CBSE: সিবিএসই-র অন-স্ক্রিন মার্কিং (ওএসএম) পোর্টাল হ্যাক হওয়ার দাবিকে ঘিরে দেশজুড়ে চাঞ্চল্য তৈরি হয়েছে। এক ১৯ বছরের তরুণ হ্যাকার দাবি করেছেন, তিনি সিস্টেমের একাধিক গুরুতর নিরাপত্তা ত্রুটি খুঁজে পেয়েছেন, যা ব্যবহার করে পরীক্ষকদের অ্যাকাউন্টে প্রবেশ করা সম্ভব ছিল।
সোশ্যাল মিডিয়ায় ওই পোর্টালে দুর্বলতা থাকার দাবি করেছিল নিসর্গ অধিকারী নামে ওই তরুণ। চলতি বছর দ্বাদশ শ্রেণির পরীক্ষা দিয়েছেন তিনি। নিজেকে ‘শখের সাইবার নিরাপত্তা গবেষক’ হিসেবে পরিচয় দিয়েছেন নিসর্গ। যদিও এই অভিযোগের জবাবে মঙ্গলবার সিবিএসই জানিয়েছে, যে পোর্টালটির কথা বলা হচ্ছে সেটি আসল মূল্যায়ন পোর্টাল নয়, বরং শুধুমাত্র অভ্যন্তরীণ পরীক্ষার জন্য ব্যবহৃত একটি টেস্টিং সাইট। ভারতের ইলেকট্রনিক্স ও তথ্য প্রযুক্তি মন্ত্রকের একজন ঊর্ধ্বতন কর্মকর্তা হিন্দুস্তান টাইমসকে জানিয়েছেন যে, পুরো বিষয়টি খতিয়ে দেখছে দেশের শীর্ষ সাইবার নিরাপত্তা সংস্থা 'সিইআরটি-ইন' (ইন্ডিয়ান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম)। ইতিমধ্যেই তারা সেন্ট্রাল বোর্ড অফ সেকেন্ডারি এডুকেশন (সিবিএসই)-কে এই ত্রুটির বিষয়ে সতর্ক করেছে। পাশাপাশি, সাইবার নিরাপত্তা সংক্রান্ত এই সমস্যাগুলি সমাধানের জন্য সিবিএসই-কে কিছু সুনির্দিষ্ট পদক্ষেপ নেওয়ার পরামর্শও দেওয়া হয়েছে, যা পরবর্তীতে বাস্তবায়িত করার দায়িত্ব নিয়েছে সংস্থাটি। গত ফেব্রুয়ারি মাসে সিইআরটি-ইন-এর কাছে নিসর্গ-এর কথিত নিরাপত্তা ত্রুটি প্রকাশ পাওয়ার পর কী পদক্ষেপ নেওয়া হয়েছে- সেই সংক্রান্ত এক প্রশ্নের জবাবে মন্ত্রকের ওই কর্মকর্তা এই প্রতিক্রিয়া জানান।
সিবিএসই পোর্টালের নিরাপত্তা বিতর্ক
এই বিতর্কের সূত্রপাত হয় এথিক্যাল হ্যাকার নিসর্গ অধিকারী সোশ্যাল মিডিয়া হ্যান্ডেলে দাবি করার পর। তিনি জানিয়েছিলেন যে ২০২৬ সালের ফেব্রুয়ারিতে তিনি ইলেকট্রনিক্স ও তথ্যপ্রযুক্তি মন্ত্রকের অধীনস্থ ইন্ডিয়ান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সার্ট-ইন)-কে অভিযোগ করেছিলেন যে ওএসএম পোর্টালে একাধিক দুর্বলতা রয়েছে। গত ২২ মে এই অভিযোগ এবং দাবি করেছিলেন তিনি। তবে সেই সময়ে তাঁর কথা কেউই গুরুত্ব দেননি। এর পরেই ডেদি দাস তা নিজের সোশ্যাল মিডিয়া হ্যান্ডেলে তা শেয়ার করেন। নিসর্গ অধিকারী দাবি করেন যে তিনি সিবিএসইর 'ওএসএম' পোর্টালে হ্যাক করে গুরুতর ত্রুটি খুঁজে পেয়েছেন। ওই পোর্টালে কী কী দুর্বলতা আছে তা সোশ্যাল মিডিয়ায় ‘স্ক্রিনশট’ দিয়ে তুলে ধরেছিলেন নিসর্গ। একই সঙ্গে নিজের ব্লগ পোস্টে নিসর্গ জানান, তিনি যে ত্রুটিগুলি চিহ্নিত করেছেন তার মধ্যে পাসওয়ার্ড, ব্যাঙ্ক বিবরণী এবং লগইন টোকেন ফাঁস হয়ে যাওয়ার মতো গুরুতর বিষয় অন্তর্ভুক্ত ছিল। এটি একজন পরীক্ষকের অ্যাকাউন্টের সম্পূর্ণ নিয়ন্ত্রণে নিতে পারতো।
{{/usCountry}}এই বিতর্কের সূত্রপাত হয় এথিক্যাল হ্যাকার নিসর্গ অধিকারী সোশ্যাল মিডিয়া হ্যান্ডেলে দাবি করার পর। তিনি জানিয়েছিলেন যে ২০২৬ সালের ফেব্রুয়ারিতে তিনি ইলেকট্রনিক্স ও তথ্যপ্রযুক্তি মন্ত্রকের অধীনস্থ ইন্ডিয়ান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সার্ট-ইন)-কে অভিযোগ করেছিলেন যে ওএসএম পোর্টালে একাধিক দুর্বলতা রয়েছে। গত ২২ মে এই অভিযোগ এবং দাবি করেছিলেন তিনি। তবে সেই সময়ে তাঁর কথা কেউই গুরুত্ব দেননি। এর পরেই ডেদি দাস তা নিজের সোশ্যাল মিডিয়া হ্যান্ডেলে তা শেয়ার করেন। নিসর্গ অধিকারী দাবি করেন যে তিনি সিবিএসইর 'ওএসএম' পোর্টালে হ্যাক করে গুরুতর ত্রুটি খুঁজে পেয়েছেন। ওই পোর্টালে কী কী দুর্বলতা আছে তা সোশ্যাল মিডিয়ায় ‘স্ক্রিনশট’ দিয়ে তুলে ধরেছিলেন নিসর্গ। একই সঙ্গে নিজের ব্লগ পোস্টে নিসর্গ জানান, তিনি যে ত্রুটিগুলি চিহ্নিত করেছেন তার মধ্যে পাসওয়ার্ড, ব্যাঙ্ক বিবরণী এবং লগইন টোকেন ফাঁস হয়ে যাওয়ার মতো গুরুতর বিষয় অন্তর্ভুক্ত ছিল। এটি একজন পরীক্ষকের অ্যাকাউন্টের সম্পূর্ণ নিয়ন্ত্রণে নিতে পারতো।
{{/usCountry}}তিনি জানান, 'আমি দেখেছি যে একজন ছদ্মবেশী ব্যক্তি যে কোনও পরীক্ষকের অ্যাকাউন্ট হিসাবে লগইন করতে এবং তাদের অ্যাকাউন্ট ব্যবহার করে শিক্ষার্থীদের উত্তরপত্র মূল্যায়ন ও নম্বর পরিবর্তন করতে পারতেন।' তিনি আরও যোগ করেন, 'যেহেতু এই প্ল্যাটফর্মটি প্রচুর সংখ্যক মূল্যায়নকারী ব্যবহার করেন এবং এটি সংবেদনশীল একাডেমিক ডেটা পরিচালনা করে, তাই এর নিরাপত্তা অত্যন্ত গুরুত্বপূর্ণ।' নিসর্গ ব্যাখ্যা করেন, ছদ্মবেশ ধারণের প্রক্রিয়ায় একটি মাস্টার পাসওয়ার্ড পাওয়া জড়িত ছিল যা সমস্ত সুরক্ষা প্রোটোকল এবং ওটিপি যাচাইকরণ বাতিল করে দেয়। তিনি বলেন, 'একজন নির্দিষ্ট পরীক্ষক হিসেবে লগইন করতে একজন হামলাকারীর কেবল লক্ষ্য ব্যবহারকারীর আইডি এবং স্কুল কোড প্রয়োজন, যার উভয়ই প্রকাশ্যে পাওয়া যায়। মাস্টার পাসওয়ার্ড একটি জেএস ফাইলে থাকে যা যে কেউ ডাউনলোড করতে পারে। আমি সার্ট-ইন-কে হ্যাকিং প্রক্রিয়ার একটি স্ক্রিন রেকর্ডিং পাঠিয়েছি।' তিনি আরও বলেন, 'একবার একটি মাস্টার পাসওয়ার্ড পেয়ে গেলে, এটি সমস্ত ওটিপি যাচাইকরণের প্রয়োজনীয়তা বাতিল করে দেয়। একজন ছদ্মবেশী সহজেই একজন পরীক্ষকের ইউজার আইডি পেয়ে একটি মাস্টার পাসওয়ার্ড দিয়ে লগইন করে শিক্ষার্থীদের উত্তরপত্র পরিবর্তন করতে পারতেন।'
নিসর্গ আরও জানান, মাস্টার পাসওয়ার্ড সরিয়ে ফেলা এবং সার্ভার সেটিংস শক্তিশালী করা ওএসএম পোর্টালকে আরও নিরাপদ করতে সাহায্য করতে পারে। তিনি মন্তব্য করেন, 'যে কোনও ওয়েব ডেভেলপার বা এআই এজেন্ট এটি করতে পারেন। ওএসএম পোর্টালটি সাইবার আক্রমণের জন্য কতটা অরক্ষিত এবং ফেব্রুয়ারি থেকে মে মাসের মধ্যে জানানো সত্ত্বেও এই দুর্বলতাগুলি এখনও ঠিক করা হয়নি, এটি হাস্যকর।' সিবিএসই-এর বিবৃতির জবাবে, নিসর্গ বলেন যে তিনি সার্ট-ইন-এ করা তার অভিযোগের প্রতি অটল এবং তিনি ত্রুটিগুলির চাক্ষুষ প্রমাণ শেয়ার করেছিলেন এবং সংস্থা থেকে একটি প্রাপ্তি স্বীকারও পেয়েছিলেন যে তারা লঙ্ঘন ঠিক করার জন্য কাজ করছে।
সিবিএসই-র প্রতিক্রিয়া
বিতর্ক দানা বাঁধতেই সেন্ট্রাল বোর্ড অফ সেকেন্ডারি এডুকেশন বিজ্ঞপ্তি জারি করে এই দাবিকে বিভ্রান্তিকর বলে উড়িয়ে দিয়েছে। সিবিএসই, 'এক্স’-এ একটি বিবৃতিতে জানায়, 'শুরুতেই স্পষ্ট করা হচ্ছে যে, উত্তরপত্র মূল্যায়নের জন্য ব্যবহৃত পোর্টালের ইউআরএলটি ভিন্ন ছিল এবং এটি ক্ষতিগ্রস্ত হয়নি, বা নিসর্গ অধিকারীর সোশ্যাল মিডিয়া পোস্টে উল্লিখিত দুর্বলতাগুলিও এতে নেই।' বোর্ড আরও যোগ করে, সোশ্যাল মিডিয়া পোস্টে উল্লিখিত ইউআরএল, cbse.onmark.co.in, কেবলমাত্র একটি পরীক্ষামূলক সাইট ছিল। এটি অভ্যন্তরীণ পরীক্ষা এবং পর্যালোচনার উদ্দেশ্যে নমুনা ডেটা দিয়ে তৈরি করা হয়েছিল। সিবিএসই আরও উল্লেখ করে, 'ওই পোর্টালে কোনো প্রকৃত মূল্যায়ন ডেটা, নম্বর বা অন্য কোনও তথ্য রাখা হয়নি।'