সরকারি-বেসরকারি ৬৮ প্রতিষ্ঠানের তথ্য ফাঁস, গবেষণায় ব্যর্থতার ভয়াবহ চিত্র
বাংলাদেশের কোটি কোটি নাগরিকের জাতীয় পরিচয়পত্র নম্বর (এনআইডি), বায়োমেট্রিক তথ্য, পাসপোর্ট নম্বরসহ ব্যক্তিগত সংবেদনশীল তথ্য একের পর এক ফাঁস হওয়ার ঘটনা ঘটেছে সরকারি ও বেসরকারি প্রতিষ্ঠানের ভান্ডার থেকে। অথচ নিজেদের সিস্টেমের সিঁধ কেটে তথ্য বেহাত হয়ে যাওয়ার খবর প্রতিষ্ঠানগুলো নিজেরা টেরই পায়নি। বাইরে কোনো নিরাপত্তা গবেষক, গণমাধ্যম কিংবা ডার্ক ওয়েব পর্যবেক্ষণ সংস্থার মাধ্যমে বিষয়টি জানাজানি হওয়ার পর টনক নড় সংশ্লিষ্টদের।
আন্তর্জাতিক গবেষণা প্রতিষ্ঠান ‘টেক গ্লোবাল ইনস্টিটিউট’-এর সাম্প্রতিক প্রকাশিত নতুন এক গবেষণায় উঠে এসেছে সাইবার সুরক্ষায় বাংলাদেশের প্রাতিষ্ঠানিক দুর্বলতা, তদারকির অভাব এবং মারাত্মক সচেতনতাহীনতার এই চিত্র।
গবেষণাটি পরিচালিত হয়েছে ২০২৩ সালের জানুয়ারি থেকে ২০২৬ সালের মে মাস পর্যন্ত ফাঁস হওয়ার তথ্যের ওপর ভিত্তি করে। গবেষণার মূল লেখক হিসেবে যুক্ত ছিলেন আপন দাস, মীর রৌনক, কালিম আহমেদ, শাহনেওয়াজ পাটোয়ারী, ফৌজিয়া আফরোজ ও শাহজেব মাহমুদ।
প্রতিবেদনে বলা হয়েছে, প্রায় সাড়ে তিন বছরে বাংলাদেশে সরকারি ও বেসরকারি ৬৮টি প্রতিষ্ঠানে তথ্য ফাঁস বা ডেটা ব্রিচের ঘটনা ঘটেছে। এর মধ্যে ৩৬টি ঘটনা ঘটেছে সরকারি প্রতিষ্ঠানে, আর ৩২টি ঘটেছে বেসরকারি খাতে। ফাঁস হওয়া তথ্যের মধ্যে রয়েছে এনআইডি, বায়োমেট্রিক রেকর্ড, পাসপোর্ট নম্বরসহ নানা ধরনের ব্যক্তিগত সনাক্তকরণযোগ্য তথ্য (পিআইআই)।
‘প্রাতিষ্ঠানিক অন্ধত্ব’
গবেষণায় বিষয়টিকে চিহ্নিত করা হয়েছে ‘ইনস্টিটিউশনাল ব্লাইন্ডনেস’ বা ‘প্রাতিষ্ঠানিক অন্ধত্ব’ হিসেবে। প্রতিবেদনে বলা হয়েছে, তথ্য ফাঁসের প্রায় প্রতিটি ঘটনাতেই আক্রান্ত প্রতিষ্ঠান নিজে থেকে কোনো প্রাথমিক সতর্কসংকেত বা লক্ষণ শনাক্ত করতে পারেনি। প্রায় সব কটি ঘটনাই ধরা পড়েছে বাইরের নিরাপত্তা গবেষক, গণমাধ্যম কিংবা ডার্ক ওয়েব মনিটরিং সেবার মাধ্যমে। ব্যতিক্রম হিসেবে উঠে এসেছে কেবল দুটি ঘটনা। বাংলাদেশ নির্বাচন কমিশন নিজস্ব যাচাই ব্যবস্থার ভেতরের একটি ফাঁস নিজেই শনাক্ত করেছিল, আর পুলিশের একটি ঘটনায় হয়েছিল একক তদন্ত।
তথ্য ফাঁসের ঘটনা প্রকাশ পাওয়ার পরও সংশ্লিষ্ট প্রতিষ্ঠানগুলোর প্রতিক্রিয়া মূলত নীরবতা বা অস্বীকারের মধ্যেই সীমাবদ্ধ থেকেছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে। কোনো ঘটনার পর আনুষ্ঠানিক তদন্ত প্রতিবেদন বা ‘পোস্ট-মর্টেম’ প্রকাশ পাওয়ার নজির একেবারেই বিরল। এমনকি সংশ্লিষ্ট কোনো প্রতিষ্ঠানের নির্দিষ্ট কোনো ‘বাগ বাউন্টি’ কর্মসূচিও নেই। এর মাধ্যমে নিরাপত্তা-দুর্বলতা আগেভাগে শনাক্ত করার সুযোগ তৈরি হতে পারত।
কাগজের এনআইডি কার্ড থেকে ডিজিটাল বাংলাদেশে উত্তরণের পর স্মার্ট কার্ডের মাধ্যমে প্রায় ২০টি ক্ষেত্রে তথ্যের প্রবেশাধিকার নিশ্চিত হয়েছে বলে গবেষণা প্রতিবেদনে উল্লেখ করা হয়েছে। বর্তমানে দেশে ৮ কোটি ১০ লাখ এনআইডি স্মার্ট কার্ড প্রস্তুত রয়েছে। অথচ মোট ভোটারসংখ্যা প্রায় ১২ কোটি ২০ লাখ। ২০২৫ সালের শেষ নাগাদ দেশে ইন্টারনেট ব্যবহারকারীর সংখ্যা দাঁড়িয়েছে ৮ কোটি ৩০ লাখে, মোবাইল সংযোগের সংখ্যা প্রায় ১৮ কোটি ৬০ লাখ এবং মোবাইল আর্থিক সেবা বা এমএফএস অ্যাকাউন্টের সংখ্যা ২০ কোটির বেশি। এর মধ্যে সক্রিয় অ্যাকাউন্ট ৮৯ দশমিক ৩৮ মিলিয়ন।
তবে তথ্যের এই ব্যাপক কেন্দ্রীকরণের সঙ্গে তাল মিলিয়ে প্রয়োজনীয় ডেটা সুরক্ষা আইন ও নিরাপত্তা তদারকি ব্যবস্থা গড়ে ওঠেনি বলে প্রতিবেদনে সতর্ক করা হয়েছে। গবেষকেরা বিশেষভাবে উল্লেখ করেছেন, পাসওয়ার্ড বা পিন ফাঁস হলে তা রিসেট করার সুযোগ থাকলেও বায়োমেট্রিক তথ্য (যেমন আঙুলের ছাপ বা আইরিস স্ক্যান) একবার ফাঁস হয়ে গেলে তা আর ফেরানো বা বদলানো সম্ভব নয়। ফলে এটি নাগরিকদের ব্যক্তিগত নিরাপত্তার পাশাপাশি রাষ্ট্রীয় পর্যায়ে নজরদারি ও নিয়ন্ত্রণের ঝুঁকিও তৈরি করছে বলে মনে করছেন গবেষকেরা।
শীর্ষে নির্বাচন কমিশন
গবেষণার তথ্য-উপাত্ত অনুযায়ী, তথ্য ফাঁসের ঘটনায় সবচেয়ে বেশি নাম উঠে এসেছে বাংলাদেশ নির্বাচন কমিশনের (ইসি)। প্রতিষ্ঠানটি দেশের জাতীয় সনাক্তকরণ তথ্যের প্রধান সাংবিধানিক অভিভাবক প্রতিষ্ঠান। অন্তত পাঁচটি ঘটনায় প্রত্যক্ষ বা পরোক্ষভাবে জড়িত ছিল ইসি।
এর মধ্যে ২০২৩ সালের অক্টোবরে টেলিগ্রাম চ্যানেলে ভোটারদের তথ্য প্রকাশ পাওয়ার ঘটনা অন্যতম। ২০২৫ সালের ফেব্রুয়ারিতে পাঁচটি অংশীদার সংস্থা অর্থাৎ স্বাস্থ্য অধিদপ্তর (ডিজিএইচএস), উপায়, চট্টগ্রাম বন্দর কর্তৃপক্ষ, মহিলা বিষয়ক অধিদপ্তর ও আইবিএএস প্লাস প্লাসের মাধ্যমে তথ্য ফাঁসের ঘটনা ঘটে। এরপর ২০২৫ সালের মে মাসে আনসার-ভিডিপি ও ব্র্যাক ব্যাংকের মাধ্যমেও আরও তথ্য প্রকাশ পায়।
এ ছাড়া অপরাধ তদন্ত বিভাগ বা সিআইডি ২০২৬ সালের জানুয়ারিতে একটি অভ্যন্তরীণ চক্র বা ‘ইনসাইডার সিন্ডিকেট’ উদঘাটন করে। এর কিছুদিন পরই প্রতিষ্ঠানটির একটি পোর্টাল থেকে প্রায় ১৪ হাজার সাংবাদিকের তথ্য উন্মুক্ত হয়ে পড়ার ঘটনাও ঘটে।
তবে নির্বাচন কমিশন দাবি করেছে, তাদের কেন্দ্রীয় ডেটাবেজ সরাসরি হ্যাক করা হয়নি; বরং তৃতীয় পক্ষের ভেরিফিকেশন চ্যানেল ও অভ্যন্তরীণ ব্যক্তিদের মাধ্যমেই মূলত তথ্যগুলো ফাঁস হয়েছে।
অন্যান্য উল্লেখযোগ্য ঘটনার মধ্যে রয়েছে জাতীয় টেলিযোগাযোগ পর্যবেক্ষণ কেন্দ্রের (এনটিএমসি) দুই আইনশৃঙ্খলা রক্ষাকারী কর্মকর্তার ক্রেডেনশিয়াল ব্যবহার করে তথ্য বিক্রির ঘটনা, প্রবাসী কল্যাণ ও বৈদেশিক কর্মসংস্থান মন্ত্রণালয়ের লাখ লাখ অভিবাসী শ্রমিকের পাসপোর্ট, এনআইডি ও ব্যাংকিং নথি ফাঁস, এবং নির্বাচন কমিশন, বাংলাদেশ সড়ক পরিবহন কর্তৃপক্ষ (বিআরটিএ), পুলিশ ও সশস্ত্র বাহিনীর মতো স্পর্শকাতর তথ্যধারী সংস্থার ডেটা ফাঁস।
শীর্ষ ১০ ঘটনা
প্রতিবেদনে ২০২৩ থেকে ২০২৬ সাল পর্যন্ত সময়সীমার মধ্যে ঘটে যাওয়া প্রধান দশটি তথ্য ফাঁসের ঘটনা তুলে ধরা হয়েছে—
জুলাই ২০২৩: জন্ম ও মৃত্যু নিবন্ধন মহাপরিচালকের কার্যালয় থেকে প্রায় ৫০ মিলিয়ন নাগরিকের নাম, এনআইডি ও মোবাইল নম্বর ফাঁস হয়। প্রযুক্তিবিষয়ক গণমাধ্যম টেকক্রাঞ্চ এই তথ্য সংগ্রহ ও যাচাই করে।
অক্টোবর ২০২৩: এনআইডিভিত্তিক ভোটারদের তথ্য টেলিগ্রাম চ্যানেলে উন্মুক্ত হয়ে পড়ে; এই ঘটনাও যাচাই করা হয়েছে।
নভেম্বর ২০২৩: এনটিএমসি থেকে নাগরিকদের নাম, এনআইডি, ফোন নম্বর ও পাসপোর্ট রেকর্ড ফাঁসের তথ্য প্রকাশ করে যুক্তরাষ্ট্রভিত্তিক সাময়িকী ওয়ায়ার্ড। যদিও এনটিএমসি এই দাবি অস্বীকার করেছে, ঘটনাটি যাচাই হিসেবে চিহ্নিত হয়েছে।
জুন ২০২৪: সরকারি প্ল্যাটফর্ম ‘মাইলকার’ (myLocker)-এর আড়াই মিলিয়ন ব্যবহারকারীর তথ্য ডার্ক ওয়েবে বিক্রি হওয়ার ঘটনা যাচাই করা হয়েছে।
নভেম্বর ২০২৪: মোবাইল আর্থিক সেবাদাতা প্রতিষ্ঠান বিকাশের এক কোটি ব্যবহারকারীর তথ্য ফাঁসের দাবি ওঠে, তবে তা এখনো অযাচাইকৃত।
ডিসেম্বর ২০২৪: বাংলাদেশ পুলিশের এক লাখের বেশি কর্মকর্তার তথ্য এবং অপরাধ তথ্য ব্যবস্থাপনা পদ্ধতির তথ্য ডার্ক ওয়েবে প্রকাশ পায়। প্রথম আলোর নিজস্ব অনুসন্ধানী প্রতিবেদনে এটি যাচাই হয়েছে।
জুলাই ২০২৫: বিআরটিএর ১০ লাখের বেশি ব্যবহারকারীর তথ্য ডার্ক ওয়েবে বিক্রির দাবি ওঠে, যা এখনো অযাচাইকৃত।
ডিসেম্বর ২০২৫: সুপারশপ চেইন স্বপ্নর ৪০ লাখ গ্রাহকের তথ্য সামাজিক যোগাযোগমাধ্যমে ফাঁস হয়; এই ঘটনা যাচাই করা হয়েছে।
এপ্রিল ২০২৬: প্রবাসী কল্যাণ ও বৈদেশিক কর্মসংস্থান মন্ত্রণালয়ের পাসপোর্ট, এনআইডি ও ব্যাংকিং সংক্রান্ত তথ্য ফাঁসের দাবি ওঠে, যা এখনো অযাচাইকৃত।
মে ২০২৬: জনশক্তি কর্মসংস্থান ও প্রশিক্ষণ ব্যুরোর (বিএমইটি) পাসপোর্ট ও প্রাক-বহির্গমন প্রশিক্ষণ সংক্রান্ত তথ্য ডার্ক ওয়েবে বিক্রির দাবি ওঠে, যা এখনো অযাচাইকৃত।
গবেষকেরা বলছেন, এই সময়রেখা স্পষ্ট করে দেয় যে তথ্য ফাঁসের ঘটনা কোনো বিচ্ছিন্ন সমস্যা নয়, বরং প্রায় ধারাবাহিকভাবে ঘটে চলা একটি প্রবণতা; যেখানে দুর্বল প্রাতিষ্ঠানিক সক্ষমতা ও তদারকির অভাবে বারবার একই ধরনের ঘটনার পুনরাবৃত্তি ঘটছে।