যেভাবে চুরি/হ্যাক করা হয়েছে বাংলাদেশ ব্যাংকের টাকা – HOW THEY HACKED BANGLADESH BANK RESERVE ACCOUNT

ঘটনা:  ফেব্রুয়ারী ২০১৬ তে বাংলাদেশে ব্যাংকে হ্যাকাররা অাক্রমন চালায়, এর অাগে তারা অনেক বার প্রাকটিস করে অ্যাটাক এর । বাংলাদেশে এটি প্রথম অ্যাটাক না এর অাগে সোনালী ব্যাংক থেকে হ্যাকার রা $250,000 ডলার চুরি করে ২০১৫ সালে । যাইহোক, হ্যাকার রা শুক্রবার কে টার্গেট করে কারন এটা ছুটির দিন ছিলো তাই অফিসে কেউ থাকবে না বলে । তারা বাংলাদেশ ব্যাংকের অ্যাকাউন্টের তথ্য ব্যবহার করে Federal Reserve Bank of New York এ পেমেন্টের অর্ডার পাঠায়, Federal Reserve Bank of New York দেখতে পায় একই ব্যাংকের অ্যাকাউন্ট থেকে অনেক রিকোয়েস্ট অাসছে তাই তাদের সন্দোহ হয় এবং তারা পেমেন্ট পাঠানো বন্ধ করে কিন্তু এটা তাদের বুঝতে যতটা সময় লাগে ততক্ষনে ৫টি সফল ট্রানসেকশান করে ফেলতে সক্ষম হয় হ্যাকার রা । ফলে $101 million ডলার টাকা পেমেন্ট হয়ে যায় শ্রীলংকা এবং ফিলিপাইনের কিছু ব্যাংক অ্যাকাউন্টে ।পরবর্তীতে বাংলাদেশ ব্যাংক শ্রীলংকাতে ট্রান্সফার করা টাকা হতে ২০ মিলিয়ন এবং ফিলিপাইনের টাকা হতে ১৮ মিলিয়ন রিকোভার করতে সক্ষম হয় ।

কিভাবে চুরি হয়?

যতদূর জানা গেছে, Dridex নামক একটি ম্যালওয়্যার ব্যবহার করে কাজ টা করা হয় । এর অাগে অামি একটি লেখাতে ম্যালওয়্যার এবং র‍্যানসমওয়্যার নিয়ে লিখেছিলাম । লেখাটি পড়তে পারেন, যাইহোক বাংলাদেশ ব্যাংকের নেটওয়ার্কে এই ম্যালওয়্যারটি ইমেইল কিংবা জাভাস্ক্রিপ্ট কিংবা কারো সহযোগীতাতে প্রবেশ করানো হয় । এটি ট্রোজান শ্রেনীর অন্তর্গত তাই এর প্রধান সুবিধা হলো যে কম্পিউটারে এটি যাবে তার নিয়ন্ত্রন হ্যাকারের হাতে চলে যাবে ( র‍্যাটের মতন ) ।  তো এটি সিস্টেমে প্রবেশ করানোর পর ট্রোজানের মাধ্যমে হ্যাকার রা বাংলাদেশ ব্যাংকের কম্পিউটারে প্রবেশ করে এবং অ্যাকাউন্টের তথ্য সংগ্রহ করে । এর পর SWIFT নেটওয়ার্ক ( যা বিশ্বের অনেক ব্যাংক নিজেদের গোপনীয় ট্রানসেকশান করতে ব্যবহার করে ) ব্যবহার করে তারা অ্যাকাউন্টের তথ্য ব্যবহার করে পেমেন্ট রিকোয়েস্ট পাঠায় । প্রথম ৫ টি পেমেন্ট দেবার পর রিকোয়েস্টে ভুল তথ্য থাকায় Federal Reserve Bank of New York এর সন্দোহ হয় তাই তারা ট্রানসেকশান বন্ধ করে দেয় ।  টাকা প্রথমে ক্যাসিনো তে এবং কিছু টাকা পরবর্তীতে হংকং এ পাঠানো হয় ।

কিভাবে ধরা পরে যে হ্যাকার রা করছে?

প্রতিটা ট্রানসেকশানেই কিছু না কিছু ভুল ছিলো কিন্তু হ্যাকার রা যখন শ্রীলংকাতে টাকা পাঠানো শুরু করে তখন pan asia bank যা শ্রীলংকার একটি ব্যাংক তাদের নজরে অাসে, শ্রীলংকার মত ছোট দেশের জন্য এতো বড় ট্রান্সফার ! তখন তারা Deutsche Bank কে ব্যাপারটি জানায় এবং Deutsche Bank দেখে পেমেন্ট অর্ডারে  foundation ্‌ এর বদলে Fundation লেখা যা ভুল শব্দ । তখন তারা বাংলাদেশ ব্যাংকের কাছে এমন ভুল হবার কারন জানতে চান ।

বাংলাদেশ ব্যাংক পরবর্তীতে তাদের সিস্টেমে ম্যালওয়্যার খুজে পায় এবং জানতে পারে এটি জানুয়ারী তে সিস্টেমে ঢুকে এবং এরপর থেকে তথ্য সংগ্রহ

করতে থাকে ।

এবার সাধারন পাবলিক হিসাবে অামার বক্তব্য:

টাকা টা বাংলাদেশ ব্যাংকের সাইবার কিংবা অাইটি টিমেরও না, কিংবা বাংলাদেশ ব্যাংকের পরিচালকেরও এটি রিসার্ভ ফান্ড । মানে অাপনার অামার টাকা, কথা হলো তাদের মত নিবোর্ধ রা বাংলাদেশের এতো বড় একটা প্রতিষ্ঠানে কাজ করার সুযোগ পেলো কিভাবে ? যেখানে সোনালী ব্যাংকে চুরি হয়েছে তাদের তো সাবধান থাকার কথা । অার সব থেকে বড় কথা ম্যালওয়্যার অ্যাটাক হয় শুধু মাত্র তাদের ক্ষেত্রে যাদের এসম্পর্কে ধারনা শূন্য থাকে, এটি সাধারনত জাভাস্ক্রিপ্ট ফাইল বাইন্ড করা থাকে তো ইমেইলে অাসা এমন ফাইল তারা চেক না করে কেনোই ওপেন করেছে ?

১. নেটওয়ার্ক মনিটর করা হয় নি যদি হতো তবে দেখতে পেতো কারা সিস্টেমে অ্যাক্সেস করেছে কখন করেছে কি করেছে, অামার বিশ্বাস তাদের এমন মনিটরিং সিস্টেমও নেই ।

২. ট্রোজান এর প্রধান কাজ নিজে নিজে বংশ বিস্তার করা ( :পি ) তাহলে এটা বিস্তারের সময় কেন কারো নজরে অাসে নি ?

৩. ট্রোজান অ্যাটাকে পিসি স্লো হয়ে যায়, অনেক ফাংশন কাজ করে না ঠিক মতো তাহলে ১ মাসে তাদের এসব সমস্য হলেও কেন তারা ব্যবস্থা নিতে যায় নি ?

৪. পিসিতে কি অ্যান্টি ভাইরাস ছিলো ? থাকলে অামি ১০০% সিউর এটা বাংলাদেশ ব্যাংকের উচ্চ পদস্থ কোনো কর্মকর্তার বাপ ভাইয়ের কিংবা অাত্নীয়ের বানানো  অথবা অাউটডেটেড ।

৫. ট্রানশেকসান সিস্টেমে কেনো ভেরিফিকেশান পদ্ধতি রাখা হয় নি ? বাংলাদেশে সাধারন ক্রেডিট কার্ড দিয়ে ১০০০ ডলার তুলতে গেলেও ফোন করে জানাতে হয় ( বাপ দাদার ব্যাকগ্রাউন্ড সহ ) সে ক্ষেত্রে এত টাকা লেনদেনে কেনো অতিরিক্ত কোনো ব্যবস্থা নেয় নি ফেডারেল ব্যাংক ?

এরকম অসংখ্য অভিযোগ অাছে, কিন্তু অভিযোগ করে কি লাভ ক্ষোভই প্রকাশ পাবে টাকা ফেরত অাসবে না । সরকারের উচিত সুপার কম্পিউটার, ১৫ দিনে ডেভেলপার বানানোর মত হাস্যকর প্রজেক্টে হাত না দিয়ে অলরেডি যা অাছে সেই সিস্টেম কে অাগে উন্নত করা । একবার ভেবে দেখুনতো, NID Database কিংবা Biometric Registration ডাটা কেউ একদিন লিক করে ফেলে যদি কি হবে ?

সরকার বলেছে হবে না হাহাহা এদেশে কিছু না হওয়া পর্যন্ত কেউ হতে  যে পারে এটুকুও মানতে রাজি না  ।

লেখাটি ভালো লাগলে শেয়ার করবেন, অার লোভ লাগলে চুরি করে নিজের নামে চালিয়ে দিবেন,  চোর চুরি করবে এটাই স্বভাবিক 😉

লিখেছেন –

মো: জোবায়ের অালম, ফাউন্ডার, গ্রিনওয়েব বাংলাদেশ লিমিটেড ।