সার্ভারে অবৈধভাবে প্রবেশ করে ব্রেইন স্টেশনের পেনিট্রেশন চেষ্টা তথ্য চুরি করে ডার্ক ওয়েবে বিক্রির অভিযোগ

সরকারি প্রকল্পে দুর্নীতি ও টাকা পাচারের অভিযোগে অভিযুক্ত সফটওয়্যার কোম্পানি ‘ব্রেইন স্টেশন ২৩’-এর বিরুদ্ধে এবার তথ্য চুরির অভিযোগ উঠেছে। কোম্পানিটির বিরুদ্ধে অভিযোগ সাইবার নিরাপত্তার নামে অনুমতি ছাড়াই বিভিন্ন প্রতিষ্ঠানের সংবেদনশীল ডিজিটাল অবকাঠামোয় প্রবেশ করছে এবং নিরাপত্তা দুর্বলতা শনাক্তের নামে অবৈধভাবে তথ্য সংগ্রহ করছে কোম্পানিটির সাইবার নিরাপত্তা বিভাগ ‘সাইবারস্টেশন’।

ব্রেইন স্টেশন সরকারি স্পর্শকাতর দপ্তরগুলোর ওয়েবসাইটেও ঢুকেছে কি না—এমন প্রশ্নও উঠেছে। একই সঙ্গে অনুমতি না নিয়ে এভাবে অনুপ্রবেশের ফলে যে কোনো প্রতিষ্ঠানের তথ্য ডার্ক ওয়েবে বিক্রি করা হতে পারে—এমন শঙ্কার কথাও জানিয়েছেন অনেকে। অনুমতি ছাড়া পেনিট্রেশন টেস্টিংয়ের নামে এ ধরনের অনুপ্রবেশকে ‘সাইবার অপরাধ’ ও ‘বেআইনি হ্যাকিং’ হিসেবে অভিহিত করেছেন দেশের শীর্ষস্থানীয় প্রযুক্তি ও আইনি বিশেষজ্ঞরা।

তথ্য বলছে, ব্রেইন স্টেশন ২৩ ‘সাইবারস্টেশন’ নামে তাদের একটি নতুন সাইবার সিকিউরিটি ইউনিট চালু করেছে। অভিযোগ রয়েছে, এই টিমের কর্মীরাই বিভিন্ন সরকারি ও বেসরকারি প্রতিষ্ঠানে অনুমতিহীন পেনিট্রেশন ড্রাইভ চালাচ্ছেন। প্রযুক্তি বিশেষজ্ঞদের মতে, পেনিট্রেশন টেস্টিং ও ডার্ক ওয়েব পর্যবেক্ষণ দুটি সম্পূর্ণ ভিন্ন প্রক্রিয়া।

পেনিট্রেশন টেস্টিংয়ের আড়ালে যা ঘটে: অভিযোগ অনুযায়ী, সংশ্লিষ্ট প্রতিষ্ঠানের পূর্বানুমতি ছাড়াই তাদের সফটওয়্যার বা ওয়েবভিত্তিক সিস্টেমে নিরাপত্তা পরীক্ষা চালানো হয়। এরপর চিহ্নিত দুর্বলতা সম্পর্কে প্রতিষ্ঠানগুলোকে অবহিত করে বাণিজ্যিক পেনিট্রেশন টেস্টিং সেবা গ্রহণের প্রস্তাব দেওয়া হয়। গুরুতর অভিযোগ হলো, কোনো প্রতিষ্ঠান এই সেবা গ্রহণে আগ্রহী না হলে তার নিরাপত্তা দুর্বলতা প্রকাশ্যে তুলে ধরা হয়।

আরও গুরুতর অভিযোগ, কোনো প্রতিষ্ঠান এই অসাধু প্রস্তাবে সাড়া না দিলে তাদের গোপন নিরাপত্তা দুর্বলতা ডার্ক ওয়েবে প্রকাশ ও বিক্রি করে দেওয়া হচ্ছে বলে প্রযুক্তি খাতে শঙ্কাও প্রকাশ করা হয়েছে। আর কখনো কখনো অনুমতি নিলেও ব্রেইন স্টেশন এই স্পর্শকাতর তথ্যের ক্ষেত্রে কীভাবে নিরাপত্তা দেয় এর কোনো যৌক্তিক ব্যাখ্যা নেই।

কালবেলার হাতে আসা এমন একটি প্রতিষ্ঠানের অভিযোগে বলা হয়েছে, ব্রেইন স্টেশন হঠাৎ আমাদের কাছে একটি মেসেজ দেয়। মেসেজে বলা হয়, আপনাদের সাইটে দুর্বলতা রয়েছে। একই সঙ্গে তারা আমাদের সঙ্গে ব্যবসায়িক চুক্তি করতে চায়। কিন্তু তাদের সঙ্গে তো আমাদের কোনো চুক্তি ছিল না, তারা আমাদের অনুমতি ছাড়াই সাইটে ঢুকে দুর্বলতা বের করেছে, এটা তো অন্যায়।

শুধু নিরাপত্তা দুর্বলতা জানানো বা কোনো প্রতিষ্ঠানকে সেবা গ্রহণের প্রস্তাব দেওয়া নিজে থেকে অপরাধ নয়। এ ক্ষেত্রে মূল প্রশ্ন তিনটি—সংশ্লিষ্ট প্রতিষ্ঠান অনুমতি দিয়েছিল কি না, বাস্তবে কী ধরনের পরীক্ষা চালানো হয়েছিল এবং নিরাপত্তা দুর্বলতা প্রকাশের সঙ্গে কোনো বাণিজ্যিক চাপ বা হুমকির সম্পর্ক ছিল কি না।

ব্রেইন স্টেশন ২৩ এর সাইবার নিরাপত্তা বিভাগ সাইবারস্টেশন পেনিট্রেশন টেস্টিং, অফেনসিভ সিকিউরিটি, নিরাপত্তা পর্যবেক্ষণ এবং বিভিন্ন ধরনের সাইবার নিরাপত্তা সেবা দেওয়ার কথা প্রকাশ্যে জানিয়েছে। প্রতিষ্ঠানটির নিয়োগ বিজ্ঞপ্তিতেও ওয়েব অ্যাপ্লিকেশন, এপিআই ও মোবাইল অ্যাপ্লিকেশনের পেনিট্রেশন টেস্টিং এবং নিরাপত্তা দুর্বলতা শনাক্ত করার দক্ষতাসম্পন্ন কর্মী নিয়োগের বিষয়টি উল্লেখ রয়েছে।

ব্রেইন স্টেশনের এই কার্যক্রম বাংলাদেশের তথ্যপ্রযুক্তি খাতে সাইবার নিরাপত্তা সেবা প্রদানকারী প্রতিষ্ঠানগুলোর কার্যক্রম, পেশাগত নৈতিকতা এবং আইনি জবাবদিহি নিয়ে নতুন করে প্রশ্ন তুলেছে। ফলে এসব অভিযোগের বিষয়ে গভীর প্রযুক্তিগত প্রমাণসহ দেশ ও নাগরিকদের ক্ষতি যাচাইয়ে টেকনিক্যাল অডিটসহ প্রয়োজনীয় ডিজিটাল ফরেনসিক তদন্তের দাবি উঠেছে।

প্রযুক্তি খাতে দীর্ঘদিন ধরে কাজ করা একজন কালবেলাকে বলেন, সাইবার নিরাপত্তায় পেনিট্রেশন টেস্টিং একটি বৈধ প্রক্রিয়া। তবে পেনিট্রেশন টেস্টিং বা সিকিউরিটি অডিট পরিচালনা করতে হলে অবশ্যই সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে লিখিত চুক্তি ও পূর্ব অনুমতি থাকতে হয়। অনুমতি ছাড়া ডিজিটাল সিস্টেমে প্রবেশ করা সাইবার নীতিমালার চরম লঙ্ঘন এবং হ্যাকারদের আচরণের অনুরূপ।

তিনি বলেন, নিরাপত্তা দুর্বলতা খুঁজে বের করার মূল উদ্দেশ্য হওয়া উচিত সংশ্লিষ্ট প্রতিষ্ঠানকে সুরক্ষিত করা, সেটিকে বাণিজ্যিকভাবে সেবা বিক্রির হাতিয়ার বানানো কখনোই গ্রহণযোগ্য নয়। যেমন কোনো ব্যক্তিগত প্রাচীরের ভেতর অনুমতি ছাড়া প্রবেশ করে সিকিউরিটি গার্ডের দুর্বলতা দেখিয়ে নিরাপত্তা প্রোডাক্ট বা সেবা কেনার জন্য চাপ দেওয়া যায় না, ঠিক তেমনই অনুমতি ব্যতীত কারও ডিজিটাল ইনফ্রাস্ট্রাকচারে প্রবেশ করে ব্যবসায়িক প্রস্তাব দেওয়া অননুমোদিত ও অন্যায়, এটার নৈতিক এখতিয়ার কারও নেই।

সাইবার নিরাপত্তা বিশ্লেষকরা বলছেন, সাইবার নিরাপত্তা খাতে পেনিট্রেশন টেস্টিং একটি স্বীকৃত পদ্ধতি। এর মাধ্যমে কোনো প্রতিষ্ঠানের সফটওয়্যার, সার্ভার, নেটওয়ার্ক ও ডিজিটাল অবকাঠামোর নিরাপত্তা দুর্বলতা শনাক্ত করা হয়। কিন্তু এই কার্যক্রমের মৌলিক শর্ত হলো যথাযথ অনুমোদন এবং পরীক্ষার সুনির্দিষ্ট পরিধি নির্ধারণ। কোনো প্রতিষ্ঠানের অনুমতি ছাড়া তার সিস্টেমে প্রবেশ, নিরাপত্তা নিয়ন্ত্রণ অতিক্রম কিংবা সংবেদনশীল তথ্য সংগ্রহের চেষ্টা গুরুতর আইনি প্রশ্ন ও নিরাপত্তা ঝুঁকি তৈরি করতে পারে।

সাইবার নিরাপত্তা বিশেষজ্ঞ আরিফ মঈনুদ্দীন কালবেলাকে বলেন, পেনিট্রেশন টেস্টিং হলো কোনো নির্দিষ্ট সিস্টেমের দুর্বলতা খুঁজে বের করার একটি প্রক্রিয়া। তবে সংশ্লিষ্ট প্রতিষ্ঠানের পূর্বানুমতি নিয়ে এই পরীক্ষা চালানোই কেবল আইনি ও নীতিগতভাবে বৈধ। অনুমতি ছাড়া সিস্টেমে প্রবেশ করে দুর্বলতা চিহ্নিত করা সরাসরি অবৈধ এবং তা হ্যাকিং ও সাইবার অপরাধ হিসেবে গণ্য হয়। অনুমতি ছাড়া সিস্টেমে ঢুকে পরবর্তীতে ব্যবসায়িক প্রস্তাব দেওয়া সম্পূর্ণ অনৈতিক প্র্যাকটিস এবং এমন প্র্যাকটিসে ডার্কওয়েবে তথ্য বিক্রিরও সম্ভাবনা তৈরি হয়। অননুমোদিত উপায়ে প্রাপ্ত তথ্য অন্য কারও কাছে বিক্রি করা বা প্রতারণামূলক কাজে ব্যবহার করা সাইবার অপরাধ।

বাংলাদেশের সাইবার আইন যা বলছে: বাংলাদেশের সাইবার সুরক্ষা আইন, ২০২৬-এর ১৭ ধারায় গুরুত্বপূর্ণ তথ্য পরিকাঠামোয় বেআইনি প্রবেশ এবং নির্দিষ্ট ধরনের হ্যাকিং কার্যক্রমের জন্য শাস্তির বিধান রয়েছে। আইনে অননুমোদিত প্রবেশ ও তথ্যব্যবস্থার ক্ষতিসাধন-সংক্রান্ত বিধানও রয়েছে। আইনে সুস্পষ্টভাবে উল্লেখ রয়েছে, পূর্বানুমতি ছাড়া যে কোনো আইটি পরিকাঠামোয় অনুপ্রবেশ এবং ক্ষতিসাধন করা ফৌজদারি অপরাধ।

আইনজীবীদের মতে, কোনো সাইবার নিরাপত্তা কোম্পানি যদি অনুমোদন ছাড়া অন্য প্রতিষ্ঠানের সিস্টেমে ঢুকে তথ্য নিয়ে নেয় কিংবা দুর্বলতা ফাঁসের হুমকি দিয়ে বাণিজ্যিক সুবিধা আদায়ের অপচেষ্টা চালায়, তবে তা চাঁদাবাজি, ভয়ভীতি প্রদর্শন এবং তথ্য চুরি হিসেবে সাব্যস্ত হবে। সেক্ষেত্রে আইনের বিভিন্ন ধারায় কোম্পানি ও এর সাথে জড়িত কর্মকর্তাদের বিরুদ্ধে সরাসরি গ্রেপ্তার ও ফৌজদারি মামলা দায়ের করার সুযোগ রয়েছে।

সাইবার নিরাপত্তা বিশেষজ্ঞ ও আন্তর্জাতিক অপরাধ ট্রাইব্যুনালের প্রসিকিউটর তানভীর হাসান জোহা কালবেলাকে বলেন, ডার্কওয়েব পর্যবেক্ষণ করে আগে থেকে ফাঁস হওয়া তথ্য সংশ্লিষ্ট প্রতিষ্ঠানকে জানানো একটি বৈধ পন্থা। নরমাল প্রক্রিয়া হচ্ছে প্রতিষ্ঠানের সাথে আপনি একটা চুক্তি করবেন। তারা যদি পারমিশন দেয় তখন আপনি এটা করতে পারবেন। তবে অনুমতি ছাড়া কারও তথ্যভান্ডারে বা লাইভ সিস্টেমে প্রবেশ করা বিশ্বের যে কোনো আইনে একটি চিহ্নিত ফৌজদারি অপরাধ, যার জন্য জেল-জরিমানার বিধান রয়েছে।

তিনি বলেন, সবচেয়ে চিন্তার বিষয় হলো এ ধরনের কাজে যারা যুক্ত তাদের ভেতর থেকেই সাইবার অপরাধী তৈরি হওয়ার ঝুঁকি তৈরি হতে পারে, তারা অনুমতি নিয়ে বা না নিয়ে যে কোনো প্রতিষ্ঠানের সংবেদনশীল তথ্য ডার্ক ওয়েবে বিক্রি করে দিতে পারে। ব্রেইন স্টেশনের ইঞ্জিনিয়াররা যদি এই অননুমোদিত অনুপ্রবেশ বা অপরাধের সাথে যুক্ত থাকেন, তবে ডার্কওয়েবের হ্যাকারদের সাথে তাদের সম্পর্ক থাকার সম্ভাবনা উড়িয়ে দেওয়া যায় না।

ব্রেইন স্টেশনের বিরুদ্ধে অভিযোগ এবারই প্রথম নয়, সম্প্রতি এই প্রতিষ্ঠানের বিরুদ্ধে সরকারি একটি প্রকল্পে অনিয়ম দুর্নীতির অভিযোগে দুর্নীতি দমন কমিশনে (দুদক) মামলা হয়েছে। দুদকের অনুসন্ধানে স্বাস্থ্য অধিদপ্তরের ‘কভিড-১৯ ইমার্জেন্সি রেসপন্স অ্যান্ড প্যানডেমিক প্রিপেয়ার্ডনেস (ইআরপিপি)’ প্রকল্পে অনিয়মের তথ্যের ভিত্তিতে মামলা করে দুদক। ওই মামলায় অর্থ লোপাটের অভিযোগে ব্রেন স্টেশন ২৩ লিমিটেডের স্বত্বাধিকারী রইসুল কবিরও একজন আসামি। আর ব্রেইন স্টেশনই একমাত্র আইটি সফটওয়্যার কোম্পানি, যাদের বিরুদ্ধে দুদকের মামলা হয়েছে।

এ ছাড়া, আওয়ামী লীগ সরকারের বিভিন্ন ব্যক্তির টাকা পাচারের অন্যতম গোপন চ্যানেল হিসেবে ব্রেইন স্টেশন ২৩- এর নাম বরাবরই অভিযোগে ছিল। ব্রেইন স্টেশনে বিনিয়োগকারীদের একজনও টাকা পাচার ও পুঁজিবাজারে কারসাজির অভিযোগে অভিযুক্ত। খোঁজ নিয়ে জানা গেছে, বহুল আলোচিত জেনেক্স ইনফোসিসের মালিক মোহাম্মদ আদনান ইমাম ব্রেইন স্টেশনের অন্যতম বিনিয়োগকারী। সম্প্রতি ২ হাজার কোটি টাকা পাচার ও পুঁজিবাজারে কারসাজির অভিযোগে ইতোমধ্যে আদালতের দেশত্যাগের নিষেধাজ্ঞায় আছে আদনান ইমাম। নজিরবিহীন দুর্নীতির অভিযোগে চরম বিতর্কিত এনআরবিসি ব্যাংকের এক্সিকিউটিভ কমিটির চেয়ারম্যান বাংলাদেশ ও যুক্তরাজ্যের দ্বৈত নাগরিক আদনান ইমাম। ‘রেমিট্যান্স যোদ্ধা’ হিসেবে তাকে সিআইপি মর্যাদা দেয় আওয়ামী লীগ সরকার।

অভিযোগ রয়েছে, আর্থিক খাতের লুটেরাদের অন্দর মহলে ‘হোয়াইট কলার ক্রিমিনাল’ হিসাবে পরিচিত এই আদনান মাত্র ৩ বছরেই বিভিন্ন ব্যাংক থেকে ২ হাজার কোটি টাকার বেশি হাতিয়ে নিয়েছেন। কাগুজে কোম্পানি খুলে শত শত কোটি টাকা ঋণ নিয়ে তা পাচার করেছেন বিদেশে। তার সম্পদ জব্দে যুক্তরাজ্যের ন্যাশনাল ক্রাইম এজেন্সিকে চিঠিও দিয়েছে দুর্নীতি দমন কমিশন (দুদক)। আদনান ইমামের এই বিপুল পরিমাণ বিতর্কিত অর্থ ব্রেইন স্টেশনে বিনিয়োগ করা হয়েছিল বলেও অভিযোগ রয়েছে।

অভিযোগের বিষয়ে জানতে চাইলে প্রতিষ্ঠানের মালিক রাইসুল কবির এই প্রতিবেদককে লিখিত প্রশ্ন পাঠানোর অনুরোধ করেন। তার অনুরোধে প্রশ্ন লিখে পাঠানো হয়, এই প্রতিবেদন লেখার সময় পর্যন্ত তার কাছ থেকে উত্তর আসেনি। পরে উত্তর পাঠানোর জন্য দুদিন সময় চেয়ে ফিরতি ম্যাসেজ দেন তিনি।

তবে প্রশ্ন পাঠানোর আগে মুঠোফোনে কথা হয় রাইসুল কবিরের সঙ্গে। তখন তিনি জানান, পেনিট্রেশন টেস্টিংয়ের জন্য তাদের ‘সাইবার স্টেশন’ নামে একটি নতুন টিম কাজ করছে। অনুমতিহীন এই অনুপ্রবেশকে ‘অন্যায়, অনৈতিক ও সম্পূর্ণ অগ্রহণযোগ্য’ বলে সরাসরি স্বীকার করেন তিনি।

রাইসুল কবির বলেন, এভাবে অনুমতি ছাড়া কারো সিস্টেমে ঢোকার কথা নয়। যদি আমাদের সাইবার স্টেশন টিম অনুমতি ছাড়া এ ধরনের কর্মকাণ্ড চালিয়ে থাকে, তবে তা অত্যন্ত অনৈতিক কাজ হয়েছে। বিষয়টি আমি গুরুত্বের সাথে অভ্যন্তরীণ তদন্ত করে দেখব এবং প্রয়োজনীয় ব্যবস্থা গ্রহণ করা হবে।

দুদকের মামলা প্রসঙ্গে তিনি বলেন, আমরা সবচেয়ে কম খরচে কাজটি সম্পন্ন করেছিলাম; কিন্তু তার পরও কেন আমাদের বিরুদ্ধে মামলা বিষয়টি আমার জানা নেই।

আদনান ইমামের বিনিয়োগের বিষয়ে জানতে চাইলে তিনি বলেন, আদনান ইমামের বিনিয়োগ ছিল, কিন্তু এখন তার বিনিয়োগ নেই, তিনি আগেই বেরিয়ে গেছেন।