ব্যাপারটা অনেকটা এমন, বাসার দরজা খোলা, সবাই দেখছে, বলাবলি করছে, কিন্তু দরজাটা বন্ধ করার কথা কার সেটা কেউ বলতে পারছে না।
অনলাইনে সাধারণ নাগরিকদের ব্যক্তিগত তথ্য কেনাবেচা নিয়ে ফ্যাক্টচেকিং প্রতিষ্ঠান ডিসমিসল্যাবের অনুসন্ধানে যা উঠে এসেছে তার চিত্র অনেকটা এমনই।
মাত্র এক হাজার টাকা খরচ করলেই জানা সম্ভব আপনি কার সঙ্গে, কখন আর কতক্ষণ কথা বলেছেন। শুধু একদিনের না, তিন মাস থেকে এক বছরের কল রেকর্ড চলে আসছে কয়েক ঘণ্টার মধ্যে।
তবে সবচেয়ে বিস্ময়কর তথ্য হলো অনেক দিন ধরেই চলে আসছে এই ব্যবসা। ডিসমিসল্যাবের অনুসন্ধান বলছে অন্তত তিন বছর ধরে এই ধরনের তথ্যের অনলাইন কেনাবেচা চলছে।
যেভাবে মিলছে
ভোটার তালিকা বিক্রির বিষয়ে অনুসন্ধান করতে গিয়ে ব্যক্তিগত তথ্য বিক্রির একটি বিজ্ঞাপনের সন্ধান পায় ডিসমিসল্যাব।
একটি বিজ্ঞাপনের সূত্র ধরে ‘ভোটার লিস্ট’ নামে একটি টেলিগ্রাম গ্রুপের সন্ধান পাওয়া যায়। সেখানে ক্রেতা সেজে যোগাযোগও করা হয়।
মোবাইল নাম্বার এবং ৫০০ টাকা পাঠানোর পর ১৫ মিনিটের মধ্যে চলে আসে ওই নাম্বারের গ্রাহকের এনআইডি কার্ডের পিডিএফ।
নাম, ছবি, জন্মতারিখসহ এনআইডিতে থাকা তথ্যগুলো সংশ্লিষ্ট সিমের মালিকের সঙ্গে মিলে যায়। এমনকি দুই মাস আগে সংশোধন করা তার মায়ের নামও পাওয়া যায় হালনাগাদ অবস্থায়।
এমনই আরেকটি টেলিগ্রাম গ্রুপে পাওয়া যাচ্ছে ফোন কলের হিসাবও। ‘হেল্প বিডি’ নামে একটি অ্যাকাউন্ট থেকে আরও নানা ধরনের তথ্য বিক্রির বিজ্ঞাপন দেওয়া ছিলো।
তালিকায় ছিল জন্ম ও মৃত্যু নিবন্ধনের তথ্য, মোবাইলের অবস্থান, কল ডিটেইল রেকর্ড (সিডিআর), আইএমইআই নম্বরসহ আরও নানা তথ্য।
ওই অ্যাকাউন্টে যোগাযোগ করে একটি মোবাইল ফোন নাম্বারের তিন মাসের সিডিআর চাওয়া হয়। এক হাজার ৫০ টাকা দেওয়ার প্রায় আড়াই ঘণ্টার মধ্যে ফাইলটি পাঠিয়ে দেওয়া হয়।
সেখানে থাকা সাম্প্রতিক ২০টি নম্বর, কলের সময় এবং কলের ধরন যাচাই করে দেখা যায়, সেগুলো ওই গ্রাহকের আসল কল রেকর্ডের সঙ্গে মিলে গেছে।
আরেকটি ওয়েবসাইটে একটি মোবাইল ফোন নাম্বারের বর্তমান অবস্থান জানতে চাওয়া হয়েছিল। টাকা দেওয়ার মাত্র ১৬ মিনিটের মধ্যে পাওয়া যায় নম্বরটির সর্বশেষ সক্রিয় সময়, মোবাইল টাওয়ারভিত্তিক অবস্থান, একটি ঠিকানা এবং গুগল ম্যাপের লিংক।
যা বলছে মোবাইল অপারেটররা
ডিসমিসল্যাবের প্রতিবেদন অনুযায়ী, দুইটি অপারেটরের সঙ্গে এই বিষয় নিয়ে তারা আলাদাভাবে যোগযোগ করেছে। একটি তাদের জানিয়েছে, বিষয়টি প্রমাণসহ কর্তৃপক্ষকে তারা অনেক আগেই জানিয়েছে, কিন্তু বিক্রি বন্ধ হয়নি।
রবি-আজিয়াটা একটি লিখিত বিবৃতিতে দাবি করেছে, নির্দিষ্ট প্রক্রিয়া মেনে শুধু আইনগতভাবে অনুমোদিত সংস্থাকে সিডিআর এবং লোকেশন-সংক্রান্ত তথ্য দেওয়া হয়। তাদের ভাষায়, গ্রাহকের তথ্য অন্য কোথাও যাওয়ার সুযোগ নেই।
তবে নাম প্রকাশ না করার শর্তে একটি অপারেটরের একজন ঊর্ধতন কর্মকর্তা ডিসমিসল্যাবকে জানিয়েছেন, তাদের নিজেদের তদন্তে বের হয়ে এসেছে যে একটি সরকারি সংস্থার এপিআই ব্যবহার করে তথ্য ফাঁস হচ্ছিলো।
“কর্তৃপক্ষকে জানানোর পর সেই সংস্থার একাধিক কর্মকর্তার বিরুদ্ধে ব্যবস্থা নেওয়া হয়েছে। বিটিআরসিকেও একাধিকবার জানানো হয়েছে,” ডিসমিসল্যাবের প্রতিবেদনে ওই কর্মকর্তাকে উদ্ধৃত করে লেখা হয়েছে।
সতর্কবার্তা এসেছিলো ২০২৪ সালেই
ডিসমিসল্যাবের প্রতিবেদন অনুযায়ী, এই সমস্যা প্রাতিষ্ঠানিকভাবে স্বীকৃত হয়েছে আরও আগেই। গণমাধ্যমে প্রকাশিত খবরের বরাতে ফ্যাক্টচেকিং প্রতিষ্ঠানটি জানিয়েছে, ২০২৪ সালের এপ্রিলে ন্যাশনাল টেলিকমিউনিকেশন মনিটরিং সেন্টার (এনটিএমসি) এক চিঠিতে স্বরাষ্ট্র মন্ত্রণালয়কে ৭৮৯টি সোশাল মিডিয়া গ্রুপে সাধারণ নাগরিকদের এনআইডি’র তথ্য ও কল রেকর্ড বিক্রি হওয়ার কথা জানিয়েছিলো।
২০২৪ সালে সতর্কবার্তা এলেও মাত্র দুই মাস আগে, অর্থাৎ প্রায় দুই বছর পর, স্বরাষ্ট্র মন্ত্রণালয় বিষয়টি নিয়ে কাজ করতে একটি কমিটি গঠন করেছে।
বিটিআরসির সিস্টেমস অ্যান্ড সার্ভিসেস বিভাগের পরিচালক কর্নেল মো. কামরুল হাসান মামুন ডিসমিসল্যাবকে জানিয়েছেন, কমিটি বিষয়টি পর্যালোচনা করে মন্ত্রণালয়ে চিঠি পাঠিয়েছে, যা পরে বিটিআরসি ও অন্যান্য সংশ্লিষ্ট প্রতিষ্ঠানে তদন্তের নির্দেশসহ পাঠানো হয়েছে। কিছু আইন প্রয়োগকারী সংস্থাকেও জানানো হয়েছে। তিনি বলেছেন তারা আশা করছেন যে এক-দুই মাসের মধ্যে একটি সিদ্ধান্তে পৌঁছানো যাবে।
আইটি বিশেষজ্ঞ সুমন আহমেদ সাবির প্রশ্ন তুলেছেন জাতীয় সাইবার সুরক্ষা এজেন্সি (এনসিএসএ)-এর ভূমিকা নিয়ে। "এটা স্পষ্ট যে সংশ্লিষ্ট প্রতিষ্ঠানের ভেতরের মানুষ ছাড়া কেউ রিয়েল টাইম তথ্য দিতে পারে না," ডিসমিসল্যাবকে বলেন তিনি।
অর্থাৎ,স্পর্শকাতর তথ্যের নিরাপত্তা তদারকির দায়িত্ব যাদের, তারাই হয়তো জানেন না তাদের কর্মীরা কী ফাঁস করছেন।
সাবিরের মতে, অনেক ক্ষেত্রে প্রতিষ্ঠানের কর্মীরাই বোঝেন না যে এই তথ্য গোপনীয়, আর তা ফাঁস করলে অন্যের গোপনীয়তা লঙ্ঘিত হয়। যা প্রাতিষ্ঠানিক সচেতনতার ঘাটতির দিকেই ইঙ্গিত করে বলে তিনি মন্তব্য করেছেন।
আইন আছে, প্রয়োগ নেই
ব্যক্তিগত তথ্য সুরক্ষা আইন, ২০২৬ অনুযায়ী সম্মতি ছাড়া তথ্য প্রকাশ নিষিদ্ধ এবং ব্যর্থতার জন্য সর্বোচ্চ ২৫ লাখ টাকা পর্যন্ত জরিমানার বিধান আছে।
ডিসমিসল্যাব তাদের প্রতিবেদনে টেক গ্লোবাল ইনস্টিটিউটের একটি গবেষণা উল্লেখ করেছে, যেখানে বাংলাদেশের নথিভুক্ত ৬৮টি তথ্য ফাঁসের ঘটনা পর্যালোচনা করে দেখা গেছে, দায়ী প্রতিষ্ঠান বা ব্যক্তির বিরুদ্ধে কার্যকর আইনি ব্যবস্থা নেওয়ার নজির খুবই কম।
