বিশ্বব্যাপী পিএইচপি সুরক্ষা ত্রুটির জেরে ওয়েবসাইট বন্ধ করে দিল বাংলাদেশ ব্যাংক

বৃহস্পতিবার, ২২ অক্টোবর দুপুরের দিকে বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট বন্ধ করে দিয়েছে, সতর্কতা হিসেবে। কারণ, পিএইচপি নামের যে প্রোগ্রামিং ল্যাঙ্গুয়েজ দিয়ে ঢাকা থেকে হেগ পর্যন্ত বিশ্বের অনেক সরকারি ওয়েবসাইট চলে, তাতে বড় দুটি দুর্বলতা পাওয়া গেছে। ওয়েবসাইট এখনো বন্ধ আছে, এবং কবে খুলবে তা কেন্দ্রীয় ব্যাংক এখনো জানায়নি।

• বাংলাদেশ ব্যাংকের ওপর সরাসরি হামলার কোনো প্রমাণ নেই, সতর্কতা হিসেবেই ওয়েবসাইট বন্ধ করা হয়েছে।
• "পিএইচপি২শেল" নামের এই দুর্বলতা কাজে লাগিয়ে কেউ একটি ওয়েবসাইটের পুরো নিয়ন্ত্রণ নিয়ে নিতে পারে; সমাধান এসেছে, কিন্তু অনেক সার্ভারে এখনো তা বসানো হয়নি।
• ইন্টারনেট ব্যাংকিং, মোবাইল ব্যাংকিং আর কার্ড লেনদেন স্বাভাবিকভাবে চলছে, এটা ব্যাংক এবং গ্রাহক দুই পক্ষই বলছেন।
• নেদারল্যান্ডস, ফ্রান্স, ডেনমার্ক, ফিনল্যান্ডের মতো দেশের সরকারি সংস্থাগুলোও এই সপ্তাহে একই রকম সতর্কতা নিয়েছে।

ঘটনাটা আসলে কী

বৃহস্পতিবার দুপুর থেকেই bangladeshbank.org.bd-তে গেলে শুধু একটা মেইনটেন্যান্স নোটিশ দেখা যাচ্ছে, যেখানে লেখা "খুব শিগগিরই সেবা চালু হবে।" কেন্দ্রীয় ব্যাংকের নির্বাহী পরিচালক ও মুখপাত্র আরিফ হোসেন খান সেদিন সন্ধ্যায় সাংবাদিকদের কাছে বিষয়টি স্বীকার করেন। তিনি বলেন, "বিশ্বব্যাপী সাইবার হামলার ঝুঁকি দেখা দেওয়ার পর সতর্কতা হিসেবে ওয়েবসাইটটি বন্ধ রাখা হয়েছে।" তিনি আরও বলেন, আইটি বিভাগ কাজ করছে, কিন্তু কবে চালু হবে তা নির্দিষ্ট করে বলেননি।

সময়টা একটু বেকায়দার। দুর্গাপূজার পাঁচ দিনের ছুটিতে ব্যাংকের শাখা বন্ধ, তখন ডিজিটাল মাধ্যমের ওপরই সবচেয়ে বেশি ভরসা করতে হয়। প্রথম আলোর খবর অনুযায়ী ব্যাংক কর্মকর্তা ও গ্রাহকরা জানিয়েছেন, বৃহস্পতিবার রাত পর্যন্ত ইন্টারনেট ব্যাংকিং, মোবাইল ব্যাংকিং আর কার্ডে লেনদেন ঠিকঠাক চলেছে। মূলত নোটিশ, সার্কুলার আর পরিসংখ্যানের জন্য ব্যবহৃত পাবলিক ওয়েবসাইটটাই বন্ধ হয়েছে।

কেন এখন এই আতঙ্ক: পিএইচপি২শেল

এই ঘটনার সূত্র আসলে বাংলাদেশের বাইরে থেকে। গবেষকরা, একজনের তো শোনা যায় এআই টুল ব্যবহার করেই, পিএইচপি নামের বহু পুরনো স্ক্রিপ্টিং ল্যাঙ্গুয়েজে দুটো বড় দুর্বলতা খুঁজে পান। প্রথম আলোর প্রতিবেদন অনুযায়ী বিশ্বের প্রায় সাত ভাগের সাত ভাগ ওয়েবসাইটই এখনো পিএইচপির ওপর দাঁড়িয়ে। এই দুর্বলতার সুযোগ নিয়ে কেউ চাইলে পুরো ওয়েবসাইটের নিয়ন্ত্রণ নিয়ে নিতে পারে। বুধবার পিএইচপির ডেভেলপার টিম জরুরি প্যাঁচ ছাড়ে, কিন্তু সব সার্ভারে তা বসানোর আগেই খবরটা ছড়িয়ে পড়ে। তাই বিভিন্ন দেশের সাইবার সুরক্ষা সংস্থা পরামর্শ দেয়, ঝুঁকিতে থাকা ওয়েবসাইট ঝুঁকি নিয়ে চালু রাখার চেয়ে বরং সাময়িক বন্ধ রাখাই ভালো।

বাংলাদেশের নিজস্ব সরকারি কম্পিউটার ইনসিডেন্ট রেসপন্স টিম, বিজিডি ই-গভ সার্ট, বৃহস্পতিবার এই দুর্বলতা নিয়ে সতর্কবার্তা দিয়ে পিএইচপি ভিত্তিক সিস্টেম চালানো প্রতিষ্ঠানগুলোকে দ্রুত নিজেদের সার্ভার যাচাই করতে বলে। বাংলাদেশ ব্যাংকের ওয়েবসাইটও পিএইচপিতে চলে, তাই সেটিও বন্ধ করে দেওয়া হয়েছে, যদিও এখন পর্যন্ত কেউ দাবি করেনি যে সত্যিই কেউ ভেতরে ঢুকে পড়েছে। বিবিসির সাইবার বিষয়ক সংবাদদাতা জো টিডি, যার বক্তব্য বাংলাদেশি গণমাধ্যমেও এসেছে, বলেছেন এটি "এমন এক অভূতপূর্ব পরিস্থিতি যেখানে আইটি দলগুলো তড়িঘড়ি করে নিজেদের সিস্টেম রক্ষা করতে ছুটছে।"

"বিশ্বব্যাপী সাইবার হামলার ঝুঁকি দেখা দেওয়ার পর সতর্কতা হিসেবে ওয়েবসাইটটি বন্ধ রাখা হয়েছে," বলেন আরিফ হোসেন খান, নির্বাহী পরিচালক ও মুখপাত্র, বাংলাদেশ ব্যাংক।

প্রতিষ্ঠান	দেশ	কী ব্যবস্থা নিয়েছে
বাংলাদেশ ব্যাংক	বাংলাদেশ	সতর্কতা হিসেবে ওয়েবসাইট বন্ধ
এডিনবার্গ সিটি কাউন্সিল	যুক্তরাজ্য	ওয়েবসাইট বন্ধ
বিবিসি (ডক্টর হু সেকশন)	যুক্তরাজ্য	নির্দিষ্ট অংশ বন্ধ
সরকারি সংস্থা	নেদারল্যান্ডস, ফ্রান্স, ডেনমার্ক, ফিনল্যান্ড	সতর্কতা হিসেবে সাইট বন্ধ
একাধিক বেসরকারি প্রতিষ্ঠান	জাপান, বেলজিয়াম, নেদারল্যান্ডস	সাময়িকভাবে সেবা বন্ধ

বাংলাদেশ ব্যাংকের জন্য এটা প্রথম নয়

কেন্দ্রীয় ব্যাংকের এই বাড়তি সতর্কতার পেছনে ইতিহাস আছে। ২০১৬ সালে হ্যাকাররা সুইফট আন্তর্জাতিক লেনদেন নেটওয়ার্ক ব্যবহার করে নিউইয়র্কের ফেডারেল রিজার্ভ ব্যাংকে থাকা বাংলাদেশ ব্যাংকের অ্যাকাউন্ট থেকে ১০১ মিলিয়ন ডলার সরিয়ে নিয়েছিল। এটি এখনো পর্যন্ত কোনো কেন্দ্রীয় ব্যাংকের ওপর ঘটা সবচেয়ে বড় সাইবার চুরির একটি। এই কাণ্ডে তখনকার গভর্নর আতিউর রহমানকে পদত্যাগ করতে হয়, এবং প্রতিষ্ঠানটি এখনো এই ধরনের ঝুঁকির নাম শুনলেই অতিরিক্ত সতর্ক হয়ে যায়। ২০২৩ সালে সম্ভাব্য হামলার আশঙ্কায় তারা নিজেদের কিছু অভ্যন্তরীণ ওয়েব সেবা ৩৬ ঘণ্টার জন্য বন্ধ রেখেছিল, যদিও শেষ পর্যন্ত কোনো হামলার প্রমাণ পাওয়া যায়নি। বৃহস্পতিবারের এই বন্ধ রাখাও সেই পুরনো কৌশলেরই পুনরাবৃত্তি, আগে সম্ভাব্য বিপদ ঠেকাও, পরে বিস্তারিত বোঝা যাবে।

মজার বিষয়, বাংলাদেশের অন্য আর্থিক নিয়ন্ত্রক সংস্থাগুলো ভিন্ন পথে হেঁটেছে। বাংলাদেশ সিকিউরিটিজ অ্যান্ড এক্সচেঞ্জ কমিশন, অর্থ মন্ত্রণালয়ের আর্থিক প্রতিষ্ঠান বিভাগ, ঢাকা স্টক এক্সচেঞ্জ আর বীমা উন্নয়ন ও নিয়ন্ত্রণ কর্তৃপক্ষ, সবগুলোই বৃহস্পতিবার তাদের ওয়েবসাইট চালু রেখেছে। এতে বোঝা যায়, এটা পুরো খাতের কোনো নির্দেশনা নয়, বরং বাংলাদেশ ব্যাংক নিজের মতো করে বেশি সতর্ক পথ বেছে নিয়েছে।

আপনার জন্য এর মানে কী

সাধারণ আমানতকারী, ঋণগ্রহীতা বা ব্যবসায়ীদের জন্য এখন পর্যন্ত এর বাস্তব প্রভাব প্রায় শূন্য। কোনো ব্যাংক এখনো টাকা স্থানান্তর, কার্ড লেনদেন বা অ্যাপ বন্ধ হওয়ার মতো সমস্যার কথা জানায়নি, আর বাংলাদেশ ব্যাংক নিজেও স্পষ্ট করে বলেছে যে শুধু ওয়েবসাইট বন্ধ, ব্যাংকিং সিস্টেম নয়। আপনি যদি bb.org.bd থেকে কোনো সার্কুলার নামাতে চান, বৈদেশিক মুদ্রার রেট দেখতে চান বা কোনো নোটিশ পড়তে চান, তাহলে একটু অপেক্ষা করতে হবে, বা সরাসরি আপনার ব্যাংকে জিজ্ঞেস করতে পারেন, কারণ বেশিরভাগ ব্যাংকই বাংলাদেশ ব্যাংকের গুরুত্বপূর্ণ সার্কুলার নিজেদের ওয়েবসাইটে তুলে রাখে।

যাদের নিজের ব্যবসার ওয়েবসাইট আছে, ছোট ই-কমার্স দোকান থেকে শুরু করে ট্রেড লাইসেন্স পোর্টাল পর্যন্ত, তাদের জন্য বড় শিক্ষাটা হলো, পিএইচপি২শেল সমস্যাটা শুধু ব্যাংকের নয়। পিএইচপিতে বানানো যেকোনো ওয়েবসাইটেই এই ঝুঁকি আছে, আর কম খরচের শেয়ার্ড সার্ভারে চলা বাংলাদেশের অনেক ছোট ও মাঝারি ব্যবসার ওয়েবসাইট এই তালিকায় পড়ে। আপনার ডেভেলপার এই সপ্তাহের জরুরি পিএইচপি প্যাঁচ বসিয়েছে কি না, সেটা আগে যাচাই করে নেওয়া ভালো।

এরপর কী হতে পারে

bangladeshbank.org.bd কবে ফিরবে তা এখনো নির্দিষ্ট করে বলেনি বাংলাদেশ ব্যাংক, বৃহস্পতিবার রাত পর্যন্ত সেই মেইনটেন্যান্স নোটিশই দেখা গেছে। ২০২৩ সালের ঘটনার সঙ্গে তুলনা করলে, আইটি বিভাগ প্যাঁচ বসানো আর সার্ভার যাচাই শেষ করার পর এক থেকে তিন দিনের মধ্যে ওয়েবসাইট ফিরে আসাটা অস্বাভাবিক হবে না। বড় প্রশ্নটা হলো, বাংলাদেশের অন্য যে সরকারি ও আর্থিক ওয়েবসাইটগুলো পিএইচপিতে চলে আর যাদের সুরক্ষা বাজেট একেক রকম, তারা পরের বিপদ আসার আগেই কতটা মনোযোগ পাবে।