দেশের সরকারি-বেসরকারি শতাধিক প্রতিষ্ঠানের ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন পিএইচপির পুরনো ও মেয়াদোত্তীর্ণ সংস্করণ ব্যবহারের কারণে সাইবার নিরাপত্তা ঝুঁকিতে রয়েছে। পিএইচপি প্রোগ্রামিং ল্যাঙ্গুয়েজে নিরাপত্তা ত্রুটি দেখা দেয়ার পরিপ্রেক্ষিতে দুর্বলতা শনাক্ত করে সতর্কতা ও নিরাপত্তামূলক ব্যবস্থা নেয়ার নির্দেশনা দেয়া হয়। তবে অনেক প্রতিষ্ঠান সে অনুযায়ী প্রয়োজনীয় ব্যবস্থা নেয়নি। ফলে এসব প্রতিষ্ঠানের সার্ভারে অননুমোদিত প্রবেশ, তথ্য চুরি এবং সেবা অচল করে দেয়ার আশঙ্কা তৈরি হয়েছে বলে জানিয়েছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট। ঝুঁকির তালিকায় রয়েছে বিভিন্ন সরকারি-বেসরকারি প্রতিষ্ঠান ও ব্যাংক। এ পরিস্থিতিতে গত ২২ অক্টোবর সাইবার হামলার সতর্কতা জারির পর গতকাল আবারো সতর্কবার্তা প্রকাশ করেছে বিজিডি ই-গভ সার্ট।
‘আনরিজলভড পিএইচপি সিকিউরিটি এক্সপোজারস ইন গভর্নমেন্ট, পাবলিক অ্যান্ড প্রাইভেট-সেক্টর অর্গানাইজেশনস ইন বাংলাদেশ’ শীর্ষক সতর্কবার্তায় ঝুঁকিপূর্ণ পিএইচপি সংস্করণ শনাক্ত, নিরাপত্তা প্যাচ প্রয়োগ এবং মেয়াদোত্তীর্ণ সংস্করণ হালনাগাদের ওপর গুরুত্ব দিয়েছে সংস্থাটি। সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের ধারাবাহিক পর্যবেক্ষণে এসব দুর্বলতা শনাক্ত হয়েছে। আগের সতর্কবার্তার পরও অনেক প্রতিষ্ঠানের কাছ থেকে ঝুঁকি নিরসনের বিষয়ে নিশ্চিত তথ্য পাওয়া যায়নি। ফলে সংশ্লিষ্ট ওয়েবসাইট ও সার্ভারের নিরাপত্তা নিয়ে উদ্বেগ রয়ে গেছে।
তথ্যপ্রযুক্তি বিভাগের একটি সূত্র জানিয়েছে, পুরনো পিএইচপি সংস্করণ ব্যবহারের কারণে ঝুঁকিতে থাকা প্রতিষ্ঠানের সংখ্যা আরো বাড়তে পারে। দুর্বলতা ও সিস্টেমের কনফিগারেশনের ওপর নির্ভর করে আক্রান্ত সার্ভারে দূর থেকে অননুমোদিত কোড চালানো, সংবেদনশীল তথ্য প্রকাশ এবং সার্ভারের নিয়ন্ত্রণ বেহাত হওয়ার মতো ঘটনার আশঙ্কা রয়েছে।
প্রতিষ্ঠানগুলোর নিজস্ব তথ্যপ্রযুক্তি সম্পদের তালিকা, ব্যবস্থাপনা ঘাটতি নিরাপত্তা দুর্বলতা শনাক্ত ও নিরসনে বাধা হয়ে দাঁড়াচ্ছে বলে মনে করেন বিজিডি ই-গভ সার্টের প্রকল্প পরিচালক মো. নাজমুল হক। তিনি এ প্রসঙ্গে বণিক বার্তাকে বলেন, ‘দেশের বিভিন্ন সরকারি-বেসরকারি প্রতিষ্ঠানের ডিজিটাল ব্যবস্থায় পিএইচপির পুরনো সংস্করণ ব্যবহার করা হচ্ছে। অনেক প্রতিষ্ঠানে নিজস্ব অ্যাসেট ম্যানেজমেন্ট বা তথ্যপ্রযুক্তি সম্পদের সঠিক তালিকা নেই। ফলে কোন সার্ভার বা ওয়েবসাইটে পুরনো সংস্করণ চালু রয়েছে, তা সংশ্লিষ্ট কর্মকর্তাদের অজানা থেকে যাচ্ছে। এ ঝুঁকি এড়াতে প্রতিষ্ঠানগুলোকে সফটওয়্যার ও সিস্টেম হালনাগাদ করতে হবে।’
প্রযুক্তি বিশেষজ্ঞরা বলছেন, পিএইচপি একটি বহুল ব্যবহৃত ওয়েব প্রোগ্রামিং ভাষা। বিভিন্ন ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে এটি ব্যবহৃত হয়। এ ভাষার পুরনো সংস্করণে নিরাপত্তা দুর্বলতা থাকলে তা কাজে লাগিয়ে সাইবার অপরাধীরা সংশ্লিষ্ট সার্ভার ও তথ্য ব্যবস্থায় প্রবেশের চেষ্টা করতে পারে। এ ঝুঁকি মোকাবেলায় বিশ্বের বিভিন্ন দেশের ব্যাংক ও আর্থিক প্রতিষ্ঠান এরই মধ্যে তাদের নিরাপত্তা ব্যবস্থা জোরদার করেছে। বাংলাদেশেও সতর্কতামূলক ব্যবস্থা হিসেবে কেন্দ্রীয় ব্যাংকসহ একাধিক ব্যাংক তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখে।
তবে নিরাপত্তা ঝুঁকি শনাক্ত হলে কেবল ওয়েবসাইট বন্ধ রেখে সমস্যার সমাধান করা সম্ভব নয় বলে মনে করছেন বিশেষজ্ঞরা। প্রযুক্তিবিদ ও ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বণিক বার্তাকে বলেন, ‘পিএইচপির এ দুর্বলতা অত্যন্ত ঝুঁকিপূর্ণ। এর মাধ্যমে ব্যবহারকারীর নাম ও পাসওয়ার্ড ছাড়াই সরাসরি ডেটাবেজে প্রবেশের সুযোগ তৈরি হতে পারে। অনেক প্রতিষ্ঠান প্রাথমিক ব্যবস্থা হিসেবে ওয়েবসাইট বন্ধ রাখছে, যা সমস্যার স্থায়ী সমাধান নয়।’
সমস্যার সমাধানে দ্রুত নিরাপত্তা প্যাচ হালনাগাদের পরামর্শ দিয়ে তিনি বলেন, ‘সাধারণ ক্ষেত্রে এ কাজ কয়েক ঘণ্টার মধ্যে করা সম্ভব। প্রতিষ্ঠানের নিজস্ব তথ্যপ্রযুক্তি বিশেষজ্ঞ ও সিস্টেম বিশ্লেষকদের মাধ্যমে তা করা যায়। তবে নতুন সংস্করণের সঙ্গে পুরনো অ্যাপ্লিকেশনের সামঞ্জস্য যাচাইয়ের প্রয়োজন হতে পারে। এ ধরনের জটিলতা থাকলে ঝুঁকিপূর্ণ সেবা সাময়িকভাবে বন্ধ রেখে হালনাগাদ ও পরীক্ষা সম্পন্ন করা উচিত। নিরাপত্তা দুর্বলতা অক্ষুণ্ন রেখে সেবা চালু রাখা গ্রহণযোগ্য নয়।’
তাৎক্ষণিকভাবে নিরাপত্তা প্যাচ প্রয়োগ করা সম্ভব না হলে ঝুঁকিপূর্ণ সিস্টেমে প্রবেশাধিকার সীমিত করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। এক্ষেত্রে ভার্চুয়াল প্রাইভেট নেটওয়ার্ক ব্যবহার, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি এবং অপ্রয়োজনীয়ভাবে ইন্টারনেটে সিস্টেম উন্মুক্ত না রাখার মতো ব্যবস্থা নেয়া যেতে পারে। তবে এসব ব্যবস্থা নিরাপত্তা প্যাচ প্রয়োগের বিকল্প নয় বলে সতর্ক করেছে সংস্থাটি।
নিরাপত্তা দুর্বলতা সম্পর্কে জানার পরও কোনো প্রতিষ্ঠান প্রয়োজনীয় ব্যবস্থা না নিলে তাদের জবাবদিহি নিশ্চিত করা উচিত বলে মনে করেন ইন্টারনেট অবকাঠামো ও সাইবার নিরাপত্তা বিশেষজ্ঞ সুমন আহমেদ সাবির। বণিক বার্তাকে তিনি বলেন, ‘কোনো সেবাদাতা প্রতিষ্ঠানের অবহেলায় গ্রাহকের ব্যক্তিগত তথ্য ফাঁস হলে সংশ্লিষ্ট প্রতিষ্ঠানকে আইনি জবাবদিহির আওতায় আনার বিষয়টি বিবেচনা করা প্রয়োজন। পুরনো পিএইচপি সংস্করণ ব্যবহারকারী ওয়েবসাইটগুলো দ্রুত হালনাগাদ না করলে সাইবার হামলা, তথ্য চুরি, সেবা অচল হয়ে যাওয়া ও র্যানসমওয়্যার হামলার ঝুঁকি থাকবে। সরকারি প্রতিষ্ঠানের ক্ষেত্রে নির্দেশনার মাধ্যমে নিরাপত্তা হালনাগাদ নিশ্চিত করা সম্ভব। বেসরকারি প্রতিষ্ঠানগুলোকেও তথ্য সুরক্ষায় দায়িত্বশীল হতে হবে।’
এদিকে পিএইচপির নিরাপত্তা ত্রুটি নিয়ে সতর্কতার পর গত বৃহস্পতিবার বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেয়। একইভাবে সতর্কতামূলক ব্যবস্থা নেয় আরো কয়েকটি ব্যাংক। এর মধ্যে রয়েছে অগ্রণী ব্যাংক, জনতা ব্যাংক, মার্কেন্টাইল ব্যাংক, ফার্স্ট সিকিউরিটি ইসলামী ব্যাংক, আইএফআইসি ব্যাংক, শাহ্জালাল ইসলামী ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংক। গতকাল সকাল ৮টায় বাংলাদেশ ব্যাংকের ওয়েবসাইট পুনরায় চালু করা হয়। এরপর অন্য ব্যাংকগুলোও পর্যায়ক্রমে নিজেদের ওয়েবসাইট চালু করে বলে সংশ্লিষ্টরা জানিয়েছেন।
বাংলাদেশ ব্যাংকের মুখপাত্র ও নির্বাহী পরিচালক আরিফ হোসেন খান বণিক বার্তাকে বলেন, ‘সতর্কতামূলক ব্যবস্থা হিসেবে গত বৃহস্পতিবার কেন্দ্রীয় ব্যাংকের ওয়েবসাইট বন্ধ করা হয়েছিল। একই সঙ্গে ব্যাংকগুলোকে সতর্ক থাকতে বলা হয়। পরিস্থিতি পর্যালোচনা শেষে গতকাল সকাল ৮টায় ওয়েবসাইট সচল করা হয়েছে। গত কয়েক দিনে বিশ্বের বিভিন্ন দেশের আর্থিক খাতে সাইবার হামলা ও সমস্যার খবর পাওয়া গেলেও বাংলাদেশে এ ধরনের কোনো ঘটনার অভিযোগ এখন পর্যন্ত পাওয়া যায়নি। তবে সতর্কতামূলক ব্যবস্থা অব্যাহত থাকবে।’
আর্থিক প্রতিষ্ঠানের সাইবার নিরাপত্তা নিয়ে সার্বক্ষণিক সতর্ক থাকার ওপর গুরুত্ব দিয়েছেন মিউচুয়াল ট্রাস্ট ব্যাংকের ব্যবস্থাপনা পরিচালক সৈয়দ মাহবুবুর রহমান। বণিক বার্তাকে তিনি বলেন, ‘পিএইচপির নিরাপত্তা ত্রুটি বিশ্বজুড়ে নতুন ধরনের ঝুঁকির বিষয়টি সামনে এনেছে। কৃত্রিম বুদ্ধিমত্তার বিস্তারের ফলে সাইবার ঝুঁকির ধরন ও মাত্রা বদলাচ্ছে। তাই ব্যাংকগুলোকে নিয়মিত নিরাপত্তা পরিস্থিতি পর্যালোচনা করতে হবে এবং সংশ্লিষ্ট কর্মীদের নতুন ঝুঁকি সম্পর্কে হালনাগাদ জ্ঞান রাখতে হবে।’ এখন পর্যন্ত দেশের কোনো ব্যাংকে এ ধরনের সাইবার হামলার খবর বা কর্মীদের কাছ থেকে এ-সংক্রান্ত অভিযোগ পাওয়া যায়নি বলেও জানান তিনি।
বিভিন্ন প্রতিষ্ঠানের নিরাপত্তা ঝুঁকি শনাক্ত ও সমাধানে প্রয়োজনে কারিগরি সহায়তা প্রদানের আগ্রহের কথা জানিয়েছে সরকারের তথ্য ও যোগাযোগ প্রযুক্তি বিভাগ। এ বিভাগের সচিব মো. মামুনুর রশীদ ভূঞা বণিক বার্তাকে বলেন, ‘প্রয়োজন হলে আইসিটি বিভাগ থেকে কারিগরি সহায়তা দেয়া হবে। নিজস্ব ব্যবস্থাপনায় পরিচালিত ওয়েবসাইটের নিরাপত্তা হালনাগাদে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকেও উদ্যোগ নিতে হবে। সরকারি দপ্তরের ওয়েবসাইট ব্যবস্থাপনা বিকেন্দ্রীকরণ করা হয়েছে। নিরাপত্তা নিশ্চিত করতে নিয়মিত হালনাগাদ, যথাযথ ব্যবস্থাপনা ও সংশ্লিষ্ট কর্মকর্তাদের সচেতনতা জরুরি।’