গ্রেটার টরন্টো এরিয়া (জিটিএ)-র একাধিক স্কুল বোর্ডে গত বছরের শেষ দিকে সংঘটিত সাইবার হামলার ঘটনায় নতুন করে উঠে এসেছে উদ্বেগজনক তথ্য। শিক্ষার্থীদের ব্যক্তিগত তথ্য সুরক্ষার জন্য প্রয়োজনীয় ব্যবস্থা ও তদারকি দুটোরই স্পষ্ট ঘাটতি ছিল বলে অফিস অব দ্য ইনফরমেশন অ্যান্ড প্রাইভেসি কমিশনার (আইপিসি)-এর তদন্তে প্রমাণিত হয়েছে। শুধু তাই নয়, সাইবার হামলার পর জরুরি প্রতিক্রিয়া জানানোর মতো কার্যকর কোনো পরিকল্পনাও ছিল না এই শিক্ষা প্রতিষ্ঠানগুলোর।
তদন্ত প্রতিবেদনে বলা হয়েছে, ২০২৪ সালের ২২ থেকে ২৮ ডিসেম্বরের মধ্যে টরন্টো ডিস্ট্রিক্ট স্কুল বোর্ড (টিডিএসবি) প্রথম বড় ধরনের সাইবার আক্রমণের শিকার হয়। হামলাকারীরা শিক্ষার্থী ও কর্মীদের তথ্য সংরক্ষণের জন্য ব্যবহৃত ক্লাউডভিত্তিক প্ল্যাটফর্ম PowerSchool-এ ঢুকে বিপুল পরিমাণ তথ্য বেহাত করে। গুরুত্বপূর্ণ ব্যক্তিগত তথ্য চুরি করে পরে তারা মুক্তিপণ দাবি করতে শুরু করে।
এই সময়ের মধ্যেই জিটিএর আরও কয়েকটি বড় স্কুল বোর্ড ডারহাম ডিস্ট্রিক্ট স্কুল বোর্ড, পিল ডিস্ট্রিক্ট স্কুল বোর্ড এবং ইয়র্ক রিজিয়নাল ডিস্ট্রিক্ট স্কুল বোর্ড সমানভাবে সাইবার আক্রমণের মুখে পড়ে। ফলে জিটিএজুড়ে শিক্ষার্থী, কর্মী ও অভিভাবকদের মধ্যে তীব্র উদ্বেগ ছড়িয়ে পড়ে।
PowerSchool কর্তৃপক্ষ জানিয়েছে, চুরি হওয়া তথ্য যেন অনলাইনে প্রকাশ না করা হয় এই নিশ্চয়তার জন্যই তারা মুক্তিপণ পরিশোধ করতে বাধ্য হয়। তবে তার পরেও ২০২৫ সালের ৪ মে টিডিএসবি এবং অন্যান্য স্কুল বোর্ডের কাছে আবারও মুক্তিপণ দাবি আসে, যা ঘটনার গুরুত্ব আরও বাড়িয়ে দেয়।
টিডিএসবি আগে জানিয়েছিল, হামলাকারীরা ছাত্রছাত্রী ও কর্মীদের যে তথ্য চুরি করেছে তার মধ্যে ছিল – স্বাস্থ্য কার্ড নম্বর, বাড়ির ঠিকানা (১৯৮৫ সালের সেপ্টেম্বরের পরের রেকর্ড), ভর্তি সংক্রান্ত নথি, এ্যাটেনডেন্স ডেটা এবং কর্মীদের ব্যক্তিগত তথ্য। আইপিসি জানায়, শুধুমাত্র অন্টারিওতেই প্রায় ৩৮ লাখ ৬০ হাজার মানুষ এই তথ্য চুরির ঘটনায় আক্রান্ত হয়েছেন। আর কানাডাজুড়ে ক্ষতিগ্রস্তের সংখ্যা প্রায় ৫২ লাখ, যা সাম্প্রতিক সময়ের অন্যতম বড় সাইবার নিরাপত্তা সংকট বলে বিবেচিত হচ্ছে।
আইপিসির প্রতিবেদনে উঠে এসেছে কয়েকটি গুরুতর অভিযোগ। যেমন –
যৌক্তিক সাইবার নিরাপত্তা ব্যবস্থা ছিল না:
স্কুল বোর্ডগুলোর সিস্টেমে অননুমোদিত প্রবেশ রোধ করার জন্য প্রয়োজনীয় ফায়ারওয়াল, অডিটিং বা মনিটরিং ব্যবস্থা যথেষ্ট ছিল না।
তদারকির ঘাটতি:
তথ্য ব্যবস্থাপনা ও নিরাপত্তার বিষয়ে কর্তৃপক্ষের নজরদারি শিথিল ছিল।
সাইবার হামলার পর প্রতিক্রিয়া জানানোর পরিকল্পনার অভাব:
জরুরি পরিস্থিতিতে কীভাবে দ্রুত ব্যবস্থা নিতে হবে এ বিষয়ে কোনো প্রস্তুতি বা সুনির্দিষ্ট নির্দেশনা ছিল না।
তথ্য সংরক্ষণে অনিয়ম:
সংবেদনশীল ব্যক্তিগত তথ্য সংরক্ষণে ন্যূনতম মানদণ্ডও অনেক ক্ষেত্রে পালন করা হয়নি, যা প্রতিষ্ঠানগুলোর বড় ধরনের ব্যর্থতা।
স্কুল বোর্ডগুলোর কাছে থাকা তথ্যগুলো সাধারণত সবচেয়ে সংবেদনশীল শিশুদের পরিচয়, ঠিকানা, স্বাস্থ্য নম্বর, শিক্ষাগত রেকর্ড ইত্যাদি। এই তথ্য ভুল হাতে গেলে পরিচয় চুরি, জালিয়াতি, এমনকি দীর্ঘমেয়াদি আর্থিক ক্ষতির ঝুঁকি তৈরি হয়। বিশেষজ্ঞদের মতে, শিক্ষা প্রতিষ্ঠানগুলো এখন সাইবার অপরাধীদের প্রধান লক্ষ্যগুলোর একটি, কারণ তারা বিপুল তথ্য ধারণ করে কিন্তু নিরাপত্তা ব্যবস্থা অনেক ক্ষেত্রেই দুর্বল।
আইপিসি তদন্ত শেষে পরিষ্কারভাবে জানিয়েছে – স্কুল বোর্ডগুলোকে অবিলম্বে তাদের তথ্য নিরাপত্তা নীতি হালনাগাদ করতে হবে, নিরাপত্তা ব্যবস্থা জোরদার করতে হবে এবং ভবিষ্যৎ আক্রমণ মোকাবিলায় জরুরি প্রতিক্রিয়া পরিকল্পনা তৈরি করতে হবে। এছাড়া আক্রান্ত ব্যক্তিদের তথ্য সুরক্ষায় আলাদা সহায়তা প্রোগ্রাম চালুরও সুপারিশ করা হয়েছে।
This article was written by Sohely Ahmed Sweety as part of the LJI.