দুর্বল পাসওয়ার্ড থেকে হ্যাকারদের হামলায় যেভাবে ধ্বংস হয়ে গেল ১৫৮ বছরের কোম্পানি
মাত্র একটি দুর্বল পাসওয়ার্ডই সবকিছু শেষ করে দিল। হ্যাকারদের হামলায় ধ্বংস হয়ে গেল ১৫৮ বছরের পুরোনো ব্রিটিশ পরিবহন কোম্পানি কেএনপি। আর কর্মহীন হয়ে পড়লেন ৭০০ জন। খবর বিবিসি'র।
নর্থ্যাম্পটনশায়ারের এই প্রতিষ্ঠানটি যুক্তরাজ্যের বহু নামী ব্যবসাপ্রতিষ্ঠানের মধ্যে একটি, যারা সম্প্রতি সাইবার হামলার শিকার হয়েছে। এমঅ্যান্ডএস, কো-অপ, হ্যারডসের মতো খ্যাতনামা প্রতিষ্ঠানও একই ধরনের সাইবার হামলার শিকার হয়েছে। কো-অপের প্রধান নির্বাহী গত সপ্তাহে নিশ্চিত করেছেন, তাদের ৬৫ লাখ সদস্যের সবার তথ্য হ্যাকারদের হাতে চলে গেছে।
কেএনপির ক্ষেত্রে ধারণা করা হচ্ছে, এক কর্মীর পাসওয়ার্ড অনুমান করে সিস্টেমে প্রবেশ করে হ্যাকাররা। এরপর কোম্পানির সব তথ্য এনক্রিপ্ট করে পুরো অভ্যন্তরীণ সিস্টেম অচল করে দেওয়া হয়।
কোম্পানির পরিচালক পল অ্যাবট বলেন, তিনি ওই কর্মীকে বলেননি যে তাঁর পাসওয়ার্ড থেকেই এই সর্বনাশের সূত্রপাত। বরং উল্টো প্রশ্ন ছুড়ে দেন—'আপনি কি চাইবেন জানতে, এটা আপনার জন্য ঘটেছে?'
ন্যাশনাল সাইবার সিকিউরিটি সেন্টারের (এনসিএসসি) প্রধান নির্বাহী রিচার্ড হোর্ন বলেন, 'প্রতিষ্ঠানগুলোর উচিত তাদের সিস্টেম ও ব্যবসা সুরক্ষিত রাখতে কার্যকর পদক্ষেপ নেওয়া।'
একটি ছোট ভুল, ভয়াবহ পরিণতি
২০২৩ সালে কেএনপি ৫০০টি লরি পরিচালনা করছিল, যার বেশিরভাগই 'নাইটস অব ওল্ড' ব্র্যান্ডের আওতাধীন। কোম্পানির দাবি, তাদের তথ্যপ্রযুক্তি অবকাঠামো শিল্পমান অনুযায়ী সুরক্ষিত ছিল এবং সাইবার হামলার বিরুদ্ধে তারা বীমাও করেছিল।
তবু 'আকিরা' নামে পরিচিত একটি হ্যাকার চক্র তাদের সিস্টেমে প্রবেশ করে এমনভাবে তথ্য লক করে দেয় যে কর্মীরা ব্যবসা পরিচালনায় প্রয়োজনীয় কোনো তথ্যই আর খুঁজে পাননি। হ্যাকারদের দাবি ছিল—তাদের চাহিদা অনুযায়ী অর্থ না দিলে কোনো তথ্যই ফেরত পাওয়া যাবে না।
একটি মুক্তিপণ বার্তায় হ্যাকাররা লেখে, 'আপনি যদি এটি পড়েন, তার মানে আপনার কোম্পানির অভ্যন্তরীণ অবকাঠামো আংশিক বা পুরোপুরি ধ্বংস হয়ে গেছে… আসুন কান্নাকাটি ও ক্ষোভ নিজের ভেতরে রাখি, বরং গঠনমূলক সংলাপের চেষ্টা করি।'
যদিও তারা নির্দিষ্ট করে কোনো অঙ্ক উল্লেখ করেনি, তবে মুক্তিপণ নিয়ে কাজ করা একটি বিশেষায়িত সংস্থা ধারণা করেছে, চাহিদার পরিমাণ প্রায় ৫০ লাখ পাউন্ড হতে পারে। কিন্তু কেএনপির সেই অর্থ ছিল না। ফলে সব ডেটা হারিয়ে যায় এবং বন্ধ হয়ে যায় ১৫৮ বছরের পুরোনো কোম্পানিটি।
এই এক হামলায় চাকরি হারিয়েছেন প্রায় ৭০০ কর্মচারী।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার জানিয়েছে, তারা অনলাইনে বসবাস ও কাজের দিক দিয়ে যুক্তরাজ্যকে বিশ্বের সবচেয়ে নিরাপদ জায়গা বানাতে চায়। প্রতিদিনই বড় ধরনের সাইবার হামলা মোকাবিলা করতে হয় তাদের।
এনসিএসসি হলো জিসিএইচকিউ-এর একটি শাখা—যা এমআই৫ ও এমআই৬-এর মতো ব্রিটেনের শীর্ষ নিরাপত্তা সংস্থাগুলোর একটি।
'স্যাম' (ছদ্মনাম), এনসিএসসির একজন কর্মকর্তা যিনি প্রতিদিন এ ধরনের হামলার বিরুদ্ধে কাজ করেন জানিয়েছেন, হ্যাকাররা নতুন কিছু করছে না; তারা কেবল দুর্বল পয়েন্ট খুঁজে বের করে।
তিনি বিবিসিকে বলেন, 'তারা শুধু এমন সব প্রতিষ্ঠান খুঁজে নিচ্ছে, যাদের কোনো এক খারাপ দিনে দুর্বলতা থাকে, আর তখনই আঘাত হানে।'
বিভিন্ন গোয়েন্দা উৎস ব্যবহার করে এনসিএসসির কর্মকর্তারা চেষ্টা করেন হ্যাকারদের আগেই শনাক্ত করে তাদের সিস্টেম থেকে বের করে দিতে—যাতে তারা র্যানসমওয়্যার ইনস্টল করতে না পারে।
'জেক' (আরেক ছদ্মনাম), যিনি সম্প্রতি এক রাতে দায়িত্বে ছিলেন বলছেন, ওই সময় একটি বড় হামলা প্রতিহত করা সম্ভব হয়।
তিনি বলেন, 'আপনি বুঝতে পারেন কী পরিমাণ ক্ষতি হতে পারত, আর তখনই সেই ক্ষতি কমিয়ে আনতে চান। যদি সফল হই, তখন সত্যিই একটা রোমাঞ্চ কাজ করে।'
তবে এনসিএসসি কেবল একটি স্তরের প্রতিরক্ষা দিতে পারে। কারণ, র্যানসমওয়্যার এখন একটি ক্রমবর্ধমান এবং অত্যন্ত লাভজনক অপরাধে পরিণত হয়েছে।
স্যাম বলেন, 'সমস্যার একটি বড় দিক হলো, হামলাকারীর সংখ্যা অনেক, কিন্তু আমাদের সংখ্যা খুবই সীমিত।'
এই ধরনের হামলার প্রকৃত পরিসংখ্যান পাওয়া কঠিন। কারণ, অনেক প্রতিষ্ঠানই হামলার ঘটনা প্রকাশ করে না কিংবা মুক্তিপণ দেওয়ার কথাও গোপন রাখে।
যুক্তরাজ্যের সরকারের সাইবার নিরাপত্তা জরিপ অনুযায়ী, গত বছর দেশটির ব্যবসা প্রতিষ্ঠানগুলোতে আনুমানিক ১৯ হাজার র্যানসমওয়্যার হামলা হয়েছে।
শিল্প গবেষণায় দেখা গেছে, যুক্তরাজ্যে গড় মুক্তিপণ দাবির পরিমাণ প্রায় ৪ মিলিয়ন পাউন্ড এবং প্রায় এক-তৃতীয়াংশ প্রতিষ্ঠান বাধ্য হয়ে অর্থ পরিশোধ করে।
ন্যাশনাল সাইবার সিকিউরিটি সেন্টারের প্রধান নির্বাহী রিচার্ড হর্ন বলেন, গত কয়েক বছর ধরে একের পর এক সাইবার অপরাধের ঘটনা ঘটছে। তবে তিনি অস্বীকার করেছেন যে অপরাধীরা এই যুদ্ধে এগিয়ে আছে। তাঁর মতে, প্রতিটি কোম্পানির উচিত তাদের সাইবার নিরাপত্তা ব্যবস্থা আরও জোরদার করা।
প্রতিরোধে কাজ না হলে অপরাধীদের ধরতে নামে ন্যাশনাল ক্রাইম এজেন্সির (এনসিএ) একটি বিশেষ ইউনিট।
এনসিএ-র একটি ইউনিটের প্রধান সুজান গ্রিমার জানান, হ্যাকিংয়ের ঘটনা বেড়ে গেছে কারণ এটি এখন অত্যন্ত লাভজনক একটি অপরাধে পরিণত হয়েছে। তার ইউনিটই এমঅ্যান্ডএস (মার্ক্স এন্ড স্পেনসার)-এর সাইবার হামলার প্রাথমিক তদন্ত করেছে।
গ্রিমার বলেন, দায়িত্ব নেওয়ার পর গত দুই বছরে এমন ঘটনার সংখ্যা প্রায় দ্বিগুণ হয়েছে, যা এখন প্রতি সপ্তাহে ৩৫ থেকে ৪০টি পর্যন্ত পৌঁছেছে। 'এই প্রবণতা চলতে থাকলে, এটি হতে পারে যুক্তরাজ্যে র্যানসমওয়্যার হামলার সবচেয়ে ভয়াবহ বছর।'
তিনি আরও জানান, এখন হ্যাকিং আগের তুলনায় অনেক সহজ হয়ে গেছে। অনেক সময় কম্পিউটার না ব্যবহার করেও হামলা চালানো সম্ভব—যেমন, আইটি সহায়তা ডেস্কে ফোন করে তথ্য নেওয়া।
'এই অপরাধীরা এখন সহজেই এমন সরঞ্জাম ও পরিষেবা পাচ্ছে, যেগুলোর জন্য বিশেষ প্রযুক্তিগত দক্ষতার প্রয়োজন পড়ে না।'
এমঅ্যান্ডএস হ্যাকিংয়ের ক্ষেত্রেও দেখা গেছে, অপরাধীরা 'ব্ল্যাগিং'—অর্থাৎ প্রতারণার মাধ্যমে—প্রতিষ্ঠানটির সিস্টেমে প্রবেশ করে। এর ফলে ডেলিভারি বিলম্বিত হয়, দোকানের তাক ফাঁকা হয়ে পড়ে এবং গ্রাহকদের ব্যক্তিগত তথ্য চুরি হয়।
এনসিএ-র থ্রেটস বিভাগের পরিচালক জেমস ব্যাবেজ বলেন, নতুন প্রজন্মের অনেক হ্যাকার ভিডিও গেমের জগৎ থেকেই সাইবার অপরাধে জড়িয়ে পড়ছে।
তিনি বলেন, 'তারা বুঝতে পারছে, সহায়তা ডেস্ককে ঠকিয়ে কোনো প্রতিষ্ঠানে প্রবেশ করাটা তাদের জন্য সম্ভব।'
একবার ভেতরে ঢুকে পড়তে পারলেই, তারা ডার্ক ওয়েব থেকে কেনা র্যানসমওয়্যার ব্যবহার করে তথ্য চুরি করে এবং পুরো সিস্টেম লক করে দেয়।
ব্যাবেজ বলেন, 'র্যানসমওয়্যার এখন সবচেয়ে বড় সাইবার হুমকি। এটি এককভাবে জাতীয় নিরাপত্তার জন্য হুমকি, শুধু যুক্তরাজ্যের জন্য নয়, সারা বিশ্বের জন্য।'
এই বিষয়ে অন্যান্য বিশ্লেষকরাও একমত।
২০২৩ সালের ডিসেম্বর মাসে যুক্তরাজ্যের সংসদের জাতীয় নিরাপত্তা কৌশল সংক্রান্ত যৌথ কমিটি সতর্ক করে বলেছিল—'যেকোনো সময়' একটি 'বিপর্যয়কর র্যানসমওয়্যার হামলা' ঘটতে পারে।
এ বছর শুরুর দিকে জাতীয় নিরীক্ষা দপ্তর (এনএও) জানায়, যুক্তরাজ্যের ওপর এই হুমকি গুরুতর এবং তা দ্রুত বাড়ছে।
রিচার্ড হর্ন বলেন, প্রতিটি কোম্পানির উচিত প্রতিটি সিদ্ধান্তে সাইবার নিরাপত্তাকে সর্বোচ্চ গুরুত্ব দেওয়া।
জেমস ব্যাবেজ বলেন, তিনি ভুক্তভোগীদের মুক্তিপণ না দেওয়ার পরামর্শ দেন। 'প্রতিটি ভুক্তভোগীকে নিজেদের সিদ্ধান্ত নিতে হয়, তবে মুক্তিপণ দেওয়াটাই এই অপরাধকে আরও উৎসাহিত করে।'
সরকার ইতোমধ্যে প্রস্তাব দিয়েছে—সরকারি প্রতিষ্ঠানগুলোর জন্য মুক্তিপণ দেওয়া নিষিদ্ধ করা হবে। আর বেসরকারি প্রতিষ্ঠানগুলোকে হয়তো বাধ্যতামূলকভাবে হামলার ঘটনা জানাতে হবে এবং মুক্তিপণ দিতে হলে সরকারের অনুমতি নিতে হবে।
নর্থ্যাম্পটনশায়ারে ফিরে গেলে দেখা যায়, কেএনপির সাবেক কর্মকর্তা পল অ্যাবট এখন সাইবার অপরাধ নিয়ে সচেতনতামূলক বক্তৃতা দিচ্ছেন অন্য ব্যবসায়ীদের উদ্দেশে।
তিনি বলেন, প্রতিটি প্রতিষ্ঠানের উচিত প্রমাণ রাখা যে তাদের আইটি নিরাপত্তা হালনাগাদ রয়েছে—এক ধরনের 'সাইবার এমওটি' (যেমন গাড়ির সুরক্ষা পরীক্ষা) চালু থাকা দরকার।
'এমন কিছু নিয়ম থাকা দরকার, যা কোম্পানিগুলোকে অপরাধ প্রতিরোধে আরও সক্ষম করে তুলবে'—বলেন তিনি।
তবে কেএনপির বীমা কোম্পানির নিযুক্ত সাইবার বিশেষজ্ঞ পল ক্যাশমোর মনে করেন, এখনও অনেক প্রতিষ্ঠান হ্যাকারদের টাকা দিয়ে দিচ্ছে এবং এসব ঘটনা গোপন রাখছে।
তিনি বলেন, 'যখন সবকিছু হারানোর ভয় থাকে, তখন অনেক কোম্পানি অপরাধীদের কাছে মাথা নত করে। এটি সংগঠিত অপরাধ। আমি মনে করি, অপরাধীদের ধরার ক্ষেত্রে খুব বেশি অগ্রগতি হয়নি, তবে এর প্রভাব ভয়াবহ।'
