সঞ্চয়পত্র জালিয়াতি: ‘ট্রাস্ট-ব্লাইন্ড’ ব্যবস্থার সতর্কবার্তা
সাম্প্রতিক সঞ্চয়পত্র জালিয়াতির ঘটনাটি বাংলাদেশের আর্থিক খাতের জন্য এক জোরালো সতর্কসংকেত। এটি কেবল একটি সাইবার অপরাধ নয়—বরং পুরো ব্যবস্থার ভিতরে থাকা কাঠামোগত দুর্বলতার বাস্তবিক প্রতিফলন। জাতীয় সঞ্চয় অধিদপ্তরের এনএসসি (ন্যাশনাল সেভিংস সার্টিফিকেট) সিস্টেম ব্যবহার করে এক চক্র প্রায় ২৫ লাখ টাকা আত্মসাৎ করেছে এবং আরও প্রায় ৫০ লাখ টাকা তোলার চেষ্টা করেছে। বাংলাদেশ ব্যাংকের হস্তক্ষেপে তা রোধ করা সম্ভব হয়েছে।
তদন্তে বেরিয়ে এসেছে, উদ্বেগজনক তথ্য—প্রতারকরা গ্রাহকের অজান্তে নিবন্ধিত মোবাইল নম্বর পরিবর্তন করেছে, লেনদেনের সীমা ২ লাখ থেকে ১০ লাখ টাকায় বাড়িয়েছে, এমনকি মেয়াদপূর্তির আগেই সঞ্চয়পত্র ভেঙে অর্থ স্থানান্তর করেছে। এর পুরো প্রক্রিয়াতেই গ্রাহকের কাছে কোনো ওটিপি (One-Time Password) যায়নি। অর্থাৎ সিস্টেমের ভেতরে প্রবেশাধিকার থাকা কেউ সরাসরি বা পরোক্ষভাবে সহায়তা করেছে—এটি এক আদর্শ ইনসাইডার ফ্রড।
৩পি ব্যর্থতা: People, Process, Platform
এই জালিয়াতি মূলত ‘৩পি’—People, Process ও Platform—নিরাপত্তা মডেলের একত্রিত ব্যর্থতা।
প্রথমত, কর্মকর্তাদের পাসওয়ার্ড ব্যবস্থাপনা দুর্বল ছিল। শক্তিশালী পাসওয়ার্ড নীতি ও মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) বাধ্যতামূলক না থাকলে এমন অনুপ্রবেশ রোধ করা অসম্ভব।
দ্বিতীয়ত, ওটিপি যাচাই ছাড়াই লেনদেন সম্পন্ন হওয়া কোনো সাধারণ ত্রুটি নয়। এটি প্রক্রিয়াগত ব্যর্থতা, যা অভ্যন্তরীণ অনুমোদন ছাড়া সম্ভব নয়।
তৃতীয়ত, মনিটরিং ও অডিটিং ব্যবস্থা দুর্বল। হঠাৎ নম্বর পরিবর্তন, সীমা বৃদ্ধি, বা বড় অঙ্কের স্থানান্তর—এসবই স্বয়ংক্রিয় সতর্কবার্তা (Anomaly Alert) জারি করার মতো ঘটনা। অথচ সিস্টেম কোনো অ্যালার্ম দেয়নি। এটি প্রমাণ করে, মনিটরিং ব্যবস্থা কাগজে আছে, বাস্তবে নয়।
‘Trust-Based’ নয়, এখন চাই ‘Zero Trust’
বাংলাদেশের আর্থিক খাত এখনো ‘trust-based’ নয়, বরং ‘trust-blind’ মডেলে পরিচালিত—যেখানে প্রযুক্তি আছে, কিন্তু দায়বদ্ধতা নেই। নিরাপত্তা কেবল সফটওয়্যার নির্ভর নয়; এটি নীতিমালা, প্রশিক্ষণ, এবং জবাবদিহিতার সমন্বয় প্রক্রিয়া।
এই বাস্তবতায় এখন প্রয়োজন Zero Trust Architecture—যেখানে কোনো ব্যবহারকারী বা ডিভাইস আগাম বিশ্বাসযোগ্য নয়, প্রতিটি অ্যাক্সেস বারবার যাচাই করা হয়।
করণীয়: প্রযুক্তি ও নীতির সমন্বয়
ক. জিরো ট্রাস্ট বাস্তবায়ন: সরকারি ও বেসরকারি আর্থিক প্রতিষ্ঠানে ‘Zero Trust’ মডেল বাধ্যতামূলক করা দরকার।
খ. নিয়মিত সাইবার অডিট: বছরে অন্তত দুইবার স্বাধীন সাইবার অডিট ও পেনিট্রেশন টেস্টিং চালু করা উচিত।
গ. আইটি গভর্ন্যান্স ও মানবসম্পদ তদারকি: প্রশাসনিক অ্যাক্সেসধারীদের ক্ষেত্রে ‘four-eye principle’—দুই কর্মকর্তার অনুমোদন—বাস্তবায়ন করা প্রয়োজন।
ঘ. গ্রাহক সচেতনতা: গ্রাহককে জানতে হবে, ওটিপি বা ব্যক্তিগত তথ্য কারও সঙ্গে শেয়ার করা বিপজ্জনক। সন্দেহজনক লেনদেন দেখলে তাৎক্ষণিকভাবে রিপোর্ট করা জরুরি।
আইন ও বাস্তবায়ন
অক্টোবরে অনুমোদিত ‘ব্যক্তিগত উপাত্ত সুরক্ষা অধ্যাদেশ, ২০২৫’ দ্রুত বাস্তবায়ন অত্যন্ত জরুরি। এই আইন কার্যকর হলে তথ্য সুরক্ষা ও সাইবার জবাবদিহিতা বাধ্যতামূলক হবে।
একই সঙ্গে বাংলাদেশ ব্যাংক, জাতীয় সঞ্চয় অধিদপ্তর ও অর্থ মন্ত্রণালয়ের মধ্যে একটি ইন্টিগ্রেটেড আইটি গভর্ন্যান্স ফ্রেমওয়ার্ক গঠন জরুরি, যাতে ফরেনসিক অডিট ও প্রতিরোধমূলক ব্যবস্থা দ্রুত নেওয়া যায়।
শেষকথা
এই ঘটনাকে কেবল সাইবার হামলা হিসেবে দেখা ভুল হবে। এটি সামগ্রিকভাবে একটি পরিকল্পিত আর্থিক অপরাধ, যা প্রযুক্তি ও প্রাতিষ্ঠানিক দুর্বলতার সুযোগ নিয়েছে।
জনগণের অর্থই রাষ্ট্রের আস্থা; তাই ভবিষ্যতের জন্য প্রয়োজন প্রযুক্তি, প্রক্রিয়া ও মানুষ—এই তিন স্তরের সমন্বিত সুরক্ষা।
বাংলাদেশ এখন সাইবার নিরাপত্তার এক সংবেদনশীল মোড়ে দাঁড়িয়ে। যদি এখনই আমরা “Never Trust, Always Verify” নীতিতে না যাই, তাহলে আগামী দিনে এমন জালিয়াতি আরও বাড়বে—কমবে না।
লেখক: তথ্যপ্রযুক্তিবিদ, সাধারণ সম্পাদক, বাংলাদেশ সিস্টেম এডমিনিস্ট্রেটরস ফোরাম (বিডিসাফ)
