সাইবার নিরাপত্তা — পাসওয়ার্ড, 2FA, phishing আর ম্যালওয়্যার

১ · সাইবার নিরাপত্তা কী — তিনটি জিনিস পাহারা দেওয়া

বাসার নিরাপত্তা মানে দরজায় তালা আর আলমারির চাবি সাবধানে রাখা। কম্পিউটার, ফোন, অনলাইন অ্যাকাউন্ট আর নেটওয়ার্কের তথ্যের জন্য একই কাজের নাম সাইবার নিরাপত্তা (cyber security). “নিরাপদ” মানে ঠিক কী, তার উত্তর তিনটি শব্দে — আদ্যক্ষর মিলে CIA triad (গোয়েন্দা সংস্থার সাথে সম্পর্ক নেই)।

যেকোনো নিরাপত্তা-খবরে জিজ্ঞেস করুন: কোনটি ভাঙল? তথ্য ফাঁস (data breach) গোপনীয়তার ক্ষতি, জাল লেনদেন অখণ্ডতার, সার্ভার অচল করা প্রাপ্যতার। ভালো নিরাপত্তা তিনটির ভারসাম্য রাখে — এত তালা যে নিজেই ঢুকতে পারেন না, সেটাও ব্যর্থতা।

কারা আক্রমণ করে, আর কেন

আক্রমণকারীকে বলা হয় threat actor. সিনেমার একা প্রতিভাবান হ্যাকারের চেয়ে বাস্তবের চেহারা অনেক সাধারণ:

২ · ম্যালওয়্যার — ক্ষতিকর সফটওয়্যারের পরিবার

Malware (malicious software) মানে ক্ষতি করার উদ্দেশ্যে বানানো যেকোনো প্রোগ্রাম। লোকমুখে সবই “ভাইরাস”, কিন্তু ধরনগুলো আলাদা করে চেনা দরকার — ছড়ানোর পথ আর প্রতিকার আলাদা।

botnet দিয়েই হয় DDoS: হাজারো যন্ত্রের অনুরোধে সাইটে এমন ভিড় যে আসল গ্রাহক ঢুকতে পারেন না — ঈদের আগে টিকিট কাউন্টারে হাজার ভুয়া লোকের লাইনের মতো। আর rootkit সিস্টেমের এত গভীরে লুকায় যে অ্যান্টিভাইরাস খুঁজে পায় না (পর্ব ২৭).

ম্যালওয়্যার কোন পথে ঢোকে

• ক্র্যাক করা সফটওয়্যার: Windows, Office বা গেমের অবৈধ কপি আর “activator” — trojan আর ransomware-এর বড় উৎস। ক্র্যাক টুল অ্যান্টিভাইরাস বন্ধ করতে বললে সেটাই সবচেয়ে বড় লাল সংকেত। (বৈধ বিকল্প: ওপেন সোর্স, পর্ব ৫.)
• ভুয়া অ্যাপ আর APK: “প্রিমিয়াম আনলক”, “বেশি ক্যাশব্যাক” — WhatsApp-এ পাঠানো APK. স্টোরের বাইরে থেকে অ্যাপ বসানোকে sideloading বলে।
• ইমেইলের সংযুক্তি আর USB: “কুরিয়ার বিল” খুলে “Enable Content/Macros” চাইলে থামুন; কুড়িয়ে পাওয়া পেনড্রাইভ লাগাবেন না।
• আপডেট না করা সফটওয়্যার: worm-এর প্রধান পথ — অংশ ৬-এ।

সংক্রমণের লক্ষণ — আর তখন কী করবেন

হঠাৎ অনেক ধীর, অচেনা প্রোগ্রাম বা extension, বদলে যাওয়া হোমপেজ, বন্ধুরা আপনার নাম থেকে অদ্ভুত লিংক পাচ্ছেন, অ্যান্টিভাইরাস নিজে থেকে বন্ধ — সতর্কসংকেত (ধীর হওয়ার নিরীহ কারণও আছে, পর্ব ৮ আর ৪৯). সন্দেহ হলে ইন্টারনেট বিচ্ছিন্ন করুন, অ্যান্টিভাইরাস-এ পুরো স্ক্যান (Microsoft Defender-এর Full বা Offline scan) চালান, অচেনা প্রোগ্রাম সরান, আর নিরাপদ যন্ত্র থেকে জরুরি পাসওয়ার্ড বদলান। “আপনার ফোনে ৫টি ভাইরাস!” বিজ্ঞাপন দেখে অ্যাপ নামাবেন না — ওটাই ফাঁদ।

৩ · Phishing আর সোশ্যাল ইঞ্জিনিয়ারিং — মানুষকে ভুলিয়ে চাবি আদায়

Phishing এসেছে fishing (মাছ ধরা) থেকে — টোপ ফেলে অপেক্ষা। ভুয়া ইমেইল, SMS, মেসেঞ্জার বার্তা বা ওয়েবসাইটে বিশ্বস্ত কেউ সেজে পাসওয়ার্ড, PIN, OTP বা টাকা আদায়। SMS-এ হলে smishing, ফোনকলে vishing. পর্ব ১৫-এ একটি OTP প্রতারণার কল ধাপে ধাপে দেখেছেন; এখানে বড় ছবি।

বাংলাদেশে চেনা ফাঁদগুলো

• “এজেন্ট” বা “কাস্টমার কেয়ার”-এর কল: “ভুল করে আপনার নম্বরে টাকা গেছে, ফেরত দিন” বা “তথ্য হালনাগাদে কোডটা বলুন।”
• “অ্যাকাউন্ট বন্ধ হবে” SMS: সাথে লিংক — আসল অ্যাপের মতো দেখতে ভুয়া লগইন পাতা।
• ভুয়া চাকরি: “ঘরে বসে দিনে ২০০০ টাকা, শুধু ভিডিওতে like দিন” — প্রথমে অল্প টাকা দেয়, পরে “রেজিস্ট্রেশন ফি” নিয়ে উধাও।
• Facebook উদ্ধারের ফাঁদ: বন্ধুর হ্যাক হওয়া অ্যাকাউন্ট থেকে — “ভুল করে তোর নম্বরে একটা কোড গেছে, পাঠা।” কোডটি আসলে আপনার অ্যাকাউন্টের রিসেট কোড। অথবা Meta-র নামে “পেজ ভেরিফাই না করলে নিষ্ক্রিয় হবে।”
• লটারি, ভুয়া দোকান, ভয় দেখানো: “১০ লাখ টাকা জিতেছেন, ট্যাক্স পাঠান”; অর্ধেক দামে ফোন, শুধু অগ্রিম টাকায়; “আপনার নামে মামলা” — তথাকথিত পুলিশের কল।

সবগুলোর পেছনে একই কৌশল: তাড়া, ভয়, লোভ, কর্তৃত্ব আর পরিচিতি — লক্ষ্য ভাবার সময় না দেওয়া। নিচের SMS-টি সম্পূর্ণ কাল্পনিক, শুধু চেনার অনুশীলনের জন্য; .example ঠিকানাটি কোনো আসল সাইট নয়।

প্রেরক: +8801XXXXXXXXX
────────────────────────────
প্রিয় গ্রাহক, সন্দেহজনক লেনদেনের
কারণে আপনার bKash অ্যাকাউন্ট আজ
রাত ১২টায় স্থায়ীভাবে বন্ধ হবে।
চালু রাখতে এখনই যাচাই করুন:
http://bkash-verify-bd.example/login
যাচাইয়ের সময় PIN ও OTP দিন।

প্রেরক: +8801XXXXXXXXX   ← সাধারণ মোবাইল নম্বর
────────────────────────────
প্রিয় গ্রাহক, সন্দেহজনক লেনদেনের ...

প্রতিষ্ঠানের বার্তা সাধারণত আসে
নিবন্ধিত নাম বা ছোট নম্বর থেকে।
(নাম ঠিক দেখালেও পুরো ভরসা নয়)

প্রিয় গ্রাহক, সন্দেহজনক লেনদেনের
কারণে আপনার bKash অ্যাকাউন্ট আজ
রাত ১২টায় স্থায়ীভাবে বন্ধ হবে।
এখনই যাচাই করুন ...

“প্রিয় গ্রাহক” — নামও জানে না।

http://bkash-verify-bd.example/login
        └────── আসল ডোমেইন ──────┘

• নামে ব্র্যান্ড আছে, ডোমেইন তাদের নয়
• অ্যাকাউন্টের কাজ হয় অ্যাপে,
  SMS-এর লিংকে নয়

যাচাইয়ের সময় PIN ও OTP দিন।

কোনো ব্যাংক, MFS, অপারেটর বা
সরকারি অফিস কখনো PIN বা OTP চায় না।
PIN + OTP = আপনার টাকার পুরো চাবি।

✘ লিংকে চাপবেন না, উত্তর দেবেন না
✘ PIN, OTP কাউকে নয় — “কর্মী”কেও না

✔ নিজে অফিশিয়াল অ্যাপ খুলে দেখুন
✔ সন্দেহ থাকলে অ্যাপ বা কার্ডে লেখা
  অফিশিয়াল হেল্পলাইনে নিজে ফোন করুন
✔ নম্বর ব্লক ও রিপোর্ট; পরিবারকে জানান

৪ · পাসওয়ার্ড — কীভাবে অনুমান করা হয়, আর কী তাকে শক্ত করে

শক্ত পাসওয়ার্ড বুঝতে আগে বুঝুন আক্রমণকারী অনুমান করে কীভাবে — শুধু ধারণাটুকু:

• Brute force: সব সম্ভাব্য সমন্বয় একে একে চেষ্টা — aaaa, aaab, aaac… তালার সব চাবি ঘোরানোর মতো। যত লম্বা, তত বেশি সমন্বয়।
• Dictionary attack: আগে মানুষের প্রিয় পাসওয়ার্ড — 123456, নাম+জন্মসাল, “Bangladesh@123” — আর আগের ফাঁস থেকে পাওয়া কোটি কোটি আসল পাসওয়ার্ড ও তাদের চেনা রূপান্তর (a→@, শেষে 123). তাই “চালাক” মনে হওয়া পাসওয়ার্ডও প্রায়ই দুর্বল।
• Credential stuffing: এক সাইট থেকে ফাঁস হওয়া ইমেইল-পাসওয়ার্ড জোড়া স্বয়ংক্রিয়ভাবে অন্য বহু সাইটে চেষ্টা। ছোট একটি ফোরাম আর Gmail-এ একই পাসওয়ার্ড দিলে, ফোরাম ফাঁস হলেই Gmail-এর দরজা খোলা — পাসওয়ার্ড যত জটিলই হোক।

লগইন পাতায় সরাসরি অনুমান (online) ধীর — কয়েকবার ভুলেই সাইট আটকায়। আসল বিপদ পাসওয়ার্ড-ডেটাবেস চুরি হলে: তখন নিজের যন্ত্রে (offline) সেকেন্ডে শত কোটি অনুমান চালানো যায়। ভালো সাইট পাসওয়ার্ড নয়, রাখে একমুখী “ছাপ” (hash) — পর্ব ৪৪-এ।

শক্ত পাসওয়ার্ডের আসল সূত্র — জটিলতার চেয়ে দৈর্ঘ্য

পাসওয়ার্ডের শক্তি মাপা হয় entropy দিয়ে, bit-এ: প্রতিটি অক্ষরে কত রকম সম্ভাবনা (ছোট হাতের ২৬, বড় হাতের ২৬, অঙ্ক ১০, চিহ্ন প্রায় ৩৩), আর কতটি অক্ষর। প্রতিটি নতুন অক্ষর সম্ভাবনাকে গুণ করে বাড়ায় — তাই দৈর্ঘ্যই সবচেয়ে কাজের। নিচের টুলটি কয়েকটি নির্দিষ্ট নমুনায় এই হিসাব করে — শেখার সরল মডেল, নিশ্চয়তা নয়। নিজের আসল পাসওয়ার্ড কোনো “strength checker” সাইটে লিখবেন না।

const COMMON = ['123456', 'password', '12345678', 'qwerty', '111111', 'iloveyou', 'bangladesh', 'dhaka123'];
const RATE = 1e10;                      // ধরে নিই: সেকেন্ডে ১,০০০ কোটি অনুমান (offline)
function poolSize(pw) {                 // কোন কোন ধরনের অক্ষর আছে
  return (/[a-z]/.test(pw) ? 26 : 0) + (/[A-Z]/.test(pw) ? 26 : 0) +
         (/[0-9]/.test(pw) ? 10 : 0) + (/[^a-zA-Z0-9]/.test(pw) ? 33 : 0);
}
function human(sec) {                   // সেকেন্ড → পড়ার মতো সময়
  const units = [['years', 31557600], ['days', 86400], ['hours', 3600], ['minutes', 60], ['seconds', 1]];
  for (const [u, s] of units) if (sec >= s) return (sec / s).toPrecision(2) + ' ' + u;
  return 'less than 1 second';
}
const samples = ['123456', 'Bangladesh', 'Dhaka@2024', 'rK7$wP2!', 'nodi-chaa-boi-kolom'];
for (const pw of samples) {
  const bits = pw.length * Math.log2(poolSize(pw));         // entropy-র সরল হিসাব
  const time = COMMON.includes(pw.toLowerCase())
    ? 'INSTANT - in common list!' : human(2 ** bits / 2 / RATE);  // গড়ে অর্ধেক খুঁজলেই মেলে
  console.log(pw.padEnd(20) + 'len ' + String(pw.length).padStart(2) +
    '  pool ' + String(poolSize(pw)).padStart(2) + '  ' + bits.toFixed(1).padStart(5) + ' bits  ' + time);
}

তাহলে নিয়মগুলো কী

• লম্বা: কমপক্ষে ১২-১৫ অক্ষর। সহজ পথ passphrase — এলোমেলো শব্দের মালা, যেমন (শুধু উদাহরণ, ব্যবহার করবেন না) kathal-meghna-ruti-sapla-tin.
• অনন্য: প্রতিটি অ্যাকাউন্টে আলাদা — credential stuffing-এর একমাত্র প্রতিষেধক।
• ব্যক্তিগত তথ্য নয়: নাম, জন্মতারিখ, মোবাইল নম্বর — Facebook দেখেই অনুমান করা যায়।
• অকারণে বদলানোর দরকার নেই: বারবার বাধ্যতামূলক বদলে মানুষ Rahim@1 থেকে Rahim@2-এ যায়। ফাঁস হলে তখনই বদলান।

Password manager — মাথার বদলে নিরাপদ সিন্দুক

৩০টি অ্যাকাউন্টের ৩০টি লম্বা পাসওয়ার্ড কেউ মুখস্থ রাখতে পারে না। সমাধান password manager — Bitwarden (ওপেন সোর্স), 1Password, বা ব্রাউজার-ফোনে থাকা Google Password Manager, Apple Passwords. আপনি মনে রাখেন একটি মাস্টার passphrase; বাকিটা সে করে:

আপনার মাথায় শুধু:
  মাস্টার passphrase (লম্বা, অনন্য)
  + vault-এর জন্য 2FA

shop.example-এ সাইন আপ
  → manager বানাল:
  t9#Qm-2vLr!xP8sWe4Zk   (২০ অক্ষর, এলোমেলো)
আরেকটি সাইটে → সম্পূর্ণ আলাদা:
  Hc7^pN3qY!8ruM2fVa0s

vault:
  shop.example   → ████████  🔒
  mail.example   → ████████  🔒
মাস্টার passphrase ছাড়া খোলে না —
ক্লাউডে সিঙ্কও হয় এনক্রিপ্টেড অবস্থায়

আসল সাইট:  shop.example   → ✔ নিজে পূরণ করল
ভুয়া সাইট: shop-example.login.example
                           → ✘ কিছুই পূরণ করল না

আমার তথ্য কি ফাঁস হয়েছে?

নিরাপত্তা-গবেষক Troy Hunt-এর বিনামূল্যের সাইট Have I Been Pwned (haveibeenpwned.com)-এ ইমেইল লিখলে দেখায়, প্রকাশ্যে আসা কোন কোন ফাঁসে সেটি ছিল। নাম এলে সেই পাসওয়ার্ড যেখানে যেখানে ব্যবহার করেছেন, বদলান। Google-এর “Password Checkup” আর অনেক password manager-ও এ কাজ করে।

৫ · 2FA আর passkey — পাসওয়ার্ড চুরি গেলেও দরজা বন্ধ

পরিচয় প্রমাণের তিন রকম “factor”: যা আপনি জানেন (পাসওয়ার্ড, PIN), যা আপনার কাছে আছে (ফোন, security key), আর যা আপনি নিজে (আঙুলের ছাপ, মুখ — biometric). 2FA মানে দুটি ভিন্ন ধরনের প্রমাণ; দুই বা তার বেশি হলে সাধারণ নাম MFA. ATM-এ কার্ড (আছে) আর PIN (জানেন) — পরিচিত 2FA. পাসওয়ার্ড + গোপন প্রশ্ন কিন্তু 2FA নয় — দুটিই “জানা” জিনিস।

একটি ছোট শপিং সাইট হ্যাক হলো
  → ফাঁস: rina@mail.example / Rina#2001
রিনা একই পাসওয়ার্ড দেন ইমেইলেও

আক্রমণকারীর হাতে:
  ✔ পাসওয়ার্ড    ✘ রিনার ফোন

ইমেইল:     rina@mail.example
পাসওয়ার্ড: •••••••••
          → ✔ পাসওয়ার্ড সঠিক

2FA না থাকলে এখানেই শেষ

সার্ভার: “আপনার ফোনে পাঠানো কোড দিন”

রিনার ফোনে:  কোড 4 8 3 9 1 7
আক্রমণকারী এটি দেখতে পায় না

আক্রমণকারী: কোড ??? → ✘ লগইন ব্যর্থ

রিনার ফোনে: “নতুন যন্ত্র থেকে লগইনের চেষ্টা”
  → রিনা পাসওয়ার্ড বদলালেন

📞 “আপা, সাপোর্ট থেকে বলছি, ভুল করে
   আপনার নম্বরে একটা কোড গেছে, বলবেন?”

রিনা: “৪৮৩৯১৭” → ✘ আক্রমণকারী ভেতরে

প্রতারক জাল কাগজে রিনার নম্বরের
নতুন SIM তুলে নিল
  রিনার ফোন:    No service
  প্রতারকের ফোন: OTP 4 8 3 9 1 7 ✔

✔ জরুরি অ্যাকাউন্টে authenticator
  অ্যাপ বা passkey
✔ কোনো কোড কাউকে নয়
✔ হঠাৎ “No service”? অপারেটরের
  অফিশিয়াল হেল্পলাইনে, দেরি না করে
✔ backup code কাগজে, নিরাপদে

Passkey — পাসওয়ার্ড ছাড়াই লগইন

২০২২ সাল থেকে Google, Apple আর Microsoft passkey চালু করছে: লগইনে শুধু ফোনের আঙুলের ছাপ, মুখ বা স্ক্রিন-লক PIN. ভেতরে একজোড়া চাবি — গোপনটি আপনার যন্ত্রে, সাইটে শুধু প্রকাশ্যটি। ডেটাবেস চুরি হলেও চুরির মতো পাসওয়ার্ড নেই, আর ডোমেইনে বাঁধা বলে ভুয়া সাইটে কাজই করে না। আঙুলের ছাপ সাইটে যায় না, শুধু ফোনের তালা খোলে (পর্ব ৪৪).

Account recovery — পেছনের দরজাও তালা দিন

যে পথে অ্যাকাউন্ট ফেরত পান, আক্রমণকারীও সেটা খোঁজে। উদ্ধারের ইমেইল-ফোন হালনাগাদ রাখুন; “প্রথম স্কুলের নাম” ধরনের প্রশ্নে সত্য নয়, password manager-এ রাখা এলোমেলো উত্তর দিন; backup code রাখুন; আর মাঝে মাঝে “Security Checkup” চালিয়ে দেখুন কোন কোন যন্ত্রে অ্যাকাউন্ট খোলা।

৬ · যন্ত্রের নিরাপত্তা — আপডেট, অ্যান্টিভাইরাস, firewall আর ব্যাকআপ

আপডেট কেন এত জরুরি — zero-day থেকে patch

বড় সফটওয়্যারে কিছু ভুল থাকে নিরাপত্তার ফাঁক — vulnerability. নির্মাতা জানার আগেই অপরাধীরা ফাঁক ব্যবহার শুরু করলে তা zero-day — সারানোর জন্য “শূন্য দিন”. কিন্তু বেশিরভাগ আক্রমণ হয় এমন ফাঁক দিয়ে, যার patch আগেই বেরিয়েছে, অথচ আপডেট করা হয়নি — patch বের হলে ফাঁকের খবরও প্রকাশ্যে আসে (ভাবনার প্রশ্ন ২).

তাই অপারেটিং সিস্টেম, ব্রাউজার আর অ্যাপে স্বয়ংক্রিয় আপডেট চালু রাখুন। যে ফোন বা Windows আর নিরাপত্তা-আপডেট পায় না (যেমন Windows 10-এর সাধারণ সাপোর্ট অক্টোবর ২০২৫-এ শেষ হয়েছে), তাতে ব্যাংকিং ঝুঁকিপূর্ণ। প্রতিষ্ঠানে আপডেট পরিকল্পনা করে, পরীক্ষা করে, সময়মতো বসানোর প্রক্রিয়াকে বলে patch management.

অ্যান্টিভাইরাস আর firewall

Windows 10 আর 11-এর Microsoft Defender বেশিরভাগ মানুষের জন্য যথেষ্ট — শুধু দেখুন চালু ও হালনাগাদ কি না (Windows Security → Virus & threat protection); দুটি পূর্ণ অ্যান্টিভাইরাস একসাথে নয়। অ্যান্টিভাইরাস শেষ রক্ষাকবচ, প্রথম নয়।

Firewall নেটওয়ার্কের দারোয়ান: অফিসের গেটের দারোয়ান যেমন খাতা দেখে কে ঢুকবে, firewall তেমনি নিয়ম মিলিয়ে ঠিক করে কোন সংযোগ ঢুকবে বা বেরোবে। Windows-এর firewall চালু রাখুন; রাউটারেও মৌলিক firewall থাকে। তবে phishing বা নিজের ইনস্টল করা trojan সে আটকায় না — শুধু সংযোগ দেখে।

Android আর মোবাইলের নিরাপত্তা

• অ্যাপ শুধু অফিশিয়াল স্টোর থেকে: “Install unknown apps” অনুমতি কোনো অ্যাপকে দেবেন না; Play Protect চালু রাখুন। স্টোরেও ভুয়া অ্যাপ ঢোকে — ডেভেলপার আর রিভিউ দেখুন।
• অনুমতি যাচাই: টর্চ অ্যাপের কেন SMS লাগবে? SMS-এর অনুমতি পেলে অ্যাপ OTP পড়তে পারে; “Accessibility” পেলে আপনার হয়ে স্ক্রিনে চাপ দিতে পারে। Settings-এর Permission manager মাঝে মাঝে দেখুন।
• স্ক্রিন লক: অন্তত ৬ অঙ্কের PIN, সাথে আঙুলের ছাপ বা মুখ। প্যাটার্ন লক কাঁধের ওপর দিয়ে দেখে সহজে অনুমান করা যায়।
• এনক্রিপশন: আধুনিক Android আর iPhone স্ক্রিন লক থাকলে নিজেই ডেটা এনক্রিপ্ট রাখে; Windows-এ BitLocker বা Device encryption. ফোন চুরি হলেও লক না খুলে ডেটা পড়া যায় না (পর্ব ৪৪).
• হারালে: Google-এর Find My Device বা Apple-এর Find My আগেই চালু রাখুন; বিক্রির আগে factory reset.

ব্যাকআপ — ransomware-এর আসল ওষুধ

পর্ব ৪-এ স্টোরেজের ধরন আর পর্ব ১৪-এ 3-2-1 নিয়ম দেখেছেন: ৩টি কপি, ২ ধরনের মাধ্যমে, ১টি অন্য জায়গায়। নিরাপত্তার শর্ত যোগ করুন — অন্তত একটি কপি offline, অর্থাৎ কম্পিউটারে সবসময় যুক্ত নয়। কেন, দেখুন:

 দোকান ক                 দোকান খ
 হিসাব.xlsx ✔            হিসাব.xlsx ✔
 ব্যাকআপ: USB ড্রাইভ,     ব্যাকআপ: প্রতি শুক্রবার
 সবসময় লাগানো          বাইরের ড্রাইভে, তারপর
                          খুলে আলমারিতে

দুই দোকানেই কেউ “ফ্রি” ক্র্যাক করা
হিসাবের সফটওয়্যার বসালেন
  → ভেতরে লুকানো ransomware
  → কয়েক ঘণ্টা চুপচাপ

 দোকান ক                 দোকান খ
 হিসাব.xlsx.locked       হিসাব.xlsx.locked
 USB ব্যাকআপ: .locked    আলমারির ড্রাইভ: অক্ষত

 স্ক্রিনে: “৭২ ঘণ্টার মধ্যে মুক্তিপণ দিন”

বিকল্প ১: মুক্তিপণ
  ✘ ফাইল ফেরতের নিশ্চয়তা নেই
  ✘ অপরাধে অর্থ জোগানো
  ✘ আবার নিশানা হতে পারে
বিকল্প ২: মাসের পর মাসের হিসাব হারানো

১. নেটওয়ার্ক থেকে বিচ্ছিন্ন
২. Windows পরিষ্কার করে নতুন ইনস্টল
৩. আলমারির ড্রাইভ থেকে ফাইল ফেরত
৪. পাসওয়ার্ড বদল, ক্র্যাক সফটওয়্যার বাদ

ক্ষতি: শুধু শুক্র থেকে মঙ্গলবারের কাজ
মুক্তিপণ: ০ টাকা

৭ · নেটওয়ার্ক আর সোশ্যাল মিডিয়া — পাবলিক Wi-Fi, VPN আর নিজের নিরাপত্তা

পাবলিক Wi-Fi আর VPN

ক্যাফে বা স্টেশনের খোলা Wi-Fi-তে অন্যরা কিছু তথ্য দেখতে পারে, কেউ আসলটির নামে ভুয়া hotspot-ও খুলতে পারে। HTTPS-এর কারণে ঝুঁকি কমেছে, তবু সেখানে ব্যাংকিং না করে নিজের মোবাইল ডেটা ব্যবহার করুন, নেটওয়ার্কের সঠিক নাম জেনে নিন, “auto-connect” বন্ধ রাখুন (পর্ব ৩১).

VPN (Virtual Private Network) আপনার যন্ত্র থেকে VPN সার্ভার পর্যন্ত এনক্রিপ্ট করা সুড়ঙ্গ বানায়:

অচেনা “ফ্রি” VPN অ্যাপ প্রায়ই তথ্য বিক্রি করে বা বিজ্ঞাপন ঢোকায়। আর বাসার রাউটার-এ: কারখানার “admin/admin” পাসওয়ার্ড বদলান, WPA2 বা WPA3 আর শক্ত Wi-Fi পাসওয়ার্ড দিন, WPS বন্ধ আর firmware হালনাগাদ রাখুন (পর্ব ৩১ আর ৩২).

সোশ্যাল মিডিয়ায় নিজেকে রক্ষা

• Privacy settings: Facebook-এর “Privacy Checkup” দিয়ে ঠিক করুন কে আপনার পোস্ট, বন্ধু-তালিকা, ফোন নম্বর আর জন্মতারিখ দেখবে।
• অতিরিক্ত শেয়ার নয়: বাসার ঠিকানা, সন্তানের স্কুল, “১০ দিনের জন্য কক্সবাজার” — চোর আর প্রতারকের দরকারি তথ্য; NID বা কার্ডের ছবি কখনো নয়।
• Sextortion: ঘনিষ্ঠ ছবি (আসল বা AI দিয়ে বানানো) দিয়ে ব্ল্যাকমেইল করলে টাকা দেবেন না (দাবি বাড়তেই থাকে), কথা বন্ধ করুন কিন্তু মুছবেন না, স্ক্রিনশট আর প্রোফাইল-লিংক রাখুন, প্ল্যাটফর্মে রিপোর্ট করুন, বিশ্বস্ত কাউকে ও পুলিশকে জানান। লজ্জা ভুক্তভোগীর নয়, অপরাধীর। StopNCII.org-এর মতো সেবা বড় প্ল্যাটফর্মে অন্তরঙ্গ ছবি ছড়ানো ঠেকাতে সাহায্য করে।
• Cyberbullying: অনলাইনে ধারাবাহিক অপমান, হুমকি বা ছবি বিকৃতি। ঝগড়া না বাড়িয়ে block আর report করুন, প্রমাণ রাখুন, পরিবার বা শিক্ষককে জানান। অভিভাবকের কাজ বকাবকি নয়, পাশে থাকা — নইলে পরের বার সন্তান কিছু বলবে না।

৮ · হ্যাক হলে কী করবেন — আর প্রতিষ্ঠানের নিরাপত্তার ভিত্তি

সতর্ক থাকার পরেও দুর্ঘটনা ঘটে। ঘটনার পর ঠান্ডা মাথায়, ক্রম মেনে কাজ করার পদ্ধতির নাম incident response. ব্যক্তির জন্য সহজ রূপ:

1. নিয়ন্ত্রণ ফেরানো: নিরাপদ একটি যন্ত্র থেকে পাসওয়ার্ড বদলান — সবার আগে ইমেইলের, কারণ সেটিই অন্য সবকিছুর রিসেট-চাবি। লগইন না হলে প্ল্যাটফর্মের অফিশিয়াল উদ্ধার-পাতা (যেমন facebook.com/hacked).
2. অনুপ্রবেশকারীকে বের করা: “Log out of all sessions/devices”, অচেনা যন্ত্র আর “connected apps” সরান, উদ্ধারের ইমেইল-ফোন যাচাই করুন (আক্রমণকারী প্রায়ই নিজেরটা বসায়), তারপর 2FA চালু।
3. টাকার ঝুঁকি থাকলে: সঙ্গে সঙ্গে ব্যাংক বা MFS-এর অফিশিয়াল হেল্পলাইনে জানান, কার্ড ব্লক করুন — দ্রুত জানালে লেনদেন আটকানোর সম্ভাবনা বেশি।
4. অন্যদের সতর্ক করা: পরিচিতদের অন্য মাধ্যমে জানান — “আমার নামে টাকা বা কোড চাইলে দেবেন না।”
5. প্রমাণ, রিপোর্ট আর শিক্ষা: স্ক্রিনশট, লেনদেন নম্বর, সময় রাখুন; প্ল্যাটফর্মে আর প্রয়োজনে থানায় অভিযোগ করুন। তারপর খুঁজুন কোন পথে ঢুকল — পুনর্ব্যবহৃত পাসওয়ার্ড, বলে দেওয়া OTP, না ভুয়া অ্যাপ — আর সেই দরজা বন্ধ করুন।

প্রতিষ্ঠান আর ছোট অফিসের চার খুঁটি

• Least privilege: যার যতটুকু দরকার, ততটুকু অনুমতি। প্রতিদিনের কাজ সাধারণ অ্যাকাউন্টে, administrator শুধু সেটিং বদলের সময়; কেউ চাকরি ছাড়লে সেদিনই অ্যাক্সেস বন্ধ। পর্ব ৪২-এর GRANT এরই ডেটাবেস-রূপ।
• আপডেট আর বৈধ সফটওয়্যার: patch management, ক্র্যাক সফটওয়্যার নয়।
• ব্যাকআপ আর পুনরুদ্ধারের মহড়া: 3-2-1, offline কপি, বছরে অন্তত একবার ফেরত আনার পরীক্ষা।
• কর্মীদের সচেতনতা: ছোট নিয়মিত প্রশিক্ষণ, আর এমন সংস্কৃতি যেখানে ভুল করে লিংকে চাপলে কর্মী ভয় না পেয়ে জানান। বস সেজে “জরুরি টাকা পাঠান” ইমেইল এলে ফোনে যাচাই। (পর্ব ৫০-এর ক্যাপস্টোনে এগুলো কাজে লাগাবেন।)

সাইবার নিরাপত্তায় ক্যারিয়ার

ব্যাংক, MFS, টেলিকম আর সফটওয়্যার কোম্পানিতে নিরাপত্তা-দক্ষ মানুষের চাহিদা বাড়ছে: SOC analyst, penetration tester (অনুমতি নিয়ে দুর্বলতা খোঁজা), incident responder, security engineer. ভিত্তি নেটওয়ার্ক, অপারেটিং সিস্টেম আর প্রোগ্রামিং — এই কোর্সের মডিউল ৪-৬. “ethical hacking” মানে সবসময় লিখিত অনুমতি; অনুমতি ছাড়া অন্যের সিস্টেমে ঢোকা অপরাধ। ক্যারিয়ারের বড় ছবি পর্ব ৪৮-এ।

৯ · AI-এর যুগে — নিখুঁত বাংলায় প্রতারণা, আর যাচাইয়ের নতুন অভ্যাস

একসময় phishing চেনার সহজ উপায় ছিল বানান ভুল আর আড়ষ্ট ভাষা। AI চ্যাটবট-এর যুগে প্রতারক নিখুঁত, ভদ্র বাংলায় হাজারো আলাদা বার্তা লিখিয়ে নিতে পারে। আরও ভয়ের voice cloning: সোশ্যাল মিডিয়ার কয়েক সেকেন্ডের ভিডিও থেকেই কণ্ঠের নকল সম্ভব। মাঝরাতে ফোন — ভাইয়ের গলা: “ভাই, বিপদে পড়েছি, এক্ষুনি এই নম্বরে টাকা পাঠাও, আম্মাকে বলিস না।” ভিডিও কলেও deepfake মুখ সম্ভব।

AI সহায়কও হতে পারে — সন্দেহজনক বার্তার লাল সংকেত খুঁজতে বা কোনো সেটিং কোথায় জানতে। তবে তার “নিরাপদ মনে হচ্ছে” রায় চূড়ান্ত নয়; সে ভুল করে (hallucination).

AI দিয়ে যাচাইয়ের চেকলিস্ট

• AI-কে কখনো আসল পাসওয়ার্ড, PIN, OTP, NID বা কার্ডের তথ্য দিইনি — ব্যক্তিগত অংশ মুছে তবেই পেস্ট করেছি
• AI “নিরাপদ” বললেও লিংকে চাপিনি; অফিশিয়াল অ্যাপ বা নিজের জানা ঠিকানায় নিজে যাচাই করেছি
• AI-এর দেওয়া হেল্পলাইন নম্বর বা ওয়েবসাইট অফিশিয়াল উৎস (কার্ড, অ্যাপ, আসল ওয়েবসাইট) থেকে মিলিয়ে নিয়েছি
• চেনা কণ্ঠ বা ভিডিওতে টাকা চাওয়া হলে ফোন কেটে নিজের সংরক্ষিত নম্বরে আবার ফোন করেছি বা সংকেত-শব্দ জিজ্ঞেস করেছি
• পরিবারের বয়স্ক সদস্যদের এই নিয়মগুলো সহজ ভাষায় বুঝিয়েছি — তাঁরাই প্রায়ই প্রধান নিশানা