ম্যালওয়্যার সুরক্ষা: ৩০ দিনে ছোট ব্যবসাকে নিরাপদ করার পরিকল্পনা

মিরপুরের এক ডারাজ সেলার একদিন সকালে ইনবক্সে একটা ফাইল পেলেন — “courier_invoice.pdf.exe”। পাঠিয়েছেন এক “কাস্টমার”, ভাষা ভদ্র, বাংলায় লেখা। ফাইলটা খোলার ঠিক চল্লিশ মিনিট পর তাঁর ল্যাপটপের সব প্রোডাক্ট ছবি, সব ইনভয়েস আর গত দুই বছরের হিসাবের এক্সেল ফাইলগুলো এনক্রিপ্ট হয়ে গেল। ডেস্কটপে শুধু একটা টেক্সট ফাইল — ৮০০ ডলার, ক্রিপ্টোতে, ৭২ ঘণ্টার মধ্যে।

এখানে যে জিনিসটা মনে রাখার মতো, সেটা হলো: তাঁর কম্পিউটারে অ্যান্টিভাইরাস ছিল। ইনস্টল করা ছিল, কিন্তু বন্ধ করা ছিল — কারণ ছয় মাস আগে একটা ক্র্যাক করা ফটো এডিটর চালাতে গিয়ে অ্যান্টিভাইরাস “বাধা” দিচ্ছিল, তাই সেটা অফ করে দিয়েছিলেন। ম্যালওয়্যার সুরক্ষার আসল গল্পটা এখানেই। সফটওয়্যার কেনা সহজ; অভ্যাস বদলানো কঠিন। আর ম্যালওয়্যার সবসময় অভ্যাসের ফাঁক দিয়েই ঢোকে।

এই লেখাটা টুলের তালিকা নয়, একটা ৩০ দিনের রুটিন — যা একজন ফ্রিল্যান্সার, একটা ছোট ই-কমার্স দোকান বা পাঁচজনের একটা এজেন্সি নিজেরাই চালাতে পারবে, বাড়তি লোক না নিয়ে।

ম্যালওয়্যার আসলে চারটা দরজা দিয়ে ঢোকে

বাংলাদেশে ছোট প্রতিষ্ঠানে সংক্রমণের পথ প্রায় সবসময়ই এই চারটার একটা: এক, ক্র্যাক করা সফটওয়্যার আর nulled ওয়ার্ডপ্রেস থিম-প্লাগিন। দুই, ইমেইল বা মেসেঞ্জারে আসা ফাইল। তিন, দোকান-অফিস ঘুরে বেড়ানো পেনড্রাইভ। চার, আপনার নিজের অবহেলিত ওয়েবসাইট, যেটা মাসের পর মাস আপডেট হয়নি। যা কিছু করবেন, এই চার দরজা ধরেই করবেন — বাকি সব পরে।

পুরো প্ল্যানে খরচ শূন্যের কাছাকাছি। যে টুলগুলোর নাম আসবে, তার প্রায় সবই ফ্রি অথবা আপনার উইন্ডোজের ভেতরেই আছে।

দিন ১–৩: রক্তক্ষরণ বন্ধ করুন

প্রথম তিন দিন শুধু সহজ দরজাগুলো বন্ধ করার। Windows Update চালু করে জমে থাকা সব আপডেট বসিয়ে ফেলুন — একটা রিস্টার্ট বাঁচাতে গিয়ে মানুষ যে ঝুঁকি নেয়, সেটা হাস্যকর। এরপর Windows Security খুলে দেখুন Microsoft Defender চালু আছে কি না। অনেকের কাছে অবাক লাগবে, কিন্তু Defender এখন আর দুর্বল কিছু নয় — স্বাধীন পরীক্ষায় এটা নামি পেইড অ্যান্টিভাইরাসের কাছাকাছিই পারফর্ম করে। সমস্যা Defender-এর মান নিয়ে নয়, সমস্যা হলো মানুষ ওটা নিজে হাতে বন্ধ করে রাখে।

• Malwarebytes-এর ফ্রি ভার্সন দিয়ে একবার ফুল স্ক্যান দিন — এটাকে দ্বিতীয় অ্যান্টিভাইরাস হিসেবে নয়, একবারের “সেকেন্ড ওপিনিয়ন” হিসেবে ব্যবহার করুন।
• ব্রাউজারে uBlock Origin বসান। ম্যালভার্টাইজিং — অর্থাৎ বিজ্ঞাপনের ভেতর দিয়ে ম্যালওয়্যার — এখন বড় একটা পথ, বিশেষ করে সার্চে “Zoom download” বা “Photoshop free” লিখলে যে স্পনসরড লিংকগুলো আসে।
• কম্পিউটারে যদি “PC Cleaner”, “Driver Booster”, “Registry Fix” জাতীয় কিছু ইনস্টল করা থাকে, আজই আনইনস্টল করুন। এদের বেশিরভাগ নিজেই সমস্যা, সমাধান নয়।

দিন ৪–১০: ক্র্যাক সফটওয়্যারের হিসাবটা করে ফেলুন

এই সপ্তাহটাই সবচেয়ে অস্বস্তিকর, কারণ এখানে টাকার কথা আসবে। বাস্তবতা হলো, ক্র্যাক বা KMS অ্যাক্টিভেটর কাজ করানোর জন্য আপনাকে অ্যান্টিভাইরাস বন্ধ করতে হয়। এটাই ফাঁদ — আপনি নিজেই দরজা খুলে দিচ্ছেন, আর ভেতরে কী ঢুকছে তা দেখার কোনো উপায় রাখছেন না। একই কথা nulled থিম-প্লাগিনের জন্য: বছরের পর বছর নিরাপত্তা গবেষকরা দেখাচ্ছেন, ফ্রি বিলি হওয়া প্রিমিয়াম থিমের বড় একটা অংশে লুকোনো ব্যাকডোর থাকে, যেটা ছয় মাস চুপচাপ বসে থেকে তারপর আপনার সাইটে স্প্যাম লিংক বসায়।

খরচের অঙ্কটা মিলিয়ে দেখুন। একটা ভালো ওয়ার্ডপ্রেস থিমের লাইসেন্স বছরে ৬০ ডলারের কাছাকাছি — টাকায় সাত-আট হাজার। অফিস স্যুটের বদলে LibreOffice ফ্রি, ফটোশপের অনেক কাজ Photopea বা GIMP দিয়ে বিনামূল্যেই হয়, ডিজাইনের জন্য Canva-র ফ্রি টিয়ার বেশিরভাগ ছোট দোকানের জন্য যথেষ্ট। এর বিপরীতে র‍্যানসমওয়্যারের একটা ঘটনায় খরচ: হারানো ডেটা, বন্ধ থাকা দোকান, নতুন করে সব সাজানো — সহজেই লাখ টাকা ছাড়িয়ে যায়। বছরে আট হাজার টাকা বাঁচানোর জন্য এই বাজি ধরাটা ব্যবসায়িক সিদ্ধান্ত হিসেবেও খারাপ।

দিন ১১–১৭: ব্যাকআপ, এবং সেটা ফিরিয়ে আনার মহড়া

ম্যালওয়্যার সুরক্ষার সবচেয়ে কম আকর্ষণীয় কিন্তু সবচেয়ে কার্যকর অংশ এটাই। যাঁর কাজের ব্যাকআপ আছে, র‍্যানসমওয়্যার তাঁর কাছে একটা বিরক্তিকর বিকেল। যাঁর নেই, তাঁর কাছে সেটা ব্যবসার শেষ। নিয়মটা পুরোনো এবং এখনো অকাট্য — তিন কপি ডেটা, দুই রকম মাধ্যমে, এক কপি আলাদা জায়গায়।

• ক্লাউড কপি: Google Drive বা OneDrive। এদের ভার্সন হিস্ট্রি থাকায় ফাইল এনক্রিপ্ট হয়ে গেলেও আগের ভার্সনে ফিরে যাওয়া যায় — এটা অনেকেই জানেন না।
• ঠান্ডা কপি: একটা এক্সটার্নাল হার্ডডিস্ক, যেটা কপি করার পর খুলে রাখবেন। যে ড্রাইভ সবসময় প্লাগ করা থাকে, র‍্যানসমওয়্যার সেটাও এনক্রিপ্ট করে ফেলে।
• ওয়েবসাইট: UpdraftPlus দিয়ে সপ্তাহে একবার ব্যাকআপ, গন্তব্য Google Drive। হোস্টিং কোম্পানির ব্যাকআপকে নিজের ব্যাকআপ ভাববেন না — সার্ভার গেলে ওটাও যাবে।

আসল পরীক্ষা ব্যাকআপ নেওয়া নয়, ফেরানো। এই সপ্তাহের শেষে একটা মহড়া দিন: একটা ফোল্ডার মুছে ফেলে ব্যাকআপ থেকে ফিরিয়ে আনুন, এবং ঘড়ি ধরে দেখুন কত সময় লাগল। যদি ৩০ মিনিটের মধ্যে না পারেন, তাহলে আপনার ব্যাকআপ আসলে ব্যাকআপ নয় — একটা আশা।

মাইলস্টোন: দুই সপ্তাহ শেষে আপনি নিজের হাতে অন্তত একবার ডেটা রিস্টোর করে দেখেছেন। এই একটা কাজ বাকি সব ধাপের চেয়ে বেশি রাত ঘুমাতে দেবে।

দিন ১৮–২৪: ওয়েবসাইটের দরজা

আপনার ওয়ার্ডপ্রেস সাইটটা ২৪ ঘণ্টা খোলা একটা দোকান, যার সামনে দিয়ে দিনে হাজারবার বট হেঁটে যায়। সংক্রমণের লক্ষণগুলো চিনে রাখুন: গুগলে নিজের সাইটের নাম সার্চ করলে অদ্ভুত জাপানি বা ইংরেজি স্প্যাম টেক্সট দেখাচ্ছে; মোবাইল থেকে ঢুকলেই অন্য সাইটে রিডাইরেক্ট হচ্ছে; ড্যাশবোর্ডে অচেনা অ্যাডমিন ইউজার; uploads ফোল্ডারে .php ফাইল — যেখানে কখনোই .php থাকার কথা নয়।

• Wordfence-এর ফ্রি ভার্সন বসান, আর Sucuri SiteCheck দিয়ে বাইরে থেকে একবার স্ক্যান করুন।
• wp-config.php-তে DISALLOW_FILE_EDIT যোগ করুন, যাতে অ্যাডমিন প্যানেল থেকে কেউ সরাসরি কোড লিখতে না পারে।
• যে প্লাগিনগুলো ব্যবহার করছেন না, ডিঅ্যাক্টিভেট নয় — ডিলিট করুন। নিষ্ক্রিয় প্লাগিনও শোষণযোগ্য।
• PHP ভার্সন হালনাগাদ রাখুন এবং Cloudflare-এর ফ্রি প্ল্যানে সাইটটা বসিয়ে দিন; মৌলিক বট-ফিল্টারিংটুকু বিনামূল্যেই পাবেন।

দিন ২৫–৩০: মানুষ, ওটিপি আর প্রথম এক ঘণ্টা

সবচেয়ে দামি আক্রমণগুলো কোনো ভাইরাস দিয়ে হয় না, হয় একটা বিশ্বাসযোগ্য মেসেজ দিয়ে। “আপনার পেজ কপিরাইট লঙ্ঘন করেছে, ২৪ ঘণ্টার মধ্যে আপিল করুন” — লিংকে ক্লিক করলে একটা ফাইল নামে, ফাইলটা আপনার ব্রাউজারের সেশন কুকি চুরি করে, আর পরদিন সকালে আপনার ফেসবুক বিজনেস অ্যাকাউন্ট থেকে অচেনা কারও বিজ্ঞাপন চলছে — আপনার কার্ডে। পাসওয়ার্ড ঠিকই ছিল; ওরা পাসওয়ার্ড চায়নি, সেশনটা চুরি করেছে।

• এসএমএস-এর বদলে অথেনটিকেটর অ্যাপ দিয়ে টু-ফ্যাক্টর চালু করুন — ফেসবুক, জিমেইল, হোস্টিং প্যানেল, সব জায়গায়।
• Bitwarden-এর ফ্রি ভার্সনে সব পাসওয়ার্ড আলাদা করুন। একটা সাইট ফাঁস হলে যেন বাকি সব না পড়ে যায়।
• কেউ ওটিপি চাইলে সে প্রতারক — bKash, Nagad, ব্যাংক, কেউই ফোনে ওটিপি চায় না। ব্যতিক্রম নেই, ব্যাখ্যা নেই।
• ফোনে প্লে স্টোরের বাইরের এপিকে ইনস্টল করবেন না। “মডেড” অ্যাপ আর “হ্যাক টুল” — বাংলাদেশে মোবাইল ম্যালওয়্যারের সবচেয়ে বড় উৎস এখন এগুলোই।

সংক্রমণ ধরা পড়লে প্রথম এক ঘণ্টার কাজটা ঠিক করে রাখুন: মেশিনটা নেটওয়ার্ক থেকে খুলে ফেলুন (ওয়াইফাই অফ, ক্যাবল খুলুন), কিন্তু ফরম্যাট করার আগে থামুন। অন্য একটা পরিষ্কার ডিভাইস থেকে ইমেইল, ব্যাংক আর ফেসবুকের পাসওয়ার্ড বদলান এবং সব সেশন লগআউট করুন। ব্যাংককে জানান। মুক্তিপণ দেবেন না — টাকা দিয়েও ফাইল ফেরত পাওয়ার নিশ্চয়তা নেই, আর একবার দিলে আপনি তালিকায় “যে দেয়” হিসেবে উঠে যান। তারপর ব্যাকআপ থেকে রিস্টোর করুন।

যেগুলো নিয়ে মাথা ঘামাবেন না

• দুটো অ্যান্টিভাইরাস একসাথে চালানো। এতে সুরক্ষা দ্বিগুণ হয় না, শুধু কম্পিউটার ধীর হয় আর দুটো একে অপরকে ব্লক করে।
• “স্পিড বুস্টার”, রেজিস্ট্রি ক্লিনার, র‍্যাম অপটিমাইজার — ২০২৬ সালে এসে এগুলোর কোনো বৈধ কাজ নেই।
• ভিপিএন কিনে ভাবা যে ম্যালওয়্যার আটকাবে। ভিপিএন আপনার ট্রাফিক লুকায়, ফাইল স্ক্যান করে না।
• দামি সিকিউরিটি স্যুট, যেটা আপনি কনফিগার করবেন না। কনফিগার না করা টুলের চেয়ে চালু রাখা Defender ভালো।

বুঝবেন কীভাবে যে আপনি ট্র্যাকে আছেন

• অফিসের কোনো মেশিনে ক্র্যাক করা সফটওয়্যার আর নেই, এবং কেউ অ্যান্টিভাইরাস অফ করে রাখেনি।
• গত ৩০ দিনে অন্তত একবার আপনি ব্যাকআপ থেকে ফাইল ফিরিয়ে এনেছেন।
• আপনার আর টিমের সব গুরুত্বপূর্ণ অ্যাকাউন্টে অথেনটিকেটর-ভিত্তিক টু-ফ্যাক্টর চালু।
• সন্দেহজনক ফাইল এলে টিমের যে কেউ জানে কী করতে হবে — খুলবে না, ফরোয়ার্ড করবে না, স্ক্রিনশট নিয়ে জিজ্ঞেস করবে।

যেসব প্রশ্ন সবচেয়ে বেশি আসে

শুধু Windows Defender-ই কি যথেষ্ট? বেশিরভাগ ছোট ব্যবসার জন্য হ্যাঁ — যদি সেটা চালু থাকে, উইন্ডোজ আপডেটেড থাকে, আর আপনি ক্র্যাক সফটওয়্যার না চালান। এই তিনটার একটাও না মানলে দুনিয়ার কোনো অ্যান্টিভাইরাসই যথেষ্ট নয়।

সাইট হ্যাক হলে ওয়ার্ডপ্রেস নতুন করে ইনস্টল করলেই কি হবে? না। ব্যাকডোর সাধারণত থিম, প্লাগিন বা uploads ফোল্ডারে লুকিয়ে থাকে, আর ডেটাবেজে অচেনা অ্যাডমিন ইউজার বসানো থাকে। কোর ফাইল বদলালেও ওগুলো থেকে যায় এবং কয়েক দিন পর আবার ফিরে আসে।

মোবাইলে অ্যান্টিভাইরাস অ্যাপ দরকার আছে? সাধারণত না। প্লে স্টোরের বাইরে থেকে অ্যাপ ইনস্টল না করা, অ্যাপের পারমিশন দেখে দেওয়া আর সিস্টেম আপডেট রাখা — এই তিনটাই যেকোনো মোবাইল অ্যান্টিভাইরাসের চেয়ে বেশি কাজে দেয়।

মুক্তিপণ দিলে ফাইল ফেরত পাব? কখনো কখনো পান, প্রায়ই পান না, আর পেলেও অর্ধেক ফাইল নষ্ট থাকে। দ্বিতীয়বার আপনাকেই আবার টার্গেট করা হওয়ার সম্ভাবনাও বেড়ে যায়। উত্তরটা সবসময়ই — ব্যাকআপ।

ওয়েবসাইটের নিরাপত্তা, হোস্টিং হার্ডেনিং আর হ্যাক হওয়া সাইট পরিষ্কার করার কাজ স্ট্যাক অ্যালিক্স নিয়মিত করে। নিজের সাইটটা নিয়ে দুশ্চিন্তা হলে একবার আমাদের দিয়ে দেখিয়ে নিন — সমস্যা ধরা পড়ার আগেই ধরা পড়া ভালো।