UK Department for Education-এর 2026 সালের তথ্য ফাঁস

বিভাগের বিবৃতি অনুযায়ী, ঘটনায় গ্রাহকসেবার কাজে ব্যবহৃত যোগাযোগের তথ্য ক্ষতিগ্রস্ত হয়েছে। বিভাগ জানিয়েছে, তারা National Cyber Security Centre ও National Crime Agency-এর সঙ্গে কাজ করছিল, ঘটনাটি Information Commissioner's Office-কে জানিয়েছিল এবং ক্ষতিগ্রস্ত পক্ষগুলোর সঙ্গে যোগাযোগ রাখছিল।

BBC, Computer Weekly ও UKAuthority আলাদাভাবে একই ঘটনা, হেল্পডেস্ককে লক্ষ্য করে চালানো হামলা এবং বিভাগের বিবৃতি নিয়ে প্রতিবেদন প্রকাশ করেছে। এসব সূত্র নিশ্চিত করেছে যে 6,07,000 হলো রেকর্ডের সংখ্যা এবং ব্যাংকসংক্রান্ত তথ্য ও ধরন প্রকাশ না করা অন্যান্য সংবেদনশীল তথ্য এ ঘটনায় জড়িত ছিল না।

প্রতিবেদন অনুযায়ী, হামলাটি 2026 সালের জুলাইয়ের শেষ সপ্তাহে হয়েছিল। তবে ঠিক কোন দিনে প্রথম অননুমোদিত প্রবেশ ঘটেছিল, তা প্রকাশ করা হয়নি। তাই ক্যাটালগে দেওয়া 1 জুলাই তারিখটি কেবল মাস নির্দেশ করে; এটিকে হামলা, ঘটনা শনাক্ত হওয়া বা প্রকাশের সুনির্দিষ্ট তারিখ হিসেবে ধরে নেওয়া যাবে না।

হামলায় বিভাগের একটি বহির্মুখী হেল্পডেস্ক ক্ষতিগ্রস্ত হয়, যার মাধ্যমে বিদ্যালয়ের নেতৃত্বস্থানীয় ব্যক্তি, স্থানীয় কর্তৃপক্ষ ও উচ্চশিক্ষা প্রতিষ্ঠানের কর্মীদের সঙ্গে যোগাযোগ করা হতো। সাময়িকভাবে ক্ষতিগ্রস্ত সেবাগুলোর মধ্যে Turing Scheme পোর্টালের নামও উল্লেখ করা হয়েছিল। বিভাগ জানিয়েছে, তারা সিস্টেমগুলো অফলাইনে নিয়ে দ্রুত ঘটনাটি নিয়ন্ত্রণে আনে।

ক্ষতিগ্রস্ত তথ্যের যেসব ধরন নিশ্চিত করা হয়েছে, সেগুলো হলো নাম, ইমেইল ঠিকানা, ফোন নম্বর ও পদবি। এসব তথ্য গ্রাহকসেবার রেকর্ডে ছিল। রেকর্ডগুলো সরকারি কর্মকর্তা, বিদ্যালয়ের জ্যেষ্ঠ নেতৃত্বস্থানীয় ব্যক্তি, বিশ্ববিদ্যালয়ের কর্মী এবং বিভাগের হেল্পডেস্কে যোগাযোগ করা প্রতিষ্ঠানগুলোর সঙ্গে সম্পর্কিত ছিল।

বিভাগ জানিয়েছে, ব্যাংকসংক্রান্ত তথ্য ও অন্যান্য সংবেদনশীল তথ্য নেওয়া হয়নি। সূত্রগুলো পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পরিচয়পত্র, শিক্ষার্থীদের নথি, স্বাস্থ্যসংক্রান্ত রেকর্ড বা ব্যক্তিগত চিঠিপত্র ফাঁসের বিষয়টি নিশ্চিত করেনি। তাই এই তালিকাভুক্ত বিবরণে ওই তথ্যের ধরনগুলোর কোনোটি অন্তর্ভুক্ত করা হয়নি।

6,07,000 সংখ্যাটি পৃথক ব্যক্তির সংখ্যা নয়। কোনো ব্যক্তি বা প্রতিষ্ঠানের একাধিক হেল্পডেস্ক রেকর্ড থাকতে পারে। তাই রেকর্ডের মোট সংখ্যা থেকে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা হিসাব করা যায় না। এ কারণে ব্যক্তির সংখ্যা প্রকাশ করা হয়নি বলে দেখানো হয়েছে।

রেকর্ডের মোট সংখ্যা থেকে এটিও নিশ্চিত হয় না যে প্রতিটি রেকর্ডে চার ধরনের তথ্যই একসঙ্গে ছিল। প্রকাশ্য সূত্রগুলোতে তথ্যের ধরনভিত্তিক উপগোষ্ঠীগুলোর মোট সংখ্যা বা পৃথক ইমেইল ঠিকানার সংখ্যা দেওয়া হয়নি। তাই এমন কোনো সংখ্যা অনুমান করা হয়নি, আর হামলাকারীদের অযাচাইকৃত দাবিকেও আনুষ্ঠানিকভাবে স্বীকৃত ক্ষতির পরিসর হিসেবে ধরা হয়নি।

বিভাগ জানিয়েছে, তারা দ্রুত ক্ষতিগ্রস্ত সিস্টেমগুলো অফলাইনে নেয়, ঘটনাটি নিয়ন্ত্রণে আনে এবং সংশ্লিষ্ট জাতীয় সাইবার নিরাপত্তা ও আইন প্রয়োগকারী সংস্থাগুলোর সঙ্গে কাজ করে। Information Commissioner's Office-কে ঘটনাটি জানানোর ফলে এর তথ্য সুরক্ষাসংক্রান্ত দিকগুলোও আনুষ্ঠানিক নিয়ন্ত্রক প্রক্রিয়ার আওতায় এসেছে।

বিভাগের মূল্যায়ন অনুযায়ী, ব্যক্তিদের তথ্য সুরক্ষাসংক্রান্ত ঝুঁকি উচ্চ নয়। তবু নাম, পদবি ও যোগাযোগের তথ্য একসঙ্গে ব্যবহার করে বিশ্বাসযোগ্য মনে হয় এমন ফিশিং বার্তা তৈরি করা সম্ভব। এসব বার্তা বিভাগ, কোনো বিদ্যালয়, বিশ্ববিদ্যালয় বা Turing Scheme থেকে পাঠানো হয়েছে বলে উপস্থাপন করা হতে পারে।

অপ্রত্যাশিত কোনো বার্তা বা ফোনকল বিভাগ কিংবা কোনো শিক্ষা প্রতিষ্ঠান থেকে এসেছে বলে দাবি করা হলে প্রেরকের পরিচয় সতর্কভাবে যাচাই করুন। পাসওয়ার্ড, যাচাইকরণ কোড বা পেমেন্টের তথ্য চায় এমন লিংক ব্যবহার করবেন না। নিজে আলাদাভাবে খুঁজে পাওয়া বর্তমান আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে অনুরোধটি যাচাই করুন।

কোনো বার্তায় আপনার পদবি, বিদ্যালয় বা হেল্পডেস্কের সঙ্গে আগের যোগাযোগের তথ্য উল্লেখ থাকলে বিশেষ সতর্ক থাকুন। বিভাগ থেকে আপনার জন্য আলাদা নোটিশ পেলে, আপনার ঠিক কোন তথ্য ক্ষতিগ্রস্ত হয়েছে তা জানার প্রধান সূত্র হিসেবে সেই নোটিশ ব্যবহার করুন। সন্দেহজনক যোগাযোগের বিষয়টি আপনার প্রতিষ্ঠানের নিরাপত্তা দল এবং উপযুক্ত আনুষ্ঠানিক অভিযোগ জানানোর মাধ্যমে জানান।