Waveny LifeCare Network-এর 2025 সালের তথ্য ফাঁস

প্রধান সূত্র হলো Waveny-এর নিজস্ব ডোমেইনে প্রকাশিত “তথ্যের নিরাপত্তা-সংক্রান্ত ঘটনার বিজ্ঞপ্তি”। ওই নথিতে সংস্থাটি সরাসরি 28 মে-র কাছাকাছি সময়ে নেটওয়ার্কে বিঘ্ন, একটি অননুমোদিত পক্ষের নির্দিষ্ট কিছু তথ্যে প্রবেশের বিষয়টি শনাক্ত হওয়া, পর্যালোচনাধীন তথ্যের ধরন, সহায়তার ফোন নম্বর এবং ঘটনার পর নেওয়া নিরাপত্তা জোরদারের পদক্ষেপগুলো বর্ণনা করেছে।

HHS OCR-এর উন্মুক্ত পোর্টালে Waveny LifeCare Network-এর স্বাস্থ্যসেবা-সংক্রান্ত তথ্য ফাঁসের নথিভুক্ত বিবরণে প্রভাবিত ব্যক্তির সংখ্যা 27,113 বলা হয়েছে। ম্যাসাচুসেটসের ভোক্তাদের অবহিত করার একটি নথি বিনা মূল্যে পর্যবেক্ষণ-সহায়তার বিষয়টি সমর্থন করে। অন্যদিকে, Claim Depot সংস্থার আনুষ্ঠানিক সূত্র ও অঙ্গরাজ্যের সূত্রগুলো একত্র করে ঘটনার সময়রেখা ও পরিধি সংক্ষেপে তুলে ধরে। সংস্থা, ঘটনার তারিখ, তথ্যের ধরন এবং প্রভাবিত ব্যক্তির মোট সংখ্যার বিষয়ে সূত্রগুলো পরস্পরের সঙ্গে মিলে যায়।

28 মে বা তার কাছাকাছি সময়ে Waveny-এর নেটওয়ার্ক ব্যবস্থায় বিঘ্ন ঘটে। সংস্থাটি সঙ্গে সঙ্গে অভ্যন্তরীণ প্রতিক্রিয়ামূলক ব্যবস্থা নেয়, আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানায় এবং ঘটনার প্রকৃতি খতিয়ে দেখতে শীর্ষস্থানীয় সাইবার নিরাপত্তা বিশেষজ্ঞদের যুক্ত করে। আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, তদন্তে নির্ধারিত হয় যে ঘটনার সময় একটি অননুমোদিত পক্ষ নির্দিষ্ট কিছু তথ্যে প্রবেশ করেছিল।

একটি গৌণ সূত্র ঘটনাটিকে র‍্যানসমওয়্যার কার্যক্রম এবং Qilin নামের একটি গোষ্ঠীর দায় স্বীকারের দাবির সঙ্গে যুক্ত করেছে। Waveny-এর প্রধান বিজ্ঞপ্তিতে কোনো ব্যক্তি বা গোষ্ঠীর নাম বলা হয়নি, প্রাথমিকভাবে প্রবেশের পদ্ধতি বা ম্যালওয়্যার চিহ্নিত করা হয়নি এবং ডার্ক ওয়েবে তথ্য সত্যিই প্রকাশ করা হয়েছে বলে নিশ্চিত করা হয়নি।

যেসব তথ্য প্রভাবিত হয়ে থাকতে পারে, সেগুলোর মধ্যে রয়েছে নামের প্রথম ও শেষ অংশ এবং ঠিকানা, জন্মতারিখ, টেলিফোন নম্বর, ইমেইল ঠিকানা, সোশ্যাল সিকিউরিটি নম্বর ও ড্রাইভিং লাইসেন্স নম্বর। মুখের ছবিও থেকে থাকতে পারে। ব্যক্তিভেদে তথ্যের উপাদানগুলো আলাদা হওয়ায়, এই তালিকা সব সম্ভাব্য তথ্যের ধরন মিলিয়ে তৈরি করা হয়েছে; এটি প্রত্যেক ব্যক্তির জন্য সংরক্ষিত একটি পূর্ণাঙ্গ প্রোফাইলের বিবরণ নয়।

নাম, জন্মতারিখ ও SSN একসঙ্গে থাকলে নতুন অ্যাকাউন্ট খুলে প্রতারণা এবং কর-সংক্রান্ত পরিচয়ের অপব্যবহারের উল্লেখযোগ্য ঝুঁকি তৈরি হয়। ইমেইল, টেলিফোন ও ঠিকানার তথ্য ব্যবহার করে Waveny বা অন্য কোনো স্বাস্থ্যসেবা সংস্থার পরিচয়ে বিশ্বাসযোগ্য ফিশিং প্রচেষ্টা চালানো সম্ভব হতে পারে। মুখের ছবি মানেই বায়োমেট্রিক টেমপ্লেট নয়, এবং আনুষ্ঠানিক নথিতে মুখ শনাক্তকরণের টেমপ্লেট জড়িত থাকার বিষয়টি আলাদাভাবে নিশ্চিত করা হয়নি।

আনুষ্ঠানিক বিজ্ঞপ্তিতে ভর্তির তারিখ, ছাড়পত্রের তারিখ, মৃত্যুর তারিখ, চিকিৎসা নথির নম্বর, রোগীর অ্যাকাউন্ট নম্বর, পরীক্ষাগারের পরীক্ষার ফলাফল, মেডিকেল ইমেজিংয়ের ফলাফল এবং ইলেকট্রনিক স্বাস্থ্য নথির কথা উল্লেখ করা হয়েছে। স্বাস্থ্যবিমা অ্যাকাউন্ট বা পলিসি নম্বর এবং Medicare বা Medicaid-এর তথ্যও সম্ভাব্য প্রভাবের আওতায় ছিল। এসব তথ্য সরাসরি একজন ব্যক্তির সঙ্গে তাঁর চিকিৎসার ইতিহাসকে যুক্ত করে।

চিকিৎসা ও বিমা-সংক্রান্ত শনাক্তকারী তথ্য প্রতারণামূলক সেবা গ্রহণ, চিকিৎসা-সংক্রান্ত পরিচয়ের অপব্যবহার এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার কাজে ব্যবহার করা হতে পারে। রোগীদের উচিত স্বাস্থ্যসেবা পোর্টাল, বিলের সারসংক্ষেপ এবং বিমার সুবিধার ব্যাখ্যামূলক বিবৃতি পর্যালোচনা করে এমন কোনো সেবা, অপরিচিত সেবাদাতা বা অজানা বিমা দাবি আছে কি না দেখা, যার কারণ তাঁরা জানেন না। চিকিৎসা নথিতে অপ্রত্যাশিত পরিবর্তন হলে তা সরাসরি সংশ্লিষ্ট সেবাদাতাকে জানানো উচিত।

সম্ভাব্য তথ্যের ধরনগুলোর মধ্যে পেমেন্টের তথ্য ও আর্থিক অ্যাকাউন্ট নম্বরও রয়েছে। পেমেন্টের তথ্য বলতে কার্ড নম্বর, লেনদেনের নথি নাকি অন্য কোনো আর্থিক তথ্য বোঝানো হয়েছে, তা আনুষ্ঠানিক নথিতে ব্যাখ্যা করা হয়নি। সেখানে কোনো ব্যাংকের নাম বা অ্যাকাউন্টে প্রবেশের কোডও প্রকাশ করা হয়নি।

আনুষ্ঠানিক সূত্রে প্রকাশিত প্রভাবিত ব্যক্তি বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদিত পরিধি নির্দেশ করে। এর অর্থ এই নয় যে প্রকাশ করা প্রতিটি তথ্যের ধরন প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল। Claim Depot অঙ্গরাজ্যভিত্তিক উদাহরণ হিসেবে ম্যাসাচুসেটসের 174 জন, মেইনের 19 জন এবং ভারমন্টের নয়জন বাসিন্দার কথা জানিয়েছে। এই উপগোষ্ঠীগুলোর সংখ্যা দেশব্যাপী মোট সংখ্যার সঙ্গে অতিরিক্ত হিসেবে যোগ করা হয় না।

Waveny অভ্যন্তরীণ প্রতিক্রিয়ামূলক ব্যবস্থা নেয়, আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানায়, সাইবার নিরাপত্তা বিশেষজ্ঞদের সঙ্গে তদন্ত করে এবং ব্যবস্থার নিরাপত্তা বাড়াতে অতিরিক্ত পদক্ষেপ নেয়। অঙ্গরাজ্যের বিজ্ঞপ্তির নথিগুলোতে যোগ্য প্রাপকদের Cyberscout-এর মাধ্যমে 24 মাসের ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষার সুবিধা দেওয়ার প্রস্তাব ছিল। কর্মদিবসে ইস্টার্ন সময় সকাল 9:00 থেকে রাত 9:00 পর্যন্ত সহায়তার জন্য 833-353-3395 নম্বরে একটি নির্দিষ্ট ফোন লাইন চালু করা হয়।

বিজ্ঞপ্তির প্রাপকদের নিয়মিত ক্রেডিট রিপোর্ট, আর্থিক অ্যাকাউন্ট, স্বাস্থ্যসেবার বিল এবং বিমার সুবিধার ব্যাখ্যামূলক বিবৃতি পর্যালোচনা করা উচিত। SSN বা আর্থিক তথ্য জড়িত থাকলে ক্রেডিট ফ্রিজ করা, ক্রেডিট ফাইলে প্রতারণা-সংক্রান্ত সতর্কতা (ফ্রড অ্যালার্ট) যোগ করা এবং IRS Identity Protection PIN ব্যবহার করা উপযুক্ত হতে পারে। Waveny-এর প্রতিনিধি বলে দাবি করা অপ্রত্যাশিত বার্তার জবাবে পাসওয়ার্ড, SSN, বিমা নম্বর বা যাচাইকরণ কোড দেওয়া উচিত নয়।