অনলাইনে নাগরিকের ব্যক্তিগত তথ্যের বেচাকেনা, বাড়ছে নিরাপত্তা ও গোপনীয়তার উদ্বেগ

বাংলাদেশি নাগরিকদের সংবেদনশীল ব্যক্তিগত তথ্য অনলাইনে প্রকাশ্যে বিক্রির অভিযোগ উঠেছে। জাতীয় পরিচয়পত্রের (এনআইডি) তথ্য, কল রেকর্ড, মুঠোফোনের অবস্থান থেকে শুরু করে আর্থিক তথ্য পর্যন্ত অর্থের বিনিময়ে সরবরাহের বিজ্ঞাপন পাওয়া যাচ্ছে ফেসবুক, টেলিগ্রাম, হোয়াটসঅ্যাপ ও বিভিন্ন ওয়েবসাইটে। এসব তথ্য কীভাবে বিক্রেতাদের হাতে পৌঁছাচ্ছে এবং সরকারি-বেসরকারি ডেটাবেসের নিরাপত্তা কতটা কার্যকর—তা নিয়ে গুরুতর প্রশ্ন তৈরি হয়েছে।

অনলাইনে পাওয়া বিভিন্ন বিজ্ঞাপনে টাকার বিনিময়ে এনআইডি তথ্য, কল ডিটেল রেকর্ড (সিডিআর), মুঠোফোনের অবস্থান, এসএমএসের তালিকা, জন্মনিবন্ধন, পাসপোর্ট, টিআইএন, আইএমইআই এবং মোবাইল আর্থিক সেবার হিসাব বিবরণী সরবরাহের কথা বলা হচ্ছে।

তথ্য পাওয়ার এই প্রক্রিয়ার কথিত সহজলভ্যতা ইঙ্গিত দিচ্ছে, বিষয়টি বিচ্ছিন্ন কিছু অনলাইন প্রতারণার মধ্যে সীমাবদ্ধ নাও থাকতে পারে। এর সঙ্গে তথ্য সংগ্রহ, সরবরাহ, মধ্যস্থতা ও ক্রয়-বিক্রয়ের একটি বিস্তৃত কাঠামো জড়িত থাকার সম্ভাবনাও তৈরি হয়েছে।

তবে এসব তথ্যের প্রকৃত উৎস কী এবং কোনো সরকারি বা বেসরকারি ডেটাবেসে অননুমোদিত প্রবেশ ঘটেছে কি না—তা এখনো নিশ্চিতভাবে প্রতিষ্ঠিত হয়নি।

অনুসন্ধানে অনলাইন তথ্যবাজারের চিত্র

তথ্য ও অনুসন্ধানী সাংবাদিকতা প্রতিষ্ঠান ডিসমিসল্যাবের অনুসন্ধানে ব্যক্তিগত তথ্য বিক্রির সঙ্গে যুক্ত ১০টি সক্রিয় ওয়েবসাইট শনাক্ত হওয়ার কথা জানানো হয়েছে। একই সঙ্গে সামাজিক যোগাযোগমাধ্যমে এমন শত শত বিজ্ঞাপনের সন্ধান পাওয়া গেছে।

পরবর্তী এক অনুসন্ধানে সামাজিক যোগাযোগমাধ্যমে প্রকাশিত বিজ্ঞাপন ও তথ্য বিক্রির ব্যানারে দেওয়া একাধিক নম্বরে যোগাযোগ করা হয়। যোগাযোগ করা ব্যক্তিদের কেউ এনআইডি তথ্য, কেউ কল রেকর্ড এবং কেউ মুঠোফোনের অবস্থানসংক্রান্ত তথ্য অর্থের বিনিময়ে দেওয়ার কথা জানান।

যেসব তথ্য যাচাই করা সম্ভব হয়েছে, সেগুলো বিভিন্ন উপায়ে মিলিয়ে দেখা হয়।

অনুসন্ধানের ফলাফল থেকে অন্তত কিছু বিক্রেতার কাছে প্রকৃত ও সম্ভবত হালনাগাদ ব্যক্তিগত তথ্য থাকার ইঙ্গিত পাওয়া গেছে। তবে তারা এসব তথ্য কোথা থেকে পেয়েছেন কিংবা কোনো নির্দিষ্ট প্রতিষ্ঠান বা নেটওয়ার্কের সঙ্গে যুক্ত কি না, তা নিশ্চিত করা যায়নি।

অর্থ দেওয়ার পর কয়েক মিনিটেই তথ্য সরবরাহের দাবি

ডিসমিসল্যাবের অনুসন্ধানে একটি পরীক্ষায় একটি মুঠোফোন নম্বর ও ৫০০ টাকা দেওয়ার মাত্র ১৭ মিনিটের মধ্যে এনআইডির একটি পিডিএফ সরবরাহ করা হয় বলে জানানো হয়েছে।

ডিসমিসল্যাবের দাবি, ওই নথিতে সংশ্লিষ্ট ব্যক্তির নাম, ছবি ও জন্মতারিখ ছিল এবং সেগুলো ওই ব্যক্তির তথ্যের সঙ্গে মিলে যায়। এমনকি সম্প্রতি সংশোধন করা তথ্যও নথিতে হালনাগাদ অবস্থায় পাওয়া যায় বলে প্রতিষ্ঠানটি জানিয়েছে।

অন্য একটি পরীক্ষায় একটি নম্বরের তিন মাসের কল ডিটেল রেকর্ডের জন্য ১ হাজার ৫০ টাকা দেওয়ার পর প্রায় আড়াই ঘণ্টার মধ্যে একটি ফাইল সরবরাহ করা হয় বলে জানায় ডিসমিসল্যাব।

প্রতিষ্ঠানটির ভাষ্য অনুযায়ী, ফাইলটিতে থাকা সাম্প্রতিক যোগাযোগের নম্বর, কলের সময় এবং কলের ধরন প্রকৃত কল-ইতিহাসের সঙ্গে মিলিয়ে দেখা হলে সেগুলো সামঞ্জস্যপূর্ণ পাওয়া যায়।

আরেক পরীক্ষায় একটি মুঠোফোন নম্বরের অবস্থানসংক্রান্ত তথ্যের জন্য অর্থ দেওয়ার ১৬ মিনিটের মধ্যে তথ্য সরবরাহের কথা বলা হয়। এতে সর্বশেষ সক্রিয় সময়, টাওয়ারভিত্তিক অবস্থান, ঠিকানা এবং মানচিত্রে অবস্থান দেখানোর তথ্য থাকার দাবি করা হয়।

এসব তথ্য সত্য হলে একজন ব্যক্তির যোগাযোগ ও চলাচল সম্পর্কে অত্যন্ত সংবেদনশীল ধারণা পাওয়া সম্ভব।

ফেসবুকসহ সামাজিক যোগাযোগমাধ্যমে শত শত বিজ্ঞাপন

ব্যক্তিগত তথ্য বিক্রির অভিযোগের সবচেয়ে উদ্বেগজনক দিকগুলোর একটি হলো—এসব সেবা গোপনে নয়, কিছু ক্ষেত্রে প্রকাশ্যেই প্রচার করা হচ্ছে।

ডিসমিসল্যাব জানিয়েছে, ১৫ জুন থেকে ১৫ জুলাই পর্যন্ত একটি নির্দিষ্ট শব্দ ব্যবহার করে ফেসবুকে ৬৭৫টি পোস্ট শনাক্ত করা হয়। এর মধ্যে ৬০৫টি পোস্টে ব্যক্তিগত তথ্য বিক্রির প্রস্তাব ছিল।

অনুসন্ধানে যোগাযোগের জন্য অন্তত ১১২টি ভিন্ন মুঠোফোন নম্বর ব্যবহারের তথ্য পাওয়া যায়। একই ধরনের বিজ্ঞাপন ৩৬টি সক্রিয় ফেসবুক গ্রুপে বারবার প্রকাশিত হওয়ার তথ্যও উঠে এসেছে।

বিজ্ঞাপনের সংখ্যা, ব্যবহৃত যোগাযোগ নম্বর এবং বিভিন্ন গ্রুপে একই ধরনের প্রচারণা দেখে ধারণা করা যায়, বিষয়টি বিচ্ছিন্ন কয়েকজন ব্যক্তির কর্মকাণ্ডের বাইরে আরও বিস্তৃত হতে পারে।

তবে এসব তথ্যের ভিত্তিতে একটি সমন্বিত বা সংগঠিত নেটওয়ার্কের অস্তিত্ব নিশ্চিতভাবে প্রতিষ্ঠা করা যায়নি। এ বিষয়ে আরও তদন্ত প্রয়োজন।

তথ্য আসছে কোথা থেকে?

এখন সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন হলো—নাগরিকদের এসব তথ্য বিক্রেতাদের হাতে পৌঁছাচ্ছে কীভাবে?

ডিসমিসল্যাবের অনুসন্ধানে বিক্রেতারা তথ্যের উৎস সম্পর্কে বিভিন্ন ধরনের দাবি করেছেন। কেউ অন্য অনলাইন গ্রুপ বা ওয়েবসাইট থেকে তথ্য সংগ্রহের কথা বলেছেন।

একজন বিক্রেতা এপিআই ব্যবহার করে সরকারি সার্ভার থেকে তথ্য সংগ্রহের দাবি করেছেন।

তবে সরকারি সার্ভারে অননুমোদিত প্রবেশের এই দাবি স্বাধীনভাবে যাচাই করা সম্ভব হয়নি। ফলে এটিকে সরকারি সিস্টেমে হ্যাকিং বা তথ্য ফাঁসের নিশ্চিত প্রমাণ হিসেবে বিবেচনা করার সুযোগ নেই।

তবে যদি সত্যিই হালনাগাদ ব্যক্তিগত তথ্য দ্রুত ও অল্প অর্থের বিনিময়ে সরবরাহ করা সম্ভব হয়, তাহলে এসব তথ্যের উৎস শনাক্ত করা জরুরি।

তদন্তে খতিয়ে দেখা প্রয়োজন—তথ্য কোনো সরকারি বা বেসরকারি ডেটাবেস থেকে নেওয়া হচ্ছে কি না, বৈধ প্রবেশাধিকার অপব্যবহার করা হচ্ছে কি না, ব্যবহারকারীর অ্যাকাউন্ট বা লগইন তথ্য হাতিয়ে নেওয়া হয়েছে কি না, কিংবা সফটওয়্যার ও এপিআইয়ের কোনো নিরাপত্তা দুর্বলতা কাজে লাগানো হচ্ছে কি না।

গোপনীয়তার বাইরে আরও বড় ঝুঁকি

ব্যক্তিগত তথ্য অননুমোদিতভাবে প্রকাশ বা বিক্রি হলে ক্ষতি শুধু গোপনীয়তা হারানোর মধ্যেই সীমাবদ্ধ থাকে না।

কারও এনআইডি তথ্য, মুঠোফোন নম্বর, ঠিকানা, কল রেকর্ড, অবস্থান এবং আর্থিক তথ্য একত্র করা গেলে ওই ব্যক্তির একটি বিস্তারিত ডিজিটাল প্রোফাইল তৈরি করা সম্ভব হতে পারে।

এ ধরনের তথ্য ব্যবহার করে পরিচয় জালিয়াতি, আর্থিক প্রতারণা, লক্ষ্যভিত্তিক ফিশিং, হয়রানি কিংবা অননুমোদিত নজরদারি চালানো সম্ভব হতে পারে।

বিশেষ করে অবস্থানসংক্রান্ত তথ্য অত্যন্ত সংবেদনশীল। কোনো ব্যক্তির চলাচল বা অবস্থান সম্পর্কে তথ্য ভুল হাতে গেলে তার ব্যক্তিগত নিরাপত্তার ওপরও ঝুঁকি তৈরি হতে পারে।

একটি তথ্য আলাদাভাবে খুব বেশি সংবেদনশীল মনে না হলেও বিভিন্ন উৎসের তথ্য একত্রিত হলে তার মূল্য ও ঝুঁকি দুটিই অনেক বেড়ে যেতে পারে।

নাগরিকের তথ্য সংগ্রহ করে সরকারি-বেসরকারি প্রতিষ্ঠান

অনলাইনে বিক্রির অভিযোগ ওঠা তথ্যের বড় একটি অংশ নাগরিকেরা নিয়মিতভাবেই বিভিন্ন সেবা গ্রহণের জন্য সংশ্লিষ্ট প্রতিষ্ঠানকে দিয়ে থাকেন।

মুঠোফোনের সিম নিবন্ধনের সময় নাগরিকদের এনআইডির তথ্য দিতে হয়। ব্যাংক ও মোবাইল আর্থিক সেবা গ্রহণের ক্ষেত্রেও পরিচয়পত্রসহ বিভিন্ন ব্যক্তিগত তথ্য জমা দিতে হয়।

এ ছাড়া পাসপোর্ট, জন্মনিবন্ধন, কর এবং ভূমিসংক্রান্ত সেবা গ্রহণের সময়ও নাগরিকদের সংবেদনশীল তথ্য সরবরাহ করতে হয়।

ফলে এসব তথ্য সংরক্ষণকারী প্রতিষ্ঠানগুলোর ওপর তা সুরক্ষিত রাখার গুরুত্বপূর্ণ দায়িত্ব রয়েছে।

শুধু ওয়েবসাইট বন্ধ করলেই সমস্যার সমাধান হবে না

ব্যক্তিগত তথ্য বিক্রির বিরুদ্ধে ব্যবস্থা নেওয়ার ক্ষেত্রে শুধু কয়েকটি ওয়েবসাইট বন্ধ করা বা কিছু বিক্রেতাকে শনাক্ত করাই যথেষ্ট নয়।

তথ্য কোথা থেকে বের হচ্ছে, কারা তা সংগ্রহ করছে, কারা বিক্রি করছে, কারা মধ্যস্থতা করছে এবং কারা কিনছে—পুরো প্রক্রিয়াটি শনাক্ত করা প্রয়োজন।

আইনসম্মত প্রক্রিয়ার আওতায় সন্দেহজনক আর্থিক লেনদেনও অনুসরণ করা যেতে পারে। পাশাপাশি প্রযুক্তিগত তদন্তের মাধ্যমে নির্ধারণ করা দরকার—কোন ডেটাবেসে কারা প্রবেশ করছে, কখন প্রবেশ করছে এবং কী ধরনের তথ্য দেখা, ডাউনলোড বা পরিবর্তন করা হচ্ছে।

সংবেদনশীল ডেটাবেসে নির্ভরযোগ্য অডিট ট্রেইল থাকা জরুরি, যাতে পরবর্তীতে নির্দিষ্ট করে জানা যায় কে কখন কোন তথ্য ব্যবহার করেছেন।

একই সঙ্গে দায়িত্বভিত্তিক সীমিত প্রবেশাধিকার, মাল্টি-ফ্যাক্টর অথেনটিকেশন, নিয়মিত সিকিউরিটি অডিট এবং ভালনারেবিলিটি পরীক্ষা জোরদার করা প্রয়োজন।

টেলিযোগাযোগ খাতে বাড়তি সতর্কতা জরুরি

কল ড প্রযুক্তিগত ব্যবস্থাও থাকা উচিত, যা অস্বাভাবিক প্রবেশাধিকার শনাক্ত করতে এবং অনুমোদিত অ্যিটেল রেকর্ড এবং অবস্থানসংক্রান্ত তথ্য বিশেষভাবে সংবেদনশীল। এসব তথ্য একজন মানুষের যোগাযোগ, সম্পর্ক এবং চলাচলের ধরন সম্পর্কে গুরুত্বপূর্ণ ধারণা দিতে পারে।

তাই এ ধরনের তথ্য কারা দেখতে পারবেন, কোন পরিস্থিতিতে তা ব্যবহার করা যাবে এবং কোন আইনগত প্রক্রিয়ায় তথ্যের প্রবেশাধিকার দেওয়া হবে—এসব বিষয়ে কঠোর নিয়ন্ত্রণ থাকা প্রয়োজন।

টেলিযোগাযোগ প্রতিষ্ঠান ও অন্যান্য তথ্য সংরক্ষণকারী সংস্থার এমন প্রযুক্তিগত ব্যবস্থাও থাকা উচিত, যা অস্বাভাবিক প্রবেশাধিকার শনাক্ত করতে এবং অনুমোদিত অ্যাকাউন্টের অপব্যবহার দ্রুত চিহ্নিত করতে পারে।

মূল প্রশ্ন তথ্যের উৎস নিয়ে

অনলাইনে ব্যক্তিগত তথ্য বিক্রির অভিযোগের সবচেয়ে গুরুত্বপূর্ণ দিক হলো শুধু বিক্রেতাদের উৎস শনাক্ত করা জরুরি। কোনো ডেটাবেসের নিরাপত্তা দুর্বলতা, বৈধ প্রবেশাধিকার অপব্যবহার, ব্যবহারকারীর তথ্য বা পরিচয়পত্রের অপব্যবহার কিংবা সফটওয়্যারের ত্রুটি—যে কারণেই তথ্য বাইরে আসুক না কেন, মূল দুর্বলতা চিহ্নিত করে শনাক্ত করা নয়; বরং নাগরিকদের তথ্য প্রথমে কীভাবে তাদের হাতে পৌঁছাচ্ছে, সেটি বের করা।

তথ্য যদি সত্যিই হালনাগাদ ও নির্ভুল হয়, তাহলে এর উৎস শনাক্ত করা জরুরি। কোনো ডেটাবেসের নিরাপত্তা দুর্বলতা, বৈধ প্রবেশাধিকার অপব্যবহার, ব্যবহারকারীর তথ্য বা পরিচয়পত্রের অপব্যবহার কিংবা সফটওয়্যারের ত্রুটি—যে কারণেই তথ্য বাইরে আসুক না কেন, মূল দুর্বলতা চিহ্নিত করে তা বন্ধ করা প্রয়োজন।

কারণ নাগরিকেরা রাষ্ট্র, ব্যাংক, টেলিযোগাযোগ প্রতিষ্ঠান ও অন্যান্য সেবাদাতা সংস্থাকে যে ব্যক্তিগত তথ্য দেন, তা নির্দিষ্ট সেবা পাওয়ার উদ্দেশ্যে দেওয়া হয়। সেই তথ্য অননুমোদিতভাবে অনলাইনের বাণিজ্যিক পণ্যে পরিণত হওয়ার সুযোগ তৈরি হলে তা শুধু ব্যক্তিগত গোপনীয়তার জন্য নয়, সামগ্রিক ডিজিটাল নিরাপত্তার জন্যও একটি গুরুতর উদ্বেগের বিষয়।