জাতীয় অর্থনীতি ডেস্ক: একটা ওয়েবসাইটের পাসওয়ার্ড ভাঙতে পারলেন না? কিন্তু যদি সেই ওয়েবসাইট চালানোর মূল সফটওয়্যারেই থাকে গুরুতর ত্রুটি? তাহলে বিপদটা কোথায় গিয়ে দাঁড়ায়, ভাবুন তো!
বিশ্বজুড়ে ওয়েবসাইটের নিরাপত্তা নিয়ে নতুন করে উদ্বেগ তৈরি হয়েছে। পিএইচপি নামের বহুল ব্যবহৃত প্রোগ্রামিং ভাষায় ধরা পড়েছে দুটি গুরুতর দুর্বলতা। ঝুঁকি এড়াতে বিভিন্ন দেশে নেওয়া হচ্ছে সতর্কতামূলক ব্যবস্থা। বাংলাদেশেও জারি হয়েছে সাইবার নিরাপত্তা সতর্কতা। এখন আশংকা হলো, আমাদের ব্যাংক, সরকারি ওয়েবসাইট আর অনলাইন সেবাগুলো কতটা সুরক্ষিত?
বিপদটা ঠিক কোথায়?
আগে বুঝে নেওয়া যাক, পিএইচপি কী? সহজ ভাষায়, এটি এমন একটি প্রোগ্রামিং ভাষা, যা দিয়ে ওয়েবসাইটের পেছনের অনেক গুরুত্বপূর্ণ কাজ চলে। ব্যবহারকারীর তথ্য যাচাই, ডেটাবেজ থেকে তথ্য আনা, অনলাইন ফরম পরিচালনা—এমন নানা কাজে এর ব্যবহার রয়েছে। ওয়ার্ডপ্রেসের মতো জনপ্রিয় ওয়েবসাইট ব্যবস্থাপনা ব্যবস্থাতেও পিএইচপি ব্যবহৃত হয়।
কিন্তু সমস্যা হলো, দুর্বলতাটি কোনো একটি ওয়েবসাইটের নির্দিষ্ট ফিচারে সীমাবদ্ধ নয়। এটি পিএইচপির মূল সফটওয়্যার ব্যবস্থার সঙ্গে সম্পর্কিত। এ কারণে, আক্রান্ত সংস্করণে চলা কোনো সার্ভারে যথাযথ সুরক্ষা না থাকলে, ব্যবহারকারীর পরিচয় যাচাইয়ের আগেই অনুমোদন ছাড়াই নির্দেশনা চালানোর সুযোগ তৈরি হতে পারে। তবে পিএইচপি ব্যবহার করলেই সব ওয়েবসাইট আক্রান্ত—বিষয়টি এমন নয়। ঝুঁকি নির্ভর করছে সংস্করণ, সার্ভারের বিন্যাস এবং নিরাপত্তা হালনাগাদের ওপর।
দুই ত্রুটি, ঝুঁকি কতটা গুরুতর?
নিরাপত্তা দুর্বলতা দুটি পরিচিত হচ্ছে ‘পিএইচপি২শেল’নামে। শনাক্তকরণ নম্বর—সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯। আন্তর্জাতিক নিরাপত্তা মূল্যায়নে দুটিরই ঝুঁকির স্কোর ১০-এর মধ্যে ৯ দশমিক ২। অর্থাৎ, গুরুতর ঝুঁকি।
কিন্তু কেন? একটি ত্রুটি তৈরি হতে পারে মেমোরির সংকট সামলানোর সময়। অন্যটি মেমোরি থেকে সরিয়ে দেওয়া তথ্যের পুরোনো রেফারেন্স ব্যবহারের সঙ্গে সম্পর্কিত। প্রযুক্তিগত বিষয়গুলো জটিল হলেও সম্ভাব্য পরিণতি সহজেই বোঝা যায়। আক্রমণ সফল হলে সার্ভারে অনুমোদন ছাড়া কোড চালানো, গুরুত্বপূর্ণ তথ্যের নাগাল পাওয়া কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত করার ঝুঁকি তৈরি হতে পারে। এ কারণেই বিষয়টিকে শুধু ওয়েবসাইটের সমস্যা হিসেবে দেখার সুযোগ নেই। এর সঙ্গে জড়িয়ে আছে তথ্যের গোপনীয়তা এবং ডিজিটাল সেবার নির্ভরযোগ্যতা।
বাংলাদেশে কতটা ঝুঁকি?
বাংলাদেশের চিত্রটা অবশ্য একরকম নয়। সরকারের অ্যাসপায়ার টু ইনোভেট—এটুআইয়ের কর্মকর্তারা জানান, জাতীয় পোর্টাল ফ্রেমওয়ার্কের আওতায় থাকা প্রায় ৩৬ হাজার ৫০০টি ওয়েবসাইট পিএইচপিতে তৈরি নয়। ফলে সেগুলো এই নির্দিষ্ট ত্রুটির সরাসরি ঝুঁকিতে পড়ার কথা নয়।
কিন্তু এখানেই নিশ্চিন্ত হওয়ার সুযোগ নেই। কারণ, জাতীয় পোর্টালের বাইরে বিভিন্ন সরকারি দপ্তর, ব্যাংক, বাণিজ্যিক প্রতিষ্ঠান ও অনলাইন সেবা নিজেদের প্রযুক্তি ব্যবহার করে পরিচালিত হয়। সেগুলোর কোনটিতে পিএইচপির ঝুঁকিপূর্ণ সংস্করণ চলছে, তা আলাদাভাবে যাচাই করতে হবে।
বেসরকারি হোস্টিং প্রতিষ্ঠান লিমডা হোস্টের প্রধান প্রযুক্তি কর্মকর্তা জুনাইদ মিয়াজীর দেওয়া তথ্য অনুযায়ী, তাদের প্রায় ৮০ শতাংশ গ্রাহকের ওয়েবসাইট পিএইচপিভিত্তিক। তিনি জানিয়েছেন, নিরাপত্তা সংশোধন প্রয়োগের পর তাদের ব্যবস্থায় এ ত্রুটির কারণে কোনো প্রভাব শনাক্ত হয়নি। অর্থাৎ, বাংলাদেশের সব ওয়েবসাইট আক্রান্ত—এমন প্রমাণ নেই। আবার সব ওয়েবসাইট নিরাপদ, এমন সিদ্ধান্তেও পৌঁছানো যাবে না।
বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ কেন?
নিরাপত্তা নিয়ে উদ্বেগের মধ্যে বাংলাদেশ ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার খবরও সামনে এসেছে। প্রকাশিত তথ্য অনুযায়ী, এটি সতর্কতামূলক পদক্ষেপ। সংশ্লিষ্ট প্রযুক্তিবিদেরা নিরাপত্তার ঝুঁকি যাচাই ও সমাধানের কাজ করছেন।
এখানে একটি বিষয় স্পষ্ট করা জরুরি। ওয়েবসাইট বন্ধ থাকা মানেই সেটি হ্যাক হয়েছে, এমনটি নয়। সম্ভাব্য ঝুঁকি ঠেকাতেও কোনো প্রতিষ্ঠান সাময়িকভাবে সেবা বন্ধ রাখতে পারে। তাই বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখার ঘটনাকে সরাসরি সফল সাইবার হামলার প্রমাণ হিসেবে দেখার সুযোগ নেই। এ বিষয়ে চূড়ান্ত সিদ্ধান্তের জন্য প্রতিষ্ঠানের যাচাই করা তথ্য ও তদন্তের ফল প্রয়োজন।
ভারতের স্টেট ব্যাংকের ঘটনায় কী জানা গেছে?
এর মধ্যেই সামনে এসেছে ভারতের স্টেট ব্যাংক অব ইন্ডিয়া—এসবিআইয়ের গ্রাহকতথ্য প্রকাশ্যে আসার ঘটনা। ব্যাংকটির ২১ অক্টোবরের প্রকাশিত তথ্য অনুযায়ী, ডার্ক ওয়েবে পাওয়া প্রায় ৩ লাখ ৭৫ হাজার রেকর্ডের প্রাথমিক বিশ্লেষণে ৩ হাজার ৮৯৭টি রেকর্ডে গ্রাহকদের ব্যক্তিগত শনাক্তযোগ্য তথ্য পাওয়া গেছে। তথ্যের মধ্যে রয়েছে নাম, ফোন নম্বর, জন্মতারিখ, ই-মেইল ও ঠিকানাসহ বিভিন্ন পরিচয়সংক্রান্ত তথ্য। ঋণ ও গ্রাহকসংক্রান্ত রেকর্ডও আলোচনায় এসেছে।
তবে গুরুত্বপূর্ণ পার্থক্যটি হলো, ৩ লাখ ৭৫ হাজার রেকর্ড মানেই ৩ লাখ ৭৫ হাজার গ্রাহকের তথ্য ফাঁস নয়। আর তথ্যের উৎস, সত্যতা এবং কীভাবে সেগুলো বাইরে গেল—এসব বিষয় তদন্তাধীন।
ব্যাংকটি জানিয়েছে, বিষয়টি খতিয়ে দেখতে স্বাধীন সাইবার নিরাপত্তা প্রতিষ্ঠানের সহায়তা নেওয়া হয়েছে। পাশাপাশি, তাদের মূল ব্যাংকিং কার্যক্রমে উল্লেখযোগ্য প্রভাব পড়েনি বলেও জানানো হয়েছে। এই ঘটনাকে বাংলাদেশের পিএইচপি দুর্বলতার সঙ্গে সরাসরি যুক্ত করারও কোনো প্রতিষ্ঠিত প্রমাণ নেই। তবে এটি দেখিয়ে দেয়, গ্রাহকের তথ্য সুরক্ষিত রাখা আর্থিক প্রতিষ্ঠানের জন্য কতটা গুরুত্বপূর্ণ।
হামলা হলে কী কী বিপদ হতে পারে?
এবার ভাবুন, কোনো দুর্বল সার্ভারে হামলা সফল হলো। তখন কী হতে পারে? প্রতিষ্ঠানের নিরাপত্তাব্যবস্থার ওপর নির্ভর করে গুরুত্বপূর্ণ ফাইল বা তথ্য অনুমোদনহীন ব্যক্তির হাতে চলে যেতে পারে, ওয়েবসাইট অচল হতে পারে। সার্ভারের নিয়ন্ত্রণ ক্ষতিগ্রস্ত হলে সেবা পুনরুদ্ধারেও সময় লাগতে পারে।
আর ব্যক্তিগত তথ্য বাইরে গেলে বিপদটা সেখানেই শেষ হয় না। ফাঁস হওয়া তথ্য ব্যবহার করে প্রতারকেরা ব্যাংক কর্মকর্তা পরিচয়ে ফোন করতে পারে, ভুয়া বার্তা পাঠাতে পারে কিংবা ব্যক্তিগত তথ্য জেনে বিশ্বাস অর্জনের চেষ্টা করতে পারে। তবে মনে রাখতে হবে, তথ্য ফাঁস হলেই ব্যাংক হিসাব থেকে টাকা চুরি হয়ে গেছে—এমনটি নয়। একইভাবে, কোনো সার্ভারে দুর্বলতা থাকলেই সেখানে হামলা সফল হয়েছে, এমনও নয়।
এখনই কী করা জরুরি?
এখন সবচেয়ে জরুরি কাজ হলো, কোন সার্ভারে পিএইচপির কোন সংস্করণ চলছে, তার পূর্ণ তালিকা তৈরি করা। বিজিডি ই-গভ সার্টের ২২ অক্টোবরের সতর্কবার্তায় দ্রুত সফটওয়্যার আপডেট করার পরামর্শ দেওয়া হয়েছে। পিএইচপি কর্তৃপক্ষও নিরাপত্তা ত্রুটি ঠিক করে নতুন সংস্করণ প্রকাশ করেছে। তাই ঝুঁকি এড়াতে ওয়েবসাইট পরিচালনাকারীদের সংশোধিত সংস্করণ ব্যবহার নিশ্চিত করতে হবে।
তবে পুরোনো সংস্করণ বা বিশেষ ব্যবস্থাপনায় চলা সার্ভারের ক্ষেত্রে সংশ্লিষ্ট সফটওয়্যার সরবরাহকারীর নিরাপত্তা হালনাগাদ যাচাই করা প্রয়োজন। শুধু ওয়েবসাইটের ডিজাইন বা ওয়ার্ডপ্রেস আপডেট করলেই হবে না। মূল পিএইচপি রানটাইমেও সংশোধন কার্যকর হয়েছে কিনা, সেটি নিশ্চিত করতে হবে। পাশাপাশি, সার্ভারের কার্যক্রমের রেকর্ড পরীক্ষা, অনুমোদনহীন প্রবেশ শনাক্ত করা এবং প্রয়োজনে ঝুঁকিপূর্ণ সেবা সাময়িকভাবে সীমিত রাখাও জরুরি।
নিরাপত্তা মানে শুধু পাসওয়ার্ড নয়
ডিজিটাল বাংলাদেশে ওয়েবসাইট শুধু তথ্য দেখানোর মাধ্যম নয়। ব্যাংকিং, ব্যবসা, নাগরিক সেবা—অনেক কিছুই এখন এর ওপর নির্ভরশীল। তাই একটি সফটওয়্যারের ত্রুটিও বড় নিরাপত্তা প্রশ্ন তৈরি করতে পারে।
এখন দেখার বিষয়, ঝুঁকিপূর্ণ সার্ভারগুলো কত দ্রুত শনাক্ত হয়, নিরাপত্তা হালনাগাদ কতটা কার্যকরভাবে বাস্তবায়িত হয় এবং সম্ভাব্য অনুপ্রবেশের ঘটনা সময়মতো ধরা পড়ে কি না। কারণ, সাইবার নিরাপত্তায় সবচেয়ে বড় সুরক্ষা শুধু শক্তিশালী পাসওয়ার্ড নয়—নিয়মিত হালনাগাদ, দ্রুত সতর্কতা এবং দায়িত্বশীল ব্যবস্থাপনাও। তাই, শুধু সতর্কতা নয়, দরকার কার্যকর সুরক্ষা।
—জা. অর্থনীতি/এলএটি