দশ বছর আগে ২০০৯ সালে রাশিয়া, ইউক্রেন, এস্তোনিয়া মানে তৎকালিন রাশিয়ার ২৮০ টা শহরের ২১০০০ এটিএম মেশিন হ্যাক হয় ১০ ঘন্টার মধ্যে ঠিক একই কায়দায় যা ডাচ-বাংলা ব্যাংকে ঘটে গেল কয়দিন আগে। এবং কারণও একই, এটিএম এর অপারাটিং সিষ্টেমের দূর্বলতা। নিচে দুইটা খবরে লিংক দিলাম রাশিয়ার ঐ ঘটনার।

Diebold ATMs in Russia targeted with malware

Four hackers indicted in RBS WorldPay breach

আইটি ইঞ্জিনিয়ার মাত্রই সবাই জানে যে উইন্ডোজ এক্সপি কতটা ঝুঁকিপূর্ণ বর্তমান সময়ে আর মাইক্রসফট নিজেও এর সাপোর্ট বন্ধ করে দিয়েছে এবং এক্সপিকে নিরাপত্তার কারণে বাতিল ঘোষণা করেছে। আসলে এটিএম মেশিনগুলোর ভেতরে থাকে কার্ড রিডার, নোট ডিসপেনসার আর একটা পিসি বা সিপিইউ। রাশিয়ার যে মেশিনগুলো হ্যাক হয়েছিল সেগুলোর সিপিইউতে ছিল উইন্ডোজ এক্সপি এবং একই ওএস এ চলত ডাচ-বাংলার এটিএমগুলো। নামকরা এটিএম মেশিনগুলো যেমন NCR, Diebold তারা অনেক আগেই এসব দূর্বলতা দুর করেছে অনেক বছর আগেই। সমস্যা হয়েছে যে ডাচ-বাংলার মত কিছু ব্যাংক এখনও কমদামি চায়নিজ মেশিন বা বাংলাদেশে চায়নিজ মেশিন এনে অ্যাসেম্বেল করা এটিএম মেশিন মুড়ির মত কিনে যত্রতত্র বসিয়ে রেখেছে যার ভেতরে দেখা যায় ক্লোন সিপিইউ ও উইন্ডোজ এক্সপি চলে। নামিদামি এটিএম মেশিনগুলোর ভেতরের সিপিইউ থাকে এম্বেডেড টাইপের মানে সেখানে কোন এক্সটারনাল পোর্ট থাকে না এবং অপারেটিং সিস্টেম থাকে লাইসেন্স সহ এবং হার্ডেনড করা মানে যাতে কোন কনফিগারেশন পরিবর্তন করা বা নতুন কোন কিছু ইনষ্টল করা না যায়। এন্টায়ার ডিস্ক এনক্রিপ্ট করা থাকে বিট-লকারের মত সিস্টেম দ্বারা এবং বিহেভিয়ারল অ্যানালিটিকস সমৃদ্ধ Host Based IPS (Intrusion Prevention System) দিয়ে সুরক্ষিত। আর এটিএম এর অ্যাপ্লিকেশন চলে প্রসেসরের TEE (Trusted Execution Environment) এর ভেতরে যাতে কোন ম্যালওয়্যার দিয়ে সিপিইউ সংযুক্ত কার্ড রিডার বা নোট ডিসপেন্সার নিয়ন্ত্রণ করা না যায়। সেখানে একটা ক্লোন সিপিইউতে এসব নিরাপত্তা ব্যাবস্থা কখনই সম্ভব না।

কথা হল যে ব্যাংকের আইটি এক্সপার্টরা কি এসব জানত না, অবশ্যই জানত। সমস্যা হল ব্যাংকের ম্যানেজমেন্ট, প্রকিউরমেন্ট ও অডিট ডিপার্টমেন্ট। আমাদের দেশের ম্যানেজমেন্ট এখনও সফটওয়্যার চালাতে লাইসেন্স লাগে এটা মানতে নারাজ এবং অডিট ও প্রকিউরমেন্ট ডিপার্টমেন্ট বুঝে না যে কনফিগারেশন একই থাকলেও একটা ব্রান্ডেড সিপিইউ ও একটা ক্লোন সিপিইউ বা একটা Cisco সুইচ আর D-Link সুইচ এর মধ্যে অনেক পার্থক্য। অতএব নেটওয়ার্ক এর লেয়ার টু আর লেয়ার থ্রি এর আলাদা আলাদা নিরাপত্তা প্রদান সম্ভব হয়ে উঠে না। ভেন্ডর প্রভাইডেড পয়েন্ট টু পয়েন্ট ছাড়াও সার্টিফিকেট বেজড ভিপিএন টানেলিং এর মাধ্যমে এটিএমগুলো সার্ভারে সাথে কানেক্ট করা এবং প্রতিটা এটিএম কে ফায়ারওয়াল দিয়ে সুরক্ষিত করা অনেক ব্যায়সাপেক্ষ। তাই অনেক সময় ম্যানেজমেন্ট সস্তায় যতটুকু সম্ভব তা করতে যে বেশিরভাগ ক্ষেত্রেই Standard মেনে চলে না। আর সেখানেই হচ্ছে প্রধান দূর্বলতা বা নিরাপত্তার ঘাটতি। তা না হলে আমাদের মত প্রতিষ্ঠানে উইন্ডোজ এক্সপি প্রায় দুই বছর আগেই দুরিভূত করা হয়ে গেছে সেখানে ব্যাংকের এটিএম এর মত যায়গায় কিভাবে এখনও এক্সপি চলে।