সম্প্রতি বাংলাদেশ ব্যাংকের বৈদেশিক মুদ্রার রিজার্ভ থেকে ৮০০ কোটি টাকা
লোপাটের ঘটনায় কিভাবে হ্যাকিং-টি হয়ে থাকতে পারে সে বিষয়ে ফেসবুক পোস্টে
নিজের ধারণা জানিয়েছেন সাংবাদিক মনজুর আহমেদ।
হলমার্কের চার হাজার কোটি টাকার ঋণ কেলেঙ্কারিসহ ব্যাংকিং খাতে অনেক কেলেঙ্কারি এবং নেপথ্যের খবর জানিয়ে আলোচিত দৈনিক প্রথম আলোর সাবেক এ বিশেষ প্রতিনিধি। অনুসন্ধানী প্রতিবেদনের জন্য গণমাধ্যমের প্রায় সকল পুরস্কারেই ভূষিত মনজুর।
ফেসবুকে তিনি লিখেছেন: অনেকদিন ধরে সকাল বেলা হাঁটি। গত কয়েকদিনে বেশ কয়েকজন বয়স্ক মানুষের সঙ্গে কথা হলো। তারা সবাই জানতে চান, কিভাবে বাংলাদেশ ব্যাংকের রিজার্ভ হ্যাক হলো? উনারা আমাকে সাংবাদিক হিসেবে জানেন অনেকদিন। কিন্তু আমার জানা ছিল না যে, আমাকে তারা এতোটা সুনির্দিষ্টভাবে চেনেন। এদের প্রায় সবার এক জিজ্ঞাসা, তারা ঠিক বুঝছেন না কিভাবে কি হলো? অথচ সবচেয়ে বেশি সময় ধরে উনারাই সংবাদপত্র পড়েন, টক-শো দেখেন। আমি আমার সাধ্যের মধ্যে জানা সব তথ্যই তাদের জানিয়েছি। মনে হলো, বিষয়টা সোস্যাল মিডিয়ায় পরিচিতদের সঙ্গেওতো বলা যায়।
মনজুর আহমেদ এ বিষয়ে যা লিখেছেন: বাংলাদেশ ব্যাংকের ফরেন এক্সচেঞ্জ রিজার্ভ ব্যবস্থাপনা করে দু’টি বিভাগ। প্রথমটি হলো, ‘এফআরটিএমডি‘ বা ফ্ররেক্স রিজার্ভ অ্যান্ড ট্রেজারি ম্যানেজমেন্ট বিভাগ। আর দ্বিতীয়টি ‘ব্যাক অফিস‘, মানে হলো- একাউন্টস অ্যান্ড বাজেটিং বিভাগ।
এফআরটিএমডি রিজার্ভ ম্যানেজমেন্ট করে, ডিলিং রুমের মাধ্যমে কেনা-বেচা করে। কখন ডলারে রাখতে হবে, কখন ইউরোতে, ইয়েনে কতো, বিভিন্ন দেশের ট্রেজারি বন্ডের রেট দেখে কোথায় বিনিয়োগ করলে, রাখলে বেশি লাভ করা যাবে সব এই এফআরটিএমডির মাধ্যমে হয়।
কিন্তু, এরা কোনো অর্থ ছাড় করতে পারে না এবং অর্থ ছাড়ের বিষয়ে কোনো প্রভাব বিস্তার করতে পারে না। এটি করে ব্যাক অফিস। এই দুই বিভাগের ব্যবস্থাপনা পৃথক। দু’জন জিএম দুটির দায়িত্বে। দুই বিভাগের নির্বাহী পরিচালক ও ডেপুটি গভর্নরও আলাদা।
হ্যাকিং হয়েছে ‘ব্যাক অফিসে‘। ব্যাক অফিসের চারটি (সংখ্যাটি কমবেশি হতে পারে) কম্পিউটারে দুই ধরনের নেটওয়ার্ক দেওয়া হয়েছিল। একটি হলো ‘সুইফ্ট’ আর একটি হলো ‘আরটিজিএস‘ বা রিয়েল টাইম গ্রস সেটেলমেন্ট। এই আরটিজিএসের সঙ্গে আমাদের ৫৬টি সরকারি-বেসরকারি ব্যাংক যুক্ত। আবার ৫৬ ব্যাংক ‘সুইফ্টে’ও যুক্ত।
বাংলাদেশ ব্যাংক বছর খানেকের বেশি সময় আগে যখন আরটিজিএস চালু করে, প্রায় তখন থেকেই সুইফ্ট এবং আরটিজিএস একই ডেস্কটপে চালু করা হয়। কিন্তু অনেকেই মনে করেন, ব্যাক অফিসের সুইফ্ট কানেকশন থাকা কম্পিউটারগুলোতে আরটিজিএস ব্যবহারের সুযোগ তৈরি করাটা ছিল আত্মঘাতি সিদ্ধান্ত। এ কারণেই হ্যাকিং সহজ হয়েছে বলে ধারণা করা হচ্ছে।
এখন পর্যন্ত যে রেকর্ড (অনেক কিছু মুছে ফেললেও হ্যাকাররা যা মুছতে পারেনি) পাওয়া যাচ্ছে, তাতে দেখা যাচ্ছে হ্যাকার প্রথম বাংলাদেশ ব্যাংকের সিস্টেমে ঢুকে ২৪ জানুয়ারি (২০১৬)। প্রথমদিন হ্যাকার বাংলাদেশ ব্যাংকের সিস্টেমে অবস্থান করে মাত্র ১৫ সেকেন্ড। দ্বিতীয়দিন ২৯ জানুয়ারি সিস্টেমে হ্যাকার থাকে ৩০-৩৫ সেকেন্ড, তৃতীয় দিন ২৯ জানুয়ারি ছিল ১ মিনিটের মত (অবস্থানের সময় কমবেশি হতে পারে)। আর ৪ ফেব্রুয়ারি রাত ১২ টা ৩১ মিনিটে হ্যাকার সিস্টেমে ঢুকে তার প্রয়োজনীয় কাজ সারে।
এখন পর্যন্ত ধারণা করা হচ্ছে, হ্যাকার ঢুকেছে চীন বা অন্য কোনো দেশ থেকে। হ্যাকার ঢোকে আরটিজিএসের নেটওয়ার্কে। কোনো একদিন, হয়ত প্রথমদিনই ঢুকেই সে সার্ভারে স্ক্যানার, রিডার, ট্রোজেন সফটওয়্যার বসিয়ে দেয়। পরে সব ডেটা বিশ্লেষণ করে সুইফ্ট সংযোগের কম্পিউটারগুলোর কোনো একটাতে কনসেনট্রেড করে। সেখানে স্ক্যানার ফিট করে রাখে।
এই কম্পিউটারে স্ক্যানার থাকা অবস্থায় কম্পিউটারটির ব্যবহারকারী কর্মকর্তা তার কম্পিউটারে সুইফ্ট নেটওয়ার্ক ব্যবহার করেন।
সুইফ্ট নেটওয়ার্কে ঢুকতে কর্মকর্তাকে প্রথম একটা এক্সেস কার্ড অর্থাৎ একটা পেনড্রাইভের মত ডিভাইজ কম্পিউটারে ঢুকাতে হয়। এক্সেস কার্ড ঢোকানোর পর একটা পাসওয়ার্ড দিতে হয়। তারপর কর্মকর্তা সুইফট নেটওয়ার্কে ঢুকতে পারেন।
হ্যাকারের স্কানারে সবগুলোই রেকর্ড হতে থাকে। এবার সে ক্লোন করা এক্সেস কার্ড ও পাসকোর্ড দিয়ে সুবিধাজনক সময়ে তার কাজ সারে।
একই মেশিনে আরটিজিএস ও সুইফট নেটওয়ার্ক থাকায় কার্যত কোনো ফায়ারওয়াল ছিল না। এটা হ্যাকারের জন্য সহজ হয়। তবে আরো কয়েকটি দেশে সুইফ্টের সঙ্গে অন্য নেটওয়ার্ক একই মেশিনে আছে বলেও কেউ কেউ দাবি করেন।
মূল হ্যাকার সাইটটিতে ঢুকে তথ্য-উপাত্ত পেয়ে বুঝে যায়, এখান থেকে আয় করা যাবে। হয়ত সে বিক্রি করে দেয়, কেননা টাকা হ্যান্ডেল করা সহজ কাজ না। লক্ষ লক্ষ তথ্যের মধ্য থেকে খুঁজে হ্যাকার ঠিক জায়গাতে পৌছে যায়।
নিউইয়র্কের ফেডারেল রিজার্ভে (ফেড বা আমেরিকার কেন্দ্রীয় ব্যাংক) বাংলাদেশ ব্যাংকের কারেন্ট বা নষ্ট্র (Nostro বা অন্য ব্যাংকে কোনো ব্যাংকের একাউন্ট) একাউন্টে কনসেনট্রেড করে হ্যাকার। সেখান থেকে হ্যাকার ইতিপূর্বে দেওয়া অ্যাডভাইজগুলোতে কেবল প্রাপক, হিসাব নম্বর, ব্যাংকের নাম এবং টাকার অংক পরিবর্তন করে অ্যাডভাইজ পাঠায়।
আমাদের দেশে আমরা যদি কোনো ব্যাংকের ওপর ক্রস চেক দেই, তাহলে প্রাপক তার হিসাবে তা জমা করেন। জমা হওয়ার পর শাখা (যদি ওই শাখায় সুযোগ থাকে) শুধু স্ক্যান করে তা কেন্দ্রীয় ব্যাংকের অর্থাত বাংলাদেশ ব্যাংকের অটোমেটেড ক্লিয়ারিং হাউজে ইমেজটা পাঠায়ে দেয়। এই ইমেজের ওপর চেকটা ক্লিয়ার হয়ে অর্থ স্থানান্তরের নির্দেশনাটি চলে যায় প্রাপকের ব্যাংকের হিসাবে। এটা পুরোপুরি অটোমেটেড ব্যবস্থা। অনেকগুলো লেনদেনের স্থিতিটা একটা নির্দিষ্ট সময়ে এসে দুই ব্যাংকের মধ্যে কেন্দ্রীয় ব্যাংকে রক্ষিত দুই ব্যাংকের হিসাব থেকে নিষ্পত্তি হয়।
বাংলাদেশ ব্যাংকের ব্যাক অফিস থেকে হ্যাকার একটি কম্পিউটার হ্যাকের মাধ্যমে যে অ্যাডভাইজ ফেডের কাছে পাঠিয়েছে ঠিক ক্রস চেকের মত তা ক্লিয়ার হয়ে গেছে। পাঁচটি অ্যাডভাইজ পর্যন্ত ফেড সিস্টেম সেটেল করেছে। কিন্তু একই জাতীয় অ্যাডভাইজ বা অন্য কোনো কারণে সিস্টেমের কাছে ‘এরর‘ বা সাসপিশাস‘ (সন্দেহজনক) রিডিং হওয়ায় সিস্টেম বাকি ৩০টা অ্যাডভাইজ ব্লক করে। ব্লক করে ফেড সিস্টেম স্বয়ংক্রিয়ভাবে তার ব্যাক অফিসকে অ্যালার্ট পাঠায়। ব্যাক অফিস এই অ্যালার্ট পেয়ে বাংলাদেশ ব্যাংককে ইমেইল বার্তা পাঠায়।
বাংলাদেশ ব্যাংক যখন কোনো অর্থ ছাড় করার বা এ জাতীয় কোনো অ্যাডভাইজ ফেড বা অন্য কোথাও সংরক্ষিত অর্থ ছাড় করতে অ্যাডভাইজ পাঠায় তখন ব্যাক অফিসের প্রিন্টার একটা প্রিন্ট অটো জেনারেট করে। সেটা প্রিন্ট আকারে চলে আসে। সেটিও নির্দিষ্ট ফাইলে সংরক্ষণ করা হয়।
কিন্তু হ্যাকার আগেভাগে এই প্রিন্টারকে ডিজাবল বা নিস্ক্রিয় করে। ফলে যখন ৪ তারিখ রাত ১২ টা ৩১ মিনিটে অ্যাডভাইজগুলো পাঠায় তখন কোনো প্রিন্ট হয়নি। ধারণা করা হয়, হ্যাকার চীন বা বিশ্বের যেখান থেকেই হোক অ্যাডভাইজ পাঠানোর আগে সেখান বসেই এ কম্পিউটারগুলো খোলা ও বন্ধ করার সমস্ত ক্ষমতা হ্যাকারের হাতের মধ্যে নিয়ে নিয়েছিল। অ্যাডভাইজগুলো দিয়ে কম্পিউটারকে এমনভাবে বন্ধ করে যে, স্বাভাবিক প্রক্রিয়াতে খোলার পথ বন্ধ হয়।
বাংলাদেশ ব্যাংকের ব্যাক অফিসের কর্মকর্তারা ৫ ফেব্রুয়ারি অফিসে যে কারণে কম্পিউটারগুলো খুলতে পারেনি। তারা চেষ্টা করে, কিন্তু ব্যর্থ হয়। ওইদিন শুক্রবার থাকায় আইটি সেকশন আসেনি। জানা যায়, পরেরদিন তারা আইটির সহযোগীতায় কম্পিউটারগুলো খুলে আবিস্কার করে হ্যাকিংয়ের ভয়াবহ তথ্য।
হ্যাকিং আবিস্কার হওয়ার পর কেন্দ্রীয় ব্যাংক সবগুলো সুইফ্ট নেটওয়ার্কের কম্পিউটার থেকে আরটিজিএস নেটওয়ার্ক ডিসকানেক্ট করেছে। তফসিলি ব্যাংকগুলোও সেটা করেছে বলে জানা গেছে।
