তথ্য ফাঁস, বাজারে বিঘ্ন ও জবাবদিহির ঘাটতির মুখে নেপালের ডিজিটাল সেবা

সরকারি ১৩৫টি ইমেইল অ্যাকাউন্টে নিরাপত্তার আরও বিস্তৃত সমস্যার ইঙ্গিত

নেপালের nepal.gov.np সরকারি ডোমেইনের অন্তত ১৩৫টি ইমেইল অ্যাকাউন্ট বহিরাগত তথ্যফাঁসে শনাক্ত হয়েছে। ন্যাশনাল সাইবার সিকিউরিটি সেন্টার উন্মুক্ত হওয়া পরিচয়-তথ্য পর্যবেক্ষণকারী সেবা Have I Been Pwned-এ যুক্ত হওয়ার পর এ তথ্য জানা যায়। আক্রান্ত ঠিকানাগুলোর মধ্যে প্রধানমন্ত্রীর কার্যালয় এবং স্বরাষ্ট্র, অর্থ ও পররাষ্ট্র মন্ত্রণালয়ের সঙ্গে সংশ্লিষ্ট অ্যাকাউন্টও ছিল।

এই আবিষ্কারের পাশাপাশি শিক্ষার্থী ও শিক্ষকদের নথি উন্মুক্ত হওয়া, সরকারি পোর্টালে হামলা, ইলেকট্রনিক ক্রয়ে হস্তক্ষেপ এবং শেয়ারবাজারে লেনদেন ব্যাহত করা র‍্যানসমওয়্যার ঘটনার খবরও রয়েছে। ২০২৬ সালের অক্টোবরে প্রকাশিত বিবরণে এমন এক ডিজিটাল প্রশাসনের চিত্র উঠে এসেছে, যার নিরাপত্তা ব্যর্থতা ব্যক্তিগত গোপনীয়তা ও জরুরি সেবায় প্রবেশাধিকার—দুটিকেই প্রভাবিত করতে পারে।

এসব ঘটনা এক ধরনের সমস্যা নয়। কোনো ইমেইল ঠিকানা তথ্যফাঁসে দেখা গেলেই প্রমাণ হয় না যে কেউ সরকারি নেটওয়ার্কে ঢুকেছে। কোনো ওয়েবসাইট বন্ধ হয়ে যাওয়াও প্রমাণ করে না যে সেখানকার নথি চুরি হয়েছে। তবে ফাঁস হওয়া পরিচয়-তথ্য, দুর্বল প্রবেশাধিকার নিয়ন্ত্রণ এবং অভিন্ন অবকাঠামোর ওপর নির্ভরতা একত্রে আরও সংবেদনশীল ব্যবস্থায় ঢোকার পথ তৈরি করতে পারে।

নেপাল পাসপোর্ট, পরিচয় যাচাই, কর, ব্যাংকিং ও সামাজিক নিরাপত্তাকে ডিজিটাল সেবার সঙ্গে যুক্ত করছে; একই সময়ে নাগরিকেরা দীর্ঘ লাইন, পরিচয়পত্র পেতে দেরি এবং সার্ভার অচল থাকার অভিযোগ জানাচ্ছেন। তাই মূল বিষয়টি শুধু হ্যাকারদের ঠেকানোর চেয়ে বড়: মানুষকে যে তথ্য জমা দিতে বলা হয়, সরকারকে তা সুরক্ষিত রাখতে হবে এবং কোনো একটি অংশে ত্রুটি দেখা দিলেও সেবা সচল রাখতে হবে।

ইমেইল-সংক্রান্ত আবিষ্কার কী প্রমাণ করে

ন্যাশনাল সাইবার সিকিউরিটি সেন্টারের পরিচালক রাজ কুমার মহার্জনের ভাষ্য অনুযায়ী, Have I Been Pwned-এ যুক্ত হওয়া ৪৭তম সরকারি সংস্থা হলো নেপাল। এ সংযোগের ফলে কেন্দ্রটি অন্যত্র ঘটে যাওয়া তথ্যফাঁসে উন্মুক্ত সরকারি ঠিকানা শনাক্ত করতে পারবে; শুধু নিজস্ব নেটওয়ার্কের প্রমাণের ওপর নির্ভর করতে হবে না।

মহার্জন বলেন, কেন্দ্রটি আক্রান্ত বিভাগগুলোকে জানাবে এবং পাসওয়ার্ড পরিবর্তন করতে বলবে। তিনি ব্যাখ্যা করেন, নজরদারি সেবাটি কীভাবে প্রতিক্রিয়ায় পরিবর্তন আনবে:

এই পোর্টালের মাধ্যমে আমাদের কেন্দ্র এখন কোন ইমেইল ঠিকানা ফাঁস হয়েছে এবং কোন সূত্র থেকে হয়েছে, সে বিষয়ে সুনির্দিষ্ট তথ্য পায়। এতে আমরা সংশ্লিষ্ট কর্মকর্তাদের তাৎক্ষণিকভাবে সতর্ক করতে, দ্রুত পাসওয়ার্ড পরিবর্তন নিশ্চিত করতে এবং আরও ক্ষতি ঠেকাতে পারি।

১৩৫ সংখ্যাটিকে ১৩৫টি সরকারি মেইলবক্সে অনুপ্রবেশের নিশ্চিত হিসাব হিসেবে দেখা উচিত নয়। প্রকাশিত প্রতিবেদনে বলা হয়নি, কতটি অ্যাকাউন্ট ঝুঁকিপূর্ণ ছিল, ফাঁস হওয়া পাসওয়ার্ড তখনও কার্যকর ছিল কি না, কিংবা কতটিতে অতিরিক্ত যাচাইকরণ ব্যবস্থা ছিল।

সাইবার নিরাপত্তা বিশেষজ্ঞ মোনা ন্যাছোঁ সতর্ক করে বলেন, সরকারি অ্যাকাউন্টের নিয়ন্ত্রণ হারালে অভ্যন্তরীণ নেটওয়ার্ক ও গোপন যোগাযোগ হুমকিতে পড়তে পারে। কেউ সত্যিকারের সরকারি মেইলবক্স নিয়ন্ত্রণে নিলে প্রতারণামূলক অনুরোধও বিশ্বাসযোগ্য করে তুলতে পারে, বিশেষ করে প্রাপক ঠিকানাটি চিনতে পারলে।

পৃথক বিবরণে বলা হয়েছে, তথ্যচুরিকারী ম্যালওয়্যারের মাধ্যমে কৃষি উন্নয়ন ব্যাংকের সঙ্গে সংশ্লিষ্ট পরিচয়-তথ্য উন্মুক্ত হয়েছে। এ ধরনের চুরি সেবা ব্যবহারের জন্য যে কম্পিউটারটি ব্যবহার করা হয়, সেখান থেকেও ঘটতে পারে; আক্রমণকারীকে সেবাটির কেন্দ্রীয় সার্ভারে সরাসরি ঢুকতে হয় না।

নাগরিকদের নথি ও সরকারি পোর্টালে ভিন্ন ধরনের হুমকি

ইউনিভার্সিটি গ্র্যান্টস কমিশনের অনলাইন ব্যবস্থায় অধ্যাপক ও শিক্ষার্থীদের নাগরিকত্বের নথি, শিক্ষাগত সনদ, ব্যাংক হিসাবের তথ্য এবং স্থায়ী হিসাব নম্বরের (প্যান) তথ্য উন্মুক্ত হয়ে পড়েছিল বলে খবর রয়েছে। প্রবেশাধিকার নিয়ন্ত্রণ না থাকায় শুধু ওয়েব ঠিকানা বদলেই নথিতে পৌঁছানো সম্ভব ছিল বলে জানা গেছে।

প্রবেশাধিকার নিয়ন্ত্রণ হলো এমন যাচাই, যা নির্ধারণ করে কোনো ব্যক্তি নির্দিষ্ট নথি দেখার অনুমতি রাখেন কি না। কোনো নথির ঠিকানা অনুমান করা কঠিন হলেই সেটি সুরক্ষিত হয়ে যায় না। প্রতিবার কেউ নথি চাইলে সার্ভারকে অনুমতি যাচাই করতে হবে।

সরকারি ক্লাউড পোর্টালের উন্মুক্ত অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেসে (এপিআই) অননুমোদিত প্রবেশের কথাও প্রতিবেদনে রয়েছে। এপিআই নামে পরিচিত ইন্টারফেস সফটওয়্যার ব্যবস্থাগুলোকে তথ্য আদান-প্রদান বা কাজ সম্পাদনের সুযোগ দেয়। ForceAnon নেটওয়ার্কের সঙ্গে সংশ্লিষ্ট PSy404 ও AnoNagoSt নামে পরিচিত গোষ্ঠীগুলো ওই প্রবেশাধিকার ব্যবহার করে বার্তা ও ছবি পোস্ট করেছিল বলে অভিযোগ রয়েছে।

আরও যেসব ঘটনার খবর রয়েছে, তার মধ্যে আছে Department of Hydrology and Meteorology-সহ বিভিন্ন ব্যবস্থায় Midnight Ops Nepal-এর প্রকাশ করা দুর্বলতা এবং FunkSec-এর নামে মন্ত্রণালয়ের প্রশাসনিক প্যানেলে প্রবেশের ঘটনা। বাজেট ও পৌরসভার নথি বিক্রির জন্য তোলা হয়েছিল বলেও অভিযোগ রয়েছে।

এসব দাবির আলাদা মূল্যায়ন প্রয়োজন। উন্মুক্ত ইন্টারফেসের মাধ্যমে কনটেন্ট পোস্ট করা নিয়ন্ত্রণব্যবস্থার ব্যর্থতা দেখায়, কিন্তু সরকারি ক্লাউডে রাখা প্রতিটি ডেটাবেসে প্রবেশাধিকার প্রমাণ করে না। বিক্রির জন্য তোলা নথির প্রকৃত ফাঁসের পরিমাণ বুঝতে হলে সেগুলোর সত্যতা, পরিধি ও উৎস যাচাই করতে হবে।

প্রতিবেদিত হামলা ও সরকারি পদক্ষেপের সময়রেখা

বিবরণগুলো একটি সমন্বিত হামলার বদলে কয়েক বছরজুড়ে ঘটনার কথা তুলে ধরে। নিবেদিত সাইবার কেন্দ্র প্রতিষ্ঠার পরও যে বিঘ্ন বন্ধ হয়নি, ধারাবাহিক ঘটনাপ্রবাহ তা-ও দেখায়।

• ১ জানুয়ারি ২০২৪: ডিস্ট্রিবিউটেড ডিনায়াল অব সার্ভিস হামলায় সরকারি সেবা-সংক্রান্ত ওয়েবসাইট ও অ্যাপ্লিকেশন ব্যাহত হয়েছিল বলে খবর রয়েছে; এর প্রভাব কয়েক সপ্তাহ স্থায়ী হয়।
• ২৩ জানুয়ারি ২০২৪: মন্ত্রিসভা ন্যাশনাল সাইবার সিকিউরিটি সেন্টার প্রতিষ্ঠার সিদ্ধান্ত নেয়; ওই বসন্তের পর কেন্দ্রটি কার্যক্রম শুরু করে।
• ডিসেম্বর ২০২৪: গণ্ডকী, লুম্বিনী ও বাগমতী প্রদেশের সরকারি পোর্টালে হামলার খবর পাওয়া যায়।
• ফেব্রুয়ারি ২০২৫: কোশি প্রদেশের ২১টি সাবডোমেইনে হামলার বিবরণ প্রকাশিত হয়।
• মার্চ ২০২৫: Hello Sarkar অভিযোগ প্ল্যাটফর্মের ডেটাবেসে অননুমোদিত প্রবেশের পর সেটি বিক্রির জন্য তোলা হয়েছিল বলে খবর রয়েছে।
• এপ্রিল ২০২৫: পুলিশ প্রতিবেদনের জন্য জমা দেওয়া প্রায় ২০ লাখ নাগরিকত্বের নথি নেপাল পুলিশের একটি ওয়েবসাইট থেকে চুরি করে বিক্রির জন্য তোলা হয়েছিল বলে অভিযোগ রয়েছে।
• ১৩ মে ২০২৬: প্রকাশিত Government of Nepal Business Allocation Rules-এর সংশোধনীতে গুরুত্বপূর্ণ প্রযুক্তি সংস্থাগুলোকে প্রধানমন্ত্রীর কার্যালয়ের অধীনে নেওয়া হয়েছিল বলে খবর রয়েছে।
• সেপ্টেম্বর ২০২৬: কথিত র‍্যানসমওয়্যার হামলায় ৭২টি শেয়ার ব্রোকারেজকে সেবা দেওয়া ব্যবস্থা ব্যাহত হয় এবং এক দিনের জন্য লেনদেন বন্ধ থাকে।
• ২০২৬ সালের অক্টোবরের শুরুতে: Pathao Nepal ব্যবহারকারীর নাম, ইমেইল ঠিকানা ও ফোন নম্বর জড়িত একটি তথ্যফাঁসের কথা স্বীকার করেছে বলে খবর রয়েছে।

প্রায় ২০ লাখ পুলিশের নথি চুরির অভিযোগটি বিবরণে থাকা সবচেয়ে বড় তথ্যফাঁসগুলোর একটি। সংখ্যাটি প্রতিবেদনে করা দাবি, আক্রান্ত ব্যক্তির স্বাধীনভাবে যাচাই করা হিসাব নয়। অনন্য নথির সংখ্যা বা ক্ষয়ক্ষতির পূর্ণাঙ্গ, যাচাইকৃত মূল্যায়ন বিবরণগুলোতে নেই।

ইলেকট্রনিক ক্রয়ে সরকারি ব্যয়ের নিরাপত্তা

ই-জিপি নামে পরিচিত সরকারি ইলেকট্রনিক ক্রয় ব্যবস্থায় কথিত অনুপ্রবেশে গোপন তথ্যের পাশাপাশি সরকারি চুক্তির অখণ্ডতাও ঝুঁকিতে পড়ে। বিলিয়ন রুপির সরকারি কাজের দরপত্র গ্রহণের জন্য Public Procurement Monitoring Office এই প্ল্যাটফর্ম পরিচালনা করে।

তদন্তকারীরা অননুমোদিত ব্যবহারকারীদের প্রতিযোগীদের গোপন দরদাম দেখার এবং দরপত্র জমার সময়সীমা পেরিয়ে যাওয়ার পর অঙ্ক বদলানোর সুযোগ পেয়েছিলেন বলে খবর রয়েছে। হ্যাকার, মধ্যস্থতাকারী ও ঠিকাদারদের কথিত যোগসাজশের বিবরণে ক্রিপ্টোকারেন্সিতে অর্থ পরিশোধ এবং নকল ক্রয়সংক্রান্ত ওয়েবসাইটের কথাও এসেছে।

নেপাল পুলিশের Central Investigation Bureau সাবেক মন্ত্রী, নির্মাণ ব্যবসার সঙ্গে যুক্ত ব্যক্তি ও প্রযুক্তি কর্মীসহ ২০ জনের বেশি মানুষকে গ্রেপ্তার করে আদালতে মামলা করেছে বলে খবর রয়েছে। গ্রেপ্তার বা অভিযোগ দোষী সাব্যস্ত হওয়ার সমান নয়। প্রতিবেদনে প্রতিটি অভিযুক্তের দায় চূড়ান্তভাবে প্রতিষ্ঠা করা আদালতের রায় দেওয়া হয়নি।

নিরাপত্তা-সংক্রান্ত উদ্বেগে ইলেকট্রনিক দরপত্র স্থগিত করে জরুরি ক্রয়ের জন্য সিলগালা কাগজের দরপত্রে ফেরার খবর রয়েছে। কবে তা পুনরায় চালু হবে, সে বিষয়ে বিবরণে নিশ্চিত কোনো তারিখ নেই।

নথি ফাঁসের সঙ্গে এর পার্থক্যটি অত্যন্ত গুরুত্বপূর্ণ। কারও যে দরপত্র দেখার কথা নয়, সে তা দেখলে গোপনীয়তা নষ্ট হয়। কেউ দরপত্রই বদলে দিলে অখণ্ডতা নষ্ট হয়। যেকোনো একটি সুরক্ষা ভেঙে পড়লে ক্রয়প্রক্রিয়াকে আরও স্বচ্ছ করার জন্য তৈরি ডিজিটাল ব্যবস্থা উল্টো বাছাই করা দরদাতাদের অপ্রকাশিত সুবিধা দিতে পারে।

একটি সেবাদাতার ওপর নির্ভরতা পুরো বাজার থামাতে পারে

২০২৬ সালের সেপ্টেম্বরের কথিত র‍্যানসমওয়্যার হামলায় ৭২টি ব্রোকারেজ কোম্পানির লেনদেন ব্যবস্থার হোস্ট করা একটি বেসরকারি ডেটা সেন্টার আক্রান্ত হয়। নেপাল স্টক এক্সচেঞ্জে পুরো এক দিন লেনদেন করা যায়নি বলে খবর রয়েছে। মূল বিবরণে বলা হয়েছে, আক্রান্ত স্থাপনায় সরকারি তথ্যও রাখা হয়েছিল।

র‍্যানসমওয়্যার সাধারণত ফাইল এনক্রিপ্ট করে সিস্টেম বা তথ্য ব্যবহারে বাধা দেয় এবং প্রায়ই অর্থ দাবি করে। হামলার প্রযুক্তিগত পদ্ধতি, তথ্যও চুরি হয়েছিল কি না, কিংবা মুক্তিপণ দেওয়া হয়েছিল কি না—প্রতিবেদনে তা প্রতিষ্ঠিত হয়নি।

আরও নিশ্চিতভাবে বর্ণিত প্রভাবটি ছিল কার্যক্রমে বিঘ্ন: একটি হোস্টিং সেবাদাতার সমস্যায় কয়েক ডজন ব্রোকারের কার্যক্রম ছড়িয়ে পড়ে এবং বিনিয়োগকারীরা লেনদেন করতে পারেননি। এটি কেন্দ্রীভবনজনিত ঝুঁকি—যখন অনেক প্রতিষ্ঠান একই সরবরাহকারী বা অবকাঠামোর ওপর নির্ভর করে।

Pathao Nepal-এর তথ্য প্রকাশের ঘটনাটি বেসরকারি খাতে ভিন্ন ধরনের ঝুঁকি দেখায়। ২০২৬ সালের অক্টোবরের শুরুতে নাম, ইমেইল ঠিকানা ও টেলিফোন নম্বর ফাঁস হয়েছিল বলে খবর রয়েছে। হাজারো ব্যবহারকারী আক্রান্ত হওয়ার বিবরণ থাকলেও যাচাইকৃত সুনির্দিষ্ট সংখ্যা নেই।

আগের বিবরণগুলোতে Vianet ও Foodmandu-র গ্রাহক-তথ্য ফাঁস, ব্যাংকের এটিএম ব্যবস্থায় হামলা এবং NIC Asia Bank-এর SWIFT ব্যবস্থায় হামলার চেষ্টার কথাও রয়েছে। এসব ঘটনার পরিধি ও ফল আলাদা হলেও নিরাপত্তার চ্যালেঞ্জ যে সরকারি ওয়েবসাইটের বাইরেও যোগাযোগ, কেনাকাটা, পরিবহন ও অর্থায়নের সেবায় বিস্তৃত, তা স্পষ্ট।

জাতীয় পরিচয় ব্যবস্থার সক্ষমতার সমস্যা ছড়িয়ে পড়ে বিভিন্ন সেবায়

নিশ্চিত সাইবার হামলা ছাড়াও কোনো সেবা কীভাবে ব্যর্থ হতে পারে, জাতীয় পরিচয় ব্যবস্থা তার উদাহরণ। বায়োমেট্রিক ব্যবস্থায় প্রায় ২ কোটি নথির সক্ষমতার কাছাকাছি পৌঁছালে প্রযুক্তিগত চাপের কারণে কয়েক সপ্তাহ ধরে পরিচয় যাচাই ব্যাহত হয়েছিল বলে প্রতিবেদনে বলা হয়েছে।

পাসপোর্ট, কর, পরিবহন ও ব্যাংকিংসহ ১৬টির বেশি সংস্থার সেবা ব্যাহত হয়েছিল বলে খবর রয়েছে। এই সংখ্যাটি ব্যবস্থার ওপর প্রতিবেদিত সক্ষমতাজনিত চাপ বোঝায়; কতজনের বায়োমেট্রিক তথ্য উন্মুক্ত হয়েছিল, তার যাচাইকৃত হিসাব নয়।

ফরাসি সরবরাহকারীর করপোরেট পরিচয় নিয়ে বিবরণগুলোতে অমিল রয়েছে। মূল প্রতিবেদনে Idemia থেকে IN Groupe-এ পরিবর্তনের কথা বলা হয়েছে, অন্য একটি বিবরণে IDEMIA-কে বর্তমান নাম বলা হয়েছে। চুক্তি ও সহায়তার সুনির্দিষ্ট ব্যবস্থা এখানে প্রতিষ্ঠিত নয়। কার্যক্রমগত সমস্যাটি একই: একাধিক সেবা একটি পরিচয় যাচাই প্ল্যাটফর্মের ওপর নির্ভরশীল ছিল এবং সেটি অচল হলে সেগুলোও ব্যাহত হয়।

অভিন্ন পরিচয় সেবা বারবার যাচাই ও কাগজপত্রের প্রয়োজন কমাতে পারে। তবে সেবাটি সাড়া না দিলে সংস্থাগুলো নিরাপদ বিকল্প ব্যবস্থায় কাজ চালাতে না পারলে এটি ব্যর্থতার একক বিন্দুতে পরিণত হয়। তাই অনুপ্রবেশ ঠেকানোর পাশাপাশি সক্ষমতার পরিকল্পনা, পুনরুদ্ধারের ব্যবস্থা এবং সরবরাহকারীদের দায়িত্ব স্পষ্ট করাও জরুরি।

গোপনীয়তার প্রভাবও সমান সতর্কতার সঙ্গে বিবেচনা করা দরকার। আঙুলের ছাপ বায়োমেট্রিক পরিচয়চিহ্ন; নাগরিকত্ব নম্বর ও জন্মতারিখ পরিচয়-সংক্রান্ত তথ্য, বায়োমেট্রিক নয়। পাসওয়ার্ডের মতো আঙুলের ছাপ সহজে বদলে ফেলা যায় না। এসব তথ্য উন্মুক্ত হলে দীর্ঘস্থায়ী ছদ্মবেশ ধারণ ও লক্ষ্যভিত্তিক জালিয়াতির সুযোগ তৈরি হতে পারে।

সরকারি প্রতিরক্ষা ব্যবস্থা বাড়ছে, তবে সীমাবদ্ধতা রয়েছে

ইমেইল ফাঁসের প্রতিবেদন প্রকাশের আগের চার মাসে ন্যাশনাল সাইবার সিকিউরিটি সেন্টার প্রায় ৪০টি সরকারি ব্যবস্থা নিরীক্ষা করেছিল বলে খবর রয়েছে। সরকারি তথ্য নিয়ে অবৈধ লেনদেন পর্যবেক্ষণে International Telecommunication Union-এর দেওয়া CTM360 নজরদারি সরঞ্জামও কেন্দ্রটি ব্যবহার করে।

সম্প্রতি কেনা Security Information and Event Management ব্যবস্থা সরকারি নেটওয়ার্কের কার্যকলাপের লগ সংগ্রহ ও বিশ্লেষণ করে। এ ধরনের সরঞ্জাম কর্মীদের সন্দেহজনক প্রবণতা শনাক্ত করতে সাহায্য করে; তবে এর কার্যকারিতা নির্ভর করে কী পর্যবেক্ষণ করা হচ্ছে এবং সতর্কবার্তা পেলে দলগুলো কত দ্রুত তদন্ত করছে তার ওপর।

নেপালি প্রতিবেদনে তথ্যপ্রযুক্তি ও ইলেকট্রনিক গভর্ন্যান্স অফিসের তথ্য কর্মকর্তা হিসেবে পরিচিত প্রকাশ দুয়াদি বলেন, হোস্ট করা সরকারি পোর্টালগুলো একই সময়ে ৭ হাজার থেকে ৮ হাজার হামলার চেষ্টার মুখে পড়তে পারে। তার ধারণা, এসব চেষ্টার ১০ থেকে ২০ শতাংশ শিক্ষার্থী বা শিশুদের সাধারণ পরীক্ষা-নিরীক্ষা। কী সময়কালে বা কোন গণনাপদ্ধতিতে এ হিসাব করা হয়েছে, প্রতিবেদনে তা ব্যাখ্যা করা হয়নি।

দুয়াদি আরও বলেন, নিরাপদে প্রতিরোধ করা সম্ভব না হলে কর্মীরা কখনও কখনও সিস্টেমের সংযোগ বিচ্ছিন্ন করেন। ফলে সার্ভার অচল থাকার অর্থ হতে পারে এটি সুরক্ষামূলক পদক্ষেপ; আক্রমণকারীরা নিয়ন্ত্রণ নিয়েছে, এমন নয়। তবে দুই ক্ষেত্রেই নাগরিকেরা সেবা পান না। তাই নির্ভুল সেবা-সংক্রান্ত বিজ্ঞপ্তি এবং পুনরুদ্ধার পদ্ধতি জরুরি।

মহার্জনের মতে, সাইবার ঘটনার ৯০ শতাংশেরও বেশি ঘটে মানবিক আচরণ ও সামাজিক প্রকৌশলের কারণে। এটি তার দেওয়া মূল্যায়ন, জাতীয় পর্যায়ের নথিভুক্ত পরিসংখ্যান নয়। তিনি আরও সতর্ক করেন, কৃত্রিম বুদ্ধিমত্তা দিয়ে দ্রুত অ্যাপ্লিকেশন তৈরি করতে গিয়ে ডেভেলপাররা এনক্রিপশন ও নিরাপত্তার দুর্বলতা সম্পর্কে অবগত না-ও থাকতে পারেন।

প্রতিবেদিত ফিশিং বার্তায় অতিরিক্ত পুলিশ মহাপরিদর্শক মনোজ কুমার কে.সি., প্রধানমন্ত্রীর কার্যালয় ও পুলিশের অন্যান্য কর্মকর্তার ছদ্মবেশ নেওয়া হয়েছিল। জবাব দিতে বা তথ্য প্রকাশে চাপ সৃষ্টি করতে প্রাপকদের বিরুদ্ধে মামলা করার হুমকি দেওয়া হয়। এসব উদাহরণ দেখায়, ভয় ও সরকারি কর্তৃত্ব কীভাবে প্রতারণার হাতিয়ার হতে পারে।

গোপনীয়তার অধিকার কার্যকরভাবে প্রয়োগ হওয়া দরকার

নেপালের সংবিধানের ২৮ অনুচ্ছেদে গোপনীয়তার অধিকার সুরক্ষিত। Privacy Act, 2075 (2018)-এ সরকারি সংস্থার কাছে থাকা ব্যক্তিগত তথ্যের বিষয়ে দায়িত্বও নির্ধারণ করা হয়েছে। মূল প্রতিবেদন ও সহগামী বিশ্লেষণে ২৯ ধারায় সর্বোচ্চ তিন বছরের কারাদণ্ড, ৩১ ধারায় ক্ষতিপূরণ এবং ৩২ ধারায় বিভাগীয় ব্যবস্থার কথা উল্লেখ করা হয়েছে।

এসব বিধান থেকে প্রমাণ হয় না যে প্রতিবেদিত প্রতিটি প্রযুক্তিগত ব্যর্থতা ফৌজদারি অপরাধ বা ক্ষতিপূরণের শর্ত পূরণ করে। সংশ্লিষ্ট আচরণ, প্রযোজ্য আইন ও প্রমাণের ভিত্তিতে দায় নির্ধারণ করতে হবে। আলোচিত ঘটনাগুলো থেকে জরিমানা বা ক্ষতিপূরণের বিষয়ে প্রকাশিত প্রতিবেদনে খুব কম তথ্য রয়েছে।

প্রশাসনিক দায়িত্বও বদলাচ্ছে। ১৩ মে ২০২৬ প্রকাশিত সংশোধনীর মাধ্যমে Cyber Security Centre, Data Management Centre এবং Department of Information Technology-কে প্রধানমন্ত্রীর কার্যালয়ের অধীনে নেওয়া হয়েছিল বলে খবর রয়েছে। ২৭ মার্চ ২০২৬ অনুমোদিত মন্ত্রিসভার কার্যতালিকায় তিন মাসের মধ্যে Information Technology and E-Governance Office প্রতিষ্ঠার কথা বলা হয়েছিল; তবে বিবরণ প্রকাশের সময় সাংগঠনিক সমীক্ষা অসম্পূর্ণ ছিল বলে জানা গেছে।

ফলে কাঠামো ও প্রতিবেদন দেওয়ার অধস্তন-ঊর্ধ্বতন ব্যবস্থা তখনও অনির্ধারিত ছিল। প্রতিষ্ঠান স্থানান্তর করলেই আক্রান্ত নাগরিকদের কে জানাবে, আক্রান্ত সেবা পুনরায় চালুর অনুমোদন কে দেবে, কিংবা সরবরাহকারী নিরাপত্তা ত্রুটি সংশোধন করেছে কি না কে যাচাই করবে—তা নির্ধারিত হয় না।

পরীক্ষা, ক্রয় ও তথ্য প্রকাশ নিয়ে পরবর্তী সিদ্ধান্ত

মূল বিশ্লেষণে শুরু থেকেই সফটওয়্যার ক্রয়ের শর্তে নিরাপত্তার বাধ্যবাধকতা অন্তর্ভুক্ত করার প্রস্তাব রয়েছে। এর মধ্যে আছে এনক্রিপশন, নিয়মিত হালনাগাদ, রক্ষণাবেক্ষণ এবং গুণমান ও ব্যয়ের ভিত্তিতে নির্বাচন—সফটওয়্যার সরবরাহের পরই ক্রয় সম্পন্ন হয়েছে বলে ধরে নেওয়া নয়। এগুলো প্রস্তাব, সরকারের নিশ্চিত নতুন শর্ত নয়।

নাগরিকদের জন্য সেবা চালুর আগে বাধ্যতামূলক দুর্বলতা মূল্যায়ন ও পেনিট্রেশন টেস্টের পক্ষেও যুক্তি দেওয়া হয়েছে। এসব পরীক্ষায় দুর্বলতা খোঁজা হয় এবং নিয়ন্ত্রিতভাবে অনুপ্রবেশের চেষ্টা করা হয়। পরীক্ষা সম্পন্ন করা আর পরীক্ষায় পাওয়া সমস্যা সংশোধন করা এক বিষয় নয়: সেবা চালুর বিশ্বাসযোগ্য সিদ্ধান্তের জন্য গুরুতর ত্রুটি ঠিক হয়েছে এবং পুনরায় যাচাই করা হয়েছে—এর প্রমাণ দরকার।

সাইবার নিরাপত্তা বিশেষজ্ঞ নরেশ লামগাদে বলেন, সফটওয়্যার তৈরির সময় প্রায়ই নিরাপত্তা উপেক্ষা করা হয় এবং বেসরকারি গবেষকদের দুর্বলতার কথা জানাতে নিরুৎসাহিত করা হয়। স্পষ্ট প্রতিবেদন-ব্যবস্থা ও নির্ধারিত প্রক্রিয়া থাকলে গবেষকেরা কোনো সংস্থার সঙ্গে যোগাযোগ করবেন কি না, তা নিয়ে অনিশ্চিত না থেকে দুর্বলতা মেরামতে সহায়তা করতে পারবেন।

প্রস্তাবিত অন্যান্য ব্যবস্থার মধ্যে রয়েছে সরকারি ইমেইল ও প্রশাসনিক অ্যাকাউন্টে অতিরিক্ত যাচাইকরণ, নিয়মিত ডেটা সেন্টার নিরীক্ষা, তথ্যফাঁসের পর আক্রান্ত নাগরিকদের অবহিত করা এবং স্বাধীন তথ্য সুরক্ষা নিয়ন্ত্রক প্রতিষ্ঠা। এসব ব্যবস্থা কবে নেওয়া হবে, সে বিষয়ে নিশ্চিত তারিখ প্রতিবেদনে নেই।

এখনও নির্দিষ্ট কয়েকটি প্রশ্নের উত্তর মেলেনি: ফাঁস হওয়া কতটি অ্যাকাউন্ট সুরক্ষিত করা হয়েছে, চুরি হয়েছে বলে অভিযোগ করা ডেটাসেটগুলো সত্যতা যাচাইয়ে উত্তীর্ণ হয়েছে কি না, ইলেকট্রনিক দরপত্র কবে চালু হবে এবং পরিচয় সেবায় আরেক দফা সক্ষমতাজনিত বিঘ্ন কীভাবে ঠেকানো হবে। এসব বিষয়ে প্রকাশ্যে উত্তর পাওয়া গেলে অনলাইনে চালু করা সেবার সংখ্যা নয়, ফলাফল দেখে পুনরুদ্ধারের অগ্রগতি বিচার করা সম্ভব হবে।

মূল বিষয়গুলো

• নেপাল Have I Been Pwned-এ যুক্ত হওয়ার পর বহিরাগত তথ্যফাঁসে অন্তত ১৩৫টি সরকারি ইমেইল অ্যাকাউন্ট শনাক্ত হয়।
• প্রতিবেদিত তথ্যফাঁসের মধ্যে রয়েছে বিশ্ববিদ্যালয়ের নথি এবং পুলিশের প্রতিবেদন-সংক্রান্ত প্রায় ২০ লাখ নাগরিকত্বের নথি; শেষের সংখ্যাটি এখনও যাচাই করা হয়নি।
• ইলেকট্রনিক ক্রয় মামলায় ২০ জনের বেশি মানুষ গ্রেপ্তার হয়েছেন বলে খবর রয়েছে; আদালতের চূড়ান্ত রায়ের তথ্য দেওয়া হয়নি।
• ২০২৬ সালের সেপ্টেম্বরে কথিত র‍্যানসমওয়্যার হামলায় ৭২টি ব্রোকারেজকে সেবা দেওয়া ব্যবস্থা ব্যাহত হয় এবং এক দিনের জন্য শেয়ার লেনদেন বন্ধ থাকে।
• জাতীয় পরিচয় ব্যবস্থার সক্ষমতাজনিত সমস্যায় ১৬টির বেশি সংস্থার পরিচয় যাচাই কয়েক সপ্তাহ ব্যাহত হয়েছিল বলে খবর রয়েছে।
• নিরাপত্তা পর্যবেক্ষণ ও পরীক্ষা বেড়েছে, তবে তথ্যফাঁসের বিজ্ঞপ্তি, দায়িত্ব এবং পুনরুদ্ধারের কয়েকটি তারিখ এখনও অনির্ধারিত।