বৈশ্বিক পিএইচপি নিরাপত্তা ত্রুটির কারণে পূজার ছুটিতেও বন্ধ রইল বাংলাদেশ ব্যাংকের ওয়েবসাইট

এই সপ্তাহে বাংলাদেশ ব্যাংকের ওয়েবসাইটে ঢুকতে গিয়ে যদি কিছু না পেয়ে থাকেন, তাহলে জেনে রাখুন এটি কোনো ভাঙা লিংকের সমস্যা নয়। পিএইচপি নামের সফটওয়্যার ভাষায় নতুন করে পাওয়া এক গুরুতর নিরাপত্তা ত্রুটির কারণে সতর্কতা হিসেবে কেন্দ্রীয় ব্যাংক নিজেই ২২ অক্টোবর সন্ধ্যায় তাদের ওয়েবসাইট বন্ধ করে দেয়। পিএইচপি এমন একটি সফটওয়্যার ভাষা, যার ওপর বিশ্বের বিপুলসংখ্যক ওয়েবসাইট চলে। তিন দিন পরও, জাতীয় ছুটির মধ্যেও, সাইটটি বন্ধই রয়েছে।

• বাংলাদেশ ব্যাংকের ওয়েবসাইট ২২ অক্টোবর সন্ধ্যা থেকে বন্ধ রয়েছে
• এর কারণ "পিএইচপি টু শেল", পিএইচপিতে পাওয়া দুটি গুরুতর ত্রুটি, যার মাধ্যমে লগইন ছাড়াই সার্ভারে কমান্ড চালানো সম্ভব
• ব্যাংক বলছে তারা চাইলেই সাইট চালু করতে পারে, কিন্তু বৈশ্বিক ঝুঁকি না কাটা পর্যন্ত তা করছে না
• বিএসইসি, ঢাকা স্টক এক্সচেঞ্জ, আইডিআরএ এবং আর্থিক প্রতিষ্ঠান বিভাগ তাদের ওয়েবসাইট চালু রেখেছে
• এই ত্রুটি কোনো গ্রাহকের অ্যাকাউন্ট, মোবাইল ব্যাংকিং অ্যাপ বা পেমেন্ট সিস্টেমে প্রভাব ফেলার প্রমাণ এখনও পাওয়া যায়নি

আসলে কী ঘটেছে

বাংলাদেশ সরকারের সাইবার সুরক্ষা সংস্থা বিজিডি ই-গভ সার্ট ২২ অক্টোবর এই পিএইচপি ত্রুটির বিষয়ে সতর্কতা জারি করে, যার একদিন আগেই পিএইচপির নিজস্ব ডেভেলপাররা জরুরি প্যাচ প্রকাশ করেছিল। সেদিন সন্ধ্যায় বাংলাদেশ ব্যাংক একেবারে প্রতিরক্ষামূলক ব্যবস্থা হিসেবে তাদের ওয়েবসাইট বন্ধ করে দেয়। শনিবার, ২৪ অক্টোবর, কেন্দ্রীয় ব্যাংকের নির্বাহী পরিচালক আরিফ হোসেন খান বিডিনিউজ২৪ ডটকমকে নিশ্চিত করেন যে এই বন্ধ থাকাটা কোনো দুর্ঘটনা নয়, এবং ব্যাংকের আগের পরিকল্পনা মতো তা শেষ হচ্ছে না।

আরিফ হোসেন খান বলেন, "আমরা সাইটটি আবার চালু করতে প্রস্তুত, কিন্তু ঝুঁকি এখনও কাটেনি," এবং জানান ব্যাংকের আইটি দল সর্বোচ্চ সতর্ক অবস্থায় রয়েছে।

সময়ের হিসাবে এই বিপত্তি আরও বড় হয়ে উঠেছে। বাংলাদেশ ব্যাংক পরিকল্পনা করেছিল, দেশের পাঁচ দিনের দুর্গাপূজার ছুটি শেষ হলে ২৫ অক্টোবর সাইটটি আবার চালু করবে। সেই পরিকল্পনা এখন স্থগিত, এবং সাইট কবে আবার দেখা যাবে তার কোনো নির্দিষ্ট তারিখ নেই।

পিএইচপি টু শেল আসলে কী

ওয়েবসাইটের নিচে কোন সফটওয়্যার চলে, তা নিয়ে যাদের আগে কখনও ভাবার প্রয়োজন হয়নি, তাদের জন্য সংক্ষেপে বলা যাক। পিএইচপি এমন একটি প্রোগ্রামিং ভাষা, যার ওপর ইন্টারনেটের বিশাল অংশ চলে, এর মধ্যে অনেক সরকারি ও আর্থিক ওয়েবসাইটও আছে, যা দর্শকরা প্রায়ই জানেনই না। গবেষকরা দেখেছেন, পিএইচপির নিজস্ব কোডেই থাকা দুটি ত্রুটি, যার নাম দেওয়া হয়েছে "পিএইচপি টু শেল", কোনো হ্যাকারকে লগইন না করেই দুর্বল সার্ভারে কমান্ড চালানোর সুযোগ দিতে পারে, যা দিয়ে তথ্য চুরি, সাইট বিকৃত করা বা সম্পূর্ণ দখল করে নেওয়া সম্ভব।

এটি কেবল বাংলাদেশের সমস্যা নয়, এবং বাংলাদেশ ব্যাংক তার নিজের সাইট বানাতে কোনো ভুল করেছে এমনও নয়। উইজ নামের সাইবার সুরক্ষা গবেষণা প্রতিষ্ঠান ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো ব্যাপকভাবে ব্যবহৃত প্ল্যাটফর্মে এই হামলা পরীক্ষা করে দেখিয়েছে যে সার্ভারের মেমোরি থেকে সরাসরি পাসওয়ার্ড পড়ে ফেলা সম্ভব। পালো আল্টো নেটওয়ার্কসের গবেষণা শাখা বিশ্বব্যাপী দুই কোটি বিশ লাখেরও বেশি ইন্টারনেটে উন্মুক্ত সিস্টেম খুঁজে পেয়েছে যা এই ত্রুটির ঝুঁকিতে থাকতে পারে। যুক্তরাষ্ট্রে এনএসএ, এফবিআই এবং সিসা সবাই সংস্থাগুলোকে অবিলম্বে প্যাচ করতে বা আক্রান্ত সিস্টেম বন্ধ রাখতে বলেছে, এবং ইউরোপের বিভিন্ন সরকারি সংস্থা ঠিক একই সতর্কতা নিয়েছে, যা বাংলাদেশ ব্যাংকও করেছে।

কেন কিছু নিয়ন্ত্রক সংস্থা সাইট চালু রাখল, কিছু রাখল না

বাংলাদেশের সব আর্থিক নিয়ন্ত্রক সংস্থা একই সিদ্ধান্ত নেয়নি। বাংলাদেশ সিকিউরিটিজ অ্যান্ড এক্সচেঞ্জ কমিশন, ঢাকা স্টক এক্সচেঞ্জ, বীমা উন্নয়ন ও নিয়ন্ত্রণ কর্তৃপক্ষ এবং আর্থিক প্রতিষ্ঠান বিভাগ পুরো সময় তাদের ওয়েবসাইট চালু রেখেছে। এর মানে এই নয় যে ওই সাইটগুলো নিরাপদ। এটি বরং বোঝায় যে প্রতিটি সাইট কীভাবে তৈরি, তাদের নির্দিষ্ট সফটওয়্যার সেটআপ এই ত্রুটির কতটা ঝুঁকিতে, এবং প্রতিষ্ঠানভেদে ঝুঁকি নেওয়ার মানসিকতায় পার্থক্য রয়েছে। পুরো ব্যাংকিং খাত তদারকি করা এবং দেশের বৈদেশিক মুদ্রার রিজার্ভ রক্ষা করা প্রতিষ্ঠান হিসেবে বাংলাদেশ ব্যাংক ঐতিহাসিকভাবেই সাইবার ঝুঁকির মতো বিষয়ে সবচেয়ে বেশি সতর্কতা দেখিয়ে এসেছে।

আপনার টাকার জন্য এর মানে কী

সাধারণ গ্রাহকদের জন্য প্রযুক্তিগত প্রশ্নের নিচে চাপা পড়ে থাকা বাস্তব প্রশ্নটি হলো, এর ফলে আপনার টাকা কি ঝুঁকিতে পড়ছে? এখন পর্যন্ত যা জানা গেছে তাতে উত্তর হলো, না। এই বন্ধ থাকাটা বাংলাদেশ ব্যাংকের পাবলিক ওয়েবসাইটকে প্রভাবিত করেছে, যেখানে নোটিশ, তথ্য, প্রকাশনা ও প্রেস রিলিজ থাকে, এটি অ্যাকাউন্টের মধ্যে টাকা সরানোর মূল ব্যাংকিং অবকাঠামো নয়। মোবাইল ব্যাংকিং অ্যাপ, কার্ড পেমেন্ট এবং বাংলা কিউআর ব্যবস্থা পৃথক পৃথক ব্যাংক ও পেমেন্ট প্রতিষ্ঠানের নিজস্ব সিস্টেমে চলে, এবং এসব ব্যাহত বা ক্ষতিগ্রস্ত হওয়ার কোনো খবর পাওয়া যায়নি। সিসা তাদের সর্বশেষ তথ্যে বলেছে, পিএইচপি টু শেল ত্রুটি কাজে লাগিয়ে এখনও কোনো সক্রিয় হামলার প্রমাণ তারা পায়নি, তবে স্বতন্ত্র গবেষকরা বলছেন ত্রুটি প্রকাশ্যে আসার পর সুযোগসন্ধানী হামলার আশঙ্কা রয়েছে।

তা সত্ত্বেও এখন কিছু মৌলিক ডিজিটাল সতর্কতা নেওয়ার সময়। বাংলাদেশ ব্যাংক বা নিজের ব্যাংকের নাম করে পাঠানো অযাচিত ই-মেইল বা এসএমএসের লিংকে ক্লিক করা থেকে বিরত থাকুন, কারণ প্রতারকরা প্রায়ই সাইবার হামলার খবরকে কাজে লাগিয়ে নতুন ফিশিং প্রচারণা চালায়। বাংলাদেশ ব্যাংকের ওয়েবসাইট থেকে সাধারণত যে বিনিময় হারের তথ্য, সার্কুলার বা অন্য তথ্য পাওয়া যেত, তার জন্য আপাতত নিজের ব্যাংকের শাখা বা মোবাইল অ্যাপই নির্ভরযোগ্য মাধ্যম থাকছে।

এরপর কী হবে

বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট আবার কবে চালু হবে তার কোনো সময়সীমা দেয়নি, এবং খানের বক্তব্য থেকে বোঝা যায় ব্যাংক এটিকে একটি নির্দিষ্ট মেয়াদের বন্ধ থাকা নয়, বরং একটি খোলা মেয়াদের সতর্কতামূলক ব্যবস্থা হিসেবে দেখছে। পিএইচপির এই ত্রুটি বাংলাদেশের বাইরেও বিশ্বব্যাপী আরও অনেক দিন খবরের শিরোনামে থাকবে বলেই মনে হচ্ছে। প্যাচ এখন সহজলভ্য হওয়ায় প্রতিষ্ঠানগুলোর জন্য নিজেদের সুরক্ষিত করার সুযোগ খোলা আছে, কিন্তু যারা এখনও প্যাচ করেনি এমন সিস্টেম খুঁজে বের করতে চাওয়া হ্যাকারদের জন্যও সময়ের জানালাটা খোলা। বাংলাদেশ ব্যাংকের আইটি দল যতদিন না নিশ্চিত হচ্ছে ঝুঁকি কমেছে, ততদিন কেন্দ্রীয় ব্যাংক এই সপ্তাহের মতোই স্বাভাবিকভাবে কাজ চালিয়ে যাবে, শুধু জনসাধারণের জন্য কোনো ওয়েবসাইট দেখানোর সুযোগ থাকবে না।