Whitfield Regional Hospital-এর 2025 সালের তথ্য নিরাপত্তা লঙ্ঘন

প্রধান সূত্র হলো Whitfield Regional Hospital-এর নিজস্ব ডোমেইনে প্রকাশিত 17 জুলাই তারিখের “তথ্য নিরাপত্তার ঘটনা সম্পর্কে বিজ্ঞপ্তি”। হাসপাতালটি সরাসরি নেটওয়ার্কে অননুমোদিত প্রবেশ, তাৎক্ষণিক প্রতিক্রিয়া, আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানানো, বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের সহায়তায় তদন্ত, 26 জুনের তথ্য পর্যালোচনার ফলাফল, সম্ভাব্য তথ্যের ধরন এবং সহায়তা ফোন লাইন সম্পর্কে বর্ণনা দিয়েছে।

ম্যাসাচুসেটসের ভোক্তা বিজ্ঞপ্তি-সংক্রান্ত একটি নথি Whitfield Regional Hospital নামে কার্যক্রম পরিচালনাকারী Tombigbee Healthcare Authority-এর জন্য রাজ্য পর্যায়ের সরকারি রেকর্ড হিসেবে রয়েছে। Claim Depot প্রতিষ্ঠানটির PDF ও নিয়ন্ত্রক সংস্থার নথির মধ্যে যোগসূত্র তুলে ধরে এবং 15 মে থেকে 8 জুন পর্যন্ত প্রবেশের সময়সীমা, ফাইল দেখা বা সরিয়ে নেওয়ার সম্ভাবনা এবং তথ্যের বিভাগগুলো সংক্ষেপে বর্ণনা করে। প্রতিষ্ঠান, তারিখ এবং ঘটনার পরিধি সম্পর্কে সূত্রগুলোর বিবরণ পরস্পরের সঙ্গে সামঞ্জস্যপূর্ণ।

হাসপাতালটি 8 জুনের কাছাকাছি সময়ে তার নেটওয়ার্কে অননুমোদিত প্রবেশ শনাক্ত করে। বাইরের সাইবার নিরাপত্তা বিশেষজ্ঞদের তদন্তে দেখা যায়, অননুমোদিত ব্যক্তিরা 15 মে থেকে 8 জুন পর্যন্ত নেটওয়ার্কের কিছু ফাইলে প্রবেশ করে থাকতে পারেন বা সেগুলো সরিয়ে নিয়ে থাকতে পারেন। ঘটনাটি জানার পর হাসপাতালটি তার নেটওয়ার্ক সুরক্ষিত করে, আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানায় এবং ঘটনার পরিধি তদন্ত করতে শুরু করে।

প্রকাশ্য বিজ্ঞপ্তিতে ঘটনার জন্য দায়ী ব্যক্তি বা গোষ্ঠী, প্রথম প্রবেশের পদ্ধতি, ম্যালওয়্যার, মুক্তিপণের দাবি কিংবা ফাইলগুলো প্রকাশ্যে ছড়িয়ে দেওয়া হয়েছিল কি না, এসব উল্লেখ করা হয়নি। ফাইলগুলোতে “প্রবেশ করা হয়ে থাকতে পারে বা সেগুলো সরিয়ে নেওয়া হয়ে থাকতে পারে”, এই মূল্যায়ন থেকে প্রতিটি ফাইল নিশ্চিতভাবে বাইরে নিয়ে যাওয়া হয়েছে বলে প্রমাণিত হয় না। অযাচাইকৃত ব্যক্তিসংখ্যা, তথ্যের ধরন এবং হামলাকারীদের দাবিকে প্রকাশ্যে বর্ণিত ঘটনার পরিধির অংশ হিসেবে ধরা হয় না।

ব্যক্তিভেদে তথ্য আলাদা ছিল, তবে এতে ব্যক্তিগত নাম ও পারিবারিক নাম, জন্মতারিখ, সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর এবং আর্থিক অ্যাকাউন্টের তথ্য থাকতে পারে। একসঙ্গে এসব তথ্য পরিচয় চুরি, প্রতারণামূলক ঋণ বা অ্যাকাউন্টের আবেদন, কর জালিয়াতি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ব্যাংকের পরিচয়ে প্রতারণার উল্লেখযোগ্য ঝুঁকি তৈরি করে। প্রত্যেক ব্যক্তির সব ধরনের তথ্য এই ঘটনায় জড়িত ছিল বলে ধরে নেওয়া উচিত নয়।

আনুষ্ঠানিক বিবরণে কোনো ব্যাংকের নাম, অ্যাকাউন্ট নম্বরের বিন্যাস, রাউটিং নম্বর, পেমেন্ট কার্ড, PIN, পাসওয়ার্ড, ব্যালান্স বা লেনদেনের ইতিহাস আলাদাভাবে প্রকাশ করা হয়নি। বিজ্ঞপ্তি পাওয়া ব্যক্তিদের উচিত আর্থিক অ্যাকাউন্টের সতর্কবার্তা চালু করা এবং অপরিচিত লেনদেন, নতুন অর্থপ্রাপক বা যোগাযোগের তথ্যে পরিবর্তন দেখলে সরাসরি সংশ্লিষ্ট প্রতিষ্ঠানকে জানানো।

Whitfield Regional Hospital স্পষ্টভাবে নিশ্চিত করেছে যে প্রভাবিত ফাইলগুলোতে চিকিৎসাসংক্রান্ত তথ্য ও স্বাস্থ্যবিমার তথ্য থাকতে পারে। এসব তথ্য থেকে হাসপাতালটি বা অন্য কোনো চিকিৎসাসেবার সঙ্গে কোনো ব্যক্তির সম্পর্ক বোঝা যেতে পারে। এগুলো চিকিৎসাসংক্রান্ত পরিচয়ের অপব্যবহার বা বিশ্বাসযোগ্য সোশ্যাল ইঞ্জিনিয়ারিং প্রতারণায় সহায়তা করতে পারে। বিজ্ঞপ্তির শুরুতেই আরও বলা হয়েছে যে ঘটনাটিতে HIPAA-এর আওতায় সুরক্ষিত স্বাস্থ্যতথ্য জড়িত ছিল।

প্রকাশ্য নথিতে কোনো রোগ নির্ণয়, চিকিৎসা, প্রেসক্রিপশন, মেডিকেল রেকর্ড নম্বর, বিমা পলিসি নম্বর, সেবাদাতার নাম, সেবা গ্রহণের তারিখ বা বিলিং কোড আলাদাভাবে প্রকাশ করা হয়নি। সুরক্ষা-সংক্রান্ত অংশে চিকিৎসাসংক্রান্ত পরিচয়ের যে সাধারণ উদাহরণ দেওয়া হয়েছে, সেগুলোকে এই ঘটনায় জড়িত তথ্যের ধরন হিসেবে ধরা উচিত নয়। LeakData সূত্রে নিশ্চিত করা তথ্যের বিশদ বিবরণের সীমার মধ্যেই চিকিৎসা ও স্বাস্থ্যবিমার তথ্যের বিভাগগুলো উপস্থাপন করে; চিকিৎসাসংক্রান্ত বিস্তারিত তথ্য অনুমান করে যোগ করে না।

ম্যাসাচুসেটসের নথিটি ওই রাজ্যে বিজ্ঞপ্তি পাঠানোর কার্যক্রমের রেকর্ড। প্রকাশ্য সূত্রগুলোতে একই ব্যক্তিকে একাধিকবার গণনা না করে নির্ধারিত দেশব্যাপী মোট ব্যক্তির সংখ্যা জানানো হয়নি। LeakData অজানা মোট সংখ্যা অনুমান করে না বা একটি রাজ্যের আংশিক সংখ্যাকে জাতীয় সংখ্যা হিসেবে উপস্থাপন করে না। প্রতিষ্ঠানটি প্রভাবিত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো নির্ভরযোগ্য মোট সংখ্যা দেয় না।

হাসপাতালের চিকিৎসাসংক্রান্ত তথ্যের নির্দেশনায় বলা হয়েছে, বিজ্ঞপ্তি প্রকাশের সময় পর্যন্ত তাদের কাছে এমন কোনো তথ্য ছিল না যে ঘটনায় জড়িত চিকিৎসাসংক্রান্ত তথ্য অনভিপ্রেত উদ্দেশ্যে ব্যবহার করা হয়েছে বা হবে। এই বক্তব্য ভবিষ্যতে অপব্যবহার হবে না, এমন নিশ্চয়তা দেয় না। ফাইলে প্রবেশের সম্ভাবনা এবং SSNs-এর মতো দীর্ঘস্থায়ী পরিচয় শনাক্তকারী তথ্যের কারণে দীর্ঘমেয়াদি নজরদারি করা এখনও উপযুক্ত।

Whitfield Regional Hospital তাৎক্ষণিকভাবে নেটওয়ার্ক সুরক্ষিত করে, আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানায়, বাইরের বিশেষজ্ঞদের সহায়তায় পূর্ণাঙ্গ তদন্ত ও তথ্য পর্যালোচনা চালায়, অভ্যন্তরীণ নিয়ন্ত্রণব্যবস্থা মূল্যায়ন করে এবং অতিরিক্ত সুরক্ষাব্যবস্থা কার্যকর করে। যোগ্য ব্যক্তিদের 12 মাসের জন্য বিনা মূল্যে Experian IdentityWorks-এর ক্রেডিট পর্যবেক্ষণ ও পরিচয় সুরক্ষা সেবা দেওয়ার প্রস্তাব করা হয়। গোপনীয় সহায়তার জন্য 877-791-2655 নম্বরে একটি ফোন লাইনও চালু করা হয়।

বিজ্ঞপ্তি পাওয়া ব্যক্তিদের উচিত অপরিচিত অ্যাকাউন্ট, লেনদেন বা সেবা শনাক্ত করতে ক্রেডিট রিপোর্ট, ব্যাংকের লেনদেন, স্বাস্থ্যসেবা পোর্টাল এবং বিমার সুবিধা ব্যাখ্যাকারী বিবরণী পর্যালোচনা করা। কোনো SSN জড়িত থাকলে ক্রেডিট ফ্রিজ, জালিয়াতির সতর্কতা এবং IRS Identity Protection PIN ব্যবহার করা উপযুক্ত হতে পারে। হাসপাতালের পক্ষ থেকে পাঠানো হয়েছে বলে দাবি করা অপ্রত্যাশিত বার্তায় স্বাস্থ্যতথ্য বা যাচাইকরণ কোড দেওয়া উচিত নয়।