ম্যালওয়্যার সুরক্ষা নিয়ে ৬টি ভুল ধারণা, যেগুলো আপনার ব্যবসাকে ঝুঁকিতে রাখছে

গত বছর ঢাকার একটা ছোট অনলাইন শপের মালিক আমাদের কাছে এসেছিলেন। সমস্যাটা শুনতে সহজ লাগছিল—ফেসবুক পেজের লিংক থেকে কাস্টমার সাইটে ঢুকলেই হঠাৎ একটা বেটিং সাইটে চলে যাচ্ছে, অথচ তিনি নিজের ল্যাপটপ থেকে সাইট খুললে সব ঝকঝকে, কোনো সমস্যা নেই। তাঁর প্রথম প্রশ্ন ছিল, ‘আমার তো অ্যান্টিভাইরাস আছে, হোস্টিংও নামকরা কোম্পানির—তাহলে এটা হলো কী করে?’ মজার ব্যাপার হলো, এই এক লাইনের প্রশ্নের ভেতরেই ম্যালওয়্যার সুরক্ষা নিয়ে প্রচলিত অন্তত তিনটা ভুল ধারণা লুকিয়ে ছিল।

বাংলাদেশে ছোট ব্যবসা, ফ্রিল্যান্সার কিংবা এজেন্সির সাইট যতবার আক্রান্ত হয়, তার বেশির ভাগের পেছনে কোনো জটিল ‘জিরো-ডে’ থাকে না। থাকে কিছু সাদামাটা ভুল বিশ্বাস, যেগুলোর ওপর ভর দিয়ে আমরা ধরে নিই—নিরাপদ আছি। নিচে সেই ছয়টা ধারণা ধরে ধরে ভাঙা হলো, আর প্রতিটার সাথে বলা আছে বাস্তবে ঠিক কী করলে ঝুঁকিটা সত্যিই কমে।

ভুল ধারণা ১: অ্যান্টিভাইরাস ইনস্টল করা আছে মানেই আমি সুরক্ষিত

পুরোনো ধাঁচের অ্যান্টিভাইরাস কাজ করে সিগনেচার মিলিয়ে—অর্থাৎ যে ম্যালওয়্যারকে আগে কেউ শনাক্ত করেছে, সেটাকেই ধরতে পারে। কিন্তু আজকের বেশির ভাগ আক্রমণে ফাইলটা প্রতিবার একটু করে বদলে যায়, কিংবা ফাইলই তৈরি হয় না—PowerShell, mshta বা ব্রাউজারের ভেতরেই স্ক্রিপ্ট চলে আর মেমোরিতেই কাজ সেরে ফেলে। তার ওপর আমরা নিজেরাই সুরক্ষার গলা টিপে ধরি: এক মেশিনে দুই-তিনটা অ্যান্টিভাইরাস বসিয়ে রাখা (এতে একটা আরেকটার স্ক্যানকে ব্লক করে, নিরাপত্তা বাড়ে না), কিংবা ‘পিসি স্লো হয়ে যাচ্ছে’ বলে রিয়েল-টাইম প্রোটেকশন বন্ধ করে রাখা।

সঠিক অভ্যাস: Windows 10/11-এ Microsoft Defender নিজেই যথেষ্ট শক্তিশালী—শুধু নিশ্চিত করুন Real-time protection, Cloud-delivered protection আর Tamper Protection তিনটাই চালু আছে, আর Controlled folder access দিয়ে ক্লায়েন্ট ফাইলের ফোল্ডারটা লক করা আছে। এর পাশে এমন স্তর যোগ করুন যেগুলো অ্যান্টিভাইরাসের হাতের বাইরের কাজটা করে: ব্রাউজারে uBlock Origin, ডিএনএস লেভেলে Quad9 (9.9.9.9) বা Cloudflare-এর 1.1.1.2, আর জরুরি অ্যাকাউন্টগুলোয় অ্যাপভিত্তিক 2FA। একটা ভালোভাবে কনফিগার করা ফ্রি স্ট্যাক, একটা দামি কিন্তু অবহেলিত টুলের চেয়ে অনেক বেশি কাজে দেয়।

ভুল ধারণা ২: সবুজ তালা (SSL) মানেই সাইট নিরাপদ

‘HTTPS আছে তো, সাইট সিকিওর’—এই বাক্যটা এত শুনি যে এখন আর অবাক লাগে না। SSL সার্টিফিকেট আসলে একটাই কাজ করে: ব্রাউজার আর সার্ভারের মাঝখানের ট্রাফিককে এনক্রিপ্ট করে, যাতে মাঝপথে কেউ পড়তে না পারে। থিমের ফাইলে ব্যাকডোর বসানো থাকলে, wp_options টেবিলে জাভাস্ক্রিপ্ট ইনজেক্ট করা থাকলে, কিংবা uploads ফোল্ডারে একটা .php শেল পড়ে থাকলে SSL সেটা নিয়ে একটুও মাথা ঘামায় না—বরং সেই ক্ষতিকর স্ক্রিপ্টটাও পরিপাটিভাবে এনক্রিপ্ট করে কাস্টমারের ব্রাউজারে পৌঁছে দেয়। উল্টো দিকে, ফিশিং সাইটগুলোও এখন ফ্রি Let’s Encrypt সার্টিফিকেট নিয়ে দিব্যি সবুজ তালা দেখায়।

সঠিক অভ্যাস: HTTPS-কে ন্যূনতম শর্ত ভাবুন, প্রমাণপত্র নয়। এর ওপরে বসান আসল প্রতিরক্ষা—ফাইল ইন্টেগ্রিটি মনিটরিং (WordPress হলে Wordfence বা Sucuri-র ফ্রি স্ক্যানারই কোর ফাইলের পরিবর্তন ধরে ফেলে), অ্যাডমিন লগইনে বাধ্যতামূলক 2FA, আর একটা Content Security Policy হেডার যাতে অচেনা ডোমেইন থেকে স্ক্রিপ্ট লোড হতেই না পারে। শেষেরটা সেট করা থাকলে সেই ‘বেটিং সাইটে রিডাইরেক্ট’ স্ক্রিপ্টটা চলার সুযোগই পেত না।

SSL শুধু বলে—‘কথাটা মাঝপথে কেউ শুনতে পাচ্ছে না’। সে কখনোই বলে না—‘যে কথা বলছে, সে সৎ’।

ভুল ধারণা ৩: আমার সাইট তো ছোট, হ্যাকার কেন আমাকে টার্গেট করবে

এই ধারণার আসল গলদ ‘টার্গেট’ শব্দটাতেই। বেশির ভাগ আক্রমণে কোনো মানুষ বসে আপনার সাইটটা বেছে নেয় না—বট সারা ইন্টারনেট স্ক্যান করে বেড়ায়, আর দুর্বলতা পেলেই ঢুকে পড়ে। একদম নতুন একটা WordPress সাইট লাইভ করার কয়েক ঘণ্টার মধ্যেই /wp-login.php আর /xmlrpc.php-তে অটোমেটেড লগইন চেষ্টা শুরু হয়ে যায়। বিশ্বাস না হলে হোস্টিংয়ের access log ফাইলটা একবার খুলে দেখুন—সারি সারি ব্যর্থ লগইন, বেশির ভাগই ‘admin’ ইউজারনেম ধরে।

আর আক্রমণকারীর লক্ষ্য অনেক সময় আপনার ডেটাই নয়। আপনার হোস্টিং তার কাছে একটা ফ্রি রিসোর্স: সেখান থেকে স্প্যাম মেইল পাঠানো যায়, অন্য কারও ব্যাংকের নামে ফিশিং পেজ হোস্ট করা যায়, ক্রিপ্টো মাইনার চালানো যায়, কিংবা সবচেয়ে পরিচিত কাজটা—SEO স্প্যাম ও ক্লোকিং বসিয়ে আপনার সাইটের র‍্যাংক ব্যবহার করে বেটিং বা ইনস্ট্যান্ট-লোন সাইটে ট্রাফিক পাঠানো যায়। তাই ‘আমার তো বিক্রি কম’ যুক্তিটা এখানে খাটে না; আপনার ডোমেইন অথরিটি আর সার্ভারের CPU-ই যথেষ্ট লোভনীয়।

ভুল ধারণা ৪: নাল্ড থিম-প্লাগইন স্ক্যান করে নিলেই সমস্যা নেই

বাংলাদেশে ওয়েবসাইট সংক্রমণের সবচেয়ে বড় একক কারণ সম্ভবত এটাই—ফেসবুক গ্রুপ বা টেলিগ্রাম চ্যানেল থেকে নামানো ‘ফ্রি প্রিমিয়াম’ থিম আর প্লাগইন। যে লোকটা লাইসেন্স ভেঙে জিপ ফাইলটা বিনা পয়সায় বিলিয়ে দিচ্ছে, সে নিছক দয়া করে দিচ্ছে না; খরচটা আপনি পরে দেন। কোডে সাধারণত base64_decode বা eval দিয়ে মোড়ানো ছোট একটা ব্লক থাকে—কখনো functions.php-র শেষ লাইনে, কখনো wp-content/uploads-এর ভেতরে বছরের ফোল্ডারে লুকানো নিরীহ নামের একটা .php ফাইলে।

‘ভাইরাসটোটালে আপলোড দিয়ে দেখেছি, ক্লিন’—এই যুক্তিটাও দুর্বল, কারণ পেলোড অনেক সময় প্রথম দিনেই চলে না; কয়েক সপ্তাহ চুপচাপ বসে থেকে তারপর রিমোট সার্ভার থেকে আসল কোড টেনে আনে। হিসাবটা সরল: একটা লাইসেন্সড থিম বা রেডিমেড টেমপ্লেট কিনতে খরচ ৳২৯৯ থেকে কয়েক হাজার টাকা। আর সংক্রমিত সাইট ক্লিন করা, গুগলের ‘This site may be hacked’ ওয়ার্নিং তোলা এবং হারানো র‍্যাংক ফিরিয়ে আনার খরচ ও সময় মিলিয়ে ২০–৫০ হাজার টাকা ছাড়িয়ে যেতে সময় লাগে না—বিক্রি বন্ধ থাকা দিনগুলোর ক্ষতি তো আলাদা।

নাল্ড প্লাগইনের সবচেয়ে বড় বিপদ ব্যাকডোরও নয়—আপডেট না পাওয়া। লাইসেন্স নেই মানে সিকিউরিটি প্যাচও নেই, ফলে বহুল প্রচারিত একটা পুরোনো দুর্বলতা নিয়েই সাইটটা বছরের পর বছর খোলা পড়ে থাকে।

ভুল ধারণা ৫: একবার ক্লিন করলেই ঝামেলা শেষ

সংক্রমণ ফিরে আসার সবচেয়ে সাধারণ কারণ হলো, আমরা লক্ষণ সরাই কিন্তু ঢোকার দরজাটা বন্ধ করি না। রিডাইরেক্ট কোডটা মুছে ফেললেন, সাইট আবার ঠিকঠাক দেখাল, দুই সপ্তাহ পর হুবহু একই জিনিস ফিরে এলো—কারণ ব্যাকডোরটা রয়েই গেছে, অথবা আগের বার চুরি যাওয়া FTP পাসওয়ার্ড দিয়ে আবার ঢোকা হয়েছে। ক্লিনআপকে একটা প্রক্রিয়া হিসেবে দেখুন, ‘ফাইল ডিলিট’ নামের এক মুহূর্তের ইভেন্ট হিসেবে নয়।

• সব ক্রেডেনশিয়াল রোটেট করুন: cPanel/hPanel, FTP/SFTP, ডেটাবেস ইউজার, WordPress অ্যাডমিন—এমনকি ডোমেইন রেজিস্ট্রার অ্যাকাউন্টটাও।
• অচেনা অ্যাডমিন ইউজার খুঁজুন (wp_users টেবিল), আর সার্ভারে crontab -l চালিয়ে দেখুন—বহু ম্যালওয়্যার নিজেকে ক্রন জবে বসিয়ে রাখে, ফলে ফাইল মুছলেও কিছুক্ষণ পর ফিরে আসে।
• uploads ফোল্ডারে কোনো .php ফাইল থাকার কথাই নয়; থাকলে সেটা প্রায় নিশ্চিতভাবে শেল। .htaccess দিয়ে ওই ফোল্ডারে PHP এক্সিকিউশন পুরোপুরি বন্ধ করে দিন।
• ক্লিন করার পর Google Search Console-এর Security Issues ট্যাব থেকে রিভিউ রিকোয়েস্ট পাঠান, নইলে ব্রাউজারের লাল ওয়ার্নিং সপ্তাহখানেক ঝুলেই থাকবে।

ভুল ধারণা ৬: ব্যাকআপ আছে, তাই ম্যালওয়্যার নিয়ে ভয় নেই

ব্যাকআপ চমৎকার জিনিস, কিন্তু ম্যালওয়্যারের বিরুদ্ধে নিখুঁত বীমা নয়—দুটো কারণে। প্রথমত, সংক্রমণ ধরা পড়ে অনেক দেরিতে; ততদিনে আপনার শেষ ৩০ দিনের প্রতিটা ব্যাকআপেই ব্যাকডোরটা ঢুকে বসে আছে। পুনরুদ্ধার করলে ওয়েবসাইটের সাথে ম্যালওয়্যারটাও ফেরত আসে। দ্বিতীয়ত, ব্যাকআপ যদি একই সার্ভারে বা একই লগইন দিয়ে অ্যাক্সেসযোগ্য কোনো ড্রাইভে পড়ে থাকে, র‍্যানসমওয়্যার সবার আগে সেটাকেই এনক্রিপ্ট করে—কারণ ওটাই তার একমাত্র প্রতিদ্বন্দ্বী।

সঠিক অভ্যাস: ৩-২-১ নিয়ম—তিনটা কপি, দুই ধরনের মাধ্যমে, অন্তত একটা অফসাইট। ছোট টিমের জন্য বাস্তব রূপটা হতে পারে এমন: হোস্টিংয়ের ডেইলি ব্যাকআপ, সপ্তাহে একবার Google Drive বা Backblaze B2-তে কপি (মাসে দুই-তিন ডলারের খরচ), আর মাসে একটা কপি এমন জায়গায় যেটা আপনার রোজকার লগইন দিয়ে মোছাই যায় না। আর সবচেয়ে জরুরি কাজটা: তিন মাসে অন্তত একবার স্টেজিং সাইটে রিস্টোর করে দেখুন ব্যাকআপটা আসলেই খোলে কি না। যে ব্যাকআপ কখনো রিস্টোর করে দেখা হয়নি, সেটা ব্যাকআপ নয়—নিছক আশা।

সচরাচর জিজ্ঞাসা

ফ্রি অ্যান্টিভাইরাসেই কি চলবে, নাকি কিনতে হবে? ব্যক্তিগত ল্যাপটপ আর ছোট টিমের জন্য Windows Defender-ই যথেষ্ট, শর্ত একটাই—সেটিংস ঠিকভাবে চালু রাখতে হবে। টাকা খরচের সুযোগ থাকলে সেটা অ্যান্টিভাইরাসে নয়, বরং অফসাইট ব্যাকআপ, লাইসেন্সড থিম-প্লাগইন আর পাসওয়ার্ড ম্যানেজারে ঢালুন—ঝুঁকি ওখানেই বেশি কমে।

সাইট হ্যাক হলে হোস্টিং কোম্পানি কি দায় নেবে? সাধারণত না। শেয়ার্ড হোস্টিংয়ের শর্তাবলিতে প্রায় সব কোম্পানিই বলে দেয়—অ্যাপ্লিকেশন লেভেলের নিরাপত্তা (আপনার থিম, প্লাগইন, পাসওয়ার্ড) আপনার দায়িত্ব। তারা বড়জোর সংক্রমিত অ্যাকাউন্ট সাসপেন্ড করে দেবে, যেটা আপনার জন্য আরও বড় বিপদ।

সাইট সত্যিই ক্লিন হয়েছে কি না বুঝব কীভাবে? কেবল প্লাগইন স্ক্যানারের সবুজ টিকে ভরসা করবেন না। মোবাইল ডেটা থেকে ইনকগনিটো উইন্ডোতে সাইট খুলুন, গুগলে site:yourdomain.com লিখে অচেনা পেজ আছে কি না দেখুন, Search Console-এর Security Issues দেখুন, আর সার্ভারের মেইল কিউ ও আউটবাউন্ড ট্রাফিক এক সপ্তাহ নজরে রাখুন।

মোবাইল থেকে সাইট ম্যানেজ করলে কি ঝুঁকি বাড়ে? ঝুঁকিটা মোবাইলের নয়, অভ্যাসের। সাইডলোড করা APK, ‘বিকাশ অফার’ বা ‘দারাজ ভাউচার’-এর নামে আসা লিংক আর Accessibility পারমিশন চাওয়া অ্যাপ—এই তিনটাই বাংলাদেশে ব্যাংকিং ট্রোজান ঢোকার প্রধান পথ। শুধু Play Store থেকে অ্যাপ নিন, আর অ্যাডমিন পাসওয়ার্ড ব্রাউজারে সেভ না রেখে পাসওয়ার্ড ম্যানেজারে রাখুন।

ম্যালওয়্যার সুরক্ষা আসলে একটা পণ্য নয়, কয়েকটা ছোট অভ্যাসের যোগফল—আপডেট, 2FA, বৈধ কোড, পরীক্ষিত ব্যাকআপ। এর কোনোটাই দামি নয়, শুধু নিয়মিত হতে হয়। আপনার সাইট যদি সন্দেহজনক আচরণ করে, কিংবা ক্লিনআপের পর বারবার একই সমস্যা ফিরে আসে—স্ট্যাক অ্যালিক্সের টিম সাইট অডিট, ম্যালওয়্যার রিমুভাল আর হার্ডেনিং সেটআপে সাহায্য করতে পারে। একবার কথা বলে দেখুন, দরজাটা কোথা দিয়ে খোলা আছে সেটা অন্তত জানা থাকবে।