোট সংখ্যা প্রতিস্থাপন করা হয়নি।

HHS-এর এন্ট্রিতে থাকা 28 নভেম্বর তারিখটি ফেডারেল পোর্টালে প্রতিবেদন জমা দেওয়ার তারিখ, ঘটনাটি শুরু হওয়ার দিন নয়। আনুষ্ঠানিক চিঠি অনুযায়ী, অনুপ্রবেশ ঘটে 29 সেপ্টেম্বরের কাছাকাছি সময়ে এবং তা শনাক্ত হয় 30 সেপ্টেম্বরের কাছাকাছি সময়ে। 4 ডিসেম্বর হলো চিঠির তারিখ। এই তারিখগুলো আলাদা করে দেখলে পাঠকেরা ঘটনার সময়ক্রমের সঙ্গে নিয়ন্ত্রক কর্তৃপক্ষকে প্রতিবেদন দেওয়া ও ভোক্তাদের অবহিত করার ধাপগুলোর পার্থক্য বুঝতে পারেন।

নামের সঙ্গে সোশ্যাল সিকিউরিটি বা পাসপোর্ট নম্বর থাকলে অন্যের পরিচয় ধারণ, প্রতারণামূলক অ্যাকাউন্ট খোলা এবং বিশ্বাসযোগ্য মনে হয় এমন ফিশিংয়ের ঝুঁকি বাড়তে পারে। আর্থিক অ্যাকাউন্টের তথ্য ভুয়া অর্থপ্রদান বা অ্যাকাউন্ট যাচাইয়ের বার্তায় ব্যবহার করা হতে পারে। অন্যদিকে, স্বাস্থ্যসংক্রান্ত তথ্য ব্যবহার করে ব্যক্তিকে লক্ষ্য করে প্রতারণা করা এবং গোপনীয়তার ক্ষতি করা সম্ভব। বিজ্ঞপ্তিতে নিশ্চিত অপব্যবহারের উল্লেখ না থাকলেও ঝুঁকি দূর হয়ে যায় না; তবে এটিকে অপব্যবহার ঘটেছে, এমন দাবিতে পরিণত করা উচিত নয়।

আপনি বিজ্ঞপ্তি পেয়ে থাকলে নিয়মিত ব্যাংক ও কার্ডের লেনদেন, ক্রেডিট রিপোর্ট এবং সংশ্লিষ্ট স্বাস্থ্যসেবা অ্যাকাউন্ট বা বিবরণী পর্যালোচনা করুন। অপ্রত্যাশিত কোনো ইমেইল, বার্তা বা ফোনকলের প্রেরক নিজেকে RBHA-এর প্রতিনিধি দাবি করলে তাকে সম্পূর্ণ SSN, পাসপোর্টের বিস্তারিত তথ্য, পাসওয়ার্ড, অর্থপ্রদানের তথ্য বা একবার ব্যবহারযোগ্য কোড দেবেন না। অনাহূত বার্তায় দেওয়া যোগাযোগের তথ্য ব্যবহার না করে সংস্থার যাচাইকৃত ওয়েবসাইট বা আপনার চিঠিতে উল্লেখ করা মাধ্যমে যোগাযোগ করুন।

RBHA জানিয়েছে, প্রযুক্তি বিশেষজ্ঞদের নিয়ে ঘটনার পরিধি নির্ধারণে তদন্ত শুরু করেছে, অতিরিক্ত সুরক্ষাব্যবস্থা চালু করেছে, সিস্টেমের স্থাপত্য পর্যালোচনা করেছে এবং ভবিষ্যৎ হামলা প্রতিরোধের উদ্দেশ্যে প্রণীত নীতিগুলো জোরদার করেছে। সংস্থাটি অ্যাকাউন্টের বিবরণী ও ক্রেডিট রিপোর্ট নিয়মিত পরীক্ষা করতে এবং পরিচয় চুরি ও প্রতারণার লক্ষণ সম্পর্কে সতর্ক থাকতেও উৎসাহ দিয়েছে।

প্রশ্ন থাকলে সেন্ট্রাল টাইম অনুযায়ী সপ্তাহের কর্মদিবসে সকাল 8:00 থেকে বিকেল 5:30 পর্যন্ত 844-572-2716 নম্বরে যোগাযোগ করা যেতে পারে। আপনার সঙ্গে সংশ্লিষ্ট তথ্যের ধরন জানার জন্য আপনাকে পাঠানো চিঠিকেই প্রধান সূত্র হিসেবে বিবেচনা করুন। সন্দেহজনক কার্যকলাপ দেখা গেলে সংশ্লিষ্ট আর্থিক বা স্বাস্থ্যসেবা প্রতিষ্ঠানের সঙ্গে সরাসরি যোগাযোগ করুন। পরিস্থিতি অনুযায়ী প্রতারণার সতর্কতা জারি করা বা বিনা খরচে ক্রেডিট ফ্রিজ করার বিষয়টিও বিবেচনা করতে পারেন।