ডার্কওয়েবে SBI-র তথ্য ফাঁস, কতটা সুরক্ষিত আপনার সঞ্চয়? যা জানাচ্ছেন সাইবার বিশেষজ্ঞ
সন্দীপ সেনগুপ্তের পরামর্শ, যাঁদের তথ্য ফাঁস হয়েছে বলে আশঙ্কা রয়েছে, তাঁদের আরও সতর্ক হওয়া প্রয়োজন। তিনি এমনকি ব্যাঙ্কে রেজিস্টার্ড মোবাইল নম্বর পরিবর্তন এবং নতুন ব্যাঙ্ক অ্যাকাউন্ট খোলার কথাও বলেছেন।
ব্যাঙ্কের কাছে আপনার শুধু টাকা জমা থাকে না, থাকে ব্যক্তিগত তথ্যের বিপুল ভাণ্ডারও। অপরিচিত কোনও ফোন থেকে যখন কেউ আপনার ঋণের পরিমাণ, ব্যাঙ্কের নাম কিংবা ব্যক্তিগত বিবরণ নির্ভুলভাবে বলে দেয়, তখন তাকে বিশ্বাস করার সম্ভাবনা বেড়ে যায়। আর সেই বিশ্বাসকেই কাজে লাগাতে পারে সাইবার অপরাধীরা।
স্টেট ব্যাঙ্ক অফ ইন্ডিয়া (SBI)-র গ্রাহকদের তথ্য ডার্কওয়েবে ফাঁস হওয়ার যে দাবি সামনে এসেছে, তা ঘিরে এই আশঙ্কাই তুলে ধরেছেন সাইবার নিরাপত্তা বিশেষজ্ঞ সন্দীপ সেনগুপ্ত। ইনস্ক্রিপ্টের সঙ্গে কথোপকথনে তাঁর বক্তব্য, ব্যক্তিগত তথ্য অপরাধীদের হাতে পৌঁছলে গ্রাহকদের বেছে বেছে প্রতারণার লক্ষ্য করার ঝুঁকি বাড়ে। তবে, তথ্য ফাঁসের ঘটনা ঘটেছে বলেই ব্যাঙ্কের মূল অ্যাকাউন্ট বা সঞ্চয়ের টাকা সরাসরি হাতিয়ে নেওয়া হয়েছে, এমনটাও ধরে নেওয়া যায় না।
ঠিক কী তথ্য ফাঁস হয়েছে?
SBI-র ২১ অক্টোবরের শেয়ারবাজারে দেওয়া বিবৃতি অনুযায়ী, ১৬ অক্টোবর ব্যাঙ্কটি তার Threat Intelligence Service Provider, Defence Cyber Agency এবং Indian Computer Emergency Response Team (CERT-In)-এর কাছ থেকে ডার্কওয়েবে গ্রাহকদের তথ্য প্রকাশ্যে চলে আসার বিষয়ে সতর্কবার্তা পায়। প্রাথমিক পর্যায়ে ডার্কওয়েবে পাওয়া প্রায় ৩ লক্ষ ৭৫ হাজার রেকর্ড পরীক্ষা করে ৩,৮৯৭টি গ্রাহক-রেকর্ডে ব্যক্তিগতভাবে শনাক্ত করা যায় এমন তথ্য (Personally Identifiable Information বা PII) চিহ্নিত করা হয়েছে।
সম্ভাব্যভাবে প্রকাশিত তথ্যের তালিকায় রয়েছে—গ্রাহকের নাম ও লিঙ্গ, রেজিস্টার্ড মোবাইল নম্বর, জন্মতারিখ, ইমেল অ্যাড্রেস ও বাড়ির ঠিকানা, ব্যাঙ্কের শাখা ও Customer Information File (CIF) সংক্রান্ত পরিচিতি নম্বর, লিড আইডি এবং ঋণ বা ঋণের আবেদন সংক্রান্ত কিছু তথ্য ও মেটাডেটা।
এখানে একটি গুরুত্বপূর্ণ পার্থক্য রয়েছে। ডার্কওয়েবে পাওয়া মোট রেকর্ডের সংখ্যা আর ব্যক্তিগত তথ্য-সহ শনাক্ত হওয়া গ্রাহক-রেকর্ডের সংখ্যা এক নয়। প্রাথমিক পরীক্ষায় ৩,৮৯৭টি রেকর্ডে ব্যক্তিগত তথ্য পাওয়া গেলেও বাকি রেকর্ডগুলির প্রকৃতি, তথ্যের সত্যতা এবং কতজন গ্রাহক শেষ পর্যন্ত প্রভাবিত হয়েছেন, তা নিয়ে তদন্ত প্রয়োজন। এই তথ্য থেকেই ৩ লক্ষ ৭৫ হাজার গ্রাহকের সব ব্যক্তিগত তথ্য ফাঁস হয়েছে বলে সিদ্ধান্তে পৌঁছনো যাবে না।
২৩ অক্টোবর SBI জানায়, যাঁদের তথ্য প্রাথমিক পরীক্ষায় চিহ্নিত হয়েছে, তাঁদের ইমেল এবং/অথবা WhatsApp-এর মাধ্যমে আলাদাভাবে জানানো হয়েছে। ব্যাঙ্কের বক্তব্য, গ্রাহকদের অ্যাকাউন্টের ব্যালান্স ও অর্থ নিরাপদ রয়েছে। তবে তথ্যের উৎস, সম্পূর্ণতা এবং কীভাবে তা বাইরে পৌঁছল, তা নির্ধারণে তদন্ত চলছে।
কারা করল তথ্য ফাঁস?
এই মুহূর্তে সবচেয়ে গুরুত্বপূর্ণ এই প্রশ্নের উত্তর এখনও অজানা। SBI-র প্রকাশ্য বিবৃতিতে তথ্য ফাঁসের জন্য কোনও নির্দিষ্ট ব্যক্তি, হ্যাকার গোষ্ঠী বা সংস্থাকে দায়ী করা হয়নি। ব্যাঙ্ক জানিয়েছে, ঘটনার প্রকৃতি ও ব্যাপ্তি খতিয়ে দেখতে CERT-In-অনুমোদিত একটি স্বাধীন সাইবার নিরাপত্তা সংস্থাকে নিয়োগ করা হয়েছে।
তবে সাইবার নিরাপত্তা পর্যবেক্ষণকারী একটি অ্যাকাউন্টের পোস্টের পর ‘Siriusim’ নামের একটি গোষ্ঠী SBI-র সঙ্গে সম্পর্কিত বলে দাবি করা তথ্যভাণ্ডার প্রকাশের দাবি করে। সংবাদমাধ্যমের প্রতিবেদন অনুযায়ী, তাদের দাবি ছিল, প্রায় ৩ লক্ষ ৭৫ হাজার ডেটা এন্ট্রির পাশাপাশি ২,৭২২টি PDF নথি রয়েছে। কিন্তু কোনও গোষ্ঠী নিজে দায় স্বীকার করলেই সেটি স্বাধীনভাবে প্রমাণিত হয় না। SBI-ও এখনও প্রকাশ্যে নিশ্চিত করেনি যে ওই গোষ্ঠীই তথ্য ফাঁসের জন্য দায়ী।
সাইবার বিশেষজ্ঞ সন্দীপ সেনগুপ্তের মতে, এমন ঘটনায় তথ্য কীভাবে বাইরে গেল, তা খতিয়ে দেখা জরুরি। ব্যাঙ্কের নিজস্ব নিরাপত্তাব্যবস্থা, সাইবার নজরদারি, অডিট এবং তথ্যের অ্যাক্সেস নিয়ন্ত্রণ—প্রতিটি স্তরের ভূমিকা তদন্তে দেখা প্রয়োজন। তাঁর বক্তব্য, এই ধরনের ঘটনা একাধিক স্তরের নিরাপত্তা ব্যবস্থার কার্যকারিতা নিয়ে প্রশ্ন তোলে।
ব্যক্তিগত তথ্য ফাঁস হলে কী কী ঝুঁকি?
সন্দীপ সেনগুপ্তের ব্যাখ্যা, সাইবার অপরাধীরা সাধারণত প্রথমে সম্ভাব্য শিকারকে চিহ্নিত করে। কার আর্থিক লেনদেনের পরিমাণ বেশি, কে ঋণ নিয়েছেন, কার বয়স বেশি কিংবা কাকে কোন ধরনের প্রলোভন দেখালে বিশ্বাস করানো সহজ; এই ধরনের তথ্য তাদের প্রতারণার কৌশল নির্ধারণে সাহায্য করতে পারে।
ব্যাঙ্কের নাম করে ফোন করে প্রতারণা
ধরা যাক, কেউ ফোন করে আপনার নাম, ঠিকানা, ঋণের পরিমাণ বা ব্যাঙ্কের শাখার বিবরণ নির্ভুলভাবে বলে দিল। এরপর জানাল, আপনার অ্যাকাউন্টে সমস্যা হয়েছে বা ঋণের কিস্তি বকেয়া রয়েছে। ব্যক্তিগত তথ্য মিলে যাওয়ায় ফোনের অন্য প্রান্তে থাকা ব্যক্তিকে ব্যাঙ্কের প্রতিনিধি বলে বিশ্বাস করার সম্ভাবনা তৈরি হয়। তারপর OTP, PIN, পাসওয়ার্ড বা অন্য গোপন তথ্য হাতিয়ে নেওয়ার চেষ্টা হতে পারে।
ফিশিং লিঙ্ক ও ভুয়ো ওয়েবসাইট
- আপনার জন্য আরও কিছু লেখা
SBI Data Leak: SBI-এর ৩,৮৯৭ গ্রাহকের ব্যক্তিগত তথ্য ডার্ক ওয়েবে ফাঁস হওয়ার ঘটনায় কতটা ঝুঁকিতে আপনার ব্যাঙ্ক অ্যাকাউন্ট? সাইবার প্রতারণা থেকে নিজের টাকা সুরক্ষিত রাখতে কী কী সতর্কতা অবলম্বন করবেন?
ইমেল বা SMS-এ এমন বার্তা আসতে পারে, যেখানে বলা হবে KYC আপডেট করতে হবে, অ্যাকাউন্ট বন্ধ হয়ে যাবে কিংবা ঋণ সংক্রান্ত নথি যাচাই করা জরুরি। লিঙ্কে ক্লিক করে ভুয়ো ওয়েবসাইটে ব্যাঙ্কিংয়ের গোপন তথ্য দিলে তা অপরাধীদের হাতে চলে যেতে পারে।
ঋণ ও আর্থিক নথি ব্যবহার করে প্রতারণা
ঋণ বা লোন-সংক্রান্ত তথ্য অপরাধীদের কাছে থাকলে তারা সেই বিবরণ ব্যবহার করে ভুয়ো ঋণ-সংক্রান্ত ফোন, নথি যাচাইয়ের অনুরোধ বা অন্য আর্থিক প্রতারণার চেষ্টা করতে পারে। তবে শুধু নাম, জন্মতারিখ বা ঠিকানা ফাঁস হলেই কেউ আপনার নামে ঋণ নিয়ে নিতে পারবে, এমন নয়। তার জন্য সাধারণত আরও পরিচয় যাচাই বা অনুমোদন প্রক্রিয়া অতিক্রম করার চেষ্টা প্রয়োজন।
পরিচয় চুরি ও ব্যক্তিগত তথ্যের অপব্যবহার
নাম, জন্মতারিখ, মোবাইল নম্বর, ইমেল এবং ঠিকানা একসঙ্গে থাকলে তা দিয়ে কোনও ব্যক্তির পরিচয় সম্পর্কে তুলনামূলক বিস্তারিত ধারণা তৈরি করা সম্ভব। সেই তথ্য অন্য কোথাও পাওয়া তথ্যের সঙ্গে মিলিয়ে ভুয়ো পরিচয় তৈরি, প্রতারণামূলক যোগাযোগ কিংবা আরও সংবেদনশীল তথ্য সংগ্রহের চেষ্টা হতে পারে।
পরিবারের সদস্যদেরও লক্ষ্য করা হতে পারে
কোনও ব্যক্তির ঠিকানা বা যোগাযোগের তথ্য ব্যবহার করে তাঁর পরিবারের সদস্যদের কাছে পৌঁছনোর চেষ্টা হতে পারে। বিশেষ করে বয়স্ক গ্রাহক বা যাঁরা ডিজিটাল ব্যাঙ্কিংয়ে অভ্যস্ত নন, তাঁরা পরিচিত ব্যক্তিগত তথ্য শুনে প্রতারকের কথায় বিশ্বাস করে ফেলতে পারেন।
তবে মনে রাখতে হবে, এগুলি তথ্য ফাঁসের সম্ভাব্য অপব্যবহার। SBI-র এই ঘটনায় ইতোমধ্যেই এই সব ধরনের প্রতারণা ঘটেছে, এমন কোনও নিশ্চিত তথ্য নেই।
সাধারণ গ্রাহকের এখন কী করা উচিত?
সন্দীপ সেনগুপ্তের পরামর্শ, যাঁদের তথ্য ফাঁস হয়েছে বলে আশঙ্কা রয়েছে, তাঁদের আরও সতর্ক হওয়া প্রয়োজন। তিনি এমনকি ব্যাঙ্কে রেজিস্টার্ড মোবাইল নম্বর পরিবর্তন এবং নতুন ব্যাঙ্ক অ্যাকাউন্ট খোলার কথাও বলেছেন। তবে এই বিষয়ে একটি গুরুত্বপূর্ণ সতর্কতা প্রয়োজন— শুধু তথ্য ফাঁসের খবর শুনে আতঙ্কিত হয়ে মোবাইল নম্বর, ব্যাঙ্ক অ্যাকাউন্ট বা ঋণ বন্ধ করে দেওয়া সাধারণত প্রথম পদক্ষেপ হওয়া উচিত নয়। SBI-র কাছ থেকে নির্দিষ্ট নির্দেশ না পাওয়া পর্যন্ত এমন সিদ্ধান্ত নেওয়ার প্রয়োজন নেই। তার বদলে কয়েকটি জরুরি পদক্ষেপ নেওয়া যেতে পারে।
OTP, PIN বা পাসওয়ার্ড কাউকে নয়
ব্যাঙ্কের কর্মী পরিচয় দিলেও ফোনে বা মেসেজে OTP, ATM PIN, UPI PIN, ইন্টারনেট ব্যাঙ্কিংয়ের পাসওয়ার্ড কিংবা কার্ডের গোপন তথ্য দেবেন না। ব্যাঙ্কের নাম করে কেউ এগুলি চাইলে সতর্ক হোন।
অচেনা ফোন ও মেসেজ যাচাই করুন
ফোনের অন্য প্রান্তে থাকা ব্যক্তি আপনার নাম, ঠিকানা বা ঋণের বিবরণ জানেন বলেই তাঁকে বিশ্বাস করবেন না। কোনও লিঙ্কে ক্লিক না করে SBI-র সরকারি ওয়েবসাইট বা পরিচিত, যাচাইকৃত যোগাযোগের মাধ্যমে তথ্য যাচাই করুন।
লেনদেন নিয়মিত পরীক্ষা করুন
ব্যাঙ্কের SMS, অ্যাকাউন্ট স্টেটমেন্ট এবং UPI লেনদেনের দিকে নজর রাখুন। অচেনা লেনদেন, অজানা ম্যান্ডেট বা সন্দেহজনক কার্যকলাপ চোখে পড়লে দ্রুত ব্যাঙ্ককে জানান।
ডিজিটাল অ্যাকাউন্টের নিরাপত্তা বাড়ান
ব্যাঙ্কের অ্যাপ ও ইমেলের শক্তিশালী, আলাদা পাসওয়ার্ড ব্যবহার করুন এবং যেখানে সুবিধা রয়েছে, অতিরিক্ত যাচাইকরণ চালু রাখুন।
সন্দেহ হলে ব্যাঙ্ককে জানান
SBI-র যোগাযোগ মাধ্যমে জানতে চান আপনার তথ্য এই ঘটনায় চিহ্নিত হয়েছে কি না এবং আপনার অ্যাকাউন্টের জন্য অতিরিক্ত কোনও ব্যবস্থা প্রয়োজন কি না। কোনও অননুমোদিত লেনদেন হলে অবিলম্বে ব্যাঙ্ককে জানান।
যদি ইতোমধ্যেই প্রতারণার শিকার হন বা অ্যাকাউন্ট থেকে টাকা কেটে যায়, দ্রুত ব্যাঙ্কের সঙ্গে যোগাযোগ করুন এবং ভারতের সাইবার অপরাধের হেল্পলাইন ১৯৩০-এ ফোন করুন। অনলাইনে অভিযোগ করা যায় জাতীয় সাইবার ক্রাইম রিপোর্টিং পোর্টালে। দ্রুত অভিযোগ জানালে অর্থ উদ্ধারের সম্ভাবনা বাড়তে পারে।
বয়স্ক গ্রাহকদের ক্ষেত্রে কী করণীয়?
যাঁরা স্মার্টফোন বা ইন্টারনেট ব্যাঙ্কিংয়ে স্বচ্ছন্দ নন, তাঁদের জন্য পরিবারের সদস্যদের সচেতন করাও জরুরি। ব্যাঙ্কের নাম করে ফোন এলে কোনও সিদ্ধান্ত নেওয়ার আগে পরিবারের বিশ্বস্ত সদস্য বা সরাসরি ব্যাঙ্কের শাখার সঙ্গে কথা বলতে বলা উচিত। অচেনা ব্যক্তিকে ফোনে কোনও তথ্য না দেওয়া, স্ক্রিন শেয়ারিং অ্যাপ ইনস্টল না করা এবং ফোনে নির্দেশ মেনে টাকা পাঠানো থেকে বিরত থাকার সাধারণ নিয়মগুলি বারবার বোঝানো প্রয়োজন।
সন্দীপ সেনগুপ্তের মতে, ব্যাঙ্ক ও সরকারের তরফে আরও বেশি সচেতনতা প্রচার এবং গ্রাহকদের কাছে সহজ ভাষায় সতর্কবার্তা পৌঁছে দেওয়া গুরুত্বপূর্ণ। বিশেষ করে যাঁরা ডিজিটাল পরিষেবা ব্যবহার করেন কিন্তু সাইবার প্রতারণার কৌশল সম্পর্কে জানেন না, তাঁদের কাছে এই বার্তা পৌঁছনো দরকার।
ডেটা সুরক্ষার আইন কি গ্রাহকদের রক্ষা করবে?
ভারতে ব্যক্তিগত ডিজিটাল তথ্যের সুরক্ষার জন্য Digital Personal Data Protection Act, 2023 এবং Digital Personal Data Protection Rules, 2025 রয়েছে। তবে আইন ও বিধির বিভিন্ন অংশ ধাপে ধাপে কার্যকর হচ্ছে। নির্ধারিত সময়সূচি অনুযায়ী, তথ্য সুরক্ষার দায়িত্ব, তথ্য ফাঁসের ক্ষেত্রে নোটিশ এবং সংশ্লিষ্ট ব্যক্তিদের জানানো-সহ একাধিক গুরুত্বপূর্ণ বিধান ১৩ মে ২০২৭ থেকে কার্যকর হওয়ার কথা।
এই আইনে নির্দিষ্ট দায়িত্ব পালনে ব্যর্থতার জন্য সর্বোচ্চ ২৫০ কোটি টাকা পর্যন্ত আর্থিক জরিমানার বিধান রয়েছে। কিন্তু এর অর্থ এই নয় যে প্রতিটি তথ্য ফাঁসের ঘটনায় স্বয়ংক্রিয়ভাবে ২৫০ কোটি টাকা জরিমানা হবে। কোন বিধান লঙ্ঘিত হয়েছে, সংশ্লিষ্ট সংস্থার দায় কী এবং আইনি প্রক্রিয়ায় কী সিদ্ধান্ত হয়েছে, তার উপর পরিণতি নির্ভর করবে।
সন্দীপ সেনগুপ্তের বক্তব্য, এই ধরনের কঠোর নিয়ম কার্যকর হলে তথ্য সংগ্রহ ও সংরক্ষণকারী সংস্থাগুলির উপর জবাবদিহির চাপ বাড়তে পারে। তবে শুধু আইন থাকলেই তথ্য ফাঁস বন্ধ হয়ে যাবে, এমন নিশ্চয়তা নেই। কার্যকর নিরাপত্তা ব্যবস্থা, নিয়মিত পরীক্ষা, দ্রুত তদন্ত এবং আক্রান্ত গ্রাহকদের সময়মতো সতর্ক করাও সমান গুরুত্বপূর্ণ।
দেশের বৃহত্তম ব্যাংকের তথ্য যদি ফাঁস হয়ে যায়, তাহেল বেসরকারি ব্যাংকগুলিকে কি ভরসা করা যায়? এই বিষয়ে ইনস্ক্রিপ্টকে সন্দীপ সেনগুপ্ত জানান, বেসরকারি ব্যাঙ্কগুলির নিরাপত্তা ব্যবস্থা তুলনামূলক শক্তিশালী হতে পারে, কারণ তাদের জবাবদিহির চাপ বেশি।
উল্লেখ্য, SBI-র এই ঘটনা থেকে যে প্রশ্নগুলি উঠে আসে, তা শুধু একটি ব্যাঙ্কের মধ্যে সীমাবদ্ধ নয়। গ্রাহকদের ব্যক্তিগত তথ্য কতটা নিরাপদে রাখা হচ্ছে, তৃতীয় পক্ষের হাতে সেই তথ্য গেলে কীভাবে নজরদারি করা হয়, তথ্য ফাঁসের খবর পেলে গ্রাহকদের কত দ্রুত জানানো হয় এবং তাঁদের সম্ভাব্য আর্থিক ক্ষতির ক্ষেত্রে কী সহায়তা দেওয়া হয়; এই প্রশ্নগুলির উত্তর পাওয়াও জরুরি।
