জাতীয় পরিচয়পত্র (এনআইডি), পাসপোর্ট, কল রেকর্ড, ব্যাংক হিসাব ও প্রবাসী শ্রমিকদের তথ্যসহ নাগরিকদের বিভিন্ন স্পর্শকাতর তথ্য ফাঁসের অন্তত ৬৮টি ঘটনা গত তিন বছরে নথিভুক্ত হয়েছে। এসব ঘটনার বেশির ভাগই সংশ্লিষ্ট প্রতিষ্ঠান আগে থেকে শনাক্ত করতে পারেনি। বাইরের সাইবার নিরাপত্তা গবেষক, ডার্ক ওয়েব পর্যবেক্ষণকারী প্রতিষ্ঠান কিংবা সংবাদমাধ্যমের অনুসন্ধানে অনেক ক্ষেত্রে তথ্য ফাঁসের বিষয়টি প্রথম জানা গেছে।
সাইবার নিরাপত্তা নিয়ে কাজ করা টেকগ্লোবাল ইনস্টিটিউট (টিজিআই) সম্প্রতি প্রকাশিত এক প্রতিবেদনে ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত দেশের তথ্য ফাঁসের ঘটনাগুলো বিশ্লেষণ করেছে। প্রতিষ্ঠানটির হিসাবে, এই সময়ে ৩৬টি সরকারি ও ৩২টি বেসরকারি প্রতিষ্ঠানের তথ্য ফাঁসের ঘটনা শনাক্ত হয়েছে।
প্রতিবেদন অনুযায়ী, ২০২৩ সালে সাতটি, ২০২৪ সালে ২৭টি এবং ২০২৫ সালে ১৪টি তথ্য ফাঁসের ঘটনা নথিভুক্ত করা হয়। চলতি বছরের জানুয়ারি থেকে মে পর্যন্ত মাত্র পাঁচ মাসেই ২০টি ঘটনা শনাক্ত হয়েছে। এর মধ্যে ১৩টি সরকারি ও সাতটি বেসরকারি প্রতিষ্ঠানের।
তথ্য ফাঁসের ঘটনা সবচেয়ে বেশি ঘটেছে সরকারি সেবা ও ইউটিলিটি খাতে। এই খাতে ২০টি ঘটনার কথা উল্লেখ করা হয়েছে। এরপর বেসরকারি কোম্পানি ও ব্যবসায়িক প্রতিষ্ঠানে ১৬টি, নির্বাচন কমিশন-সংশ্লিষ্ট পাঁচটি, টেলিযোগাযোগ ও ইন্টারনেট সেবাদাতা প্রতিষ্ঠানে পাঁচটি, সশস্ত্র বাহিনীতে তিনটি এবং বেসরকারি ব্যাংক ও মোবাইল আর্থিক সেবাদাতা প্রতিষ্ঠানে তিনটি তথ্য ফাঁসের ঘটনা নথিভুক্ত হয়েছে।
টিজিআইয়ের বাংলাদেশপ্রধান ফৌজিয়া আফরোজ বলেন, নাগরিকদের তথ্য সুরক্ষা রাষ্ট্রের দায়িত্ব। কিন্তু বিদ্যমান কাঠামো, আইন ও জবাবদিহির ব্যবস্থায় স্পষ্ট ঘাটতি রয়েছে। এসব ঘাটতি তথ্যের অপব্যবহারের ঝুঁকি বাড়াচ্ছে।
প্রতিবেদন তৈরির সময় টিজিআইয়ের গবেষকেরা একটি সরকারি পোর্টালের পাসওয়ার্ড পুনরুদ্ধার ব্যবস্থা পরীক্ষা করে নিরাপত্তার একটি দুর্বলতা শনাক্ত করেন। প্রতিষ্ঠানটির দাবি, ওই দুর্বলতার মাধ্যমে প্রশাসনিক পাসওয়ার্ডসহ সংবেদনশীল তথ্য উন্মুক্ত হওয়ার সুযোগ ছিল। বিষয়টি একই দিনে সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্টকে জানানো হয়। টিজিআই জানিয়েছে, সংশ্লিষ্ট কর্তৃপক্ষ বিষয়টি অস্বীকার না করে পরে আরও কিছু দুর্বলতা শনাক্ত করার কথা জানায়।
টিজিআইয়ের গবেষণায় তথ্য ফাঁস শনাক্ত করার সক্ষমতার ঘাটতিও উঠে এসেছে। প্রতিষ্ঠানটির দাবি, অধিকাংশ ক্ষেত্রে সংশ্লিষ্ট প্রতিষ্ঠানের নিজস্ব নিরাপত্তা ব্যবস্থা তথ্য ফাঁসের ঘটনা শনাক্ত করতে পারেনি। বাইরে থেকে সাইবার নিরাপত্তা গবেষক, ডার্ক ওয়েব মনিটরিং প্রতিষ্ঠান বা সংবাদমাধ্যম তথ্য ফাঁসের বিষয়টি শনাক্ত করার পর সংশ্লিষ্ট কর্তৃপক্ষ তা জানতে পারে।
গবেষকদের মতে, অধিকাংশ প্রতিষ্ঠানে ২৪ ঘণ্টা সাইবার নিরাপত্তা তদারকি কিংবা সক্রিয়ভাবে সাইবার হুমকি অনুসন্ধানের ব্যবস্থা নেই। ফলে কোনো সিস্টেমের দুর্বলতা কাজে লাগিয়ে তথ্য বের করে নেওয়া হলেও তাৎক্ষণিকভাবে তা শনাক্ত করা সম্ভব হয় না।
নির্বাচন কমিশন-সংশ্লিষ্ট তথ্য ফাঁসের ঘটনাগুলোকে প্রতিবেদনে বিশেষ গুরুত্ব দেওয়া হয়েছে। ২০২৩ থেকে ২০২৬ সালের মধ্যে এ ধরনের অন্তত পাঁচটি ঘটনা নথিভুক্ত করেছে টিজিআই। প্রতিবেদনে বলা হয়েছে, এনআইডি উপাত্তভান্ডারে সরাসরি অনুপ্রবেশের প্রমাণ পাওয়া না গেলেও তৃতীয় পক্ষের মাধ্যমে তথ্য যাচাইয়ের ব্যবস্থা এবং বিভিন্ন ধরনের প্রবেশাধিকারে নিরাপত্তাঘাটতির ঝুঁকি রয়েছে।
২০২৪ সালে নাগরিকদের ব্যক্তিগত ও স্পর্শকাতর তথ্য বিক্রির অভিযোগে পুলিশের দুই কর্মকর্তার বিরুদ্ধে ব্যবস্থা নেওয়ার বিষয়টিও প্রতিবেদনে উল্লেখ করা হয়েছে। জাতীয় টেলিযোগাযোগ মনিটরিং সেন্টার—এনটিএমসি থেকে তথ্য পাওয়ার সুযোগ ব্যবহার করে তাঁরা এ ধরনের কর্মকাণ্ডে জড়িয়েছিলেন বলে অভিযোগ ওঠে।
টিজিআইয়ের মূল্যায়নে, ঘটনাটি শুধু কোনো তথ্যভান্ডার থেকে তথ্য চুরির বিষয় ছিল না। এর সঙ্গে আড়ি পাতা ও নজরদারি-সংক্রান্ত তথ্যও জড়িত ছিল। প্রতিবেদনে বলা হয়েছে, প্রায় ৪২টি সরকারি সংস্থার ৫০০ কর্মকর্তা যাচাই ও তদন্তের প্রয়োজনে নাগরিকদের তথ্য ব্যবহারের সুযোগ পান। এত বিপুলসংখ্যক কর্মকর্তা ও প্রতিষ্ঠানের হাতে নাগরিকদের স্পর্শকাতর তথ্য ব্যবহারের সুযোগ থাকায় অপব্যবহারের ঝুঁকি তৈরি হচ্ছে।
প্রবাসী কল্যাণ মন্ত্রণালয়ের তথ্যভান্ডার-সংশ্লিষ্ট একটি ঘটনাও প্রতিবেদনে উঠে এসেছে। এতে পাসপোর্ট, এনআইডি, ই-টিআইএন, আর্থিক ও ব্যাংকিং নথির মতো একাধিক গুরুত্বপূর্ণ তথ্য একই সঙ্গে উন্মুক্ত হওয়ার ঝুঁকি তৈরি হয়েছিল বলে টিজিআই জানিয়েছে।
প্রতিবেদন অনুযায়ী, চলতি বছরের এপ্রিল ও মে মাসে প্রায় ছয় সপ্তাহের মধ্যে তিনবার প্রবাসী শ্রমিকদের তথ্যভান্ডারে অনুপ্রবেশের চেষ্টা করা হয়। ওই তথ্যভান্ডারে ১০ লাখের বেশি প্রবাসী শ্রমিকের তথ্য রয়েছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
এ ধরনের তথ্য ফাঁসের ঝুঁকি শুধু ব্যক্তিগত গোপনীয়তার মধ্যেই সীমাবদ্ধ নয়। এনআইডি, পাসপোর্ট, ব্যাংক হিসাব, মোবাইল নম্বর, কল রেকর্ড বা আর্থিক নথি অপরাধীদের হাতে গেলে পরিচয় জালিয়াতি, আর্থিক প্রতারণা, ব্ল্যাকমেইল, অননুমোদিত নজরদারি এবং বিভিন্ন ধরনের সাইবার অপরাধের সুযোগ তৈরি হতে পারে। বিশেষ করে একাধিক সরকারি ও বেসরকারি ডেটাবেসের তথ্য একসঙ্গে ব্যবহার করা সম্ভব হলে একজন নাগরিকের পরিচয়, আর্থিক অবস্থা ও ব্যক্তিগত যোগাযোগ সম্পর্কে বিস্তারিত ধারণা পাওয়া সম্ভব।
জাতীয় নিরাপত্তা, ডিজিটাল অর্থনীতি ও নাগরিকদের ডিজিটাল জীবন সুরক্ষার লক্ষ্যে গঠিত জাতীয় সাইবার সুরক্ষা এজেন্সি—এনসিএসএ সরকারি প্রতিষ্ঠানের প্রায় ৩৬ হাজার ডোমেইন তদারক করে। তবে এসব পোর্টালের রক্ষণাবেক্ষণ ও পরিচালনার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের ওপরই রয়েছে।
এনসিএসএর মহাপরিচালক মো. তৈয়বুর রহমান বলেন, সরকারি পোর্টাল সংরক্ষণ ও পরিচালনার ব্যবস্থায় আগে নিরাপত্তার ঘাটতি ছিল। সম্প্রতি বাংলাদেশ ডেটা সেন্টার কোম্পানি লিমিটেডে (বিডিসিসিএল) হোস্টিং করা হয়েছে এবং সেখানে কয়েক স্তরের সাইবার নিরাপত্তাব্যবস্থা চালুর কাজ চলছে।
তিনি বলেন, অনেক সরকারি প্রতিষ্ঠানে দক্ষ কারিগরি জনবলের ঘাটতি রয়েছে। সরকারি তথ্যব্যবস্থার নিরাপত্তার ক্ষেত্রে এটিও একটি বড় ঝুঁকি।
টিজিআইয়ের প্রতিবেদনে বলা হয়েছে, ২০২৪ সাল ছাড়া অন্য বছরগুলোতে সরকারি প্রতিষ্ঠানে তথ্য ফাঁসের ঘটনা তুলনামূলকভাবে বেশি ছিল। তবে চলতি বছরের প্রথম পাঁচ মাসেই ২০টি ঘটনা শনাক্ত হওয়ায় তথ্য নিরাপত্তার পরিস্থিতি নিয়ে নতুন করে উদ্বেগ তৈরি হয়েছে।
তথ্য ফাঁসের পর জবাবদিহির বিষয়টিও প্রতিবেদনে গুরুত্ব পেয়েছে। টিজিআই বলছে, গত তিন বছরে এতগুলো ঘটনা নথিভুক্ত হলেও এসব ঘটনায় অর্থবহ আইনি ব্যবস্থা নেওয়া বা শাস্তির নজির খুবই সীমিত। একই সঙ্গে সরকারি-বেসরকারি প্রতিষ্ঠান ছাড়াও তৃতীয় পক্ষের মাধ্যমে নাগরিকদের তথ্য ব্যবহারের ক্ষেত্রে তাদের দায়িত্ব, নিরাপত্তা নিশ্চিত করার বাধ্যবাধকতা এবং তথ্য ফাঁস হলে জবাবদিহির কাঠামো কতটা স্পষ্ট, তা নিয়েও প্রশ্ন রয়েছে।
ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬-এ প্রথমবারের মতো তথ্য ফাঁস হলে সংশ্লিষ্ট কর্তৃপক্ষকে তা জানানোর বাধ্যবাধকতা যুক্ত হয়েছে। তবে টিজিআইয়ের মূল্যায়ন হলো, আইনে তথ্য ফাঁসের বাধ্যতামূলক নোটিফিকেশনের বিধান থাকলেও রাষ্ট্রীয় সংস্থাগুলোর জন্য বিস্তৃত ছাড়, আইন বাস্তবায়নে বিলম্ব এবং জবাবদিহির দুর্বলতা নিয়ে উদ্বেগ রয়েছে।
টিজিআইয়ের গবেষণার সবচেয়ে গুরুত্বপূর্ণ পর্যবেক্ষণগুলোর একটি হলো—বাংলাদেশে তথ্য ফাঁসের অধিকাংশ ঘটনা অত্যাধুনিক সাইবার হামলার কারণে ঘটছে না। বরং দুর্বল প্রশাসনিক শৃঙ্খলা, অনিয়ন্ত্রিত প্রবেশাধিকার, নিরাপত্তা তদারকির অভাব, পুরোনো বা দুর্বল প্রযুক্তি এবং নিয়মিত নিরাপত্তা নিরীক্ষা না করাই বড় ঝুঁকি তৈরি করছে।
বিশেষজ্ঞদের মতে, নাগরিকদের তথ্য সুরক্ষায় শুধু নতুন আইন বা কেন্দ্রীয়ভাবে ডেটা সংরক্ষণের ব্যবস্থা করলেই হবে না। কোন কর্মকর্তা কোন তথ্য দেখতে পারবেন, কতক্ষণ সেই প্রবেশাধিকার থাকবে, তথ্য ব্যবহারের প্রতিটি ধাপ কীভাবে নথিভুক্ত হবে এবং অননুমোদিত প্রবেশের চেষ্টা হলে কত দ্রুত তা শনাক্ত ও বন্ধ করা যাবে—এসব বিষয়েও কঠোর ব্যবস্থা প্রয়োজন।
একই সঙ্গে তথ্য ফাঁসের ঘটনা ঘটলে দ্রুত নাগরিককে জানানো, ক্ষতির মাত্রা নির্ধারণ, আক্রান্ত তথ্য পুনরায় সুরক্ষিত করা এবং দায়ী ব্যক্তি বা প্রতিষ্ঠানের বিরুদ্ধে কার্যকর ব্যবস্থা নেওয়া জরুরি। তা না হলে নাগরিকদের গুরুত্বপূর্ণ তথ্য ক্রমেই বিভিন্ন অপরাধী চক্রের জন্য মূল্যবান সম্পদে পরিণত হওয়ার আশঙ্কা থাকবে।
টিজিআইয়ের নথিভুক্ত ৬৮টি ঘটনা তাই শুধু বিচ্ছিন্ন কিছু সাইবার নিরাপত্তা সমস্যার চিত্র নয়; বরং দেশের সরকারি ও বেসরকারি তথ্যব্যবস্থায় নাগরিকের ব্যক্তিগত তথ্য সুরক্ষার কাঠামোগত দুর্বলতারও একটি বড় ইঙ্গিত বলে মনে করছেন সংশ্লিষ্টরা।
