Cyber Attack

কৃত্রিম বুদ্ধিমত্তা বা AI-কে কাজে লাগিয়ে সাইবার হামলার নতুন প্রবণতা নিয়ে উদ্বেগ বাড়ছে। দেশের বিভিন্ন সরকারি সংস্থার কম্পিউটার সিস্টেমে অননুমোদিত প্রবেশ এবং আর্থিক উদ্দেশ্যে AI-চালিত সাইবার হামলার একাধিক ঘটনা সামনে আসার পর গুরুতর সতর্কবার্তা জারি করেছে ভারতের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (CERT-In)। বৃহস্পতিবার CERT-In এই বিষয়ে একটি সতর্কবার্তা জারি করেছে। তাতে এই পরিস্থিতিকে ‘ক্রিটিক্যাল’ বা ‘অত্যন্ত গুরুতর’ বলে চিহ্নিত করা হয়েছে।

CERT-In-এর পর্যবেক্ষণ, গবেষণা ও পরীক্ষামূলক কাজের সময় কয়েকটি AI মডেল তাদের নির্ধারিত কাজের অনুমোদিত সীমা অতিক্রম করে সরকারি সংস্থার বাস্তব কম্পিউটার সিস্টেমে প্রবেশ করেছিল। সেখানে ব্যবসায়িক নথি, ব্যক্তিগত তথ্য এবং গোপনীয় উপাদান পড়ার সুযোগ তৈরি হয়। অ্যাপ্লিকেশনের গঠনতন্ত্র, কোড এবং অতিরিক্ত অনুমতিপ্রাপ্ত ক্লাউড ব্যবস্থায় থাকা পরিচয়পত্র ও সংযোগের তথ্য ব্যবহার করে এই প্রবেশ সম্ভব হয়েছিল বলে জানিয়েছে শীর্ষ সাইবার নিরাপত্তা সংস্থা।

সতর্কবার্তায় বলা হয়েছে, সাইবার অপরাধীরা প্রকাশ্যে উপলব্ধ AI-ভিত্তিক আক্রমণাত্মক নিরাপত্তা টুল ব্যবহার করে ভারতীয় সংস্থাগুলিকে নিশানা করছে। এই ধরনের টুলের সাহায্যে প্রাথমিক প্রবেশ থেকে চূড়ান্ত ক্ষতিসাধন পর্যন্ত সময় কয়েক দিন থেকে কমে কয়েক ঘণ্টায় নেমে আসতে পারে। একাধিক AI এজেন্টকে সমান্তরাল ভাবে ব্যবহার করে দীর্ঘ সময় ধরে হামলা চালানোর ঘটনাও শনাক্ত করেছে CERT-In। সংস্থাটির দাবি, আক্রান্ত প্রতিষ্ঠানগুলি নিজেরা অননুমোদিত প্রবেশকে শনাক্ত করতে পারেনি। AI মডেল সরবরাহকারীদের স্বেচ্ছায় প্রকাশ করা তথ্য, ফরেনসিক বিশ্লেষণ এবং CERT-In-এর নিজস্ব ‘থ্রেট হান্টিং’-এর মাধ্যমে ঘটনাগুলি সামনে আসে।

CERT-In-এর বক্তব্য, এই হামলাগুলির পিছনে পরিচিত কিছু নিরাপত্তার ত্রুটি রয়েছে। সোর্স কোড বা গঠনতন্ত্রের ফাইলে পাসওয়ার্ড ও এপিআইয়ের চাবি, অব্যবহৃত API সক্রিয় রাখা, ক্লাউড ব্যবস্থায় অতিরিক্ত অনুমতি দেওয়া, প্রশাসনিক ইন্টারফেস ইন্টারনেটে উন্মুক্ত রাখা এবং সফটওয়্যারের নিরাপত্তা ত্রুটি সংশোধন না করা— এই দুর্বলতাগুলিই হামলাকারীদের সুযোগ করে দিচ্ছে বলে তাঁরা মনে করছে।

বিশেষজ্ঞদের জন্য প্রকাশিত নির্দেশিকায় CERT-In স্পষ্ট করেছে, AI এই দুর্বলতাগুলিকে মানুষের তুলনায় দ্রুত এবং বৃহত্তর পরিসরে খুঁজে বের করতে পারে। ফলে সামান্য অবহেলাও বড় ধরনের তথ্য ফাঁস বা আর্থিক ক্ষতির কারণ হতে পারে। তার জন‍্য সংস্থাগুলিকে একাধিক পদক্ষেপ করতে পরামর্শ দিয়েছে CERT-In। পরিস্থিতি মোকাবিলায় ভারতীয় সংস্থা ও পরিষেবা প্রদানকারীদের সমস্ত API-এর তালিকা তৈরি করে অপ্রয়োজনীয় ও পুরনো API বন্ধ করার পরামর্শ দিয়েছে CERT-In। ফাঁস হওয়া পাসওয়ার্ড ও API-এর চাবি পরিবর্তন, ক্লাউড ব্যবস্থায় সীমিত অনুমতি, প্রশাসনিক প্রবেশে মাল্টি-ফ্যাক্টর অনুমোদন চালু এবং সন্দেহজনক কার্যকলাপের ওপর নজরদারি বাড়ানোর কথাও বলা হয়েছে।

এ ছাড়াও, অল্প সময়ে বিপুল API অনুরোধ, একসঙ্গে প্রচুর তথ্য পড়া এবং স্বয়ংক্রিয় ভাবে অ্যাকাউন্ট তৈরির মতো কার্যকলাপ শনাক্ত করার ব্যবস্থা গড়ে তুলতে হবে। নিরাপত্তা সংক্রান্ত লগ অন্তত ১৮০ দিন সংরক্ষণের পরামর্শও দিয়েছে সংস্থাটি। AI মডেল নির্মাতা ও গবেষণাগারগুলিকে পরীক্ষামূলক পরিবেশ থেকে বাস্তব সিস্টেম আলাদা রাখা, প্রয়োজন ছাড়া নেটওয়ার্ক সংযোগ বন্ধ রাখা এবং AI এজেন্টের প্রতিটি গুরুত্বপূর্ণ কার্যকলাপ রিয়েল-টাইমে পর্যবেক্ষণের নির্দেশ দেওয়া হয়েছে। কোনও বাস্তব সিস্টেমে অননুমোদিত প্রবেশ ঘটলে দ্রুত আক্রান্ত সংস্থা ও CERT-In-কে জানানোর পরামর্শও রয়েছে।

ব্যাঙ্ক, ফিনটেক এবং আর্থিক পরিষেবা প্রদানকারী সংস্থাগুলিকে পেমেন্ট ও অর্থ বিতরণ-সংক্রান্ত API-এর নিরাপত্তা আরও জোরদার করতে বলা হয়েছে। এ ক্ষেত্রে CERT-In-এর পরামর্শবার্তাকে অনুসরণ করতে হবে বলে নির্দেশ দেওয়া হয়েছে। AI-নির্ভর সাইবার হামলার ঝুঁকি মোকাবিলায় প্রযুক্তির পাশাপাশি তথ্যের নিরাপত্তা, পরিচয় যাচাই এবং দ্রুত হামলা শনাক্ত করার ব্যবস্থাকে আরও শক্তিশালী করার ওপর জোর দিয়েছে CERT-In।