সাইবার নিরাপত্তায় ঝুঁকি ‘দুর্বল পরিকাঠামো’, আর্থিক খাত বেশি ঝুঁকিতে

প্রযুক্তিগত উন্নয়নের সঙ্গে সঙ্গে সাইবার নিরাপত্তা নিয়ে উদ্বেগও বাড়ছে। প্রশান্ত মহাসাগরীয় অঞ্চলের দেশগুলোর মধ্যে সাইবার নিরাপত্তার সম্ভাব্য হামলার লক্ষ্যবস্তুতে রয়েছে বাংলাদেশও। দেশে সাইবার হামলার যেসব ঘটনা ঘটেছে, তার বড় কারণ সংশ্লিষ্ট প্রতিষ্ঠানগুলোর দুর্বল পরিকাঠামো। নিরাপত্তাত্রুটি দূর করা না গেলে হামলার আশঙ্কা থেকেই যাবে।

বিজিডি ই-গভর্নমেন্ট কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট) এক প্রতিবেদনে এ কথা জানিয়েছে। তথ্য ও যোগাযোগপ্রযুক্তি বিভাগের (আইসিটি) অধীন বাংলাদেশ কম্পিউটার কাউন্সিলের প্রকল্প এটি। ২০১৬ সাল থেকে দেশের সাইবার হামলা ও নিরাপত্তাত্রুটি–সংশ্লিষ্ট বিভিন্ন ঘটনার তথ্য রাখছে তারা। পাশাপাশি সাইবারজগৎ নিয়মিত পর্যবেক্ষণ করে। প্রতিবেদনটি চলতি বছরের জানুয়ারিতে প্রকাশ করা হয়।

সার্টের ‘বাংলাদেশ সাইবার থ্রেট ল্যান্ডস্কেপ রিপোর্ট ২০২২’–এ বলা হয়েছে, ভূরাজনৈতিক কারণে বাংলাদেশের সাইবার নিরাপত্তার বিষয়টি সব সময়ই চ্যালেঞ্জের। করোনা মহামারির পর বিশ্বের অর্থনৈতিক অবস্থা যখন ঘুরে দাঁড়ানোর চেষ্টা করে, তখনই ইউরোপ ও মধ্যপ্রাচ্যে দ্বন্দ্ব শুরু হয়। ওই দ্বন্দ্বের প্রভাব পড়েছে সাইবারজগতেও।

সাইবার অপরাধীরা বৈশ্বিক তথ্যপ্রযুক্তি নেটওয়ার্ক ও পরিকাঠামোগুলোর কার্যক্রমে ব্যাঘাত ঘটাতে ধ্বংসাত্মক ম্যালওয়্যার ব্যবহার করছে। বাংলাদেশও এসব সাইবার যুদ্ধের প্রভাবের সম্মুখীন হচ্ছে। ২০২২ সালে সরকার ও আইন প্রয়োগকারী সংস্থাগুলোর জন্য সার্ট বেশ কয়েকবার সতর্কতা জারি করেছিল।

সার্ট জানিয়েছে, সরকারির প্রতিষ্ঠান, আর্থিক খাত, সামরিক সংস্থা, শিল্প খাত, ব্যবসা–বাণিজ্য, স্বাস্থ্য খাত, স্টার্টআপ ও জ্বালানি খাতকে লক্ষ্য করে সাইবার হামলার চেষ্টা শনাক্ত করেছে তারা। সাইবার অপরাধীরা সব সময় দুর্বল পরিকাঠামোগুলোকে হামলার নিশানা বানানোর সুযোগ খোঁজে। গুরুত্বপূর্ণ তথ্য পরিকাঠামো, সরকারি-বেসরকারি খাতের অনেক পরিষেবা অরক্ষিত। এগুলো সাইবার অপরাধীদের হামলার সহজ নিশানা হতে পারে।

চলতি বছরের মাসভিত্তিক হিসাব বলছে, ফেব্রুয়ারি মাসে ৮১টি ও মার্চ মাসে ১০১টি হামলা, হামলার চেষ্টা ও সন্দেহজনক গতিবিধির বিষয়টি ধরা পড়েছে। উল্লেখ্য, গত মার্চে রাষ্ট্রীয় সংস্থা বিমান বাংলাদেশ এয়ারলাইনসের ই-মেইল সার্ভারে সাইবার হামলার ঘটনা ঘটেছিল।

সার্টের পরিসংখ্যান থেকে দেখা যায়, সাইবার হামলা বা হামলার চেষ্টার ঘটনাগুলোর মধ্যে ৯১ দশমিক ৬ শতাংশ ঘটছে দুর্বল পরিকাঠামোর কারণে। ৭ দশমিক ৯ শতাংশ ছিল অনুপ্রবেশের চেষ্টা।

সার্ট জানিয়েছে, তারা সামাজিক যোগাযোগমাধ্যমের জনপ্রিয় চ্যানেল, ডার্ক ওয়েব মার্কেট, গুরুত্বপূর্ণ তথ্য পরিকাঠামো, ডোমেইন অ্যাকাউন্টস, ব্যাংক ও ডেটাবেজ নিয়মিত পর্যবেক্ষণ করে থাকে। গত বছর ডেটাবেজে অনুপ্রবেশ করে প্রায় ৩ হাজার ৮৩৮টি সংবেদনশীল তথ্য চুরি করা হয়েছে।

বাংলাদেশের সাইবার পরিস্থিতি সম্পর্কে সার্টের প্রতিবেদনে বলা হয়েছে, গত বছর তারা ১৪ হাজার ম্যালওয়্যার সংক্রমিত আইপি ঠিকানা (ইন্টারনেট প্রটোকল অ্যাড্রেস) শনাক্ত করতে পেরেছে; যা থেকে র‌্যানসমওয়্যার হামলা হতে পারত। র‌্যানসমওয়্যার হচ্ছে একধরনের ক্ষতিকর সফটওয়্যার প্রোগ্রাম বা ম্যালওয়্যার, যা কোনো ব্যক্তির কম্পিউটার, স্মার্টফোন বা ডিজিটাল যন্ত্রে সংরক্ষিত তথ্যে ঢুকতে বাধা দেয়।

এই ম্যালওয়্যার সংক্রমিত হলে যন্ত্রের কাজ বন্ধ হয়ে যেতে পারে (লক) বা যন্ত্রে থাকা তথ্য হাতিয়ে নিতে পারে ম্যালওয়্যার ছড়ানোর পেছনে থাকা হ্যাকার বা সাইবার দুর্বৃত্তরা। এসব তথ্যের বিনিময়ে সাইবার অপরাধীরা সাধারণত অর্থ দাবি করে থাকে।

এশিয়া প্রশান্ত মহাসাগরীয় অঞ্চলে র‌্যানসমওয়্যার হামলার পরিমাণ ৯ শতাংশ। তবে এর মধ্যে বাংলাদেশও রয়েছে। কিন্তু বাংলাদেশের ক্ষেত্রে সবচেয়ে বড় সমস্যা হচ্ছে, এখানে ভুক্তভোগীকে দোষারোপের (ভিকটিম শেমিং) কারণে কেউ হামলার শিকার হলে তা জানায় না।

গত বছরের সেপ্টেম্বরে প্রকাশিত সার্টের ‘র‌্যানসমওয়্যার ল্যান্ডস্কেপ বাংলাদেশ ২০২২’ প্রতিবেদনে ১৪ হাজার ৬২৭টি আইপি ঠিকানা ম্যালওয়্যার সংক্রমিত বলে উল্লেখ করা হয়েছে। যেগুলো থেকে সম্ভাব্য র‌্যানসমওয়্যারের হামলার ঝুঁকি ছিল। এ ছাড়া দেশের করপোরেট খাতসহ তথ্যপ্রযুক্তি প্রতিষ্ঠান র‌্যানসামওয়্যারের কবলে পড়েছিল।
সার্ট আরও জানিয়েছে, অটোনোমাস সিস্টেম নাম্বারের (এএসএন) মধ্যে এক বা একাধিক নেটওয়ার্ক অপারেটর পরিচালিত হয়। গত বছর বাংলাদেশে প্রায় ৬১২টি এএসএন–ধারী সম্ভাব্য র‍্যানসমওয়্যারের হামলার ঝুঁকিতে ছিল।

সাইবার অপরাধীদের কাছে ‘ফিশিং’ একটি জনপ্রিয় অপকৌশল। কোনো একটি প্রতিষ্ঠানের ওয়েবসাইটের ঠিকানা বা মেইল আইডির মতো প্রায় হুবহু একটি আইডি বা সাইটের ঠিকানা সাইবার অপরাধীরা চালু করে। যা দিয়ে সম্ভাব্য লক্ষ্যবস্তুকে নানা ধরনের প্রলোভন দেখানো হয়। অনেকেই এই প্রলোভনের ফাঁদে পড়ে। ফিশিংয়ের শিকারের শীর্ষে আর্থিক খাত, সাস (এসএএএস) ওয়েবমেইল ও সামাজিক যোগাযোগমাধ্যম।
বাংলাদেশের বিভিন্ন খাতকে লক্ষ্য করে বেশ কিছু ফিশিং সাইট ও প্রচারণার তথ্য পাওয়া গেছে। সবচেয়ে বেশি ফিশিং সাইট ছিল করোনা প্রতিরোধের টিকা দেওয়ার জন্য নিবন্ধন সাইট ‘সুরক্ষা’কে ঘিরে।

বাংলাদেশে ডিডস (ডিস্ট্রিবিউটেড ডিনায়েল অব সার্ভিস) সাইবার হামলা পরিলক্ষিত হচ্ছে। এশিয়া প্রশান্ত মহাসাগরীয় অঞ্চলের দেশগুলোর মধ্যে ডিডস হামলার দিক থেকে বাংলাদেশ ৬ নম্বরে আছে। বাংলাদেশের গুরুত্বপূর্ণ অবকাঠামোকে লক্ষ্য করে বেশ কয়েকটি ডিডস হামলা পর্যবেক্ষণ করার পর গত বছরের আগস্ট মাসে দেশব্যাপী সাইবার সতর্কতা জারি করেছিল সার্ট। তারা বলছে, গত বছর বিভিন্ন ধরনের চার হাজার ডিডস হামলা শনাক্ত হয়েছে।

অ্যাডভান্স পারসিসট্যান্ট থ্রেট গ্রুপ বা এপিটি গ্রুপ, যারা প্রায়ই কোনো রাষ্ট্রের সমর্থনে সাইবার হামলা করে থাকে। ২০২২ সালের শুরুতে সার্ট একটি সতর্কতা জারি করেছিল। তাতে বলা হয়েছিল, দক্ষিণ এশিয়াভিত্তিক ‘ডুনটটিম’ নামের একটি এপিটি গ্রুপ শনাক্ত করা হয়েছে। যারা পাকিস্তান, বাংলাদেশ, নেপাল, শ্রীলঙ্কাসহ এ অঞ্চলের দেশগুলোর সরকারি সংস্থার বিরুদ্ধে সাইবার হামলা করে এবং সংবেদনশীল তথ্য চুরি করে।

সার্ট বলছে, মোবাইল টেলিকম অপারেটরে ম্যালওয়্যার সংক্রমণের জন্য যথেষ্টসংখ্যক আলামত পাওয়া গেছে। তবে এর মানে এই নয় যে টেলিকম পরিষেবা দানকারী পরিকাঠামোগুলো ম্যালওয়্যারে সংক্রমিত। বরং অপারেটরদের বিপুলসংখ্যক মোবাইল ডেটা ব্যবহারকারী ম্যালওয়্যারের মাধ্যমে সংক্রমিত হতে পারে। গত বছর ৭৪টি ইউনিক ম্যালওয়্যারের ধরন দেশের টেলিকম অপারেটরগুলোতে পাওয়া গেছে। যেখানে ২৩ হাজার আইপি সংক্রমিত ছিল।

বিজিডি ই–গভ সার্ট প্রকল্প পরিচালক মোহাম্মদ সাইফুল আলম খান প্রথম আলোকে বলেন, সাইবার নিরাপত্তা ঝুঁকি হ্রাসের জন্য গুরুত্বপূর্ণ প্রতিষ্ঠানগুলোর সাইবার নিরাপত্তা নিশ্চিতে প্রয়োজনীয় পদক্ষেপ গ্রহণ করা দরকার। এ জন্যই সার্ট থেকে প্রতি বছর ল্যান্ডস্কেপ প্রতিবেদন করা হয়। এ প্রতিবেদন সরকারের সব মন্ত্রণালয় এবং বাংলাদেশ ব্যাংকে পাঠানো হয়।

আর্থিক খাত সাইবার অপরাধীদের জন্য সব সময়ই হামলার লক্ষ্যের শীর্ষে থাকে। দেশের আর্থিক খাতে সাইবার হামলা সম্পর্কে সার্টের প্রতিবেদনে বলা হয়েছে, ২০১৪ সালে সোনালী ব্যাংক থেকে ২ কোটি টাকা চুরি করে তুরস্কের একটি অ্যাকাউন্টে নেওয়া হয়। দেশের কেন্দ্রীয় ব্যাংক বাংলাদেশ ব্যাংকের রিজার্ভ থেকে হ্যাকিংয়ের মাধ্যমে ২০১৬ সালে ৮ কোটি ১০ লাখ ডলার চুরি হয়। যে টাকা স্থানান্তর হয় যুক্তরাষ্ট্র, শ্রীলঙ্কা ও ফিলিপাইনে। এ ছাড়া ২০১৯ সালে দেশের বেসরকারি তিনটি ব্যাংকের ক্যাশ মেশিন থেকে ক্লোন করা ক্রেডিট কার্ড দিয়ে ৩০ লাখ ডলার হ্যাক করা হয়।

দেশে বিভিন্ন ব্যাংকের কার্ডধারীর তথ্য ডার্ক ওয়েবে (ইন্টারনেট–জগতে অবৈধ লেনদেনের মার্কেট প্লেস) ফাঁস হওয়ার তথ্যও সার্ট পেয়েছে। এ ধরনের ৮ হাজার ঘটনার কথা জানিয়েছে তারা। ডার্ক ওয়েবে দেশের বিভিন্ন ব্যাংকের ৩ হাজার ৬৩৯টি কার্ডের তথ্য তারা পেয়েছে।

এ ছাড়া ব্যাংকিং নিরাপত্তা অবকাঠামোর নাজুক পরিস্থিতির কথাও বাংলাদেশ সাইবার থ্রেট ল্যান্ডস্কেপ রিপোর্ট ২০২২ প্রতিবেদনে উঠে এসেছে। ব্যাংক ও আর্থিক খাতের প্রতিষ্ঠানগুলোর নিজেদের নিরাপত্তাকাঠামোতে কোনো ত্রুটি ধরা পড়লে বাংলাদেশ ব্যাংককে জানানোর নিয়ম। কিন্তু সুনাম ক্ষুণ্ন হওয়ার আশঙ্কায় খুব কম ক্ষেত্রেই তারা জানায়।

নিয়মিত নজরদারির সময়ে সার্ট দেখতে পেয়েছে, ইন্টারনেটের মাধ্যমে কোর ব্যাংকিং পদ্ধতি এবং ইন্টারনেট ব্যাংকিংয়ের গেটওয়েতে অনুপ্রবেশ সম্ভব। এতে এসব প্রতিষ্ঠানগুলোতে কী পরিমাণ অর্থ জমা আছে, তা জানা যায়। তারা আরও বলেছে, কার্ড ব্যবহার করে ই–কমার্স লেনদেন যেমন বাড়ছে, তেমনি সাইবার অপরাধীদের কাছেও এগুলো লোভনীয় হয়ে উঠছে।

ব্যাংকগুলোতে সাইবার নিরাপত্তার বিষয়ে ২০২১ সালে ৩১টি এবং ২০২২ সালে ৪৬টি সতর্কতা জারি করে প্রতিবেদন পাঠিয়েছিল সার্ট।

সার্টের প্রতিবেদন নিয়ে জানতে চাইলে ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির কম্পিউটার সায়েন্স অ্যান্ড ইঞ্জিনিয়ারিং বিভাগের প্রধান অধ্যাপক তৌহিদ ভূঁইয়া প্রথম আলোকে বলেন, সার্টের প্রতিবেদন নিয়ে বিশ্লেষণের অনেক সুযোগ রয়েছে। তবে তাৎক্ষণিকভাবে দেখে যেটা বলা যায়, তারা যে তথ্য দিয়েছে, তাতে দেশের সাইবার হামলার ধরন বুঝতে সাহায্য করবে। পাশাপাশি আর্থিক খাতের যে চিত্র উঠে এসেছে, তাতে এ খাতের সুরক্ষার জন্য আরও শক্ত পদক্ষেপ নিতে হবে সংশ্লিষ্ট ব্যক্তিদের। তৌহিদ ভূঁইয়া আরও বলেন, র‌্যানসমওয়্যারের যে পরিস্থিতি প্রতিবেদনে দেখা যাচ্ছে, তাতে বলা যায়, র‌্যানসমওয়্যার থেকে বাঁচতে সরকারকে আরও জোরদার ব্যবস্থা নিতে হবে।