‘ডার্ক ওয়েবে ৬০ লাখ সিভির বিষয়টি সত্যি হয়ে থাকলে ঝুঁকি অনেক বড়’

আজকের পত্রিকা: তথ্যপ্রযুক্তি বিষয়ক গবেষণাপ্রতিষ্ঠান টেকগ্লোবাল ইনস্টিটিউটের (টিজিআই) তথ্য অনুযায়ী, ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত সাড়ে তিন বছরে বাংলাদেশে সরকারি-বেসরকারি প্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট অন্তত ৬৮টি ডেটা ব্রিচের ঘটনা লিপিবদ্ধ হয়েছে। এটা কি বাংলাদেশের সামগ্রিক ডেটা সুরক্ষা ব্যবস্থার দুর্বলতার প্রমাণ?

তানভীর হাসান জোহা: টিজিআইয়ের ৬৮টি ঘটনার সবগুলো একই মাত্রায় স্বাধীনভাবে যাচাই করা হয়নি। তাদের ডেটাসেটে ৩২টি ঘটনা যাচাইকৃত, ৫টি ‘অভিযোগ থাকলেও নিশ্চিত নয়’ এবং ৩১টি ‘অযাচাইকৃত দাবি’ হিসেবে শ্রেণিবদ্ধ করা হয়েছে।

আমার কাছে সবচেয়ে উদ্বেগের বিষয় শুধু ৬৮ সংখ্যাটি নয়, বরং অনেক ক্ষেত্রে আক্রান্ত প্রতিষ্ঠান নিজেরাই ব্রিচ শনাক্ত করতে পারেনি। টিজিআইয়ের হিসাবে ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত ৩৬টি সরকারি এবং ৩২টি বেসরকারি প্রতিষ্ঠান-সংশ্লিষ্ট ঘটনা নথিভুক্ত হয়েছে। অনেক ঘটনা প্রথম সামনে এনেছেন বাইরের সাইবার নিরাপত্তা গবেষক, হুমকি-সংক্রান্ত তথ্য বিশ্লেষণকারী প্রতিষ্ঠান, ডার্ক ওয়েব পর্যবেক্ষণকারী প্রতিষ্ঠান কিংবা সংবাদমাধ্যম। এসব ঘটনায় আমাদের ব্রিচ শনাক্ত করার সক্ষমতা, ধারাবাহিক নজরদারি, প্রবেশাধিকার নিয়ন্ত্রণ, তৃতীয় পক্ষের ঝুঁকি ব্যবস্থাপনা এবং সাইবার হামলার পর তা মোকাবিলার প্রস্তুতি নিয়ে প্রশ্ন উঠেছে। কোনো প্রতিষ্ঠান হামলা ঠেকাতে ব্যর্থ হতে পারে। কারণ, শতভাগ সাইবার নিরাপত্তা বলে কিছু নেই। কিন্তু ব্রিচ হওয়ার পরও দীর্ঘ সময় সেটি বুঝতে না পারা আরও গুরুতর বিষয়।

কারা এসব করছে, সেটিও এককভাবে বলা যাবে না। উদ্দেশ্য অনুযায়ী হুমকিদাতা আলাদা হতে পারে। যেমন—আর্থিক লাভের জন্য সাইবার অপরাধী বা র‍্যানসমওয়্যার গোষ্ঠী, তথ্য-দালাল, প্রতিষ্ঠানের ভেতরের কেউ, হ্যাকটিভিস্ট অথবা কোনো ক্ষেত্রে অত্যাধুনিক গুপ্তচরবৃত্তিতে জড়িত ব্যক্তি বা গোষ্ঠী। তাই ফরেনসিক প্রমাণ ছাড়া প্রতিটি ব্রিচের সঙ্গে নির্দিষ্ট কোনো পক্ষকে জড়ানো উচিত নয়।

আজকের পত্রিকা: ব্রিচ হলে গ্রাহক ও নিয়ন্ত্রক সংস্থাকে জানানো বাধ্যতামূলক হওয়া উচিত কি না?

তানভীর হাসান জোহা: হ্যাঁ, অবশ্যই। তবে ঝুঁকির মাত্রা বিবেচনা করে একটি কাঠামোর আওতায় তা করা উচিত। কারণ একটি প্রতিষ্ঠানের ডেটাবেসে অনুপ্রবেশ শুধু সেই প্রতিষ্ঠানের প্রযুক্তিগত সমস্যা নয়। সেখানে যদি আমার জাতীয় পরিচয়পত্রের তথ্য, ফোন নম্বর, পাসওয়ার্ড, ব্যাংকিং তথ্য বা অন্য কোনো সংবেদনশীল তথ্য থাকে, তাহলে আমিও একজন সম্ভাব্য ভুক্তভোগী। আমাকে দ্রুত জানানো হলে আমি পাসওয়ার্ড পরিবর্তন করতে পারি, অ্যাকাউন্টে নজর রাখতে পারি, ব্যাংক বা আর্থিক সেবাদাতা প্রতিষ্ঠানকে সতর্ক করতে পারি এবং ফিশিং বা পরিচয় জালিয়াতির বিষয়ে সতর্ক হতে পারি।

বাংলাদেশের ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ, ২০২৫-এর ব্রিচ-সংক্রান্ত বিধানে উল্লেখযোগ্য ক্ষতির আশঙ্কা থাকলে কর্তৃপক্ষকে জানানোর ব্যবস্থা রয়েছে। তবে বাস্তবে কার্যকরভাবে কত সময়ের মধ্যে জানাতে হবে, ক্ষতিগ্রস্ত ব্যক্তিদের জানানোর মানদণ্ড কী হবে এবং আইনটি কীভাবে প্রয়োগ করা হবে—সেটিই গুরুত্বপূর্ণ। আমার মতে বড় ধরনের ব্রিচের ক্ষেত্রে একটি স্পষ্ট কাঠামো দরকার—ব্রিচ শনাক্ত → নিয়ন্ত্রণে আনা → প্রমাণ সংরক্ষণ → ঝুঁকি মূল্যায়ন → নিয়ন্ত্রক সংস্থাকে জানানো → ক্ষতিগ্রস্ত ব্যক্তিদের জানানো → তদন্ত → কী শিক্ষা পাওয়া গেল তা প্রকাশ।

নোটিফিকেশনের উদ্দেশ্য প্রতিষ্ঠানকে প্রকাশ্যে হেয় করা নয়। বরং ক্ষতি নিয়ন্ত্রণ ও জবাবদিহি নিশ্চিত করা।

আজকের পত্রিকা: বিডিজবসের কথিত ৬০ লাখ সিভি ডার্ক ওয়েবে গেলে কী ঝুঁকি?

তানভীর হাসান জোহা: এখানে প্রথমেই আমি ‘৬০ লাখ সিভি ফাঁস হয়েছে’ না বলে ‘৬০ লাখ সিভি বিক্রির দাবি বা বিজ্ঞাপন এসেছে’ বলব, যতক্ষণ না ডেটাসেটটির উৎস স্বাধীনভাবে যাচাই করা হচ্ছে। এ ধরনের অপরাধমূলক বাজারের দাবি কখনো অতিরঞ্জিত বা বিভ্রান্তিকরও হতে পারে। তবে ডেটাসেটটি সত্যি হলে ঝুঁকি অত্যন্ত বড়। একটি সিভিতে সাধারণত নাম, ফোন নম্বর, ই-মেইল, শিক্ষাগত যোগ্যতা, চাকরির ইতিহাস, দক্ষতা, নিয়োগদাতা এবং কখনো ঠিকানা, ছবি ও অন্যান্য ব্যক্তিগত তথ্য থাকতে পারে। এসব তথ্য একসঙ্গে পাওয়া গেলে অপরাধীরা একজন ব্যক্তির অত্যন্ত বিশ্বাসযোগ্য ডিজিটাল প্রোফাইল তৈরি করতে পারে। এর মাধ্যমে লক্ষ্যভিত্তিক ফিশিং, ভুয়া পরিচয় তৈরি, সামাজিক কৌশলে তথ্য আদায়, প্রবেশাধিকার-সংক্রান্ত আক্রমণ এবং আর্থিক জালিয়াতি করা সম্ভব।

উদাহরণ হিসেবে কেউ ফোন করে বলতে পারে: ‘আপনি অমুক প্রতিষ্ঠানে যে চাকরির জন্য আবেদন করেছিলেন, আপনার সিভি আমাদের কাছে আছে...’। এরপর আপনার বিশ্ববিদ্যালয়, আগের চাকরি বা পেশাগত পরিচয়ের তথ্য উল্লেখ করলে ভুক্তভোগী সহজেই তাঁকে বিশ্বাস করতে পারেন। অর্থাৎ সিভি ফাঁসের বিপদ শুধু ব্যক্তিগত গোপনীয়তা হারানোর মধ্যে সীমাবদ্ধ নয়: সিভি → ব্যক্তির প্রোফাইল তৈরি → সামাজিক কৌশলে তথ্য আদায় → ফিশিং → অ্যাকাউন্টে অনুপ্রবেশ → আর্থিক জালিয়াতি। এই ধারাবাহিকতাটিই বেশি ভয়ংকর।

আজকের পত্রিকা: ডার্ক ওয়েবে বিজ্ঞাপন দেখলেই কি ব্রিচ প্রমাণিত?

তানভীর হাসান জোহা: একদমই নয়। ডার্ক ওয়েবে কোনো তথ্য বিক্রির বিজ্ঞাপন হলো অনুসন্ধানের সূত্র, চূড়ান্ত প্রমাণ নয়। একজন হুমকিদাতা একই তথ্য বিভিন্ন উৎস থেকে সংগ্রহ করতে পারে। যেমন পুরোনো ব্রিচ, প্রকাশ্যে থাকা তথ্য, ওয়েবসাইট থেকে তথ্য সংগ্রহ, তথ্য চুরিকারী ম্যালওয়্যারের লগ, তৃতীয় পক্ষের সেবাদাতা, প্রতিষ্ঠানের ভেতরের কেউ অথবা একাধিক ডেটাবেস একত্র করে সেটিকে নতুন ডেটাবেস হিসেবে বিক্রি করতে পারে।

টিজিআই নিজেও এই পার্থক্য রেখেছে। তাদের ৬৮টি ঘটনার মধ্যে ৩১টি কেবল ডেটা ফাঁসের ওয়েবসাইট বা ডার্ক ওয়েবের তালিকায় ছিল এবং স্বাধীনভাবে নিশ্চিত করা হয়নি। তাই ফরেনসিক যাচাই প্রয়োজন। আমার কাছে কোনো ডেটাসেট এলে আমি অন্তত দেখব: নমুনার সত্যতা → ডেটার কাঠামো → মেটাডেটা → রেকর্ডের সামঞ্জস্য → অনন্য বা অপ্রকাশ্য তথ্য → অতীতের নমুনা → ডেটাবেসের কাঠামোর ইঙ্গিত → অন্যান্য উৎসের সঙ্গে তথ্যের মিল → সংশ্লিষ্ট প্রতিষ্ঠানের নিশ্চিতকরণ।

সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন: ‘তথ্যটির প্রকৃত উৎস বা উৎপত্তি কি আমরা নিশ্চিতভাবে শনাক্ত করতে পারছি?’ কারণ ১০০টি সত্যিকারের রেকর্ড পাওয়া গেলেই স্বয়ংক্রিয়ভাবে প্রমাণ হয় না যে সংশ্লিষ্ট প্রতিষ্ঠানের মূল ডেটাবেসে হামলা চালিয়ে ওই তথ্য নেওয়া হয়েছে। তাই যাচাই না হওয়া পর্যন্ত ‘হ্যাকারদের দাবি’, ‘বিক্রির জন্য তথ্যের বিজ্ঞাপন’ বা ‘কথিত ব্রিচ’—এই ধরনের শব্দ ব্যবহার করা উচিত।

আজকের পত্রিকা: বাংলাদেশের বর্তমান আইন দিয়ে ডেটা ব্রিচ প্রতিরোধ সম্ভব?

তানভীর হাসান জোহা: আমি বলব, আইন থাকা আর কার্যকর তথ্য সুরক্ষা ব্যবস্থা থাকা এক বিষয় নয়। বাংলাদেশে এখন সাইবার নিরাপত্তা, ব্যক্তিগত তথ্য সুরক্ষা এবং বিভিন্ন খাতভিত্তিক নিয়ন্ত্রক কাঠামো রয়েছে। কিন্তু বড় প্রশ্ন হচ্ছে—আইন প্রয়োগের সক্ষমতা, নিয়ন্ত্রক সংস্থার সক্ষমতা, বাধ্যতামূলকভাবে ব্রিচ জানানোর বিধানের বাস্তব প্রয়োগ, স্বাধীন ফরেনসিক তদন্ত এবং ক্ষতিগ্রস্ত নাগরিকের কার্যকর প্রতিকার।

টিজিআইয়ের বিশ্লেষণেও জবাবদিহির ঘাটতির কথা বলা হয়েছে। তাদের ডেটাসেটে বড় ধরনের ব্রিচের পর ধারাবাহিকভাবে প্রকাশ্য তদন্ত-পরবর্তী প্রতিবেদন বা দৃষ্টান্তমূলক আইন প্রয়োগের ঘটনা খুব সীমিত বলে উল্লেখ করা হয়েছে। ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ নিয়েও জবাবদিহি, নিয়ন্ত্রক সংস্থার বিবেচনাধিকার এবং আন্তর্জাতিকভাবে স্বীকৃত তথ্য সুরক্ষা নীতির কিছু ঘাটতি নিয়ে সমালোচনা রয়েছে।

আমার মতে, বাংলাদেশের কাঠামোয় চারটি বিষয় বাস্তবে আরও শক্তিশালী করতে হবে—ব্রিচ সম্পর্কে বাধ্যতামূলকভাবে জানানোর ব্যবস্থা, স্বাধীন তদন্ত, প্রতিষ্ঠানের জবাবদিহি এবং ভুক্তভোগীর প্রতিকারের ব্যবস্থা।

সবচেয়ে গুরুত্বপূর্ণ পরিবর্তন হতে হবে মানসিকতায়। ডেটা ব্রিচ শুধু আইটি বিভাগের সমস্যা নয়। এটি একই সঙ্গে আইনি, আর্থিক, জাতীয় নিরাপত্তা এবং নাগরিক অধিকারের বিষয়।