৩ বছরে সরকারি-বেসরকারি ৬৮ স্পর্শকাতর ঘটনার তথ্য ফাঁস

জাতীয় পরিচয়পত্র (এনআইডি), পাসপোর্ট, কল রেকর্ড, ব্যাংক হিসাবসহ নাগরিকদের বিভিন্ন স্পর্শকাতর তথ্য ফাঁসের অন্তত ৬৮টি ঘটনা ঘটেছে গত তিন বছরে। এসব তথ্য সুরক্ষার দায়িত্বে থাকা অধিকাংশ প্রতিষ্ঠানই ফাঁসের ঘটনা সম্পর্কে আগাম কোনো ধারণা পায়নি। বরং অনেক ক্ষেত্রে বাইরের সাইবার নিরাপত্তা গবেষক, সংবাদমাধ্যম কিংবা ডার্ক ওয়েব পর্যবেক্ষণকারী প্রতিষ্ঠানগুলো তথ্য ফাঁসের বিষয়টি শনাক্ত করেছে।

তথ্য ফাঁসের এসব ঘটনার পরও সংশ্লিষ্ট প্রতিষ্ঠানগুলোর বিরুদ্ধে কার্যকর জবাবদিহি বা শাস্তিমূলক ব্যবস্থা নেওয়ার নজির খুবই সীমিত বলে প্রতিবেদনে উঠে এসেছে।

তথ্যপ্রযুক্তিবিষয়ক গবেষণাপ্রতিষ্ঠান টেকগ্লোবাল ইনস্টিটিউটের (টিজিআই) ‘ব্রিচড অ্যান্ড আনআনসার্ড: বাংলাদেশ’স ডেটা ব্রিচ এপিডেমিক (২০২৩–২০২৬)’ শীর্ষক প্রতিবেদনে এসব তথ্য প্রকাশ করা হয়েছে।

সম্প্রতি টিজিআইয়ের ওয়েবসাইটে প্রকাশিত প্রতিবেদনে বলা হয়েছে, ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত বাংলাদেশে অন্তত ৬৮টি তথ্য ফাঁসের ঘটনা নথিভুক্ত করা হয়েছে। এসব ঘটনার মধ্যে ৩৬টি সরকারি প্রতিষ্ঠান এবং ৩২টি বেসরকারি প্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট।

প্রতিবেদনে বলা হয়েছে, নাগরিকদের গুরুত্বপূর্ণ ও স্পর্শকাতর তথ্য সংরক্ষণের দায়িত্বে থাকা প্রতিষ্ঠানগুলোর বড় অংশই নিজেদের সিস্টেম থেকে তথ্য ফাঁস হওয়ার বিষয়টি নিজেরা শনাক্ত করতে পারেনি। ফলে তথ্য ফাঁসের পরও নাগরিকদের ব্যক্তিগত তথ্য কতটা নিরাপদ এবং এসব ঘটনায় দায়ীদের বিরুদ্ধে কতটা কার্যকর ব্যবস্থা নেওয়া হয়েছে, তা নিয়ে প্রশ্ন থেকেই যাচ্ছে।

টিজিআইয়ের তথ্য অনুযায়ী, ২০২৩ সালে সাতটি, ২০২৪ সালে ২৭টি এবং ২০২৫ সালে ১৪টি তথ্য ফাঁসের ঘটনা নথিভুক্ত হয়েছে। চলতি বছরের জানুয়ারি থেকে মে পর্যন্ত পাঁচ মাসেই ২০টি ঘটনা শনাক্ত করেছে প্রতিষ্ঠানটি। এর মধ্যে ১৩টি সরকারি এবং সাতটি বেসরকারি প্রতিষ্ঠানের।

প্রতিবেদনে বলা হয়েছে, ২০২৪ সাল ছাড়া অন্য বছরগুলোতে সরকারি প্রতিষ্ঠানে তথ্য ফাঁসের ঘটনা বেশি ছিল। খাতভিত্তিক হিসাবে সবচেয়ে বেশি ২০টি ঘটনা ঘটেছে সরকারি সেবা ও ইউটিলিটি প্রদানকারী প্রতিষ্ঠানে। এরপর বেসরকারি কোম্পানি ও ব্যবসায়িক গোষ্ঠীতে ১৬টি, নির্বাচন কমিশন-সংশ্লিষ্ট পাঁচটি, টেলিযোগাযোগ ও ইন্টারনেট সেবাদাতা প্রতিষ্ঠানে পাঁচটি, সশস্ত্র বাহিনীতে তিনটি এবং বেসরকারি ব্যাংক ও মোবাইল আর্থিক সেবাদাতা প্রতিষ্ঠানে তিনটি ঘটনা নথিভুক্ত হয়েছে।

টিজিআইয়ের বাংলাদেশপ্রধান ফৌজিয়া আফরোজ বলেন, নাগরিকের তথ্য সুরক্ষা রাষ্ট্রের দায়িত্ব। কিন্তু বিদ্যমান কাঠামো, আইন ও জবাবদিহিতে স্পষ্ট ঘাটতি রয়েছে, যা তথ্যের অপব্যবহারের ঝুঁকি বাড়াচ্ছে।

সরকারি পোর্টালেও নিরাপত্তা দুর্বলতা

প্রতিবেদন তৈরির সময় টিজিআইয়ের গবেষকেরা একটি সরকারি পোর্টালের পাসওয়ার্ড পুনরুদ্ধারের ব্যবস্থা পরীক্ষা করেন। এতে এমন একটি নিরাপত্তা দুর্বলতা পাওয়া যায়, যার মাধ্যমে প্রশাসনিক পাসওয়ার্ডসহ অন্যান্য সংবেদনশীল তথ্য উন্মুক্ত হয়ে যাচ্ছিল।

বিষয়টি একই দিনে সাইবার নিরাপত্তা নিয়ে কাজ করা সরকারি সংস্থা বিজিডি ই-গভ সার্টকে জানানো হয়। টিজিআই জানিয়েছে, সংশ্লিষ্ট কর্তৃপক্ষ বিষয়টি অস্বীকার না করে আরও কিছু দুর্বলতা শনাক্ত করার কথা জানিয়েছে।

প্রতিবেদনের অন্যতম গুরুত্বপূর্ণ পর্যবেক্ষণ হলো, তথ্য ফাঁস শনাক্ত করার সক্ষমতা সংশ্লিষ্ট প্রতিষ্ঠানগুলোর মধ্যে খুবই সীমিত। বেশির ভাগ ক্ষেত্রে বাইরের সাইবার নিরাপত্তা গবেষক, ডার্ক ওয়েব মনিটরিং প্রতিষ্ঠান কিংবা সংবাদমাধ্যম প্রথমে তথ্য ফাঁসের বিষয়টি শনাক্ত করেছে। পরে সংশ্লিষ্ট প্রতিষ্ঠান বা কর্তৃপক্ষ এ বিষয়ে জানতে পেরেছে।

টিজিআই বলছে, অধিকাংশ প্রতিষ্ঠানে ২৪ ঘণ্টার সাইবার নিরাপত্তা তদারকি বা সক্রিয়ভাবে হুমকি অনুসন্ধানের ব্যবস্থা ছিল না। ফলে কোনো সিস্টেমে দুর্বলতা তৈরি করে তথ্য বের করে নেওয়া হলেও তাৎক্ষণিকভাবে শনাক্ত করা সম্ভব হচ্ছে না।

এনআইডি ও নজরদারির তথ্যও ঝুঁকিতে

তথ্য ফাঁসের ঘটনাগুলোর মধ্যে নির্বাচন কমিশন-সংশ্লিষ্ট ঘটনাগুলোকে বিশেষ গুরুত্ব দিয়েছে টিজিআই। ২০২৩ থেকে ২০২৬ সালের মধ্যে এ ধরনের অন্তত পাঁচটি ঘটনা নথিভুক্ত হয়েছে।

প্রতিবেদনে বলা হয়েছে, এনআইডি উপাত্তভান্ডারে সরাসরি অনুপ্রবেশের প্রমাণ পাওয়া না গেলেও তৃতীয় পক্ষের যাচাইব্যবস্থা ও প্রবেশাধিকারে নিরাপত্তাঘাটতি রয়েছে।

২০২৪ সালে নাগরিকদের ব্যক্তিগত স্পর্শকাতর তথ্য বিক্রির অভিযোগ ওঠে পুলিশের দুই কর্মকর্তার বিরুদ্ধে। জাতীয় টেলিযোগাযোগ মনিটরিং সেন্টার (এনটিএমসি) থেকে তথ্য পাওয়ার সুযোগ ব্যবহার করে তারা এমন অপরাধে জড়িয়েছেন বলে অভিযোগ করা হয়।

টিজিআইয়ের প্রতিবেদনে ঘটনাটিকে বিশেষ গুরুত্ব দিয়ে বলা হয়েছে, এটি সাধারণ কোনো তথ্যভান্ডার থেকে তথ্য চুরির ঘটনা ছিল না। কারণ এর সঙ্গে আড়ি পাতা ও নজরদারি-সংক্রান্ত তথ্যও জড়িত ছিল।

প্রতিবেদন অনুযায়ী, প্রায় ৪২টি সরকারি সংস্থার ৫০০ কর্মকর্তা যাচাই ও তদন্তের প্রয়োজনে নাগরিকদের তথ্য ব্যবহারের সুযোগ পান। ফলে এসব তথ্য অপব্যবহারের ঝুঁকি রয়েছে।

প্রবাসী কল্যাণ মন্ত্রণালয়ের তথ্যভান্ডার-সংশ্লিষ্ট ঘটনাও টিজিআইয়ের প্রতিবেদনে উঠে এসেছে। এতে পাসপোর্ট, এনআইডি, ই-টিআইএন এবং আর্থিক ও ব্যাংকিং নথি একসঙ্গে উন্মুক্ত হওয়ার ঝুঁকি তৈরি হয়েছিল বলে প্রতিবেদনে উল্লেখ করা হয়।

এ ছাড়া ২০২৬ সালের এপ্রিল ও মে মাসে প্রায় ছয় সপ্তাহের মধ্যে তিনবার প্রবাসী শ্রমিকদের তথ্যভান্ডারে অনুপ্রবেশের চেষ্টা করা হয়েছিল বলে দাবি করেছে টিজিআই। ওই তথ্যভান্ডারে ১০ লাখের বেশি প্রবাসী শ্রমিকের তথ্য রয়েছে।

জাতীয় নিরাপত্তা, ডিজিটাল অর্থনীতি ও নাগরিকদের ডিজিটাল জীবনযাত্রা সুরক্ষার লক্ষ্যে গঠিত জাতীয় সাইবার সুরক্ষা এজেন্সি (এনসিএসএ) সরকারি প্রতিষ্ঠানের প্রায় ৩৬ হাজার ডোমেইন তদারক করে। তবে পোর্টালগুলোর রক্ষণাবেক্ষণ ও পরিচালনার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের।

এনসিএসএর মহাপরিচালক মো. তৈয়বুর রহমান বলেন, আগে সরকারি পোর্টাল সংরক্ষণ ও পরিচালনার (হোস্টিং) ব্যবস্থায় নিরাপত্তার ঘাটতি ছিল। সম্প্রতি বাংলাদেশ ডেটা সেন্টার কোম্পানি লিমিটেডে (বিডিসিসিএল) হোস্টিং করা হয়েছে এবং সেখানে কয়েক স্তরের সাইবার নিরাপত্তাব্যবস্থা চালুর কাজ চলছে।

তিনি বলেন, অনেক সরকারি প্রতিষ্ঠানে দক্ষ কারিগরি জনবলের ঘাটতি রয়েছে। সরকারি তথ্যব্যবস্থার নিরাপত্তার ক্ষেত্রে এটিও বড় ঝুঁকি।

টিজিআইয়ের প্রতিবেদনে বলা হয়েছে, এতগুলো তথ্য ফাঁসের ঘটনার পরও অর্থবহ আইনি ব্যবস্থা নেয়ার নজির খুবই সীমিত। একই সঙ্গে তৃতীয় পক্ষের তথ্য ব্যবহারের শর্ত ও তাদের জবাবদিহির কাঠামো কতটা স্পষ্ট, তা নিয়েও প্রশ্ন রয়েছে।

ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬-এ প্রথমবারের মতো তথ্য ফাঁস হলে সংশ্লিষ্ট কর্তৃপক্ষকে তা জানানোর বাধ্যবাধকতা যুক্ত হয়েছে। তবে টিজিআইয়ের মূল্যায়ন, আইনটিতে তথ্য ফাঁসের বাধ্যতামূলক নোটিফিকেশনের বিধান থাকলেও রাষ্ট্রীয় সংস্থাগুলোর জন্য বিস্তৃত ছাড়, বাস্তবায়নে বিলম্ব এবং জবাবদিহির দুর্বলতা নিয়ে উদ্বেগ রয়েছে।

টিজিআইয়ের মতে, বাংলাদেশের অধিকাংশ তথ্য ফাঁস অত্যাধুনিক সাইবার হামলার কারণে হচ্ছে না। বরং দুর্বল প্রশাসনিক শৃঙ্খলা, নিরাপত্তা তদারকির অভাব, প্রবেশাধিকার নিয়ন্ত্রণে ঘাটতি এবং নিয়মিত নিরাপত্তা নিরীক্ষা না হওয়াই বড় কারণ।