ZenPatient-এর 2025 সালের তথ্য সুরক্ষা লঙ্ঘন

প্রধান প্রমাণ হলো ভোক্তাদের উদ্দেশে ZenPatient-এর 2026 সালের 17 জুলাই তারিখের নোটিশ, যা ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের নথির মাধ্যমে প্রকাশিত হয়েছে। কোম্পানির পক্ষ থেকে পাঠানো এই চিঠিতে সন্দেহজনক কার্যকলাপ শনাক্ত করা, অনুমতি ছাড়া ডেটায় প্রবেশ বা ডেটা কপি করার সময়কাল, পূর্ণাঙ্গ ডেটা পর্যালোচনা, বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া, ফেডারেল আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানানো এবং পরিচয় সুরক্ষার সেবা দেওয়ার প্রস্তাব সম্পর্কে সরাসরি উল্লেখ রয়েছে।

টেক্সাসে নিয়ন্ত্রক কর্তৃপক্ষের কাছে জমা দেওয়া তথ্য টেক্সাসের 1,179 জন বাসিন্দার সংখ্যা এবং ঘটনায় প্রভাবিত তথ্যের ধরনগুলোকে সমর্থন করে। Claim Depot ক্যালিফোর্নিয়া ও টেক্সাসের নথিগুলোর মধ্যে যোগসূত্র তুলে ধরে এবং স্বাধীনভাবে ঘটনার তারিখ ও নাম, ঠিকানা, জন্মতারিখ ও চিকিৎসাসংক্রান্ত তথ্যের পরিসর সংক্ষেপে বর্ণনা করে। প্রতিষ্ঠান, ডেটায় প্রবেশের সময়কাল, 1 জুলাইয়ের পর্যালোচনার ফলাফল এবং 17 জুলাই থেকে বিজ্ঞপ্তি দেওয়া শুরু হওয়ার বিষয়ে সূত্রগুলোর তথ্য মিলে যায়।

ZenPatient 27 ফেব্রুয়ারির দিকে তার নেটওয়ার্কে সন্দেহজনক কার্যকলাপ লক্ষ্য করে। বাইরের সাইবার নিরাপত্তা ও ডেটার গোপনীয়তা বিশেষজ্ঞদের নিয়ে পরিচালিত তদন্তে নির্ধারিত হয় যে এক বা একাধিক অননুমোদিত ব্যক্তি বা পক্ষ 5 ডিসেম্বর থেকে 12 ফেব্রুয়ারি পর্যন্ত ZenPatient-এর কিছু ডেটায় প্রবেশ করেছিল বা তা কপি করেছিল। আনুষ্ঠানিক চিঠিতে এই দুই সম্ভাবনাই উল্লেখ করা হয়েছে; সব ডেটা নিশ্চিতভাবে কপি করা হয়েছিল বলে জানানো হয়নি।

প্রকাশ্য তথ্যে প্রথম প্রবেশের পদ্ধতি, সংশ্লিষ্ট ব্যক্তি বা পক্ষের পরিচয়, ম্যালওয়্যার, মুক্তিপণের দাবি কিংবা শনাক্ত হওয়ার আগেই কেন প্রবেশ বন্ধ হয়ে গিয়েছিল, এসব প্রকাশ করা হয়নি। প্রভাবিত ব্যক্তির সংখ্যা, তথ্যের ধরন এবং হামলাকারী পক্ষের দাবি সম্পর্কে অযাচাইকৃত তথ্যকে এই ঘটনার প্রকাশ্য পরিসরের অংশ হিসেবে ধরা হয়নি।

নিয়ন্ত্রক কর্তৃপক্ষের নথির ভিত্তিতে তৈরি ঘটনার সারসংক্ষেপে প্রভাবিত ব্যক্তিগত তথ্যের মধ্যে নাম, ঠিকানা এবং জন্মতারিখ উল্লেখ করা হয়েছে। আনুষ্ঠানিক নমুনা চিঠিতে প্রাপকের নাম একটি স্থির উপাদান হিসেবে দেখানো হয়েছে, আর অন্যান্য তথ্য ব্যক্তি অনুযায়ী পরিবর্তনশীল একটি অংশে রয়েছে। তাই প্রত্যেক ব্যক্তির ক্ষেত্রে একই তথ্যসমষ্টি প্রভাবিত হয়েছে বলে ধরে নেওয়া উচিত নয়।

নাম, ঠিকানা এবং জন্মতারিখ ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, অ্যাকাউন্ট যাচাইয়ে প্রতারণা এবং সোশ্যাল ইঞ্জিনিয়ারিং করা সম্ভব হতে পারে। সুরক্ষাসংক্রান্ত পরিশিষ্টে উল্লিখিত সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স এবং অন্যান্য নথি ক্রেডিট ফ্রিজের জন্য প্রয়োজন হতে পারে, এমন সাধারণ উদাহরণ। এগুলো এই ঘটনায় প্রভাবিত তথ্য হিসেবে নিশ্চিত করা হয়নি।

ডিজিটাল স্বাস্থ্যসেবা ও টেলিহেলথ সেবাদাতাকে ঘিরে এই ঘটনায় সম্ভাব্য প্রভাবিত তথ্যের পরিসরের মধ্যে চিকিৎসাসংক্রান্ত তথ্য থাকার বিষয়টি নিশ্চিত করা হয়েছে। চিকিৎসাসংক্রান্ত ডেটা থেকে কোনো ব্যক্তির সঙ্গে স্বাস্থ্যসেবার সম্পর্ক বোঝা যেতে পারে এবং তা চিকিৎসাসংক্রান্ত পরিচয়ের অপব্যবহার, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা বা সংবেদনশীল বিষয়ে অনুমান করার ঝুঁকি তৈরি করে। প্রত্যেক ব্যক্তির ফাইলে চিকিৎসাসংক্রান্ত তথ্য ছিল বলে প্রকাশ্য সূত্রগুলো জানায়নি।

সূত্রটি কোনো রোগনির্ণয়, চিকিৎসা, প্রেসক্রিপশন, পরীক্ষাগারের ফলাফল, টেলিহেলথ সেবা গ্রহণ, মেডিকেল রেকর্ড নম্বর, স্বাস্থ্যবিমার তথ্য, চিকিৎসকের নাম বা সেবা পাওয়ার তারিখ আলাদা করে চিহ্নিত করেনি। তাই চিকিৎসাসংক্রান্ত তথ্যের এই শ্রেণিকে সূত্রগুলো যতটুকু সুনির্দিষ্টভাবে প্রকাশ করেছে, ততটুকুর মধ্যেই বিবেচনা করা উচিত। অপরিচিত সেবা বা পরিবর্তন আছে কি না দেখতে প্রাপকদের স্বাস্থ্যসেবার পোর্টাল এবং সেবাদাতার বিবরণী পর্যালোচনা করা উচিত।

টেক্সাসের অ্যাটর্নি জেনারেলের BR-0005188 নথিতে সারা দেশে 15,750 জন প্রভাবিত হওয়ার কথা জানানো হয়েছে, যাঁদের মধ্যে টেক্সাসের 1,179 জন বাসিন্দা রয়েছেন। ভোক্তাদের উদ্দেশে পাঠানো চিঠিতে চিহ্নিত রোড আইল্যান্ডের আনুমানিক 52 জন বাসিন্দা সারা দেশের মোট সংখ্যার অন্তর্ভুক্ত; তাঁদের সেই মোট সংখ্যার সঙ্গে আবার যোগ করা হয়নি।

ZenPatient জানিয়েছে, চিঠির তারিখ পর্যন্ত এই ঘটনার ফলে কারও তথ্যের প্রকৃত অপব্যবহার বা অপব্যবহারের চেষ্টার কোনো প্রমাণ তাদের কাছে ছিল না। নির্দিষ্ট সময় পর্যন্ত সীমিত এই পর্যবেক্ষণ ভবিষ্যতে অপব্যবহার হবে না, এমন নিশ্চয়তা দেয় না। ডেটা কপি হয়ে থাকার সম্ভাবনা এবং চিকিৎসাসংক্রান্ত তথ্যের পরিসর বিবেচনায় প্রাপকদের আর্থিক, ক্রেডিট ও স্বাস্থ্যসেবার অ্যাকাউন্টে অস্বাভাবিক কার্যকলাপ পর্যবেক্ষণ করে যাওয়া উচিত।

কোম্পানি তার প্রযুক্তিগত পরিবেশ সুরক্ষিত করেছে, বাইরের বিশেষজ্ঞদের নিয়ে পূর্ণাঙ্গ তদন্ত ও ডেটা পর্যালোচনা করেছে, ফেডারেল আইনশৃঙ্খলা রক্ষাকারী সংস্থা ও সংশ্লিষ্ট নিয়ন্ত্রক কর্তৃপক্ষকে জানিয়েছে, বিদ্যমান নীতিমালা পর্যালোচনা করেছে এবং অতিরিক্ত সাইবার নিরাপত্তা ব্যবস্থা কার্যকর করেছে। যোগ্য ব্যক্তিদের 12 মাসের জন্য বিনা মূল্যে Experian IdentityWorks-এর ক্রেডিট পর্যবেক্ষণ এবং পরিচয় চুরি থেকে সুরক্ষার সেবা দেওয়ার প্রস্তাব করা হয়েছিল। নিবন্ধনের শেষ তারিখ ছিল 2026 সালের 31 অক্টোবর।

প্রাপকদের শুধু তাঁদের চিঠিতে দেওয়া কোড ব্যবহার করে নিবন্ধন করা উচিত এবং অপরিচিত লেনদেন, ক্রেডিট অনুসন্ধান বা সেবা আছে কি না দেখতে ক্রেডিট রিপোর্ট ও স্বাস্থ্যসেবার অ্যাকাউন্টের কার্যকলাপ পর্যালোচনা করা উচিত। সপ্তাহের কর্মদিবসগুলোতে সেন্ট্রাল সময় অনুযায়ী সকাল 8:00 থেকে রাত 8:00 পর্যন্ত 833-931-4343 নম্বরে হেল্পলাইন চালু থাকে। ZenPatient-এর পক্ষ থেকে পাঠানো বলে দাবি করা অপ্রত্যাশিত বার্তায় স্বাস্থ্যসংক্রান্ত তথ্য, পাসওয়ার্ড বা যাচাইকরণ কোড শেয়ার করা উচিত নয়।