ট্রেনের সাধারণ যাত্রীদের জন্য অনলাইনে টিকিট ছাড়ার কয়েক দিন আগেই অ্যাডমিন ড্যাশবোর্ড ব্যবহার করে টিকিট ব্লক করার সুযোগ রয়েছে। চাইলেই এই সুযোগ নিতে পারেন ভেন্ডর প্রতিষ্ঠান ‘সহজ’-এর প্রতিনিধি ও রেলওয়ের বুকিং সহকারীরা। এভাবে টিকিট ব্লক করার বিষয়টি ধরা পড়েছে রেলওয়ের ই-টিকিটিং ব্যবস্থা নিয়ে করা আইটি অডিটে (নিরীক্ষা)। অডিটে ‘সহজ’ কর্মীদের পরিচালনায় প্রায় ১৬৯টি অ্যাডমিন অ্যাকাউন্টের তথ্য রয়েছে।
অডিট প্রতিবেদনে বলা হয়েছে, এতে সহজের প্রতিনিধি ও বুকিং সহকারীদের যোগসাজশে টিকিট কালোবাজারির সুযোগ রয়েছে।
২০২১-২২ থেকে ২০২৫-২৬ অর্থবছরের বিআরআইটিএস-এর কার্যক্রম নিয়ে করা এই অডিটে গুরুতর আরও অনিয়ম ধরা পড়েছে। এর মধ্যে রয়েছে বাংলাদেশ রেলওয়ে সমন্বিত টিকিটিং ব্যবস্থায় (বিআরআইটিএস) মূল ডেটাবেইস আমাজন ওয়েব সার্ভিসেসের (এডব্লিউএস) সিঙ্গাপুর অঞ্চলে ভার্চুয়াল প্রাইভেট ক্লাউডে থাকায় তা হ্যাক হলে যাত্রীদের নাম, মোবাইল ফোন নম্বর, জাতীয় পরিচয়পত্র বা জন্মনিবন্ধন নম্বর, ই-মেইল, ভ্রমণ ইতিহাস ও আর্থিক লেনদেনের তথ্য চুরি ও প্রতারণার ঝুঁকি রয়েছে। অডিট প্রতিবেদনে অনলাইন টিকিট বিক্রির আয়ের চেয়ে কম টাকা সরকারি কোষাগারে জমা দেওয়া, সিস্টেম দীর্ঘসময় অকার্যকর থাকায় সহজ লিমিটেডের কাছ থেকে ১ কোটি ৩৯ লাখ ৮৮ হাজার টাকা জরিমানা আদায় না করার তথ্য রয়েছে।
পরিবহন অডিট অধিদপ্তরের মহাপরিচালকের দপ্তর থেকে গত ১৬ আগস্ট বাংলাদেশ রেলওয়ের মহাপরিচালককে পাঠানো চিঠিতে আইটি অডিট দলের ইস্যু করা ২২টি অডিট মেমো গ্রহণ করে প্রয়োজনীয় ব্যবস্থা নিতে সুপারিশ করা হয়েছে।
সার্বিক বিষয়ে জানতে চাইলে গতকাল বৃহস্পতিবার বাংলাদেশ রেলওয়ের মহাপরিচালক মো. আফজাল হোসেন আজকের পত্রিকাকে বলেন, তাঁরা অডিট প্রতিবেদন পেয়েছেন এবং অডিটের বিষয়গুলো তাঁদের নজরে এসেছে। অডিট প্রতিবেদন তাঁরা গুরুত্বের সঙ্গে আমলে নিয়েছেন। পর্যালোচনা করে প্রতিটি পর্যবেক্ষণের যথার্থতা যাচাই করে সে অনুযায়ী জবাব দেওয়া হবে। প্রতিটি বিষয় পুঙ্খানুপুঙ্খভাবে পরীক্ষা-নিরীক্ষা করে প্রয়োজনীয় ব্যবস্থা নেওয়া হবে। তিনি বলেন, আগাম
টিকিট বুকিংয়ের বিষয়টিও খতিয়ে দেখা হচ্ছে। প্রয়োজনে অ্যাডমিন অ্যাকাউন্টগুলো রেলের নিয়ন্ত্রণে নেওয়া হবে। জরিমানা করা হলে রেলওয়ে ও সহজের মধ্যে পাওনা-দেনা সমন্বয়ের সুযোগ রয়েছে।
অডিটের তথ্য বলছে, বিআরআইটিএসের অ্যাডমিন ড্যাশবোর্ড ব্যবহার করে সাধারণ যাত্রীদের জন্য নির্ধারিত টিকিট অনলাইনে ছাড়ার কয়েক দিন আগেই ব্লক করে রাখার সুযোগ রয়েছে। চট্টগ্রাম ও সিলেট স্টেশনে বিষয়টি পরীক্ষা করে অডিট দল। চট্টগ্রাম স্টেশনের অ্যাডমিন ড্যাশবোর্ডে চলতি বছরের ২৭ জুলাই কক্সবাজার-ঢাকা রুটের পর্যটক এক্সপ্রেসের ১১ আগস্টের একটি আসন ‘Open For All’ কোটা থেকে ‘Only For Offline’ কোটায় ব্লক দেখানো হয়। অথচ নিয়ম অনুযায়ী ১১ আগস্টের টিকিট সাধারণ যাত্রীদের জন্য ১ আগস্ট সকাল ৮টায় অনলাইনে ছাড়ার কথা।
সিলেট স্টেশনে বিষয়টি পুনঃপরীক্ষা করে দেখা হয়। অডিটে বলা হয়েছে, সাধারণ যাত্রীদের জন্য টিকিট ছাড়ার ১-২ মিনিট আগে কোনো ভেন্ডর প্রতিনিধি টিকিট ‘Only For Offline’ কোটায় ব্লক করলে পরবর্তী ৩-৪ মিনিটে বুকিং সহকারীদের মাধ্যমে বিপুলসংখ্যক টিকিট বুক করা সম্ভব। তখন অনলাইনে চেষ্টা করা সাধারণ যাত্রীরা টিকিটগুলো বুকড বা বিক্রি হয়ে গেছে বলে দেখতে পারেন।
অডিটের মতে, এ ধরনের নিয়ন্ত্রণ ঘাটতির কারণে ভেন্ডর প্রতিনিধি ও বুকিং সহকারীদের যোগসাজশে যেকোনো রুটের ট্রেনের টিকিট কালোবাজারির সুযোগ রয়েছে। অ্যাডমিন ড্যাশবোর্ডে এসব কার্যক্রমের অ্যাকটিভিটি লগ বা অডিট লগ দেখার সুযোগ না থাকায় অনিয়ম শনাক্ত বা প্রতিরোধ করাও কঠিন।
এ বিষয়ে রেলের এক কর্মকর্তা বলেন, নিয়ম অনুযায়ী যাত্রার ১০ দিন আগে সকাল ৮টায় অনলাইন ও কাউন্টারে টিকিট বিক্রি শুরু হয়। তবে সিস্টেমে এরও পাঁচ দিন আগের টিকিটের তথ্য প্রস্তুত রাখা হয়। আগেভাগে এই তথ্য রাখার উদ্দেশ্য টিকিট বিক্রি করা নয়। বরং টিকিট বিক্রি শুরুর আগে ট্রেনের সময়সূচি, স্টেশন, আসনবিন্যাস ও কোটা পরিবর্তনের প্রয়োজন হলে তা সংশোধন করা। তিনি বলেন, টিকিট বিক্রি শুরুর দিন সকাল ৮টা ১৫ মিনিট পর্যন্ত কোনো ব্যবহারকারী আসন বা কোটা স্থানান্তর করতে পারেন না। এ ব্যবস্থা রাখা হয়েছে টিকিট বিক্রির কার্যক্রম নির্বিঘ্ন রাখতে, যাত্রীদের জন্য টিকিট আটকে রাখতে নয়।
শামিম রানা শামু নামের এক যাত্রী ১০ অক্টোবর সামাজিক যোগাযোগমাধ্যমে অভিযোগ করেন, সকাল ৮টায় টিকিট বিক্রি শুরুর কথা থাকলেও ৭টা ৫৯ মিনিটেই ৩৫ জনকে টিকিট বুকিং দিতে দেখা যায়। তখন অনলাইনে অপেক্ষায় ছিলেন ৫২৪ জন সক্রিয় ব্যবহারকারী। তাঁর সন্দেহ, বুকিং দেওয়া অ্যাকাউন্টগুলো অ্যাডমিনের হতে পারে। সকাল ৮টা ১ মিনিটের মধ্যেই ওই ট্রেনের সব টিকিট শেষ হয়ে যায়। অথচ সাধারণ যাত্রীর টিকিট কেটে বিকাশে মূল্য পরিশোধ করতে চার থেকে পাঁচ মিনিট লাগে।
চুক্তি অনুযায়ী, সহজের কর্মীদের শুধু সিস্টেমের হার্ডওয়্যার, সফটওয়্যার ও নেটওয়ার্ক রক্ষণাবেক্ষণের দায়িত্বে থাকার কথা। টিকিট বিক্রি, কোটা সমন্বয় বা আসন ব্লক-রিলিজের মতো কার্যক্রমে তাঁদের যুক্ত হওয়ার সুযোগ নেই।
তবে অডিটে সহজের কর্মীদের পরিচালনায় প্রায় ১৬৯টি অ্যাডমিন অ্যাকাউন্টের তথ্য পাওয়া গেছে। এসব অ্যাকাউন্ট দিয়ে কোটা সমন্বয়, আসন ব্লক-রিলিজ, কাউন্টার তৈরি ও টিকিট হস্তান্তরের মতো কাজ করা হচ্ছে।
চুক্তি অনুযায়ী, এ ধরনের প্রতিটি ঘটনায় ৫ হাজার টাকা জরিমানার বিধান থাকলেও বিআরআইটিএস চালুর পর প্রায় ১৬৩টি স্টেশনে ভেন্ডরের কর্মীদের মাধ্যমে এসব কার্যক্রম চললেও রেল কর্তৃপক্ষ কোনো জরিমানা করেনি বলে অডিটে উল্লেখ করা হয়েছে।
যাত্রীদের তথ্য সংরক্ষিত বিদেশে
অডিটে বলা হয়েছে, রেলভবনের নিজস্ব ডেটাসেন্টারে বিআরআইটিএসের মূল সার্ভার নেই। সেখানে শুধু এনআইডি যাচাইয়ের কাজে ব্যবহৃত এনআইডি স্টেজ সার্ভার রাখা হয়েছে। বিআরআইটিএসের সিস্টেম ও ডেটাবেইস এডব্লিউএসের সিঙ্গাপুর অঞ্চলে হোস্ট করা হয়েছে। ফলে ই-টিকিটের জন্য নিবন্ধন করে টিকিট কেনা নাগরিকদের ব্যক্তিগত ও আর্থিক তথ্য বিদেশে সংরক্ষিত হচ্ছে। অডিট প্রতিবেদনে বলা হয়েছে, নাগরিকদের এসব তথ্য হ্যাক বা ফাঁস হলে পরিচয় চুরি ও আর্থিক প্রতারণার ঝুঁকি রয়েছে। ভ্রমণ ইতিহাসে সাধারণ নাগরিকের পাশাপাশি উচ্চপদস্থ সরকারি কর্মকর্তা, সামরিক ও গোয়েন্দা বাহিনীর সদস্যদের তথ্যও থাকতে পারে।
রেলওয়ে ও সহজ লিমিটেডের চুক্তির কারিগরি শর্তের বি.২ অংশে বিআরআইটিএস রেলওয়ের নিজস্ব ডেটাসেন্টারে রাখার শর্ত রয়েছে। কিন্তু নিরীক্ষা প্রতিবেদনে বলা হয়েছে, সেই শর্ত লঙ্ঘন করে টিকিটিং ব্যবস্থাটি বিদেশি ক্লাউড সার্ভারে রাখা হয়েছে। ক্লাউড কম্পিউটিং নীতিমালা, ২০২১ অনুযায়ী দেশের নাগরিকদের ব্যক্তিগত বা আর্থিক তথ্য দেশের ভৌগোলিক সীমার বাইরে সংরক্ষণ না করার কথা বলা হয়েছে। প্রয়োজন হলে ব্যক্তিগত উপাত্ত সুরক্ষা আইন অনুযায়ী বাংলাদেশ কম্পিউটার কাউন্সিলের পরামর্শ ও পূর্বানুমোদনের কথাও রয়েছে। অডিটে বলা হয়েছে, এ ক্ষেত্রে কোনো প্রশাসনিক অনুমোদন নেওয়া হয়নি।
রেলের নিজস্ব সার্ভারে থাকা এনআইডি ভ্যালিডেশন সিস্টেম নিয়েও গুরুতর তথ্য পেয়েছে অডিট দল। সেখানে নির্বাচন কমিশনের অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস (এপিআই) ব্যবহার করে ৮৪ লাখ ৭৫ হাজার ৬৯টি এনআইডি ভেরিফিকেশন করা হয়েছে। এপিআই কল হয়েছে ১ কোটি ৬৫ লাখ ৭১ হাজার ২৮৫ বার।
অডিট প্রতিবেদনে বলা হয়, নাগরিকদের এনআইডি নম্বর, ছবি, জন্মতারিখ, ঠিকানা ও পারিবারিক তথ্যের মতো সংবেদনশীল তথ্য অনেক ক্ষেত্রে এনক্রিপশন বা হ্যাশিং ছাড়াই সংরক্ষণ করা হচ্ছে। এমনকি রেলের নিজস্ব সার্ভারে থাকা এনআইডি ভ্যালিডেশন সিস্টেম থেকে প্রায় ৮৫ লাখ নাগরিকের এনআইডি-সংক্রান্ত সংবেদনশীল তথ্যের পূর্ণাঙ্গ প্রোফাইল পিডিএফ আকারে ডাউনলোড করা সম্ভব। এ ছাড়া সহজ লিমিটেডের পাশাপাশি ‘ইন্টারলিংক টেকসফট লিমিটেড’-এর নামে আলাদা এপিআই কলিংয়ের অনুমতি তৈরি করা হয়েছে। দাপ্তরিক প্রয়োজন না থাকা সত্ত্বেও ওই প্রতিষ্ঠানের প্রতিনিধিদের রেলের নিজস্ব সার্ভারে প্রবেশাধিকার দেওয়ার তথ্য পাওয়া গেছে।
৮ কোটি টাকা কম জমা দেওয়া হয়েছে
অডিটে ২০২৪ সালের জুলাই থেকে ২০২৬ সালের জুন পর্যন্ত ২৪ মাসে ১৬৩টি স্টেশনের মধ্যে ১০টি স্টেশনের হিসাব পর্যালোচনা করা হয়। প্রতিবেদনে বলা হয়, পর্যালোচনায় অনলাইন টিকিট বিক্রির আয় থেকে সরকারি কোষাগারে ৮ কোটি ৫ লাখ ২৫ হাজার ১৫১ টাকা কম জমা দেওয়ার তথ্য পাওয়া গেছে। এর মধ্যে কমলাপুরে ৪ কোটি ৭৫ লাখ, চট্টগ্রামে ১ কোটি ৩ লাখ এবং রাজশাহীতে ৯৬ লাখ টাকার বেশি ঘাটতি রয়েছে। একই সময়ে ভ্যাট বাবদ ৩০ লাখ ২৭ হাজার ৯০২ টাকা কম জমা পড়ে। সব স্টেশনের হিসাব পূর্ণাঙ্গভাবে নিরীক্ষা করা হলে আরও অনিয়ম ধরা পড়তে পারে।
প্রতিবেদনে বলা হয়, বিআরআইটিএস দীর্ঘসময় অকার্যকর থাকায় সহজ লিমিটেডের কাছ থেকে ১ কোটি ৩৯ লাখ ৮৮ হাজার টাকা জরিমানা নির্ধারণ করা হলেও তা আদায় করা হয়নি।
অডিটে বিআরআইটিএসের সার্ভার ও ডেটাবেইসে এনআইডি, পাসপোর্ট ও মোবাইল ফোন নম্বরের মতো সংবেদনশীল তথ্য অরক্ষিত অবস্থায় সংরক্ষণের তথ্য পাওয়া গেছে।
দৃষ্টি আকর্ষণ করা হলে তথ্যপ্রযুক্তিবিদ তানভীর হাসান জোহা আজকের পত্রিকাকে বলেন, বাংলাদেশ রেলওয়ের ডিজিটাল ব্যবস্থায় প্রযুক্তি পরিচালনার দায়িত্ব বেসরকারি প্রতিষ্ঠানকে দেওয়া যেতে পারে, কিন্তু যাত্রীদের তথ্য, টিকিটের নিয়ন্ত্রণ, প্রশাসনিক প্রবেশাধিকার এবং রাজস্বের জবাবদিহি কোনোভাবেই ভেন্ডরের ওপর ছেড়ে দেওয়া যায় না। রেলওয়ের নিজস্ব দক্ষ আইটি বিভাগ, সাইবার নিরাপত্তা সক্ষমতা এবং স্বাধীন অডিট ব্যবস্থা প্রতিষ্ঠা এখন জরুরি।
রেলওয়ের ই-টিকিটিং ব্যবস্থা চালুর জন্য ২০২২ সালের ১৫ ফেব্রুয়ারি সহজ-সিনেসিস-ভিনসেন যৌথ উদ্যোগের সঙ্গে পাঁচ বছর মেয়াদি চুক্তি করে রেলওয়ে। ওই বছরের ২৬ মার্চ থেকে প্রতিষ্ঠানটি টিকিট বিক্রির দায়িত্ব নেয়। চুক্তির মেয়াদ ২০২৭ সালের ফেব্রুয়ারিতে শেষ হওয়ার কথা।
জানতে চাইলে সহজ লিমিটেড বিআরআইটিএস নিয়ে অডিট প্রক্রিয়াটি চলমান থাকায় বিষয়টি নিয়ে কোনো মন্তব্য করবে না বলে জানিয়েছে।