নিজস্ব প্রতিবেদন | Bongobuzz
ডিজিটাল ব্যাংকিংয়ের যুগে একটি ওয়েবসাইটের নিরাপত্তা দুর্বলতা শুধু প্রযুক্তিগত সমস্যা নয়; এটি আর্থিক প্রতিষ্ঠানের তথ্য সুরক্ষা, ডিজিটাল সেবার নির্ভরযোগ্যতা এবং গ্রাহকের আস্থার সঙ্গেও সরাসরি সম্পর্কিত। ২০২৬ সালের অক্টোবরের শেষ সপ্তাহে PHP প্রোগ্রামিং ভাষার গুরুতর নিরাপত্তা দুর্বলতা ঘিরে বাংলাদেশের ব্যাংকিং খাতে নতুন করে উদ্বেগ তৈরি হয়েছে। সম্ভাব্য সাইবার হামলার ঝুঁকি বিবেচনায় বাংলাদেশ ব্যাংকসহ একাধিক প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়। একই সময়ে রাষ্ট্রায়ত্ত জনতা ব্যাংকের ওয়েবসাইটে সাইবার হামলার আলামত পাওয়ার খবর প্রকাশিত হয়। "https://www.thedailystar.net/business/news/bangladesh-bank-keeps-website-offline-amid-global-cyber-alert-4305776" দ্য ডেইলি স্টার "https://bdnews24.com/business/tqt24otsx1" বিডিনিউজ টোয়েন্টিফোর ডটকমের প্রতিবেদন।
ঘটনাগুলো সামনে আসার পর কয়েকটি প্রশ্ন গুরুত্বপূর্ণ হয়ে উঠেছে: PHP Vulnerability আসলে কী? এই ত্রুটি কাজে লাগিয়ে কি দূর থেকে ব্যাংকের সার্ভারে প্রবেশ করা সম্ভব? ওয়েবসাইট বন্ধ রাখার সঙ্গে গ্রাহকের অর্থ ও লেনদেনের নিরাপত্তার সম্পর্ক কতটা? আর জনতা ব্যাংকের ওয়েবসাইটে হামলার সঙ্গে PHP-এর দুর্বলতার সরাসরি যোগসূত্র রয়েছে কি?
প্রশ্নগুলোর উত্তর খুঁজতে হলে সাম্প্রতিক ঘটনাগুলোকে আলাদা করে বিশ্লেষণ করতে হবে। কারণ, কোনো ওয়েবসাইটে নিরাপত্তা দুর্বলতা থাকা, সতর্কতামূলকভাবে সেটি বন্ধ রাখা এবং সফল সাইবার হামলার শিকার হওয়া—তিনটি ভিন্ন পরিস্থিতি।
সাম্প্রতিক ঘটনা: বাংলাদেশে কোন ব্যাংকের ওয়েবসাইটে কী ঘটেছে?
২০২৬ সালের ২১ অক্টোবর ইউরোপীয় ইউনিয়নের একাধিক সাইবার নিরাপত্তা সংস্থা PHP-এর দুটি গুরুতর দুর্বলতা নিয়ে সতর্কতা প্রকাশ করে। পরদিন বাংলাদেশ ব্যাংক তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখে। একই সময় কয়েকটি বাণিজ্যিক ব্যাংকও তাদের অনলাইন প্ল্যাটফর্মে প্রবেশ সীমিত করে। ২৫ অক্টোবর বাংলাদেশ ব্যাংকের ওয়েবসাইট পুনরায় চালু হয়। অন্যদিকে, জনতা ব্যাংকের ওয়েবসাইটে হামলার আলামত পাওয়ার খবর প্রকাশিত হয় এবং সেটি মেরামতের কাজ চলছিল।
১. জনতা ব্যাংকের ওয়েবসাইটে সাইবার হামলার আলামত
২৫ অক্টোবর ২০২৬ প্রকাশিত বিডিনিউজ টোয়েন্টিফোর ডটকমের প্রতিবেদন অনুযায়ী, সতর্কতামূলকভাবে ওয়েবসাইট বন্ধ রাখার পরও রাষ্ট্রায়ত্ত জনতা ব্যাংকের ওয়েবসাইটে সাইবার হামলার আলামত পাওয়া যায়। ব্যাংকটির আইটি বিভাগের একজন জ্যেষ্ঠ কর্মকর্তার বরাত দিয়ে প্রতিবেদনে বলা হয়, ওয়েবসাইটের অন্তত দুটি স্থানে স্প্যাম শনাক্ত করা হয়েছিল। একই সঙ্গে দুটি হামলার লক্ষণ পাওয়ার কথা জানান ওই কর্মকর্তা।
স্প্যাম অপসারণ, ক্ষতিগ্রস্ত অংশ মেরামত এবং ওয়েবসাইট নিরাপদভাবে পুনরায় চালুর জন্য ব্যাংকটির আইটি দল কাজ করছিল। ২৫ অক্টোবর সকাল সাড়ে ১১টা পর্যন্ত ওয়েবসাইটটি সাধারণ ব্যবহারকারীদের জন্য উন্মুক্ত করা সম্ভব হয়নি বলে প্রতিবেদনে উল্লেখ করা হয়। "https://bdnews24.com/business/tqt24otsx1"সূত্র: বিডিনিউজ টোয়েন্টিফোর ডটকম, ২৫ অক্টোবর ২০২৬।
এ ঘটনাটি গুরুত্বপূর্ণ, কারণ একটি ওয়েবসাইট সাময়িকভাবে বন্ধ রাখলেও আগে থেকে ঘটে যাওয়া অননুমোদিত পরিবর্তন বা হামলার আলামত শনাক্ত করার প্রয়োজন থাকতে পারে। সেবা বিচ্ছিন্ন করা সম্ভাব্য নতুন আক্রমণের সুযোগ কমাতে পারে, কিন্তু এর মাধ্যমে আগের অনুপ্রবেশের সব চিহ্ন স্বয়ংক্রিয়ভাবে মুছে যায় না।
তবে প্রকাশিত তথ্যের ভিত্তিতে জনতা ব্যাংকের মূল ব্যাংকিং সার্ভার, গ্রাহকের হিসাব, পাসওয়ার্ড বা লেনদেনব্যবস্থা হ্যাক হয়েছিল—এমন দাবি করার সুযোগ নেই। প্রতিবেদনটিতে ওয়েবসাইটে স্প্যাম এবং হামলার আলামতের কথা বলা হয়েছে। মূল ব্যাংকিং অবকাঠামোতে অনুপ্রবেশের বিষয়টি সেখানে নিশ্চিত করা হয়নি।
একইভাবে, জনতা ব্যাংকের ওয়েবসাইটে পাওয়া হামলার আলামত PHP-এর আলোচিত দুর্বলতা কাজে লাগিয়েই তৈরি হয়েছিল কি না, সেটিও প্রকাশিত তথ্য দিয়ে নিশ্চিত করা যায় না। এ জন্য প্রযুক্তিগত তদন্তের ফলাফল প্রয়োজন।
২. বাংলাদেশ ব্যাংকের ওয়েবসাইট প্রায় তিন দিন বন্ধ
PHP-এর নিরাপত্তা দুর্বলতা নিয়ে বৈশ্বিক সতর্কতার পর ২২ অক্টোবর বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়। ২৪ অক্টোবর পর্যন্ত সেটি বন্ধ ছিল এবং ২৫ অক্টোবর সকাল ৮টার দিকে পুনরায় চালু করা হয়। বাংলাদেশ ব্যাংকের মুখপাত্র ও নির্বাহী পরিচালক আরিফ হোসেন খান ওয়েবসাইট চালুর বিষয়টি নিশ্চিত করেন। "https://www.bssnews.net/news-flash/438060" সূত্র: বাংলাদেশ সংবাদ সংস্থা (বাসস)।
বাংলাদেশ ব্যাংকের আইসিটি বিভাগের নির্বাহী পরিচালক মুহাম্মদ জাকির হাসান দ্য বিজনেস স্ট্যান্ডার্ডকে জানান, ওয়েবসাইটটি কর্তৃপক্ষ নিজেরাই আপগ্রেডের জন্য বন্ধ রেখেছিল। তিনি স্পষ্ট করেন, ওয়েবসাইট বন্ধ থাকার অর্থ এটি সাইবার হামলার শিকার হয়েছিল—এমন নয়। তাঁর বক্তব্য অনুযায়ী, ওই সময় ব্যাংকিং লেনদেন-সংশ্লিষ্ট সেবায় বিঘ্ন ঘটেনি। "https://www.tbsnews.net/economy/banking/bb-website-likely-be-back-online-today-after-3-days-1582001" সূত্র: দ্য বিজনেস স্ট্যান্ডার্ড, ২৫ অক্টোবর ২০২৬।
অর্থাৎ, বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখার ঘটনাটি ছিল সম্ভাব্য নিরাপত্তা ঝুঁকি মোকাবিলার সতর্কতামূলক পদক্ষেপ। এটিকে সফল সাইবার হামলার প্রমাণ হিসেবে ব্যাখ্যা করা তথ্যগতভাবে সঠিক হবে না।
৩. অন্য ব্যাংক ও সরকারি ডিজিটাল সেবায় সতর্কতামূলক ব্যবস্থা
২৫ অক্টোবর দ্য ডেইলি স্টারের প্রতিবেদনে বলা হয়, PHP-সংক্রান্ত নিরাপত্তা উদ্বেগের কারণে অগ্রণী ব্যাংক, জনতা ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট আগের দিন পর্যন্ত বন্ধ ছিল। অন্যদিকে, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক ও এসবিএসি ব্যাংকের ওয়েবসাইট আবার চালু হওয়ার খবর প্রকাশিত হয়। ভূমি মন্ত্রণালয়ের ডিজিটাল ভূমিসেবাও সাময়িকভাবে বন্ধ রাখা হয়েছিল। "https://www.thedailystar.net/news/bangladesh/news/php-flaw-trickles-down-service-disruptions-4306671" সূত্র: দ্য ডেইলি স্টার, ২৫ অক্টোবর ২০২৬।
এখানে একটি গুরুত্বপূর্ণ বিষয় হলো, একই সময়ে কোনো প্রতিষ্ঠানের ওয়েবসাইট বন্ধ এবং অন্যটির ওয়েবসাইট চালু থাকা মানেই একটি আক্রান্ত আর অন্যটি সম্পূর্ণ ঝুঁকিমুক্ত—এমন নয়। ব্যবহৃত PHP সংস্করণ, নিরাপত্তা প্যাচ, সার্ভারের কনফিগারেশন এবং ঝুঁকি মূল্যায়নের ফলাফলের ভিত্তিতে প্রতিষ্ঠানভেদে সিদ্ধান্ত আলাদা হতে পারে।
PHP Vulnerability আসলে কী?
PHP একটি বহুল ব্যবহৃত Server-Side Programming Language। ওয়েবসাইটের তথ্য ডেটাবেজ থেকে সংগ্রহ, ব্যবহারকারীর অনুরোধ প্রক্রিয়াকরণ, বিভিন্ন ফিচার পরিচালনা এবং ডায়নামিক ওয়েব পেজ তৈরি করার মতো কাজে এটি ব্যবহৃত হয়।
একজন ব্যবহারকারী যখন কোনো ব্যাংকের ওয়েবসাইটে প্রবেশ করেন, তখন তাঁর ব্রাউজার সার্ভারে অনুরোধ পাঠায়। সার্ভারে চলমান সফটওয়্যার সেই অনুরোধ প্রক্রিয়াকরণ করে প্রয়োজনীয় তথ্য ব্রাউজারে পাঠায়। এই প্রক্রিয়ায় PHP ব্যবহৃত হলে PHP-এর ইঞ্জিন ও সংশ্লিষ্ট সফটওয়্যারের নিরাপত্তা গুরুত্বপূর্ণ হয়ে ওঠে।
Vulnerability বলতে সফটওয়্যার, সিস্টেমের নকশা অথবা কনফিগারেশনের এমন দুর্বলতাকে বোঝায়, যা কাজে লাগিয়ে অননুমোদিত ব্যক্তি সিস্টেমের নিরাপত্তা ক্ষতিগ্রস্ত করতে পারেন।
সুতরাং, PHP Vulnerability হলো PHP-এর নিজস্ব ইঞ্জিন, নির্দিষ্ট ফিচার অথবা PHP-ভিত্তিক অ্যাপ্লিকেশনের মধ্যে থাকা নিরাপত্তা দুর্বলতা। এর ফলে কোনো পরিস্থিতিতে তথ্য ফাঁস, সেবা ব্যাহত হওয়া কিংবা সার্ভারে অননুমোদিত কোড চালানোর ঝুঁকি তৈরি হতে পারে।
তবে PHP ব্যবহার করলেই কোনো ওয়েবসাইট অনিরাপদ হয়ে যায় না। ঝুঁকি নির্ভর করে ব্যবহৃত সংস্করণ, নির্দিষ্ট দুর্বলতার উপস্থিতি, নিরাপত্তা আপডেট এবং সার্ভারের বিন্যাসের ওপর।
২০২৬ সালের PHP সংকট: দুটি গুরুতর দুর্বলতা
ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থা CERT-EU ২১ অক্টোবর ২০২৬ প্রকাশিত Security Advisory 2026-018-এ PHP-এর দুটি গুরুতর দুর্বলতার কথা জানায়। এগুলোর কারণে নির্দিষ্ট পরিস্থিতিতে আক্রমণকারী ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে অননুমোদিত কোড চালানোর সুযোগ পেতে পারেন।
দুর্বলতা দুটি হলো:
১. CVE-2026-109618 — Out-of-Memory Handling-সংক্রান্ত দুর্বলতা
কম্পিউটার প্রোগ্রাম চলার সময় তথ্য সাময়িকভাবে সংরক্ষণ করতে মেমোরি ব্যবহার করে। PHP-এর এই দুর্বলতাটি Out-of-Memory (OOM) পরিস্থিতি সামলানোর প্রক্রিয়ার সঙ্গে সম্পর্কিত।
কোনো অনুরোধ প্রক্রিয়াকরণের সময় নির্ধারিত মেমোরি সীমা অতিক্রম করলে সফটওয়্যারকে নিরাপদভাবে সেই প্রক্রিয়া থামাতে এবং প্রয়োজনীয় রিসোর্স পরিষ্কার করতে হয়। অভ্যন্তরীণ তথ্যের অবস্থা সঠিকভাবে পরিচালিত না হলে Memory Corruption-এর মতো সমস্যা তৈরি হতে পারে।
CERT-EU-এর বিশ্লেষণ অনুযায়ী, নির্দিষ্ট পরিস্থিতিতে এই ত্রুটি কাজে লাগিয়ে Remote Code Execution ঘটতে পারে।
২. CVE-2026-109619 — Stale Global State-সংক্রান্ত দুর্বলতা
একটি সার্ভার ধারাবাহিকভাবে অনেক ব্যবহারকারীর অনুরোধ প্রক্রিয়াকরণ করতে পারে। প্রতিটি অনুরোধের সঙ্গে সম্পর্কিত অভ্যন্তরীণ তথ্য ও অবস্থা যথাযথভাবে ব্যবস্থাপনা করা জরুরি।
এই দুর্বলতার ক্ষেত্রে কোনো অনুরোধের সঙ্গে সম্পর্কিত অভ্যন্তরীণ অবস্থা প্রত্যাশিত সময়ে পরিষ্কার বা পুনরায় সেট না হলে পরবর্তী অনুরোধ প্রক্রিয়াকরণের সময় সমস্যা তৈরি হতে পারে। নির্দিষ্ট পরিস্থিতিতে এটি সার্ভারে অননুমোদিত কোড চালানোর সুযোগ তৈরি করতে পারে।
CERT-EU-এর মূল্যায়নে দুটি দুর্বলতারই CVSS v4.0 স্কোর ৯.২। CVSS হলো সফটওয়্যারের নিরাপত্তা দুর্বলতার তীব্রতা মূল্যায়নের একটি পদ্ধতি। এই স্কোর গুরুতর ঝুঁকি নির্দেশ করে, তবে এটি কোনো নির্দিষ্ট ওয়েবসাইটে সফল হামলা ঘটেছে কি না, তা নির্ধারণ করে না। "https://cert.europa.eu/publications/security-advisories/2026-018/" প্রযুক্তিগত বিশ্লেষণ পড়ুন।
নিরাপত্তা সংশোধনযুক্ত সংস্করণ হিসেবে PHP 8.5.12, 8.4.27, 8.3.36 ও 8.2.35 প্রকাশ করা হয়। পুরোনো সংস্করণ ব্যবহারকারী প্রতিষ্ঠানগুলোর ক্ষেত্রে সংশ্লিষ্ট বিক্রেতার আপডেট বা সমর্থিত নিরাপত্তা সংশোধন যাচাই করা প্রয়োজন।
Remote Code Execution (RCE) কেন এত বিপজ্জনক?
Remote Code Execution বা RCE হলো এমন একটি নিরাপত্তা পরিস্থিতি, যেখানে আক্রমণকারী দূর থেকে কোনো কম্পিউটার বা সার্ভারে অননুমোদিত কোড চালানোর সুযোগ পেতে পারেন।
একটি ব্যাংকের ওয়েব সার্ভারে RCE-এর ঝুঁকি তৈরি হলে সম্ভাব্য প্রভাবের মধ্যে থাকতে পারে—
-
সার্ভারে অননুমোদিত কার্যক্রম: ওয়েব অ্যাপ্লিকেশনের অনুমতির আওতায় থাকা কিছু কাজ আক্রমণকারীর পক্ষে চালানো সম্ভব হতে পারে।
-
তথ্য ফাঁস: সার্ভারে সংরক্ষিত ফাইল, কনফিগারেশন বা সংবেদনশীল তথ্য ঝুঁকিতে পড়তে পারে।
-
ওয়েবসাইট বিকৃত করা: অননুমোদিতভাবে ওয়েব পেজের তথ্য পরিবর্তন বা স্প্যাম যুক্ত করা হতে পারে।
-
সেবা ব্যাহত হওয়া: ওয়েবসাইট অচল হয়ে যেতে পারে অথবা নিরাপত্তার স্বার্থে সেটি বন্ধ রাখতে হতে পারে।
-
অন্য সিস্টেমে প্রবেশের ঝুঁকি: আক্রান্ত সার্ভারের সঙ্গে সংযুক্ত অন্যান্য সিস্টেমে প্রবেশের চেষ্টা হতে পারে।
তবে RCE-এর ঝুঁকি থাকলেই আক্রমণকারী স্বয়ংক্রিয়ভাবে ব্যাংকের সব ডেটাবেজ, অভ্যন্তরীণ নেটওয়ার্ক কিংবা গ্রাহকের অর্থে প্রবেশ করতে পারবেন, এমন নয়। সার্ভারের অনুমতি, নেটওয়ার্ক বিভাজন, ডেটাবেজের নিরাপত্তা এবং অন্যান্য প্রতিরক্ষামূলক ব্যবস্থা সম্ভাব্য ক্ষতির পরিধি নির্ধারণ করে।
এই কারণেই PHP-এর মতো মৌলিক সফটওয়্যারে গুরুতর দুর্বলতা শনাক্ত হলে দ্রুত নিরাপত্তা আপডেট এবং ঝুঁকি মূল্যায়ন অত্যন্ত গুরুত্বপূর্ণ হয়ে ওঠে।
ব্যাংকের ওয়েবসাইট হ্যাক আর ব্যাংকের সার্ভার হ্যাক কি একই?
সাধারণ আলোচনায় ওয়েবসাইট হ্যাক ও সার্ভার হ্যাক শব্দ দুটি প্রায়ই একই অর্থে ব্যবহার করা হয়। কিন্তু প্রযুক্তিগতভাবে এদের মধ্যে পার্থক্য রয়েছে।
কোনো ওয়েবসাইটে অননুমোদিত বিজ্ঞাপন, স্প্যাম বা পরিবর্তিত তথ্য দেখা গেলে সেটি ওয়েবসাইটের নিরাপত্তা লঙ্ঘনের ইঙ্গিত হতে পারে। তবে এর মাধ্যমে পুরো সার্ভার বা প্রতিষ্ঠানের অভ্যন্তরীণ নেটওয়ার্কের নিয়ন্ত্রণ নেওয়া হয়েছে কি না, তা আলাদাভাবে যাচাই করতে হয়।
একইভাবে, কোনো ব্যাংকের পাবলিক ওয়েবসাইট, ইন্টারনেট ব্যাংকিং, মোবাইল অ্যাপ এবং Core Banking System একই প্রযুক্তিগত অবকাঠামোয় পরিচালিত হয় না। এদের মধ্যে সংযোগ থাকতে পারে, কিন্তু প্রতিটির নিরাপত্তা ও প্রবেশাধিকার ব্যবস্থাও আলাদা হতে পারে।
জনতা ব্যাংকের ওয়েবসাইটে স্প্যাম ও হামলার আলামত পাওয়ার খবর তাই গুরুত্বের সঙ্গে দেখা প্রয়োজন। তবে তদন্তের ফলাফল ছাড়া এটিকে গ্রাহকের ব্যাংক হিসাব বা মূল লেনদেনব্যবস্থা হ্যাক হওয়ার প্রমাণ বলা যাবে না।
একইভাবে, বাংলাদেশ ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার ঘটনাটিকেও নিশ্চিত সফল হামলা হিসেবে চিহ্নিত করা ঠিক হবে না। ব্যাংকটির কর্মকর্তারা এটিকে নিরাপত্তা জোরদার ও আপগ্রেডের জন্য নেওয়া পদক্ষেপ হিসেবে ব্যাখ্যা করেছেন।
বাংলাদেশ ব্যাংকের ২০১৬ সালের রিজার্ভ চুরি: সাইবার নিরাপত্তার বড় শিক্ষা
বাংলাদেশের ব্যাংকিং খাতে সাইবার নিরাপত্তার প্রসঙ্গ উঠলে ২০১৬ সালের বাংলাদেশ ব্যাংকের রিজার্ভ চুরির ঘটনা বিশেষভাবে গুরুত্বপূর্ণ। সাম্প্রতিক PHP Vulnerability-এর সঙ্গে ওই ঘটনার প্রযুক্তিগত পার্থক্য থাকলেও, আর্থিক প্রতিষ্ঠানের ডিজিটাল অবকাঠামোয় নিরাপত্তা দুর্বলতার সম্ভাব্য প্রভাব বোঝার জন্য এটি একটি উল্লেখযোগ্য উদাহরণ।
২০১৬ সালের ফেব্রুয়ারিতে হ্যাকাররা বাংলাদেশ ব্যাংকের কম্পিউটার সিস্টেমে অনুপ্রবেশ করে আন্তর্জাতিক অর্থ স্থানান্তরব্যবস্থার মাধ্যমে ভুয়া অর্থ স্থানান্তরের নির্দেশ পাঠায়। এসব নির্দেশের লক্ষ্য ছিল নিউইয়র্কের ফেডারেল রিজার্ভ ব্যাংকে বাংলাদেশ ব্যাংকের হিসাব থেকে বিপুল পরিমাণ অর্থ বিভিন্ন বিদেশি হিসাবে সরিয়ে নেওয়া।
রয়টার্সের প্রতিবেদন অনুযায়ী, হ্যাকাররা প্রায় ১০১ মিলিয়ন মার্কিন ডলার স্থানান্তর করতে সক্ষম হয়েছিল। এর মধ্যে ফিলিপাইনে পাঠানো প্রায় ৮১ মিলিয়ন ডলার পাচার হয়ে যায়। শ্রীলঙ্কায় পাঠানো ২০ মিলিয়ন ডলারের আরেকটি লেনদেন প্রাপকের নামের বানানসংক্রান্ত ভুলের কারণে আটকে যায় এবং অর্থ ফেরত আসে। "https://www.business-standard.com/article/reuters/insight-how-a-hacker-s-typo-helped-stop-a-billion-dollar-bank-heist-116031001138_1.html" সূত্র: রয়টার্সের প্রতিবেদন, মার্চ ২০১৬।
এই ঘটনা দেখিয়ে দেয়, ব্যাংকের সাইবার নিরাপত্তা শুধু ওয়েবসাইট সুরক্ষিত রাখার মধ্যে সীমাবদ্ধ নয়। পরিচয় যাচাই, অর্থ স্থানান্তরের অনুমোদন, নেটওয়ার্ক নিরাপত্তা, অস্বাভাবিক লেনদেন শনাক্তকরণ এবং নিরাপত্তা ঘটনার দ্রুত প্রতিক্রিয়া—সবকিছুই গুরুত্বপূর্ণ।
তবে ২০১৬ সালের রিজার্ভ চুরি এবং ২০২৬ সালের PHP Vulnerability-কে একই ধরনের ঘটনা হিসেবে দেখা যাবে না। ২০১৬ সালে আন্তর্জাতিক অর্থ স্থানান্তরব্যবস্থাকে লক্ষ্য করে আর্থিক সাইবার অপরাধ সংঘটিত হয়েছিল। অন্যদিকে, ২০২৬ সালের PHP-সংক্রান্ত সতর্কতা মূলত ওয়েব সার্ভারের সফটওয়্যার দুর্বলতা থেকে সম্ভাব্য অনুপ্রবেশের ঝুঁকি মোকাবিলার সঙ্গে সম্পর্কিত।
২০২৩ সালের সতর্কতামূলক ব্যবস্থা ও ২০২৫ সালের সার্ভার বিভ্রাট
বাংলাদেশ ব্যাংকের সাইবার নিরাপত্তার ইতিহাসে ২০২৩ সালের একটি ঘটনাও উল্লেখযোগ্য। দ্য ডেইলি স্টারের প্রতিবেদন অনুযায়ী, সম্ভাব্য সাইবার হামলার আশঙ্কায় সে বছর কেন্দ্রীয় ব্যাংকের কিছু অভ্যন্তরীণ ওয়েবভিত্তিক সেবা প্রায় ৩৬ ঘণ্টার জন্য বন্ধ রাখা হয়েছিল। এটি ছিল সতর্কতামূলক ব্যবস্থা; ওই প্রতিবেদন থেকে সব সংশ্লিষ্ট সিস্টেমে সফল অনুপ্রবেশ ঘটেছিল বলে সিদ্ধান্ত নেওয়া যায় না। "https://www.thedailystar.net/business/news/bangladesh-bank-restores-website-after-two-and-half-day-shutdown-over-cyber-alert-4306866" সূত্র: দ্য ডেইলি স্টার।
অন্যদিকে, ২০২৫ সালের ৪ ডিসেম্বর বাংলাদেশ ব্যাংকের সার্ভারে বিদ্যুৎ বিভ্রাট ও ভোল্টেজের ওঠানামার কারণে ডিজিটাল ব্যাংকিং এবং আন্তব্যাংক লেনদেনব্যবস্থায় বড় ধরনের বিঘ্ন ঘটে। ৫ ডিসেম্বর প্রকাশিত ঢাকা ট্রিবিউনের প্রতিবেদন অনুযায়ী, বিকেল নাগাদ সার্ভার অচল হয়ে পড়ায় ন্যাশনাল পেমেন্ট সুইচ বাংলাদেশ (NPSB)-এর মাধ্যমে পরিচালিত বিভিন্ন সেবা ব্যাহত হয়েছিল। "https://www.dhakatribune.com/business/banks/398061/central-bank-server-down" সূত্র: ঢাকা ট্রিবিউন।
এই ঘটনাটি সরাসরি সাইবার হামলার উদাহরণ নয়; সংবাদপ্রতিবেদনে বিদ্যুৎ ও ভোল্টেজের সমস্যাকে কারণ হিসেবে উল্লেখ করা হয়েছিল। তবে এটি দেখায়, ব্যাংকিং ব্যবস্থায় প্রযুক্তিগত নির্ভরতা যত বাড়ছে, সার্ভারের নির্ভরযোগ্যতা, বিদ্যুৎ ব্যবস্থাপনা এবং বিকল্প অবকাঠামোও তত গুরুত্বপূর্ণ হয়ে উঠছে।
তিনটি ঘটনার তুলনা থেকে একটি বিষয় স্পষ্ট: সাইবার হামলা, সফটওয়্যারের নিরাপত্তা দুর্বলতা এবং সাধারণ প্রযুক্তিগত বিভ্রাট—সব ক্ষেত্রেই ডিজিটাল সেবা ব্যাহত হতে পারে, কিন্তু প্রতিটির কারণ ও সমাধান এক নয়।
ব্যাংকের ওয়েবসাইট ঝুঁকিতে পড়লে গ্রাহকের কী ক্ষতি হতে পারে?
কোনো ব্যাংকের ওয়েবসাইটে নিরাপত্তা দুর্বলতা দেখা দিলে সম্ভাব্য ক্ষতির মাত্রা নির্ভর করে ওয়েবসাইটটির কাজ, সার্ভারের অনুমতি এবং অন্যান্য ব্যাংকিং সিস্টেমের সঙ্গে সংযোগের ওপর।
| সম্ভাব্য ঝুঁকি | সম্ভাব্য প্রভাব |
| ওয়েবসাইটের কার্যক্রম ব্যাহত | নোটিশ, শাখার তথ্য ও অনলাইন সেবা পাওয়া কঠিন হতে পারে |
| অননুমোদিত পরিবর্তন | ওয়েবসাইটে ভুয়া বিজ্ঞপ্তি, স্প্যাম বা বিভ্রান্তিকর তথ্য প্রকাশিত হতে পারে |
| সংবেদনশীল তথ্য ফাঁস | সার্ভারে থাকা তথ্য অননুমোদিত ব্যক্তির হাতে যাওয়ার আশঙ্কা তৈরি হতে পারে |
| সেবা বন্ধ রাখা | নিরাপত্তা যাচাই বা মেরামতের সময় ব্যবহারকারীরা সাময়িকভাবে ওয়েবসাইটে প্রবেশ করতে নাও পারেন |
| অন্য সিস্টেমে প্রবেশের চেষ্টা | আক্রান্ত সার্ভারের সঙ্গে সংযুক্ত অন্যান্য সিস্টেমও ঝুঁকিতে পড়তে পারে |
এখানে সবচেয়ে গুরুত্বপূর্ণ পার্থক্য হলো, সম্ভাব্য ঝুঁকি এবং নিশ্চিত ক্ষয়ক্ষতি এক বিষয় নয়। কোনো ওয়েবসাইটে ত্রুটি পাওয়া গেলে সেটি কাজে লাগিয়ে তথ্য চুরি হয়েছে কি না, তা জানতে লগ বিশ্লেষণ, নিরাপত্তা পরীক্ষা এবং প্রয়োজন হলে ডিজিটাল ফরেনসিক তদন্ত করতে হয়।
PHP Vulnerability থেকে সুরক্ষায় ব্যাংকগুলোর করণীয়
ব্যাংকিং খাতে সাইবার নিরাপত্তা নিশ্চিত করতে শুধু ওয়েবসাইট বন্ধ রাখাই যথেষ্ট নয়। প্রয়োজন দ্রুত নিরাপত্তা আপডেট, দুর্বলতা মূল্যায়ন, অনুপ্রবেশ শনাক্তকরণ এবং নিরাপদভাবে সেবা পুনরুদ্ধারের সমন্বিত ব্যবস্থা।
১. দ্রুত নিরাপত্তা আপডেট ইনস্টল
PHP-এর আলোচিত দুর্বলতাগুলোর জন্য সংশোধনযুক্ত সংস্করণ প্রকাশ করা হয়েছে। সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে ব্যবহৃত সংস্করণ যাচাই করে উপযুক্ত নিরাপত্তা আপডেট ইনস্টল করতে হবে। পুরোনো বা সমর্থনহীন সংস্করণ ব্যবহৃত হলে বিক্রেতার নিরাপত্তা পরামর্শ অনুযায়ী সমর্থিত সংস্করণে উন্নীত করা কিংবা উপযুক্ত সংশোধন প্রয়োগের ব্যবস্থা নিতে হবে।
২. সার্ভার ও সফটওয়্যারের পূর্ণাঙ্গ তালিকা তৈরি
কোন সার্ভার, ওয়েব অ্যাপ্লিকেশন, Content Management System (CMS), কনটেইনার বা তৃতীয় পক্ষের সফটওয়্যারে PHP ব্যবহৃত হচ্ছে, তা শনাক্ত করতে হবে। শুধু প্রধান ওয়েবসাইট পরীক্ষা করলে চলবে না; আড়ালে থাকা PHP-নির্ভর উপাদানও যাচাই করা জরুরি।
৩. নেটওয়ার্ক সুরক্ষা ও প্রবেশাধিকার নিয়ন্ত্রণ
Firewall, Web Application Firewall (WAF), Network Segmentation এবং সীমিত Access Control-এর মাধ্যমে ঝুঁকিপূর্ণ সিস্টেমে অননুমোদিত প্রবেশের সুযোগ কমানো যায়। জরুরি আপডেট তাৎক্ষণিকভাবে সম্ভব না হলে ঝুঁকিপূর্ণ সার্ভারের পাবলিক অ্যাক্সেস সাময়িকভাবে সীমিত করার প্রয়োজন হতে পারে।
তবে এসব ব্যবস্থা নিরাপত্তা প্যাচের বিকল্প নয়। সংশ্লিষ্ট সফটওয়্যার আপডেট এবং তার কার্যকারিতা যাচাই করাই মূল সমাধান।
৪. লগ বিশ্লেষণ ও অনুপ্রবেশ শনাক্তকরণ
সার্ভারে সন্দেহজনক কার্যক্রম, অননুমোদিত ফাইল পরিবর্তন, অস্বাভাবিক সংযোগ এবং অপ্রত্যাশিত প্রসেসের উপস্থিতি পরীক্ষা করতে হবে। কোনো সিস্টেম আক্রান্ত হওয়ার সন্দেহ থাকলে শুধু সফটওয়্যার আপডেট করেই দায়িত্ব শেষ করা যাবে না; আগে অনুপ্রবেশ ঘটেছে কি না, সেটিও মূল্যায়ন করতে হবে।
৫. নিরাপদ ব্যাকআপ ও Incident Response
নিয়মিত ব্যাকআপ, পরীক্ষিত পুনরুদ্ধার প্রক্রিয়া এবং দায়িত্বপ্রাপ্ত নিরাপত্তা দল থাকা প্রয়োজন। সাইবার ঘটনার সময় কোন সিস্টেম বিচ্ছিন্ন করা হবে, কীভাবে প্রমাণ সংরক্ষণ করা হবে এবং কোন পর্যায়ে সেবা পুনরায় চালু করা যাবে—এসব বিষয়ে আগে থেকেই পরিকল্পনা থাকা উচিত।
বাংলাদেশের ব্যাংকিং খাতে সাইবার নিরাপত্তার নীতিগত দিক
বাংলাদেশ ব্যাংকের Guideline on ICT Security, Version 4.0 (2023)-এ তথ্য ও যোগাযোগপ্রযুক্তির ঝুঁকি মূল্যায়ন, দুর্বলতা ব্যবস্থাপনা, নিরাপত্তা নিরীক্ষা এবং নিরাপত্তা ঘটনা মোকাবিলার মতো বিষয় অন্তর্ভুক্ত রয়েছে। "https://www.bb.org.bd/aboutus/regulationguideline/brpd/jun192023_ictsecurityv4.pdf" বাংলাদেশ ব্যাংকের নির্দেশিকা।
একইভাবে, ওয়েব অ্যাপ্লিকেশনের নিরাপত্তা মূল্যায়নে Open Worldwide Application Security Project (OWASP)-এর Top 10:2025 গুরুত্বপূর্ণ আন্তর্জাতিক রেফারেন্স। এতে Broken Access Control, Security Misconfiguration, Software Supply Chain Failures এবং Injection-এর মতো ঝুঁকির বিষয়গুলো তুলে ধরা হয়েছে। "https://top10.owasp.org/2025/" OWASP Top 10:2025।
এসব নীতিমালার বাস্তব প্রয়োগের অর্থ শুধু একটি সফটওয়্যার আপডেট করা নয়। বরং নিয়মিত নিরাপত্তা পরীক্ষা, সরবরাহকারীর সফটওয়্যার মূল্যায়ন, কর্মীদের সচেতনতা বৃদ্ধি, প্রবেশাধিকার নিয়ন্ত্রণ এবং প্রযুক্তিগত পরিবর্তনের পর কার্যকারিতা যাচাই করাও এর অংশ।
সাধারণ গ্রাহকদের কী সতর্কতা নেওয়া উচিত?
ব্যাংকের ওয়েবসাইটে সাইবার ঝুঁকির খবর প্রকাশিত হলে গ্রাহকদের আতঙ্কিত হওয়ার পরিবর্তে সতর্ক থাকা উচিত।
-
ব্যাংকের আনুষ্ঠানিক বিজ্ঞপ্তি বা যাচাইকৃত যোগাযোগমাধ্যম থেকে সেবার অবস্থা সম্পর্কে তথ্য নিন।
-
অপরিচিত লিংকে প্রবেশ করে ব্যাংকিং তথ্য দেবেন না।
-
OTP, PIN, পাসওয়ার্ড কিংবা অন্যান্য গোপন তথ্য কাউকে জানাবেন না।
-
ব্যাংকের নামে আসা সন্দেহজনক ফোন, ই-মেইল বা মেসেজ যাচাই করুন।
-
অ্যাকাউন্টে অস্বাভাবিক লেনদেন নজরে এলে দ্রুত ব্যাংকের আনুষ্ঠানিক সহায়তা চ্যানেলে যোগাযোগ করুন।
শুধু PHP Vulnerability-এর খবর প্রকাশিত হয়েছে বলে সব গ্রাহককে বাধ্যতামূলকভাবে পাসওয়ার্ড পরিবর্তন করতে হবে, এমন নয়। ব্যাংকের নির্দিষ্ট নির্দেশনা এবং ব্যক্তিগত অ্যাকাউন্টের পরিস্থিতি অনুযায়ী ব্যবস্থা নেওয়া উচিত।
উপসংহার: ওয়েবসাইট বন্ধ হওয়া সতর্কবার্তা, কিন্তু সব ক্ষেত্রে হ্যাকিংয়ের প্রমাণ নয়
বাংলাদেশ ব্যাংকসহ একাধিক প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা এবং জনতা ব্যাংকের ওয়েবসাইটে হামলার আলামত পাওয়ার খবর দেশের ডিজিটাল অবকাঠামোর নিরাপত্তা নিয়ে গুরুত্বপূর্ণ প্রশ্ন সামনে এনেছে। PHP-এর মতো বহুল ব্যবহৃত প্রযুক্তিতে গুরুতর ত্রুটি শনাক্ত হলে তার প্রভাব একাধিক প্রতিষ্ঠানের ওয়েবসাইটে পড়তে পারে। তবে প্রতিটি ওয়েবসাইটকে আক্রান্ত ধরে নেওয়া কিংবা সব ঘটনাকে একই সাইবার হামলার অংশ হিসেবে দেখা সঠিক নয়।
বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়েছিল সম্ভাব্য নিরাপত্তা ঝুঁকি মোকাবিলায়; পরে সেটি পুনরায় চালু হয়। অন্যদিকে, জনতা ব্যাংকের ওয়েবসাইটে স্প্যাম ও হামলার আলামত পাওয়ার খবর প্রকাশিত হয়েছে। কিন্তু এই দুটি ঘটনার মধ্যে সরাসরি প্রযুক্তিগত সম্পর্ক রয়েছে কি না, তা প্রকাশিত তথ্য থেকে নিশ্চিত করা যায় না।
২০১৬ সালের রিজার্ভ চুরির ঘটনা আবার মনে করিয়ে দেয়, আর্থিক প্রতিষ্ঠানের সাইবার নিরাপত্তা শুধু ওয়েবসাইট সচল রাখার বিষয় নয়। অর্থ স্থানান্তরব্যবস্থা, তথ্য সুরক্ষা, প্রবেশাধিকার নিয়ন্ত্রণ এবং দ্রুত নিরাপত্তা প্রতিক্রিয়াও সমান গুরুত্বপূর্ণ।
ডিজিটাল ব্যাংকিংয়ের বিস্তারের সঙ্গে সঙ্গে নিরাপত্তাকে নিয়মিত পরিচালনাগত দায়িত্ব হিসেবে বিবেচনা করতে হবে। দ্রুত নিরাপত্তা আপডেট, নিয়মিত দুর্বলতা মূল্যায়ন, কার্যকর নজরদারি এবং পরীক্ষিত Incident Response পরিকল্পনাই সম্ভাব্য ক্ষতি কমানোর গুরুত্বপূর্ণ উপায়।
তথ্যসূত্র
১. CERT-EU — Critical Vulnerabilities in PHP, Security Advisory 2026-018
২. ENISA — Joint Statement on Critical PHP Vulnerabilities
৩. বিডিনিউজ টোয়েন্টিফোর ডটকম — জনতা ব্যাংকের ওয়েবসাইটে সাইবার হামলার আলামত
৪. বাংলাদেশ সংবাদ সংস্থা (বাসস) — বাংলাদেশ ব্যাংকের ওয়েবসাইট পুনরায় চালু
৫. দ্য বিজনেস স্ট্যান্ডার্ড — বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখার বিষয়ে কর্তৃপক্ষের বক্তব্য
৬. রয়টার্স — ২০১৬ সালের বাংলাদেশ ব্যাংকের রিজার্ভ চুরি
৭. ঢাকা ট্রিবিউন — ২০২৫ সালে বাংলাদেশ ব্যাংকের সার্ভার বিভ্রাট
৮. বাংলাদেশ ব্যাংক — Guideline on ICT Security, Version 4.0 (2023)