VITAS Hospice Services-এ 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান সূত্র হলো ক্ষতিগ্রস্ত ব্যক্তিদের কাছে VITAS Hospice Services-এর পাঠানো চৌদ্দ পৃষ্ঠার তথ্য নিরাপত্তা লঙ্ঘনের নোটিশ। এতে সরাসরি ঘটনার সন্ধান পাওয়ার তারিখ, সরবরাহকারীর অ্যাকাউন্টের নিরাপত্তা লঙ্ঘন, অননুমোদিত প্রবেশের সময়সীমা, তথ্য ডাউনলোড, তদন্ত, নিরাপত্তার উন্নতি এবং চব্বিশ মাসের সুরক্ষামূলক সেবা সম্পর্কে ব্যাখ্যা দেওয়া হয়েছে।

দ্বিতীয় সূত্র হলো HHS OCR-এর তথ্য নিরাপত্তা লঙ্ঘনবিষয়ক পোর্টাল। এতে ফেডারেল রেকর্ডে উল্লিখিত মোট 3,19,177 জনের সংখ্যা এবং ঘটনার শ্রেণিবিভাগ নিশ্চিত করা হয়েছে। তৃতীয় সূত্র হলো 9 ডিসেম্বর 2025 তারিখে প্রকাশিত SecurityWeek-এর প্রতিবেদন। VITAS-এর নোটিশ ও ফেডারেল রেকর্ডের ভিত্তিতে প্রতিবেদনটি স্বাধীনভাবে ঘটনার পরিসর, প্রবেশের পদ্ধতি এবং রোগীদের তথ্য ডাউনলোডের বিবরণ তুলে ধরে। HIPAA Journal-ও একই সময়রেখা ও তথ্যের ধরন সমর্থন করে।

অননুমোদিত পক্ষটি VITAS-এর একজন সরবরাহকারীর অ্যাকাউন্টের নিরাপত্তা ভেঙে সেটি ব্যবহার করে VITAS-এর কিছু নির্দিষ্ট সিস্টেমে প্রবেশ করে। প্রতিষ্ঠানটি 24 অক্টোবর ঘটনাটি শনাক্ত করে। ফরেনসিক পর্যালোচনায় আনুমানিক 21 সেপ্টেম্বর থেকে 27 অক্টোবর পর্যন্ত অননুমোদিত প্রবেশের প্রমাণ পাওয়া যায়। ওই সময়ে কিছু বর্তমান ও সাবেক রোগীর তথ্য দেখা ও ডাউনলোড করা হয়।

ঘটনাটি শনাক্ত করার পর VITAS তার সিস্টেম সুরক্ষিত করার ব্যবস্থা নেয়, অভ্যন্তরীণ তদন্ত শুরু করে এবং বাইরের বিশেষজ্ঞদের যুক্ত করে। শনাক্ত হওয়ার তিন দিন পর অননুমোদিত প্রবেশের আনুমানিক শেষ সময়টি ফরেনসিক পর্যালোচনা শেষে নির্ধারিত ঘটনাক্রম থেকে পাওয়া গেছে। প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন সবচেয়ে শুরুর প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে।

ব্যক্তিভেদে তথ্যের ধরন আলাদা ছিল। এর মধ্যে নাম, ঠিকানা, ফোন নম্বর, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর, নিকটাত্মীয়ের যোগাযোগের তথ্য, রোগনির্ণয়, ওষুধ, ল্যাব পরীক্ষার ফলাফল, স্বাস্থ্যের অবস্থা, চিকিৎসার তথ্য, স্বাস্থ্যবিমার তথ্য এবং অন্যান্য ব্যক্তিগত তথ্য থাকতে পারে। পরিচয় জালিয়াতি ও চিকিৎসাসংক্রান্ত জালিয়াতির দিক থেকে এই সম্মিলিত তথ্য অত্যন্ত সংবেদনশীল।

VITAS বলেনি যে 3,19,177 জনের প্রত্যেকের ক্ষেত্রে সব ধরনের তথ্য ছিল। প্রতিষ্ঠানের চিঠিতে তথ্য ডাউনলোডের বিষয়টি নিশ্চিত করা হয়েছে। তবে তথ্য প্রকাশ্যে ছড়িয়ে দেওয়া, বিক্রি করা বা কোনো নির্দিষ্ট র‍্যানসমওয়্যার গোষ্ঠীর কাছে হস্তান্তর করা হয়েছে, এমনটি এসব সূত্র থেকে প্রতিষ্ঠিত হয় না।

সরকারি সূত্রে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির যে পরিসর জানানো হয়েছে, তা নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশিত প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। SecurityWeek এবং স্বাস্থ্যসেবার নিরাপত্তাবিষয়ক অন্যান্য প্রকাশনাও ফেডারেল রেকর্ডের একই মোট সংখ্যা জানিয়েছে। এই সংখ্যায় নোটিশের আওতাভুক্ত ব্যক্তিদের গণনা করা হয়েছে; ফাইল, হসপিসে সেবা গ্রহণের সংখ্যা, প্রেসক্রিপশন, ল্যাব পরীক্ষার ফলাফল বা পৃথক তথ্যের সংখ্যা নয়।

VITAS Hospice Services দেশব্যাপী VITAS Healthcare-এর হসপিস ও প্যালিয়েটিভ সেবা নেটওয়ার্কের অংশ হিসেবে কাজ করে। ঘটনায় বর্তমান ও সাবেক রোগীদের তথ্য জড়িত ছিল। তবে এই দুই গোষ্ঠীতে আলাদাভাবে কতজন ছিলেন কিংবা প্রতিটি তথ্যের ধরনে কতজন ক্ষতিগ্রস্ত হয়েছেন, তা প্রকাশ করা হয়নি। তাই এই বিবরণে মোট সংখ্যাকে ভাগ করে আলাদা হিসাব দেওয়া হয়নি।

VITAS জানিয়েছে, তারা নিজেদের সিস্টেম সুরক্ষিত করেছে, অভ্যন্তরীণ তদন্ত শুরু করেছে, একটি শীর্ষস্থানীয় সাইবার নিরাপত্তা প্রতিষ্ঠানের সঙ্গে কাজ করেছে এবং আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানিয়েছে। একই ধরনের ঘটনার ঝুঁকি কমাতে প্রতিষ্ঠানটি সরবরাহকারীদের ওপর তদারকি এবং তথ্য সুরক্ষার প্রক্রিয়াগুলোও পর্যালোচনা ও জোরদার করেছে।

চিঠি পাঠানোর সময় VITAS ব্যক্তিগত তথ্যের অপব্যবহারের কোনো ঘটনা সম্পর্কে জানত না। তা সত্ত্বেও ক্ষতিগ্রস্ত ব্যক্তিদের Epiq-এর মাধ্যমে চব্বিশ মাসের বিনা মূল্যের ক্রেডিট পর্যবেক্ষণ, পরিচয় সুরক্ষা ও চিকিৎসাসংক্রান্ত পর্যবেক্ষণ সেবা দেওয়া হয়। এই সেবার মধ্যে পরিচয় পুনরুদ্ধার, ক্রেডিট ফ্রিজ করার সহায়তা এবং চিকিৎসাসংক্রান্ত পরিচয়ের তথ্য উন্মুক্ত হওয়ার নির্দিষ্ট কিছু লক্ষণ সম্পর্কে সতর্কবার্তা অন্তর্ভুক্ত রয়েছে।

আপনি নোটিশ পেয়ে থাকলে, চিঠিতে উল্লিখিত নিবন্ধনের সময়সীমার মধ্যে Epiq সেবা চালু করুন। অপরিচিত অ্যাকাউন্ট বা কার্যকলাপ আছে কি না দেখতে নিয়মিত ক্রেডিট প্রতিবেদন, ঠিকানা পরিবর্তনের তথ্য, স্বাস্থ্যবিমার সুবিধাসংক্রান্ত ব্যাখ্যামূলক বিবরণী এবং চিকিৎসাসেবা গ্রহণের ইতিহাস পর্যালোচনা করুন। সন্দেহজনক কোনো তথ্য পাওয়া গেলে সংশ্লিষ্ট প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যমে তা জানান।

VITAS-এর চিঠিতে স্পষ্টভাবে বলা হয়েছে যে প্রতিষ্ঠানটি এই ঘটনা সম্পর্কে ইলেকট্রনিক মাধ্যমে কোনো বার্তা পাঠাবে না। প্রাপকদের ইলেকট্রনিক মাধ্যমে ব্যক্তিগত তথ্য না দিতেও বলা হয়েছে। VITAS, Epiq, কোনো বিমা প্রতিষ্ঠান বা সেবাদাতা প্রতিষ্ঠানের নামে আসা অপ্রত্যাশিত লিংক খুলবেন না; যোগাযোগ শুরু করতে যাচাইকৃত নম্বর ব্যবহার করুন। সন্দেহজনক কোনো বার্তা বা অ্যাকাউন্টে কোনো ঘটনা দেখা গেলে, বার্তার লিংক ব্যবহার না করে সংশ্লিষ্ট প্রতিষ্ঠানের বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যমে সেটি যাচাই করুন।