- সাইবার সন্ত্রাসী ঠেকাবে ফিনসার্ট: ব্যাংকিং খাতের নতুন সুরক্ষাকবচ
লাবণ্য চৌধুরী : বাংলাদেশের ব্যাংকিং খাতে প্রযুক্তিগত রূপান্তর দ্রুত ঘটলেও ব্যাক-এন্ডে সাইবার নিরাপত্তার সুরক্ষা বলয় মারাত্মকভাবে দুর্বল রয়ে গেছে। বৈশ্বিক পিএইচপি (PHP) নিরাপত্তা ত্রুটিকে কেন্দ্র করে তৈরি হওয়া সাম্প্রতিক সাইবার সতর্কতার পর দেশের আর্থিক খাতের ডিজিটাল নিরাপত্তা ঘাটতি এবং সাইবার দুর্নীতির সুনির্দিষ্ট চিত্র অনুসন্ধানে উঠে এসেছে। তবে এই ধরনের বড় বৈশ্বিক হুমকি এবং আন্তর্জাতিক সাইবার সন্ত্রাসীদের আক্রমণ মোকাবিলায় কেন্দ্রীয় ব্যাংক এখন সম্পূর্ণ নতুন একটি প্রতিরক্ষাব্যবস্থা গড়ে তুলছে, যার নাম ফিনসার্ট (Fin-Cert)।
ব্যাংকিং খাতের মূল সাইবার নিরাপত্তা ঘাটতি
বাংলাদেশ ইনস্টিটিউট অব ব্যাংক ম্যানেজমেন্ট (BIBM) এবং সরকারের তথ্যপ্রযুক্তি বিভাগের সাম্প্রতিক অডিট ও গবেষণা রিপোর্ট অনুযায়ী প্রধান কারিগরি ঘাটতিগুলো হলো:
- ঝুঁকিতে থাকা ব্যাংকের সংখ্যা: দেশের মোট ৬১টি ব্যাংকের মধ্যে ৩২টি ব্যাংকই উচ্চ সাইবার ঝুঁকিতে রয়েছে। এর মধ্যে অন্তত ১০টি ব্যাংক চরম ঝুঁকিপূর্ণ অবস্থায় রয়েছে, যাদের ফায়ারওয়াল ও পুরোনো পিএইচপি সংস্করণ দ্রুত আপগ্রেড করা প্রয়োজন।
- বাজেট বরাদ্দের চরম অবহেলা: গত দুই দশকে বাংলাদেশের ব্যাংকগুলো আইটি (IT) খাতে মোট ৫৩৪.১৩ বিলিয়ন টাকা খরচ করেছে। কিন্তু এর মধ্যে মাত্র ৫ শতাংশ অর্থ খরচ করা হয়েছে সাইবার নিরাপত্তা নিশ্চিত করতে।
- সিকিউরিটি অপারেশন সেন্টারের (SOC) অভাব: দেশের ৬০টিরও বেশি ব্যাংকের মধ্যে মাত্র হাতেগোনা কয়েকটি ব্যাংকে পূর্ণাঙ্গ সাইবার সিকিউরিটি অপারেশন সেন্টার রয়েছে। অধিকাংশ ব্যাংকই বোঝাই করা থার্ড-পার্টি ভেন্ডর বা আউটসোর্সিংয়ের ওপর নির্ভরশীল, যা নিরাপত্তা ঝুঁকি বহুলাংশে বাড়িয়ে দেয়।
- পুরোনো সফটওয়্যার ও মনিটরিং ঘাটতি: হ্যাকারদের গতিবিধি শনাক্ত করতে নেটওয়ার্কের লগ ফাইল নিয়মিত পরীক্ষা ও সার্বক্ষণিক মনিটরিং করার মতো দক্ষ ইন-হাউজ লোকবলের তীব্র ঘাটতি রয়েছে।
কোন ব্যাংকে কী ধরনের সাইবার দুর্নীতি ও হ্যাকিং ঘটছে?
অনুসন্ধানে দেখা গেছে, ব্যাংকিং খাতে সাইবার অপরাধ বা দুর্নীতি মূলত তিনটি উপায়ে হচ্ছে: আন্তর্জাতিক হ্যাকিং গ্রুপ দ্বারা সিস্টেম হ্যাক, অভ্যন্তরীণ লোকবলের সহায়তায় তথ্য পাচার, এবং গ্রাহক পর্যায়ে জালিয়াতি।
ব্যাংকভিত্তিক সুনির্দিষ্ট চিত্র ও দুর্নীতির ধরন নিচে তুলে রাখা হলো:
ক) সাম্প্রতিক বৈশ্বিক হামলায় আক্রান্ত ও বন্ধ থাকা ব্যাংকসমূহ
- জনতা ব্যাংক: সাইবার হামলার তীব্র ঝুঁকিতে থাকায় ব্যাংকটির ওয়েবসাইট বন্ধ রাখার পরও অনুসন্ধানে দেখা গেছে, এর পাবলিক পোর্টালটি সরাসরি সাইবার আক্রমণের শিকার হয়েছে এবং হ্যাকাররা এতে ক্ষতিকর কোড প্রবেশ করিয়েছে। আইটি বিভাগ বর্তমানে এটি উদ্ধারে কাজ করছে।
- অগ্রণী ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক ও এসবিএসি ব্যাংক: বিজিডি ই-গভ সার্ট (CIRT)-এর জরুরি সতর্কবার্তার পর পিএইচপি ত্রুটির কারণে এই ব্যাংকগুলোর তথ্যভাণ্ডার ঝুঁকিতে পড়ে এবং তাৎক্ষণিকভাবে এদের ওয়েবসাইট বন্ধ রেখে পরীক্ষা চালানো হয়।
- বেঙ্গল কমার্শিয়াল ব্যাংক: সাইবার হামলার সরাসরি হুমকির মুখে আজ রোববারও এই ব্যাংকের মূল পোর্টাল সম্পূর্ণ অফলাইনে রাখা হয়েছে।
খ) বড় ধরনের সাইবার জালিয়াতি ও হ্যাকিংয়ের রেকর্ড (SWIFT ও ব্যাংক সফটওয়্যার)
ঐতিহাসিকভাবে দেশের ব্যাংকগুলোতে সংঘটিত বড় সাইবার দুর্নীতিগুলোর ডেটা বিশ্লেষণ করে দেখা গেছে, মূল জালিয়াতির ৭২ শতাংশ ক্ষেত্রে আন্তর্জাতিক সুইফট (SWIFT) নেটওয়ার্ক এবং ২০ শতাংশ ক্ষেত্রে ব্যাংকের নিজস্ব কোর সফটওয়্যার হ্যাকার বা
দুর্নীতিবাজদের টার্গেট হয়েছে।
- বাংলাদেশ ব্যাংক (কেন্দ্রীয় ব্যাংক): ২০১৬ সালের ঐতিহাসিক ৮১ মিলিয়ন ডলারের সাইবার ডাকাতি ছিল দেশের ইতিহাসে সবচেয়ে বড় সাইবার অপরাধ। হ্যাকাররা ম্যালওয়্যারের মাধ্যমে সুইফট সিস্টেমের নিয়ন্ত্রণ নিয়ে ফেডারেল রিজার্ভ থেকে অর্থ ফিলিপাইনে পাচার করেছিল, যার তদন্ত প্রতিবেদন দীর্ঘ ১০ বছর পর ২০২৬ সালের অক্টোবরে এসেও ৯৯ বারের মতো পিছিয়েছে।
- রাষ্ট্রায়ত্ত ও বেসরকারি ব্যাংকসমূহে ক্লোনিং এবং এটিএম জালিয়াতি: দেশের একাধিক ব্যাংকের এটিএম (ATM) বুথে ফিজিক্যাল ডিভাইসের পাশাপাশি সফটওয়্যার ম্যালওয়্যার ঢুকিয়ে গ্রাহকদের কার্ড ক্লোনিং ও টাকা চচুরির ঘটনা ঘটেছে।
গ) অভ্যন্তরীণ সাইবার দুর্নীতি (Insider Threats)
অনুসন্ধানে দেখা গেছে, ব্যাংকের আইটি কর্মকর্তা ও কর্মচারীদের একাংশের যোগসাজশে ব্যাংকের অত্যন্ত সংবেদনশীল ক্রেডেনশিয়াল (ইউজার আইডি ও পাসওয়ার্ড) হ্যাকার চক্রের কাছে বিক্রি বা ফাঁস করে দেওয়া হয়। এছাড়া থার্ড-পার্টি সফটওয়্যার ভেন্ডরদের দুর্বল এক্সেস পলিসির কারণেও ব্যাংকের ভেতরের লেনদেনের তথ্য ডার্ক ওয়েবে চলে যাচ্ছে।
সাইবার দুর্নীতির মোট ভ্যালুর ব্যাখ্যা
সাইবার দুর্নীতির মোট ভ্যালু অংশটি মূলত একটি ব্যাংকের পুরো ব্যাংকিং পরিকাঠামোর কোন কোন প্রযুক্তিগত চ্যানেল বা দরজাকে ব্যবহার করে কতখানি ক্ষতি বা জালিয়াতি করা হয়েছে, তার একটি তুলনামূলক অনুপাত।
- সুইফট (SWIFT) SYSTEM-এর অবৈধ ব্যবহার (৭২%): হ্যাকাররা কোনো নির্দিষ্ট ব্যাংকের স্থানীয় সুইফট টার্মিনাল বা কম্পিউটারে ম্যালওয়্যার বা ক্ষতিকর সফটওয়্যার ঢুকিয়ে দেয়। একবার সেই কম্পিউটারের নিয়ন্ত্রণ বা ক্রেডেনশিয়াল পেয়ে গেলে, হ্যাকাররা ভুরে মেসেজ পাঠিয়ে অন্য দেশের ব্যাংকে কোটি কোটি ডলার স্থানান্তরের আদেশ দেয়। এটি আর্থিক দিক থেকে সবচেয়ে বড় ক্ষতির কারণ।
- ব্যাংকের নিজস্ব লোকাল সফটওয়্যারের ব্যাকডোর ও ত্রুটি (২০%): ব্যাংকগুলো তাদের হিসাব-নিকাশ বা গ্রাহকদের তথ্য ব্যবস্থাপনার জন্য যেসব সফটওয়্যার ব্যবহার করে, সেগুলোতে যদি কোনো ত্রুটি বা ‘ব্যাকডোর’ (ভেতরে ঢোকার গোপন পথ) থেকে যায়, হ্যাকাররা তা খুঁজে বের করে। হ্যাকাররা কোনো পাসওয়ার্ড ছাড়াই ব্যাংকের ডেটাবেজে ঢুকে পড়তে পারে এবং গ্রাহকদের ব্যালেন্সের তথ্য পরিবর্তন বা ডার্ক ওয়েবে বিক্রি করে দিতে পারে।
- এটিএম বুথ ম্যালওয়্যার, কার্ড স্কিমিং ও গ্রাহক প্রতারণা (০৮%): এটি মূলত প্রান্তিক বা মাঠ পর্যায়ের সাইবার অপরাধ, যা সরাসরি গ্রাহকদের ওয়ালেট বা অ্যাকাউন্টকে আঘাত করে। এটিএম বুথের কার্ড ঢোকানোর স্লটে অপরাধীরা গোপনে একটি ছোট ‘স্কিমার’ ডিভাইস বসিয়ে দেয়, যা গ্রাহকের কার্ডের ভেতরের ম্যাগনেটিক স্ট্রিপের তথ্য কপি করে নেয়। পরে এই তথ্য দিয়ে হুবহু নকল কার্ড বানিয়ে টাকা তুলে নেওয়া হয়।
আইটি সিস্টেম দুর্বল হওয়ার মূল কারণসমূহ
- পুরোনো পিএইচপি (PHP) সফটওয়্যার: দেশের বহু ব্যাংক তাদের পাবলিক ফেস্টিং ওয়েবসাইট ও তথ্যভাণ্ডারে বছরের পর বছর ধরে পুরোনো ও মেয়াদোত্তীর্ণ পিএইচপি সংস্করণ ব্যবহার করছে। এই পুরোনো সফটওয়্যারগুলোর নিরাপত্তাত্রুটি বিশ্বজুড়ে ওপেন থাকে, যা এআই-চালিত হ্যাকিং টুলের মাধ্যমে হ্যাকাররা খুব সহজেই ভেঙে ভেতরে ঢুকতে পারে।
- রিয়েল-টাইম মনিটরিং ও SOC-এর অনুপস্থিতি: আন্তর্জাতিক নিয়ম অনুযায়ী প্রতিটি ব্যাংকে ২৪/৭ সাইবার হামলা নজরদারির জন্য একটি সিকিউরিটি অপারেশন সেন্টার (SOC) থাকা বাধ্যতা মূলক। কিন্তু বাংলাদেশের অধিকাংশ ব্যাংকেরই নিজস্ব কোনো SOC নেই। ফলে নেটওয়ার্কে কোনো হ্যাকার ঢুকলে বা ক্ষতিকর কোড পুশ করলে তা তাৎক্ষণিকভাবে শনাক্ত করার প্রযুক্তিগত সক্ষমতা ব্যাংকগুলোর থাকে না।
- দক্ষ জনবল সংকট ও আউটসোর্সিং নির্ভরতা: ব্যাংকগুলোতে দক্ষ এথিক্যাল হ্যাকার বা সাইবার সিকিয়েউরিটি প্রফেশনালদের তীব্র অভাব রয়েছে। বেশিরভাগ ব্যাংক তাদের আইটি সিস্টেম রক্ষণাবেক্ষণের জন্য থার্ড-পার্টি ভেন্ডর বা বাইরের সাধারণ আইটি প্রতিষ্ঠানের ওপর নির্ভর করে। এই আউটসোর্সিংয়ের কারণে ব্যাংকের সংবেদনশীল পাসওয়ার্ড ও ক্রেডেনশিয়াল ফাঁসের ঝুঁকি বহুগুণ বেড়ে যায়।
বর্তমান সাইবার সংকটে ব্যাংকগুলোর সুনির্দিষ্ট বক্তব্য ও পদক্ষেপ
চলতি সাইবার সতর্কতা ও ওয়েবসাইট বন্ধের বিষয়ে কেন্দ্রীয় ব্যাংক এবং আক্রান্ত বাণিজ্যিক ব্যাংকের আইটি বিভাগের সুনির্দিষ্ট প্রতিক্রিয়া ও গৃহীত সুরক্ষামূলক পদক্ষেপগুলো নিচে তুলে ধরা হলো:
বাংলাদেশ ব্যাংক (কেন্দ্রীয় ব্যাংক)
পিএইচপি বৈশ্বিক নিরাপত্তাত্রুটির কারণে বড় ধরনের হ্যাকিংয়ের আশঙ্কায় গত ২২ অক্টোবর দুপুর থেকে কেন্দ্রীয় ব্যাংকের অফিশিয়াল ওয়েবসাইটটি সম্পূর্ণ বন্ধ বা অফলাইনে রাখা হয়েছিল। বাংলাদেশ ব্যাংকের মুখপাত্র জানিয়েছেন, আন্তর্জাতিক সাইবার নিরাপত্তা অ্যালার্টের পর আগাম সতর্কতামূলক ব্যবস্থা হিসেবে তারা ওয়েবসাইটটি বন্ধ করেছিলেন। কারিগরি দল গভীরভাবে পুরো সিস্টেম পরীক্ষা-নীরিক্ষা করেছে এবং কোনো বড় ধরনের কারিগরি ঝুঁকি বা ত্রুটি না পাওয়ায় আজ সকাল ৮টায় সাইটটি পুনরায় সচল করা হয়েছে। কেন্দ্রীয় ব্যাংক স্পষ্ট করেছে যে, ওয়েবসাইট সাময়িক বন্ধ থাকলেও দেশের অভ্যন্তরীণ ইন্টারনেট ব্যাংকিং, এটিএম লেনদেন ও মোবাইল ব্যাংকিং সেবা সম্পূর্ণ স্বাভাবিক ও নিরাপদ ছিল। ভবিষ্যৎ সুরক্ষায় আর্থিক খাতের জন্য ফিন-সার্ট (Fin-Cert) নামের একটি বিশেষ ইমার্জেন্সি রেসপন্স টিম ও প্ল্যাটফর্ম গঠন করার সিদ্ধান্ত নিয়েছে তারা।
জনতা ব্যাংক
আগাম সতর্কতা হিসেবে ওয়েবসাইটটি অফলাইনে নেওয়ার পরও রোববার পর্যন্ত সেটি সাধারণের জন্য চালু করা সম্ভব হয়নি। অনুসন্ধানে জানা গেছে, সাইটটির অন্তত দুটি গুরুত্বপূর্ণ স্থানে হ্যাকারদের প্রবেশ করানো স্প্যাম কোডের উপস্থিতি মিলেছে। জনতা ব্যাংকের আইটি বিভাগের কর্মকর্তারা জানিয়েছেন, তারা ওয়েবসাইটের সিস্টেমে দুটি সাইবার আক্রমণের সুনির্দিষ্ট আলামত পেয়েছেন। হ্যাকারদের ছড়ানো স্প্যাম কোড পরিষ্কার করা এবং সিস্টেমের ক্ষতি মেরামত করার কাজ চলায় জনসম্মুখে সাইটটি উন্মুক্ত করতে সময় লাগছে। তবে দ্রুতই এটি সচল করা হবে। এই সংকটের মাঝেই ব্যাংকের শীর্ষ পদ শূন্য থাকায় কারিগরি টিম নিজস্ব তত্ত্বাবধানেই ক্ষতিকর কোড অপসারণ ও ফায়ারওয়াল আপগ্রেডেশনের কাজ চালাচ্ছে।
অন্যান্য বাণিজ্যিক ব্যাংকসমূহ
অগ্রণী, আইএফআইসি, স্ট্যান্ডার্ড ইসলামী ও এসবিএসি ব্যাংকের আইটি বিভাগ জানিয়েছে, সতর্কবার্তার পর তারা দ্রুত তাদের সার্ভারে সিকিউরিটি প্যাচ ও পিএইচপি সংস্করণ আপডেট সম্পন্ন করেছে এবং সফলভাবে ওয়েবসাইটগুলো পুনরায় অনলাইনে ফিরিয়ে এনেছে। অপরদিকে বেঙ্গল কমার্শিয়াল ব্যাংকের কারিগরি টিম আজ রোববারও মূল পোর্টালটি অফলাইনে রেখে সিকিউরিটি অডিট ও রিস্ক অ্যাসেসমেন্ট পরীক্ষা চালিয়েছে, যাতে কোনো ধরনের ব্যাকডোর ত্রুটি বা ক্ষতিকর উপাদান না থাকে।
প্রতিবেদকের শেষ কথা: সাইবার সন্ত্রাসী ঠেকাবে ফিনসার্ট
ডিজিটাল লেনদেন যেখানে শতভাগের কাছাকাছি পৌঁছাচ্ছে, সেখানে ৩২টি ব্যাংকের উচ্চ সাইবার ঝুঁকিতে থাকা এবং সাইবার নিরাপত্তায় মাত্র ৫ শতাংশ বাজেট বরাদ্দ রাখা আত্মঘাতী। হ্যাকাররা প্রতিনিয়ত নিত্যনতুন এআই প্রযুক্তি ব্যবহার করে উন্নত কৌশলে আক্রমণ চালাচ্ছে। এই জটিল ও সংঘবদ্ধ সাইবার সন্ত্রাসী চক্রকে একক কোনো ব্যাংকের পক্ষে মোকাবেলা করা সম্ভব নয়। আর এই জায়গাতেই ত্রাতা হিসেবে আসছে বাংলাদেশ ব্যাংকের নতুন উদ্যোগ ‘ফিনসার্ট’ (Fin-Cert)।
এটি মূলত একটি সমন্বিত ও রিয়েল-টাইম ইন্টেলিজেন্স শেয়ারিং প্ল্যাটফর্ম। কোনো একটি ব্যাংক সাইবার হামলার মুখোমুখি হলে বা তাদের সিস্টেমে কোনো নতুন ম্যালওয়্যার শনাক্ত হলে, ফিনসার্টের মাধ্যমে সাথে সাথে সেই কারিগরি তথ্য অন্য সব ব্যাংকের কাছে পৌঁছে যাবে। এর ফলে একটি ব্যাংকে আক্রমণ হওয়া মাত্রই বাকি ৬০টি ব্যাংক আগে থেকেই সতর্ক হয়ে নিজেদের ফায়ারওয়াল শক্তিশালী করতে পারবে। আন্তর্জাতিক সাইবার সন্ত্রাসীদের নিত্যনতুন ডিজিটাল ফাঁদ ও আক্রমণ রুখতে ফিনসার্টই হতে যাচ্ছে বাংলাদেশের ব্যাংকিং খাতের প্রধান সুরক্ষাকবচ ও কেন্দ্রীয় প্রতিরোধ দুর্গ।
