UI Community HomeCare ও UI Health Care-এ 2025 সালের তথ্য ফাঁস

প্রধান সূত্র হলো University of Iowa Health Care-এর 2025 সালের 29 আগস্টের প্রকাশ্য বিজ্ঞপ্তি। এতে বলা হয়েছে, অনুমতি ছাড়া UI Community HomeCare-এর সিস্টেমে প্রবেশ করা হয়েছিল। বিজ্ঞপ্তিতে স্পষ্টভাবে আরও বলা হয়েছে যে সাইবার অপরাধী ফাইল দেখতে এবং সেগুলোর কপি নিতে পেরেছিল। এই বক্তব্য শুধু তথ্যে প্রবেশের সম্ভাবনা নয়, বরং তথ্য সংগ্রহের বিষয়টি নিশ্চিত করে।

ফেডারেল HHS OCR-এর তথ্য ফাঁসসংক্রান্ত পোর্টালে University of Iowa Community Home Care-এর জন্য 1,09,029 জন এবং University of Iowa Health Care-এর জন্য 1,01,875 জনের তথ্য রয়েছে। উভয় সারিতে রিপোর্ট করার তারিখ, ঘটনার ধরন ও তথ্য সংরক্ষণের স্থান একই: 2025 সালের 29 আগস্ট, হ্যাকিং/IT-সংক্রান্ত ঘটনা এবং নেটওয়ার্ক সার্ভার। HIPAA Journal স্বাধীনভাবে ঘোষণাটি পর্যালোচনা করে জানায় যে এই একক ঘটনায় প্রায় 2,11,000 জন প্রভাবিত হয়েছেন।

3 জুলাই UI Community HomeCare শনাক্ত করে যে কেউ অনুমোদন ছাড়া তাদের কম্পিউটার সিস্টেমে প্রবেশ করেছে। প্রতিষ্ঠানটি সার্ভার বন্ধ করে দেয়, সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তা নেয় এবং এক কর্মদিবসের মধ্যে নিরাপদে সিস্টেমগুলো পুনরায় চালু করে। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের তারিখের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

ফরেনসিক পর্যালোচনায় দেখা যায়, অনুপ্রবেশকারী শুধু নির্দিষ্ট কিছু ফাইল দেখেনি, সেগুলোর কপিও নিয়েছে। UI Community HomeCare ও UI Health Care-এর আলাদা অপারেটিং সিস্টেম, ইলেকট্রনিক স্বাস্থ্য রেকর্ড এবং তথ্যপ্রযুক্তি সেবা ছিল। তবে তাদের দীর্ঘদিনের সম্পর্কের কারণে কিছু রোগী, কর্মী ও ডেটা ফাইল উভয় প্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট ছিল। ফলে অধিভুক্ত প্রতিষ্ঠানটির সিস্টেম পরিবেশে সংরক্ষিত UI Health Care-এর একগুচ্ছ ফাইলও এই ঘটনার আওতায় পড়ে।

আনুষ্ঠানিক বিজ্ঞপ্তিতে সম্ভাব্য তথ্যের ধরন হিসেবে নাম, জন্মতারিখ, ঠিকানা, ফোন নম্বর, মেডিকেল রেকর্ড নম্বর, স্বাস্থ্যসেবা প্রদানকারী সম্পর্কিত তথ্য, সেবা নেওয়ার তারিখ, স্বাস্থ্যবিমার তথ্য, সামাজিক নিরাপত্তা নম্বর এবং চিকিৎসা ভিজিটের ধরন উল্লেখ করা হয়েছে। এগুলো ব্যক্তিগত তথ্য ও সুরক্ষিত স্বাস্থ্যতথ্য, এই দুটি বৃহত্তর শ্রেণির আওতায় নথিভুক্ত রয়েছে। সবার ক্ষেত্রে তথ্যের সমন্বয় এক ছিল না, তাই কোনো একটি তথ্যের ধরন সব প্রভাবিত ব্যক্তির ক্ষেত্রে প্রযোজ্য বলে উল্লেখ করা হয়নি।

বিজ্ঞপ্তির FAQ অংশে বলা হয়েছে, যাঁদের উদ্দেশে বিজ্ঞপ্তি দেওয়া হয়েছে, তাঁদের মধ্যে নির্দিষ্ট কিছু প্রাপকগোষ্ঠীর তথ্যে সামাজিক নিরাপত্তা নম্বর অন্তর্ভুক্ত থাকার কোনো ইঙ্গিত পাওয়া যায়নি। অন্যদিকে, মূল প্রকাশ্য বিজ্ঞপ্তিতে সম্ভাব্য তথ্যের তালিকায় এই ধরনটি রয়েছে। রোগনির্ণয়, প্রেসক্রিপশন, পেমেন্ট কার্ড বা পাসওয়ার্ডের মতো যেসব তথ্যের কথা প্রকাশ করা হয়নি, সেগুলো অন্তর্ভুক্ত ছিল বলে ধরে নেওয়া হয়নি।

আনুষ্ঠানিক তদন্তে নিশ্চিত করা হয়েছে যে UI Health Care-এর ইলেকট্রনিক স্বাস্থ্য রেকর্ড সিস্টেমে কোনো অননুমোদিত প্রবেশ ঘটেনি। তবে ঘটনার পরিধি এভাবে সীমিত হলেও এর গুরুত্ব কমে না, কারণ যৌথভাবে ব্যবহৃত ফাইলে থাকা পরিচয়, যোগাযোগ, বিমা এবং স্বাস্থ্যসেবা-সম্পর্কসংক্রান্ত তথ্যের কপি নেওয়া হয়েছে। এই বিবরণে শুধু নিশ্চিত হওয়া ফাইলগুলোর পরিধি তুলে ধরা হয়েছে; পুরো চিকিৎসাসংক্রান্ত সিস্টেমের নিরাপত্তা ভঙ্গ হয়েছে বলে দাবি করা হয়নি।

প্রতিষ্ঠানটি আইনশৃঙ্খলা রক্ষাকারী সংস্থার সঙ্গে যোগাযোগ করে, নতুন পর্যবেক্ষণ সরঞ্জাম চালু করে, ফার্মওয়্যার হালনাগাদ করে, পাসওয়ার্ড বদলায় এবং প্রভাবিত হার্ডওয়্যার থেকে ফাইল সরিয়ে ফেলে। প্রতিষ্ঠানটি জানায়, বিজ্ঞপ্তি দেওয়ার সময় পর্যন্ত তথ্যের অপব্যবহারের কোনো ইঙ্গিত পাওয়া যায়নি। এই পর্যবেক্ষণ তথ্য সংগ্রহের নিশ্চিত ঘটনাকে নাকচ করে না এবং ভবিষ্যতে পরিচয়, বিমা বা স্বাস্থ্যসেবা-সংক্রান্ত জালিয়াতির ঝুঁকিও দূর করতে পারে না।

আনুষ্ঠানিক বিজ্ঞপ্তিতে দুই প্রতিষ্ঠানের মোট প্রভাবিত ব্যক্তির সংখ্যা আনুমানিক 2,11,000 জন বলা হয়েছে। HHS OCR একই 3 জুলাইয়ের ঘটনাকে দুটি অধিভুক্ত প্রতিষ্ঠানের জন্য আলাদা দুটি সারিতে প্রকাশ করেছে: 1,09,029 এবং 1,01,875।

HHS-এর দুটি সারিকে আলাদা আক্রমণ হিসেবে উপস্থাপন করা হয়নি, কারণ তারিখ, অবকাঠামো, বিজ্ঞপ্তি দেওয়ার দিন এবং আনুষ্ঠানিক বিবরণ, সবই একটি ঘটনার কথা বলে। কোনো ব্যক্তি দুটি ফেডারেল সারিতেই গণনা হয়েছেন কি না, তা প্রকাশ্য নথিতে বলা নেই। তবে HHS আলাদা প্রতিষ্ঠানের অধীনে প্রভাবিত ব্যক্তিদের সংখ্যা জানিয়েছে বলে এই দুই সংখ্যার যোগফলই উপলব্ধ তথ্যের ভিত্তিতে সবচেয়ে নির্ভরযোগ্য সঠিক সংখ্যা। সূত্রসংক্রান্ত নোটে এই পদ্ধতি ও অনিশ্চয়তা বজায় রাখা হয়েছে।

UI Health Care ও UI Community HomeCare 2025 সালের 29 আগস্ট প্রভাবিত ব্যক্তিদের ডাকযোগে চিঠি পাঠায়। প্রতিষ্ঠানটি জানায়, বিজ্ঞপ্তি দেওয়ার সময় তথ্যের অপব্যবহারের কোনো ইঙ্গিত না পাওয়ায় তারা বিনামূল্যে ক্রেডিট মনিটরিং সেবা দিচ্ছে না। আপনি চিঠি পেয়ে থাকলে, নিজের চিঠিতে উল্লেখ করা তথ্যের ধরন অনুযায়ী সতর্ক থাকুন এবং নিয়মিত অ্যাকাউন্টের বিবরণী, ক্রেডিট রিপোর্ট ও স্বাস্থ্যবিমার সুবিধার ব্যাখ্যামূলক বিবরণী পর্যালোচনা করুন।

আপনি যদি অপরিচিত কোনো চিকিৎসাসেবা, বিমা দাবি, নতুন ক্রেডিট অ্যাকাউন্ট বা পরিচয় যাচাইয়ের বার্তা দেখতে পান, তাহলে পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন। প্রভাবিত প্রতিষ্ঠানগুলোর নাম উল্লেখ করা অপ্রত্যাশিত ফোনকল বা লিংকের ক্ষেত্রে বিশেষভাবে সতর্ক থাকুন।