Tri-Century Eye Care-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন
Tri-Century Eye Care-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘনের ঘটনা পেনসিলভানিয়ায় প্রতিষ্ঠানটির চক্ষুচিকিৎসা কেন্দ্রে 3 সেপ্টেম্বর 2025 তারিখে শনাক্ত হওয়া সন্দেহজনক নেটওয়ার্ক কার্যকলাপের সঙ্গে সম্পর্কিত। 19 সেপ্টেম্বর প্রতিষ্ঠানটি এমন তথ্য জানতে পারে, যা থেকে বোঝা যায় যে অজ্ঞাত এক ব্যক্তি অনুমতি ছাড়া নেটওয়ার্কে প্রবেশ করেছিল এবং কিছু ব্যক্তিগত বা সুরক্ষিত স্বাস্থ্যতথ্য থাকা ফাইল সংগ্রহ করেছিল। বর্তমানে ব্যবহৃত ইলেকট্রনিক মেডিকেল রেকর্ড সিস্টেমে প্রবেশের কোনো প্রমাণ প্রতিষ্ঠানটি পায়নি।
উন্মুক্ত হওয়া তথ্যের ধরন
3টি সংবেদনশীল8- চিকিৎসা বা স্বাস্থ্যসংক্রান্ত তথ্য
- চিকিৎসা বা রোগনির্ণয়-সংক্রান্ত তথ্য
- স্বাস্থ্যবিমার তথ্য
- নাম
- সামাজিক নিরাপত্তা নম্বর
- জন্মতারিখ
- বিল বা অর্থপ্রদানের তথ্য
- কর বা আর্থিক তথ্য
এই তথ্য ফাঁস সম্পর্কে
আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি শ্রেণির তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।
Tri-Century-এর তথ্য নিরাপত্তা লঙ্ঘনের ঘটনা কীভাবে নিশ্চিত করা হয়েছিল?
প্রধান নথিটি হলো প্রতিষ্ঠানটির 30 অক্টোবর 2025 তারিখের “তথ্য নিরাপত্তা সংক্রান্ত ঘটনার বিজ্ঞপ্তি”। সংরক্ষিত PDF-এ 3 সেপ্টেম্বর ঘটনা শনাক্ত হওয়া, 19 সেপ্টেম্বর ঘটনার পরিসর সম্পর্কে জানা, অজ্ঞাত এক ব্যক্তির ফাইল সংগ্রহ করা, তথ্যের ধরন, বর্তমানে ব্যবহৃত EMR সিস্টেম অক্ষত থাকা, অতিরিক্ত সুরক্ষাব্যবস্থা, HHS ও FBI-কে অবহিত করা এবং 1-800-405-6108 সহায়তা নম্বরের বিবরণ রয়েছে।
দ্বিতীয় সূত্রটি হলো 31 অক্টোবর তারিখের আনুষ্ঠানিক HHS/OCR এন্ট্রি, যেখানে 2,00,000 ব্যক্তির কথা উল্লেখ আছে। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর ঘটনা-সংক্রান্ত পাতাও স্বতন্ত্রভাবে একই আনুষ্ঠানিক বিজ্ঞপ্তি ও ফেডারেল সূত্রের মোট সংখ্যার মধ্যে সংযোগ দেখায়।
2025 সালের 3 থেকে 19 সেপ্টেম্বরের মধ্যে কী ঘটেছিল?
3 সেপ্টেম্বর সন্দেহজনক নেটওয়ার্ক কার্যকলাপ শনাক্ত করার পর Tri-Century তার প্রযুক্তিগত পরিবেশ সুরক্ষিত করে এবং সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় তদন্ত শুরু করে। 19 সেপ্টেম্বরের মধ্যে পাওয়া তথ্য থেকে বোঝা যায় যে অজ্ঞাত এক ব্যক্তি অনুমতি ছাড়া নেটওয়ার্কে প্রবেশ করেছিল এবং কর্মী ও রোগীদের ব্যক্তিগত বা সুরক্ষিত স্বাস্থ্যতথ্য থাকা কিছু ফাইল সংগ্রহ করেছিল।
ওই ব্যক্তি ঠিক কখন প্রথম ও শেষবার নেটওয়ার্কে প্রবেশ করেছিল, তা আনুষ্ঠানিক বিজ্ঞপ্তিতে জানানো হয়নি। উন্মুক্ত সূত্র থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারিত হয়েছে। 19 সেপ্টেম্বর ঘটনার পরিসর সম্পর্কে জানা, 30 অক্টোবর সর্বসাধারণের জন্য বিজ্ঞপ্তি প্রকাশ এবং 31 অক্টোবর HHS-এ প্রতিবেদন দেওয়া পৃথক ধাপ।
কোন কোন তথ্য এতে জড়িত থাকতে পারে?
আনুষ্ঠানিক বিজ্ঞপ্তিতে সম্ভাব্য তথ্যের ধরন হিসেবে নাম, সোশ্যাল সিকিউরিটি নম্বর, জন্মতারিখ, চিকিৎসা বা স্বাস্থ্যতথ্য, চিকিৎসাসেবা বা রোগনির্ণয়-সংক্রান্ত তথ্য, স্বাস্থ্যবিমার তথ্য, বিল বা অর্থ পরিশোধের তথ্য এবং কর বা আর্থিক তথ্যের উল্লেখ রয়েছে।
ব্যক্তিভেদে তথ্যের পরিসর আলাদা, তাই সবার ক্ষেত্রে প্রতিটি ধরনের তথ্য ছিল বলে ধরে নেওয়া উচিত নয়। প্রতিষ্ঠানটি ফাইল সংগ্রহ করা হয়েছিল বলে জানালেও, তা থেকে প্রমাণ হয় না যে প্রতিটি ফাইলে প্রতিটি ধরনের তথ্য ছিল বা সব ব্যক্তি প্রতিটি ধরনের তথ্যের কারণে ক্ষতিগ্রস্ত হয়েছেন। আক্রমণকারীর দাবিকৃত নমুনার ভিত্তিতে মূল তথ্যের শ্রেণিগুলোর পরিসর বাড়ানো হয়নি।
বর্তমানে ব্যবহৃত ইলেকট্রনিক মেডিকেল রেকর্ড সিস্টেম কি ক্ষতিগ্রস্ত হয়েছিল?
প্রতিষ্ঠানটি স্পষ্টভাবে জানিয়েছে যে বর্তমানে ব্যবহৃত ইলেকট্রনিক মেডিকেল রেকর্ড সিস্টেমে প্রবেশের কোনো প্রমাণ পাওয়া যায়নি। এই সীমারেখাটি গুরুত্বপূর্ণ: স্বাস্থ্যতথ্য থাকা কিছু ফাইল সংগ্রহ করা হয়েছে মানেই পুরো সক্রিয় EMR সিস্টেমে প্রবেশ করা হয়েছে বা সম্পূর্ণ চিকিৎসা-সংক্রান্ত ডেটাবেস কপি করা হয়েছে, এমন নয়।
LeakData-এর বিবরণ ও ট্যাগে এই পার্থক্য বজায় রাখা হয়েছে। আনুষ্ঠানিকভাবে ফাইল পর্যালোচনার ভিত্তিতে স্বাস্থ্য, চিকিৎসা ও রোগনির্ণয়ের তথ্য তালিকাভুক্ত করা হয়েছে; তবে “ইলেকট্রনিক মেডিকেল রেকর্ড”কে আলাদাভাবে ক্ষতিগ্রস্ত সিস্টেম হিসেবে যোগ করা হয়নি। কোন ধরনের তথ্য তাঁদের সঙ্গে সম্পর্কিত ছিল, তা জানতে নোটিশপ্রাপকদের নিজ নিজ চিঠির ওপর নির্ভর করা উচিত।
ক্ষতিগ্রস্ত ব্যক্তির সংখ্যাকে কীভাবে ব্যাখ্যা করা উচিত?
HHS/OCR পোর্টালে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা হলো 2,00,000; এটি ফাইল, নথি বা ফাঁস হওয়া ডেটার সারির সংখ্যা নয়। আনুষ্ঠানিক সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনার প্রতিবেদিত পরিসর নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি শ্রেণির তথ্য প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।
গৌণ সূত্রের শিরোনামে ব্যবহৃত “200K+” কথাটি আরেকটি মোট সংখ্যা হিসেবে যোগ করা হয়নি। বর্তমান ফেডারেল এন্ট্রির 2,00,000 সংখ্যাটিই ব্যক্তির সংখ্যার একমাত্র আনুষ্ঠানিক পরিমাপ হিসেবে রাখা হয়েছে।
প্রতিষ্ঠানটি কী করেছে এবং নোটিশপ্রাপকরা কী করতে পারেন?
Tri-Century জানিয়েছে, তারা পাসওয়ার্ডের জন্য আরও কঠোর শর্ত, আরও ঘন ঘন পাসওয়ার্ড পরিবর্তন, প্রবেশাধিকারের অনুমতি সীমিত করা এবং পুরোনো তথ্য অফলাইনে সংরক্ষণের ব্যবস্থা করেছে। HHS ও FBI-কে অবহিত করা হয়েছে। প্রতিষ্ঠানটি 1-800-405-6108 নম্বরে কল সেন্টার চালু করেছে, যা কর্মদিবসে ইস্টার্ন টাইম অনুযায়ী সকাল 8:00টা থেকে রাত 8:00টা পর্যন্ত খোলা থাকে।
নোটিশপ্রাপকদের নিয়মিত আর্থিক অ্যাকাউন্ট, ক্রেডিট রিপোর্ট এবং স্বাস্থ্যবিমার সুবিধার ব্যাখ্যামূলক নথি পর্যালোচনা করা উচিত। অপরিচিত কোনো চিকিৎসা, বিমা দাবি, বিল বা অর্থ পরিশোধের তথ্য দেখলে সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে সরাসরি যোগাযোগ করে তা যাচাই করা উচিত। অপ্রত্যাশিত কোনো যোগাযোগে কেউ Tri-Century-এর প্রতিনিধি বলে দাবি করলে তাকে সম্পূর্ণ SSN, স্বাস্থ্যতথ্য, পাসওয়ার্ড, অর্থ পরিশোধের বিবরণ বা একবার ব্যবহারযোগ্য কোড দেওয়া উচিত নয়। কোনো সন্দেহজনক বার্তা পেলে বা অ্যাকাউন্টে সন্দেহজনক কোনো কার্যকলাপ দেখা গেলে, বার্তার লিংক ব্যবহার না করে প্রতিষ্ঠানটির বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যমে তা যাচাই করা উচিত। ব্যক্তিগতভাবে পাঠানো নোটিশের চিঠি পাওয়া গেলে, সংশ্লিষ্ট ব্যক্তির তথ্যের পরিসর ও তাঁকে দেওয়া সুরক্ষার বিকল্পগুলো জানার প্রধান সূত্র হলো সেই চিঠি। তারিখ ও তথ্যের শ্রেণিগুলো কেবল উন্মুক্ত সূত্রে যতটুকু সমর্থিত, ততটুকুই ধরে ব্যাখ্যা করা উচিত; প্রকাশ করা হয়নি এমন বিবরণকে নিশ্চিত তথ্য হিসেবে ধরা উচিত নয়।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
