সাইবার হামলার আশঙ্কায় বিশ্বের অনেক প্রতিষ্ঠানের ওয়েবসাইটের মতোই বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইটও বন্ধ রাখা হয়েছে। কেন্দ্রীয় ব্যাংক বলছে, সতর্কতামূলক ব্যবস্থা হিসেবে সাময়িকভাবে এই ব্যবস্থা নেওয়া হয়েছে। বৃহস্পতিবার (২২ অক্টোবর) সন্ধ্যা থেকে কেন্দ্রীয় ব্যাংকের ওয়েবসাইটে প্রবেশ করা যাচ্ছে না। শুক্রবার (২৩ অক্টোবর) সন্ধ্যা পর্যন্ত এই ওয়েবসাইটে প্রবেশ করা যায়নি।

এতে প্রবেশের চেষ্টা করলে ইংরেজিতে লেখা একটি বার্তায় দেখা যাচ্ছে, রক্ষণাবেক্ষণের কাজ চলায় সেবাটি সাময়িকভাবে বন্ধ রয়েছে, শিগগিরই ওয়েবসাইটটি আবার চালু করা হবে।

বাংলাদেশ ব্যাংকের মুখপাত্র আরিফ হোসেন খান বিবিসি বাংলাকে জানিয়েছেন, বৈশ্বিকভাবে সাইবার হামলার ঝুঁকি তৈরি হওয়ায় বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়েছে।

তিনি বলেন, "সারা বিশ্বের বিভিন্ন কেন্দ্রীয় ব্যাংক একই ধরনের ব্যবস্থা নিচ্ছে। বাণিজ্যিক ব্যাংকগুলোও ব্যবস্থা নিচ্ছে। আর আমাদের কাছে তথ্য রয়েছে, বেশ কিছু ব্যাংকও তাদের সেবা বন্ধ রেখেছে।"

মূলত, বিশ্বজুড়ে অসংখ্য ওয়েবসাইট তৈরিতে পিএইচপি নামক একটি প্রোগ্রামিং ল্যাঙ্গুয়েজ ব্যবহৃত হয়। সম্প্রতি এই পিএইচপিতে দু'টি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে।

এরপর থেকেই বিভিন্ন দেশের সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট বন্ধ রাখা হয়েছে।

কবে নাগাদ বাংলাদেশ ব্যাংকের ওয়েবসাইট চালু হবে জানতে চাইলে আরিফ হোসেন খান বলেন, "সম্ভাব্য তারিখ বলা যায় না। গতকাল থেকে আমাদের আইটি টিম নিরবচ্ছিন্নভাবে কাজ করে যাচ্ছে"।

তিনি আরও বলেন, “যত দ্রুত নিরাপত্তা নিশ্চিত করে ওয়েবসাইট চালু করা যায়, সেই চেষ্টা করছি। সিকিউরিটি নিশ্চিত না করে চালু করে যাতে কোনো বিপদে না পড়ি আমরা। সিকিউরিটি ফার্স্ট”।

তবে প্রশ্ন হলো, বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ থাকলে কি অন্যান্য ব্যাংকের দৈনন্দিন কার্যক্রমে কোনো প্রভাব পড়ে? আর, বর্তমানে দেশের ব্যাংকিং কার্যক্রম স্বাভাবিকভাবে চলছে কি না।

ওয়েবসাইট বন্ধে ব্যাংকিং লেনদেনে প্রভাব পড়ছে?

বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ হলেও ব্যাংকিং কার্যক্রম স্বাভাবিক প্রক্রিয়ায় চলছে; এই ব্যাংকটির কর্তৃপক্ষ এবং বাংলাদেশের একাধিক বেসরকারি ব্যাংকের ব্যবস্থাপনা পরিচালক এ তথ্য নিশ্চিত করেছেন।

বাংলাদেশে ব্যাংকারদের সংগঠন অ্যাসোসিয়েশন অব ব্যাংকার্স বাংলাদেশের (এবিবি) সাবেক চেয়ারম্যান এবং মিউচুয়াল ট্রাস্ট ব্যাংক (এমটিবি) পিএলসির ব্যবস্থাপনা পরিচালক ও প্রধান নির্বাহী সৈয়দ মাহবুবুর রহমান বিবিসি বাংলাকে বলেন, "আমাদের লেনদেনে বা কোর ব্যাংকিং সিস্টেমে সমস্যা হয়নি"।

বাংলাদেশ ব্যাংকের মুখপাত্র আরিফ হোসেন খানও বলেন, "লেনদেন চলছে। তবে গতি একটু কম"।

তিনি জানান, বাংলাদেশ ব্যাংকের ওয়েবসাইটে কোনো ত্রুটি আছে কি না, তা পরীক্ষা করা করা হচ্ছে।

কিন্তু ওয়েবসাইট বন্ধ থাকায় কোন কোন সেবা কার্যক্রম ব্যাহত হচ্ছে, তা জানাতে পারেননি তিনি।

এমনিতে বাংলাদেশ ব্যাংকের ওয়েবসাইট থেকে সাধারণ মানুষ, ব্যাংক, ব্যবসাপ্রতিষ্ঠান ও গবেষকেরা বিভিন্ন অর্থনৈতিক তথ্য, নীতিমালা, প্রজ্ঞাপন এবং পরিসংখ্যান সংগ্রহ করেন।

ফলে ওয়েবসাইট বন্ধ থাকায় এসব তথ্য সংগ্রহে স্বাভাবিকভাবেই সাময়িক অসুবিধা হচ্ছে।

এ প্রসঙ্গে বাংলাদেশ অ্যাসোসিয়েশন অব সফটওয়্যার অ্যান্ড ইনফরমেশন সার্ভিসেসের (বেসিস) সাবেক সভাপতি ফাহিম মাশরুর বিবিসি বাংলাকে বলেন, "বাংলাদেশ ব্যাংকের ওয়েবসাইটে মূলত থাকে ইনফরমেশন। মানি ট্রানজেকশন সিস্টেমের সঙ্গে ওয়েবসাইটের কোনো সম্পর্ক নেই।"

মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসি'র চিফ ডিজিটাল অফিসার খালিদ হোসেনও বলেন, "ওয়েবসাইটের সঙ্গে লেনদেনের প্রযুক্তিগত কানেকশন নাই। বাংলাদেশ ব্যাংকের ওয়েবসাইট মূলত কিছু তথ্য শেয়ার করে।"

তিনি বলেন, "ওয়েবসাইট বন্ধ হলেই কাজে প্রভাব পড়ে- এমন কোনো ব্যাপার নেই,"।

পিএইচপির ত্রুটির সুযোগে হ্যাকাররা কী ক্ষতি করতে পারে?

মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসির চিফ ডিজিটাল অফিসার খালিদ হোসেন বলেন, পিএইচপির নিরাপত্তা ত্রুটির সুযোগ নিয়ে হ্যাকাররা কোনো ব্যাংকের ওয়েবসাইটের নিয়ন্ত্রণ নিতে পারে। সেক্ষেত্রে ওয়েবসাইটে থাকা তথ্য পরিবর্তন, বিকৃত করা কিংবা নিজেদের পছন্দমতো বার্তা বা ছবি প্রদর্শন করতে পারে তারা।

উদাহরণ হিসেবে তিনি বলেন, কোনো ওয়েবসাইট হ্যাক করে হয়তো কেউ পতাকা বসিয়ে দিতে পারে বা ব্যাংকের নাম পরিবর্তন করে দিতে পারে।

তাই, ব্যাংকের সাধারণ ওয়েবসাইট হ্যাক হওয়া মানেই যে গ্রাহকদের অর্থ বা ব্যাংকিং লেনদেনের তথ্য হ্যাকারদের হাতে চলে যাবে, বিষয়টি এমন নয় বলে জানান তিনি।

কারণ ব্যাংকের ওয়েবসাইটে সাধারণত প্রতিষ্ঠানের পরিচিতি, বার্ষিক প্রতিবেদনসহ জনসাধারণের জন্য উন্মুক্ত তথ্য থাকে। গ্রাহকদের ব্যক্তিগত বা আর্থিক লেনদেনের তথ্য সেখানে রাখা হয় না।

তার ভাষ্য অনুযায়ী, ব্যাংকের মূল লেনদেন পরিচালিত হয় পৃথক কোর ব্যাংকিং সিস্টেমের মাধ্যমে।

"কোর ব্যাংকিং সিস্টেম আলাদা কোডিং ও প্ল্যাটফর্মে চলে। বিশ্বের বিভিন্ন ব্যাংক টিসিএস, ওরাকল বা ইনফোসিসের মতো প্রতিষ্ঠানের তৈরি সফটওয়্যার ব্যবহার করে। এগুলো এন্টারপ্রাইজ পর্যায়ের সফটওয়্যার, যেখানে একাধিক স্তরের নিরাপত্তাব্যবস্থা থাকে। এগুলোয় পিএইচপি ব্যবহার করা হয় না।"

তিনি জানান, সাইবার হামলার সতর্কতা পাওয়ার পর মিউচুয়াল ট্রাস্ট ব্যাংক তাদের চার-পাঁচটি ওয়েব পোর্টালের নিরাপত্তা পরীক্ষা করেছে। কিছু পোর্টাল সাময়িকভাবে বন্ধ রেখে প্রয়োজনীয় আপডেট দেওয়ার পর আবার চালু করা হয়েছে।

তবে সাইবার হামলার ঝুঁকি পুরোপুরি দূর করা সম্ভব নয় বলে মনে করেন খালিদ হোসেন।

তার মতে, হ্যাকাররা প্রতিনিয়ত নতুন প্রযুক্তি ও কৌশল ব্যবহার করে। আর এ ধরনের হামলার পেছনে মানুষের অসতর্কতাও দায়ী। তাই প্রযুক্তিগত নিরাপত্তার পাশাপাশি কর্মীদের সচেতনতা বাড়ানোও জরুরি।

এসময় তিনি আরও বলেন, "চলমান পরিস্থিতিতে হ্যাকাররা কন্ট্রোল নিতে পারলেও তারা নিজেরাই কনফিউজড। লাখ লাখ হ্যাকার তাদের সাইট রক্ষা করতে চেষ্টা করছে। কারণ এটা একটা আইডেন্টিটি"।

এ ধরনের সাইবার হামলার ঝুঁকি মোকাবিলায় করণীয় কী?

ব্যাংক খাত সংশ্লিষ্টরা বলছেন, সাইবার হামলার আশঙ্কা দেখা দিলে প্রাথমিক সতর্কতা হিসেবে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা যেতে পারে, যাতে হ্যাকাররা সেটির নিরাপত্তা ত্রুটির সুযোগ নিয়ে প্রতিষ্ঠানের অভ্যন্তরীণ সিস্টেমে প্রবেশ করতে না পারে। সেই হিসেবে বাংলাদেশ ব্যাংক যথার্থ পদক্ষেপ নিয়েছে।

মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসি'র চিফ ডিজিটাল অফিসার খালিদ হোসেন বলেন, "এই প্র্যাকটিস সারা বিশ্বেই। এসব ক্ষেত্রে প্রথম নিয়ম হলো- সোর্স অব অ্যাটাককে অফলাইনে নিয়ে যাওয়া"।

"গ্লোবালি মেজরিটি ওয়েবসাইট পিএইচপি-তে করা হয়। এই ধরনের সংকটে ওরা আপগ্রেডেশন করতে বলে। শুধু তো আপডেট করলে হয় না, এটাকে টেস্ট করতে হয়, রিইন্সটলেশন করতে হয়, এগুলো করতে একটু সময় লাগে। তাই, ওয়েবসাইট বন্ধ রেখে ব্যাকএন্ডে এই কাজগুলো করতে হবে।"

বেসিসের সাবেক সভাপতি ফাহিম মাশরুরও বলছিলেন, "কেন্দ্রীয় ব্যাংক তাদের ওয়েবসাইট বন্ধ করেছে পরীক্ষণ হিসেবে। সে হিসেবে ঠিক-ই আছে। কিন্তু ভালনারেবল কতটা, তা বিশ্লেষণ না করে বোঝা যাবে না। এটাকে সলভ করে চালু করতে কতদিন লাগে তা একটা ফ্যাক্টর।"

তিনি এও বলেন, "প্রাইভেট ব্যাংকগুলো বিদেশ থেকে প্রচুর সিকিউরিটির জিনিসপত্র কেনে। সরকারি প্রতিষ্ঠানগুলো যে পরিমাণ ভালনারেবল, সেই অর্থে প্রাইভেট প্রতিষ্ঠানের, বিশেষ করে ব্যাংকের ঝুঁকি কম।"

সাইবার হামলার ঝুঁকি সম্পর্কে কখন থেকে জানত ব্যাংকগুলো?

দূর্গাপুজা উপলক্ষ্যে দেওয়া দীর্ঘ ছুটি বিবেচনায় নিয়ে প্রায় ১৫ দিন আগে বাংলাদেশ ব্যাংক দেশের সব ব্যাংককে সতর্ক করেছিলো। তবে সেই নির্দেশনায় বর্তমান সাইবার নিরাপত্তা ঝুঁকির কোনো ইঙ্গিত ছিল না।

এদিকে, গত ১৯শে অক্টোবর তথ্য ও যোগাযোগ প্রযুক্তি বিভাগের পক্ষ থেকে জারি করা একটি পরিপত্রে ব্যাংক ও আর্থিক প্রতিষ্ঠানগুলোকে সাইবার নিরাপত্তা জোরদার করার নির্দেশনা দেওয়া হয়েছে।

এতে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নিয়মিত নিরাপত্তা ঝুঁকি যাচাই, সন্দেহজনক কার্যক্রম পর্যবেক্ষণ এবং সাইবার হামলা মোকাবিলায় বিশেষায়িত দল গঠনের কথা বলা হয়েছিলো।

পাশাপাশি গুরুত্বপূর্ণ তথ্যের ব্যাকআপ সংরক্ষণ, অননুমোদিত প্রবেশ ঠেকাতে বাড়তি নিরাপত্তাব্যবস্থা এবং সাইবার হামলার পর দ্রুত কার্যক্রম স্বাভাবিক করার প্রস্তুতি রাখার কথাও বলা হয়েছে।

এরপর গতকাল বৃহস্পতিবার বাংলাদেশের সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট এ বিষয়ে সতর্কতা জারি করে। সেই সতর্কতায় বলা হয়েছে, ওয়েবসাইট তৈরিতে ব্যবহৃত পিএইচপি প্রোগ্রামিং ভাষায় দু'টি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটির সুযোগ নিয়ে হ্যাকাররা ঝুঁকিপূর্ণ সার্ভারে অননুমোদিতভাবে প্রবেশ করে বিভিন্ন নির্দেশনা কার্যকর করতে পারে।

এ কারণে পিএইচপি ব্যবহার করে এমন সরকারি-বেসরকারি প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপির নিরাপত্তা আপডেট দেওয়ার পরামর্শ দিয়েছে সংস্থাটি। তাৎক্ষণিকভাবে আপডেট দেওয়া সম্ভব না হলে ঝুঁকি কমাতে সার্ভারে প্রবেশ নিয়ন্ত্রণসহ বিকল্প নিরাপত্তাব্যবস্থা নেওয়ার কথা বলা হয়েছে।

মিউচুয়াল ট্রাস্ট ব্যাংক পিএলসি'র চিফ ডিজিটাল অফিসার খালিদ হোসেন বিবিসি বাংলাকে বলেছেন, গত বুধবার দুপুর থেকেই ব্যাংকগুলোকে অভ্যন্তরীণভাবে সাইবার হামলার ঝুঁকি সম্পর্কে সতর্ক করছে সার্ট।

কেন তৈরি হয়েছে সাইবার হামলার আশঙ্কা?

বেশিরভাগ মানুষ হয়তো পিএইচপি-এর নাম শোনেননি, কিন্তু তারা অবশ্যই প্রতিদিন এর সাথে কাজ করেন। এর পুরো নাম 'পিএইচপি: হাইপারটেক্সট প্রিপ্রসেসর'।

অনলাইন শপ, উইকিপিডিয়া এবং ওয়ার্ডপ্রেস-সহ অসংখ্য প্ল্যাটফর্মকে শক্তি জোগায় এই পিএইচপি, যা ব্লগের মতো অনেক ওয়েবসাইটের নেপথ্যের কন্টেন্ট ম্যানেজমেন্ট সিস্টেম।

গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন বিবিসিকে বলেছেন, "আপনি যখন উইকিপিডিয়ার মতো কোনো ওয়েবসাইট পরিদর্শন করেন, তখন পিএইচপি হলো সেই কোড যা আপনার প্রয়োজনীয় তথ্য সংগ্রহ করে এবং ওয়েবে পড়ার উপযোগী করে তা উপস্থাপন করে। কিন্তু এমন একটি ত্রুটির কারণে, যার মাধ্যমে আক্রমণকারীরা প্রমাণীকরণ ছাড়াই প্রভাবিত ওয়েব সার্ভারগুলোর নিয়ন্ত্রণ নিতে এবং সংবেদনশীল তথ্য চুরি করতে পারত, পিএইচপি-র ওপর নির্মিত সবকিছুই অরক্ষিত হয়ে পড়েছিল।"

স্পেন বলেছে, এআই এই ধরনের আক্রমণকে আরও সহজ ও দ্রুততর করে তুলতে পারে এবং অনুমান করছে যে এই ত্রুটিটি "লাখ লাখ" ওয়েবসাইটকে প্রভাবিত করতে পারে।

পিএইচপিতে ত্রুটি শনাক্তের পর বিশ্বজুড়ে সরকার ও সাইবার-নিরাপত্তা সংস্থাগুলো তৎপর হয়ে উঠেছে এবং ওয়েবসাইট পরিচালনাকারীদের একটি নতুন জরুরি সমাধান ইনস্টল করতে অথবা তাদের প্ল্যাটফর্মগুলো অফলাইনে নিয়ে যাওয়ার বিষয়টি বিবেচনা করতে আহ্বান জানিয়েছে।

সাইবার-নিরাপত্তা সংস্থা উইজ, যেটির গবেষকরা এই দুর্বলতাগুলো উন্মোচন করেছেন, এই ত্রুটিগুলোকে এআই দ্বারা এযাবৎকালের শনাক্ত করা "সবচেয়ে গুরুতর" বলে বর্ণনা করেছে।

ওপেনএআই, যাদের প্রযুক্তি ব্যবহার করে এই ত্রুটিগুলো খুঁজে বের করা হয়েছিল, এই আবিষ্কারকে "সাম্প্রতিক কালের অন্যতম প্রভাবশালী নিরাপত্তা সমস্যা" বলে অভিহিত করেছে।

কারণ এই ত্রুটির সুযোগে হ্যাকাররা ওয়েবসাইটের সার্ভারের নিয়ন্ত্রণ নিতে কিংবা তথ্য চুরি করতে পারতো।

বার্তা সংস্থা রয়টার্সের খবরে বলা হচ্ছে, এই আশঙ্কায় জার্মানি, ফ্রান্স, নেদারল্যান্ডস, বেলজিয়ামসহ বিভিন্ন দেশের সরকারি ও বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে।

যেমন, ফিনল্যান্ডের সরকার, এডিনবরা কাউন্সিল এবং বিবিসি তাদের সাইট ও পেজগুলো অফলাইন করে দিয়েছে এবং নেদারল্যান্ডসের সাইবার-নিরাপত্তা সংস্থাও তাদের ওয়েবসাইটটি সরিয়ে নিয়েছে।

এমনকি গেমিং প্ল্যাটফর্ম থেকে শুরু করে অনলাইন ফোরামের পরিষেবাও ব্যাহত হয়েছে।

এর মধ্যে রয়েছে অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালক সংস্থা উইকিমিডিয়া, যা সতর্কতামূলক ব্যবস্থা হিসেবে তাদের বেশ কিছু সিস্টেম বন্ধ করে দিয়েছে।

কাউন্সিল এবং স্বাস্থ্য বোর্ডসহ স্কটল্যান্ডের বেশ কিছু সরকারি সংস্থাও তাদের ওয়েবসাইটগুলো অফলাইনে নিয়ে গেছে।

কিছু বিশেষজ্ঞ সতর্ক করেছেন যে, এই দুর্বলতার কারণে দুর্বলভাবে রক্ষণাবেক্ষণ করা ওয়েবসাইটগুলো, বিশেষ করে সীমিত নিরাপত্তা সংস্থানসম্পন্ন ছোট সংস্থাগুলোর ওয়েবসাইটগুলো আরও বেশি ঝুঁকির মুখে পড়তে পারে।

ইউএনএসডব্লিউ সিডনির সাইবার-নিরাপত্তা গবেষক সলিল কানহেরে বলেছেন, যেহেতু প্রযুক্তিগত বিবরণগুলো এখন জনসমক্ষে প্রকাশ করা হচ্ছে, তাই আগামী সপ্তাহগুলোতে এই ত্রুটিগুলো কাজে লাগানোর আরও প্রচেষ্টা হওয়ার সম্ভাবনা রয়েছে।