ওয়েবসাইট তৈরির বহুল ব্যবহৃত প্রযুক্তি পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়ায় বিশ্বজুড়ে জরুরি সতর্কতা শুরু হয়েছে। ইউরোপ ও এশিয়ার একাধিক দেশে সরকারি ও আর্থিক প্রতিষ্ঠানের অনলাইন সেবা সাময়িকভাবে বন্ধ রাখা হয়েছে। বাংলাদেশেও সরকারি সংস্থা ও আর্থিক প্রতিষ্ঠানকে সতর্ক করা হয়েছে। বৃহস্পতিবার সন্ধ্যা থেকে বাংলাদেশ ব্যাংকের ওয়েবসাইটও বন্ধ আছে।
ত্রুটি প্রকাশের কয়েক ঘণ্টার মধ্যেই হ্যাকিংয়ের চেষ্টা কয়েক মিলিয়নে পৌঁছেছে। ক্লাউড সেবাদাতা প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথিউ প্রিন্স জানিয়েছেন, আনুষ্ঠানিকভাবে তথ্য প্রকাশের ১০ ঘণ্টার মধ্যেই হামলার চেষ্টা কয়েক মিলিয়ন ছাড়িয়ে যায়। এই গতিই বুঝিয়ে দেয়, দুর্বলতার খবর জানাজানি হলে তা কত দ্রুত বাস্তব হুমকিতে রূপ নিতে পারে।
শনাক্ত হওয়া দুটি ত্রুটি মূলত ওয়েবসাইটে আসা অনুরোধ প্রক্রিয়াকরণ এবং সার্ভারের মেমোরি ব্যবস্থাপনার সঙ্গে যুক্ত। হ্যাকাররা বিশেষ কায়দায় তৈরি অনুরোধ পাঠিয়ে এই দুর্বলতার সুযোগ নিতে পারে। এতে পাসওয়ার্ড বা ব্যবহারকারীর অনুমতি ছাড়াই আক্রান্ত সার্ভারে নিজেদের কোড চালানোর পথ খুলে যেতে পারে।
একবার সেই সুযোগ পেলে হামলাকারীরা সার্ভারে রাখা তথ্য দেখতে বা বদলাতে পারে। গোপন পাসওয়ার্ডসহ গুরুত্বপূর্ণ তথ্য চুরি করার চেষ্টাও সম্ভব। এমনকি ওয়েবসাইট ও অনলাইন সেবা অচল করে দেওয়ার ঝুঁকিও থাকে। এ কারণেই ইউরোপ, অস্ট্রেলিয়া, জাপান ও যুক্তরাজ্যের সাইবার নিরাপত্তা সংস্থাগুলো দ্রুত পিএইচপি হালনাগাদ করতে বলেছে। হালনাগাদ বা প্যাচ প্রয়োগ না হওয়া পর্যন্ত ওয়েবসাইট বন্ধ রাখার পরামর্শও দেওয়া হয়েছে।
ঝুঁকির পরিধি এত বড় হওয়ার কারণ পিএইচপির ব্যাপক ব্যবহার। বিশ্বে যেসব ওয়েবসাইটের প্রোগ্রামিং ভাষা শনাক্ত করা যায়, তার প্রায় ৭০ শতাংশেই পিএইচপি ব্যবহৃত হয়। জনপ্রিয় কনটেন্ট ব্যবস্থাপনা প্ল্যাটফর্ম ওয়ার্ডপ্রেসও এর ওপর নির্ভরশীল। ফলে একটি দুর্বলতা কাজে লাগিয়ে একসঙ্গে বিপুলসংখ্যক ওয়েবসাইটে হামলা চালানো সম্ভব। সবচেয়ে বেশি ঝুঁকিতে আছে পিএইচপির পুরোনো ও দুর্বল সংস্করণে চলা এবং সরাসরি ইন্টারনেট থেকে ব্যবহারযোগ্য সাইট ও সেবা। এর মধ্যে রয়েছে সরকারি পোর্টাল, ব্যাংক ও আর্থিক প্রতিষ্ঠানের ওয়েবসাইট, ই-কমার্স, প্রশাসনিক ব্যবস্থা, প্রতিষ্ঠানের নিজস্ব ওয়েব অ্যাপ্লিকেশন এবং শেয়ার্ড হোস্টিংয়ের সাইট।
ঝুঁকি বিবেচনায় ইউরোপের দেশগুলো বুধবার থেকেই সতর্কতামূলক ব্যবস্থা নিতে শুরু করে। জার্মানির কেন্দ্রীয় তথ্যপ্রযুক্তি সেবাদাতা সংস্থা কয়েকটি সরকারি ওয়েবসাইট সাময়িকভাবে বন্ধ করেছে। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় স্থানীয় প্রশাসনের বিভিন্ন ওয়েবসাইট বন্ধ রেখেছে। নেদারল্যান্ডসে রটারডাম বন্দর, সরকারি ওয়েবসাইট, রাজনৈতিক দল ও কয়েকটি হাসপাতালের সাইট সাময়িকভাবে অফলাইনে নেওয়া হয়েছে। ফিনল্যান্ড সরকার সরকারি ওয়েবসেবা বন্ধ রেখে নিরাপত্তা হালনাগাদ শুরু করেছে।
এশিয়াতেও একই চিত্র দেখা গেছে। জাপানের অর্থ মন্ত্রণালয় ও আবহাওয়া সংস্থা কিছু অনলাইন সেবা সীমিত করেছে। দেশটির কর বিভাগ সাময়িকভাবে অনলাইন সেবা বন্ধ রেখেছে। বড় আর্থিক প্রতিষ্ঠান, বিমান সংস্থা ও রেল কোম্পানিও কিছু সেবা স্থগিত করেছে। রয়টার্সের তথ্য অনুযায়ী, জাপানের বড় আর্থিক প্রতিষ্ঠান নোমুরা ও মিতসুবিশি ইউএফজে ফাইন্যান্সিয়াল গ্রুপ কিছু ইন্টারনেট সেবা সাময়িকভাবে বন্ধ করেছে। বীমা প্রতিষ্ঠান টোকিও মেরিন হোল্ডিংসও তাদের গ্রুপ ওয়েবসাইট বন্ধ রেখেছে।
সরকারের সাইবার নিরাপত্তা-সংশ্লিষ্ট বিষয় দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট দেশেও সতর্কবার্তা দিয়েছে। সরকারি সংস্থা, আর্থিক প্রতিষ্ঠান, টেলিযোগাযোগ সেবাদাতা, গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী প্রতিষ্ঠান, শিক্ষাপ্রতিষ্ঠান ও বেসরকারি সংস্থাকে তাদের পিএইচপি-ভিত্তিক সিস্টেম দ্রুত শনাক্ত করে নিরাপদ সংস্করণে হালনাগাদ করতে বলা হয়েছে। সরাসরি ইন্টারনেট থেকে ব্যবহারযোগ্য সিস্টেমকে অগ্রাধিকার দিতে বলেছে সংস্থাটি।
তাৎক্ষণিক হালনাগাদ সম্ভব না হলে ঝুঁকিপূর্ণ সেবা সাময়িকভাবে বন্ধ রাখা, প্রবেশাধিকার সীমিত করা এবং মূল সার্ভারে সরাসরি সংযোগ বন্ধ রাখার পরামর্শও এসেছে। একই সঙ্গে সার্ভারের লগ পরীক্ষা করে দেখতে বলা হয়েছে।
সার্ট প্রকল্পের পরিচালক মো. নাজমুল হক খন্দকার জানান, সতর্কতা জারির পর এটুআই ও ডেটা সেন্টার কোম্পানিকে বিষয়টি জানানো হয়েছে। প্রতিষ্ঠানগুলো নিজ নিজ অবস্থান থেকে ব্যবস্থা নিচ্ছে। প্রয়োজনে তারা সাময়িকভাবে ওয়েবসাইট বন্ধ রেখে নিরাপত্তা প্যাচ বসাতে পারে। বৃহস্পতিবার রাত পর্যন্ত এ ধরনের কোনো হামলার তথ্য সার্টের কাছে ছিল না। তবে কিছু প্রতিষ্ঠান আগাম সতর্কতা হিসেবে প্যাচ হালনাগাদের কাজ শুরু করেছে।
জাতীয় সাইবার সুরক্ষা এজেন্সির মহাপরিচালক ড. মো. তৈয়বুর রহমান বলেছেন, তাঁরা সার্ট ও সংশ্লিষ্ট সরকারি সংস্থার সঙ্গে সমন্বয় করে সম্ভাব্য প্রভাব মূল্যায়ন করছেন। হালনাগাদের অগ্রগতি পর্যবেক্ষণ এবং প্রয়োজনীয় সুরক্ষা ব্যবস্থা বাস্তবায়নের কাজও চলছে। তাঁর ভাষ্য, অগ্রাধিকার হলো যত দ্রুত সম্ভব ঝুঁকিপূর্ণ সিস্টেম সুরক্ষিত করা এবং একই সঙ্গে সরকারি ডিজিটাল সেবার ধারাবাহিকতা বজায় রাখা। তথ্য ও যোগাযোগ প্রযুক্তি বিভাগের সচিব মো. মামুনুর রশীদ ভূঞা জানান, গুরুত্বপূর্ণ তথ্য অবকাঠামোকে সতর্ক করা হচ্ছে এবং সাইবার নিরাপত্তায় সক্ষমতা বাড়াতে নানা উদ্যোগ চলছে।
নিরাপত্তা সতর্কতার পর বৃহস্পতিবার সন্ধ্যা থেকে বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইট বন্ধ রাখা হয়েছে। সাইটে প্রবেশ করলে নির্ধারিত রক্ষণাবেক্ষণের জন্য সেবা সাময়িক বন্ধ থাকার বার্তা দেখা যাচ্ছে। শুক্রবার মধ্যরাত পর্যন্ত সাইটটি বন্ধ ছিল বলে জানা গেছে।
বাংলাদেশ ব্যাংকের মুখপাত্র ও নির্বাহী পরিচালক আরিফ হোসেন খান বলেন, বিশ্বজুড়ে কেন্দ্রীয় ব্যাংকগুলোতে হ্যাকাররা ধারাবাহিকভাবে সাইবার হামলা চালাচ্ছে। তাই আগাম সতর্কতা হিসেবে সাইটটি বন্ধ রাখা হয়েছে। প্রয়োজনীয় নিরাপত্তা জোরদার ও পরীক্ষা শেষ হলেই ওয়েবসাইট আবার চালু করা হবে।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বলেন, সমস্যাটি পিএইচপির নিজস্ব ব্যবস্থায়। তাই ঝুঁকিপূর্ণ সংস্করণ ব্যবহার করলে সার্ভার আক্রান্ত হতে পারে। দূর থেকে পাসওয়ার্ড ছাড়াই সার্ভারে কোড চালানোর সুযোগও তৈরি হতে পারে।
বাংলাদেশে কতগুলো সরকারি ওয়েবসাইট পিএইচপিতে চলে, তার কোনো প্রকাশিত হিসাব নেই বলে জানান তিনি। তাঁর অনুমান, দেশের ৬০ থেকে ৮৫ শতাংশ সরকারি-বেসরকারি ওয়েবসাইটে এটি ব্যবহৃত হতে পারে। তাঁর মতে, প্রথম কাজ হওয়া উচিত পিএইচপি সংস্করণের তালিকা তৈরি করা এবং সরাসরি ইন্টারনেটে খোলা সার্ভারগুলোকে অগ্রাধিকার দেওয়া। এরপর দ্রুত সংশোধিত সংস্করণে যেতে হবে। হালনাগাদ শেষ না হওয়া পর্যন্ত ফায়ারওয়াল কিছুটা ঝুঁকি কমাতে পারে, তবে তা স্থায়ী সমাধান নয়। হালনাগাদ সম্ভব না হলে সংশ্লিষ্ট ওয়েবসাইট সাময়িকভাবে বিচ্ছিন্ন রাখা উচিত। পাশাপাশি গত কয়েক দিনের সার্ভার লগ খতিয়ে দেখে অস্বাভাবিক অনুরোধ বা অনুপ্রবেশের চিহ্ন খুঁজতে হবে।
সিঙ্গাপুরে ওমরন হেলথকেয়ারের ইঞ্জিনিয়ারিং ম্যানেজার ড. মশিউর রহমান মনে করেন, বাংলাদেশে অনেক প্রতিষ্ঠান এখনো পুরোনো প্রযুক্তি ও পুরোনো পিএইচপি সংস্করণের ওপর নির্ভরশীল। তাই এখানে ঝুঁকি তুলনামূলক বেশি হতে পারে। তাঁর ভাষ্য, এখন সবচেয়ে জরুরি কাজ ঝুঁকিপূর্ণ সংস্করণ দ্রুত প্যাচ করা, এর কোনো কার্যকর বিকল্প নেই। দীর্ঘমেয়াদে তিনি প্রতিটি প্রতিষ্ঠানে একটি নির্দিষ্ট দল রাখার পরামর্শ দেন, যারা ব্যবহৃত সিস্টেম, সফটওয়্যার ও ফ্রেমওয়ার্কের হালনাগাদ অবস্থা এবং সম্ভাব্য ঝুঁকি পর্যবেক্ষণ করবে। এসব সিস্টেম নিয়মিত নিরাপত্তা অডিটের আওতায় আনার কথাও বলেছেন তিনি।
বুয়েটের কম্পিউটার সায়েন্স অ্যান্ড ইঞ্জিনিয়ারিং বিভাগের সহযোগী অধ্যাপক সুকর্ণ বড়ুয়া সতর্ক করেছেন, নির্মাতার সমর্থন বন্ধ হয়ে যাওয়া পুরোনো সংস্করণ ব্যবহার করলে ঝুঁকি থেকেই যায়। কারণ, এসব সংস্করণে ত্রুটি ধরা পড়লেও প্যাচ পাওয়া যায় না। তাঁর পরামর্শ, শতভাগ নিরাপত্তা নিশ্চিত করা কঠিন হলেও সমর্থিত ও হালনাগাদ সংস্করণে গেলে ঝুঁকি অনেকটাই কমে। তাৎক্ষণিক হালনাগাদ সম্ভব না হলে প্যাচ পাওয়া পর্যন্ত ঝুঁকিপূর্ণ ওয়েবসাইট চালু না রাখাই নিরাপদ।
সংশ্লিষ্টরা বলছেন, এই ত্রুটি সরাসরি কোর ব্যাংকিং ব্যবস্থার জন্য ঝুঁকি নয়। তবে ব্যাংক ও আর্থিক প্রতিষ্ঠানের ওয়েবসাইট, গ্রাহকসেবা পোর্টাল এবং অন্যান্য ইন্টারনেটমুখী সেবা নিয়ে উদ্বেগ আছে। এসব ব্যবস্থা ঝুঁকিপূর্ণ সংস্করণে চললে হামলাকারীরা সংরক্ষিত তথ্য বা প্রবেশাধিকার হাতিয়ে নিতে কিংবা সেবা ব্যাহত করতে পারে। এ কারণেই বিভিন্ন দেশের আর্থিক প্রতিষ্ঠান সতর্কতামূলকভাবে কিছু অনলাইন সেবা বন্ধ রেখে হালনাগাদ করছে।
ওয়ান ব্যাংকের ব্যবস্থাপনা পরিচালক মুহিত রহমান মনে করেন, ব্যাংক খাতে আতঙ্কিত হওয়ার কারণ নেই। তাঁর মতে, কোর ব্যাংকিংয়ে পিএইচপি ব্যবহার হয় না বললেই চলে। কোনো কোনো ব্যাংকের ওয়েবসাইটে ব্যবহার হতে পারে। দুটি বিষয়কে এক করে দেখলে অযথা আতঙ্ক ছড়াতে পারে।
বিশেষজ্ঞরা বলছেন, এটি শুধু বাংলাদেশের নয়, বৈশ্বিক সাইবার ঝুঁকি। বিভিন্ন দেশ ও প্রতিষ্ঠান নিজেদের ঝুঁকি যাচাই করছে এবং প্রতিকারমূলক ব্যবস্থা নিচ্ছে। বাংলাদেশের সামনে মূল চ্যালেঞ্জ দুটি। প্রথমত, কোন কোন সরকারি ও গুরুত্বপূর্ণ বেসরকারি অনলাইন সেবা এই ত্রুটির ঝুঁকিতে আছে, তা দ্রুত শনাক্ত করা। দ্বিতীয়ত, শুধু নিরাপত্তা হালনাগাদ করেই থেমে না থেকে আগে কোথাও অনুপ্রবেশের চেষ্টা বা হামলা হয়েছে কি না, তা যাচাই করা।
সার্ট জানিয়েছে, এখন পর্যন্ত দেশে হামলার নির্দিষ্ট তথ্য তাদের কাছে নেই। তবে বিশ্বজুড়ে হামলার চেষ্টার গতি দেখে অপেক্ষা করার সুযোগ কম। পুরোনো সফটওয়্যারের ওপর নির্ভরতা এবং সংস্করণ হালনাগাদে ঢিলেঢালা মনোভাব এবার বাংলাদেশের জন্য বড় পরীক্ষা হয়ে দাঁড়াতে পারে। বাংলাদেশ ব্যাংকের ওয়েবসাইট কবে চালু হবে, সে বিষয়ে এখনো নির্দিষ্ট সময় জানানো হয়নি।