‘রাকিব’ (ছদ্মনাম) অনলাইনে ফ্রি সাড়ে ৩ হাজার টাকা ডিপোজিটের চটকদার বিজ্ঞাপন দেখে একটি মোবাইল অ্যাপ নামান। এরপর সেখানে প্লেন ওড়ানো, কার্ড খেলার মতো নানাভাবে জুয়া খেলা শুরু করেন। রাকিব জানতেন না, অনলাইনে জুয়া খেলার সময় দেওয়া তার ব্যক্তিগত তথ্য একদিন সাইবার অপরাধীদের বিক্রির পণ্যে পরিণত হতে পারে। তার নাম, ইমেইল, মোবাইল ফোন নম্বর কিংবা অনলাইন অ্যাকাউন্টের তথ্যের পাশাপাশি জন্মতারিখ, কেওয়াইসি যাচাইয়ের অবস্থা ও লেনদেনসংক্রান্ত তথ্য যদি অপরিচিত কারও হাতে চলে যায়, তাহলে কী ভয়াবহ বিপদ হতে পারে, তা হয়তো কল্পনাও করেননি তিনি।

রাকিবের মতো প্রায় ৩ লাখ ৬০ হাজার বাংলাদেশির তথ্য এখন ডার্ক ওয়েবে ঘুরছে বিক্রির উদ্দেশ্যে। বাংলাদেশি অনলাইন জুয়া ও ক্যাসিনো ব্যবহারকারীদের তথ্যসংবলিত একটি ডাটাবেজ বিক্রির বিজ্ঞাপন দিয়েছে সাইবার অপরাধীদের একটি চক্র। কালবেলার অনুসন্ধানে হ্যাকারদের আপলোড করা স্যাম্পল ফাইলে থাকা তথ্য যাচাই করে এর সত্যতাও পাওয়া গেছে। প্রকাশিত স্যাম্পল এক্সেল শিটে একাধিক বাংলাদেশির ইমেইল এবং সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের তথ্য রয়েছে। কালবেলার অনুসন্ধানে এসব তথ্য যাচাই করে সংশ্লিষ্ট ব্যক্তিদের বাস্তব তথ্যের সঙ্গে মিল পাওয়া গেছে। ফলে বিষয়টি শুধু কোনো সাইবার অপরাধীর মনগড়া ডাটা বিক্রির বিজ্ঞাপন নয়; অন্তত স্যাম্পল ফাইলে বাংলাদেশিদের প্রকৃত তথ্য থাকার প্রমাণ মিলেছে।

ডার্ক ওয়েবে নেফেক্স৭৮ নামে এবং টেলিগ্রামভিত্তিক নেফেক্স দ্য ব্ল্যাকহ্যাট (Neffex THe BlackHat) নামে একটি চ্যানেলে দেওয়া বিজ্ঞাপনে বলা হয়েছে, ডাটাবেজটি বাংলাদেশি অনলাইন জুয়া ও ক্যাসিনো ব্যবহারকারীদের এবং এটি ২০২৫ থেকে ২০২৬ সালের। এ ছাড়া একই ডাটাসেট নিয়ে সামাজিক যোগাযোগমাধ্যম ‘এক্স’ অ্যাকাউন্ট ‘ডার্ক ওয়েব ইন্টেলিজেন্স’ থেকে দেওয়া পোস্টের তথ্যে প্রায় ৩ লাখ ৬০ হাজার ব্যবহারকারীর রেকর্ড থাকার দাবি করা হয়েছে। বিজ্ঞাপনে দেওয়া তথ্যমতে, আইডি, মার্চেন্ট, ইউজারনেম, প্লেয়ার আইডি, ভিআইপি লেভেল, অ্যাফিলিয়েট কোড, অ্যাফিলিয়েট ইউজারনেম, রেফারেল ইউজারনেম, এজেন্ট ইউজারনেম, নাম, কারেন্সি, গ্রুপ, ট্যাগ ম্যানেজমেন্ট, রিমার্ক ও স্ট্যাটাসের মতো তথ্য রয়েছে। এর পাশাপাশি মোবাইল ফোন নম্বর, ইমেইল, জন্মতারিখ, রেফারেল সাইট, ফিঙ্গারপ্রিন্ট এবং রেজিস্ট্রেশন-সংক্রান্ত তথ্য থাকার কথাও বলা হয়েছে। সবচেয়ে উদ্বেগজনক তথ্যগুলোর মধ্যে রয়েছে লাস্ট ডিপোজিট, কেওয়াইসি ভেরিফাইড স্ট্যাটাস, কেওয়াইসি রিমার্ক এবং রিস্কের তথ্য। অর্থাৎ ব্যবহারকারীর পরিচয় ও যোগাযোগের তথ্যের পাশাপাশি তার জুয়া অ্যাকাউন্ট, আর্থিক কার্যক্রম এবং পরিচয় যাচাইসংক্রান্ত তথ্যও এ ডাটাবেজে থাকার দাবি করা হয়েছে। হ্যাকারদের বিজ্ঞাপনে ডাটাগুলো টিএক্সটি ও টিএলএস ফরম্যাটে সরবরাহের কথা বলা হয়েছে। পুরো ডাটাসেটের দাম চাওয়া হয়েছে ৭৮০ মার্কিন ডলার। অর্থ পরিশোধের জন্য বিটকয়েন অথবা মনেরো ব্যবহারের কথাও উল্লেখ রয়েছে। এমনকি ডাটাসেটের বিশ্বাসযোগ্যতা দেখাতে কয়েকটি স্যাম্পল ফাইলের লিংকও প্রকাশ করা হয়েছে।

আরও বড় উদ্বেগ তৈরি হয়েছে ফাঁস হওয়া তথ্যের ধরন নিয়ে। একজন ব্যবহারকারীর মোবাইল নম্বর, ইমেইল, জন্মতারিখ ও সামাজিক যোগাযোগমাধ্যমের তথ্যের সঙ্গে যদি কেওয়াইসি স্ট্যাটাস, সর্বশেষ ডিপোজিট ও অ্যাকাউন্টের ঝুঁকি-সংক্রান্ত তথ্যও অপরাধীদের হাতে থাকে, তাহলে এসব তথ্য ব্যবহার করে লক্ষ্যভিত্তিক ফিশিং, পরিচয় জালিয়াতি কিংবা আর্থিক প্রতারণার চেষ্টা চালানো সম্ভব।

এ বিষয়ে জানতে ঢাকা মহানগর গোয়েন্দা পুলিশের সাইবার অ্যান্ড স্পেশাল ক্রাইম বিভাগ ও র্যাবের সঙ্গে যোগাযোগ করা হলে তাদের কাছে এমন কোনো তথ্য নেই বলে কালবেলাকে জানান তারা। তবে ঢাকা মহানগর গোয়েন্দা পুলিশের সাইবার অ্যান্ড স্পেশাল ক্রাইম জানিয়েছে, বিষয়টি তারা খতিয়ে দেখবে। আর র্যাব জানিয়েছে, তাদের সাইবার টিম এ বিষয়গুলো নিয়ে নিয়মিত কাজ করে। এ ছাড়া সরকারের পক্ষ থেকে দায়িত্ব দেওয়া হলে তখন তারা অধিকতর তদন্ত করেন।

ডাটাবেজ ফাঁসের বিষয়ে আরও বিস্তারিত জানতে সাইবার নিরাপত্তা ও ডিজিটাল ফরেনসিক বিশেষজ্ঞ ও আন্তর্জাতিক অপরাধ ট্রাইব্যুনালের প্রসিকিউটর তানভীর হাসান জোহার সঙ্গে যোগাযোগ করা হয়। তিনি কালবেলাকে বলেন, আমি তথ্যগুলো যাচাই করে বাস্তব তথ্যের সঙ্গে মিল পেয়েছি। তাই এটিকে আর শুধু ডার্ক ওয়েবের দাবি হিসেবে দেখার সুযোগ নেই, এটি একটি গুরুতর তথ্য ফাঁসের ঘটনা।

তানভীর হাসান জোহা বলেন, ফাঁস হওয়া মোবাইল নম্বর, ইমেইল, জন্মতারিখ, আইপি ঠিকানা, ডিভাইসের তথ্য ও কেওয়াইসি রেকর্ড ব্যবহার করে অপরাধীরা পরিচয় চুরি, ফিশিং, অ্যাকাউন্ট দখল, আর্থিক প্রতারণা, ব্ল্যাকমেইল এবং সামাজিকভাবে হেয় করার চেষ্টা করতে পারে। এ সময় আতঙ্কিত না হয়ে দ্রুত সতর্ক হতে হবে।

তিনি আরও বলেন, যারা অনলাইন জুয়া বা সন্দেহজনক কোনো প্ল্যাটফর্মে মোবাইল নম্বর, ইমেইল, পরিচয়পত্র কিংবা আর্থিক তথ্য দিয়েছেন, তারা এখনই গুরুত্বপূর্ণ অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং দুই স্তরের নিরাপত্তা চালু করতে হবে। পাশাপাশি ব্যাংক ও মোবাইল আর্থিক সেবার লেনদেন নিয়মিত পরীক্ষা করা জরুরি। অপরিচিত কল, লিংক, অ্যাপ, লোভনীয় অফার বা ভয় দেখিয়ে টাকা চাওয়ার ঘটনায় সাড়া দেবেন না এবং ওটিপি, পিনের মতো যাচাইকরণ কোড কাউকে জানাবেন না। একই সঙ্গে প্রতারণা বা ব্ল্যাকমেইলের ঘটনা ঘটলে টাকা না দিয়ে স্ক্রিনশট, ফোন নম্বর, লিংক ও লেনদেনের তথ্য সংরক্ষণ করে দ্রুত আইনশৃঙ্খলা রক্ষাকারী সংস্থার সহায়তা নিতে হবে। একই সঙ্গে সংশ্লিষ্ট প্রতিষ্ঠানকে দ্রুত ফাঁসের উৎস শনাক্ত করে ক্ষতিগ্রস্ত ব্যক্তিদের আনুষ্ঠানিকভাবে সতর্ক করতে হবে।