বাংলাদেশ ব্যাংক, ছয়টি বাণিজ্যিক ব্যাংক এবং দেশের ডিজিটাল ভূমি সেবা পোর্টাল যখন হঠাৎ করে তাদের কার্যক্রম বন্ধ করল, তখন ইন্টারনেটে ছড়িয়ে পড়া এক নীরব সংকটের চিত্র সামনে আসে। এই সমস্যাটি কিন্তু দেশের ভেতরের কোনো সাইবার হামলার কারণে হয়নি। এটি ঘটেছে ‘পিএইচপি’ নামে একটি মূল অনলাইন ব্যবস্থার ত্রুটির কারণে, যা বিশ্বজুড়ে প্রায় ৭০ শতাংশ ওয়েবসাইট চালানোর কাজে ব্যবহার হয়।
গত ২০ বছর ধরে পিএইচপি ওয়েবসাইট চালনার মূল কারিগর হিসেবে কাজ করে আসছে। কিন্তু সবার অলক্ষ্যে এই ব্যবস্থার ভেতরে মেমোরি সংক্রান্ত দুটি মারাত্মক ত্রুটি লুকিয়ে ছিল, যা ১০ বছরেরও বেশি সময় ধরে কেউ টের পায়নি। ফলে বিশ্বজুড়ে লাখ লাখ ওয়েবসাইটের সার্ভার দখল হয়ে যাওয়ার ঝুঁকি তৈরি হয়।
মেমোরি ত্রুটির আসল ঘটনা
নিরাপত্তা সংস্থা হ্যাড্রিয়ান এই সংকটকে ‘পিএইচপিটুশেল’ নাম দিয়েছে। মূল মেমোরি নিয়ন্ত্রণ এবং ভুল বার্তা সংশোধনের জায়গায় দুটি বড় ফাঁক থাকার কারণে এই সমস্যা তৈরি হয়। এগুলো আন্তর্জাতিকভাবে সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯ হিসেবে চিহ্নিত করা হয়েছে।
সহজ কথায়, এই ত্রুটির সুযোগ নিয়ে যেকোনো হ্যাকার দূর থেকেই একটি বিশেষ বার্তা পাঠিয়ে সার্ভারের মেমোরি এলোমেলো করে দিতে পারে। এতে কোনো পাসওয়ার্ড না থাকলেও হ্যাকাররা মূল সার্ভারে ঢুকে তথ্য চুরি, ফাইল পরিবর্তন বা যেকোনো ক্ষতিকর নির্দেশ চালাতে পারে।
এই সমস্যা খুঁজে বের করা এবং দ্রুত সবার নজরে আনার ক্ষেত্রে কৃত্রিম বুদ্ধিমত্তা (এআই) বড় ভূমিকা রেখেছে। সাইবার নিরাপত্তা সংস্থা ‘খালিফ’ ওপেনএআই-এর সহায়তায় গত ১১ আগস্ট প্রথম ত্রুটিটি চিহ্নিত করে। এরপর ২৪ আগস্ট ‘ওয়িজ’ নামের আরেকটি সংস্থা তাদের নিজেদের টুলের পাশাপাশি জেমিনি ও জিপিটি’র সাহায্য নিয়ে দ্বিতীয় ত্রুটিটি শনাক্ত করে।
অন্যদিকে, মাত্র ১৩ জন মূল প্রকৌশলী নিয়ে পরিচালিত ‘পিএইচপি ফাউন্ডেশন’ এআই ব্যবহার করে তাদের পুরো কোড পরীক্ষা করে এবং তা দ্রুত ঠিক করার কাজে নেমে পড়ে।
গোপনীয়তা ফাঁস ও স্বয়ংক্রিয় আক্রমণের দৌড়
এআই বা কৃত্রিম বুদ্ধিমত্তা যেমন বছরের পর বছর লুকিয়ে থাকা নিরাপত্তা ত্রুটি খুঁজে বের করতে সাহায্য করেছে, তেমনি এটি ক্ষতিকর হ্যাকিংয়ের গতিও অনেক বাড়িয়ে দিয়েছে।
নিরাপত্তা ত্রুটিগুলোর বিষয়ে তথ্য গোপন রাখার একটি আন্তর্জাতিক চুক্তি ছিল, যা ২২ অক্টোবর পর্যন্ত কার্যকর থাকার কথা ছিল। কিন্তু কিছু অনলাইন ফোরামে সেই তথ্য আগেভাগেই ফাঁস হয়ে যায়। তথ্য ফাঁসের সুযোগ নিয়ে স্বয়ংক্রিয় হ্যাকিং স্ক্রিপ্টগুলো ১৭ অক্টোবর থেকেই আক্রমণ শুরু করে দেয়, যা আমাজন থ্রেট ইন্টেলিজেন্সের চোখে ধরা পড়ে।
হ্যাড্রিয়ান যখন জানায় যে এই আক্রমণের মাত্রা অনেক বড়, তখন পুরো বিশ্বে জরুরি সতর্কতা জারি করা হয়। যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি এবং যুক্তরাজ্যের সাইবার নিরাপত্তা কেন্দ্র থেকে জরুরি পরামর্শ দেওয়া হয়।
জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি আহ্বান জানান, যেসব ব্যবস্থার নিরাপত্তা দ্রুত জোরদার করা যাচ্ছে না, সেগুলো যেন তাৎক্ষণিকভাবে বন্ধ রাখা হয়। নিরাপত্তা নিশ্চিত করতে যুক্তরাজ্য, ফ্রান্স, নেদারল্যান্ডস, বেলজিয়াম, ফিনল্যান্ড, জার্মানি, চেক প্রজাতন্ত্র এবং অস্ট্রেলিয়ার অনেক সরকারি ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেওয়া হয়।
বাংলাদেশে জাতীয় সাইবার নিরাপত্তা সংস্থা (ই-গভ সিআইআরটি) ২২ অক্টোবর একটি জরুরি সতর্কবার্তা জারি করে। এতে সব সরকারি ও বেসরকারি প্রতিষ্ঠানকে তাদের পিএইচপি ব্যবস্থা পরীক্ষা করে নিরাপত্তা বাড়াতে বলা হয়।
এর পরপরই বৃহস্পতিবার বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট বন্ধ করে দেয়। ব্যাংকিং ব্যবস্থা সুরক্ষিত আছে কি না তা যাচাই করতে অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক এবং বেঙ্গল কমার্শিয়াল ব্যাংকও তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ করে। একই সঙ্গে ভূমি মন্ত্রণালয় তাদের পোর্টালটি ৩৬ ঘণ্টার জন্য বন্ধ রেখে সংস্কার কাজ চালায়।
বাংলাদেশে কেন ঝুঁকি বেশি?
এই ঘটনা প্রকাশ করে দিয়েছে, আমাদের দেশের ডিজিটাল অবকাঠামো কতটা স্পর্শকাতর। প্রযুক্তি বিশেষজ্ঞ সুমন আহমেদ সাবির টাইমসকে জানান, সারা বিশ্বে ৭০ শতাংশ ওয়েবসাইট পিএইচপিতে চললেও বাংলাদেশে এই হার আরও অনেক বেশি।
গত ২০-২৫ বছর ধরে বাংলাদেশে তৈরি হওয়া সিংহভাগ ওয়েবসাইটই পিএইচপি দিয়ে বানানো হয়েছে। ফলে এই সংকট বাংলাদেশকে অনেক বেশি ঝুঁকির মুখে ফেলে দিয়েছে।
তিনি জানান, যেসব প্রতিষ্ঠান পিএইচপি ব্যবহার করছে, তাদের এখনই ব্যবস্থা নিতে হবে। ওয়েবসাইট বন্ধ রেখে বাংলাদেশ ব্যাংক সঠিক কাজ করেছে উল্লেখ করে তিনি সতর্ক করেন, ভবিষ্যতে এই ধরনের আরও বিপদ আসবে। তাই নিয়মিত সফটওয়্যার আপডেট রাখা এখন জরুরি।
ব্র্যাক আইটি ডিভওপস-এর প্রধান মো. এমদাদুল বারী জানান, এই ত্রুটির কারণে হ্যাকাররা সহজেই মূল সার্ভারের দখল নিয়ে নিতে পারে। ব্যাংক, সরকারি দপ্তর ও জনগণের সংবেদনশীল তথ্য রাখা প্রতিষ্ঠানগুলোর জন্য এটি চরম চিন্তার বিষয়।
নিরাপত্তা আপডেট বা প্যাচ না দিলে সেবা ব্যাহত হওয়া, তথ্য চুরি এবং অভ্যন্তরীণ নেটওয়ার্কে হ্যাকারদের ঢুকে পড়ার বড় ঝুঁকি থেকে যায়। এতে আর্থিক ক্ষতি, কাজের ব্যাঘাত এবং ডিজিটাল সেবার ওপর মানুষের আস্থা কমে যেতে পারে। তিনি প্রতিষ্ঠানগুলোকে দ্রুত ক্ষতিগ্রস্ত ব্যবস্থা চিহ্নিত করে অগ্রাধিকার ভিত্তিতে মূল ওয়েবসাইটের নিরাপত্তা আপডেট করার পরামর্শ দেন।
সাময়িক বন্ধ রাখাই স্থায়ী সমাধান নয়
বাইরের নিরাপত্তার প্রলেপ দিয়ে ভেতরের মূল গলদ দূর করা যায় না। ক্লাউডফ্লেয়ার বা বিভিন্ন ফায়ারওয়াল সফটওয়্যার ক্ষতিকর ট্রাফিক সাময়িকভাবে আটকে দিতে পারলেও মূল সার্ভারের দুর্বল পিএইচপি ইঞ্জিনকে ভালো করতে পারে না।
বিপদ আরও বাড়ে যখন ২১ অক্টোবর পিএইচপি দল এই সমস্যার সমাধান করে নতুন চার সংস্করণের নিরাপত্তা প্যাচ ছাড়ার মাত্র ৪৮ ঘণ্টার মধ্যে ডেভেলপাররা তৃতীয় আরেকটি নতুন ত্রুটি খুঁজে পান। এর কারণেও দূর থেকে হ্যাক হওয়ার ঝুঁকি থেকে যায়।
বাংলাদেশে ওয়েবসাইট সাময়িকভাবে বন্ধ রেখে হয়তো কিছুটা সময় পাওয়া গেছে, কিন্তু স্থায়ী সুরক্ষা পেতে হলে স্বয়ংক্রিয় হ্যাকিং আক্রমণের আগেই দেশের হাজার হাজার পুরোনো সার্ভারে অফিশিয়াল নিরাপত্তা আপডেট বা প্যাচ ইনস্টল করতে হবে।
