TPIS Industrial Services-এর 2026 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান উৎস হলো টেক্সাসের অ্যাটর্নি জেনারেলের তথ্য নিরাপত্তা লঙ্ঘনের নথি BR-0005179। এতে কোম্পানিকে TPIS Industrial Services, Inc. নামে শনাক্ত করা হয়েছে এবং টেক্সাসের প্যাসাডেনায় এর ঠিকানা দেওয়া হয়েছে। তথ্য নিরাপত্তা লঙ্ঘনের শুরু ও শেষ, শনাক্ত হওয়ার তারিখ, নোটিশ পাঠানোর পদ্ধতি, ক্ষতিগ্রস্ত তথ্যের ধরন, টেক্সাসের ক্ষতিগ্রস্ত বাসিন্দার সংখ্যা এবং দেশজুড়ে মোট ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা আলাদা ঘরে প্রকাশ করা হয়েছে।

দ্বিতীয় উৎস হলো তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর ঘটনার সারসংক্ষেপ। এতে টেক্সাসের 2,123 জন ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা ও সরকারি নথিতে উল্লিখিত তথ্যের ধরন তুলে ধরা হয়েছে। আরও বলা হয়েছে, PLAY র‍্যানসমওয়্যার গোষ্ঠী 26 মার্চ 2026 তারিখে তাদের তথ্য ফাঁসের সাইটে TPIS-কে তালিকাভুক্ত করে। কোম্পানির আনুষ্ঠানিক ওয়েবসাইট থেকেও স্বাধীনভাবে প্রতিষ্ঠানটির পরিচয়, প্যাসাডেনা কার্যালয় এবং শিল্পসেবা ব্যবসার বিষয়টি নিশ্চিত হয়। এই বিবরণে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা ও নিশ্চিত হওয়া তথ্যের ধরন নির্ধারণের জন্য টেক্সাসের নিয়ন্ত্রক সংস্থার তথ্য ব্যবহার করা হয়েছে, কোনো হামলাকারীর দাবি নয়।

টেক্সাসের অ্যাটর্নি জেনারেলের কাছে জমা দেওয়া নোটিশে তথ্য নিরাপত্তা লঙ্ঘনের শুরুর তারিখ 19 মার্চ 2026 এবং শেষ তারিখ 20 মার্চ উল্লেখ করা হয়েছে। প্রকাশ্য নথি অনুযায়ী, ঘটনাটি 16 জুন শনাক্ত হয়। তবে প্রথমে কীভাবে সিস্টেমে প্রবেশ করা হয়েছিল, প্রবেশাধিকার কেবল ওই দুই দিনেই সীমিত ছিল কি না, কোন কোন সিস্টেম জড়িত ছিল বা তদন্ত কবে শেষ হয়েছিল, এসব তথ্য প্রকাশ করা হয়নি।

তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর তথ্য অনুযায়ী, PLAY 26 মার্চ দাবি করে যে তারা TPIS-এর তথ্য সংগ্রহ করেছে এবং তা প্রকাশ করতে চায়। এই তারিখটি নিয়ন্ত্রক সংস্থার নথিতে উল্লিখিত তথ্য নিরাপত্তা লঙ্ঘনের সময়সীমার ছয় দিন পরে, ফলে সময়ের দিক থেকে এটি ঘটনার সঙ্গে সামঞ্জস্যপূর্ণ। তবে কোনো অপরাধী গোষ্ঠীর বক্তব্য স্বাধীন ফরেনসিক তদন্তের ফলাফল নয়। তাই এই বিবরণে এমন সিদ্ধান্ত নেওয়া হয়নি যে তাদের দাবিতে উল্লিখিত প্রতিটি ফাইল নেওয়া, প্রকাশ করা বা যাচাই করা হয়েছে।

টেক্সাসের নথিতে নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো ব্যক্তির নাম, ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর, চিকিৎসাসংক্রান্ত তথ্য এবং স্বাস্থ্যবিমার তথ্য। জমা দেওয়া নথিতে জন্মতারিখ, পাসপোর্ট, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ইমেইলের পাসওয়ার্ড বা ব্যবহারকারীর অ্যাকাউন্টকে ক্ষতিগ্রস্ত তথ্য হিসেবে চিহ্নিত করা হয়নি। হামলাকারীর আরও বিস্তৃত দাবিগুলোও সরকারি তালিকায় যোগ করা হয়নি।

সোশ্যাল সিকিউরিটি নম্বর ও ড্রাইভিং লাইসেন্স নম্বর ব্যবহার করে অন্যের পরিচয় ধারণ করা বা নতুন অ্যাকাউন্ট খোলার চেষ্টা করা সম্ভব। ঠিকানা, চিকিৎসা ও বিমার তথ্য ব্যবহার করেও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তাকে তাঁর প্রকৃত কর্মসংস্থান বা চিকিৎসার পরিস্থিতির সঙ্গে সামঞ্জস্যপূর্ণ বলে মনে করানো যেতে পারে। নোটিশ পাওয়া প্রত্যেকের ক্ষেত্রে ক্ষতিগ্রস্ত তথ্যে ছয় ধরনের তথ্যই ছিল, এমন নয়। কোনো ব্যক্তির ঠিক কোন তথ্য ঝুঁকিতে পড়েছে, তা নির্ধারণের মূল উৎস হলো তাঁকে পাঠানো ব্যক্তিগত নোটিশের চিঠি।

তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস জানিয়েছে, PLAY তাদের ডার্ক ওয়েব পোস্টে ব্যক্তিগত ও গোপনীয় তথ্য, ক্লায়েন্টের নথি, বাজেট, বেতনসংক্রান্ত তথ্য, পরিচয়সংক্রান্ত তথ্য, করের নথি এবং আর্থিক তথ্য পাওয়ার দাবি করেছে। এটি হামলাকারীর দাবি; প্রমাণ হিসেবে এর গুরুত্ব টেক্সাসের অ্যাটর্নি জেনারেলের প্রকাশিত তথ্যের ধরনগুলোর সমান নয়। তাই দাবিকৃত প্রতিটি তথ্যের ধরনকে নিশ্চিত হিসেবে না ধরে, র‍্যানসমওয়্যারের যোগসূত্রটি কেবল প্রেক্ষাপট হিসেবে তুলে ধরা হয়েছে।

সরকারি নথিতে বলা হয়নি, মুক্তিপণ দেওয়া হয়েছিল কি না, ম্যালওয়্যার সিস্টেমগুলো এনক্রিপ্ট করেছিল কি না, শেষ পর্যন্ত তথ্যের নমুনা প্রকাশ করা হয়েছিল কি না বা কোম্পানি হামলাকারীর সঙ্গে যোগাযোগ করেছিল কি না। প্রকাশ্য প্রমাণ থেকে একটি প্রকৃত তথ্য নিরাপত্তা লঙ্ঘন এবং ভোক্তাদের ডাকযোগে নোটিশ পাঠানোর বিষয়টি নিশ্চিত হয়। তবে হামলার বাকি প্রযুক্তিগত ধাপগুলোর বিবরণ এতে নেই, তাই অনুপস্থিত তথ্য অনুমানের ভিত্তিতে পূরণ করা হয়নি।

টেক্সাসের অ্যাটর্নি জেনারেলের পোর্টালে দুটি আলাদা সংখ্যা দেওয়া হয়েছে: টেক্সাসে 2,123 জন ক্ষতিগ্রস্ত ব্যক্তি এবং যুক্তরাষ্ট্রজুড়ে 2,359 জন ক্ষতিগ্রস্ত ব্যক্তি। এই সংখ্যা অনুযায়ী, অন্তত 236 জন ক্ষতিগ্রস্ত ব্যক্তি টেক্সাসের বাইরে ছিলেন। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর শিরোনামে ব্যবহৃত আনুমানিক “2k” এবং তাদের উল্লেখ করা 2,123 জনের সংখ্যা টেক্সাসের ক্ষতিগ্রস্ত ব্যক্তিদের বোঝায়, দেশজুড়ে মোট ক্ষতিগ্রস্ত ব্যক্তিদের নয়।

তাই এখানে প্রদর্শিত মোট সংখ্যা 2,359, যা সরকারি নথির “ক্ষতিগ্রস্ত ব্যক্তির মোট সংখ্যা” লেবেলযুক্ত ঘর থেকে নেওয়া হয়েছে। ব্যাখ্যায় টেক্সাসের সংখ্যাটি রাখা হয়েছে, তবে সেটি আবার মোটের সঙ্গে যোগ করা হয়নি। নিয়ন্ত্রক সংস্থা পরে নথিটি সংশোধন করলে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা ও তথ্যের ধরনগুলো পর্যালোচনা করা যেতে পারে। বর্তমান প্রমাণ অনুযায়ী, প্রকাশিত সর্বমোট সংখ্যা ঠিক 2,359।

আপনি নোটিশ পেয়ে থাকলে TPIS-এর চিঠিতে দেখুন, আপনার কোন কোন তথ্য জড়িত ছিল এবং প্রস্তাবিত সহায়তা গ্রহণের জন্য নিবন্ধনের কোনো সময়সীমা আছে কি না। সোশ্যাল সিকিউরিটি নম্বর বা ড্রাইভিং লাইসেন্স নম্বর জড়িত থাকলে আপনার ক্রেডিট রিপোর্ট পর্যালোচনা করুন, বিনামূল্যে জালিয়াতি সতর্কতা বা ক্রেডিট ফ্রিজ ব্যবহারের কথা বিবেচনা করুন এবং সংশ্লিষ্ট সরকারি পরিচয়সংক্রান্ত অ্যাকাউন্টে অপ্রত্যাশিত কোনো পরিবর্তন হচ্ছে কি না নজর রাখুন।

আপনার নোটিশে চিকিৎসা বা স্বাস্থ্যবিমার তথ্যের উল্লেখ থাকলে বিমার সুবিধাসংক্রান্ত ব্যাখ্যামূলক বিবরণী ও স্বাস্থ্যসংক্রান্ত অ্যাকাউন্ট পর্যালোচনা করে দেখুন, সেখানে অপরিচিত কোনো সেবা, সেবাদাতা বা বিমার দাবি আছে কি না। TPIS, বিমা সংস্থা বা সহায়তাদাতার নাম ব্যবহার করে আসা অপ্রত্যাশিত কোনো বার্তার জবাবে পাসওয়ার্ড, অর্থপ্রদানের তথ্য বা একবার ব্যবহারযোগ্য কোড দেবেন না। কোনো প্রশ্ন থাকলে চিঠিতে বা কোম্পানির বর্তমান আনুষ্ঠানিক ওয়েবসাইটে দেওয়া এমন যোগাযোগমাধ্যম ব্যবহার করুন, যার সত্যতা আপনি স্বাধীনভাবে যাচাই করেছেন।