একটি দুর্বল পাসওয়ার্ড, একটি বেসরকারি প্রতিষ্ঠানের অ্যাকাউন্ট এবং নজরদারির বড় ব্যর্থতা—ডেনমার্কের বিশাল তথ্য ফাঁসের ঘটনা বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে নতুন করে প্রশ্ন তুলেছে।
জাতীয় পরিচয়সংক্রান্ত তথ্যের নিরাপত্তা নিয়ে বিশ্বজুড়ে যখন নানা উদ্যোগ চলছে, তখন ডেনমার্কে প্রায় ৮৮ লাখ মানুষের ব্যক্তিগত তথ্য অননুমোদিতভাবে সংগ্রহের ঘটনা সামনে এসেছে। আরও উদ্বেগজনক বিষয় হলো, সংবাদমাধ্যমের প্রতিবেদনে বলা হয়েছে, এই ঘটনার সঙ্গে ‘123456’ নামের অত্যন্ত দুর্বল একটি পাসওয়ার্ডের সম্পর্ক রয়েছে।
২০২৬ সালের অক্টোবরের শুরুতে ডেনমার্কের কর্তৃপক্ষ তথ্য ফাঁসের বিষয়টি প্রকাশ করে। পরে বিভিন্ন আন্তর্জাতিক সংবাদমাধ্যম জানায়, দেশটির কেন্দ্রীয় জনসংখ্যা নিবন্ধনব্যবস্থা—Central Person Register (CPR)—থেকে বিপুলসংখ্যক মানুষের তথ্য সংগ্রহ করা হয়েছিল।
তবে পুরো ঘটনাটি বোঝার জন্য কয়েকটি বিষয় আলাদা করে দেখা জরুরি। পাসওয়ার্ডটি ব্যবহৃত হয়েছিল বলে যে দাবি এসেছে, তা হ্যাকার ও সংবাদমাধ্যমের প্রতিবেদনের ভিত্তিতে; কর্তৃপক্ষের নিশ্চিত করা তথ্য ফাঁসের ঘটনা এবং পাসওয়ার্ডের নির্দিষ্ট ভূমিকা এক বিষয় নয়।
কী ঘটেছিল ডেনমার্কে?
ডেনমার্কের CPR হলো দেশটির কেন্দ্রীয় জনসংখ্যা নিবন্ধনব্যবস্থা। নাগরিক ও নিবন্ধিত ব্যক্তিদের পরিচয়সংক্রান্ত গুরুত্বপূর্ণ তথ্য এই ব্যবস্থায় সংরক্ষিত থাকে।
৫ অক্টোবর ২০২৬-এ প্রকাশিত প্রতিবেদনে জানানো হয়, সিস্টেমে বৈধ প্রবেশাধিকার থাকা একটি বেসরকারি প্রতিষ্ঠানের অ্যাক্সেস অপব্যবহার করে অননুমোদিতভাবে তথ্য সংগ্রহ করা হয়েছিল। এতে প্রায় ৮৮ লাখ নিবন্ধিত ব্যক্তির তথ্য প্রভাবিত হয়েছে বলে কর্তৃপক্ষ জানায়।
আক্রান্তদের মধ্যে শুধু বর্তমানে ডেনমার্কে বসবাসকারী মানুষ নন; বিদেশে চলে যাওয়া ব্যক্তি এবং মৃত ব্যক্তিদের রেকর্ডও রয়েছে।
আন্তর্জাতিক সংবাদমাধ্যমের প্রতিবেদন অনুযায়ী, ঘটনার সঙ্গে ডেনমার্কের Pays ApS নামের একটি প্রতিষ্ঠানের অ্যাক্সেসের যোগসূত্র পাওয়া যায়। প্রতিষ্ঠানটির CPR ব্যবহারের বৈধ অনুমতি ছিল, কিন্তু সেই অনুমতি ব্যবহার করে তথ্য সংগ্রহের ঘটনাটি অননুমোদিত ছিল।
সূত্র: DW-এর প্রতিবেদন এবং BleepingComputer-এর প্রতিবেদন।
সত্যিই কি পাসওয়ার্ড ছিল ‘123456’?
ঘটনার সবচেয়ে আলোচিত অংশ এটি।
প্রযুক্তিবিষয়ক সংবাদমাধ্যম The Register-এর ১৩ অক্টোবরের প্রতিবেদন অনুযায়ী, হামলার দায় স্বীকার করা এক ব্যক্তি দাবি করেছেন, একটি বেসরকারি প্রতিষ্ঠানের অ্যাকাউন্টে ‘123456’ পাসওয়ার্ড ব্যবহার করা হয়েছিল। ওই ব্যক্তির ভাষ্য অনুযায়ী, প্রতিষ্ঠানের অন্তত তিনটি অ্যাকাউন্টে একই পাসওয়ার্ড ছিল, যার মধ্যে একটি প্রশাসনিক অ্যাকাউন্টও ছিল।
প্রতিবেদনে আরও বলা হয়, সংশ্লিষ্ট ব্যক্তি ডেনমার্কের সংবাদপত্র Politiken-কে জানিয়েছিলেন যে তিনি একটি সাবেক কর্মীর অ্যাকাউন্টের তথ্য ব্যবহার করে সিস্টেমে প্রবেশ করেছিলেন।
তবে এখানে গুরুত্বপূর্ণ একটি পার্থক্য রয়েছে: ডেনমার্কের পুরো সরকারি ডেটাবেস সরাসরি ‘123456’ পাসওয়ার্ড দিয়ে সুরক্ষিত ছিল—এমনটি নিশ্চিতভাবে বলা ঠিক হবে না। বরং প্রাথমিক প্রতিবেদন অনুযায়ী, CPR ব্যবস্থায় বৈধ অ্যাক্সেস থাকা একটি বেসরকারি প্রতিষ্ঠানের অ্যাকাউন্টের দুর্বল পাসওয়ার্ড এই ঘটনার প্রবেশপথ হিসেবে ব্যবহৃত হয়ে থাকতে পারে।
কী ধরনের তথ্য চুরি হয়েছে?
প্রকাশিত প্রতিবেদনগুলোতে আক্রান্ত ব্যক্তিদের নাম, ঠিকানা, ব্যক্তিগত পরিচয় নম্বর এবং অন্যান্য পরিচয়সংক্রান্ত তথ্যের কথা উল্লেখ করা হয়েছে।
ডেনমার্কে CPR নম্বর একটি গুরুত্বপূর্ণ ব্যক্তিগত শনাক্তকারী। বিভিন্ন সরকারি সেবা, স্বাস্থ্যসেবা, করসংক্রান্ত কাজ এবং আর্থিক কার্যক্রমে এটি ব্যবহৃত হয়। ফলে এই নম্বরের সঙ্গে অন্যান্য ব্যক্তিগত তথ্য একত্রে কারও হাতে চলে যাওয়া গুরুতর ঝুঁকি তৈরি করতে পারে।
তবে ৮৮ লাখ মানুষের সব ধরনের তথ্য—যেমন ব্যাংক অ্যাকাউন্টের পাসওয়ার্ড, কার্ডের PIN কিংবা আর্থিক লেনদেনের গোপন তথ্য—চুরি হয়েছে বলে দাবি করার মতো নিশ্চিত তথ্য প্রকাশিত প্রতিবেদনে নেই।
তাই ‘সব তথ্য হ্যাকারদের হাতে’ বলার পরিবর্তে, ‘প্রায় ৮৮ লাখ নিবন্ধিত ব্যক্তির পরিচয়সংক্রান্ত তথ্য অননুমোদিতভাবে সংগ্রহ করা হয়েছে’ বলা বেশি নির্ভুল।
কীভাবে ধরা পড়ল এত বড় তথ্য চুরির ঘটনা?
এই ঘটনার আরেকটি উদ্বেগজনক দিক হলো, অস্বাভাবিক কার্যক্রম শনাক্ত করতে সময় লেগেছিল।
The Local-এর ৬ অক্টোবরের প্রতিবেদন অনুযায়ী, সংশ্লিষ্ট প্রতিষ্ঠানের অস্বাভাবিক বড় বিল নজরে আসার পর বিষয়টি নিয়ে সন্দেহ তৈরি হয়। পরে তদন্তে বিপুলসংখ্যক অনুসন্ধানের বিষয়টি সামনে আসে।
অন্যান্য প্রযুক্তিবিষয়ক প্রতিবেদনে বলা হয়েছে, হামলাকারী প্রায় ১০ দিনের মধ্যে প্রায় ১ কোটি ৪০ লাখ স্বয়ংক্রিয় অনুসন্ধান চালিয়েছিলেন বলে অভিযোগ রয়েছে।
এখানে অনুসন্ধানের সংখ্যা ও আক্রান্ত ব্যক্তির সংখ্যা এক নয়। একই ব্যক্তির তথ্য একাধিকবার অনুসন্ধান করা হয়ে থাকতে পারে। তাই ১ কোটি ৪০ লাখ অনুসন্ধান মানেই ১ কোটি ৪০ লাখ আলাদা মানুষের তথ্য চুরি—এমন সিদ্ধান্তে পৌঁছানো যাবে না।
হ্যাকার কি তথ্য বিক্রি বা প্রকাশ করবেন?
সংবাদমাধ্যমের সঙ্গে কথা বলা ব্যক্তি দাবি করেছেন, তাঁর তথ্য বিক্রি বা প্রকাশ করার পরিকল্পনা নেই। কিন্তু এই বক্তব্যকে তথ্য নিরাপদ আছে—এমন নিশ্চয়তা হিসেবে দেখা যায় না।
একবার ব্যক্তিগত তথ্য অননুমোদিতভাবে সংগ্রহ করা হলে তা পরবর্তী সময়ে অন্য ব্যক্তি বা গোষ্ঠীর কাছে চলে যেতে পারে। তথ্যের কপি তৈরি করা হয়ে থাকলে সেগুলো কোথায় সংরক্ষিত হয়েছে বা ভবিষ্যতে কীভাবে ব্যবহার হতে পারে, তা নিশ্চিত করা কঠিন।
বিশেষজ্ঞদের উদ্বেগের অন্যতম কারণ হলো পরিচয়ভিত্তিক প্রতারণা। অপরাধীরা কারও নাম, ঠিকানা ও ব্যক্তিগত শনাক্তকারী নম্বর ব্যবহার করে বিশ্বাসযোগ্য ভুয়া ফোনকল, ইমেইল কিংবা বার্তা পাঠাতে পারে। এসব বার্তায় সরকারি কর্মকর্তা, ব্যাংক বা স্বাস্থ্যসেবা প্রতিষ্ঠানের পরিচয় দেওয়া হতে পারে।
এই ঘটনা থেকে বাংলাদেশের কী শেখার আছে?
বাংলাদেশেও জাতীয় পরিচয়পত্রের তথ্য, সরকারি ডিজিটাল সেবা এবং বিভিন্ন প্রতিষ্ঠানের তথ্যভান্ডার নাগরিকদের দৈনন্দিন জীবনে গুরুত্বপূর্ণ ভূমিকা রাখে। তাই ডেনমার্কের ঘটনাটি বাংলাদেশের জন্যও একটি গুরুত্বপূর্ণ সতর্কবার্তা।
প্রথমত, সরকারি বা জাতীয় গুরুত্বপূর্ণ ডেটাবেসে প্রবেশাধিকার থাকা কোনো প্রতিষ্ঠানের অ্যাকাউন্ট দুর্বল পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা উচিত নয়।
দ্বিতীয়ত, শুধু শক্তিশালী পাসওয়ার্ড যথেষ্ট নয়। বহুধাপ যাচাইকরণ বা Multi-Factor Authentication (MFA) চালু থাকলে পাসওয়ার্ড ফাঁস হলেও অননুমোদিত প্রবেশের ঝুঁকি কমানো যায়।
তৃতীয়ত, কোন অ্যাকাউন্ট কখন, কতবার এবং কী ধরনের তথ্য অনুসন্ধান করছে, তা স্বয়ংক্রিয়ভাবে পর্যবেক্ষণ করা জরুরি। অস্বাভাবিক সংখ্যক অনুসন্ধান হলে তাৎক্ষণিক সতর্কবার্তা তৈরি হওয়া উচিত।
চতুর্থত, বেসরকারি প্রতিষ্ঠানকে সংবেদনশীল সরকারি তথ্য ব্যবহারের অনুমতি দেওয়ার ক্ষেত্রে কঠোর নিরাপত্তা নিরীক্ষা, সীমিত প্রবেশাধিকার এবং নিয়মিত অ্যাকাউন্ট পর্যালোচনা প্রয়োজন।
পঞ্চমত, তথ্য ফাঁসের ঘটনা ঘটলে দ্রুত তদন্ত, ক্ষতিগ্রস্তদের সতর্ক করা এবং ভবিষ্যতে একই ধরনের ঘটনা ঠেকানোর জন্য কার্যকর ব্যবস্থা নেওয়া জরুরি।
দুর্বল পাসওয়ার্ডের চেয়েও বড় সমস্যা নিরাপত্তাব্যবস্থার ব্যর্থতা
‘123456’ বিশ্বের সবচেয়ে সহজে অনুমানযোগ্য পাসওয়ার্ডগুলোর একটি। কিন্তু ডেনমার্কের ঘটনাটি শুধু দুর্বল পাসওয়ার্ডের বিপদ দেখায় না; এটি তৃতীয় পক্ষের অ্যাকাউন্টের নিরাপত্তা, অতিরিক্ত তথ্য সংগ্রহ শনাক্ত করার সক্ষমতা এবং গুরুত্বপূর্ণ ডেটাবেসে প্রবেশাধিকার নিয়ন্ত্রণের দুর্বলতাও সামনে আনে।
সবচেয়ে গুরুত্বপূর্ণ শিক্ষা হলো, জাতীয় পর্যায়ের তথ্যভান্ডারের নিরাপত্তা কোনো একটি পাসওয়ার্ডের ওপর নির্ভর করতে পারে না। সেখানে শক্তিশালী লগইন ব্যবস্থা, বহুধাপ যাচাইকরণ, সীমিত প্রবেশাধিকার এবং সার্বক্ষণিক নজরদারি—সবকিছু একসঙ্গে কাজ করতে হবে।
ডেনমার্কের এই ঘটনা তাই কেবল একটি দেশের সাইবার নিরাপত্তা ব্যর্থতার খবর নয়; ডিজিটাল যুগে নাগরিকের ব্যক্তিগত তথ্য সুরক্ষার গুরুত্ব নিয়ে বিশ্বের সব দেশের জন্যই একটি সতর্কবার্তা।
