Saint Anthony Hospital-এর 2025 সালের তথ্য ফাঁস
Saint Anthony Hospital-এর 2025 সালের তথ্য ফাঁসের ঘটনায় শিকাগোর হাসপাতালটির দুই কর্মীর ইমেইল অ্যাকাউন্ট ও সেগুলোর সঙ্গে সম্পর্কিত অসংগঠিত ফাইলে অননুমোদিত প্রবেশ ঘটেছিল। হাসপাতালের আনুষ্ঠানিক বিজ্ঞপ্তিতে নিশ্চিত করা হয়েছে যে 27 ফেব্রুয়ারি 2025 বা তার কাছাকাছি সময়ে অননুমোদিত কোনো পক্ষ নির্দিষ্ট কিছু ফাইল ও ফোল্ডারে প্রবেশ করেছিল অথবা সেগুলো সংগ্রহ করেছিল। US Department of Health and Human Services Office for Civil Rights-এর বর্তমানে সংরক্ষিত রেকর্ড অনুযায়ী, 1,46,108 জন এই ঘটনায় প্রভাবিত হয়েছেন।
উন্মুক্ত হওয়া তথ্যের ধরন
২টি সংবেদনশীল2- রোগীর ব্যক্তিগত তথ্য
- সুরক্ষিত স্বাস্থ্য তথ্য
এই তথ্য ফাঁস সম্পর্কে
Saint Anthony জানিয়েছে, তাদের ইলেকট্রনিক স্বাস্থ্য রেকর্ড ব্যবস্থা প্রভাবিত হয়নি। তবে পর্যালোচনা করা তথ্যে রোগীদের ব্যক্তিগত তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য ছিল।
Saint Anthony Hospital-এর তথ্য ফাঁসের ঘটনা কীভাবে নিশ্চিত করা হয়েছিল?
প্রধান প্রমাণ হলো হাসপাতালের নিজস্ব ডোমেইনে প্রকাশিত তথ্য নিরাপত্তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তি। এতে বলা হয়েছে, অননুমোদিত কোনো পক্ষ দুই কর্মীর ইমেইল অ্যাকাউন্টে প্রবেশের সুযোগ পেয়ে থাকতে পারে এবং এই ঘটনার ফলে নেটওয়ার্কের মধ্যে থাকা নির্দিষ্ট কিছু অসংগঠিত ফাইলে অননুমোদিত প্রবেশ বা সেগুলো সংগ্রহের ঘটনা ঘটেছে। প্রতিষ্ঠানটি আরও নিশ্চিত করেছে যে তারা প্রভাবিত সিস্টেমগুলোতে পরিস্থিতি নিয়ন্ত্রণে এনেছে এবং তৃতীয় পক্ষের সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় তদন্ত করেছে।
HHS OCR ঘটনাটি স্বাস্থ্যসেবা প্রদানকারীর অধীনে তালিকাভুক্ত করেছে, হ্যাকিং/IT-সংক্রান্ত ঘটনা হিসেবে শ্রেণিবদ্ধ করেছে এবং প্রভাবিত তথ্যের অবস্থান হিসেবে ইমেইল উল্লেখ করেছে। ফেডারেল রেকর্ডে মোট 1,46,108 জনের যে সংখ্যা রয়েছে, তা রোগীদের ব্যক্তিগত ও স্বাস্থ্যতথ্য জড়িত থাকার বিষয়ে হাসপাতালের বক্তব্যকে নিয়ন্ত্রক সংস্থার নথির মাধ্যমে সমর্থন করে। HIPAA Journal স্বাধীনভাবে উৎসগুলো তুলনা করে প্রবেশের তারিখ, পর্যালোচনা সম্পন্ন হওয়ার তথ্য, বিজ্ঞপ্তি দেওয়ার সময় এবং হালনাগাদ পরিধি মিলিয়ে নিশ্চিত করেছে।
ঘটনা ও বিজ্ঞপ্তি দেওয়ার সময়রেখা কী ছিল?
আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, 27 ফেব্রুয়ারি 2025 বা তার কাছাকাছি সময়ে অসংগঠিত ফাইল ও ফোল্ডারে প্রবেশ করা হয়েছিল অথবা সেগুলো সংগ্রহ করা হয়েছিল। প্রকাশ্য উৎস থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। প্রকাশ্য বিবরণে সংশ্লিষ্ট পক্ষ প্রথম কোন দিন অ্যাকাউন্টগুলোতে প্রবেশ করেছিল, কত দিন প্রবেশাধিকার ছিল বা হাসপাতাল প্রথম কবে ঘটনাটি শনাক্ত করেছিল, তা বলা হয়নি। তাই এই বিবরণে এর আগের কোনো শুরুর তারিখ অনুমান করে যোগ করা হয়নি।
প্রভাবিত তথ্য ও ব্যক্তিদের শনাক্ত করতে Saint Anthony বিশেষজ্ঞদের সঙ্গে কাজ করেছে এবং 13 ফেব্রুয়ারি 2026-এর কাছাকাছি সময়ে ফাইল পর্যালোচনা শেষ করেছে। এরপর প্রতিষ্ঠানটি একটি বিকল্প বিজ্ঞপ্তি প্রকাশ করে এবং 6 মার্চ 2026 থেকে সম্ভাব্য প্রভাবিত ব্যক্তিদের ডাকযোগে বিজ্ঞপ্তি পাঠানো শুরু করে। প্রায় এক বছরের এই ব্যবধান ফাইল পর্যালোচনা ও পরিচয় মেলানোর প্রক্রিয়ার সময়কে বোঝায়; আক্রমণকারী ওই পুরো সময় উপস্থিত ছিল, এমন দাবি নয়।
কোন তথ্য প্রভাবিত হয়েছিল?
2026 সালের মার্চের আনুষ্ঠানিক বিবৃতিতে বলা হয়েছে, প্রভাবিত অসংগঠিত ডেটায় রোগীদের ব্যক্তিগত তথ্য ও ব্যক্তিগত স্বাস্থ্যতথ্য ছিল। এই ঘটনায় নাম, ঠিকানা, জন্মতারিখ, সামাজিক নিরাপত্তা নম্বর, রোগনির্ণয়, ব্যবস্থাপত্র বা অ্যাকাউন্ট নম্বর ছিল কি না, তা আলাদা করে উল্লেখ করা হয়নি। যাচাই না করা ব্যক্তির সংখ্যা, ডেটা ফিল্ড বা হুমকি সৃষ্টিকারী পক্ষের দাবিকে প্রকাশ্যে নথিভুক্ত ঘটনার পরিধির অংশ হিসেবে ধরা হয়নি।
Saint Anthony-এর আগের একটি প্রকাশ্য বিজ্ঞপ্তিতে তথ্যের ধরনগুলোর বিস্তারিত তালিকা ছিল। কিন্তু HHS-এ ভিন্ন তারিখ ও ভিন্ন সংখ্যক প্রভাবিত ব্যক্তির ঘটনা রয়েছে, তাই সেগুলো স্বয়ংক্রিয়ভাবে একত্র করা নির্ভরযোগ্য হবে না। এই বিবরণটি 1,46,108 জনকে নিয়ে 2026 সালের মার্চের বিজ্ঞপ্তির সঙ্গে সম্পর্কিত; আগের ঘটনার তথ্যের তালিকা নতুন ঘটনার পরিধিতে যুক্ত করা হয়নি। প্রত্যেক ব্যক্তির ফাইলে একই ধরনের তথ্য ছিল বলেও ধরে নেওয়া হয়নি।
ইলেকট্রনিক স্বাস্থ্য রেকর্ড কি প্রভাবিত হয়েছিল?
Saint Anthony-এর ফরেনসিক তদন্তে নির্ধারিত হয়েছে যে এই ঘটনায় তাদের ইলেকট্রনিক স্বাস্থ্য রেকর্ড ব্যবস্থা প্রভাবিত হয়নি। ওই ব্যবস্থা প্রভাবিত না হওয়ার অর্থ এই নয় যে কোনো স্বাস্থ্যতথ্য জড়িত ছিল না: ইমেইল পরিবেশের সঙ্গে সম্পর্কিত অসংগঠিত ফাইলে রোগীদের ব্যক্তিগত তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য পাওয়া গেছে। এই পার্থক্য কেন্দ্রীয় ইলেকট্রনিক রেকর্ড প্ল্যাটফর্মকে ইমেইলে বা নেটওয়ার্কের বিভিন্ন স্থানে সংরক্ষিত নথি থেকে আলাদা করে।
তাই LeakData প্রভাবিত ব্যবস্থা হিসেবে ইমেইলকে চিহ্নিত করেছে এবং পুরো ক্লিনিক্যাল প্ল্যাটফর্মে অননুমোদিত প্রবেশ ঘটেছিল বলে ইঙ্গিত দেয়নি। অসংগঠিত ফাইল বলতে সংযুক্তি, স্ক্যান করা নথি বা নির্দিষ্ট কাঠামো ছাড়া তৈরি রেকর্ড বোঝাতে পারে। তবে উৎসগুলোতে সেগুলোর সুনির্দিষ্ট ফরম্যাট উল্লেখ করা হয়নি, তাই এসব সম্ভাবনাকে তথ্য হিসেবে যোগ করা হয়নি। নথিভুক্ত তথ্য উন্মুক্ত হওয়ার পরিধি হাসপাতাল স্পষ্টভাবে নিশ্চিত করেছে এমন ওই দুই ধরনের তথ্যেই সীমিত।
মোট 1,46,108 জনের সংখ্যাটি কীভাবে বুঝতে হবে?
আনুষ্ঠানিক উৎসে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির যে পরিধি জানানো হয়েছে, তা নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। এটি ফেডারেল নিয়ন্ত্রক সংস্থাকে জানানো মোট প্রভাবিত ব্যক্তির সংখ্যা, ফাইল, ইমেইল অ্যাকাউন্ট বা স্বতন্ত্র ডেটা ফিল্ডের সংখ্যা নয়। দুই কর্মীর অ্যাকাউন্ট ঘটনাটিতে কোথায় প্রবেশ ঘটেছিল তা বোঝায়; এই সংখ্যাকে ভুক্তভোগীর সংখ্যা হিসেবে ধরা যাবে না।
HHS পোর্টালে 2025 সালে জানানো Saint Anthony-এর আরও একটি ছোট পরিসরের ইমেইল-সংক্রান্ত ঘটনা রয়েছে। তাই একই ঘটনা একাধিকবার নথিভুক্ত হয়েছে কি না, তা যাচাই করতে শুধু প্রতিষ্ঠানের নাম ব্যবহার করা হয়নি। 27 ফেব্রুয়ারি প্রবেশের তারিখ, 6 মার্চ 2026-এর বিজ্ঞপ্তি এবং 1,46,108 জনের পরিধি, এই তিনটি তথ্য একসঙ্গে এই রেকর্ডটিকে আলাদা করে। পৃথক ফেডারেল রেকর্ডের সংখ্যাগুলো যোগ করা হয়নি এবং ভিন্ন ঘটনায় একই ব্যক্তি প্রভাবিত হয়েছেন কি না, সে বিষয়ে অজানা কোনো মিলও গণনা করা হয়নি।
প্রভাবিত ব্যক্তিদের কী করা উচিত?
বিজ্ঞপ্তি দেওয়ার সময় হাসপাতাল জানিয়েছিল, তথ্যের অপব্যবহার হয়েছে বা পরিচয় চুরি কিংবা প্রতারণা ঘটেছে, এমন কোনো প্রমাণ তাদের জানা ছিল না। তা সত্ত্বেও তারা প্রভাবিত ব্যক্তিদের আর্থিক অ্যাকাউন্টের বিবরণী, ক্রেডিট রিপোর্ট এবং স্বাস্থ্যবিমার সুবিধা-সংক্রান্ত ব্যাখ্যামূলক বিবরণী নিয়মিত পর্যালোচনা করার পরামর্শ দিয়েছে। অপরিচিত কোনো সেবা, বিমা দাবি বা অর্থপ্রদানের বিষয় দেখা গেলে পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সংশ্লিষ্ট সেবাদাতা বা বিমা প্রতিষ্ঠানের সঙ্গে তা যাচাই করা উচিত।
Saint Anthony-এর নামে আসা অপ্রত্যাশিত লিংক, অর্থপ্রদানের অনুরোধ ও পরিচয় যাচাইয়ের বার্তা বিশেষভাবে খতিয়ে দেখা উচিত, কারণ এই ঘটনার প্রেক্ষাপট ব্যবহার করে লক্ষ্যভিত্তিক ফিশিং চালানো হতে পারে। আপনি বিজ্ঞপ্তি পেয়ে থাকলে, ডাকযোগে আসা চিঠিতে আপনার ক্ষেত্রে প্রযোজ্য পরিধি ও আনুষ্ঠানিক যোগাযোগের যে বিবরণ দেওয়া হয়েছে, তার ওপর নির্ভর করুন। LeakData চুরি হওয়া রোগীর ফাইল প্রকাশ করে না বা সেগুলোতে অনুসন্ধান চালায় না; এটি শুধু ঘটনার যাচাই করা মেটাডেটা, উৎস এবং পরবর্তী করণীয় সম্পর্কে ব্যবহারিক দিকনির্দেশনা দেয়।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
