তিন দিন বন্ধ থাকার পর বাংলাদেশ ব্যাংকের ওয়েবসাইট আবার চালু, নিরাপত্তা লঙ্ঘনের প্রমাণ মেলেনি

বাংলাদেশ ব্যাংকের ওয়েবসাইট আবার চালু হয়েছে। বিশ্বজুড়ে সাইবার হামলার আতঙ্ক ছড়ানো পিএইচপি, মানে বিশ্বের বড় একটা অংশের ওয়েবসাইট চালানোর প্রোগ্রামিং ভাষায় নতুন একটা ত্রুটি পাওয়ার পর সতর্কতা হিসেবে সাইটটি বন্ধ রাখা হয়েছিল তিন দিন, রবিবার সকাল ৮টায় তা আবার চালু করা হয়েছে। বাংলাদেশ ব্যাংকের সিস্টেমে নিরাপত্তা লঙ্ঘনের কোনো প্রমাণ পাওয়া যায়নি, আর কর্মকর্তারা বলছেন এই বন্ধ রাখাটা শুরু থেকেই সাময়িক ব্যবস্থা ছিল।

• বাংলাদেশ ব্যাংকের ওয়েবসাইট বৃহস্পতিবার, ২২ অক্টোবর বন্ধ হয়ে যায়, আর রবিবার, ২৫ অক্টোবর সকাল ৮টায় তা আবার চালু হয়।
• কারণ ছিল পিএইচপিতে পাওয়া দুটি গুরুতর দুর্বলতা, যার তীব্রতার মান ১০-এর মধ্যে ৯.২, যার মাধ্যমে লগইন না করেই কেউ সার্ভারে কোড চালাতে পারতো।
• বাংলাদেশ ব্যাংক সম্পর্কিত কোনো নিশ্চিত হামলা বা তথ্য চুরির ঘটনা এখনও পাওয়া যায়নি।
• পুরো সময়টায় ইন্টারনেট ব্যাংকিং আর মোবাইল ফাইন্যান্সিয়াল সার্ভিস স্বাভাবিকভাবেই চালু ছিল, গ্রাহকের লেনদেনে কোনো বিঘ্ন ঘটেনি।

আসলে কী ঘটেছিল

পিএইচপিতে নতুন ধরা পড়া দুটি গুরুতর ত্রুটি, যেগুলোর কোড CVE-2026-109618 আর CVE-2026-109619, নিয়ে সতর্কতা ছড়িয়ে পড়ার পরই কেন্দ্রীয় ব্যাংক বৃহস্পতিবার তার নিজের ওয়েবসাইট বন্ধ করে দেয়। বাংলাদেশ ব্যাংকের মুখপাত্র ও এক্সিকিউটিভ ডিরেক্টর আরিফ হোসেন খান বলেন, প্রযুক্তি দল এই সময়টায় সাইটে কোনো দুর্বলতা বা সফটওয়্যার বাগ আছে কিনা খুঁজে দেখেছে, আর এটিকে তিনি বলেছেন "বিশ্বজুড়ে সাইবার হামলার সতর্কবার্তার জবাবে একটি প্রতিরোধমূলক ব্যবস্থা।" একই সময়ে ল্যান্ড সার্ভিসেস পোর্টাল আর বেশ কয়েকটি বেসরকারি ব্যাংকের ওয়েবসাইটও বন্ধ হয়ে যায়, কারণ দেশের নানা প্রতিষ্ঠান একই রকম পরীক্ষা চালাতে শুরু করে। রবিবার সকালে খান বলেন, "ঝুঁকি কমে গেছে," আর সাইটটি আবার চালু করা হয়। সপ্তাহান্ত পর্যন্ত অন্য কিছু ব্যাংকের সাইট তখনও নিজেদের ঝুঁকি যাচাইয়ের কাজ শেষ করছিল।

যে ত্রুটি ঢাকার বাইরেও সরকারগুলোকে ভাবিয়েছে

এই আতঙ্কের পেছনের পিএইচপি দুর্বলতাগুলো এই ভাষায় চলা যেকোনো সার্ভারকেই প্রভাবিত করে, ওয়ার্ডপ্রেস, ড্রুপাল আর জুমলার মতো প্ল্যাটফর্মে বানানো সাইটগুলোও এর মধ্যে পড়ে, যেগুলো মিলে ইন্টারনেটের একটা বড় অংশ চালায়। যুক্তরাষ্ট্রের সাইবার সিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি এই আক্রমণ পদ্ধতির নাম দিয়েছে "php2shell"। পিএইচপির ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ আর ৮.২.৩৫ সংস্করণে সমাধান দেওয়া আছে, কিন্তু লাখ লাখ সার্ভার আপডেট করতে সময় লাগে, আর ত্রুটি প্রকাশের কয়েক দিনের মধ্যেই এর অপব্যবহারের নমুনা কোড ইন্টারনেটে ছড়িয়ে পড়েছিল। নেদারল্যান্ডস তাদের ডিজিআইডি ডিজিটাল পরিচয় ব্যবস্থাসহ কয়েকটি সরকারি পোর্টাল বন্ধ করে দেয়, ফিনল্যান্ড তাদের কিছু সরকারি সেবা বন্ধ রাখে, ফ্রান্স প্রশাসনিক অফিসের ওয়েবসাইট বন্ধ করে, আর জাপানের প্রধানমন্ত্রী দেশজুড়ে পিএইচপিতে চলা সরকারি সাইট পরীক্ষা করার আহ্বান জানান। নিরাপত্তা গবেষকরা একাধিক দেশে হামলার চেষ্টার খবর দিয়েছেন, তবে বাংলাদেশ ব্যাংক তার সাইট চালু করার সময় পর্যন্ত কোনোটাই সফল হওয়ার প্রমাণ মেলেনি।

নিরাপত্তা লঙ্ঘনের কোনো প্রমাণ নেই, বলছেন কর্মকর্তারা

বাংলাদেশ ব্যাংক স্পষ্ট করেই বলেছে, এই বন্ধ রাখাটা আসলে কোনো হামলার জবাবে নয়, বরং একটা সতর্কতামূলক পদক্ষেপ ছিল। সপ্তাহের শুরুতেই কেন্দ্রীয় ব্যাংক প্রকাশ্যে বলেছিল, কোনো বাংলাদেশি ব্যাংকের ওয়েবসাইট হ্যাক হয়নি, কারণ একসঙ্গে একাধিক ব্যাংকের সাইট বন্ধ হয়ে যাওয়ার পর অনলাইনে নানা স্ক্রিনশট আর গুজব ছড়াতে শুরু করেছিল, আর সেগুলো আগেভাগেই ঠেকাতে চেয়েছিল ব্যাংক। তিন দিন ধরে কর্মকর্তারা বারবার বলেছেন, ইন্টারনেট ব্যাংকিং, মোবাইল ফাইন্যান্সিয়াল সার্ভিস আর কার্ডের লেনদেন কোনো বিরতি ছাড়াই চলেছে, কারণ এই মূল ব্যাংকিং কাজগুলো বন্ধ হয়ে যাওয়া পাবলিক ওয়েবসাইটের মাধ্যমে চলে না।

আপনার জন্য এর মানে কী

বাংলাদেশে যাদের ব্যাংক অ্যাকাউন্ট আছে, তাদের জমা টাকা, টাকা পাঠানো বা কার্ডে কেনাকাটা এই নির্দিষ্ট ঘটনায় আসলে কোনো ঝুঁকিতে পড়েনি, কারণ যে ওয়েবসাইটটি বন্ধ হয়েছিল সেটি তথ্য জানানোর একটা পোর্টাল, টাকা চলাচলের মূল পরিকাঠামো নয়। সাধারণ গ্রাহকদের জন্য আসল ঝুঁকিটা থাকে অন্য জায়গায়, এমন খবর ছড়ালে ঠিক তখনই "আপনার অ্যাকাউন্ট স্থগিত করা হয়েছে, যাচাই করতে এখানে ক্লিক করুন" ধরনের প্রতারণামূলক এসএমএস বা লিংক ছড়াতে শুরু করে, মানুষের উদ্বেগকে পুঁজি করে। যত জরুরি শোনাক না কেন, পিন, ওটিপি বা কার্ডের তথ্য চাওয়া কোনো অপ্রত্যাশিত মেসেজকেই প্রতারণা বলে ধরে নেওয়া উচিত, আর ব্যাংকের সঙ্গে যোগাযোগ করতে হবে কার্ড বা পাসবুকে ছাপা নম্বরেই। যে ব্যবসায়ীরা সার্কুলার, ডলারের দাম বা নিয়ন্ত্রক তথ্যের জন্য বাংলাদেশ ব্যাংকের ওয়েবসাইটের ওপর নির্ভর করেন, তাদের জন্য এই রকম কোনো বিভ্রাটের সময় সবচেয়ে নিরাপদ কাজ হলো সোশ্যাল মিডিয়ায় ছড়ানো যাচাই না করা স্ক্রিনশটের ওপর ভিত্তি করে কিছু না করে সরকারি নিশ্চিতকরণের জন্য অপেক্ষা করা।

এরপর কী হবে

বাংলাদেশ ব্যাংক এখনও বলেনি তাদের প্রযুক্তিগত পরীক্ষায় কী পাওয়া গেছে তার পূর্ণ বিবরণ প্রকাশ করবে কিনা, বা একই সময়ে বন্ধ হওয়া আরও কয়েকটি বাংলাদেশি ব্যাংক আর সরকারি ওয়েবসাইট এখনও ছাড়পত্রের অপেক্ষায় আছে কিনা। পিএইচপির এই ত্রুটি বাংলাদেশের জন্য নির্দিষ্ট কোনো সমস্যা নয়, তাই আসল পরীক্ষা হবে এখন, যখন সবার দৃষ্টি অন্য দিকে সরে গেছে, তখনও দেশের ব্যাংক আর সরকারি পোর্টালগুলো নিয়মিত সিকিউরিটি আপডেট দিয়ে যাচ্ছে কিনা, কারণ অপব্যবহারের কোড ইতিমধ্যে সবার জন্য প্রকাশ্য হয়ে যাওয়ায় সাময়িক আতঙ্ক কেটে গেলেই এই দুর্বলতা হারিয়ে যায় না।

তারিখ	ঘটনা
বৃহস্পতিবার, ২২ অক্টোবর	সতর্কতা হিসেবে বাংলাদেশ ব্যাংক তার ওয়েবসাইট বন্ধ করে দেয়, এর পরপরই বন্ধ হয় আরও কিছু ব্যাংক আর সরকারি সাইট
২২ থেকে ২৩ অক্টোবর	বাংলাদেশ ব্যাংক প্রকাশ্যে জানায়, কোনো বাংলাদেশি ব্যাংকের ওয়েবসাইট হ্যাক হয়নি
২৩ থেকে ২৪ অক্টোবর	প্রযুক্তি দলের পরীক্ষা শেষ না হওয়া পর্যন্ত সাইট বন্ধ থাকে, অন্য কিছু ব্যাংকের সাইট তখনও পরীক্ষার মধ্যে
রবিবার, ২৫ অক্টোবর, সকাল ৮টা	ঝুঁকি কমে যাওয়ার কথা জানিয়ে বাংলাদেশ ব্যাংকের ওয়েবসাইট আবার চালু করা হয়