তিন বছরে ৬৮ তথ্য ফাঁসের ঘটনা, জবাবদিহি কিংবা শাস্তির নজির নেই

জাতীয় পরিচয়পত্র, পাসপোর্ট, কল রেকর্ড, ব্যাংক হিসাবসহ নাগরিকদের একের পর এক স্পর্শকাতর তথ্য ফাঁসের ঘটনা ঘটেছে তিন বছরে। এসব তথ্য নিরাপদ রাখার দায়িত্ব যেসব প্রতিষ্ঠানের, তাদের বেশির ভাগই তথ্য ফাঁসের ঘটনা সম্পর্কে জানত না। কোনো কোনো ক্ষেত্রে তথ্য ফাঁসের খবর জানিয়েছে বাইরের গবেষক, সংবাদমাধ্যম কিংবা ডার্ক ওয়েব পর্যবেক্ষণকারী প্রতিষ্ঠান। ঘটনার পর জবাবদিহি কিংবা শাস্তির নজির নেই।

তথ্যপ্রযুক্তি–বিষয়ক গবেষণাপ্রতিষ্ঠান টেকগ্লোবাল ইনস্টিটিউটের (টিজিআই) ‘ব্রিচড অ্যান্ড আনআনসার্ড: বাংলাদেশ’স ডেটা ব্রিচ এপিডেমিক (২০২৩–২০২৬)’ শীর্ষক প্রতিবেদনে ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে পর্যন্ত বাংলাদেশে অন্তত ৬৮টি তথ্য ফাঁসের ঘটনার উল্লেখ করা হয়েছে। এর মধ্যে ৩৬টি সরকারি ও ৩২টি বেসরকারি প্রতিষ্ঠানের। সম্প্রতি প্রতিষ্ঠানটির ওয়েবসাইটে প্রতিবেদনটি প্রকাশিত হয়েছে।

টিজিআইয়ের তথ্য অনুযায়ী, ২০২৩ সালে ৭টি, ২০২৪ সালে ২৭টি, ২০২৫ সালে ১৪টি তথ্য ফাঁসের ঘটনা নথিভুক্ত হয়েছে। ২০২৪ সাল ছাড়া অন্য সব বছরেই সরকারি প্রতিষ্ঠানে তথ্য ফাঁসের ঘটনা বেশি ছিল। আর চলতি বছরের জানুয়ারি থেকে মে পর্যন্ত ৫ মাসে ২০টি তথ্য ফাঁসের ঘটনা নথিভুক্ত করেছে টিজিআই। এর মধ্যে সরকারি প্রতিষ্ঠানে ১৩টি এবং বেসরকারি প্রতিষ্ঠানে ৭টি।

টিজিআইয়ের বাংলাদেশপ্রধান ফৌজিয়া আফরোজ প্রথম আলোকে বলেন, নাগরিকের তথ্য সুরক্ষা রাষ্ট্রের দায়িত্ব। তবে বিদ্যমান কাঠামো, আইন ও জবাবদিহিতে স্পষ্ট ঘাটতি রয়েছে, যা তথ্য অপব্যবহারের ঝুঁকি বাড়াচ্ছে।

টিজিআইয়ের হিসাবে, সবচেয়ে বেশি তথ্য ফাঁসের ঘটনা ঘটেছে সরকারি সেবা ও সেবা (ইউটিলিটি) প্রদানকারী প্রতিষ্ঠানে। এর সংখ্যা ২০। এরপর রয়েছে বেসরকারি কোম্পানি ও ব্যবসায়িক গোষ্ঠী, যার সংখ্যা ১৬। নির্বাচন কমিশন-সংশ্লিষ্ট ঘটনায় ৫টি, টেলিযোগাযোগ ও ইন্টারনেট সেবাদাতায় ৫টি, সশস্ত্র বাহিনীতে ৩টি এবং বেসরকারি ব্যাংক ও মোবাইল আর্থিক সেবাদাতায় ৩টি ঘটনা নথিভুক্ত করা হয়েছে।

প্রতিবেদন তৈরির সময় টিজিআইয়ের গবেষকেরা একটি সরকারি পোর্টালের পাসওয়ার্ড পুনরুদ্ধারের ব্যবস্থা পরীক্ষা করেন। একটি সরকারি পোর্টালে গবেষকেরা এমন দুর্বলতা খুঁজে পান, যেখানে প্রশাসনিক পাসওয়ার্ড ও অন্যান্য সংবেদনশীল তথ্য উন্মুক্ত হয়ে যাচ্ছিল।

গবেষকেরা একই দিনে বিষয়টি সাইবার নিরাপত্তা নিয়ে কাজ করা সরকারি সংস্থা বিজিডি ই-গভ সার্টকে জানান। প্রতিবেদনে বলা হয়েছে, সংশ্লিষ্ট কর্তৃপক্ষ বিষয়টি অস্বীকার করেনি এবং আরও কিছু দুর্বলতা শনাক্ত করার কথা জানিয়েছে।

প্রতিবেদনটির অন্যতম গুরুত্বপূর্ণ পর্যবেক্ষণ হলো, তথ্য ফাঁসের ঘটনা শনাক্ত করার সক্ষমতা সংশ্লিষ্ট প্রতিষ্ঠানগুলোর মধ্যে খুবই সীমিত। বেশির ভাগ ঘটনায় বাইরের সাইবার নিরাপত্তা গবেষক, ডার্ক ওয়েব মনিটরিং প্রতিষ্ঠান কিংবা সংবাদমাধ্যম প্রথমে তথ্য ফাঁসের বিষয়টি শনাক্ত করেছে। এরপর সংশ্লিষ্ট প্রতিষ্ঠান বা কর্তৃপক্ষ বিষয়টি জানতে পেরেছে।

টিজিআই বলছে, বেশির ভাগ প্রতিষ্ঠানের ২৪ ঘণ্টার সাইবার নিরাপত্তা তদারকি বা সক্রিয় হুমকি অনুসন্ধানের ব্যবস্থা ছিল না। এর ফলে কোনো সিস্টেমে দুর্বলতা তৈরি হওয়ার পর সেটি ব্যবহার করে তথ্য বের করে নেওয়া হলেও অনেক ক্ষেত্রে তাৎক্ষণিকভাবে শনাক্ত করার সুযোগ থাকছে না।

দেশে জাতীয় নিরাপত্তা, ডিজিটাল অর্থনীতিকে শক্তিশালী করা এবং ডিজিটাল জীবনযাত্রাকে সুরক্ষার মাধ্যমে নিরাপদ সাইবার স্পেস প্রতিষ্ঠা করতে গঠন করা হয়েছে জাতীয় সাইবার সুরক্ষা এজেন্সি (এনসিএসএ)। সংস্থাটির সূত্র বলছে, সরকারি প্রতিষ্ঠানের প্রায় ৩৬ হাজার ডোমেইন এনসিএসএ তদারক করে। তবে পোর্টালগুলোর রক্ষণাবেক্ষণ ও পরিচালনার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের।

সংস্থাটির মহাপরিচালক মো. তৈয়বুর রহমান প্রথম আলোকে বলেন, আগে সরকারি পোর্টাল সংরক্ষণ ও পরিচালনা (হোস্টিং) ব্যবস্থায় নিরাপত্তার ঘাটতি ছিল। সম্প্রতি বাংলাদেশ ডেটা সেন্টার কোম্পানি লিমিটেডে (বিডিসিসিএল) হোস্টিং করা হয়েছে এবং সেখানে কয়েক স্তরের সাইবার নিরাপত্তাব্যবস্থা চালুর কাজ চলছে। তিনি আরও বলেন, অনেক প্রতিষ্ঠানে দক্ষ কারিগরি জনবলের ঘাটতি রয়েছে, যা সরকারি তথ্যব্যবস্থার নিরাপত্তার ক্ষেত্রে বড় ঝুঁকি।

তথ্য ফাঁসের ঘটনাগুলোর মধ্যে নির্বাচন কমিশন-সংশ্লিষ্ট ঘটনাগুলো বিশেষভাবে গুরুত্বপূর্ণ। টিজিআইয়ের প্রতিবেদনে ২০২৩ থেকে ২০২৬ সালের মধ্যে অন্তত পাঁচটি ঘটনার উল্লেখ রয়েছে। প্রতিবেদনে বলা হয়েছে, এনআইডি উপাত্তভান্ডারে (ডেটাবেজ) সরাসরি অনুপ্রবেশের প্রমাণ না মিললেও তৃতীয় পক্ষের যাচাইব্যবস্থা ও প্রবেশাধিকারে নিরাপত্তাঘাটতি আছে।

২০২৪ সালে নাগরিকদের ব্যক্তিগত স্পর্শকাতর তথ্য বিক্রির অভিযোগ ওঠে পুলিশের দুই কর্মকর্তার বিরুদ্ধে। ন্যাশনাল টেলিকমিউনিকেশন মনিটরিং সেন্টার (এনটিএমসি) থেকে তথ্যপ্রাপ্তির সুবিধা নিয়ে এমন অপরাধে জড়িয়েছেন বলে অভিযোগ ওঠে।

টিজিআইয়ের প্রতিবেদনে ওই ঘটনাকে আলাদাভাবে গুরুত্ব দেওয়া হয়েছে। প্রতিবেদনে বলা হয়েছে, এটি সাধারণ কোনো তথ্যভান্ডার থেকে তথ্য চুরির ঘটনা নয়। কারণ, এখানে আড়ি পাতা ও নজরদারিসংক্রান্ত তথ্যও জড়িত ছিল।

প্রতিবেদনের তথ্য বলছে, প্রায় ৪২টি সরকারি সংস্থার ৫০০ কর্মকর্তা যাচাই ও তদন্তের প্রয়োজনে নাগরিকদের তথ্য ব্যবহারের সুযোগ পান। ফলে এ ধরনের তথ্যের অপব্যবহারের ঝুঁকি বেশি।

প্রবাসী কল্যাণ মন্ত্রণালয়ের তথ্যভান্ডার-সংশ্লিষ্ট ঘটনাও প্রতিবেদনে উঠে এসেছে। টিজিআইয়ের দাবি, সেখানে পাসপোর্ট, এনআইডি, ই-টিআইএন এবং আর্থিক ও ব্যাংকিং নথি একসঙ্গে উন্মুক্ত হওয়ার ঝুঁকি তৈরি হয়েছিল। ২০২৬ সালের এপ্রিল ও মে মাসে প্রায় ছয় সপ্তাহের মধ্যে তিনবার প্রবাসী শ্রমিকদের তথ্যভান্ডারে অনুপ্রবেশের চেষ্টার কথাও প্রতিবেদনে বলা হয়েছে। এতে ১০ লাখের বেশি প্রবাসী শ্রমিকের তথ্য রয়েছে।

তথ্য ফাঁসের এতগুলো ঘটনার পরও অর্থবহ আইনি ব্যবস্থা নেওয়ার নজির খুবই সীমিত বলে টিজিআইয়ের প্রতিবেদনে উল্লেখ করা হয়েছে। তবে তৃতীয় পক্ষের তথ্য ব্যবহারের শর্ত ও জবাবদিহির কাঠামো কতটা স্পষ্ট, তা নিয়ে প্রশ্ন রয়েছে।

ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬-এ প্রথমবারের মতো তথ্য ফাঁস হলে সংশ্লিষ্ট কর্তৃপক্ষকে তা জানানোর বাধ্যবাধকতা যুক্ত হয়েছে। টিজিআই বলছে, ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬ তথ্য ফাঁসের বাধ্যতামূলক নোটিফিকেশন চালু করলেও রাষ্ট্রীয় সংস্থার জন্য বিস্তৃত ছাড়, বাস্তবায়নে বিলম্ব এবং জবাবদিহির দুর্বলতা নিয়ে প্রশ্ন রয়েছে।

টিজিআইর মূল্যায়ন অনুযায়ী, বাংলাদেশের অধিকাংশ তথ্য ফাঁস অত্যাধুনিক সাইবার হামলার ফল নয়। বরং দুর্বল প্রশাসনিক শৃঙ্খলা, নিরাপত্তা তদারকির অভাব, প্রবেশাধিকার নিয়ন্ত্রণের ঘাটতি ও নিয়মিত নিরাপত্তা নিরীক্ষা না হওয়াই বড় কারণ।

উত্তরণের উপায় সম্পর্কে জানতে চাইলে ঢাকা বিশ্ববিদ্যালয়ের তথ্যপ্রযুক্তি ইনস্টিউটের অধ্যাপক বি এম মইনুল হোসেন প্রথম আলোকে বলেন, ‘যে তথ্য হস্তগত করার জন্য বিশ্বজুড়ে মিলিয়ন মিলিয়ন ডলারের চেষ্টা-অপচেষ্টা চলতে থাকে, সে তথ্য বলতে গেলে আমরা স্বেচ্ছায় উন্মুক্ত করে রাখি।’

তথ্য–উপাত্ত সুরক্ষার ওপর সচেতনতা বৃদ্ধি করতে সভা–সেমিনারে সীমাবদ্ধ থাকার সুযোগ নেই উল্লেখ করে এই তথ্যপ্রযুক্তি বিশেষজ্ঞ বলেন, এখন প্রয়োজন উপাত্ত সুরক্ষার আইনকানুন এবং বিশ্বজুড়ে স্বীকৃত নিয়মগুলো সংশ্লিষ্ট প্রতিষ্ঠান পালন করছে কি না, সেটি তদারক করা, জবাবদিহি নিশ্চিত করা এবং দরকার হলে আইন অনুযায়ী ব্যবস্থা গ্রহণ করা।