সাইবার হামলার আশঙ্কায় বিশ্বের বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইটের মতো বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইটও বন্ধ রাখা হয়েছে। কেন্দ্রীয় ব্যাংক জানিয়েছে, সতর্কতামূলক ব্যবস্থা হিসেবে সাময়িকভাবে ওয়েবসাইটটি বন্ধ করা হয়েছে।
গতকাল বৃহস্পতিবার, ২২ অক্টোবর সন্ধ্যা থেকে কেন্দ্রীয় ব্যাংকের ওয়েবসাইটে প্রবেশ করা যাচ্ছে না। আজ শুক্রবার সন্ধ্যা পর্যন্তও ওয়েবসাইটটি বন্ধ রয়েছে।
ওয়েবসাইটে প্রবেশের চেষ্টা করলে ইংরেজিতে একটি বার্তা দেখা যাচ্ছে। এতে বলা হয়েছে, রক্ষণাবেক্ষণের কাজ চলায় সেবাটি সাময়িকভাবে বন্ধ রয়েছে এবং শিগগিরই ওয়েবসাইটটি আবার চালু করা হবে।
বাংলাদেশ ব্যাংকের মুখপাত্র আরিফ হোসেন খান বিবিসি বাংলাকে জানিয়েছেন, বৈশ্বিকভাবে সাইবার হামলার ঝুঁকি তৈরি হওয়ায় বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়েছে।
তাঁর ভাষ্য, “সারা বিশ্বের বিভিন্ন কেন্দ্রীয় ব্যাংক একই ধরনের ব্যবস্থা নিচ্ছে। বাণিজ্যিক ব্যাংকগুলোও ব্যবস্থা নিচ্ছে। আর আমাদের কাছে তথ্য রয়েছে, বেশ কিছু ব্যাংকও তাদের সেবা বন্ধ রেখেছে।”
সাইবার হামলার আশঙ্কায় এরপর থেকেই বিভিন্ন দেশের সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট বন্ধ রাখা হয়েছে।
বাংলাদেশ ব্যাংকের ওয়েবসাইট কবে চালু হতে পারে, জানতে চাইলে আরিফ হোসেন খান বলেন, “সম্ভাব্য তারিখ বলা যায় না। গতকাল থেকে আমাদের আইটি টিম নিরবচ্ছিন্নভাবে কাজ করে যাচ্ছে”।
তিনি আরও বলেন, “যত দ্রুত নিরাপত্তা নিশ্চিত করে ওয়েবসাইট চালু করা যায়, সেই চেষ্টা করছি। সিকিউরিটি নিশ্চিত না করে চালু করে যাতে কোনো বিপদে না পড়ি আমরা। সিকিউরিটি ফার্স্ট,” যোগ করেন তিনি।
তবে ওয়েবসাইট বন্ধ থাকায় অন্যান্য ব্যাংকের দৈনন্দিন কার্যক্রমে কোনো প্রভাব পড়ছে কি না, তা নিয়ে প্রশ্ন উঠেছে। একই সঙ্গে দেশের ব্যাংকিং কার্যক্রম স্বাভাবিকভাবে চলছে কি না, সেটিও জানতে চাইছেন অনেকে।
ওয়েবসাইট বন্ধে ব্যাংকিং লেনদেনে প্রভাব পড়ছে?
বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ থাকলেও ব্যাংকিং কার্যক্রম স্বাভাবিক প্রক্রিয়ায় চলছে। কেন্দ্রীয় ব্যাংকের কর্তৃপক্ষ এবং দেশের একাধিক বেসরকারি ব্যাংকের ব্যবস্থাপনা পরিচালক এ তথ্য নিশ্চিত করেছেন।
বাংলাদেশে ব্যাংকারদের সংগঠন অ্যাসোসিয়েশন অব ব্যাংকার্স বাংলাদেশের (এবিবি) সাবেক চেয়ারম্যান এবং মিউচুয়াল ট্রাস্ট ব্যাংক (এমটিবি) পিএলসির ব্যবস্থাপনা পরিচালক ও প্রধান নির্বাহী সৈয়দ মাহবুবুর রহমান বিবিসি বাংলাকে বলেন, “আমাদের লেনদেনে বা কোর ব্যাংকিং সিস্টেমে সমস্যা হয়নি”।
বাংলাদেশ ব্যাংকের মুখপাত্র আরিফ হোসেন খানও বলেন, “লেনদেন চলছে। তবে গতি একটু কম”।
তিনি জানান, বাংলাদেশ ব্যাংকের ওয়েবসাইটে কোনো ত্রুটি রয়েছে কি না, তা পরীক্ষা করা হচ্ছে।
তবে ওয়েবসাইট বন্ধ থাকায় কোন কোন সেবা কার্যক্রম ব্যাহত হচ্ছে, সে বিষয়ে বিস্তারিত জানাতে পারেননি খান।
সাধারণ মানুষ, ব্যাংক, ব্যবসাপ্রতিষ্ঠান ও গবেষকেরা বাংলাদেশ ব্যাংকের ওয়েবসাইট থেকে বিভিন্ন অর্থনৈতিক তথ্য, নীতিমালা, প্রজ্ঞাপন ও পরিসংখ্যান সংগ্রহ করেন।
ফলে ওয়েবসাইট বন্ধ থাকায় এসব তথ্য সংগ্রহে সাময়িক অসুবিধা হচ্ছে।
এ প্রসঙ্গে বাংলাদেশ অ্যাসোসিয়েশন অব সফটওয়্যার অ্যান্ড ইনফরমেশন সার্ভিসেসের (বেসিস) সাবেক সভাপতি ফাহিম মাশরুর বিবিসি বাংলাকে বলেন, “বাংলাদেশ ব্যাংকের ওয়েবসাইটে মূলত থাকে ইনফরমেশন। মানি ট্রানজেকশন সিস্টেমের সঙ্গে ওয়েবসাইটের কোনো সম্পর্ক নেই।”
মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসির চিফ ডিজিটাল অফিসার খালিদ হোসেনও বলেন, “ওয়েবসাইটের সঙ্গে লেনদেনের প্রযুক্তিগত কানেকশন নাই। বাংলাদেশ ব্যাংকের ওয়েবসাইট মূলত কিছু তথ্য শেয়ার করে।”
তিনি আরও বলেন, “ওয়েবসাইট বন্ধ হলেই কাজে প্রভাব পড়ে- এমন কোনো ব্যাপার নেই”।
পিএইচপির ত্রুটির সুযোগে হ্যাকাররা কী ক্ষতি করতে পারে?
মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসির চিফ ডিজিটাল অফিসার খালিদ হোসেন বলেন, পিএইচপির নিরাপত্তা ত্রুটির সুযোগ নিয়ে হ্যাকাররা কোনো ব্যাংকের ওয়েবসাইটের নিয়ন্ত্রণ নিতে পারে। এ ক্ষেত্রে ওয়েবসাইটে থাকা তথ্য পরিবর্তন বা বিকৃত করার পাশাপাশি নিজেদের পছন্দমতো বার্তা কিংবা ছবি প্রদর্শন করতে পারে তারা।
উদাহরণ হিসেবে তিনি বলেন, কোনো ওয়েবসাইট হ্যাক করে সেখানে পতাকা বসিয়ে দেওয়া বা ব্যাংকের নাম পরিবর্তন করে দেওয়া সম্ভব।
তবে ব্যাংকের সাধারণ ওয়েবসাইট হ্যাক হলেই গ্রাহকদের অর্থ বা ব্যাংকিং লেনদেনের তথ্য হ্যাকারদের হাতে চলে যাবে, বিষয়টি এমন নয় বলে জানান তিনি।
কারণ, ব্যাংকের ওয়েবসাইটে সাধারণত প্রতিষ্ঠানের পরিচিতি, বার্ষিক প্রতিবেদনসহ জনসাধারণের জন্য উন্মুক্ত তথ্য থাকে। সেখানে গ্রাহকদের ব্যক্তিগত তথ্য বা আর্থিক লেনদেনের বিবরণ সংরক্ষণ করা হয় না।
খালিদ হোসেনের ভাষ্য অনুযায়ী, ব্যাংকের মূল লেনদেন পরিচালিত হয় পৃথক কোর ব্যাংকিং সিস্টেমের মাধ্যমে।
তিনি বলেন, “কোর ব্যাংকিং সিস্টেম আলাদা কোডিং ও প্ল্যাটফর্মে চলে। বিশ্বের বিভিন্ন ব্যাংক টিসিএস, ওরাকল বা ইনফোসিসের মতো প্রতিষ্ঠানের তৈরি সফটওয়্যার ব্যবহার করে। এগুলো এন্টারপ্রাইজ পর্যায়ের সফটওয়্যার, যেখানে একাধিক স্তরের নিরাপত্তাব্যবস্থা থাকে। এগুলোয় পিএইচপি ব্যবহার করা হয় না।”
খালিদ হোসেন জানান, সাইবার হামলার সতর্কতা পাওয়ার পর মিউচুয়াল ট্রাস্ট ব্যাংক তাদের চার-পাঁচটি ওয়েব পোর্টালের নিরাপত্তা পরীক্ষা করেছে। কয়েকটি পোর্টাল সাময়িকভাবে বন্ধ রেখে প্রয়োজনীয় আপডেট দেওয়ার পর সেগুলো আবার চালু করা হয়েছে।
তবে সাইবার হামলার ঝুঁকি পুরোপুরি দূর করা সম্ভব নয় বলে মনে করেন তিনি।
তাঁর মতে, হ্যাকাররা প্রতিনিয়ত নতুন প্রযুক্তি ও কৌশল ব্যবহার করে। এ ধরনের হামলার পেছনে মানুষের অসতর্কতাও দায়ী। তাই প্রযুক্তিগত নিরাপত্তা নিশ্চিত করার পাশাপাশি কর্মীদের সচেতনতা বাড়ানোও জরুরি।
এ সময় তিনি আরও বলেন, “চলমান পরিস্থিতিতে হ্যাকাররা কন্ট্রোল নিতে পারলেও তারা নিজেরাই কনফিউজড। লাখ লাখ হ্যাকার তাদের সাইট রক্ষা করতে চেষ্টা করছে। কারণ এটা একটা আইডেন্টিটি”।
এ ধরনের সাইবার হামলার ঝুঁকি মোকাবিলায় করণীয় কী?
ব্যাংক খাতসংশ্লিষ্ট ব্যক্তিরা বলছেন, সাইবার হামলার আশঙ্কা দেখা দিলে প্রাথমিক সতর্কতামূলক ব্যবস্থা হিসেবে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা যেতে পারে। এতে হ্যাকাররা নিরাপত্তা ত্রুটির সুযোগ নিয়ে প্রতিষ্ঠানের অভ্যন্তরীণ সিস্টেমে প্রবেশের সুযোগ পাবে না। তাঁদের মতে, এ বিবেচনায় বাংলাদেশ ব্যাংকের পদক্ষেপ যথার্থ।
মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসির চিফ ডিজিটাল অফিসার খালিদ হোসেন বলেন, “এই প্র্যাকটিস সারা বিশ্বেই। এসব ক্ষেত্রে প্রথম নিয়ম হলো- সোর্স অব অ্যাটাককে অফলাইনে নিয়ে যাওয়া”।
তিনি আরও বলেন, “গ্লোবালি মেজরিটি ওয়েবসাইট পিএইচপি-তে করা হয়। এই ধরনের সংকটে ওরা আপগ্রেডেশন করতে বলে। শুধু তো আপডেট করলে হয় না, এটাকে টেস্ট করতে হয়, রিইন্সটলেশন করতে হয়, এগুলো করতে একটু সময় লাগে। তাই, ওয়েবসাইট বন্ধ রেখে ব্যাকএন্ডে এই কাজগুলো করতে হবে।”
বেসিসের সাবেক সভাপতি ফাহিম মাশরুরও বলেন, “কেন্দ্রীয় ব্যাংক তাদের ওয়েবসাইট বন্ধ করেছে পরীক্ষণ হিসেবে। সে হিসেবে ঠিক-ই আছে। কিন্তু ভালনারেবল কতটা, তা বিশ্লেষণ না করে বোঝা যাবে না। এটাকে সলভ করে চালু করতে কতদিন লাগে তা একটা ফ্যাক্টর।”
তিনি আরও বলেন, “প্রাইভেট ব্যাংকগুলো বিদেশ থেকে প্রচুর সিকিউরিটির জিনিসপত্র কেনে। সরকারি প্রতিষ্ঠানগুলো যে পরিমাণ ভালনারেবল, সেই অর্থে প্রাইভেট প্রতিষ্ঠানের, বিশেষ করে ব্যাংকের ঝুঁকি কম।”
সাইবার হামলার ঝুঁকি সম্পর্কে কখন থেকে জানত ব্যাংকগুলো?
দুর্গাপূজা উপলক্ষে দেওয়া দীর্ঘ ছুটির বিষয়টি বিবেচনায় নিয়ে প্রায় ১৫ দিন আগে বাংলাদেশ ব্যাংক দেশের সব ব্যাংককে সতর্ক করেছিল। তবে সেই নির্দেশনায় বর্তমান সাইবার নিরাপত্তাঝুঁকি সম্পর্কে কোনো ইঙ্গিত ছিল না।
এদিকে, গত ১৯ অক্টোবর তথ্য ও যোগাযোগপ্রযুক্তি বিভাগের জারি করা একটি পরিপত্রে ব্যাংক ও আর্থিক প্রতিষ্ঠানগুলোকে সাইবার নিরাপত্তা জোরদার করার নির্দেশনা দেওয়া হয়।
এতে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নিয়মিত নিরাপত্তাঝুঁকি যাচাই, সন্দেহজনক কার্যক্রম পর্যবেক্ষণ এবং সাইবার হামলা মোকাবিলায় বিশেষায়িত দল গঠনের কথা বলা হয়েছিল।
পাশাপাশি গুরুত্বপূর্ণ তথ্যের ব্যাকআপ সংরক্ষণ, অননুমোদিত প্রবেশ ঠেকাতে বাড়তি নিরাপত্তাব্যবস্থা গ্রহণ এবং সাইবার হামলার পর দ্রুত কার্যক্রম স্বাভাবিক করার প্রস্তুতি রাখার নির্দেশনাও দেওয়া হয়।
এরপর গতকাল বৃহস্পতিবার বাংলাদেশের সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট এ বিষয়ে সতর্কতা জারি করে। সতর্কবার্তায় বলা হয়, ওয়েবসাইট তৈরিতে ব্যবহৃত পিএইচপি প্রোগ্রামিং ভাষায় দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটির সুযোগ নিয়ে হ্যাকাররা ঝুঁকিপূর্ণ সার্ভারে অননুমোদিতভাবে প্রবেশ করে বিভিন্ন নির্দেশনা কার্যকর করতে পারে।
এ কারণে পিএইচপি ব্যবহারকারী সরকারি-বেসরকারি প্রতিষ্ঠানগুলোকে দ্রুত নিরাপত্তা আপডেট দেওয়ার পরামর্শ দিয়েছে সংস্থাটি। তাৎক্ষণিকভাবে আপডেট দেওয়া সম্ভব না হলে ঝুঁকি কমাতে সার্ভারে প্রবেশ নিয়ন্ত্রণসহ বিকল্প নিরাপত্তাব্যবস্থা নেওয়ার কথাও বলা হয়েছে।
মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসির চিফ ডিজিটাল অফিসার খালিদ হোসেন বিবিসি বাংলাকে বলেন, গত বুধবার দুপুর থেকেই সার্ট ব্যাংকগুলোকে অভ্যন্তরীণভাবে সাইবার হামলার ঝুঁকি সম্পর্কে সতর্ক করছে।
কেন তৈরি হয়েছে সাইবার হামলার আশঙ্কা?
অনেকেই হয়তো পিএইচপি সম্পর্কে জানেন না, অথচ প্রতিদিনই কোনো না কোনোভাবে এই প্রযুক্তির সঙ্গে যুক্ত ওয়েবসাইট ব্যবহার করেন। পিএইচপির পূর্ণ নাম ‘পিএইচপি: হাইপারটেক্সট প্রিপ্রসেসর’।
অনলাইন শপ, উইকিপিডিয়া ও ওয়ার্ডপ্রেসসহ অসংখ্য প্ল্যাটফর্মে পিএইচপি ব্যবহৃত হয়। ব্লগসহ অনেক ওয়েবসাইটের পেছনে থাকা কনটেন্ট ম্যানেজমেন্ট সিস্টেমেও এই প্রযুক্তি কাজ করে।
গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বিবিসিকে বলেন, “আপনি যখন উইকিপিডিয়ার মতো কোনো ওয়েবসাইট পরিদর্শন করেন, তখন পিএইচপি হলো সেই কোড যা আপনার প্রয়োজনীয় তথ্য সংগ্রহ করে এবং ওয়েবে পড়ার উপযোগী করে তা উপস্থাপন করে। কিন্তু এমন একটি ত্রুটির কারণে, যার মাধ্যমে আক্রমণকারীরা প্রমাণীকরণ ছাড়াই প্রভাবিত ওয়েব সার্ভারগুলোর নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারত, পিএইচপি-র ওপর নির্মিত সবকিছুই অরক্ষিত হয়ে পড়েছিল।”
স্পেনের মতে, কৃত্রিম বুদ্ধিমত্তা বা এআই এ ধরনের আক্রমণ আরও সহজ ও দ্রুত করে তুলতে পারে। তাঁর ধারণা, এই ত্রুটি “লাখ লাখ” ওয়েবসাইটকে প্রভাবিত করতে পারে।
পিএইচপিতে ত্রুটি শনাক্ত হওয়ার পর বিশ্বজুড়ে সরকার ও সাইবার নিরাপত্তা সংস্থাগুলো তৎপর হয়ে উঠেছে। ওয়েবসাইট পরিচালনাকারীদের নতুন জরুরি সমাধান ইনস্টল করতে অথবা নিজেদের প্ল্যাটফর্ম সাময়িকভাবে অফলাইনে নেওয়ার বিষয়টি বিবেচনা করতে আহ্বান জানানো হয়েছে।
যে সাইবার নিরাপত্তা সংস্থা উইজের গবেষকেরা এই দুর্বলতাগুলো শনাক্ত করেছেন, তারা ত্রুটিগুলোকে এআইয়ের সহায়তায় এযাবৎ শনাক্ত হওয়া “সবচেয়ে গুরুতর” বলে বর্ণনা করেছেন।
ওপেনএআই, যাদের প্রযুক্তি ব্যবহার করে এই ত্রুটিগুলো খুঁজে বের করা হয়েছিল, আবিষ্কারটিকে “সাম্প্রতিক কালের অন্যতম প্রভাবশালী নিরাপত্তা সমস্যা” বলে অভিহিত করেছে।
এই ত্রুটির সুযোগ নিয়ে হ্যাকাররা ওয়েবসাইটের সার্ভারের নিয়ন্ত্রণ নিতে কিংবা তথ্য চুরি করতে পারে।
বার্তা সংস্থা রয়টার্সের খবরে বলা হয়েছে, এই আশঙ্কায় জার্মানি, ফ্রান্স, নেদারল্যান্ডস ও বেলজিয়ামসহ বিভিন্ন দেশের সরকারি-বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে।
ফিনল্যান্ড সরকার, এডিনবরা কাউন্সিল ও বিবিসি তাদের ওয়েবসাইট বা পেজগুলো অফলাইনে নিয়ে গেছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও তাদের ওয়েবসাইট সরিয়ে নিয়েছে।
এমনকি গেমিং প্ল্যাটফর্ম থেকে শুরু করে অনলাইন ফোরামের সেবাও ব্যাহত হয়েছে।
এর মধ্যে রয়েছে অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালনাকারী সংস্থা উইকিমিডিয়া। সতর্কতামূলক ব্যবস্থা হিসেবে সংস্থাটি তাদের বেশ কিছু সিস্টেম বন্ধ করে দিয়েছে।
কাউন্সিল ও স্বাস্থ্য বোর্ডসহ স্কটল্যান্ডের বেশ কয়েকটি সরকারি সংস্থাও তাদের ওয়েবসাইট অফলাইনে নিয়ে গেছে।
কিছু বিশেষজ্ঞ সতর্ক করেছেন, এই দুর্বলতার কারণে যথাযথ রক্ষণাবেক্ষণের অভাবে থাকা ওয়েবসাইটগুলো বেশি ঝুঁকিতে পড়তে পারে। বিশেষ করে সীমিত নিরাপত্তা সংস্থান রয়েছে, এমন ছোট প্রতিষ্ঠানগুলোর ওয়েবসাইটের ঝুঁকি বেশি।
ইউএনএসডব্লিউ সিডনির সাইবার নিরাপত্তা গবেষক সলিল কানহেরে বলেছেন, প্রযুক্তিগত বিবরণগুলো এখন জনসমক্ষে প্রকাশিত হওয়ায় আগামী কয়েক সপ্তাহে এই ত্রুটিগুলো কাজে লাগানোর আরও প্রচেষ্টা দেখা যেতে পারে।
