Veradigm 2024 তথ্য ফাঁস

Veradigm-এর ঘটনায় আক্রান্ত তথ্যের ধরন ব্যক্তিভেদে ভিন্ন। প্রকাশিত বিবরণে রোগীর নাম, যোগাযোগের তথ্য, জন্মতারিখ, স্বাস্থ্য রেকর্ডের তথ্য, রোগনির্ণয়, ওষুধসংক্রান্ত তথ্য, পরীক্ষার ফলাফল, চিকিৎসার তথ্য, স্বাস্থ্যবিমার তথ্য, অর্থ পরিশোধের বিবরণ এবং সীমিত পরিচয় শনাক্তকারী তথ্যের উল্লেখ রয়েছে। এই সীমিত পরিচয় শনাক্তকারী তথ্যের মধ্যে কিছু ব্যক্তির সোশ্যাল সিকিউরিটি নম্বর বা ড্রাইভিং লাইসেন্স নম্বর আক্রান্ত হয়ে থাকতে পারে। প্রত্যেক ব্যক্তির ক্ষেত্রে সব তথ্যক্ষেত্র অন্তর্ভুক্ত নেই। এই পার্থক্য ঘটনাটির ঝুঁকি কমায় না; বরং বোঝায় যে ব্যবহারকারীর মূল্যায়ন বিজ্ঞপ্তিতে উল্লেখ করা তথ্যক্ষেত্রগুলোর ভিত্তিতে হওয়া উচিত।

তথ্যের এই সমন্বয় স্বাস্থ্যসেবা খাতের জন্য বিশেষভাবে উচ্চ ঝুঁকির। নাম, জন্মতারিখ ও যোগাযোগের তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো প্রতারণামূলক বার্তাকে বিশ্বাসযোগ্য করে তোলে। যাঁদের সোশ্যাল সিকিউরিটি নম্বর বা ড্রাইভিং লাইসেন্স নম্বর অন্তর্ভুক্ত রয়েছে, তাঁদের ক্ষেত্রে পরিচয় চুরি, ঋণের আবেদন, অ্যাকাউন্ট যাচাইয়ের নামে প্রতারণা এবং অন্যের পরিচয়ে আনুষ্ঠানিক লেনদেনের ঝুঁকি বাড়ে। স্বাস্থ্য রেকর্ড, রোগনির্ণয়, ওষুধ, পরীক্ষার ফলাফল ও চিকিৎসার তথ্য ব্যবহার করে ব্যক্তিগত পরিস্থিতিকে কাজে লাগিয়ে চাপ সৃষ্টি করা, রোগী পোর্টালে অন্যের পরিচয় ব্যবহার করা, স্বাস্থ্যসেবার ভুয়া বিল তৈরি করা এবং বিমা জালিয়াতি করা সম্ভব। এর সঙ্গে অর্থ পরিশোধের বিবরণ যুক্ত হলে একই পরিস্থিতিতে আর্থিক প্রতারণার ঝুঁকিও তৈরি হয়।

ঘটনাটির উল্লেখযোগ্য দিক হলো, স্বাস্থ্যপ্রযুক্তি প্রদানকারীর নিজস্ব বিস্তৃত পণ্য নেটওয়ার্কের মাধ্যমে নয়, বরং গ্রাহকপক্ষের একটি নিরাপত্তা ঘটনা থেকে পাওয়া লগইন তথ্য দিয়ে একটি মাত্র স্টোরেজ অ্যাকাউন্টে প্রবেশ করা হয়েছিল। এতে ব্যবহারকারীর ঝুঁকি দূর হয় না, কারণ স্টোরেজ অ্যাকাউন্টের রেকর্ডগুলোতে রোগী ও সেবাদাতার সম্পর্কভিত্তিক সংবেদনশীল তথ্য রয়েছে। আক্রমণকারীরা স্বাস্থ্যসেবা, বিমার অনুমোদন, অর্থ পরিশোধের তথ্য হালনাগাদ বা পরীক্ষাগারের ফলাফলের অজুহাতে সরাসরি এ ধরনের তথ্য ব্যবহার করতে পারে।

যাচাইযোগ্য সময়রেখা অনুযায়ী, আনুমানিক 15 ডিসেম্বর 2024 তারিখে অননুমোদিত প্রবেশ ঘটে এবং Veradigm 1 জুলাই 2025 তারিখে ঘটনাটি জানতে পারে। বিজ্ঞপ্তির বিবরণে বলা হয়েছে, Veradigm-এর একজন গ্রাহককে লক্ষ্য করে সংঘটিত একটি পৃথক নিরাপত্তা ঘটনার পর পাওয়া লগইন তথ্য থেকে ঘটনাটির সূত্রপাত হয়। সেই লগইন তথ্য ব্যবহার করে Veradigm-এর একটি স্টোরেজ অ্যাকাউন্টে প্রবেশ করা হয় এবং সেখানে প্রবেশ করে দেখা তথ্যের মধ্যে সুরক্ষিত স্বাস্থ্যতথ্য ছিল। প্রতিষ্ঠানটি ব্যাখ্যা করেছে, আক্রান্ত অংশটি একটি মাত্র স্টোরেজ অ্যাকাউন্টে সীমিত ছিল এবং অন্য কোনো সিস্টেম বা পরিবেশ আক্রান্ত হয়নি।

এই নথি শুধু যাচাইকৃত ব্যক্তির সংখ্যা ও তথ্যের শ্রেণির ওপর ভিত্তি করে তৈরি। স্বাস্থ্যতথ্য ফাঁসের নথিতে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা 26,72,036 উল্লেখ থাকায় এখানে গণনা ব্যক্তির সংখ্যাতেই সীমিত রাখা হয়েছে; তথ্যের সারি, ফাইলের পরিমাণ বা তৃতীয় পক্ষের দাবির ভিত্তিতে সংখ্যাটি বাড়ানো হয়নি। তথ্যের শ্রেণিগুলোও প্রকাশিত বিভাগ থেকে নির্বাচন করা হয়েছে। সবার সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর বা অর্থ পরিশোধের বিবরণ আক্রান্ত হয়েছে, এমন দাবি করা হয়নি। এই তথ্যক্ষেত্রগুলো ব্যক্তিভেদে ভিন্ন হতে পারে, সেই বিষয়টি বর্ণনা ও তথ্যের শ্রেণিতে বিশেষভাবে বজায় রাখা হয়েছে।

পরিসরের একটি গুরুত্বপূর্ণ সীমাবদ্ধতা হলো, ঘটনাটি Veradigm-এর সব সিস্টেমের সামগ্রিক নিরাপত্তা ভঙ্গ হিসেবে নিশ্চিত করা হয়নি। প্রকাশিত বিবরণে একটি মাত্র স্টোরেজ অ্যাকাউন্টের কথা বলা হয়েছে। তাই নথিটি এমনভাবে উপস্থাপন করা হয়নি, যেন Veradigm-এর সব পণ্য বা সব গ্রাহকের পরিবেশ আক্রান্ত হয়েছে। তা সত্ত্বেও, স্টোরেজ অ্যাকাউন্টে থাকা স্বাস্থ্য ও পরিচয়সংক্রান্ত তথ্য কয়েক মিলিয়ন ব্যক্তির হওয়ায় ঘটনাটির প্রভাব ব্যাপক ও সংবেদনশীল। ঝুঁকি মূল্যায়নের সময় ব্যবহারকারীদের সীমিত প্রযুক্তিগত পরিসর এবং তথ্যের উচ্চ সংবেদনশীলতা, দুটিই একসঙ্গে বিবেচনা করতে হবে।

প্রধানত ঝুঁকিতে রয়েছেন সেই রোগীরা, যাঁদের তথ্য Veradigm-এর গ্রাহক স্বাস্থ্যসেবা প্রতিষ্ঠান, চিকিৎসকের চেম্বার বা সেবাদাতাদের মাধ্যমে প্রক্রিয়াকরণ করা হয়। Veradigm ইলেকট্রনিক স্বাস্থ্য রেকর্ড, রোগীদের সঙ্গে যোগাযোগ, বিল তৈরি, বিমা ও স্বাস্থ্যতথ্য প্রক্রিয়াকরণের ক্ষেত্রে সেবা দেয়। তাই যাঁরা জানেন না যে তাঁরা সরাসরি Veradigm-এর ব্যবহারকারী, তাঁরাও এই ঘটনায় ক্ষতিগ্রস্ত হতে পারেন। কোনো রোগী শুধু নিজের চিকিৎসক বা স্বাস্থ্যসেবা প্রতিষ্ঠানের সঙ্গেই যোগাযোগ করে থাকলেও, নেপথ্যে ব্যবহৃত প্রযুক্তিসেবার কারণে তাঁর রেকর্ড এই স্টোরেজ অ্যাকাউন্টে থাকতে পারে।

রোগনির্ণয়, ওষুধ, পরীক্ষার ফলাফল বা চিকিৎসার তথ্য ক্ষতিগ্রস্ত ব্যক্তিদের আরও ব্যক্তিকেন্দ্রিক প্রতারণার চেষ্টার মুখে ফেলতে পারে। যেমন, ভুয়া অ্যাপয়েন্টমেন্ট, বিমার অনুমোদন, প্রেসক্রিপশন নবায়ন, পাওনা আদায় বা রোগী পোর্টাল হালনাগাদের বার্তায় প্রকৃত তথ্য যুক্ত থাকলে তা আরও বিশ্বাসযোগ্য হয়ে ওঠে। যোগাযোগের তথ্য ও স্বাস্থ্যের বিবরণ একসঙ্গে ব্যবহার করে আক্রমণকারী এমন তথ্য দিতে পারে, যা দেখে মনে হয় ব্যবহারকারী সত্যিই ওই স্বাস্থ্যসেবা ব্যবস্থার সঙ্গে যুক্ত।

ক্ষতিগ্রস্ত ব্যক্তিদের জন্য সোশ্যাল সিকিউরিটি নম্বর বা ড্রাইভিং লাইসেন্স নম্বরসংক্রান্ত ঝুঁকি বেশি দীর্ঘমেয়াদি এবং পরিচয়কেন্দ্রিক। এগুলো এমন শনাক্তকারী তথ্য, যা পরিবর্তন করা যায় না বা পরিবর্তন করা কঠিন। যাঁদের অর্থ পরিশোধের বিবরণ আক্রান্ত হয়েছে, তাঁদের আর্থিক অ্যাকাউন্টের কার্যক্রম, প্রতারণামূলক বিলের দাবি এবং কার্ড বা ব্যাংক অ্যাকাউন্ট যাচাইয়ের চেষ্টার দিকেও নজর রাখা উচিত। এসব গোষ্ঠীর শুধু ঘটনার পরপরই নয়, পরবর্তী মাস ও বছরগুলোতেও সতর্ক থাকা উচিত।

এই নথির সঙ্গে যাঁদের তথ্য মেলে, তাঁদের প্রথমে পাওয়া ব্যক্তিগত বিজ্ঞপ্তির চিঠি বা স্বাস্থ্যসেবা প্রতিষ্ঠানের ঘোষণা পর্যালোচনা করা উচিত। বিজ্ঞপ্তিতে তাঁদের কোন তথ্যক্ষেত্রগুলো আক্রান্ত হয়েছে তা উল্লেখ থাকলে, সে অনুযায়ী অগ্রাধিকার নির্ধারণ করা উচিত। সোশ্যাল সিকিউরিটি নম্বর বা ড্রাইভিং লাইসেন্স নম্বর অন্তর্ভুক্ত থাকলে ক্রেডিট ফ্রিজ, জালিয়াতির সতর্কতা এবং ক্রেডিট রিপোর্ট পরীক্ষা করার বিষয় বিবেচনা করা উচিত। স্বাস্থ্যবিমার তথ্য আক্রান্ত হলে সুবিধা ও দাবি নিষ্পত্তির ব্যাখ্যামূলক বিবরণী পরীক্ষা করা উচিত। গ্রহণ করেননি এমন কোনো সেবা বা অপরিচিত বিমা দাবি দেখা গেলে বিমা প্রদানকারীর সঙ্গে যোগাযোগ করা উচিত।

স্বাস্থ্য রেকর্ড, রোগনির্ণয়, ওষুধ, পরীক্ষার ফলাফল বা চিকিৎসার তথ্য আক্রান্ত হয়ে থাকলে সংশ্লিষ্ট ব্যক্তিদের রোগী পোর্টাল ও ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা উচিত। প্রতিটি অ্যাকাউন্টের পাসওয়ার্ড আলাদা হওয়া উচিত এবং একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলানো উচিত। একাধিক উপাদানভিত্তিক প্রমাণীকরণ সমর্থিত হলে তা চালু করা উচিত। স্বাস্থ্যসেবা প্রতিষ্ঠানের নামে আসা কোনো বার্তায় লিংক থাকলে তাড়াহুড়ো করে ক্লিক করা উচিত নয়; বরং প্রতিষ্ঠানটির পরিচিত ওয়েব ঠিকানা বা অফিসিয়াল ফোন নম্বরের মাধ্যমে যাচাই করা উচিত।

যাঁদের অর্থ পরিশোধের বিবরণ অন্তর্ভুক্ত রয়েছে, তাঁদের নিয়মিত আর্থিক অ্যাকাউন্টের কার্যক্রম, কার্ডের লেনদেন ও পাওনা আদায়ের বিজ্ঞপ্তি পর্যবেক্ষণ করা উচিত। ভুয়া পাওনা আদায়ের ফোন, অর্থ পরিশোধের তথ্য হালনাগাদের অনুরোধ বা বিমার বকেয়ার অজুহাতে চাওয়া তথ্য সতর্কভাবে যাচাই করা উচিত। কেউ এই ঘটনার সঙ্গে সম্পর্কিত বিনামূল্যের পরিচয় সুরক্ষা সেবার প্রস্তাব পেলে, আবেদনের জন্য শুধু বিজ্ঞপ্তিতে উল্লেখ করা বিশ্বস্ত মাধ্যম ব্যবহার করা উচিত; ইমেইল বা বার্তায় আলাদাভাবে আসা লিংক বিশ্বাস করা উচিত নয়।

Veradigm-এর 2024 সালের তথ্য ফাঁসের নথি দীর্ঘমেয়াদি ঝুঁকি বহন করে, কারণ স্বাস্থ্য ও পরিচয়সংক্রান্ত তথ্য দ্রুত অকার্যকর হয়ে যায় না। রোগনির্ণয়, চিকিৎসা, ওষুধ ও পরীক্ষার ফলাফলের মতো স্বাস্থ্যতথ্য একবার ফাঁস হলে তা ফিরিয়ে নেওয়া যায় না; বহু বছর পরও এই তথ্য সামাজিক প্রকৌশল, বিমা জালিয়াতি বা ব্যক্তিকে লক্ষ্য করে চাঁদাবাজির চেষ্টায় ব্যবহার করা যেতে পারে। তাই ব্যবহারকারীদের মাত্র কয়েক সপ্তাহ নজরদারি করেই সন্তুষ্ট থাকা উচিত নয়। ক্রেডিট রিপোর্ট, বিমার বিবরণী, রোগী পোর্টালে লগইন এবং ইমেইলের নিরাপত্তা নিয়মিত বিরতিতে পর্যালোচনা করা উচিত।

এই ঘটনা দেখায়, স্বাস্থ্যসেবা প্রতিষ্ঠানগুলোর স্টোরেজ অ্যাকাউন্টে প্রবেশের ক্ষেত্রে ঘটনা, সরবরাহকারী ও গ্রাহকের পরিচয়সংক্রান্ত তথ্য কতটা গুরুত্বপূর্ণ ভূমিকা রাখে। গ্রাহকপক্ষের একটি মাত্র ডিজিটাল পরিচয় অননুমোদিত পক্ষের দখলে গেলেও সেবাদাতার স্টোরেজে ব্যাপক প্রভাব পড়তে পারে। তাই প্রতিষ্ঠানগুলোর অ্যাক্সেস কী নিয়মিত বদলানো, স্টোরেজ অ্যাকাউন্টে প্রবেশের বিস্তারিত লগ রাখা, তথ্যে অস্বাভাবিক অ্যাক্সেস দ্রুত শনাক্ত করতে সতর্কবার্তা চালু করা এবং ন্যূনতম প্রয়োজনীয় অনুমতির নীতি অনুযায়ী গ্রাহক প্রতিষ্ঠানের অনুমতি সীমিত করা উচিত।

ব্যক্তিগত ব্যবহারকারীদের জন্য টেকসই পন্থা হলো আর্থিক অ্যাকাউন্টের মতোই গুরুত্ব দিয়ে স্বাস্থ্যসংক্রান্ত অ্যাকাউন্ট সুরক্ষিত রাখা। কোনো ইমেইল অ্যাকাউন্টের নিরাপত্তা ভঙ্গ হলে রোগী পোর্টাল, বিমা অ্যাকাউন্ট ও অর্থ পরিশোধের বিজ্ঞপ্তিও ঝুঁকিতে পড়তে পারে। তাই একটি শক্তিশালী পাসওয়ার্ড ম্যানেজার, একাধিক উপাদানভিত্তিক প্রমাণীকরণ, নিয়মিত নিরাপত্তা পরীক্ষা এবং সন্দেহজনক বার্তা অন্য একটি মাধ্যম দিয়ে যাচাই করার অভ্যাস গুরুত্বপূর্ণ। স্বাস্থ্যতথ্য ফাঁস শুধু গোপনীয়তার সমস্যা নয়; এটি পরিচয় ও আর্থিক নিরাপত্তারও সমস্যা।

LeakData-তে অনুসন্ধান করে আপনার তথ্য Veradigm-এর 2024 সালের তথ্য ফাঁসের নথির সঙ্গে মেলে কি না, তা যাচাই করতে সহায়তা পাওয়া যায়। মিল পাওয়া গেলে আপনার জানা উচিত যে এটি স্বাস্থ্যপ্রযুক্তি প্রদানকারীর দিক থেকে উদ্ভূত, সুরক্ষিত স্বাস্থ্যতথ্য জড়িত এমন একটি অত্যন্ত সংবেদনশীল তথ্য ফাঁসের ঘটনা। মিল না পাওয়ার অর্থ এই নয় যে আপনি নিশ্চিতভাবে ক্ষতিগ্রস্ত হননি; নথিগুলো বিজ্ঞপ্তির পরিসর, যাচাইকৃত ব্যক্তির সংখ্যা এবং প্রক্রিয়াকরণ করা তথ্যের উৎস দ্বারা সীমিত হতে পারে।

যাঁদের তথ্য মিলে যায়, তাঁদের বাস্তব করণীয় পরিকল্পনা তিনটি ভাগে ভাগ করা উচিত: পরিচয়সংক্রান্ত তথ্য, স্বাস্থ্য রেকর্ড এবং অর্থ পরিশোধের ঝুঁকি। পরিচয়সংক্রান্ত তথ্যের জন্য ঋণ ও আনুষ্ঠানিক আবেদনসংক্রান্ত কার্যক্রম পর্যবেক্ষণ করা উচিত; স্বাস্থ্য রেকর্ডের জন্য বিমার বিবরণী ও রোগী পোর্টালের বিজ্ঞপ্তি পরীক্ষা করা উচিত; আর অর্থ পরিশোধের ঝুঁকির জন্য কার্ড, ব্যাংক ও পাওনা আদায়ের বিজ্ঞপ্তি সতর্কভাবে দেখা উচিত। এই পদক্ষেপগুলো সেদিনই শুরু করা এবং পরবর্তী মাসগুলোতে নিয়মিত চালিয়ে যাওয়া উচিত।

এই নথিতে ঘটনাটির যাচাইকৃত সীমা বিশেষভাবে বজায় রাখা হয়েছে: একটি মাত্র স্টোরেজ অ্যাকাউন্ট, আনুমানিক 15 ডিসেম্বর 2024 তারিখে প্রবেশ, 1 জুলাই 2025 তারিখে ঘটনা সম্পর্কে জানা, 26,72,036 জন ক্ষতিগ্রস্ত ব্যক্তি এবং ব্যক্তিভেদে ভিন্ন স্বাস্থ্য, পরিচয়, বিমা ও অর্থ পরিশোধসংক্রান্ত তথ্যক্ষেত্র। উদ্দেশ্য হলো অযাচাইকৃত দাবি দিয়ে ব্যবহারকারীকে বিভ্রান্ত না করে প্রকৃত ঝুঁকি স্পষ্টভাবে তুলে ধরা। স্বাস্থ্যতথ্য ও পরিচয় যাচাইয়ের তথ্য একসঙ্গে জড়িত থাকায় Veradigm-এর 2024 সালের তথ্য ফাঁসের নথিকে গুরুতর ঝুঁকি হিসেবে বিবেচনা করে পর্যবেক্ষণ করা উচিত।