হোটেলে উঠতে, গাড়ি ভাড়া করতে বা কোনো অ্যাপে অ্যাকাউন্ট খুলতে আপনি হয়তো নিজের পরিচয়পত্র স্ক্যান করতে দিয়েছেন। কাজ শেষ, আপনিও ভুলে গেছেন। কিন্তু সেই ছবিটা কোথায় গেল, কত দিন থাকল, কে দেখতে পারে? সেপ্টেম্বরের শুরুতে উত্তর আমেরিকায় ঘটা একটি ঘটনা এই প্রশ্নটিকে সামনে এনেছে।

নিরাপত্তা সাংবাদিক ব্রায়ান ক্রেবস (Brian Krebs) ১ সেপ্টেম্বর জানান, ডার্ক ওয়েবে Nexus নামের একটি সেবা যুক্তরাষ্ট্র ও কানাডার ১৫ কোটি ৩০ লাখের বেশি ড্রাইভিং লাইসেন্সের স্ক্যান বিক্রির দাবি করছে। তাঁর অনুসন্ধান গিয়ে ঠেকে Louisiana-ভিত্তিক পরিচয় যাচাই কোম্পানি IDScan-এ। পরে কোম্পানিটি তাদের ক্লাউডে অননুমোদিত প্রবেশের সম্ভাবনার কথা স্বীকার করে। ঘটনাটি বাংলাদেশের নয়, তবে এর শিক্ষা আমাদের জন্য সরাসরি প্রাসঙ্গিক।

কী জানা গেছে, আর কী এখনো দাবি

এই ঘটনায় নিশ্চিত তথ্য আর অপরাধীদের দাবি আলাদা করে দেখা জরুরি।

  • বিক্রেতার দাবি: Nexus ১৫.৩ কোটির বেশি ড্রাইভিং লাইসেন্স ছাড়াও ১ কোটির বেশি পরিচয়পত্র, ৩০ লাখের বেশি ভ্রমণ নথি এবং অন্তত ৫ লাখ ৭৯ হাজার মেডিকেল কার্ডের কথা বলেছে। তারা আরও দাবি করেছে, এক বছরের বেশি সময় ধরে তথ্য সরানো হচ্ছিল।
  • ক্রেবসের যাচাই: তিনি নিজের লাইসেন্স সেখানে পান, আর পরিচিত নয়জনের লাইসেন্সের তারিখ তাঁদের ভ্রমণের সময়ের সঙ্গে মিলিয়ে দেখেন। ২৪ ঘণ্টায় রেকর্ডের সংখ্যা প্রায় ৪ লাখ বেড়েছিল, যা সক্রিয়ভাবে নতুন তথ্য আসার ইঙ্গিত দেয়।
  • কোম্পানির বক্তব্য: IDScan জানিয়েছে, একটি অননুমোদিত তৃতীয় পক্ষ তাদের ক্লাউডের গ্রাহক অ্যাকাউন্টের তথ্যে প্রবেশ করে থাকতে "পারে"। এর মধ্যে পুরো নাম এবং ড্রাইভিং লাইসেন্স বা সরকারি পরিচয়পত্রের নম্বর আছে। তারা ক্ষতিগ্রস্ত হতে পারেন এমন ব্যক্তিদের জানাচ্ছে এবং বিনা মূল্যে ক্রেডিট মনিটরিং দিচ্ছে।
  • যা নিশ্চিত নয়: TechCrunch-এর ১০ সেপ্টেম্বরের খবর অনুযায়ী কোম্পানি ক্ষতিগ্রস্তের সংখ্যা জানায়নি। তবে তাদের ওয়েবসাইটেই লেখা আছে, তাদের কাছে ১৫ কোটির বেশি লাইসেন্সের রেকর্ড আছে। BleepingComputer জানিয়েছে, লাইসেন্সের স্ক্যান চুরির কথা কোম্পানির নোটিশে নেই।
  • তদন্ত: FBI-র New Orleans কার্যালয় তদন্ত করছে। কোম্পানির বিরুদ্ধে মামলাও হয়েছে। প্রচার ছড়িয়ে পড়ার পর Nexus অফলাইনে চলে যায়, তবে তথ্য এখনো অপরাধীদের হাতে থাকতে পারে বলে BleepingComputer সতর্ক করেছে।

ক্রেবস কীভাবে IDScan পর্যন্ত পৌঁছালেন, সেটিও শেখার মতো। তিনি ও তাঁর মা একই সময়ে গাড়ি ভাড়ার কাউন্টারে লাইসেন্স দিয়েছিলেন, আর দুজনের স্ক্যানের সময়ের ব্যবধান ছিল মাত্র কয়েক সেকেন্ড। গবেষক জ্যাক এডওয়ার্ডসের (Zach Edwards) রেকর্ডের সময় মিলে যায় লাস ভেগাসের একটি দোকানে পরিচয়পত্র স্ক্যান করানোর দিনের সঙ্গে, যে দোকানচেইনের সঙ্গে IDScan-এর চুক্তির ঘোষণা ছিল। তালিকায় যুক্তরাষ্ট্রের প্রতিরক্ষামন্ত্রী পিট হেগসেথের (Pete Hegseth) রেকর্ডও পাওয়া যায়, আর পেন্টাগন TechCrunch-কে জানিয়েছে তারা বিষয়টি সম্পর্কে অবগত। মনে রাখবেন, এতে তথ্যের উৎস নিয়ে ইঙ্গিত মেলে, তবে ব্যবসা প্রতিষ্ঠানগুলোর কোনো দোষ প্রমাণিত হয় না।

অর্থাৎ "১৫ কোটি লাইসেন্স চুরি হয়েছে" কথাটি এখনো কোম্পানির স্বীকৃত হিসাব নয়। সংখ্যাটি এসেছে বিক্রেতার দাবি থেকে, যদিও ক্রেবসের মতে তা অতিরঞ্জিত নাও হতে পারে।

পরিচয় যাচাই কোম্পানির কাছে আসলে কী থাকে

এই কোম্পানিগুলো সাধারণ মানুষের কাছে প্রায় অদৃশ্য। আপনি মনে করেন, লাইসেন্সটা দিলেন গাড়ি ভাড়ার কাউন্টারে। কিন্তু পেছনে স্ক্যানটি যেতে পারে একটি তৃতীয় পক্ষের সিস্টেমে। IDScan-এর ব্যবহারকারীর তালিকায় আছে গাড়ি ভাড়া প্রতিষ্ঠান, খুচরা দোকান, আর্থিক প্রতিষ্ঠান ও আতিথেয়তা খাতের ব্যবসা। কোম্পানির নিজের হিসাবে তাদের সিস্টেম মাসে ২ কোটি ১০ লাখের বেশি যাচাই করে।

একটি রেকর্ডে কী থাকতে পারে, তার একটা ধারণা দিয়েছেন ক্রেবস নিজের রেকর্ড দেখিয়ে:

  • পরিচয়পত্রের সামনে ও পেছনের ছবি।
  • ইনফ্রারেড ও আল্ট্রাভায়োলেট আলোয় তোলা একই ছবি, যা কার্ডের আসল-নকল যাচাইয়ে কাজে লাগে।
  • স্ক্যানের তারিখ ও সময়। এই সময় দিয়েই তিনি বের করতে পেরেছিলেন, কোন দিন তিনি কোথায় লাইসেন্স দিয়েছিলেন।

শেষ বিষয়টি অনেকে খেয়াল করেন না। শুধু পরিচয় নয়, আপনি কোন জায়গায় কখন গিয়েছিলেন তার ছাপও এই ধরনের তথ্যে থাকতে পারে। আর পাসওয়ার্ড ফাঁস হলে বদলানো যায়, কিন্তু নাম, জন্মতারিখ বা মুখের ছবি বদলানো যায় না। এ কারণেই পরিচয়ের তথ্য ফাঁস দীর্ঘ সময় ধরে ঝুঁকি হয়ে থাকে।

TechCrunch মনে করিয়ে দিয়েছে, বিভিন্ন দেশে বয়স যাচাইয়ের আইন বাড়ার সঙ্গে সঙ্গে এই ঝুঁকি নিয়ে নিরাপত্তা বিশেষজ্ঞদের সতর্কতাও জোরালো হয়েছে: নথি যত দিন জমা থাকবে, চুরির ঝুঁকিও তত দিন থাকবে। এডওয়ার্ডস, যাঁর নিজের লাইসেন্সও এই তথ্যভাণ্ডারে পাওয়া গেছে, বলেছেন যারা এই তথ্য সংগ্রহ করে তাদের আরও কঠোর মানদণ্ডে আনা দরকার।

বাংলাদেশের জন্য বার্তা

Nexus-এর তথ্য মূলত যুক্তরাষ্ট্র ও কানাডার, তাই বাংলাদেশের সাধারণ নাগরিকের সরাসরি ক্ষতিগ্রস্ত হওয়ার প্রমাণ আমরা পাইনি। তবে আপনি বা আপনার পরিবারের কেউ ওই দুই দেশে থাকলে, বিশেষ করে সেখানে ড্রাইভিং লাইসেন্স থাকলে, বিষয়টি আপনাদের জন্য সরাসরি প্রযোজ্য।

দেশের ভেতরেও একই ধরনের কাঠামো আছে। Prothom Alo-র তথ্যমতে নির্বাচন কমিশনের ডেটাবেজে ১২ কোটির বেশি নাগরিকের তথ্য আছে, আর The Daily Star জানিয়েছিল, ২০২৫ সালের ফেব্রুয়ারিতে ১৮২টি প্রতিষ্ঠান এনআইডি যাচাই সেবা ব্যবহার করছিল। সে সময় কমিশনের প্রাথমিক তদন্তে পাঁচটি প্রতিষ্ঠান থেকে তৃতীয় পক্ষের কাছে তথ্য যাওয়ার প্রমাণ মেলার কথা জানানো হয়। ওই বছরের মে মাসে কমিশন আরও দুটি প্রতিষ্ঠানের যাচাই সেবা স্থগিত করে। অর্থাৎ ঝুঁকিটা শুধু মূল ডেটাবেজে নয়, যারা সেটি ব্যবহার করে তাদের প্রত্যেকের কাছেও। IDScan-এর ঘটনা সেই একই দুর্বলতার বড় সংস্করণ।

এর আগে ২০২৩ সালে TechCrunch জানিয়েছিল, বাংলাদেশের একটি সরকারি ওয়েবসাইট থেকে লাখ লাখ মানুষের নাম, ফোন নম্বর, ইমেইল ও জাতীয় পরিচয়পত্র নম্বর উন্মুক্ত হয়ে পড়েছিল। ফলে নিজের পরিচয়ের তথ্য একবারও বাইরে যায়নি, এমন নিশ্চয়তা কারও পক্ষেই দেওয়া কঠিন। তাই নিচের অভ্যাসগুলো শুধু উত্তর আমেরিকার মানুষের জন্য নয়, আপনার জন্যও প্রযোজ্য।

নিজেকে সুরক্ষিত রাখবেন কীভাবে

আপনার তথ্য কোনো কোম্পানির সার্ভারে কতটা নিরাপদ, তা আপনি নিয়ন্ত্রণ করতে পারবেন না। তবে নিজের ঝুঁকি কমানোর কিছু উপায় আছে।

  • অপ্রয়োজনে দেবেন না: কেউ এনআইডি বা পাসপোর্টের ছবি চাইলে জিজ্ঞেস করুন কেন দরকার, কত দিন রাখবে। শুধু দেখালে চলে কি না সেটাও জেনে নিন।
  • ছবি ছড়াবেন না: সামাজিক মাধ্যম, গ্রুপ বা মেসেজে পরিচয়পত্রের ছবি পোস্ট করবেন না। ফটোকপি দিতে হলে তার ওপর কাজের নাম ও তারিখ লিখে দিন, যাতে অন্য কাজে ব্যবহার কঠিন হয়।
  • সিম যাচাই করুন: *16001# ডায়াল করে এনআইডির শেষ চার সংখ্যা দিলে আপনার নামে নিবন্ধিত সিমের তথ্য জানা যায়। অচেনা নম্বর দেখলে অপারেটরের সঙ্গে যোগাযোগ করুন।
  • ফিশিংয়ে সতর্ক থাকুন: তথ্য ফাঁসের পর প্রতারকেরা আসল তথ্য দেখিয়ে বিশ্বাস অর্জনের চেষ্টা করতে পারে। অপ্রত্যাশিত ফোন, এসএমএস বা ইমেইলে কখনো ওটিপি বা পিন দেবেন না।
  • আর্থিক হিসাবে নজর রাখুন: ব্যাংক ও মোবাইল আর্থিক সেবায় লেনদেনের নোটিফিকেশন চালু রাখুন, যেখানে সম্ভব দুই ধাপের যাচাই ব্যবহার করুন। অচেনা লেনদেন বা অচেনা অ্যাকাউন্ট দেখলে সঙ্গে সঙ্গে জানান।
  • যুক্তরাষ্ট্রে থাকলে: সেখানকার Federal Trade Commission তিনটি ক্রেডিট ব্যুরোতে বিনা মূল্যে ক্রেডিট ফ্রিজ করার পরামর্শ দেয়। পরিচয় চুরি হলে IdentityTheft.gov-এ রিপোর্ট করা যায়।

যাঁরা পরিচয়পত্র সংগ্রহ করেন, তাঁদের জন্য

আপনি যদি স্টার্টআপ, ই-কমার্স বা আর্থিক সেবায় কাজ করেন, এই ঘটনা আপনার জন্যও একটি চেকলিস্ট। যাচাই শেষে মূল ছবি রাখার সত্যিই দরকার আছে কি না ভাবুন, আইনি বাধ্যবাধকতা না থাকলে নির্দিষ্ট সময় পর মুছে ফেলুন। তথ্য এনক্রিপ্ট করে রাখুন, কে কখন দেখল তার লগ রাখুন, আর তৃতীয় পক্ষের ভেন্ডরের নিরাপত্তা ও চুক্তি যাচাই করুন। Gizmodo-তে উঠে আসা একটি প্রস্তাবও ভেবে দেখার মতো: পুরো নথি না নিয়ে শুধু "বয়স ২১-এর বেশি" ধরনের তথ্যটুকু প্রমাণ করা। যে তথ্য আপনার কাছে নেই, সেটি আপনার সার্ভার থেকে চুরিও হবে না।

সূত্র