ম্যালওয়্যার সুরক্ষার আসল খরচ: টাকায় হিসাব, ২০২৬

হোস্টিং কোম্পানির একটা ইমেইল দিয়ে গল্পটা শুরু হয়। বিষয়: ‘Account Suspended — Outbound Spam Detected’। ভদ্রলোকের ফার্নিচারের অনলাইন দোকান, দুই বছর ধরে দিব্যি চলছিল। কেউ সাইট ‘হ্যাক’ করে হোমপেজে পতাকা টাঙায়নি—বরং wp-content-এর ভেতরে একটা ছোট PHP ফাইল বসিয়ে দিনে হাজার হাজার স্প্যাম মেইল পাঠাচ্ছিল, আর গুগল সার্চ থেকে আসা ভিজিটরদের একটা জুয়ার সাইটে পাঠাচ্ছিল। তিনি টের পেয়েছিলেন ১৯ দিন পর, যখন হোস্ট অ্যাকাউন্ট বন্ধ করে দিল।

ম্যালওয়্যার সুরক্ষা নিয়ে বেশিরভাগ লেখা ভয় দেখায় কিন্তু সংখ্যা দেয় না। এই লেখায় আমি উল্টোটা করব—দুই কলামে টাকার হিসাব দেব। বাঁ কলামে সংক্রমণের খরচ, ডান কলামে প্রতিরোধের খরচ। ২০২৬-এর বাজারদর, ১ ডলার ≈ ১২২ টাকা ধরে।

বাঁ কলাম: হ্যাক হলে বিল কত দাঁড়ায়

• ক্লিনআপ ফি: বাংলাদেশে একজন ভালো ফ্রিল্যান্সার সংক্রমিত ওয়ার্ডপ্রেস সাইট পরিষ্কার করে দেন ৩,০০০–১২,০০০ টাকায়। Sucuri-র মতো বিদেশি সার্ভিসে এককালীন ক্লিনআপ প্রায় ১৯৯ ডলার, মানে ২৪,০০০ টাকার বেশি।
• ডাউনটাইম: গুগল সাইটটাকে ‘Deceptive site ahead’ লেবেল দিলে অর্গানিক ট্রাফিক কার্যত শূন্য হয়ে যায়। ব্ল্যাকলিস্ট থেকে বেরোতে ৩–১৪ দিন লাগে। দিনে ১৫,০০০ টাকার অর্ডার আসা দোকানের জন্য এক সপ্তাহ মানে এক লাখ টাকার ধাক্কা।
• অদৃশ্য খরচ: কাস্টমারের বিশ্বাস, ফেসবুক পেজে বিরূপ কমেন্ট, আর SEO র‍্যাঙ্কিং ফিরে পেতে যে দুই-তিন মাস লাগে—এগুলোর কোনো ইনভয়েস হয় না, কিন্তু দাম সবচেয়ে বেশি।

সংক্রমণটা আসলে ঢোকে কোন দরজা দিয়ে

বাংলাদেশে দেখা সাইটগুলোর মধ্যে অভিজ্ঞতা বলছে, বড় অংশই হ্যাক হয় ‘হ্যাকারের দক্ষতায়’ নয়—হয় নাল্‌ড (nulled) থিম আর প্লাগইনের কারণে। ফেসবুক গ্রুপ থেকে ২০০ টাকায় কেনা ‘Elementor Pro lifetime’ বা টরেন্ট থেকে নামানো প্রিমিয়াম থিম—এগুলোর ভেতরে প্রায়ই base64-এনকোড করা ব্যাকডোর বসানো থাকে। আপনি প্লাগইনটা ইনস্টল করার মুহূর্তেই আক্রমণকারীকে নিজের হাতে চাবি দিয়ে দিলেন। কোনো ফায়ারওয়াল এটা ঠেকাতে পারবে না, কারণ দরজা ভাঙা হয়নি—আপনি খুলে দিয়েছেন।

সবচেয়ে সস্তা ম্যালওয়্যার সুরক্ষা কৌশলটির দাম শূন্য টাকা: নাল্‌ড থিম ও প্লাগইন ব্যবহার বন্ধ করুন। ৫,৯০০ টাকার লাইসেন্স বাঁচাতে গিয়ে ৫০,০০০ টাকার ক্ষতি ডেকে আনা খারাপ ব্যবসা। প্রিমিয়াম না কিনতে পারলে ভালো ফ্রি বিকল্প ব্যবহার করুন—চুরি করা প্রিমিয়াম নয়।

ডান কলাম, প্রথম ধাপ: শূন্য টাকার সুরক্ষা

সত্যিটা হলো, ছোট সাইটের ঝুঁকির ৮০ শতাংশ এক পয়সা খরচ না করেই কমানো যায়। এগুলো আগে করুন, তারপর টাকার কথা ভাবুন।

• Wordfence Free বা Solid Security Basic — ম্যালওয়্যার স্ক্যান, লগইন লিমিট, ফাইল চেঞ্জ ডিটেকশন। ফ্রি ভার্সনে থ্রেট সিগনেচার ৩০ দিন দেরিতে আসে, কিন্তু বেশিরভাগ আক্রমণ পুরনো দুর্বলতা ধরেই হয়, তাই এটাও অনেকটা কাজে দেয়।
• Cloudflare ফ্রি প্ল্যান — বেসিক WAF রুল, বট প্রোটেকশন, আর অরিজিন IP লুকিয়ে রাখা। xmlrpc.php আর wp-login.php-এ রেট লিমিট বসিয়ে দিলেই ব্রুট-ফোর্স ট্রাফিক নাটকীয়ভাবে কমে যায়।
• টু-ফ্যাক্টর অথেনটিকেশন ও অ্যাডমিন হাইজিন — অ্যাডমিন ইউজারনেম ‘admin’ নয়, ২FA চালু, XML-RPC বন্ধ, wp-config-এ DISALLOW_FILE_EDIT সেট করা। সময় লাগে ২০ মিনিট, দাম শূন্য।
• হোস্টের ImunifyAV — বেশিরভাগ লোকাল cPanel হোস্টে এটা আগে থেকেই বসানো থাকে, অনেকে জানেনই না। cPanel-এ ঢুকে একবার স্ক্যান চালিয়ে দেখুন—বিনামূল্যেই সংক্রমিত ফাইলের তালিকা পাবেন।

ডান কলাম, দ্বিতীয় ধাপ: পেইড টুলের দাম

যখন সাইট থেকে সত্যিকারের আয় আসে, তখন ফ্রি টুলের ৩০ দিনের দেরিটাই ঝুঁকি হয়ে দাঁড়ায়। বাজারদর:

• Patchstack — সাইটপ্রতি মাসে প্রায় ৫ ডলার (৬১০ টাকা)। ভার্চুয়াল প্যাচিং করে, অর্থাৎ প্লাগইনে দুর্বলতা ধরা পড়লে অফিসিয়াল আপডেট আসার আগেই ঢাল দেয়। দামের তুলনায় সবচেয়ে কাজের অপশনগুলোর একটা।
• MalCare / Wordfence Premium — বছরে ৯৯–১৪৯ ডলার, মানে ১২,০০০–১৮,০০০ টাকা। রিয়েল-টাইম সিগনেচার, সার্ভারের বাইরে স্ক্যান, আর এক-ক্লিক ক্লিনআপ।
• Sucuri Platform — বছরে প্রায় ২০০ ডলার (২৪,৫০০ টাকা), তবে এর ভেতরে আনলিমিটেড ক্লিনআপ ও ক্লাউড WAF থাকে। যাদের সাইট আগে একবার হ্যাক হয়েছে, তাদের জন্য এই বিমা যুক্তিসঙ্গত।
• ব্যাকআপ (UpdraftPlus Premium বা হোস্টের JetBackup) — বছরে ৭০ ডলারের মতো, বা হোস্টিং প্যাকেজে ফ্রি। মনে রাখবেন, অফ-সাইট ব্যাকআপই আসলে চূড়ান্ত ম্যালওয়্যার সুরক্ষা—কারণ সবকিছু ব্যর্থ হলে ওটাই আপনাকে বাঁচায়।

অফিসের কম্পিউটারগুলো ভুলে যাবেন না

সার্ভার নিরাপদ কিন্তু আপনার ল্যাপটপে কী-লগার—তাহলে দুর্গের দেয়াল উঁচু করে দরজা খোলা রাখলেন। বাংলাদেশের ছোট অফিসে বাস্তব চিত্রটা হলো পাইরেটেড উইন্ডোজ আর ক্র্যাক করা সফটওয়্যার, যেগুলোই ইনফোস্টিলার ম্যালওয়্যারের প্রধান বাহক। ব্রাউজারে সেভ করা হোস্টিং প্যানেলের পাসওয়ার্ড চুরি হলে কোনো WAF আপনাকে বাঁচাবে না।

• Windows Defender ফ্রি এবং ২০২৬ সালে যথেষ্ট ভালো—শর্ত একটাই, উইন্ডোজ জেনুইন ও আপডেটেড হতে হবে।
• চাইলে Bitdefender বা Kaspersky-র লোকাল রিটেইল লাইসেন্স, ১ ডিভাইস ১ বছর প্রায় ৯০০–১,৮০০ টাকা। Malwarebytes Premium বছরে প্রায় ৫,৫০০ টাকা।
• পাসওয়ার্ড ম্যানেজার (Bitwarden ফ্রি) আর টিমের সবার জন্য আলাদা লগইন—শূন্য টাকা, কিন্তু ফলাফলে সবচেয়ে বড় লাফ।

নিজে গড়ব, নাকি কিনে নেব

VPS ব্যবহারকারীদের সামনে একটা লোভনীয় পথ থাকে: নিজের সার্ভারে ModSecurity + OWASP Core Rule Set, fail2ban, ClamAV আর ক্রন-চালিত ইন্টিগ্রিটি চেক বসিয়ে ফেলা। লাইসেন্স ফি শূন্য, নিয়ন্ত্রণ পুরোপুরি আপনার। শুনতে দারুণ।

কিন্তু হিসাবটা সৎভাবে করুন। এই স্ট্যাক ঠিকঠাক দাঁড় করাতে একজন দক্ষ লোকের ৮–১২ ঘণ্টা লাগে, আর তারপর প্রতি মাসে ১–২ ঘণ্টা রুল টিউনিং ও ফলস পজিটিভ সামলাতে যায় (নয়তো গ্রাহকের বৈধ চেকআউট রিকোয়েস্টই ব্লক হবে)। ঘণ্টা ৭০০ টাকা ধরলে প্রথম বছরে শ্রমের খরচই ২০,০০০–২৫,০০০ টাকা। অথচ Cloudflare Pro-র বার্ষিক খরচ প্রায় ২৯,০০০ টাকা এবং সেটায় রুল আপডেট ওরা করে।

সোজা সূত্র: আপনার টিমে যদি একজন সার্ভার-দক্ষ মানুষ থাকেন এবং একাধিক সাইট চালান, নিজে গড়া লাভজনক। এক-দুইটা সাইট আর কোনো সিসঅ্যাডমিন না থাকলে কিনে নেওয়াই সস্তা—কারণ যে স্ট্যাক আপনি রক্ষণাবেক্ষণ করেন না, সেটা আসলে সুরক্ষা নয়, সাজসজ্জা।

ছোট ব্যবসার জন্য একটা বাস্তব বাজেট

মাসে ২ লাখ টাকার অর্ডার আসা একটা WooCommerce স্টোরের জন্য যুক্তিসঙ্গত বার্ষিক নিরাপত্তা বাজেট: Patchstack ৭,৩০০ টাকা + Cloudflare ফ্রি প্ল্যান ০ টাকা + অফ-সাইট ব্যাকআপ ৮,৫০০ টাকা + লাইসেন্সড থিম/প্লাগইন ৬,০০০ টাকা + কর্মীদের জন্য পাসওয়ার্ড ম্যানেজার ০ টাকা। মোট প্রায় ২২,০০০ টাকা, বছরে।

এটাকে দুই দিনের বিক্রির সঙ্গে তুলনা করুন, তারপর এক সপ্তাহ ব্ল্যাকলিস্টে থাকার খরচের সঙ্গে। এই অঙ্কটা দেখেই বোঝা যায় কেন ম্যালওয়্যার সুরক্ষা খরচ নয়, বিমা—এবং কেন এটাই বাংলাদেশের ছোট ব্যবসার সবচেয়ে কম দামি বিমা।

সাধারণ প্রশ্ন

ফ্রি Wordfence কি সত্যিই যথেষ্ট? ব্লগ, পোর্টফোলিও বা ছোট কোম্পানি সাইটের জন্য—হ্যাঁ, যদি আপনি নিয়মিত আপডেট করেন এবং নাল্‌ড প্লাগইন না চালান। কিন্তু যেখানে পেমেন্ট বা গ্রাহকের তথ্য আছে, সেখানে ৩০ দিনের সিগনেচার-দেরিটা বাস্তব ঝুঁকি।

সাইট হ্যাক হয়েছে বুঝব কীভাবে? সাধারণ লক্ষণ—গুগলে সার্চ করলে আপনার সাইটের সঙ্গে অচেনা জাপানি বা জুয়ার কিওয়ার্ড দেখা যায়, মোবাইল থেকে ঢুকলেই অন্য সাইটে রিডাইরেক্ট হয়, হোস্ট থেকে স্প্যামের অভিযোগ আসে, বা wp-content/uploads ফোল্ডারে .php ফাইল দেখা যায় (সেখানে কখনোই PHP ফাইল থাকার কথা নয়)।

হোস্টিং কোম্পানি কি আমাকে রক্ষা করবে না? তারা সার্ভার-লেভেল সুরক্ষা দেয়, অ্যাপ্লিকেশন-লেভেল নয়। আপনার পুরনো প্লাগইনের দুর্বলতা দিয়ে কেউ ঢুকলে সেটা তাদের দায় নয়—উল্টো তারা আপনার অ্যাকাউন্ট সাসপেন্ড করে বাকি গ্রাহকদের বাঁচাবে।

ক্লিনআপের পর আবার হ্যাক হচ্ছে কেন? কারণ ব্যাকডোর একটা নয়, সাধারণত কয়েকটা থাকে—এবং আসল প্রবেশপথ (পুরনো প্লাগইন বা নাল্‌ড থিম) বন্ধ করা হয়নি। ক্লিনআপ মানে শুধু ফাইল মোছা নয়; সব পাসওয়ার্ড বদলানো, সব সিক্রেট কী নতুন করা, আর দুর্বল কম্পোনেন্ট সরিয়ে ফেলা।

আপনার সাইট যদি সন্দেহজনক আচরণ করে, বা আপনি জানেনই না বর্তমানে কী কী প্লাগইন চলছে—স্ট্যাক অ্যালিক্স-এর টিমকে একবার দেখাতে পারেন। আমরা আগে স্ক্যান করি, তারপর বলি আসলে কী দরকার। অপ্রয়োজনীয় সিকিউরিটি প্যাকেজ বিক্রি করা আমাদের কাজ নয়।