আড়াইশ টাকা

শুরু করা যাক সবচেয়ে সাম্প্রতিক বড় ব্যর্থতাটি দিয়ে, কারণ পুরো রোগটা সবচেয়ে স্পষ্টভাবে বোঝা যায় এই একটা ঘটনা থেকেই।

২০২৫ সালের ১৯ আগস্ট বিকেলে, এসিআই লজিস্টিকসের প্রধান কার্যালয়ের কম্পিউটারগুলো হঠাৎ লক হয়ে যায়। এসিআই লজিস্টিকস হলো বাংলাদেশের সবচেয়ে বড় সুপারমার্কেট চেইন ‘স্বপ্ন’-এর মূল প্রতিষ্ঠান — ৬৩টি জেলায় প্রায় ৮৫০টি আউটলেট নিয়ে যার কার্যক্রম। কিলিন (Qilin) নামের একটি র‍্যানসমওয়্যার চক্র দাবি করে দেড় মিলিয়ন মার্কিন ডলার, সময় দেয় দশ দিন। পরবর্তী প্রতিবেদন অনুযায়ী, ঢোকার পথটা ছিল সেই চিরচেনা পথ — কর্মীরা ফিশিং ইমেইলে লিংকে ক্লিক করেছিলেন।

স্বপ্ন মুক্তিপণ দিতে অস্বীকার করে। এককভাবে দেখলে সিদ্ধান্তটাকে যুক্তিসঙ্গতই বলা যায়। মুক্তিপণ দেওয়া মানে পরের আক্রমণের খরচ জোগানো, আর অপরাধীদের কাছ থেকে স্রেফ একটা মৌখিক প্রতিশ্রুতি কেনা।

কিন্তু মুক্তিপণ না দেওয়াটা আসলে সিদ্ধান্তের অর্ধেক মাত্র, আর মনে হচ্ছে স্বপ্ন এটাকেই পুরো সিদ্ধান্ত বলে ধরে নিয়েছিল।

আধুনিক র‍্যানসমওয়্যার চক্রগুলো বহু বছর আগেই শুধু এনক্রিপশনের ওপর ভরসা করা ছেড়ে দিয়েছে, কারণ কোম্পানিগুলো ব্যাকআপ রাখার ব্যাপারে আগের চেয়ে দক্ষ হয়ে উঠেছে। এখনকার মডেলের নাম ‘ডাবল এক্সটরশন’ — আগে ডেটার একটা কপি সরিয়ে নাও, তারপর যা বাকি থাকে তা এনক্রিপ্ট করো। আপনি যত খুশি ব্যাকআপ থেকে রিস্টোর করুন না কেন, ডেটার কপিটা তাদের কাছেই থেকে যাবে। সেই কপি প্রকাশ করে দেওয়াটাই হুমকির দ্বিতীয় ধাপ, আর এই ধাপের আঘাতটা লাগে কোম্পানির গায়ে নয়, গ্রাহকের গায়ে। এই শিল্পের সবাই এই কথা জানে অন্তত ২০১৯ সাল থেকেই।

সাত মাস পর, ২০২৬ সালের ১৭ মার্চ, লকবিট ৫.০-এর (LockBit 5.0) লিক পোর্টালে হাজির হয় ৪১০ গিগাবাইটেরও বেশি ডেটা। গ্রাহকদের নাম, প্রায় ২০ লাখ মোবাইল নম্বর, প্রায় ২৭ কোটি ক্রয়-রেকর্ড — অর্থাৎ ৪০ লাখেরও বেশি নিবন্ধিত গ্রাহকের কেনাকাটার হদিস — এর সঙ্গে সরবরাহকারীদের চুক্তি, দৈনিক বিক্রির হিসাব, ব্যাংকে জমার রেকর্ড, এইচআর ফাইল আর অভ্যন্তরীণ নীতিমালা। কয়েক দিনের মধ্যেই এসব ছড়িয়ে পড়ে ফেসবুক আর খোলা ইন্টারনেটে।

গ্রাহকেরা এই খবর জেনেছিলেন ফেসবুক থেকে।

২৮–২৯ মার্চ ২০২৬-এর রাতে — অনুপ্রবেশের সাত মাস নয় দিন পর — এসিআই লজিস্টিকসের প্রশাসন ও ক্রাইসিস ম্যানেজমেন্ট বিভাগের প্রধান তেজগাঁও শিল্পাঞ্চল থানায় একটা সাধারণ ডায়েরি (জিডি) করেন, যেখানে অভিযুক্ত হিসেবে নাম আসে কিলিন এবং ‘লকবিট ৫.০’-এর। বিষয়টি পাঠানো হয় কাউন্টার টেররিজম অ্যান্ড ট্রান্সন্যাশনাল ক্রাইম ইউনিটে। ব্যবস্থাপনা পরিচালক নিশ্চিত করেন যে কোম্পানি কোনো মুক্তিপণ দেয়নি, আর গ্রাহকদের অনুরোধ করেন যেন তাঁরা অচেনা কলারদের সঙ্গে ব্যক্তিগত বা আর্থিক তথ্য শেয়ার না করেন।

পরামর্শটা ঠিকই ছিল। শুধু আগস্ট মাসে দিলে অনেক বেশি কাজে লাগত।

কেনাকাটার তথ্য ‘নিরীহ’ কোনো ডেটা নয় কেন

বেশিরভাগ মানুষ ‘শপিং ডেটা ফাঁস’ শুনলে কাঁধ ঝাঁকিয়ে বলেন, ঠিক আছে। নাম আর ফোন নম্বর তো সবার কাছেই আছে। আমি কী কিনলাম, তাতে কার কী আসে যায়?

অথচ একজন সাধারণ মানুষের তৈরি করা সবচেয়ে বেশি কথা-বলা ডেটাসেটগুলোর একটি হলো তার কেনাকাটার ইতিহাস — ঠিক এই কারণে যে, এখানে কেউ ‘পারফর্ম’ করে না। আপনি যা পোস্ট করেন, তা বেছে বেছে করেন। কিন্তু ট্রলিতে কী তুলছেন, তা কেউ সাজিয়ে-গুছিয়ে করেন না।

একটা মোবাইল নম্বরের সঙ্গে জোড়া লাগানো ২৭ কোটি লাইন-আইটেম বলে দিতে পারে, কার ডায়াবেটিস আছে আর কে গত বসন্ত থেকে ইনসুলিনের সরঞ্জাম কেনা শুরু করেছেন। কে শিশুখাদ্য কেনেন, আর কবে থেকে কেনা বন্ধ করে দিলেন। চাকরি হারানোর মাসে কার পরিবারের ভোগ্যপণ্যের খরচ অর্ধেকে নেমে গেল। কে গরুর মাংস কেনেন আর কে কখনোই কেনেন না — এমন একটা দেশে, যেখানে এই তথ্যটুকু মোটেও নিরপেক্ষ কিছু নয়। কোথায় কেনাকাটা করছেন, তা থেকে বোঝা যায় আপনি কোথায় থাকেন; কখন কেনাকাটা করছেন, তা থেকে বোঝা যায় আপনি কখন বাসায় থাকেন না।

আর তাৎক্ষণিকভাবে এটা একটা ‘স্ক্রিপ্ট’। একজন প্রতারক যদি ফোন ধরেই বলেন, ‘স্যার, ধানমন্ডি শাখা থেকে চৌদ্দ তারিখে করা আপনার অর্ডারের ব্যাপারে’ — তাহলে কথোপকথনের সবচেয়ে গুরুত্বপূর্ণ অংশটা ততক্ষণে তিনি জিতে নিয়েছেন। এই খুঁটিনাটি তথ্যগুলো নিজেরাই আসল আঘাত নয়। এগুলো হলো সেই পরিচয়পত্র, যা দিয়ে আসল আঘাতটাকে বিশ্বাসযোগ্য করে তোলা হয়।

গত দশ বছরের ঘটনাপ্রবাহ, ক্রমানুসারে:

খুঁটিনাটি বাদ দিয়ে দেখলে, একই চারটি ব্যর্থতা বারবার ফিরে আসে।

১ · ডেটা প্রথম থেকেই কখনো তালাবদ্ধ ছিল না

২০২৩ সালের জন্মনিবন্ধনের এই ফাঁস খুঁজে পান বিটক্র্যাক সাইবার সিকিউরিটির (Bitcrack Cyber Security) গবেষক ভিক্টর মারকোপৌলোস (Viktor Markopoulos), ২৭ জুন ২০২৩ তারিখে। তিনি বাংলাদেশের ওপর কোনো আক্রমণ চালাচ্ছিলেন না। তিনি স্রেফ একটা এসকিউএল এরর মেসেজ গুগলে সার্চ করছিলেন, আর সেই ডেটাবেজটাই চলে আসে সার্চের দ্বিতীয় ফলাফল হিসেবে। তিনি টেকক্রাঞ্চকে (TechCrunch) বলেছিলেন, ‘ডেটাটা খুঁজে পাওয়া এতটাই সহজ ছিল যে, আমি তো এটা খোঁজারই চেষ্টা করছিলাম না।’

আসলে তিনি গিয়ে পড়েছিলেন একটা এপিআই এন্ডপয়েন্টের (API endpoint) ওপর — অর্থাৎ এমন একটা ইউআরএল, যা ব্যবহার করে কোনো ওয়েব অ্যাপ্লিকেশন পর্দার আড়াল থেকে ডেটা নিয়ে আসে — আর এটা যে কাউকেই জন্মনিবন্ধনের আবেদন দেখিয়ে দিত। শুধু রিকোয়েস্টের নম্বরটা বদলে দিলেই মিলে যেত অন্য কারও রেকর্ড: তার ইমেইল, ফোন, জন্মস্থান, বাসার ঠিকানা।

সহজ ভাষায় বললে বিষয়টা এরকম। একটা ওয়েব অ্যাপ্লিকেশন যেন অসংখ্য দরজাওয়ালা একটা ভবন। অথেন্টিকেশন হলো সদর দরজার তালা — আপনি যা দাবি করছেন, আপনি সত্যিই সেই ব্যক্তি কি না, তার প্রমাণ। অথরাইজেশন হলো ভেতরের প্রতিটা দরজার তালা — এই নির্দিষ্ট মানুষটার এই নির্দিষ্ট ঘরে ঢোকার অনুমতি আছে কি না, তা যাচাই করা। এই পোর্টালটার একটা সদর দরজা ছিল ঠিকই। কিন্তু ভেতরের একটা দরজাতেও কোনো তালা ছিল না।

এ ধরনের ব্যর্থতার একটা নাম আছে — ব্রোকেন অ্যাক্সেস কন্ট্রোল (broken access control) — আর ২০২১ সাল থেকে এটাই ওয়েব অ্যাপ্লিকেশনের ঝুঁকির শিল্প-মানদণ্ড তালিকা ‘ওডব্লিউএএসপি টপ টেন’-এর (OWASP Top Ten) শীর্ষে বসে আছে। পৃথিবীর ওয়েব সফটওয়্যারে এটাই সবচেয়ে বেশি দেখা যাওয়া গুরুতর দুর্বলতা। আর এটা খুঁজে বের করাও সবচেয়ে সস্তার কাজগুলোর একটি — একটা সংখ্যা বদলে দিন, তারপর দেখুন কী ফিরে আসে।

তৎকালীন তথ্য ও যোগাযোগ প্রযুক্তি প্রতিমন্ত্রী জুনাইদ আহমেদ পলক দৃঢ়তার সঙ্গে বলেছিলেন, ‘কোনো সরকারি ওয়েবসাইট হ্যাক হয়নি। ওয়েবসাইটের দুর্বলতার কারণেই নাগরিকদের তথ্য উন্মুক্ত হয়ে গেছে।’

সংকীর্ণ অর্থে তিনি ঠিকই বলেছিলেন। আর পুরো এই লেখার মধ্যে এটাই সবচেয়ে কম স্বস্তিদায়ক বাক্য। ‘হ্যাক হওয়া’ আর ‘খোলা রেখে দেওয়া’র মধ্যে পার্থক্যটা আসলে বলে দেয়, আক্রমণকারীকে কতটা পরিশ্রম করতে হয়েছিল। এটা আপনার ঝুঁকি কতটুকু, সে ব্যাপারে কিছুই বলে না। বরং একরকম উল্টোটাই সত্যি — এটা আরও খারাপ। কারণ ‘হ্যাক’ শব্দটা বোঝায়, কাউকে দক্ষ হতে হয়েছে। আর এখানে দরকার ছিল শুধু একটু কৌতূহল।

২ · দরজায় কোনো কলিং বেল নেই

মারকোপৌলোস সঠিক কাজটাই করেছিলেন, আর সেটা চালিয়েও গিয়েছিলেন। তিনি ২৭ জুন বিজিডি ই-গভ সার্টকে (BGD e-GOV CIRT) — দেশের জাতীয় কম্পিউটার ইনসিডেন্ট রেসপন্স টিম — ইমেইল করেন। এরপর আবার ২৮ জুন, ৩ জুলাই, ৪ জুলাই, ৫ জুলাই আর ৭ জুলাই। এগারো দিনে ছয়টা ইমেইল। প্রথম ইমেইলের শুরুতেই তিনি লেখেন, ‘আমি আপনাদের একটা গুরুতর নিরাপত্তা দুর্বলতার কথা জানাতে লিখছি, যা আমি সম্প্রতি খুঁজে পেয়েছি।’ সঙ্গে যোগ করেন, ‘আপনাদের নাগরিকদের গোপনীয়তা আর নিরাপত্তা রক্ষা করাই আমার একমাত্র উদ্দেশ্য।’

কোনো জবাব আসেনি। এরপর টেকক্রাঞ্চ যোগাযোগ করে সার্টের সঙ্গে, সরকারের প্রেস অফিসের সঙ্গে, ওয়াশিংটনের দূতাবাস আর নিউইয়র্কের কনস্যুলেটের সঙ্গে। তাদের কাছ থেকেও কোনো সাড়া মেলেনি।

টেকক্রাঞ্চ প্রতিবেদনটি প্রকাশ করে ৭ জুলাই। ৮ জুলাই সার্ট একটা প্রেস বিজ্ঞপ্তি দেয়, যেখানে বলা হয় তারা বিষয়টা ‘দ্রুততার সঙ্গে’ সমাধান করেছে এবং ‘তড়িৎ একটা পূর্ণাঙ্গ তদন্ত শুরু করে নিজেদের পেশাদারিত্ব ও দক্ষতা প্রমাণ করেছে।’ ৯ জুলাই ডেটাটা সরিয়ে ফেলা হয় — অর্থাৎ প্রথম প্রতিবেদন প্রকাশের প্রায় দুই সপ্তাহ পর।

এই ঘটনাক্রমটা আরেকবার পড়ুন। যা পাল্টেছিল, সেটা বাগের গুরুত্ব নয়। সেটা ছিল একটা বিদেশি সংবাদমাধ্যমের হস্তক্ষেপ।

এর সমাধান প্রায় বিনামূল্যেই সম্ভব। আরএফসি ৯১১৬ (RFC 9116) নামে একটা ইন্টারনেট স্ট্যান্ডার্ড আছে, যা অনুযায়ী /.well-known/security.txt নামে একটা সাধারণ টেক্সট ফাইল রাখা যায়, যেখানে থাকে নিরাপত্তা সংক্রান্ত রিপোর্ট পাঠানোর একটা যোগাযোগের ঠিকানা। পুরো প্রক্রিয়াটা এতটুকুই। একটা ফাইল, একটা মনিটর করা ইনবক্স যার পেছনে একজন মানুষ আছেন, আর একটা নিয়ম যে প্রতিটা রিপোর্টের প্রাপ্তিস্বীকার হবে এক কর্মদিবসের মধ্যে। এটাই সবচেয়ে সস্তা নিরাপত্তা ব্যবস্থা, অথচ যে দেশ একটা আন্তর্জাতিক সূচকে ‘টেকনিক্যাল মেজার্স’ খাতে পুরো নম্বর পেয়েছে, তার কাছেও নির্ভরযোগ্যভাবে এই একটা ফাইল নেই।

তার চেয়েও খারাপ কথা: সাইবার নিরাপত্তা আইন ২০২৩, কিংবা ২০২৫ সালের মে মাসে সেই আইনের জায়গায় আসা সাইবার সিকিউরিটি অধ্যাদেশ ২০২৫ — কোনোটাতেই সরল বিশ্বাসে করা নিরাপত্তা গবেষণার জন্য স্পষ্ট কোনো আইনি সুরক্ষা (সেফ হারবার) নেই। ফলে যে গবেষক খোলা দরজাটা খুঁজে পান, তাঁকে দাঁড়াতে হয় এমন একটা আইনি কাঠামোর সামনে, যেখানে তাঁর জন্য নির্দিষ্ট কোনো জায়গাই রাখা নেই — অথচ যে প্রতিষ্ঠান দরজাটা খোলা রেখেছিল, তাকে ২০২৭ সাল পর্যন্ত কার্যত কোনো জবাবদিহিই করতে হচ্ছে না।

৩ · ঝুঁকিটা ‘সীমানা’র ভেতরে থাকে না

২০২৩ সালের সেই ফাঁসের উৎস নির্বাচন কমিশনের নিজস্ব দুর্গের ভেতরে ছিল না। কমিশনের নিজস্ব একজন কর্মকর্তার ব্যাখ্যা অনুযায়ী, তাদের এক পার্টনার প্রতিষ্ঠান এমন ডেটা জমা রেখেছিল, যা তাদের রাখার কথাই ছিল না।

এনআইডি সার্ভারের সঙ্গে যুক্ত এমন পার্টনার প্রতিষ্ঠান ছিল ১৭৪টি।

এটাই সেই কাঠামোগত সত্যি, যেদিকে প্রায় কেউই তাকাতে চায় না। ১৭৪টি স্বতন্ত্র নিরাপত্তা বাজেট, নিয়োগ-মান, প্যাচ দেওয়ার নিয়ম, আর কর্মী বিদায়ের প্রক্রিয়া — আর প্রতিটাই ১২ কোটি মানুষের পরিচয়-তথ্যের একটা জ্যান্ত কল খুলে বসে আছে। এই ব্যবস্থার শক্তি নির্ভর করে সবচেয়ে দুর্বল অংশগ্রহণকারীর ওপর, অথচ কে সেই সবচেয়ে দুর্বল অংশগ্রহণকারী, তা কেউ যাচাই করে দেখছে না।

এরপর আছে এমন একটা সংস্করণ, যেখানে সফটওয়্যারের কোনো ত্রুটিরই দরকার পড়ে না। জানুয়ারি ২০২৬-এর সিআইডির মামলায় কোনো ‘এক্সপ্লয়েট’ জড়িত ছিল না। জড়িত ছিলেন বেতনভুক দুজন মানুষ, যাঁরা নিজেদের বৈধ লগইন দিয়েই ৩ লাখ ৬৫ হাজার বার তথ্য খুঁজেছেন। এনটিএমসির ঘটনাটার শেষ হয়েছিল এভাবে যে, মনিটরিং সেন্টার তাদের ন্যাশনাল ইন্টেলিজেন্স প্ল্যাটফর্মে অ্যান্টি-টেররিজম ইউনিট আর র‍্যাব-৬-এর প্রবেশাধিকার কেড়ে নেয় — অর্থাৎ রাষ্ট্রের নিজস্ব নিরাপত্তা কাঠামোরই দুটো শাখা — কারণ তাদের কর্মকর্তারা প্রায় ১৫ হাজার মানুষের তথ্য বিক্রি করেছিলেন। আর ভোটার তালিকা তো একেবারে বৈধভাবেই প্রার্থীদের হাতে দেওয়া হয়েছিল, তারপর সেটাই আবার বিক্রি হয়ে গেছে।

দেশের সবচেয়ে স্পর্শকাতর পরিচয় ও যোগাযোগের তথ্য কোনো বিদেশি শত্রু নিয়ে যায়নি। এটা খুচরা বিক্রি করেছেন তাঁরাই, যাঁদের হাতে এই তথ্য রক্ষার দায়িত্ব দিয়ে পরিচয়পত্র (ক্রেডেনশিয়াল) দেওয়া হয়েছিল।

এর কারিগরি নাম হলো ‘অতিরিক্ত সুবিধা’ (excessive privilege) আর ‘অডিট লগিংয়ের অভাব’। মানবিক ভাষায় বললে বিষয়টা আরও সহজ: যদি যেকোনো কর্মচারী যেকোনো নাগরিকের রেকর্ড দেখতে পারেন, আর কে কী দেখেছেন তা কেউ পর্যালোচনা না করেন, তাহলে আপনি কোনো অ্যাক্সেস কন্ট্রোল সিস্টেম বানাননি। আপনি বানিয়েছেন একটা ‘সম্মানের ওপর নির্ভরশীল ব্যবস্থা’, যার সামনে শুধু একটা লগইন পেজ বসিয়ে দিয়েছেন।

এটাও লক্ষ করুন — সিআইডি ঠিকই বের করতে পেরেছিল কারা এই অনুসন্ধানগুলো চালিয়েছিলেন, কিন্তু সেটা ১০ কোটি টাকা খোয়া যাওয়ার পর। লগ তো ছিলই। শুধু কেউ সেগুলো পড়ছিলেন না। যে শনাক্তকরণ ব্যবস্থা শুধু ঘটনার পরেই কাজ করে, সেটা আসলে শনাক্তকরণ নয় — সেটা প্রত্নতত্ত্ব।

৪ · অস্বীকার করাটাই এখানে ‘ইনসিডেন্ট রেসপন্স প্ল্যান’

‘কোনো সরকারি ওয়েবসাইট হ্যাক হয়নি।’ — তথ্য ও যোগাযোগ প্রযুক্তি প্রতিমন্ত্রী, জুলাই ২০২৩।

‘আমাদের ব্যাংকে কোনো হ্যাকিং হয়নি।’ — অগ্রণী ব্যাংকের ব্যবস্থাপনা পরিচালক, জুন ২০২৪, ১২ হাজার গ্রাহকের ফাইল ডার্ক ওয়েবে চলে যাওয়ার পর। তিনি ব্যাখ্যা করেন, শুধু কর্মীদের ইমেইল অ্যাকাউন্ট আপস হয়েছিল।

সাত মাসের নীরবতা, তারপর একটা জিডি। — স্বপ্ন, ২০২৫–২৬।

এই প্রতিটি বক্তব্যই একধরনের প্রতিরক্ষামূলক পদক্ষেপ, যা প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে সংকীর্ণ অর্থে যুক্তিসঙ্গত মনে হলেও সামগ্রিকভাবে বিপর্যয়কর। কারণ প্রতিটি বক্তব্যই আসল প্রশ্নটাকে সরিয়ে দিয়ে একটা ‘পরিভাষা-বিতর্ক’ নিয়ে আসে — অথচ একজন গ্রাহকের কাছে একমাত্র গুরুত্বপূর্ণ প্রশ্ন হলো, আমার তথ্য কি ফাঁস হয়ে গেছে, আর আজ আমার কী করা উচিত?

এই প্রতিটি প্রতিষ্ঠানের হাতেই মাসের পর মাস সময় ছিল, যখন তারা মানুষকে বলতে পারত — প্রতারণামূলক কল আসতে পারে বলে সতর্ক থাকুন, কেউ আপনার এনআইডির সংখ্যা মুখস্থ বলে দিলেও সন্দেহ করুন, বারবার ব্যবহার করা পাসওয়ার্ড বদলে ফেলুন। এই সতর্কবার্তা দিতে প্রায় কোনো খরচই লাগে না, আর এতে ক্ষতি কমে বলে প্রমাণিতও হয়েছে। কিন্তু সেই সতর্কবার্তা দেওয়া হয়নি, কারণ সেটা দেওয়ার মানেই হলো ঘটনাটা মুখ ফুটে স্বীকার করে নেওয়া।

টিয়ার ১ · রোল-মডেলিং

এবার আসি হাস্যকর অংশে।

আইটিইউর (ITU) গ্লোবাল সাইবারসিকিউরিটি ইনডেক্স ২০২৪-এ বাংলাদেশ ১০০-তে ৯৬.৯৬ নম্বর পেয়ে জায়গা করে নেয় সর্বোচ্চ স্তর ‘টিয়ার ১’-এ — অর্থাৎ ‘রোল-মডেলিং’ ক্যাটাগরিতে — এশিয়া-প্যাসিফিকের এমন এগারোটি দেশের একটি, যাদের তালিকায় আছে জাপান, সিঙ্গাপুর আর অস্ট্রেলিয়াও। পাঁচটি মূল স্তম্ভের মধ্যে তিনটিতে — টেকনিক্যাল মেজার্স, অর্গানাইজেশনাল মেজার্স আর কো-অপারেশন — বাংলাদেশ পায় পূর্ণ ২০-এ ২০। ক্যাপাসিটি ডেভেলপমেন্টে পায় ১৯.৫২। সবচেয়ে দুর্বল স্তম্ভ ছিল লিগ্যাল, মাত্র ১৭.৪৪।

এই সূচক মিথ্যা বলছে না, আর যাঁরা এটা তৈরি করেছেন তাঁরাও ভুল কিছু করেননি। জিসিআই (GCI) আসলে মাপে প্রতিশ্রুতি — কী কী আইন খসড়া হয়েছে, কতগুলো সংস্থা গঠিত হয়েছে, কতগুলো কৌশলপত্র প্রকাশিত হয়েছে, কতগুলো চুক্তি সই হয়েছে। এটা একটা প্রাতিষ্ঠানিক উদ্দেশ্যের মাপকাঠি।

আমরা এতদিন এটাকে ফলাফলের রিপোর্ট কার্ড হিসেবে পড়ে এসেছি। কিন্তু এটা তা নয়। আপনি একই বছরে টেকনিক্যাল মেজার্সে পূর্ণ নম্বর পেতে পারেন, যে বছর একটা এপিআই যেকোনো অচেনা মানুষকে জন্মনিবন্ধনের সনদ দিয়ে দিচ্ছে শুধু ইউআরএলের একটা সংখ্যা বদলে দিলেই — কারণ সূচকটা জানতে চায়, আপনার একটা জাতীয় সার্ট আছে কি না; এটা জানতে চায় না যে সেই সার্ট ইমেইলের জবাব দেয় কি না।

এদিকে বাস্তব চিত্রটা হাতের কাছেই আছে, আর তা অনেক কম চাটুকারী। বিজিডি ই-গভ সার্ট নিজেই এক বছরে ম্যালওয়্যারে আক্রান্ত ২৫,০৩৮টি বাংলাদেশি আইপি ঠিকানা শনাক্ত করেছে, যেখানে র‍্যানসমওয়্যারের ঝুঁকিতে সবচেয়ে বেশি ছিল আর্থিক সেবা, বিমান পরিবহন, ওষুধশিল্প ও শিল্প খাত। ২০২৫ সালের জুনে উপস্থাপিত একটা গবেষণায় বাংলাদেশের বেসরকারি খাতের ৫৪টি ওয়েব অ্যাপ্লিকেশন — বিশ্ববিদ্যালয়, হাসপাতাল, সংবাদপত্র, কোম্পানি — ব্ল্যাক-বক্স পদ্ধতিতে পরীক্ষা করা হয়, আর দেখা যায় প্রতিটাতেই অন্তত একধরনের আক্রমণের দুর্বলতা আছে: ৮৫ শতাংশ এমন তথ্য ফাঁস করছিল যা করার কথা নয়, ৪৬ শতাংশ ক্রস-সাইট স্ক্রিপ্টিংয়ের ঝুঁকিতে ছিল, ৪০ শতাংশে ছিল সেই একই ‘ব্রোকেন অ্যাক্সেস কন্ট্রোল’ — যা ২০২৩ সালের সরকারি ফাঁসের পেছনেও দায়ী ছিল — আর ৭২ শতাংশের বৈধ এসএসএল/টিএলএস সার্টিফিকেটই ছিল না। ২০২৫ সালের জুলাইয়ে, প্রকাশ্যে ঘোষিত এক হ্যাকটিভিস্ট অভিযানের আগে, বাংলাদেশ ব্যাংক দেশের ব্যাংক আর আর্থিক প্রতিষ্ঠানগুলোকে যে জরুরি নির্দেশনা দিয়েছিল, তা ছিল — সার্ভার আর ডেটাবেজের প্যাচ আপডেট করুন।

সার্ভার প্যাচ করাটা কোনো জরুরি ব্যবস্থা নয়। এটা তো নিয়মিত রুটিন কাজ।

বাংলাদেশে এখন একটা তথ্য সুরক্ষা আইন আছে। এর যাত্রাপথ এ রকম: ২০২৫ সালের ৬ নভেম্বর ব্যক্তিগত তথ্য সুরক্ষা অধ্যাদেশ হিসেবে গেজেট প্রকাশ, ২০২৬ সালের ৫ ফেব্রুয়ারি অধ্যাদেশের মাধ্যমে সংশোধন, আর ২০২৬ সালের এপ্রিলে সংসদে পাস হয়ে ব্যক্তিগত তথ্য সুরক্ষা আইন হিসেবে কার্যকর হওয়া। প্রয়োগ-কাঠামো পুরোপুরি কার্যকর হওয়ার কথা প্রায় ২০২৭ সালের মে মাস নাগাদ।

আইনে বাস্তব কিছু বিষয়ও আছে। নাগরিকেরা পান নিজের তথ্য দেখার, সংশোধন করার আর মুছে ফেলার অধিকার। যেসব ফাঁসের ঘটনায় উল্লেখযোগ্য ক্ষতির আশঙ্কা থাকে, নিয়ন্ত্রকদের তা কর্তৃপক্ষকে জানাতে হবে। জরিমানার পরিমাণ সর্বোচ্চ ২৫ লাখ টাকা, আর নির্দিষ্টভাবে চিহ্নিত ‘গুরুত্বপূর্ণ তথ্য নিয়ন্ত্রক’দের জন্য সর্বোচ্চ ৫০ লাখ টাকা।

এবার দেখা যাক আইনটার গঠনটা আসলে কেমন।

রাষ্ট্র নিজেকে মোটামুটি রেহাই দিয়ে রেখেছে। ধারা ২৪ অনুযায়ী, জাতীয় নিরাপত্তা, জনশৃঙ্খলা আর অপরাধ প্রতিরোধের কারণ দেখিয়ে সম্মতির কাঠামোর বাইরে গিয়েও তথ্য প্রক্রিয়াকরণ করা যাবে — অথচ অধ্যাদেশে এই শব্দগুলোর কোনো সংজ্ঞাই দেওয়া নেই। ধারা ৫০ আর ৫৫ অনুযায়ী, ‘জরুরি প্রয়োজন’-এর অজুহাতে সরকার কর্তৃপক্ষকে নির্দেশ দিতে পারবে, এমনকি তথ্য সংরক্ষণ বা স্থানান্তরের নির্দেশও দিতে পারবে — কোনোরকম বিচারিক তদারকি ছাড়াই। বাংলাদেশের একজন লেখক এই আইনের যে শিরোনাম দিয়েছিলেন, তা যথার্থ: এমন একটা আইন, যা রাষ্ট্র ছাড়া বাকি সবার হাত থেকে আপনাকে বাঁচায়। এটা নিছক অলংকার নয় — কারণ ওপরে বর্ণিত আটটি ঘটনার মধ্যে পাঁচটিতেই জড়িত ছিল সরকারের হাতে থাকা তথ্য, আর তার মধ্যে দুটোয় খোদ সরকারি কর্মচারীরাই সেই তথ্য বিক্রি করেছিলেন।

নিয়ন্ত্রক জবাবদিহি করে নিয়ন্ত্রিতের কাছেই। পরিচালনা পর্ষদের সদস্যদের নিয়োগ দেয় সরকার, কোনো নির্ধারিত বা স্বচ্ছ প্রক্রিয়া ছাড়াই। এমন একটা তথ্য সুরক্ষা কর্তৃপক্ষ, যার প্রধান ‘অপরাধী’ই আবার তার নিয়োগকর্তা — সেটা কোনো নিয়ন্ত্রক সংস্থা নয়। সেটা একটা মন্ত্রণালয়ের শাখামাত্র।

শাস্তির মাত্রাটা উল্টো দিকে সাজানো। ধরুন, স্বপ্নর সেই ফাঁসটা ঘটেছে আইনটা কার্যকর হওয়ার পরে। ৪০ লাখ মানুষ, ২৭ কোটি রেকর্ড: সর্বোচ্চ প্রশাসনিক জরিমানা মাত্র ২৫ লাখ টাকা। মার্কিন ডলারে যা প্রায় ২০ হাজার — অর্থাৎ ক্ষতিগ্রস্ত প্রতিটি গ্রাহকপিছু আধা সেন্টেরও কম, আর যে নিরাপত্তা কাঠামো তৈরি করলে এই ফাঁসটাই হতো না, তার খরচের চেয়েও ঢের কম। অথচ সাইবার সিকিউরিটি অধ্যাদেশ ২০২৫-এর অধীনে গুরুতর অপরাধে সাজা হতে পারে দশ বছর পর্যন্ত কারাদণ্ড আর জরিমানা ১ কোটি টাকা পর্যন্ত, আর ন্যাশনাল সাইবার সিকিউরিটি এজেন্সির মহাপরিচালক আদালতের সম্পৃক্ততা ছাড়াই কনটেন্ট সরানোর বা ব্লক করার নির্দেশ দিতে পারেন।

অর্থাৎ: অনুমতি ছাড়া কোনো সিস্টেম স্পর্শ করলে গুনতে হতে পারে সর্বোচ্চ জরিমানার চার গুণ, সঙ্গে দশ বছরের জেল। আর ৪০ লাখ মানুষের জীবন এমন একটা সার্ভারে ফেলে রাখলে, যেখানে যে কেউ হেঁটে ঢুকে যেতে পারে — তার জন্য গুনতে হয় তার একাংশমাত্র, কোনো কারাদণ্ডের ঝুঁকিই নেই, উল্টো এক বছরের রেয়াতি সময়ও মেলে।

আমরা এমন একটা ব্যবস্থা তৈরি করেছি, যেখানে সৎ থাকাটা ব্যয়বহুল, আর অবহেলা করাটা সস্তা। নিরাপত্তার প্রশ্নে ‘ইনসেনটিভ’ বা প্রণোদনা কোনো পার্শ্ব-বিষয় নয়। প্রণোদনাই আসলে নিরাপত্তা। বাকি সবকিছু শুধু বাস্তবায়ন মাত্র।

প্রতিষ্ঠানগুলোর কথা আপাতত সরিয়ে রাখি। এবার দেখা যাক, হিসাবটা আপনার দিক থেকে কেমন দাঁড়ায়।

আপনার এনআইডি নম্বর, ফোন নম্বর, বাবা-মায়ের নাম, জন্মতারিখ, স্থায়ী ঠিকানা, আর — আপনি যদি স্বপ্ন থেকে কেনাকাটা করে থাকেন — কী কিনেছেন আর কবে কিনেছেন তার একটা লগ, এই সবকিছুই পাওয়া যায় মাত্র কয়েকশ টাকায়।

আর এই একই তথ্যগুলো দিয়েই যাচাই করা হয়, আপনি আসলেই আপনি কি না।

এক কথায় বললে, সমস্যাটা এখানেই। বাংলাদেশের পরিচয়-অবকাঠামো, ব্যাংকগুলো, আর মোবাইল আর্থিক সেবাগুলো — সবই দাঁড়িয়ে আছে এই ধারণার ওপর যে, এই তথ্যগুলো যে জানে, সে সম্ভবত আপনিই। এই ধারণাটা এখন মিথ্যা, আর বহু বছর ধরেই মিথ্যা, অথচ প্রতিদিন আপনি যে যাচাই-প্রক্রিয়ার মুখোমুখি হন, তার প্রায় কোনো অংশই এই বাস্তবতা মাথায় রেখে নতুন করে সাজানো হয়নি।

এর পরিণতি এখনই পরিমাপযোগ্য। ট্রান্সপারেন্সি ইন্টারন্যাশনাল বাংলাদেশের মোবাইল আর্থিক সেবা খাত নিয়ে করা এক গবেষণায় দেখা গেছে, প্রতি দশজন এমএফএস (MFS) ব্যবহারকারীর মধ্যে প্রায় একজন — অর্থাৎ ৯.৩ শতাংশ — প্রতারণার শিকার হয়েছেন। সিআইডির সেই মামলায় ৩ লাখ ৬৫ হাজার রেকর্ড এক মাসেই রূপ নিয়েছিল ১০ কোটি টাকায়। ঢাকা বিশ্ববিদ্যালয়ের ইনস্টিটিউট অব ইনফরমেশন টেকনোলজির অধ্যাপক বি এম মইনুল হোসেন ভোটার তালিকা প্রসঙ্গে যেমন বলেছেন, অপরাধীরা ফাঁস হওয়া তথ্য দিয়ে ভুয়া পরিচয়পত্র বানাতে পারে, নানা সেবার জন্য আবেদন করতে পারে, আর এটা ‘ব্যাংক ও আর্থিক প্রতিষ্ঠান-সংক্রান্ত প্রতারণাও সহজ করে দিতে পারে।’

পুরো প্রক্রিয়াটা আসলে বেশ সাদামাটা, আর ঠিক এই কারণেই এটা কাজ করে। আপনার ব্যাংক ভাঙার দরকারই পড়ে না কারও। শুধু এমনভাবে কথা বলতে হয়, যেন সে আগে থেকেই আপনাকে চেনে।

এই সপ্তাহেই যে সাতটা কাজ করা দরকার

1. ধরে নিন, আপনার এনআইডি নম্বর, ফোন, ঠিকানা আর বাবা-মায়ের নাম — সবই এখন প্রকাশ্য। ‘হতে পারে’ নয়। এগুলো আসলেই প্রকাশ্য। এগুলোকে আর গোপন তথ্য মনে করা বন্ধ করুন — আর তার চেয়েও জরুরি কথা, অন্য কেউ এই তথ্য বলে দিলে সেটাকে আর কোনো কিছুর ‘প্রমাণ’ হিসেবে মেনে নেবেন না।
2. ‘তথ্য জানা মানেই পরিচয়’ — এই পরীক্ষাটা বাদ দিন। কেউ যদি ফোনে আপনার এনআইডির সংখ্যা, আপনার ব্যাংক শাখা, বা সর্বশেষ কেনাকাটার কথা বলে দেয়, তাতে সে কিছুই প্রমাণ করেনি। এই তথ্যগুলো এখন শুধুই এক ধরনের ‘মজুদ পণ্য’। কাউকে নিজের পরিচয় প্রমাণ করতে হলে, সেটা করান এমন এক মাধ্যমে, যা আপনি নিজে শুরু করেছেন।
3. ফোনে আসা কারও কথায় কখনো তাৎক্ষণিক পা বাড়াবেন না। ফোন রেখে দিন। এরপর কল করুন আপনার কার্ডে ছাপা নম্বরে বা অফিসিয়াল অ্যাপে দেখানো নম্বরে — যে নম্বর তারা দিয়েছে, সেটায় নয়, আর যে নম্বর থেকে কল এসেছিল, সেটাতেও নয়। কোনো ব্যাংক বা এমএফএস প্রতিষ্ঠান কখনোই আপনার পিন বা ওটিপি জানতে চাইবে না। এমন কোনো ‘ভেরিফিকেশন বিভাগ’ নেই, কোনো ‘সিস্টেম আপগ্রেড’ নেই, কোনো জরুরি পরিস্থিতিই নেই — যা এই নিয়মটা বদলে দিতে পারে।
4. এসএমএস কোডের বদলে অথেন্টিকেটর অ্যাপের সুযোগ থাকলে, সেটাই বেছে নিন। সিম-সোয়াপ প্রতারণার মাধ্যমে এসএমএস আটকে দেওয়া বা অন্যদিকে সরিয়ে নেওয়া সম্ভব; কিন্তু আপনার নিজের ফোনে তৈরি হওয়া কোড এভাবে সরানো যায় না।
5. আপনার ইমেইল অ্যাকাউন্টে এমন একটা পাসওয়ার্ড দিন, যা আর কোথাও ব্যবহার করেন না, আর সবার আগে সেখানেই টু-ফ্যাক্টর অথেন্টিকেশন চালু করুন। আপনার ইনবক্সই আসল ‘মাস্টার কি’ — পৃথিবীর প্রতিটা ‘পাসওয়ার্ড ভুলে গেছি’ প্রক্রিয়া শেষমেশ গিয়ে থামে সেখানেই। একটা পাসওয়ার্ড ম্যানেজার ব্যবহার করুন। এখন ২০২৬ সাল; পাসওয়ার্ড মুখস্থ রাখাটা অনেক আগেই কোনো গুণ হওয়া বন্ধ হয়ে গেছে।
6. লেনদেনের অ্যালার্ট চালু রাখুন, আর সেগুলো সত্যিই পড়ুন। বেশিরভাগ ক্ষেত্রে অ্যাকাউন্ট দখল হয়ে যাওয়ার আঁচ স্টেটমেন্টে অনেক আগেই দেখা যায়, শুধু কেউ খেয়াল করেন না। নিজের দিক থেকে এই শনাক্তকরণটাই একমাত্র নিয়ন্ত্রণ, যা পুরোপুরি আপনার হাতে।
7. না ভেবেচিন্তে এনআইডির ফটোকপি দেওয়া বন্ধ করুন। ফটোকপি দেওয়ার আগে তার ওপর উদ্দেশ্য আর তারিখ লিখে দিন। জিজ্ঞেস করুন, এরপর এই কপিটার কী হবে। সাধারণত যে উত্তরটা পাবেন — একটা ফাঁকা দৃষ্টি — সেটাই আসলে আসল উত্তর।

কল্পনাবিলাসী কিছু নয়। এই আর্থিক বছরেই একটা সক্ষম প্রতিষ্ঠান যা করতে পারে।

আপনি যদি কোনো বোর্ডে থাকেন বা কোম্পানি চালান: এটাকে ‘আইটি সমস্যা’ বলা বন্ধ করুন। এটা একটা গভর্নেন্স সমস্যা, যার ওপরের আবরণটা শুধু টেকনিক্যাল।

• আরও বেশি মুছে ফেলুন। সবচেয়ে সস্তায় রক্ষা করা যায় সেই রেকর্ড, যা আপনার কাছে আর নেই। স্বপ্নর কেউ কখনো ইচ্ছা করে সিদ্ধান্ত নেননি যে মোবাইল নম্বরের সঙ্গে জোড়া লাগানো ২৭ কোটি লাইন-আইটেম রেখে দেবেন; স্টোরেজ সস্তা ছিল বলেই এটা জমতে জমতে বেড়ে গেছে, আর এই প্রশ্নের দায়িত্ব কারও ওপর ছিল না। একটা রিটেনশন শিডিউল তৈরি করুন, তার একজন নির্দিষ্ট দায়িত্বশীল ব্যক্তি রাখুন, আর নিশ্চিত করুন যে ডিলিশন প্রক্রিয়াটা সত্যিই চলে — তারপর যাচাই করুন সেটা হয়েছে কি না।
• গুরুত্বপূর্ণ সবকিছুতে ফিশিং-প্রতিরোধী মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করুন, বিশেষ করে ইমেইল আর প্রশাসনিক অ্যাকাউন্টে। এসএমএস দিয়ে নয়।
• নেটওয়ার্ক আলাদা আলাদা ভাগে ভাগ করুন (সেগমেন্টেশন)। একটামাত্র লিংকে ক্লিক করার কারণে যেন গোটা প্রধান কার্যালয় অচল না হয়ে যায়। যদি হতে পারে, তার মানে আপনি আসলে একটা স্টুডিও ফ্ল্যাট বানিয়ে সেটাকেই ‘ভবন’ বলে ডাকছেন।
• নির্দিষ্ট সময় অন্তর একটা পরিষ্কার পরিবেশে রিস্টোর করে দেখুন, ব্যাকআপ আসলেই কাজ করে কি না। কনসোলে একটা সবুজ টিক-চিহ্ন দেখা যাওয়াই ব্যাকআপের প্রমাণ নয়।
• একজন জবাবদিহিমূলক কর্মকর্তা নির্ধারণ করুন। একজন মানুষ, একটা পদবি নিয়ে, যাঁর পারফরম্যান্স রিভিউয়ে এই বিষয়টাও থাকবে। ‘আইটি’ কোনো মানুষের নাম নয়।
• কোনো আগুন জ্বলার আগেই ফাঁস-পরবর্তী যোগাযোগ পরিকল্পনা লিখে রাখুন। কে কথা বলবেন, প্রাথমিক বিবৃতিতে কী থাকবে, গ্রাহকদের সঙ্গে কীভাবে যোগাযোগ করা হবে, ৭২ ঘণ্টার সময়সীমাটা কীভাবে সামলানো হবে। এই লেখায় উল্লেখিত প্রতিটা প্রতিষ্ঠানকেই এটা বছরের সবচেয়ে খারাপ সপ্তাহে তাৎক্ষণিকভাবে বানাতে হয়েছে, আর সেটা স্পষ্ট বোঝাও গেছে।
• একটা security.txt প্রকাশ করুন, আর সেই ইনবক্স নজরে রাখুন। একটা ফাইল। একটা নিয়ম: প্রতিটা রিপোর্টের প্রাপ্তিস্বীকার এক কর্মদিবসের মধ্যে।
• আপনার তৃতীয় পক্ষগুলোর একটা তালিকা রাখুন। এই মুহূর্তে কার কার কাছে আপনার গ্রাহকদের তথ্যের কোনো এক্সপোর্ট করা কপি আছে? বেশিরভাগ প্রতিষ্ঠানই এই প্রশ্নের উত্তর দিতে পারে না — যার মানে হলো, উত্তরটা হলো, ‘আপনার ধারণার চেয়েও বেশি সংখ্যক প্রতিষ্ঠানের কাছে।’

আপনি যদি নীতিনির্ধারক হন: ঘাটতিটা আইনে নয়। ঘাটতিটা কাঠামো আর জবাবদিহিতে।

• একটা সময়সীমাসহ ফাঁস-বিজ্ঞপ্তির দায়বদ্ধতা তৈরি করুন, যা শুধু নিয়ন্ত্রকের প্রতি নয়, ব্যক্তির প্রতিও একটা দায়বদ্ধতা — আর জরিমানার পরিমাণ যেন রেকর্ডের সংখ্যার সঙ্গে সংগতিপূর্ণ হয়। একটা অভিন্ন ২৫ লাখ টাকার সর্বোচ্চ সীমা মানে হলো, ৪০ লাখ ভুক্তভোগীর জন্য জরিমানা আর ৪০০ জনের জন্য জরিমানা একই। এটা ঠিক করলেই এই লেখায় বর্ণিত অর্ধেক আচরণ এমনিতেই বদলে যাবে।
• একটা প্রকাশিত সার্ভিস-লেভেলসহ সার্ট গড়ে তুলুন। প্রতিটা রিপোর্টের লিখিত প্রাপ্তিস্বীকার এক কর্মদিবসের মধ্যে। ছয়টা ইমেইলের কোনো জবাব না দেওয়াটা কোনো পাদটীকা নয়, এটা কারও পদত্যাগ করার মতো ঘটনা হওয়া উচিত।
• সরল বিশ্বাসে করা নিরাপত্তা গবেষণার জন্য আইনি সুরক্ষা (সেফ হারবার) দিন। এখন যিনি আপনাকে বলছেন আপনার দরজা খোলা, তিনিই ঝুঁকিতে পড়েন, আর যিনি দরজাটা খোলা রেখেছিলেন, তিনি পড়েন না।
• সেই ১৭৪টি প্রতিষ্ঠান নিরীক্ষা করুন। এনআইডি সার্ভারে করা প্রতিটা সার্চের পেছনে একজন নির্দিষ্ট মানুষের নাম থাকা উচিত, তা অপরিবর্তনীয়ভাবে লগ হওয়া উচিত, আর নিয়মিত পর্যালোচনা হওয়া উচিত — ১০ কোটি টাকা চলে যাওয়ার পর সিআইডিকে দিয়ে পুনর্গঠন করানো নয়।
• নিয়ন্ত্রক সংস্থাকে স্বাধীন করুন, আর রাষ্ট্রের সর্বাত্মক অব্যাহতিটা তুলে দিন। যে তথ্য সুরক্ষা কর্তৃপক্ষ সরকারকেই তদন্ত করতে পারে না, সে আসলে দেশের সবচেয়ে বড় তথ্য-ধারকের হাত থেকে তথ্য রক্ষা করছে না।

এসবের কোনোটার জন্যই কোনো প্রতিভাবানের দরকার পড়েনি।

২০২৩ সালের সেই ফাঁস খুঁজে পেয়েছিলেন এমন একজন মানুষ, যিনি স্রেফ একটা এরর মেসেজ গুগলে খুঁজছিলেন। স্বপ্নর ফাঁসটা শুরু হয়েছিল কারও একটা ইমেইলের লিংকে ক্লিক করা দিয়ে। জানুয়ারি ২০২৬-এর সেই চক্রটা চলেছিল মুন্সীগঞ্জের এক অফিস সহকারী আর আগারগাঁওয়ের এক আউটসোর্সড ডেটা-এন্ট্রি অপারেটরের লগইন দিয়েই। ভোটার তালিকা তো চুরিই হয়নি; সেটা বিলি করা হয়েছিল, তারপর আবার বিক্রি হয়ে গেছে। এই গল্পের কোথাও কোনো ‘সুপারভিলেন’ নেই।

চোখ কুঁচকে তাকালে, এটাই বরং সুখবর। সাধারণ ব্যর্থতার সমাধানও সাধারণ। নতুন কিছু আবিষ্কারের দরকার নেই কারও। দরকার শুধু কাউকে একজন ‘দায়িত্বশীল’ বানানো — এমন একজন নির্দিষ্ট মানুষ, যাঁর চাকরি নির্ভর করে এই প্রশ্নের উত্তরের ওপর — তার বদলে, যে কেবল নিজেদের পেশাদারিত্বের প্রশংসা করে একটা প্রেস বিজ্ঞপ্তি ছেড়ে দেয়, অথচ ডেটাটা তখনও খোলাই পড়ে থাকে।

যতদিন না এটা বদলাচ্ছে, ততদিন বাজারদরটা একই থাকবে।

আড়াইশ টাকা। আমাদের সবার জন্যই।