West Pharmaceutical Services-এর 2026 সালের তথ্য ফাঁস

West Pharmaceutical Services-এর Form 8-K-এর Item 1.05-এ স্পষ্টভাবে বলা হয়েছে, কোম্পানিতে একটি তাৎপর্যপূর্ণ সাইবার নিরাপত্তা হামলা হয়েছিল, যাতে কিছু তথ্য সরিয়ে নেওয়া হয় এবং কয়েকটি সিস্টেম এনক্রিপ্ট করা হয়। এটি কোনো হামলাকারীর দাবি নয়; এটি শেয়ারবাজারে তালিকাভুক্ত প্রতিষ্ঠানটির পক্ষ থেকে একটি ফেডারেল নিয়ন্ত্রক সংস্থার কাছে আনুষ্ঠানিকভাবে দেওয়া তথ্য। দাখিল করা নথিতে প্রথম শনাক্তকরণের তারিখ 4 মে এবং ঘটনাটিকে তাৎপর্যপূর্ণ বলে নির্ধারণের তারিখ 7 মে উল্লেখ করা হয়েছে।

BleepingComputer 13 মে পৃথকভাবে SEC-কে দেওয়া তথ্য, বিশ্বজুড়ে কার্যক্রমে বিঘ্ন এবং কোম্পানির একজন মুখপাত্রের কাছ থেকে পাওয়া প্রতিক্রিয়ামূলক ব্যবস্থার বিবরণ নিয়ে প্রতিবেদন প্রকাশ করে। 23 জুলাই দাখিল করা West-এর দ্বিতীয় ত্রৈমাসিকের Form 10-Q-এ মে মাসের হামলার কথা আবারও উল্লেখ করা হয় এবং জানানো হয়, ঘটনাটি নিয়ন্ত্রণে আনা হয়েছে ও কার্যক্রম পুরোপুরি স্বাভাবিক হয়েছে। এই তিনটি সূত্র একত্রে তথ্য চুরি, এনক্রিপশন, প্রাথমিক প্রভাব এবং কার্যক্রমের সর্বশেষ অবস্থা যথেষ্টভাবে নিশ্চিত করে।

4 মে নেটওয়ার্কে অনুপ্রবেশ শনাক্ত করার পর কোম্পানি সাইবার নিরাপত্তার ঘটনা মোকাবিলার নির্ধারিত প্রক্রিয়া চালু করে। নিজেদের স্থাপনায় থাকা অবকাঠামোর আক্রান্ত অংশগুলো সতর্কতামূলক ব্যবস্থা হিসেবে বন্ধ করে বিচ্ছিন্ন করা হয়, প্রতিষ্ঠানের সিস্টেমগুলোতে প্রবেশ সীমিত করা হয়, আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানানো হয় এবং বাইরের সাইবার ফরেনসিক বিশেষজ্ঞদের যুক্ত করা হয়। তদন্ত, হামলা নিয়ন্ত্রণ ও পুনরুদ্ধারে অন্যান্য বিশেষজ্ঞ এবং আইনি পরামর্শকদের পাশাপাশি সহায়তা দেওয়ার জন্য West, Palo Alto Networks Unit 42-কেও নিয়োগ করে।

SEC-তে দাখিল করা নথি অনুযায়ী, হামলাকারী নেটওয়ার্ক থেকে কিছু তথ্য সরিয়ে নিয়েছিল এবং কয়েকটি সিস্টেম এনক্রিপ্ট করেছিল। এই দুটি নিশ্চিত তথ্য ঘটনাটিকে নিছক সেবা বন্ধ হয়ে যাওয়া বা প্রবেশের ব্যর্থ চেষ্টা থেকে আলাদা করে। West প্রকাশ করেনি যে প্রথমে কীভাবে প্রবেশ করা হয়েছিল, কোন ম্যালওয়্যার ব্যবহার করা হয়েছিল, হামলাকারী কতক্ষণ নেটওয়ার্কে অবস্থান করেছিল, কিংবা মুক্তিপণ দাবি করা হয়েছিল কি না। তাই অনুমানের ভিত্তিতে এসব বিবরণ এই রেকর্ডে যোগ করা হয়নি।

আনুষ্ঠানিক নথিগুলোতে সবচেয়ে সুনির্দিষ্ট যে বর্ণনাটি পাওয়া যায়, তা হলো “কিছু তথ্য”। ওই তথ্যসমষ্টিতে ফাইল, ইমেইল, ব্যবসায়িক নথি, ব্যক্তিগত তথ্য নাকি অন্য কোনো ধরনের বিষয়বস্তু ছিল, কোম্পানি তা প্রকাশ্যে জানায়নি। প্রতিষ্ঠানটি বলেছিল, চুরি করে সরিয়ে নেওয়া তথ্য ছড়িয়ে পড়ার ঝুঁকি কমানোর উদ্দেশ্যে তারা কিছু পদক্ষেপ নিয়েছে। তবে কী ব্যবস্থা নেওয়া হয়েছে বা তথ্য প্রকাশিত হয়েছে কি না, তা জানায়নি।

West ইনজেকশনের মাধ্যমে দেওয়া ওষুধের প্যাকেজিং, ভায়াল ও সিরিঞ্জের যন্ত্রাংশ, ওষুধ ধারণের ব্যবস্থা এবং ওষুধ প্রয়োগের যন্ত্র তৈরি করে। শুধু এই ব্যবসায়িক কার্যক্রমের ভিত্তিতে রোগী বা স্বাস্থ্যসংক্রান্ত তথ্য ফাঁস হয়েছে বলা যায় না। কর্মীর সংখ্যা, গ্রাহকসংখ্যা, আয়, স্থাপনার সংখ্যা এবং উৎপাদনের পরিমাণ, কোনোটিই তথ্য ফাঁসের ঘটনায় ক্ষতিগ্রস্তদের বা রেকর্ডের মোট সংখ্যা নয়।

ঘটনাটি এবং সতর্কতামূলক ব্যবস্থা হিসেবে কোম্পানির কিছু কার্যক্রম বন্ধ করা বিশ্বজুড়ে ব্যবসায়িক কার্যক্রমে সাময়িক বিঘ্ন ঘটায়। 11 মে দেওয়া বিবৃতি অনুযায়ী, প্রতিষ্ঠানের মূল সিস্টেমগুলো পুনরুদ্ধার করা হয়েছিল এবং কিছু স্থাপনায় পণ্য পাঠানো, গ্রহণ ও উৎপাদনের গুরুত্বপূর্ণ প্রক্রিয়াগুলো আবার চালু হয়েছিল; অন্য স্থাপনাগুলোতে তখনও পুনরুদ্ধারের কাজ চলছিল। West জানায়, ঝুঁকি ও বিলম্ব যথাসম্ভব কমাতে তারা ব্যবসা সচল রাখার পরিকল্পনা অনুসরণ করেছে এবং গ্রাহকদের সঙ্গে কাজ করেছে।

30 জুন পর্যন্ত সময়কাল নিয়ে 23 জুলাই দাখিল করা Form 10-Q-এ বলা হয়েছে, ঘটনাটি নিয়ন্ত্রণে আনা হয়েছে এবং কার্যক্রম পুরোপুরি স্বাভাবিক হয়েছে। এতে মে মাসের ঘটনার সঙ্গে সম্পর্কিত পেশাদার সেবার ফি ও বিভিন্ন আইনি বিষয়ের ব্যয় একসঙ্গে দেখানো হয়েছে। তাই ব্যয়ের ওই খাত থেকে শুধু এই ঘটনার সুনির্দিষ্ট খরচ হিসাব করা যায় না।

তথ্য চুরি করে সরিয়ে নেওয়ার পর সিস্টেম এনক্রিপ্ট করা র‍্যানসমওয়্যার হামলায় ব্যবহৃত দ্বৈত চাঁদাবাজির ধরনের সঙ্গে মিলে যায়। কিছু প্রতিবেদনে ঘটনাটিকে র‍্যানসমওয়্যার হামলা হিসেবে বর্ণনা করা হয়েছিল। তবে SEC-কে দেওয়া West-এর ভাষ্যে এটিকে একটি “তাৎপর্যপূর্ণ সাইবার নিরাপত্তা হামলা” বলা হয়েছে; সেখানে কোনো হামলাকারীর নাম, র‍্যানসমওয়্যার পরিবার বা অর্থ পরিশোধের দাবি নিশ্চিত করা হয়নি। BleepingComputer জানিয়েছিল, তাদের প্রতিবেদন প্রকাশের সময় কোনো র‍্যানসমওয়্যার গোষ্ঠী দায় স্বীকার করেনি।

তাই এই রেকর্ডে যাচাই করা প্রযুক্তিগত আচরণ, তথ্য চুরি করে সরিয়ে নেওয়া এবং সিস্টেম এনক্রিপ্ট করা, অন্তর্ভুক্ত করা হয়েছে, কিন্তু ঘটনাটিকে নির্দিষ্ট নামের কোনো র‍্যানসমওয়্যার বা হামলাকারীর সঙ্গে যুক্ত করা হয়নি। পরে কোনো তথ্য ফাঁসের সাইটে এ-সংক্রান্ত তালিকা প্রকাশিত হলেও, কোম্পানি বা স্বাধীন প্রযুক্তিগত প্রমাণ তা যাচাই না করা পর্যন্ত সেটিকে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা বা তথ্যের শ্রেণি হিসেবে গ্রহণ করা হয় না। এতে কোম্পানির নিশ্চিত করা প্রকৃত তথ্য ফাঁসের ঘটনা ও হামলাকারীর প্রচারণামূলক দাবি আলাদা রাখা হয়।

প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন সবচেয়ে আগের প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। নিশ্চিত ঘটনাটি হলো West-এর নেটওয়ার্ক থেকে অনির্দিষ্ট ধরনের তথ্য সরিয়ে নেওয়া, কয়েকটি সিস্টেম এনক্রিপ্ট করা এবং বিশ্বজুড়ে কার্যক্রমে সাময়িক বিঘ্ন ঘটানো। জুলাইয়ের মধ্যে ঘটনাটি নিয়ন্ত্রণে আনা হয়েছিল এবং কার্যক্রম পুরোপুরি স্বাভাবিক হয়েছিল।

প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা বা মোট রেকর্ডের কোনো যাচাইযোগ্য হিসাব প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না। West পরে নোটিশ পাঠানোর মোট সংখ্যা বা তথ্যের নির্দিষ্ট শ্রেণি প্রকাশ করলে, মূল সূত্রের সঙ্গে মিলিয়ে সেগুলো যাচাই করার পর রেকর্ডটি হালনাগাদ করা যেতে পারে।