Springfield Hospital-এ 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান সূত্র হলো হাসপাতালের নিজস্ব ওয়েবসাইটে 10 এপ্রিল 2026 তারিখে প্রকাশিত “তথ্য নিরাপত্তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তি”। এতে সরাসরি ওই এক কর্মীর অ্যাকাউন্ট, 17 ডিসেম্বর প্রবেশের তারিখ, ইমেইল টেন্যান্টে ঘটনা নিয়ন্ত্রণের ব্যবস্থা, 10 ফেব্রুয়ারি তথ্যের মূল্যায়ন, সংশ্লিষ্ট বলে নিশ্চিত হওয়া তথ্যের ধরন এবং সহায়তার জন্য নির্দিষ্ট ফোন নম্বর উল্লেখ করা হয়েছে।

HHS OCR-এর নথিতে Springfield Hospital-কে ভারমন্টের একটি স্বাস্থ্যসেবা প্রদানকারী প্রতিষ্ঠান হিসেবে শ্রেণিবদ্ধ করা হয়েছে। সেখানে 5,892 জন ব্যক্তি, 10 এপ্রিল 2026 তারিখে তথ্য জমা দেওয়া, তথ্যের অবস্থান হিসেবে ইমেইল এবং ঘটনার ধরন হিসেবে হ্যাকিং/IT ঘটনা উল্লেখ করা হয়েছে। নিউ হ্যাম্পশায়ারের অ্যাটর্নি জেনারেলের একটি নথিতেও ভোক্তাদের জন্য বিজ্ঞপ্তিটি রয়েছে। অঙ্গরাজ্যের দ্বিতীয় আনুষ্ঠানিক নথি হিসেবে এটি বিজ্ঞপ্তি দেওয়ার প্রক্রিয়াটিও নিশ্চিত করে।

আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, 17 ডিসেম্বর একজন অননুমোদিত ব্যক্তি Springfield Hospital-এর এক কর্মীর ইমেইল অ্যাকাউন্টে প্রবেশ করেন। বিষয়টি জানার পর হাসপাতাল তার ইমেইল টেন্যান্ট সুরক্ষিত করে এবং ঘটনার প্রকৃতি ও পরিধি এবং অ্যাকাউন্টটিতে ব্যক্তিগত বা স্বাস্থ্যসংক্রান্ত তথ্য ছিল কি না, তা নিয়ে বিস্তারিত তদন্ত শুরু করে।

10 ফেব্রুয়ারি হাসপাতাল জানতে পারে যে যে অ্যাকাউন্টে প্রবেশ করা হয়েছিল, তাতে সীমিত পরিমাণে ব্যক্তিগত ও স্বাস্থ্যসংক্রান্ত তথ্য ছিল, যা অননুমোদিত পক্ষ দেখে থাকতে পারে। প্রকাশ্য বিবৃতিতে নিশ্চিত করে বলা হয়নি যে ইমেইলগুলো ডাউনলোড করা, ফরওয়ার্ড করা বা সিস্টেমের বাইরে সরিয়ে নেওয়া হয়েছিল। কে প্রবেশ করেছিল বা প্রাথমিকভাবে কীভাবে প্রবেশ করা হয়েছিল, তাও প্রকাশ করা হয়নি।

ব্যক্তিভেদে তথ্যের ধরন ভিন্ন ছিল, তবে এর মধ্যে পুরো নাম, জন্মতারিখ এবং সোশ্যাল সিকিউরিটি নম্বর থাকতে পারে। এই তথ্যগুলো একসঙ্গে থাকলে প্রতারণামূলক ঋণ আবেদন, করসংক্রান্ত পরিচয় জালিয়াতি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকি বাড়তে পারে। হাসপাতালের বক্তব্যের অর্থ এই নয় যে তালিকাভুক্ত প্রতিটি ধরনের তথ্যই 5,892 জনের সবার ক্ষেত্রে প্রযোজ্য ছিল।

আনুষ্ঠানিক বিজ্ঞপ্তিতে ঠিকানা, ফোন নম্বর, ইমেইল ঠিকানা, পাসওয়ার্ড, ড্রাইভিং লাইসেন্স, পাসপোর্ট, ব্যাংক অ্যাকাউন্ট, পেমেন্ট কার্ড বা স্বাস্থ্যবিমার নম্বরকে প্রভাবিত তথ্য হিসেবে উল্লেখ করা হয়নি। ক্রেডিট ফ্রিজ করার সাধারণ নির্দেশনায় যেসব পরিচয়পত্রের উল্লেখ রয়েছে, সেগুলো এই ঘটনার সঙ্গে সংশ্লিষ্ট তথ্য নয়।

যেসব স্বাস্থ্যতথ্য জড়িত থাকার বিষয়টি নিশ্চিত হয়েছে, সেগুলো হলো চিকিৎসাসেবা নিতে আসার কারণ, চিকিৎসাকারী চিকিৎসকের নাম এবং মেডিকেল রেকর্ড নম্বর। এসব তথ্য কোনো ব্যক্তিকে নির্দিষ্ট একটি চিকিৎসাসেবা গ্রহণের ঘটনা, চিকিৎসাগত প্রেক্ষাপট বা সেবাদাতার সঙ্গে যুক্ত করতে পারে। চিকিৎসাসেবার ক্ষেত্রে অন্যের পরিচয় ধারণ এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকির কারণে এগুলো সংবেদনশীল তথ্য।

সূত্রটিতে বিস্তারিত রোগনির্ণয়, চিকিৎসার নোট, ব্যবস্থাপত্র, পরীক্ষাগারের ফলাফল, ছবি, সেবা গ্রহণের তারিখ, বিলিং কোড বা বিমার দাবির মতো অতিরিক্ত তথ্যের উল্লেখ নেই। চিকিৎসাসেবা নিতে আসার কারণ একটি বিস্তৃত শ্রেণির স্বাস্থ্যতথ্য; শুধু তা থেকে নির্দিষ্ট কোনো রোগের বিষয়টি নিশ্চিত করা যায় না।

হাসপাতাল জানিয়েছে, তারা ইমেইল টেন্যান্ট সুরক্ষিত করেছে, ঘটনাটি তদন্ত করেছে, প্রভাবিত ব্যক্তিদের জানিয়েছে এবং ব্যক্তিগত তথ্য সুরক্ষিত রাখতে কাজের পদ্ধতি ও অভ্যন্তরীণ নিয়ন্ত্রণব্যবস্থা মূল্যায়ন অব্যাহত রেখেছে। আনুষ্ঠানিক বিজ্ঞপ্তি প্রকাশের সময় হাসপাতাল জানায়, এই ঘটনার সরাসরি ফল হিসেবে কোনো তথ্যের অপব্যবহার হয়েছে, এমন কোনো প্রমাণ ছিল না।

যাঁরা প্রভাবিত হয়েছেন বা প্রভাবিত হয়ে থাকতে পারেন বলে মনে করেন, তাঁদের জন্য গোপনীয়তা বজায় রেখে সহায়তা দেওয়ার একটি ফোন লাইন চালু করা হয়, যার নম্বর 1-833-289-6183। এটি ইস্টার্ন টাইম অনুযায়ী সপ্তাহের কর্মদিবসগুলোতে সকাল 8:00 থেকে রাত 8:00 পর্যন্ত চালু থাকে। বিজ্ঞপ্তিতে ক্রেডিট পর্যবেক্ষণ সেবার প্রতিশ্রুতি দেওয়া হয়নি; এর বদলে বিনা মূল্যের ক্রেডিট রিপোর্ট, জালিয়াতি সতর্কতা, ক্রেডিট তথ্য ব্যবহারে নিরাপত্তামূলক ফ্রিজ এবং চিকিৎসাসংক্রান্ত পরিচয় সুরক্ষার ব্যবস্থা ব্যাখ্যা করা হয়েছে।

যাঁরা বিজ্ঞপ্তি পেয়েছেন, তাঁদের ক্রেডিট রিপোর্ট ও অ্যাকাউন্টের কার্যক্রম পর্যালোচনা করে অপরিচিত কোনো অনুসন্ধান বা অ্যাকাউন্ট আছে কি না, তা দেখা উচিত। পাশাপাশি স্বাস্থ্যবিমার সুবিধার ব্যাখ্যামূলক বিবরণীতে অপরিচিত কোনো চিকিৎসাসেবা গ্রহণের ঘটনা বা সেবা উল্লেখ আছে কি না, তা খতিয়ে দেখা উচিত। SSN জড়িত থাকলে ক্রেডিট ফ্রিজ, জালিয়াতি সতর্কতা এবং IRS Identity Protection PIN উপযুক্ত সুরক্ষামূলক ব্যবস্থা হতে পারে।

Springfield Hospital-এর প্রতিনিধি পরিচয়ে আসা অপ্রত্যাশিত ইমেইল, বার্তা বা ফোন কলে SSN, জন্মতারিখ, মেডিকেল রেকর্ড নম্বর বা যাচাইকরণ কোড জানানো কিংবা অর্থ দেওয়া উচিত নয়। কোনো প্রশ্ন থাকলে কেবল আনুষ্ঠানিক বিজ্ঞপ্তিতে দেওয়া ফোন নম্বরের মাধ্যমেই তা যাচাই করা উচিত। সন্দেহজনক কোনো বার্তা এলে বা অ্যাকাউন্টে কোনো সন্দেহজনক ঘটনা দেখা গেলে, বার্তায় থাকা লিংক ব্যবহার না করে প্রতিষ্ঠানের বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করা উচিত। ব্যক্তিগত বিজ্ঞপ্তির চিঠি পাওয়া গেলে, ওই ব্যক্তির কোন কোন তথ্য জড়িত ছিল এবং তাঁকে কী কী সুরক্ষার বিকল্প দেওয়া হয়েছে, তা জানার প্রধান সূত্র হলো সেই চিঠি। প্রকাশ্য সূত্রগুলো যতটুকু সমর্থন করে, কেবল ততটুকুর ভিত্তিতেই তারিখ ও তথ্যের ধরন ব্যাখ্যা করা উচিত; অপ্রকাশিত বিবরণকে নিশ্চিত তথ্য হিসেবে ধরা উচিত নয়।