একটি মোবাইল নম্বর, একটি জাতীয় পরিচয়পত্রের তথ্য, একটি ওটিপির সঙ্গে কয়েকটি ব্যক্তিগত ছবি। এতটুকু তথ্যই এখন একজন মানুষের পুরো ডিজিটাল পরিচয় দখলের জন্য যথেষ্ট হতে পারে। ভুল হাতে গেলে সেই পরিচয় দিয়েই খোলা হতে পারে ব্যাংক বা এমএফএস হিসাব, নেওয়া হতে পারে ঋণ, চালানো হতে পারে প্রতারণামূলক লেনদেন।

অর্থাৎ চুরি হচ্ছে শুধু টাকা নয়, চুরি হচ্ছে একজন মানুষের পরিচয়। প্রযুক্তিনির্ভর জীবনে ফিশিং, ভুয়া কাস্টমার কেয়ার, সিম সোয়াপ ও কেওয়াইসি প্রক্রিয়ার দুর্বলতাকে কাজে লাগিয়ে ব্যক্তিগত তথ্য সংগ্রহ করছে প্রতারকরা। সবচেয়ে ভয়ংকর বিষয়— অনেক ভুক্তভোগী জানতেই পারেন না কখন তাদের এনআইডি, মোবাইল নম্বর বা ব্যাংকিং তথ্য অন্যের নিয়ন্ত্রণে চলে গেছে।

সেই তথ্য কোথায় যাচ্ছে, কার হাতে জমা হচ্ছে এবং ফাঁস হলে দায় নিচ্ছে কে— এসব প্রশ্নের উত্তরও অনেক ক্ষেত্রে অস্বচ্ছ। রূপালী বাংলাদেশের অনুসন্ধানে খোঁজা হয়েছে, একটি মানুষের ডিজিটাল পরিচয় কীভাবে চুরি হচ্ছে, সেই পরিচয় কীভাবে অর্থ হাতানোর অস্ত্রে পরিণত হচ্ছে এবং এই তথ্যভিত্তিক প্রতারণার নেটওয়ার্ক কতটা বিস্তৃত। অনুসন্ধানে উঠে এসেছে ব্যক্তিগত তথ্য।

এখন আর শুধু তথ্য নয়, প্রতারকদের কাছে এটি টাকা বানানোর সবচেয়ে মূল্যবান সম্পদগুলোর একটি। রাজধানীর কারওয়ান বাজারের রড-সিমেন্ট ব্যবসায়ী আলতাফ হোসেন বুঝতেই পারেননি, তার পরিচয়ই একসময় তার বিরুদ্ধে ব্যবহার করা হবে। গত মার্চ মাসের এক রাতে হঠাৎ তার মোবাইল ফোনের নেটওয়ার্ক সিগন্যাল বন্ধ হয়ে যায়। অপারেটরের কারিগরি সমস্যা ভেবে বিষয়টি এড়িয়ে যাওয়ার মাত্র ৪০ মিনিট পর ই-মেইলে একের পর এক ব্যাংক লেনদেনের নোটিফিকেশন আসে।

হিসাব যাচাই করে তিনি দেখেন, কয়েক মিনিটের ব্যবধানে তিনটি লেনদেনে তার ১২ লাখ টাকা চলে গেছে অপরিচিত একটি হিসাবে। সিআইডির সাইবার পুলিশের ফরেনসিক তদন্তে, তার বর্ণিত ঘটনায়, উঠে আসে সিম সোয়াপিংয়ের একটি সংঘবদ্ধ প্রক্রিয়া। তদন্তসংশ্লিষ্ট তথ্য অনুযায়ী, প্রথমে সংগ্রহ করা হয় আলতাফের এনআইডি নম্বর ও ব্যক্তিগত তথ্য। এরপর তার পরিচয় ব্যবহার করে অপরাধীর ছবিসহ একটি কথিত ‘সিন্থেটিক এনআইডি’ তৈরি করা হয়।

সেটি ব্যবহার করে নেওয়া হয় তার মোবাইল নম্বরের ডুপ্লিকেট সিম। নতুন সিম সক্রিয় হওয়ার সঙ্গে সঙ্গেই অচল হয়ে যায় আসল সিম। এরপর ব্যাংকের ওটিপি, পাসওয়ার্ড রিসেট কোডসহ গুরুত্বপূর্ণ নিরাপত্তা বার্তা যেতে থাকে অপরাধীদের হাতে। কয়েক মিনিটেই ব্যাংক হিসাব থেকে সরিয়ে নেওয়া হয় অর্থ। ঘটনাটির ভয়াবহতা এখানেই— অপরাধীরা আলাদা করে ব্যাংক ভাঙেনি, মোবাইলও ছিনতাই করেনি; তারা প্রথমে দখলে নিয়েছে একজন মানুষের পরিচয়, এরপর সেই পরিচয়ের সঙ্গে যুক্ত মোবাইল নম্বর, আর শেষ পর্যন্ত অর্থের নিয়ন্ত্রণ।

অর্থাৎ এনআইডির একটি তথ্য থেকে শুরু হওয়া আক্রমণ কয়েক ধাপে পৌঁছে যেতে পারে ব্যাংক হিসাব পর্যন্ত। আলতাফের ঘটনা আরও একটি প্রশ্ন সামনে আনে, একজন নাগরিকের এনআইডি তথ্য অপরাধীর হাতে গেল কীভাবে, সেই তথ্য দিয়ে পরিচয় যাচাইয়ের ধাপগুলো কীভাবে পার হলো এবং ডুপ্লিকেট সিম ইস্যুর সময় কোথায় ব্যর্থ হলো নিরাপত্তাব্যবস্থা? ডিজিটাল পরিচয় চুরির এই শৃঙ্খলে একটি ধাপ দুর্বল হলেই কি পরের সব দরজা খুলে যায়?

অনুসন্ধানে এসব প্রশ্নের উত্তর খুঁজতে গিয়ে সামনে এসেছে পরিচয় চুরি, কেওয়াইসি, সিম নিবন্ধন ও ব্যাংকিং নিরাপত্তার মধ্যকার একটি বিপজ্জনক যোগসূত্র। এনআইডি কীভাবে হাতছাড়া হচ্ছে : একটি ফিশিং লিংকে ক্লিক, একটি ফোনকল কিংবা একটি অসতর্ক অ্যাপ ব্যবহারের মাধ্যমেই হাতছাড়া হতে পারে এনআইডির তথ্য। অনুসন্ধানে দেখা গেছে, কখনো বাংলাদেশ ব্যাংক, বিআরটিএ বা নির্বাচন কমিশনের আদলে তৈরি ভুয়া ওয়েবসাইটে এনআইডি সংশোধন বা অ্যাকাউন্ট বন্ধের ভয় দেখিয়ে তথ্য ও ওটিপি নেওয়া হচ্ছে।

আবার ব্যাংক, বিকাশ বা নগদের কর্মকর্তা পরিচয়ে ফোন করে সংগ্রহ করা হচ্ছে জন্মতারিখ, এনআইডি ও অন্যান্য ব্যক্তিগত তথ্য। লোন, ফটো এডিটিংসহ বিভিন্ন অ্যাপও অপ্রয়োজনীয় পারমিশনের মাধ্যমে ছবি, কনট্যাক্ট, এসএমএস ও পরিচয়পত্রের তথ্য সংগ্রহের ঝুঁকি তৈরি করছে। এর সঙ্গে যুক্ত হচ্ছে বিভিন্ন উৎস থেকে ফাঁস হওয়া এনআইডি, মোবাইল নম্বর ও ঠিকানা এবং সামাজিক যোগাযোগ মাধ্যমে প্রকাশিত ব্যক্তিগত তথ্য।

ফলে এনআইডি এক জায়গা, ছবি আরেক জায়গা, মোবাইল নম্বর অন্য উৎস থেকে সংগ্রহ করে অপরাধীরা তৈরি করছে একটি পূর্ণাঙ্গ ডিজিটাল প্রোফাইল। অর্থাৎ এনআইডি ডেটাবেজে সরাসরি হামলা না চালিয়েও খণ্ডিত তথ্য জোড়া লাগিয়ে একজন মানুষের পরিচয় দখল করা সম্ভব। সেই পরিচয়ই পরে ব্যবহৃত হচ্ছে সিম সোয়াপিং, ভুয়া ই-কেওয়াইসি, ব্যাংক হিসাব খোলা ও ঋণ জালিয়াতিতে।

১৭ মিনিটে মিলছে এনআইডি : রূপালী বাংলাদেশের অনুসন্ধানে একটি ফেসবুক পেজের সূত্র ধরে একটি টেলিগ্রাম লিংকের সন্ধান পাওয়া যায়। লিংকটি ‘ভোটার লিস্ট’ নামের একটি গ্রুপে নিয়ে যায়। সেখানে ‘মিরাজ মাহমুদ’ নামের একটি অ্যাকাউন্ট থেকে লেখা হয়, ‘নম্বর থেকে এনআইডি বের করতে ইনবক্স করুন। ’ ক্রেতা সেজে যোগাযোগ করলে তিনি জানান, মোবাইল নম্বর দিয়ে ওই সিমের নিবন্ধিত মালিকের এনআইডি বের করে দিতে পারবেন।

একজন গ্রাহকের সম্মতি নিয়ে তার মোবাইল নম্বর ও অগ্রিম হিসেবে ৫০০ দেওয়া হয় মিরাজকে। আর তিনি ১৭ মিনিটের মধ্যেই এনআইডি কার্ডের পিডিএফ পাঠিয়ে দেন। যাচাই করে দেখা যায়, নাম, ছবি, জন্মতারিখসহ সব তথ্য সিমটির প্রকৃত মালিকের। এমনকি দুই মাস আগে সংশোধন করা তার মায়ের নামও হালনাগাদ ছিল। আরেকটি নম্বর দিয়ে একইভাবে যাচাই করেও সঠিক তথ্য পাওয়া যায়।

গ্রুপটির অ্যাডমিন ‘হেল্প বিডি’ নামের একটি অ্যাকাউন্ট থেকে এই ‘সেবা’ বা ‘সার্ভিস’ বিক্রির প্রচার করছিলেন। তার পোস্টে এনআইডির ‘সাইন কপি’ ও ‘সার্ভার কপি’ ছাড়াও জন্ম ও মৃত্যু নিবন্ধন, মোবাইলের অবস্থান, কল ডিটেইল রেকর্ড (সিডিআর), এসএমএস তালিকা, আইএমইআই নম্বর, টিন সনদ, পুলিশ ক্লিয়ারেন্স, পাসপোর্টের কপি ও ভূমি উন্নয়ন করের খাজনার কপিও বিক্রির প্রস্তাব ছিল।

গত ২৫ আগস্ট ক্রেতা সেজে অ্যাডমিনের সঙ্গে যোগাযোগ করে রূপালী বাংলাদেশ। মোবাইল নম্বর বা ভোটার নম্বর দিয়ে কী তথ্য পাওয়া যাবে, জানতে চাইলে তিনি বলেন, ‘আমার কাছে ওয়েবসাইট আছে। আমি সার্ভার কপিটা বের করে পিডিএফ দেব। ’ ১৫০ টাকা পাঠিয়ে একটি ভোটার নম্বর ও জন্মতারিখ দেওয়া হলে তিনি একটি এনআইডি কার্ডের পিডিএফ পাঠান। যাচাইয়ে সেটি সঠিক পাওয়া যায়।

এরপর ২৫০ টাকা দিয়ে পরিচিত আরেক ব্যক্তির সম্মতি নিয়ে তার মোবাইল নম্বরের ‘সাইন কপি’ চাওয়া হয়। কিছুক্ষণের মধ্যেই সেটিও পাওয়া যায়। জানতে চাইলে সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা রূপালী বাংলাদেশকে বলেন, পরিচয় জালিয়াতির ধরন এখন আগের চেয়ে অনেক বেশি প্রযুক্তিনির্ভর। অপরাধীরা শুধু আসল এনআইডি হুবহু নকল করার চেষ্টা করছে না; বরং একজন প্রকৃত নাগরিকের নাম, ঠিকানা ও এনআইডি নম্বর ঠিক রেখে সেখানে অন্য ব্যক্তির ছবি বসিয়ে তৈরি করছে কৃত্রিম বা ‘সিন্থেটিক পরিচয়’।

জেনারেটিভ এআইয়ের সাহায্যে নথির ছবি ও অন্যান্য দৃশ্যমান উপাদানও এমনভাবে পরিবর্তন করা সম্ভব হচ্ছে, যা সাধারণ চোখে শনাক্ত করা কঠিন। ১৬ মিনিটে মিলছে অবস্থান, কয়েক ঘণ্টায় কল বিবরণী : ব্যক্তিগত তথ্য এখন অনলাইনেই বিক্রির পণ্য। রূপালী বাংলাদেশের অনুসন্ধানে এমন ১০টি সক্রিয় ওয়েবসাইট এবং ফেসবুকে অর্ধশতাধিক বেশি পোস্টের সন্ধান মিলেছে, যেখানে এনআইডি, কল ডিটেইলস রেকর্ড (সিডিআর), মোবাইল লোকেশন, এসএমএস, টিআইএন ও পাসপোর্টসহ বিভিন্ন সংবেদনশীল তথ্য বিক্রির বিজ্ঞাপন ছিল।

সেবা নিতে টেলিগ্রাম অ্যাপের মাধ্যমে একটি গ্রামীণফোন নম্বরের তিন মাসের সিডিআর চাইতেই জানানো হয়, ১ হাজার ৫০ টাকা দিলে মিলে যাবে সব তথ্য। টাকা দেওয়ার ১৬ মিনিটের মধ্যে ওই নম্বরের সর্বশেষ সক্রিয় সময়, মোবাইল টাওয়ারভিত্তিক অবস্থান, ঠিকানা ও ম্যাপের লিংক— সব কিছু পিডিএফ ফাইল আকারে পাঠিয়ে দেয় চক্রটি। সিডিআরে কার সঙ্গে কখন ও কতক্ষণ কথা হয়েছে, কলটি করা নাকি গ্রহণ করা হয়েছিল এবং তখন ফোনটি টুজি না ফোরজি নেটওয়ার্কে ছিল— এসব তথ্য রয়েছে।

এতে মোবাইল সেট শনাক্তকারী আইএমইআই এবং সিম শনাক্তকারী আইএমএসআই নম্বরও পাওয়া যায়। ফলে একটি সিম কোন মোবাইল সেটে ব্যবহার করা হয়েছে, তা শনাক্ত করা সম্ভব। কল বা এসএমএসের সময় নম্বরটি কোন এলাকার মোবাইল টাওয়ার বা নেটওয়ার্ক সেলের আওতায় ছিল, সেই তথ্যও ফাইলটিতে রয়েছে। দীর্ঘ সময়ের এমন রেকর্ড বিশ্লেষণ করে একজন ব্যক্তির আনুমানিক চলাচলও শনাক্ত করা সম্ভব।

ফেসবুক পোস্ট ও সংশ্লিষ্ট হোয়াটসঅ্যাপ-টেলিগ্রাম গ্রুপ বিশ্লেষণ করে ব্যক্তিগত তথ্য বিক্রির ১১টি সক্রিয় ওয়েবসাইটের সন্ধান পেয়েছে রূপালী বাংলাদেশ। অনুসন্ধানের স্বার্থে সাইটগুলোতে নিবন্ধন করে দেখা যায়, প্রায় সব কটির নকশা ও কার্যপদ্ধতি একই। ড্যাশবোর্ডে এনআইডি, জন্মনিবন্ধন, টিন সনদ, সিডিআর ও মোবাইলের অবস্থানসহ বিভিন্ন তথ্যের দাম দেওয়া আছে।

এগুলোর মধ্যে অন্তত একটি ২০২৫ সালে নিবন্ধিত। অনুসন্ধান করে এমন একটি ওয়েবসাইটের মালিকের সন্ধান মেলে, যিনি রাজধানীর বংশালে মোবাইল ফোন মেরামতের কাজ করেন। বংশালের সেই ওয়েবসাইট মালিক জানান, তিনি মোবাইল গ্রাহকদের কল লিস্ট আটশ টাকা দিয়ে কিনে নয়শ টাকায় বিক্রি করেন। এক হাজার টাকা দিলে কোন বিকাশ নম্বর কোন আইডি কার্ড দিয়ে খোলা, ওই আইডি কার্ডটা দেওয়া হয়, আর চার হাজার পাঁচশ টাকা দিলে বিকাশের স্টেটমেন্টও বের করা যায়।

তিনি বলেন, আরেকটি দলের কাছ থেকে তিনি তথ্য নেন এবং এই দলটি মূলত অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস বা এপিআই ব্যবহার করে সরকারি সার্ভার বাইপাস করে এসব তথ্য সংগ্রহ করে। তিনি আরও দাবি করেন, পুলিশের যে মেইন ডেটাবেজ আছে, যেখান থেকে এনআইডি ও জন্মতারিখ দিয়ে সার্চ করলে বিস্তারিত তথ্য পাওয়া যায়, সেটাকে ওরা এপিআই বানিয়েছে। চ্যাট জিপিটি ব্যবহার করে হোস্ট কিনে এপিআই বানিয়ে তারা মাত্র দুই-তিন টাকায় একেকটি এনআইডির তথ্য বিক্রি করছে।

কী বলছে সংস্থাগুলো : বাংলাদেশ টেলিযোগাযোগ নিয়ন্ত্রণ কমিশন (বিটিআরসি), জাতীয় টেলিযোগাযোগ পর্যবেক্ষণকেন্দ্র (এনটিএমসি) ও পুলিশ হেডকোয়ার্টারসহ ১০টির বেশি আইন প্রয়োগকারী সংস্থার অপারেটরটির বিভিন্ন গুরুত্বপূর্ণ সিস্টেমে প্রবেশাধিকার রয়েছে। এর মাধ্যমে তারা গ্রাহকদের কল ডিটেইল রেকর্ড ও সিম নিবন্ধনে ব্যবহৃত ব্যক্তিগত তথ্য দেখতে ও পর্যবেক্ষণ করতে পারে।

জানতে চাইলে ডাক, টেলিযোগাযোগ ও তথ্য-প্রযুক্তিমন্ত্রী ফকির মাহবুব আনাম বলেন, নাগরিকদের ব্যক্তিগত তথ্য এভাবে বিক্রি হওয়া, ফাঁস হওয়া চলতে দেওয়া যায় না। নিয়ন্ত্রক সংস্থা বিটিআরসিসহ আইন-শৃঙ্খলা রক্ষাকারী বাহিনীর সঙ্গে সমন্বয় করে দ্রুত এই চক্রকে খুঁজে বের করে আইনের আওতায় আনতে সরকার কাজ করছে। টেলিযোগাযোগ খাতের নিয়ন্ত্রক প্রতিষ্ঠান বাংলাদেশ টেলিযোগাযোগ নিয়ন্ত্রণ কমিশন (বিটিআরসি)।

গ্রাহকদের ব্যক্তিগত তথ্যের নিরাপত্তা দেখার দায়িত্বও তাদের। বিটিআরসির চেয়ারম্যান মেজর জেনারেল (অব.) এমদাদ উল বারী বলেন, নাগরিকদের ব্যক্তিগত তথ্য যদি এভাবে বিক্রি হয়, সেটি রাষ্ট্রের নিরাপত্তার জন্য ঝুঁকিপূর্ণ। এ বিষয়ে আইনপ্রয়োগকারী সংস্থার সঙ্গে মিলে বিটিআরসি কাজ করছে। নির্বাচন কমিশনের জাতীয় পরিচয় নিবন্ধন অনুবিভাগের (এনআইডি) মহাপরিচালক আবুল হাসনাত মুহম্মদ আনোয়ার পাশা বলেন, নির্বাচন কমিশনের মূল এনআইডি কেন্দ্রীয় ডাটাবেস কঠোর নিরাপত্তাব্যবস্থার মধ্যে রয়েছে।

তার দাবি, মূল সার্ভারে সরাসরি অনুপ্রবেশের সুযোগ নেই। তবে নাগরিকের তথ্য সুরক্ষার ক্ষেত্রে ঝুঁকি শুধু কেন্দ্রীয় ডাটাবেসে নয়; বরং এনআইডি ভেরিফিকেশন সেবা ব্যবহারকারী ব্যাংক, মোবাইল অপারেটরসহ বিভিন্ন সরকারি-বেসরকারি প্রতিষ্ঠানের নিজস্ব সিস্টেম ও সার্ভারেও তৈরি হতে পারে। এসব প্রতিষ্ঠানের নিরাপত্তা দুর্বল হলে ভেরিফিকেশনের সময় ব্যবহৃত তথ্য অননুমোদিতভাবে সংগ্রহ বা ফাঁস হওয়ার আশঙ্কা থাকে।

এই ঝুঁকি কমাতে এনআইডি কর্তৃপক্ষ অডিট লগ ট্র্যাকিং ও ডাটা সুরক্ষাব্যবস্থা জোরদারের উদ্যোগ নিয়েছে বলে তিনি জানান। কোন প্রতিষ্ঠান কখন, কী উদ্দেশ্যে এবং কতবার কোনো নাগরিকের তথ্য যাচাই করছে এসব কার্যক্রম পর্যবেক্ষণের মাধ্যমে অস্বাভাবিক অ্যাক্সেস শনাক্ত করার চেষ্টা করা হচ্ছে। কোনো ভেরিফিকেশন পার্টনারের নিরাপত্তাব্যবস্থায় গুরুতর ত্রুটি ধরা পড়লে তার ভেরিফিকেশন সুবিধা স্থগিত বা বাতিল করার মতো নিয়ন্ত্রক ব্যবস্থা নেওয়ার কথাও জানানো হয়েছে।