একটা ভুল ফাইল, তিন বছরের হিসাব: ইসলামপুরের এক ব্যবসার ম্যালওয়্যার গল্প

ইসলামপুরের গার্মেন্টস অ্যাকসেসরিজের একটা আমদানিকারক প্রতিষ্ঠান। কর্মী ২৬ জন, হিসাব বিভাগে পাঁচটা ডেস্কটপ, একটা ছোট ফাইল সার্ভার যেটাকে সবাই Z ড্রাইভ বলে চেনে। বৃহস্পতিবার বিকেলে হিসাবরক্ষক একটা ইমেইল পেলেন — চীনের যে সাপ্লায়ারের সঙ্গে তাঁরা তিন বছর ধরে কাজ করছেন, তাঁরই নামে। সঙ্গে একটা জিপ ফাইল, ভেতরে PI_2609_Invoice.pdf.exe। উইন্ডোজে ফাইল এক্সটেনশন দেখানো বন্ধ ছিল, তাই স্ক্রিনে লেখা উঠেছিল শুধু PI_2609_Invoice.pdf। তিনি ডাবল ক্লিক করলেন।

শুক্রবার সকালে অফিস খুলে দেখা গেল সব ফাইলের নামের শেষে অচেনা এক্সটেনশন, আর প্রতিটা ফোল্ডারে একটা টেক্সট ফাইল — বিটকয়েনে ১,৮০০ ডলার চাওয়া হয়েছে। শুধু ওই একটা পিসি নয়। Z ড্রাইভ ম্যাপ করা ছিল বলে সার্ভারের ফাইলগুলোও এনক্রিপ্ট হয়ে গেছে, আর সেই সার্ভারেই তাঁদের তথাকথিত ব্যাকআপ রাখা ছিল।

যে জিনিসটাকে ব্যাকআপ ভাবা হচ্ছিল, সেটা ব্যাকআপ ছিল না

এটাই সবচেয়ে দামি শিক্ষা, এবং বাংলাদেশের প্রায় প্রতিটা ছোট প্রতিষ্ঠানে এই ভুলটা আছে। আপনার কম্পিউটার থেকে যে ফোল্ডারে লেখা যায়, র‍্যানসমওয়্যারও সেখানে লিখতে পারে। ম্যাপ করা নেটওয়ার্ক ড্রাইভ, সবসময় প্লাগ করে রাখা এক্সটার্নাল হার্ডডিস্ক, এমনকি সিঙ্ক করা গুগল ড্রাইভ ফোল্ডার — এর কোনোটাই র‍্যানসমওয়্যারের বিরুদ্ধে ব্যাকআপ নয়, কারণ তিনটাতেই আপনার নষ্ট ফাইল কয়েক সেকেন্ডে গিয়ে ভালো ফাইলটাকে চাপা দিয়ে দেবে।

তাঁরা টাকা দেননি। শেষ পর্যন্ত উদ্ধার হয়েছিল নয় মাস আগের একটা এক্সটার্নাল ড্রাইভ আর কাগজে ছাপানো লেজার থেকে। তিন সপ্তাহ ওভারটাইম করে ডেটা এন্ট্রি, দুটো শিপমেন্ট দেরি, দুই ক্রেতার বিশ্বাস ভঙ্গ। মালিকের নিজের হিসাবে ক্ষতির অঙ্ক চার থেকে ছয় লাখ টাকা — মুক্তিপণের চেয়ে অনেক বেশি।

আসল দরজাটা কোথায় খোলা ছিল

ইমেইলটা ছিল উপলক্ষ মাত্র। আসল কারণটা তদন্তে বেরিয়েছিল: হিসাব বিভাগের পাঁচটা পিসিতেই ক্র্যাক করা উইন্ডোজ, KMS অ্যাক্টিভেটর দিয়ে চালু করা। আর সেই অ্যাক্টিভেটর ইনস্টল করার নিয়মেই লেখা থাকে — অ্যান্টিভাইরাস বন্ধ করে নিন। তাই উইন্ডোজ ডিফেন্ডার তিন বছর ধরে বন্ধ ছিল। প্রতিটা পিসিতে ব্যবহারকারী ছিলেন অ্যাডমিন, ফলে যেকোনো প্রোগ্রাম কোনো প্রশ্ন ছাড়াই সিস্টেমে বসে যেতে পারত।

ক্র্যাক সফটওয়্যার আসলে বিনামূল্যের নয় — এর দাম আপনি পরে দেন, একবারে। বাংলাদেশে ছোট প্রতিষ্ঠানে ম্যালওয়্যার ঢোকার সবচেয়ে বড় দুটো পথ হলো পাইরেটেড উইন্ডোজ/অফিস অ্যাক্টিভেটর আর ফ্রি ডাউনলোড সাইট থেকে নামানো সফটওয়্যার।

যেটা তাঁরা এরপর দাঁড় করালেন

তাঁরা কোনো বিদেশি কনসালট্যান্ট আনেননি, খুব দামি কিছু কেনেনওনি। সাত-আটটা সিদ্ধান্ত, বেশিরভাগই বিনামূল্যে করা যায়।

• ফাইল এক্সটেনশন দেখানো চালু করা। উইন্ডোজ এক্সপ্লোরারের View মেনুতে একটা চেকবক্স, খরচ শূন্য। এটা চালু থাকলে সেদিন স্ক্রিনে .pdf.exe লেখাটা দেখা যেত।
• লাইসেন্সড উইন্ডোজ, ডিফেন্ডার চালু, ট্যাম্পার প্রোটেকশন অন। ২০২৬ সালে উইন্ডোজ ডিফেন্ডার আর দুর্বল কিছু নয় — স্বাধীন টেস্টে এটা পেইড অ্যান্টিভাইরাসের সমান দাঁড়ায়। শর্ত একটাই: এটা চালু থাকতে হবে।
• অ্যাডমিন অধিকার কেড়ে নেওয়া। হিসাবরক্ষকের দৈনন্দিন কাজে অ্যাডমিন লাগে না। আলাদা একটা অ্যাডমিন অ্যাকাউন্ট, পাসওয়ার্ড শুধু আইটির কাছে। এই একটা পরিবর্তনই বেশিরভাগ ম্যালওয়্যারকে ইনস্টল হওয়ার আগেই আটকে দেয়।
• অফিস ম্যাক্রো বন্ধ। ইন্টারনেট থেকে আসা এক্সেল বা ওয়ার্ড ফাইলের ম্যাক্রো গ্রুপ পলিসি দিয়ে ব্লক করে দেওয়া হলো।
• তিন-দুই-এক ব্যাকআপ। তিনটা কপি, দুই ধরনের মাধ্যমে, একটা অফিসের বাইরে ও অফলাইনে। দুটো ২ টেরাবাইট এক্সটার্নাল ড্রাইভ (প্রায় ৬,৫০০ টাকা করে) সপ্তাহে অদলবদল করে একটা সবসময় খুলে রাখা হয়, আর ক্লাউডে ভার্সন হিস্টরিসহ কপি — ব্যাকব্লেজ বি-টু বা ওয়াসাবিতে টেরাবাইটে মাসে ৬ ডলারের আশপাশে।
• প্যাচ ডে। মাসের প্রথম শনিবার সব পিসিতে উইন্ডোজ আপডেট, ব্রাউজার আপডেট। ৪০ মিনিটের কাজ।
• রিস্টোর ড্রিল। তিন মাসে একবার ব্যাকআপ থেকে সত্যি সত্যি একটা ফাইল ফিরিয়ে আনা হয়। এই ধাপটা সবাই বাদ দেয়, অথচ যে ব্যাকআপ কখনো রিস্টোর করে দেখা হয়নি, সেটা ব্যাকআপ নয় — সেটা একটা আশা।

দ্বিতীয় ঘটনা, যেটা আরও বেশি ভয়ংকর

এগারো মাস পরে মার্কেটিংয়ের এক ছেলে একটা ফ্রি ভিডিও ডাউনলোডার নামালেন। ডিফেন্ডার সঙ্গে সঙ্গে সেটা কোয়ারেন্টাইন করল — যেটা ছিল একটা ইনফোস্টিলার। এই জিনিসটা ফাইল এনক্রিপ্ট করে না, চুপচাপ ব্রাউজারে সেভ করা পাসওয়ার্ড আর সেশন কুকি চুরি করে পাঠিয়ে দেয়।

সেশন কুকি কেন ভয়ংকর, সেটা বোঝা জরুরি: কুকি চুরি হয়ে গেলে আপনার পাসওয়ার্ড বা টু-ফ্যাক্টর কোড কোনোটাই লাগে না। আক্রমণকারী কুকিটা নিজের ব্রাউজারে বসিয়ে দেয়, ফেসবুক ভাবে আপনি আগেই লগইন করা আছেন। বাংলাদেশে ফেসবুক পেজ আর অ্যাড অ্যাকাউন্ট হাইজ্যাক হওয়ার ঘটনাগুলোর বড় অংশ ঠিক এভাবেই ঘটে — তারপর আপনার অ্যাড অ্যাকাউন্ট থেকে অন্য দেশের বিজ্ঞাপনে লাখ টাকা খরচ হয়ে যায়।

• ব্রাউজারে পাসওয়ার্ড সেভ করা বন্ধ করুন, বিটওয়ার্ডেন বা ওয়ানপাসওয়ার্ডের মতো ম্যানেজার ব্যবহার করুন।
• বিজনেস ম্যানেজারে যাঁরা ঢোকেন, তাঁদের ব্যক্তিগত ফেসবুক অ্যাকাউন্টে অথেন্টিকেটর অ্যাপ দিয়ে টু-ফ্যাক্টর চালু রাখুন এবং সন্দেহ হলে সব সেশন লগআউট করুন।
• কাজের কম্পিউটারে ক্র্যাক সফটওয়্যার, ফ্রি ডাউনলোডার, বা ইউটিউব ভিডিও নামানোর টুল — কিছুই নয়। এই নিয়মটা লিখিতভাবে থাকা দরকার।

এক বছরের খরচের হিসাব

পাঁচটা উইন্ডোজ লাইসেন্স, দুটো ব্যাকআপ ড্রাইভ, ক্লাউড স্টোরেজ, আর দুই দিনের জন্য একজন কনসালট্যান্ট — সব মিলিয়ে প্রথম বছরে খরচ হয়েছিল প্রায় ১,২০,০০০ টাকা। আক্রমণের ক্ষতি ছিল চার থেকে ছয় লাখ। অর্থাৎ পুরো সুরক্ষা কাঠামোটার দাম ছিল একটামাত্র ঘটনার ক্ষতির এক-চতুর্থাংশ, আর সেটা প্রতি বছর নয় — একবারের বিনিয়োগ, ক্লাউডের মাসিক বিলটুকু বাদে।

ম্যালওয়্যার সুরক্ষা কোনো সফটওয়্যার কেনার ব্যাপার নয়, অভ্যাস বদলানোর ব্যাপার। যে প্রতিষ্ঠান লাইসেন্স কিনে অ্যান্টিভাইরাস বসায় কিন্তু কর্মীদের অ্যাডমিন রাইট দিয়ে রাখে, সে আসলে দরজায় তালা লাগিয়ে চাবিটা তালার গায়েই ঝুলিয়ে রাখে।

ছোট প্রতিষ্ঠানের জন্য প্রথম সপ্তাহের কাজ

• আজ: সব পিসিতে ফাইল এক্সটেনশন দেখানো চালু করুন, আর ডিফেন্ডার সত্যিই চলছে কি না দেখুন।
• এই সপ্তাহে: একটা এক্সটার্নাল ড্রাইভে ব্যাকআপ নিন, তারপর ড্রাইভটা খুলে আলমারিতে রেখে দিন।
• এই মাসে: কর্মীদের অ্যাকাউন্ট থেকে অ্যাডমিন অধিকার সরান, ক্র্যাক সফটওয়্যার সরান।
• তিন মাসে: ব্যাকআপ থেকে একটা ফাইল ফিরিয়ে এনে দেখুন সত্যিই কাজ করে কি না।

সাধারণ প্রশ্ন

ফ্রি অ্যান্টিভাইরাস কি যথেষ্ট? উইন্ডোজ ১০/১১-এর সঙ্গে আসা ডিফেন্ডার বেশিরভাগ ছোট প্রতিষ্ঠানের জন্য যথেষ্ট, যদি সেটা চালু থাকে, আপডেটেড থাকে আর ট্যাম্পার প্রোটেকশন অন থাকে। কিন্তু কোনো অ্যান্টিভাইরাসই ১০০% নয় — ব্যাকআপ আর সীমিত অ্যাডমিন অধিকার ছাড়া শুধু অ্যান্টিভাইরাস দিয়ে র‍্যানসমওয়্যার ঠেকানো যায় না।

র‍্যানসমওয়্যারের মুক্তিপণ দিলে ফাইল ফেরত পাওয়া যায়? কখনো যায়, কখনো যায় না। টাকা দেওয়ার পরও ডিক্রিপশন কী না পাওয়া, বা কী কাজ না করার ঘটনা অসংখ্য। তার চেয়ে বড় কথা, একবার টাকা দিলে আপনি তালিকাভুক্ত হয়ে যান — যে প্রতিষ্ঠান দাম দিয়েছে, তাকে আবার আক্রমণ করা লাভজনক।

আমার ব্যবসা তো ছোট, আমাকে কে আক্রমণ করবে? কেউ আপনাকে বেছে নেয়নি। আজকের বেশিরভাগ আক্রমণ স্বয়ংক্রিয় — ইমেইল লিস্ট আর ইন্টারনেটে খোলা পোর্ট স্ক্যান করে হাজার হাজার লক্ষ্য একসঙ্গে ধরা হয়। ছোট প্রতিষ্ঠান বরং সহজ শিকার, কারণ সুরক্ষা কম আর ব্যাকআপ থাকে না।

কর্মীদের ট্রেনিং কি সত্যিই কাজে দেয়? এক ঘণ্টার একটা বাস্তব সেশন — ভুয়া ইমেইল কেমন দেখতে হয়, সাপ্লায়ার হঠাৎ ব্যাংক অ্যাকাউন্ট বদলানোর কথা বললে কী করতে হয়, অচেনা জিপ ফাইল এলে কাকে জিজ্ঞেস করতে হয় — অনেক সফটওয়্যারের চেয়ে বেশি কাজে দেয়। বছরে দুবার করলেই যথেষ্ট।

আপনার অফিসের কম্পিউটারগুলো এই মুহূর্তে কতটা খোলা, সেটা জানতে বড় বাজেট লাগে না। স্ট্যাক অ্যালিক্স ছোট ও মাঝারি প্রতিষ্ঠানের জন্য একটা সরল ম্যালওয়্যার সুরক্ষা রিভিউ করে দেয় — ব্যাকআপ সত্যি কাজ করে কি না, কার হাতে কতটা অধিকার আছে, আর কোন সফটওয়্যারগুলো এখনই সরানো দরকার। ঘটনা ঘটার আগে করলে খরচটা অনেক কম হয়।