ডার্ক ওয়েবে ৬০ লাখ বাংলাদেশি চাকরিপ্রার্থীর সিভি বিক্রির বিজ্ঞাপন ঘিরে উদ্বেগ তৈরি হয়েছে। ‘ম্যাডারক্স’ নামে একটি হ্যাকার গোষ্ঠী এই বিজ্ঞাপন দিয়েছে। তাদের দাবি, সিভিগুলো বাংলাদেশের চাকরির প্ল্যাটফর্ম বিডিজবসের ডেটাবেজ থেকে নেওয়া।
তবে এই দাবি অস্বীকার করেছে বিডিজবস। প্রতিষ্ঠানটি জানিয়েছে, ব্যবহারকারীদের তথ্য সুরক্ষায় প্রয়োজনীয় নিরাপত্তাব্যবস্থা ও নিয়ন্ত্রণ রয়েছে। একই সঙ্গে যাচাই না করে এ ধরনের তথ্য বা দাবি শেয়ার না করার আহ্বান জানিয়েছে তারা।
গত ২৩ আগস্ট ডার্ক ওয়েবের একটি ফোরামে ‘ম্যাডারক্স’ নামে ওই গোষ্ঠী ৬০ লাখ বাংলাদেশি চাকরিপ্রার্থীর সিভি বিক্রির বিজ্ঞাপন দেয়। বিজ্ঞাপনে বলা হয়, এসব সিভিতে নাম, ফোন নম্বর, ঠিকানা, ই-মেইল, শিক্ষাগত যোগ্যতা, চাকরির অভিজ্ঞতা ও প্রশিক্ষণসহ ব্যক্তিগত ও পেশাগত তথ্য রয়েছে।
হ্যাকার গোষ্ঠীটি ১৪৮টি সিভির নমুনাও প্রকাশ করেছিল। প্রকাশিত নমুনাগুলোর বেশির ভাগই ২০১১ থেকে ২০১৭ সালের পুরোনো তথ্য। পুরো ডেটাসেটের জন্য ১ হাজার ডলার দাম চাওয়া হয়েছে। সর্বোচ্চ পাঁচজন ক্রেতার কাছে তথ্য বিক্রির কথা বলা হয়েছে। অর্থ পরিশোধের মাধ্যম হিসেবে পেটিএম, ওয়াইজ, পে-ইউ ও বিন্যান্সের নাম উল্লেখ করা হয়েছে।
বিডিজবস যা বলছে
অফিসিয়াল বিজ্ঞপ্তিতে বিডিজবস জানিয়েছে, সামাজিক যোগাযোগমাধ্যমে তাদের ওয়েবসাইটের নিরাপত্তা নিয়ে বিভ্রান্তিকর ও অসত্য তথ্য ছড়ানো হচ্ছে।
প্রতিষ্ঠানটির ভাষ্য, ব্যবহারকারীদের তথ্যের নিরাপত্তাকে তারা সর্বোচ্চ গুরুত্ব দিয়ে আসছে। নিরাপত্তা ও নিয়ন্ত্রণব্যবস্থার মাধ্যমে ব্যবহারকারীর প্রোফাইল কে দেখতে পারবেন, সেটিও নিয়ন্ত্রণ করা হয়।
বিডিজবস জানিয়েছে, নিবন্ধিত নিয়োগকারী প্রতিষ্ঠানগুলো তাদের অ্যাকাউন্টের মাধ্যমে চাকরিপ্রার্থীদের তথ্য দেখতে পারে। তবে এসব তথ্য নিয়োগের উদ্দেশ্যেই ব্যবহারের কথা। কোনো নিয়োগকারী প্রতিষ্ঠান তথ্য তৃতীয় পক্ষের কাছে বিক্রির চেষ্টা করলে এবং তা প্রমাণিত হলে তাদের বিরুদ্ধে আইনানুগ ব্যবস্থা নেওয়া হবে।
তবে প্রশ্ন থেকে যাচ্ছে, হ্যাকারদের দাবি সত্য কি না। ৬০ লাখ মানুষের সিভি সত্যিই তাদের হাতে গেছে কি না, তা স্বাধীনভাবে নিশ্চিত হওয়ার বিষয় রয়েছে। তথ্যগুলো বিডিজবসের নিরাপত্তাব্যবস্থা ভেঙে নেওয়া হয়েছে, অন্য কোনো উৎস থেকে সংগ্রহ করা হয়েছে, নাকি বিজ্ঞাপনটি পুরোপুরি ভুয়া এখনই নিশ্চিতভাবে বলা যাচ্ছে না।
ডার্ক ওয়েব কী
ডার্ক ওয়েব ইন্টারনেটের এমন একটি অংশ, যা সাধারণ ওয়েব ব্রাউজার বা গুগল সার্চের মাধ্যমে সরাসরি পাওয়া যায় না। এতে প্রবেশের জন্য বিশেষ সফটওয়্যার বা নেটওয়ার্ক প্রয়োজন হয়। সহজভাবে ইন্টারনেটের ওয়েবকে তিন ভাগে বোঝানো যায়।
প্রথমটি সারফেস ওয়েব। আমরা প্রতিদিন যে ওয়েবসাইটগুলো ব্যবহার করি, যেমন সংবাদপত্র, ইউটিউব, ফেসবুক ও গুগল—এসব এর অন্তর্ভুক্ত। সার্চ ইঞ্জিনে সাধারণত এসব ওয়েবসাইট পাওয়া যায়।
দ্বিতীয়টি ডিপ ওয়েব। সার্চ ইঞ্জিনে ইনডেক্স করা হয়নি, এমন অনলাইন কনটেন্টকে সাধারণভাবে ডিপ ওয়েব বলা হয়। ই-মেইল ইনবক্স, অনলাইন ব্যাংকিং হিসাব এবং অফিসের ব্যক্তিগত ডেটাবেজ এর উদাহরণ। ডিপ ওয়েব নিজে কোনো অবৈধ বিষয় নয়। তৃতীয়টি ডার্ক ওয়েব। এটি ডিপ ওয়েবের একটি ছোট অংশ। ইচ্ছাকৃতভাবে আড়ালে রাখা এই নেটওয়ার্কে প্রবেশের জন্য বিশেষ সফটওয়্যার বা প্রযুক্তি ব্যবহার করা হয়।
ডার্ক ওয়েবে কী থাকে
ডার্ক ওয়েবের সবকিছুই অপরাধমূলক নয়। গোপনীয় যোগাযোগ, সাংবাদিক ও হুইসেলব্লোয়ারদের বেনামি যোগাযোগ এবং সেন্সরশিপ এড়িয়ে তথ্য আদান-প্রদানের মতো বৈধ কাজেও এটি ব্যবহার করা হয়।
তবে ডার্ক ওয়েবের বড় একটি পরিচিতি তৈরি হয়েছে অবৈধ কর্মকাণ্ডের কারণে। সেখানে চুরি করা তথ্য, মাদক, প্রতারণা, জাল নথি এবং হ্যাকিং-সংক্রান্ত অবৈধ সেবার বিজ্ঞাপন দেখা যেতে পারে।
চুরি হওয়া পাসওয়ার্ড, ই-মেইল অ্যাকাউন্ট, ব্যক্তিগত তথ্য ও আর্থিক তথ্যও সেখানে বিক্রির জন্য দেওয়া হতে পারে। ভুয়া পরিচয়পত্র, জাল নথি ও বিভিন্ন অবৈধ কনটেন্টের বাজারও থাকতে পারে। তবে ডার্ক ওয়েবের কোনো বিজ্ঞাপন দেখলেই সেটি সত্যি ধরে নেওয়ার সুযোগ নেই। সেখানে ব্যাপক প্রতারণাও হয়।
ডার্ক ওয়েব কীভাবে কাজ করে
ডার্ক ওয়েবকে সহজভাবে এমন একটি আচ্ছাদিত নেটওয়ার্ক হিসেবে বোঝানো যায়, যেখানে ব্যবহারকারী ও ওয়েবসাইটের অবস্থান সাধারণ ইন্টারনেটের তুলনায় বেশি আড়ালে রাখা হয়।
এ ক্ষেত্রে সবচেয়ে পরিচিত প্রযুক্তি হলো ‘দ্য ওনিয়ন রাউটার’ বা টর। সাধারণ ওয়েবে ব্যবহারকারীর আইপি ঠিকানা বিভিন্ন পক্ষের কাছে দৃশ্যমান হতে পারে। টর নেটওয়ার্কে সংযোগ একাধিক রিলের মধ্য দিয়ে যায়। প্রতিটি স্তরে আলাদা এনক্রিপশন ব্যবহৃত হয়। ডার্ক ওয়েবের অনেক ওয়েবসাইটের ঠিকানা ‘.onion’ দিয়ে শেষ হয়। এসব ঠিকানা সাধারণ ক্রোম ব্রাউজার বা গুগল সার্চে পাওয়া যায় না।
টর ব্যবস্থায় ব্যবহারকারী ও ওয়েবসাইট—দুই পক্ষের অবস্থানই আড়াল করা সম্ভব। ফলে শুধু আইপি ঠিকানা দেখে ওয়েবসাইটের প্রকৃত সার্ভার কোথায়, তা শনাক্ত করা কঠিন হয়ে পড়ে।
টর মানেই কি অবৈধ
টর ব্যবহার করলেই কোনো কাজ অবৈধ হয়ে যায় না। অনলাইনে ব্যক্তিগত গোপনীয়তা বাড়ানো, ট্র্যাকিং কমানো, সাংবাদিক ও তথ্যদাতার মধ্যে গোপন যোগাযোগ এবং ইন্টারনেট সেন্সরশিপ এড়িয়ে তথ্য পাওয়ার মতো বৈধ কাজেও টর ব্যবহার করা হয়।
এ ছাড়া সাইবার নিরাপত্তা ও অনলাইন গোপনীয়তা নিয়ে গবেষণার ক্ষেত্রেও এটি ব্যবহৃত হতে পারে। তবে একই প্রযুক্তি ব্যবহার করে কেউ অবৈধ কর্মকাণ্ড চালালে সেটি আলাদা বিষয়।
ডার্ক ওয়েবে বাজার কীভাবে চলে
কিছু ডার্ক ওয়েব মার্কেট সাধারণ ই-কমার্স সাইটের মতোই কাজ করে। বিক্রেতা পণ্য বা সেবার বিজ্ঞাপন দেয়। ক্রেতা অর্ডার করে। এরপর নির্দিষ্ট পদ্ধতিতে পণ্য বা সেবা সরবরাহ করা হয়।
পণ্যের ধরন অবৈধ হলে পরিচয় গোপন রাখার জন্য ছদ্মনাম, এনক্রিপ্টেড যোগাযোগ ও ক্রিপ্টোকারেন্সি ব্যবহার করা হতে পারে। এভাবেই চুরি করা তথ্য, জাল নথি, মাদকসহ বিভিন্ন অবৈধ বাজার গড়ে ওঠে। তবে এসব বাজার আইনশৃঙ্খলা রক্ষাকারী বাহিনীর নজরদারির বাইরে নয়। অনেক ডার্ক ওয়েব মার্কেট পরবর্তী সময়ে বন্ধও হয়ে যায়।
বাংলাদেশের তথ্য ফাঁসের আগের ঘটনাগুলো
ডার্ক ওয়েবে বাংলাদেশিদের তথ্য বিক্রির দাবি এবারই প্রথম নয়। এর আগে সড়ক পরিবহন কর্তৃপক্ষের ১০ লাখের বেশি রেকর্ড, নির্বাচন কমিশনের মাধ্যমে এক মাসে ৩ লাখ ৬৫ হাজার নাগরিকের এনআইডি তথ্য বিক্রির ঘটনা এবং প্রায় ১৪ হাজার সাংবাদিকের তথ্য উন্মুক্ত হওয়ার বিষয় সামনে এসেছিল।
এ ছাড়া প্রবাসীকল্যাণ ও বৈদেশিক কর্মসংস্থান-সংক্রান্ত কর্তৃপক্ষের ১০ লাখের বেশি অভিবাসী কর্মীর তথ্য ডার্ক ওয়েবে বিজ্ঞাপনের বিষয়ও আলোচনায় আসে। চলতি বছরের মার্চে স্বপ্ন সুপারমার্কেটের সিস্টেমে হ্যাকারদের দীর্ঘস্থায়ী অনুপ্রবেশের পর ৪০ লাখের বেশি গ্রাহকের তথ্য ঝুঁকিতে পড়ার ঘটনাও প্রকাশ্যে আসে।
এসব ঘটনার পর ব্যক্তিগত তথ্যের নিরাপত্তা নিয়ে নতুন করে প্রশ্ন উঠেছে। তথ্য চুরি হলে সেটি দিয়ে অপরাধীরা ভুক্তভোগীর পরিচয়ে অ্যাকাউন্ট খুলতে পারে। অনলাইনে কেনাকাটা করতে পারে। আর্থিক প্রতারণা বা লক্ষ্যভিত্তিক ফিশিং চালাতে পারে।
সিভি চুরি হলে ঝুঁকি কোথায়
একটি সিভিতে থাকা তথ্য একসঙ্গে ব্যবহার করলে একজন ব্যক্তির বিস্তারিত ডিজিটাল প্রোফাইল তৈরি করা সম্ভব। সেখানে নাম, ফোন নম্বর, ই-মেইল, ঠিকানা, জন্মতারিখ, শিক্ষাগত যোগ্যতা, কর্মস্থল, চাকরির ইতিহাস এবং রেফারেন্সের তথ্য থাকতে পারে।
এসব তথ্য হাতে পেলে প্রতারকেরা আরও বিশ্বাসযোগ্যভাবে ভুয়া চাকরির প্রস্তাব দিতে পারে। ব্যক্তিগত তথ্য ব্যবহার করে ফিশিং বা স্ক্যাম চালাতে পারে। পরিচয় চুরির ঝুঁকিও বাড়ে।
উদাহরণ হিসেবে, কারও চাকরির ইতিহাস ও শিক্ষাগত যোগ্যতা জেনে প্রতারক তার পরিচিত প্রতিষ্ঠানের নাম ব্যবহার করে ভুয়া নিয়োগপত্র বা সাক্ষাৎকারের বার্তা পাঠাতে পারে। এরপর অর্থ বা আরও ব্যক্তিগত তথ্য হাতিয়ে নেওয়ার চেষ্টা করতে পারে।
সিভিগুলো কোথা থেকে গেল
বিডিজবসে জমা দেওয়া কোনো সিভি তাত্ত্বিকভাবে ডার্ক ওয়েব বা অন্য কোনো অবৈধ ডেটা মার্কেটে যেতে পারে, যদি সেটি কোনোভাবে চুরি, কপি বা ফাঁস হয়।
তবে বর্তমানে হ্যাকারদের দাবি সত্য কি না, সেটি নিশ্চিত নয়। একদিকে সিভি চুরি করে বিডিজবসের নাম ব্যবহার করা হয়ে থাকতে পারে। আবার বিডিজবসের নিরাপত্তাব্যবস্থা ভেঙে তথ্য নেওয়া হয়ে থাকলেও প্রতিষ্ঠানটি তাৎক্ষণিকভাবে বিষয়টি জানতে নাও পারে। অন্যদিকে, ডার্ক ওয়েবে বিশ্বাসযোগ্যতা তৈরির জন্য বিডিজবসের নাম ব্যবহার করে ভুয়া বিজ্ঞাপন দেওয়ার সম্ভাবনাও উড়িয়ে দেওয়া যায় না।
তাই বিজ্ঞাপন প্রকাশের ঘটনাকে তথ্য ফাঁসের চূড়ান্ত প্রমাণ হিসেবে দেখার সুযোগ নেই। বিষয়টি নিশ্চিত করতে প্রযুক্তিগত তদন্ত ও ডেটার ফরেনসিক যাচাই প্রয়োজন।
কীভাবে ঝুঁকি কমানো যায়
ব্যক্তিগত তথ্য ডার্ক ওয়েবে যাওয়ার পর ব্যবস্থা নেওয়ার চেয়ে আগেই ঝুঁকি কমানো বেশি কার্যকর। প্রতিটি অনলাইন অ্যাকাউন্টে আলাদা ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা জরুরি।
দুই স্তরের বা মাল্টি-ফ্যাক্টর অথেনটিকেশন (এমএফএ) চালু রাখা উচিত। ব্যাংক ও ডিজিটাল অ্যাকাউন্টের কার্যক্রম নিয়মিত পর্যবেক্ষণ করতে হবে। সন্দেহজনক লিংক, ই-মেইল বা বার্তায় ক্লিক করা থেকে বিরত থাকতে হবে। প্রয়োজনের অতিরিক্ত ব্যক্তিগত তথ্য অনলাইনে প্রকাশ না করাও গুরুত্বপূর্ণ।
এ ছাড়া ডার্ক ওয়েব মনিটরিং সেবার মাধ্যমে ই-মেইল, ফোন নম্বর, অ্যাকাউন্টের তথ্য বা অন্য পরিচয়-সংক্রান্ত তথ্য ফাঁস হয়েছে কি না, তা শনাক্ত করার সুযোগ রয়েছে। এ ধরনের সেবায় কোনো তথ্যের মিল পাওয়া গেলে সতর্কবার্তা দেওয়া হতে পারে। এতে তথ্য প্রতারণা বা পরিচয় চুরিতে ব্যবহারের আগেই নিরাপত্তামূলক ব্যবস্থা নেওয়ার সুযোগ তৈরি হয়।
শুধু ব্যক্তিগত সতর্কতা যথেষ্ট নয়
বাংলাদেশে তথ্য নিরাপত্তার পরিস্থিতি আরও উদ্বেগজনক হয়ে উঠেছে। কারণ অনেক প্রতিষ্ঠানের নিজস্ব সিস্টেমে নিরাপত্তা দুর্বলতা শনাক্ত ও দ্রুত সংশোধনের চর্চা এখনও সীমিত।
সাম্প্রতিক বিভিন্ন ঘটনায় তথ্য ফাঁসের পর ক্ষতিগ্রস্ত ব্যক্তিদের দ্রুত জানানো, ফরেনসিক তদন্ত এবং দায় নির্ধারণের ক্ষেত্রেও ঘাটতির বিষয় সামনে এসেছে।
তাই শুধু ব্যবহারকারীর সতর্ক থাকলেই হবে না। প্রতিষ্ঠানগুলোকেও কঠোর অ্যাক্সেস কন্ট্রোল নিশ্চিত করতে হবে। নির্ভরযোগ্য অডিট লগ রাখতে হবে। তথ্য ফাঁস হলে দ্রুত ব্যবহারকারীদের জানাতে হবে। নিয়মিত সাইবার নিরাপত্তা পরীক্ষা চালাতে হবে।
৬০ লাখ বাংলাদেশির সিভি বিক্রির বিজ্ঞাপন সত্য কি না, সেটি এখনো নিশ্চিত নয়। কিন্তু এমন বিজ্ঞাপনই দেখিয়ে দেয়, অনলাইনে জমা দেওয়া ব্যক্তিগত ও পেশাগত তথ্য কতটা মূল্যবান এবং একই সঙ্গে কতটা ঝুঁকিপূর্ণ। তথ্য সত্যিই ফাঁস হয়ে থাকলে ক্ষতি শুধু একটি সিভি হারানোর মধ্যে সীমাবদ্ধ থাকবে না। এসব তথ্য ব্যবহার করে ফিশিং, প্রতারণা, পরিচয় চুরি এবং অন্যান্য সাইবার অপরাধের ঝুঁকি তৈরি হতে পারে।
