বাংলাদেশে একের পর এক তথ্য ফাঁসের (ডেটা ব্রিচ) ঘটনা সামনে আসছে। তবে এসব ঘটনার বেশির ভাগই সংশ্লিষ্ট প্রতিষ্ঠান নিজেরা শনাক্ত করতে পারছে না। এতে শুধু নাগরিকের ব্যক্তিগত তথ্যের নিরাপত্তাই নয়, দেশের প্রতিষ্ঠানগুলোর ডেটা সুরক্ষা ও নজরদারি সক্ষমতা নিয়েও প্রশ্ন উঠেছে। সর্বশেষ গত রোববার দুপুরে ডার্ক ওয়েবের একটি ফোরামে বাংলাদেশের ৬০ লাখ চাকরিপ্রার্থীর জীবনবৃত্তান্ত (সিভি) বিক্রির বিজ্ঞাপন দেয় ‘ম্যাডার্ক্স’ নামের একটি হ্যাকার গোষ্ঠী।
এ বিষয়ে দৃষ্টি আকর্ষণ করা হলে ডাক, টেলিযোগাযোগ ও তথ্যপ্রযুক্তিমন্ত্রী ফকির মাহবুব আনাম বলেন, ‘আমরা বিষয়টি খতিয়ে দেখছি।’
ডেটা ব্রিচ নিয়ে তথ্যপ্রযুক্তি-বিষয়ক গবেষণাপ্রতিষ্ঠান টেকগ্লোবাল ইনস্টিটিউটের (টিজিআই) ‘ব্রিচড অ্যান্ড আনআনসার্ড: বাংলাদেশ’স ডেটা ব্রিচ এপিডেমিক (২০২৩-২০২৬)’ শীর্ষক প্রতিবেদন প্রকাশ করে। এতে বলা হয়, ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত সাড়ে তিন বছরে বাংলাদেশে সরকারি ও বেসরকারি প্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট অন্তত ৬৮টি ডেটা ব্রিচের ঘটনা নথিভুক্ত করা হয়েছে। এগুলোর মধ্যে ৩৬টি সরকারি ও ৩২টি বেসরকারি প্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট। তবে ৬৮টি ঘটনার সব কটি একই মাত্রার নয়।
ডার্ক ওয়েবে বারবার সরকারি-বেসরকারি সংস্থার তথ্য ফাঁসের কারণ সম্পর্কে জানতে চাইলে জাতীয় সাইবার সুরক্ষা এজেন্সির মহাপরিচালক (ডিজি) ড. মো. তৈয়বুর রহমান বলেন, এ বিষয়ে অনেকগুলো ফ্যাক্টর কাজ করে। বিশেষ করে আইটি সিস্টেম উন্নয়ন ও অবকাঠামো খাতে পর্যাপ্ত বাজেট বরাদ্দ এবং দক্ষ জনবলের অভাব। প্রযুক্তি দ্রুত পরিবর্তনের সঙ্গে সঙ্গে পুরোনো অনেক সিস্টেমে নতুন আবিষ্কৃত নিরাপত্তার ত্রুটি/প্যাচ বা আপডেট করা অত্যন্ত কঠিন। ফলে হ্যাকাররা এসব দুর্বলতা কাজে লাগিয়ে সহজেই তথ্য ফাঁসের মতো ঘটনা ঘটাতে পারে।
তৈয়বুর রহমান জানান, পুরোপুরি ঝুঁকিমুক্ত হওয়া অসম্ভব হলেও সংস্থার নীতি গ্রহণ, তথ্য আদান-প্রদানে ডেটা এনক্রিপশন পদ্ধতির ব্যবহার, নিয়মিত উচ্চপর্যায়ের প্রশিক্ষণ প্রদান, আইটি অডিট, ভিএপিটি, সাইবার ড্রিল আয়োজন, অংশগ্রহণসহ অন্যান্য কার্যক্রমের মাধ্যমে ডার্ক ওয়েবে তথ্য ফাঁসের ঘটনা অনেকাংশে কমিয়ে আনা সম্ভব।
টিজিআইয়ের প্রতিবেদন অনুযায়ী, গত সাড়ে তিন বছরে সবচেয়ে বেশি ডেটা ব্রিচের ঘটনা ঘটেছে সরকারি সেবা (ইউটিলিটি) প্রদানকারী প্রতিষ্ঠানে—মোট ২০টি। বেসরকারি কোম্পানি ও ব্যবসায়িক গোষ্ঠীর প্রতিষ্ঠানে ১৬টি। নির্বাচন কমিশনসংশ্লিষ্ট ঘটনায় ৫টি, টেলিযোগাযোগ ও ইন্টারনেট সেবাদাতাসংশ্লিষ্ট ৫টি, সশস্ত্র বাহিনীতে ৩টি এবং বেসরকারি ব্যাংক ও মোবাইল আর্থিক সেবাদাতা প্রতিষ্ঠানের ৩টি ঘটনা নথিভুক্ত করা হয়েছে।
২০২৩ সালে জন্ম ও মৃত্যুনিবন্ধন কার্যালয়ের একটি ডেটাবেইস উন্মুক্ত অবস্থায় থাকার ঘটনা আলোচনায় আসে। বাইরের একজন গবেষকের মাধ্যমে সেটি শনাক্ত হওয়ার পর বিষয়টি প্রকাশ্যে আসে। ২০২৬ সালের এপ্রিল ও মে মাসে অভিবাসী কর্মীদের তথ্যভান্ডার নিয়ে তিনটি পৃথক ডেটা ব্রিচের দাবিও সামনে এসেছে। এসব দাবিতে এক মিলিয়নের বেশি অভিবাসী কর্মীর তথ্য ফাঁসের কথা বলা হয়। এ ছাড়া সাম্প্রতিক বছরগুলোয় একাধিকবার নির্বাচন কমিশনের ডেটাবেইস থেকে তথ্য ফাঁসের অভিযোগ সামনে এসেছে।
টিজিআইয়ের প্রতিবেদনে বলা হয়েছে, নির্বাচন কমিশনের এনআইডি ডেটাবেইসে সরাসরি অনুপ্রবেশের প্রমাণ না মিললেও তৃতীয় পক্ষের যাচাইব্যবস্থা ও প্রবেশাধিকারে নিরাপত্তা ঘাটতি রয়েছে।
সাইবার অপরাধ ও ডিজিটাল ফরেনসিক বিশেষজ্ঞ তানভীর হাসান জোহা মনে করেন, উদ্বেগের জায়গা শুধু ডেটা ব্রিচের সংখ্যা নয়, বরং আক্রান্ত প্রতিষ্ঠান নিজেরাই অনেক ক্ষেত্রে তা শনাক্ত করতে না পারা। তিনি বলেন, ‘আমাদের তথ্য শুধু ফাঁস হচ্ছে, এটাই বড় উদ্বেগ নয়। অনেক ক্ষেত্রে প্রতিষ্ঠানের নিজের চেয়ে বাইরের কেউ আগে জানতে পারছে যে সেখানে তথ্য ফাঁস হয়েছে। এটি প্রতিষ্ঠানের ডিটেকশন ক্যাপাবিলিটি (শনাক্তকরণ সক্ষমতা), ধারাবাহিক মনিটরিং, অ্যাকসেস কন্ট্রোল, তৃতীয় পক্ষের ঝুঁকি ব্যবস্থাপনা এবং ইনসিডেন্ট রেসপন্স প্রস্তুতি নিয়ে প্রশ্ন তোলে। শতভাগ সাইবার নিরাপত্তা নিশ্চিত করা সম্ভব নয়। কোনো প্রতিষ্ঠান সাইবার হামলা ঠেকাতে ব্যর্থ হতে পারে। কিন্তু হামলার পরও দীর্ঘ সময় সেটি শনাক্ত করতে না পারা আরও গুরুতর সমস্যা।’
রোববারের ডেটা ব্রিচের ঘটনায় ‘ম্যাডার্ক্স’ হ্যাকার গোষ্ঠীর দাবি, তারা চাকরির প্ল্যাটফর্ম বিডিজবসের ডেটাবেইস থেকে ৬০ লাখ সিভি নিয়েছে। তবে বিডিজবস নিজেদের ওয়েবসাইট থেকে তথ্য ফাঁসের অভিযোগ অস্বীকার করেছে। অফিশিয়াল বিজ্ঞপ্তিতে বিডিজবস জানিয়েছে, নিবন্ধিত নিয়োগকারী প্রতিষ্ঠানগুলো তাদের অ্যাকাউন্ট থেকে বিডিজবসে চাকরিপ্রার্থীদের তথ্য দেখতে পারেন। যদি কোনো নিয়োগকারী প্রতিষ্ঠান সেসব তথ্য কোনো তৃতীয় পক্ষের কাছে বিক্রির চেষ্টা করে এবং বিষয়টি প্রমাণিত হয়, তবে বিডিজবস তাদের বিরুদ্ধে আইনানুগ ব্যবস্থা নেবে।
৬০ লাখ সিভি ফাঁসের দাবি সত্য প্রমাণিত হলে এর ঝুঁকি অত্যন্ত বড় বলে মনে করেন তথ্যপ্রযুক্তিবিদেরা। তাঁরা জানান, একটি সিভিতে সাধারণত নাম, ফোন নম্বর, ই-মেইল, শিক্ষাগত যোগ্যতা, কর্মজীবনের ইতিহাস, দক্ষতা, নিয়োগদাতা, কখনো ঠিকানা ও ছবি থাকে। এসব তথ্য একসঙ্গে পাওয়া গেলে অপরাধীরা একজন ব্যক্তির একটি বিশ্বাসযোগ্য ডিজিটাল প্রোফাইল তৈরি করতে পারে। এরপর সেই তথ্য ব্যবহার করে লক্ষ্যভিত্তিক ফিশিং, ভুয়া চাকরির প্রস্তাব, পরিচয় জালিয়াতি, সামাজিক প্রকৌশল বা সোশ্যাল ইঞ্জিনিয়ারিং, ক্রেডেনশিয়াল আক্রমণ এবং আর্থিক প্রতারণা করা সম্ভব।
শুধু আইন দিয়ে তথ্য ফাঁস প্রতিরোধ সম্ভব নয় বলে মনে করেন তথ্যপ্রযুক্তিবিদেরা। ঢাকা বিশ্ববিদ্যালয়ের তথ্যপ্রযুক্তি ইনস্টিটিউটের অধ্যাপক ড. বি এম মইনুল হোসেন বলেন, ‘সংশ্লিষ্ট আইনি কাঠামোতে বেশ কিছু রক্ষাকবচ দেওয়া আছে। কিন্তু আমাদের এখানে বিশ্বজুড়ে স্বীকৃত নিয়মকানুনগুলো এখনো ব্যবহার করা হচ্ছে না। সেটি কেবল শুরু হয়েছে। এসবের জন্য নিয়ন্ত্রক সংস্থার পক্ষ থেকে তাগাদা না দিলে বা তদারকি না থাকলে এগুলো কার্যকর হওয়ার সম্ভাবনা কমে যায়। ডেটা সুরক্ষার গুরুত্ব অনুধাবন করে সেটির জন্য উপযুক্ত পদক্ষেপ গ্রহণ এখন অতি জরুরি হয়ে পড়েছে।’