পিএইচপির পুরনো ও মেয়াদোত্তীর্ণ সংস্করণ ব্যবহারের কারণে সাইবার হামলার ঝুঁকিতে রয়েছে দেশের সরকারি-বেসরকারি শতাধিক প্রতিষ্ঠান। ঝুঁকিপূর্ণ এসব প্রতিষ্ঠানের মধ্যে বিভিন্ন ব্যাংকও রয়েছে। পুরনো সফটওয়্যারের নিরাপত্তা দুর্বলতা কাজে লাগিয়ে সাইবার অপরাধীরা সার্ভারে অননুমোদিত প্রবেশ, সংবেদনশীল তথ্য চুরি এবং অনলাইন সেবা অচল করে দিতে পারে বলে আশঙ্কা করছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।
গত ২২ অক্টোবর এ বিষয়ে সতর্কতা জারির পর গতকাল আবারও সতর্কবার্তা প্রকাশ করেছে সংস্থাটি। আগের নির্দেশনার পরও অনেক প্রতিষ্ঠান নিরাপত্তা দুর্বলতা নিরসনে প্রয়োজনীয় ব্যবস্থা নিয়েছে কি না, সে বিষয়ে নিশ্চিত তথ্য পাওয়া যায়নি। ফলে সংশ্লিষ্ট ওয়েবসাইট ও সার্ভারের নিরাপত্তা নিয়ে উদ্বেগ রয়ে গেছে।
‘আনরিজলভড পিএইচপি সিকিউরিটি এক্সপোজারস ইন গভর্নমেন্ট, পাবলিক অ্যান্ড প্রাইভেট-সেক্টর অর্গানাইজেশনস ইন বাংলাদেশ’ শীর্ষক সতর্কবার্তায় ঝুঁকিপূর্ণ পিএইচপি সংস্করণ শনাক্ত করা, নিরাপত্তা প্যাচ প্রয়োগ এবং মেয়াদোত্তীর্ণ সংস্করণ হালনাগাদের ওপর গুরুত্ব দিয়েছে বিজিডি ই-গভ সার্ট। সংস্থাটির সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের ধারাবাহিক পর্যবেক্ষণে এসব দুর্বলতা শনাক্ত হয়েছে।
তথ্যপ্রযুক্তি বিভাগের একটি সূত্র জানিয়েছে, পুরনো পিএইচপি সংস্করণ ব্যবহারের কারণে ঝুঁকিতে থাকা প্রতিষ্ঠানের সংখ্যা আরও বাড়তে পারে। সিস্টেমের দুর্বলতা ও কনফিগারেশনের ওপর নির্ভর করে দূর থেকে অননুমোদিত কোড চালানো, সংবেদনশীল তথ্য প্রকাশ এবং সার্ভারের নিয়ন্ত্রণ বেহাত হওয়ার আশঙ্কা রয়েছে।
বিজিডি ই-গভ সার্টের প্রকল্প পরিচালক মো. নাজমুল হক বলেন, বিভিন্ন সরকারি-বেসরকারি প্রতিষ্ঠানের ডিজিটাল ব্যবস্থায় পিএইচপির পুরনো সংস্করণ ব্যবহার করা হচ্ছে। অনেক প্রতিষ্ঠানের নিজস্ব তথ্যপ্রযুক্তি সম্পদের পূর্ণাঙ্গ তালিকা বা অ্যাসেট ম্যানেজমেন্ট ব্যবস্থা নেই। ফলে কোন সার্ভার বা ওয়েবসাইটে পুরনো সফটওয়্যার চালু রয়েছে, তা সংশ্লিষ্ট কর্মকর্তাদের অজানা থেকে যাচ্ছে। এ ঝুঁকি মোকাবেলায় সফটওয়্যার ও সিস্টেম নিয়মিত হালনাগাদ করা জরুরি।
প্রযুক্তি বিশেষজ্ঞদের মতে, পিএইচপি ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে বহুল ব্যবহৃত একটি প্রোগ্রামিং ভাষা। এর পুরনো সংস্করণে থাকা নিরাপত্তা দুর্বলতা কাজে লাগিয়ে সাইবার অপরাধীরা সার্ভার ও তথ্য ব্যবস্থায় প্রবেশের চেষ্টা করতে পারে। এ ধরনের ঝুঁকি মোকাবেলায় বিশ্বের বিভিন্ন দেশের ব্যাংক ও আর্থিক প্রতিষ্ঠান নিরাপত্তা জোরদার করেছে। বাংলাদেশেও সতর্কতামূলক ব্যবস্থা হিসেবে কেন্দ্রীয় ব্যাংকসহ কয়েকটি ব্যাংক সাময়িকভাবে তাদের ওয়েবসাইট বন্ধ রাখে।
তবে শুধু ওয়েবসাইট বন্ধ রেখে এ সমস্যার স্থায়ী সমাধান সম্ভব নয় বলে মনে করছেন বিশেষজ্ঞরা। ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বলেন, পিএইচপির এ ধরনের দুর্বলতা অত্যন্ত ঝুঁকিপূর্ণ হতে পারে। এর মাধ্যমে কোনো কোনো পরিস্থিতিতে ব্যবহারকারীর নাম ও পাসওয়ার্ড ছাড়াই ডেটাবেজে প্রবেশের সুযোগ তৈরি হতে পারে।
তিনি বলেন, নিরাপত্তা ঝুঁকি মোকাবেলায় দ্রুত প্যাচ হালনাগাদ করা প্রয়োজন। সাধারণ ক্ষেত্রে কয়েক ঘণ্টার মধ্যে এ কাজ করা সম্ভব হলেও পুরনো অ্যাপ্লিকেশনের সঙ্গে নতুন সংস্করণের সামঞ্জস্য যাচাই করতে হতে পারে। এ ধরনের জটিলতা থাকলে ঝুঁকিপূর্ণ সেবা সাময়িকভাবে বন্ধ রেখে হালনাগাদ ও পরীক্ষা সম্পন্ন করা উচিত। নিরাপত্তা দুর্বলতা অক্ষুণ্ন রেখে সেবা চালু রাখা ঠিক নয়।
তাৎক্ষণিকভাবে নিরাপত্তা প্যাচ প্রয়োগ করা সম্ভব না হলে ঝুঁকিপূর্ণ সিস্টেমে প্রবেশাধিকার সীমিত করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। এ ক্ষেত্রে ভার্চুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন) ব্যবহার, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি এবং অপ্রয়োজনীয়ভাবে ইন্টারনেটে সিস্টেম উন্মুক্ত না রাখার মতো ব্যবস্থা নেওয়া যেতে পারে। তবে এসব ব্যবস্থা নিরাপত্তা প্যাচ প্রয়োগের বিকল্প নয় বলে সতর্ক করেছে সংস্থাটি।
ইন্টারনেট অবকাঠামো ও সাইবার নিরাপত্তা বিশেষজ্ঞ সুমন আহমেদ সাবির বলেন, নিরাপত্তা দুর্বলতা শনাক্ত হওয়ার পরও কোনো প্রতিষ্ঠান প্রয়োজনীয় ব্যবস্থা না নিলে তাদের জবাবদিহি নিশ্চিত করা উচিত। কোনো সেবাদাতা প্রতিষ্ঠানের অবহেলায় গ্রাহকের ব্যক্তিগত তথ্য ফাঁস হলে সংশ্লিষ্ট প্রতিষ্ঠানকে আইনি জবাবদিহির আওতায় আনার বিষয়টি বিবেচনা করা প্রয়োজন। পুরনো পিএইচপি সংস্করণ দ্রুত হালনাগাদ না করলে সাইবার হামলা, তথ্য চুরি, সেবা অচল হয়ে যাওয়া এবং র্যানসমওয়্যার হামলার ঝুঁকি থেকে যেতে পারে।
এদিকে পিএইচপির নিরাপত্তা ত্রুটি নিয়ে সতর্কতার পর গত বৃহস্পতিবার বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেয়। একই ধরনের সতর্কতামূলক ব্যবস্থা নেয় অগ্রণী ব্যাংক, জনতা ব্যাংক, মার্কেন্টাইল ব্যাংক, ফার্স্ট সিকিউরিটি ইসলামী ব্যাংক, আইএফআইসি ব্যাংক, শাহ্জালাল ইসলামী ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংক।
সংশ্লিষ্টদের তথ্য অনুযায়ী, গতকাল সকাল ৮টায় বাংলাদেশ ব্যাংকের ওয়েবসাইট পুনরায় চালু করা হয়। এরপর অন্য ব্যাংকগুলোও পর্যায়ক্রমে নিজেদের ওয়েবসাইট সচল করে।
বাংলাদেশ ব্যাংকের মুখপাত্র ও নির্বাহী পরিচালক আরিফ হোসেন খান বলেন, সতর্কতামূলক ব্যবস্থা হিসেবে গত বৃহস্পতিবার কেন্দ্রীয় ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়েছিল। একই সঙ্গে ব্যাংকগুলোকে সতর্ক থাকতে বলা হয়। পরিস্থিতি পর্যালোচনার পর গতকাল সকাল ৮টায় ওয়েবসাইটটি সচল করা হয়েছে। গত কয়েক দিনে বিশ্বের বিভিন্ন দেশের আর্থিক খাতে সাইবার হামলা ও সমস্যার খবর পাওয়া গেলেও বাংলাদেশে এ ধরনের কোনো ঘটনার অভিযোগ এখন পর্যন্ত পাওয়া যায়নি। তবে সতর্কতামূলক ব্যবস্থা অব্যাহত থাকবে।
মিউচুয়াল ট্রাস্ট ব্যাংকের ব্যবস্থাপনা পরিচালক সৈয়দ মাহবুবুর রহমান বলেন, পিএইচপির নিরাপত্তা ত্রুটি বিশ্বজুড়ে সাইবার ঝুঁকির নতুন দিক সামনে এনেছে। কৃত্রিম বুদ্ধিমত্তার বিস্তারের সঙ্গে সাইবার ঝুঁকির ধরন ও মাত্রাও পরিবর্তিত হচ্ছে। তাই ব্যাংকগুলোকে নিয়মিত নিরাপত্তা পরিস্থিতি পর্যালোচনা করতে হবে এবং সংশ্লিষ্ট কর্মীদের নতুন ঝুঁকি সম্পর্কে হালনাগাদ জ্ঞান রাখতে হবে। এখন পর্যন্ত দেশের কোনো ব্যাংকে এ ধরনের সাইবার হামলার খবর বা কর্মীদের কাছ থেকে এ-সংক্রান্ত অভিযোগ পাওয়া যায়নি বলেও জানান তিনি।
এ বিষয়ে কারিগরি সহায়তা দেওয়ার আগ্রহ প্রকাশ করেছে সরকারের তথ্য ও যোগাযোগপ্রযুক্তি বিভাগ। বিভাগটির সচিব মো. মামুনুর রশীদ ভূঞা বলেন, প্রয়োজন হলে আইসিটি বিভাগ থেকে কারিগরি সহায়তা দেওয়া হবে। তবে নিজস্ব ব্যবস্থাপনায় পরিচালিত ওয়েবসাইটের নিরাপত্তা হালনাগাদে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকেও উদ্যোগী হতে হবে। সরকারি দপ্তরের ওয়েবসাইট ব্যবস্থাপনা বিকেন্দ্রীকরণ করা হয়েছে। তাই নিরাপত্তা নিশ্চিত করতে নিয়মিত সফটওয়্যার হালনাগাদ, যথাযথ ব্যবস্থাপনা ও সংশ্লিষ্ট কর্মকর্তাদের সচেতনতা জরুরি।
