একজন নাগরিকের পরিচয়, মুঠোফোন নম্বর, জন্মতারিখ, ঠিকানা, কার সঙ্গে কখন কথা বলেছেন, কোথায় অবস্থান করছেন, এমনকি তার আর্থিক লেনদেনের তথ্যও ব্যক্তিগত। এসব তথ্য নিরাপদ রাখার কথা সংশ্লিষ্ট প্রতিষ্ঠান ও রাষ্ট্রীয় ব্যবস্থার কঠোর নিরাপত্তার মধ্যে। কিন্তু বাস্তবতা যেন উল্টো। টাকার বিনিময়ে অনলাইনে মিলছে নাগরিকের এমন সব তথ্য, যেগুলো সাধারণ মানুষের জানার কথা নয়।
বিষয়টি আরো ভয়ংকর হয়ে ওঠে, যখন দেখা যায়, তথ্য বিক্রির প্রচারণা হচ্ছে প্রকাশ্যেই। ফেসবুক পোস্ট, বিভিন্ন গ্রুপ, টেলিগ্রাম, হোয়াটসঅ্যাপ এবং নির্দিষ্ট ওয়েবসাইটে বিজ্ঞাপন দিয়ে ক্রেতা খোঁজা হচ্ছে। টাকা দিলেই এনআইডি, কল ডিটেল রেকর্ড বা সিডিআর, মোবাইলের অবস্থান, এসএমএস তালিকা, জন্মনিবন্ধন, পাসপোর্ট, টিআইএন, আইএমইআই এবং মোবাইল আর্থিক সেবার হিসাব বিবরণী দেওয়ার কথা বলা হচ্ছে।
সম্প্রতি তথ্য যাচাই ও অনুসন্ধানী প্রতিষ্ঠান ডিসমিসল্যাবের অনুসন্ধানে বিষয়টির ভয়াবহতা প্রকাশ্যে আসে। দেশের শীর্ষ গণমাধ্যমগুলোয়ও এ নিয়ে প্রতিবেদন প্রকাশিত হয়েছে। ডিসমিসল্যাবের অনুসন্ধানে ব্যক্তিগত তথ্য বিক্রির সঙ্গে যুক্ত ১০টি সক্রিয় ওয়েবসাইট এবং সামাজিক যোগাযোগমাধ্যমে শত শত বিজ্ঞাপনের তথ্য উঠে এসেছে। বিষয়টি কতটা সত্য, সেটি জানতে আমিও নিজস্ব অনুসন্ধান শুরু করি। সামাজিক যোগাযোগমাধ্যমে প্রকাশিত বিভিন্ন বিজ্ঞাপন ও তথ্য বিক্রির ব্যানার সংগ্রহ করে সেখানে দেওয়া একাধিক নম্বরে যোগাযোগ করা হয়। কেউ এনআইডি, কেউ কল রেকর্ড, কেউ মোবাইলের অবস্থানসহ বিভিন্ন সেবা দেওয়ার কথা জানান।
শুধু বিক্রেতাদের কথায় নির্ভর না করে, যেসব তথ্য যাচাই করা সম্ভব হয়েছে, সেগুলো নিজেও যাচাই-বাছাই করি। আর সেখানেই বিস্মিত হওয়ার মতো বাস্তবতা সামনে আসে। অনলাইনে ব্যক্তিগত তথ্য বিক্রির সব বিজ্ঞাপনকে নিছক ভুয়া বলে উড়িয়ে দেওয়ার সুযোগ নেই। অন্তত কিছু ক্ষেত্রে অর্থের বিনিময়ে তথ্য সরবরাহের সক্ষমতা রয়েছে বলে অনুসন্ধানে যাচাই করা গেছে। অর্থাৎ সামাজিক যোগাযোগমাধ্যমের আড়ালে থাকা বিষয়টি এখন প্রকাশ্য অনলাইন বাণিজ্যের রূপ নিয়েছে।
ডিসমিসল্যাবের অনুসন্ধানেও একই চিত্র পাওয়া যায়। একটি মুঠোফোন নম্বর ও ৫০০ টাকা দেওয়ার ১৭ মিনিটের মধ্যে এনআইডির পিডিএফ সরবরাহ করা হয় বলে জানিয়েছে প্রতিষ্ঠানটি। সেখানে নাম, ছবি ও জন্মতারিখসহ বিভিন্ন তথ্য সংশ্লিষ্ট ব্যক্তির তথ্যের সঙ্গে মিলে যায়। এমনকি সম্প্রতি সংশোধন করা তথ্যও হালনাগাদ অবস্থায় পাওয়া যায়। আরেক পরীক্ষায় একটি নম্বরের তিন মাসের কল ডিটেল রেকর্ডের জন্য ১ হাজার ৫০ টাকা দেওয়ার প্রায় আড়াই ঘণ্টার মধ্যে ফাইল সরবরাহ করা হয়। ফাইলে থাকা সাম্প্রতিক যোগাযোগ নম্বর, কলের সময় ও কলের ধরন প্রকৃত কল-ইতিহাসের সঙ্গে মিলিয়ে দেখা হলে সেগুলো মিলে যায় বলে জানিয়েছে ডিসমিসল্যাব।
আরো চমকপ্রদ বিষয়, একটি মুঠোফোন নম্বরের অবস্থান জানতে টাকা দেওয়ার ১৬ মিনিটের মধ্যে সর্বশেষ সক্রিয় সময়, টাওয়ারভিত্তিক অবস্থান, ঠিকানা ও মানচিত্রের অবস্থান দেওয়ার কথাও অনুসন্ধানে উঠে এসেছে। একবার ভাবুন, একজন মানুষ কার সঙ্গে কথা বলছেন, কখন কথা বলছেন, কতক্ষণ কথা বলছেন এবং কোন এলাকায় অবস্থান করছেন, এসব তথ্য যদি কোনো অপরিচিত ব্যক্তি টাকার বিনিময়ে পেয়ে যান, তাহলে তার ব্যক্তিগত গোপনীয়তা কোথায় থাকে? আর যদি একই ব্যক্তির এনআইডি, ফোন নম্বর, ঠিকানা, কল রেকর্ড, অবস্থান ও আর্থিক তথ্য একসঙ্গে কারো হাতে চলে যায়, তাহলে তৈরি হতে পারে তার একটি পূর্ণাঙ্গ ডিজিটাল প্রোফাইল।
এ তথ্য ব্যবহার করে পরিচয় জালিয়াতি, আর্থিক প্রতারণা, লক্ষ্যভিত্তিক ফিশিং, হয়রানি কিংবা নজরদারি করা সম্ভব হতে পারে। কারো চলাফেরার ধরন জানা গেলে ব্যক্তিগত নিরাপত্তার ঝুঁকিও তৈরি হতে পারে। অর্থাৎ তথ্য ফাঁসের ক্ষতি শুধু গোপনীয়তা হারানোর মধ্যে সীমাবদ্ধ নয়, তা একজন মানুষের বাস্তব জীবনেও প্রভাব ফেলতে পারে। ডিসমিসল্যাবের অনুসন্ধানে ১৫ জুন থেকে ১৫ জুলাইয়ের মধ্যে একটি নির্দিষ্ট শব্দ ব্যবহার করে ফেসবুকে ৬৭৫টি পোস্ট শনাক্ত করা হয়। এর মধ্যে ৬০৫টিতে ব্যক্তিগত তথ্য বিক্রির প্রস্তাব ছিল। এসব পোস্টে যোগাযোগের জন্য অন্তত ১১২টি ভিন্ন মুঠোফোন নম্বর ব্যবহার এবং ৩৬টি সক্রিয় ফেসবুক গ্রুপে বারবার এমন বিজ্ঞাপনের তথ্যও উঠে এসেছে। অর্থাৎ এটি শুধু একজন প্রতারকের বিচ্ছিন্ন কর্মকাণ্ড নয়। এর পেছনে ক্রেতা সংগ্রহ, তথ্য সংগ্রহ, মধ্যস্বত্বভোগী, অর্থ লেনদেন এবং তথ্য সরবরাহের একটি কাঠামো থাকার আশঙ্কা তৈরি হয়েছে।
সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন তাই একটাই, তথ্যগুলো আসছে কোথা থেকে? ডিসমিসল্যাবের অনুসন্ধানে কয়েকজন বিক্রেতা তথ্যের উৎস সম্পর্কে নানা দাবি করেছেন। কেউ অন্য গ্রুপ বা ওয়েবসাইট থেকে তথ্য সংগ্রহের কথা বলেছেন। একজন বিক্রেতা এপিআই ব্যবহার করে সরকারি সার্ভার থেকে তথ্য সংগ্রহের দাবি করেছেন। তবে সরকারি সার্ভারে অনুপ্রবেশের এই দাবি স্বাধীনভাবে যাচাই করা যায়নি। ফলে এটিকে নিশ্চিত সত্য হিসেবে দেখার সুযোগ নেই। কিন্তু তথ্য যদি সত্যিই হালনাগাদ অবস্থায় পাওয়া যায়, তাহলে এর উৎস শনাক্ত করতেই হবে। কোনো সরকারি বা বেসরকারি ডেটাবেস থেকে তথ্য বের হচ্ছে কি না, কোনো কর্মীর অ্যাক্সেস অপব্যবহার হচ্ছে কি না, কোনো ইউজার আইডি বা লগইন তথ্য ব্যবহৃত হচ্ছে কি না, কিংবা কোনো সফটওয়্যার বা এপিআইয়ের নিরাপত্তা দুর্বলতা কাজে লাগানো হচ্ছে কি না, প্রতিটি বিষয় তদন্তের আওতায় আনতে হবে। কারণ নাগরিক সেবা দেওয়ার জন্য যে তথ্য সংগ্রহ করা হয়, সেটি কোনোভাবেই ব্যক্তিগত বাণিজ্যের পণ্য হওয়ার কথা নয়। একজন নাগরিক সিম নিবন্ধনের সময় এনআইডি দেন। ব্যাংক বা মোবাইল আর্থিক সেবা নিতে পরিচয়পত্র ও অন্যান্য তথ্য দেন। পাসপোর্ট, জন্মনিবন্ধন, কর কিংবা ভূমিসংক্রান্ত সেবাতেও ব্যক্তিগত তথ্য জমা দেন।
এসব তথ্যের নিরাপত্তা নিশ্চিত করার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানেরও। তাই রাষ্ট্রের করণীয় শুধু কয়েকটি ওয়েবসাইট বন্ধ করা বা কিছু বিক্রেতাকে শনাক্ত করার মধ্যে সীমাবদ্ধ থাকলে চলবে না। তথ্য বিক্রির পুরো নেটওয়ার্ক চিহ্নিত করতে হবে। বিজ্ঞাপনদাতা থেকে শুরু করে তথ্য সরবরাহকারী এবং মূল উৎস পর্যন্ত যেতে হবে। অর্থের লেনদেনের পথ অনুসরণ করতে হবে। কোন ডেটাবেস থেকে তথ্য বের হচ্ছে, কারা সেটিতে প্রবেশ করছে এবং কখন করছে, তা প্রযুক্তিগতভাবে পরীক্ষা করতে হবে। গুরুত্বপূর্ণ ডেটাবেসে কে কখন কোন তথ্য দেখেছেন, ডাউনলোড করেছেন বা পরিবর্তন করেছেন, তার নির্ভরযোগ্য অডিট ট্রেইল থাকা জরুরি। সংবেদনশীল তথ্যের ক্ষেত্রে প্রয়োজনের অতিরিক্ত প্রবেশাধিকার বন্ধ করতে হবে। মাল্টি-ফ্যাক্টর অথেনটিকেশন, ভূমিকা অনুযায়ী সীমিত অ্যাক্সেস, নিয়মিত সিকিউরিটি অডিট ও ভালনারেবিলিটি পরীক্ষা আরো জোরদার করা প্রয়োজন। টেলিযোগাযোগ খাতেও কঠোর নজরদারি জরুরি। কল রেকর্ড ও অবস্থানের মতো সংবেদনশীল তথ্য কারা দেখতে পারবেন এবং কোন আইনগত প্রক্রিয়ায় তা অ্যাক্সেস করা যাবে, সেটি কঠোরভাবে নিয়ন্ত্রিত হওয়া উচিত। কোনো কর্মী বা অনুমোদিত ব্যবহারকারীর অ্যাক্সেস অপব্যবহার হলে দ্রুত শনাক্ত করার প্রযুক্তিগত ব্যবস্থা থাকতে হবে।