নয়ডায় সাইবার অপরাধের একটি মামলায় সেক্টর-৬৫-এ অবস্থিত ফিনটেক সংস্থা রিনোভা পেটেকের সার্ভারে হ্যাকিং করে ২,৪২,৬৫,৫৭৬ টাকা স্থানান্তরের অভিযোগ উঠেছে। অভিযোগ অনুযায়ী, এপিআই পোর্টাল ব্যবহার করে কয়েক ঘণ্টার মধ্যে অর্থটি ভাগ করে ২৮টি আলাদা ব্যাংকের ৫৮টি অ্যাকাউন্টে মোট ৪৯৭টি লেনদেনের মাধ্যমে পাঠানো হয়। সংস্থার পরিচালকের অভিযোগের ভিত্তিতে সাইবার ক্রাইম থানায় এফআইআর দায়ের হয়েছে এবং পুলিশ লেনদেনের সম্পূর্ণ শৃঙ্খল খতিয়ে দেখছে।
যে সংস্থাকে লক্ষ্য করা হয়েছে, তার নাম রিনোভা পেটেক। সংস্থাটির সদর দফতর নয়ডায় এবং এটি ডিজিটাল ও আর্থিক পরিষেবার সঙ্গে যুক্ত। ডিজিটাল প্ল্যাটফর্মের মাধ্যমে স্থানীয় দোকানদারদের ব্যাংকিং ও আর্থিক পরিষেবা দেওয়ার ক্ষেত্রে সংস্থাটি সহায়তা করে।
সংস্থার প্ল্যাটফর্মে মোবাইল ও ডিটিএইচ রিচার্জ, বিদ্যুৎ-পানি-গ্যাসের বিল পরিশোধ, আধার-ভিত্তিক পেমেন্ট পরিষেবা, মাইক্রো এটিএম এবং ঘরোয়া অর্থ স্থানান্তরের মতো পরিষেবা পরিচালিত হয়। ফলে সার্ভার ও এপিআই সিস্টেমে অননুমোদিত প্রবেশের পর সরাসরি আর্থিক লেনদেন হওয়ার বিষয়টি তদন্তের গুরুত্বপূর্ণ অংশ হয়ে উঠেছে।
সংস্থার পরিচালক রাজকুমার পুলিশের কাছে দেওয়া অভিযোগে জানিয়েছেন, ১৩ সেপ্টেম্বর দুপুর প্রায় ১২টা থেকে রাত ৮টার মধ্যে সংস্থার সার্ভারের সঙ্গে কারসাজি করা হয়। ওই সময়ের মধ্যেই এপিআই পোর্টালের মাধ্যমে সংস্থার অ্যাকাউন্ট থেকে ২,৪২,৬৫,৫৭৬ টাকা স্থানান্তর করা হয় বলে অভিযোগ।
অর্থটি একবারে কোনো একটি অ্যাকাউন্টে পাঠানো হয়নি। বরং শত শত ছোট-বড় লেনদেনে ভাগ করে বিভিন্ন অ্যাকাউন্টে স্থানান্তর করা হয়। পুলিশ এখন প্রতিটি লেনদেনের রেকর্ড খতিয়ে দেখছে, যাতে অর্থের শেষ প্রাপক এবং পরে হওয়া লেনদেনের তথ্য পাওয়া যায়।
সাইবার অপরাধীরা কীভাবে সংস্থার সিস্টেমে প্রবেশ করেছিল, সেটিই তদন্তের অন্যতম গুরুত্বপূর্ণ প্রশ্ন। তদন্তকারী সংস্থাগুলি খতিয়ে দেখছে, কোনো লগইন আইডি ও পাসওয়ার্ড চুরি করা হয়েছিল কি না, এপিআইয়ের কোনো নিরাপত্তা দুর্বলতার সুযোগ নেওয়া হয়েছিল কি না, অথবা অন্য কোনো উপায়ে সার্ভারে প্রবেশ করা হয়েছিল কি না।
হ্যাকিংয়ের পদ্ধতি নিয়ে পুলিশ এখনও কোনো চূড়ান্ত সিদ্ধান্ত দেয়নি। প্রযুক্তিগত তদন্ত শেষ হওয়ার পরই হামলাকারীরা কীভাবে সিস্টেমের নিরাপত্তা ভেদ করেছিল, তা স্পষ্ট হতে পারে।
সংস্থার পক্ষ থেকে ন্যাশনাল সাইবার ক্রাইম রিপোর্টিং পোর্টালেও প্রায় ১০টি অভিযোগ দায়ের করা হয়েছে। পুলিশ এই অভিযোগগুলির সঙ্গে ব্যাংকিং লেনদেনের রেকর্ড মিলিয়ে দেখছে।
৪৯৭টি লেনদেনের মাধ্যমে অর্থ বিভিন্ন অ্যাকাউন্টে পৌঁছেছে। তাই তদন্তকারীদের প্রতিটি লেনদেনের সংযোগ আলাদাভাবে যাচাই করতে হবে। এর মাধ্যমে কোন অ্যাকাউন্ট সরাসরি অর্থ গ্রহণে ব্যবহার করা হয়েছে এবং কোন অ্যাকাউন্ট থেকে পরে অর্থ অন্যত্র পাঠানো হয়েছে, তা নির্ধারণে সহায়তা মিলতে পারে।
পুলিশ আধিকারিকদের মতে, সাইবার ক্রাইম দল অর্থ গ্রহণকারী ব্যাংক অ্যাকাউন্টগুলির তথ্য সংগ্রহ করছে। পাশাপাশি সাইবার বিশেষজ্ঞদের সহায়তায় ডিজিটাল সিস্টেম ও সার্ভার পরীক্ষা করা হচ্ছে।
তদন্তে সার্ভার লগ, এপিআই কার্যকলাপ, লগইন রেকর্ড এবং সংশ্লিষ্ট ডিজিটাল প্রমাণকে গুরুত্বপূর্ণ বলে বিবেচনা করা হচ্ছে। এসব প্রমাণ থেকে ঘটনার সময় কোন সিস্টেম থেকে কী কার্যকলাপ হয়েছিল এবং অননুমোদিত লেনদেন কীভাবে করা হয়েছিল, তা জানা যেতে পারে।
রিপোর্ট অনুযায়ী, প্রায় আট ঘণ্টার মধ্যে ৪৯৭টি লেনদেন করা হয়। অর্থ বিভিন্ন ব্যাংক অ্যাকাউন্টে পাঠানো হয়েছিল। দীর্ঘ সময় ধরে এই কার্যকলাপ সংস্থার নজরে না আসার বিষয়টিও পুলিশ খতিয়ে দেখছে।
অর্থ আলাদা আলাদা ব্যাংক অ্যাকাউন্টে পাঠানোর মাধ্যমে পুরো কার্যকলাপকে স্বাভাবিক লেনদেনের মতো দেখানোর চেষ্টা করা হয়েছিল কি না, সেটিও তদন্তের বিষয়। তবে এর প্রকৃত উদ্দেশ্য ও পদ্ধতি পুলিশি তদন্ত শেষ হওয়ার পরই স্পষ্ট হবে। সংস্থার সিস্টেমে কোনো সতর্কতা বা অস্বাভাবিক কার্যকলাপ নথিভুক্ত হয়েছিল কি না, তাও দেখা হচ্ছে।
তদন্তকারীদের কাছে অর্থের গতিপথ বা মানি ট্রেল অন্যতম গুরুত্বপূর্ণ বিষয়। ২.৪২ কোটি টাকা ৫৮টি অ্যাকাউন্টে পৌঁছেছে বলে জানা গেছে।
পুলিশ এখন ওই অ্যাকাউন্টগুলির ধারক কারা, কী উদ্দেশ্যে অ্যাকাউন্টগুলি ব্যবহার করা হয়েছিল এবং অর্থ পৌঁছানোর পর তার কতটা অন্য অ্যাকাউন্টে স্থানান্তর বা তুলে নেওয়া হয়েছে, তা খতিয়ে দেখছে। সাইবার অপরাধের ক্ষেত্রে অর্থ একাধিক স্তরে বিভিন্ন অ্যাকাউন্টে পাঠানো হতে পারে। তাই প্রতিটি স্তরের রেকর্ড সংগ্রহ তদন্তের অংশ।
ঘটনায় শুধুমাত্র বাইরের সাইবার অপরাধীদের ভূমিকা ছিল, নাকি সংস্থার সিস্টেম ও কাজের পদ্ধতি সম্পর্কে জানতেন এমন কেউ যুক্ত ছিলেন, সেটিও পুলিশ তদন্ত করছে।
রিপোর্ট অনুযায়ী, কোনো পরিচিত ব্যক্তির ভূমিকার সম্ভাবনার দিকেও তদন্তকারী দল নজর দিচ্ছে। তবে এখনও কোনো ব্যক্তির ভূমিকা নিয়ে চূড়ান্ত সিদ্ধান্ত সামনে আসেনি। কোনো কর্মী বা পরিচিত ব্যক্তির বিরুদ্ধে অভিযোগ প্রতিষ্ঠার আগে ডিজিটাল ও আর্থিক প্রমাণের ভিত্তিতে তার ভূমিকা নির্ধারণ করতে হবে।
রিনোভা পেটেকের প্রতিষ্ঠা ফেব্রুয়ারি ২০২৪ সালে। সংস্থাটি ডিজিটাল প্ল্যাটফর্ম ও সফটওয়্যারের মাধ্যমে খুচরো দোকানদারদের ব্যাংকিং ও আর্থিক পরিষেবা দিতে সহায়তা করে।
এই ধরনের প্ল্যাটফর্মে বিভিন্ন পেমেন্ট ও ব্যাংকিং পরিষেবা প্রযুক্তিগত সিস্টেমের সঙ্গে যুক্ত থাকে। ফলে সার্ভার বা এপিআইয়ের নিরাপত্তায় ফাঁক থাকলে আর্থিক লেনদেন প্রভাবিত হতে পারে। এই কারণেই পুলিশ ব্যাংক অ্যাকাউন্টের পাশাপাশি সংস্থার প্রযুক্তিগত পরিকাঠামোও পরীক্ষা করছে।
সাইবার বিশেষজ্ঞদের মতে, সার্ভারে অননুমোদিত প্রবেশের জন্য দুর্বল পাসওয়ার্ড, চুরি হওয়া লগইন তথ্য, অনিরাপদ এপিআই, পুরনো সফটওয়্যার অথবা কর্মীদের পাঠানো সন্দেহজনক লিঙ্কের মতো বিভিন্ন মাধ্যম ব্যবহার করা যেতে পারে।
আর্থিক পরিষেবা প্রদানকারী সংস্থাগুলিতে এপিআই বিভিন্ন সিস্টেম ও পেমেন্ট পরিষেবাকে সংযুক্ত করে। ফলে এপিআইয়ের নিরাপত্তায় দুর্বলতা থাকলে হামলাকারীরা অননুমোদিত লেনদেন করার চেষ্টা করতে পারে। তবে নয়ডার এই ঘটনায় প্রকৃত প্রযুক্তিগত পদ্ধতি তদন্ত শেষ হওয়ার পরই জানা যাবে।
নয়ডায় সার্ভার হ্যাক করে আর্থিক অর্থ সরিয়ে নেওয়ার এটি প্রথম ঘটনা নয়। এর আগে জুন ২০২৪ সালে সেক্টর-৬২-এ অবস্থিত নৈনিতাল ব্যাংকের একটি শাখার সার্ভার থেকে প্রায় ১৬.৭১ কোটি টাকা সন্দেহজনক লেনদেনের মাধ্যমে বিভিন্ন অ্যাকাউন্টে স্থানান্তর করা হয়েছিল।
ওই ঘটনায় তদন্তের সময় ব্যাংক ম্যানেজারের লগইন আইডি ও পাসওয়ার্ড ব্যবহার করে আরটিজিএস চ্যানেলে প্রবেশের বিষয়টি সামনে এসেছিল। নতুন ঘটনার পর পুরনো সাইবার অপরাধের ধরনগুলিও খতিয়ে দেখা হচ্ছে।
ঘটনায় আর্থিক সংস্থাগুলির ডিজিটাল সিস্টেমের নিরাপত্তার বিষয়টিও তদন্তের অংশ হয়েছে। ফিনটেক সংস্থাগুলি দ্রুত ডিজিটাল পরিষেবা দেওয়ার জন্য একাধিক অনলাইন সিস্টেম ও পেমেন্ট নেটওয়ার্কের সঙ্গে যুক্ত থাকে। এসব সিস্টেমে অননুমোদিত প্রবেশ হলে সরাসরি আর্থিক ক্ষতি হতে পারে।
পুলিশ বর্তমানে এফআইআর দায়ের করে তদন্ত শুরু করেছে। সাইবার ক্রাইম দল ব্যাংক অ্যাকাউন্টের তথ্য সংগ্রহের পাশাপাশি অর্থের গতিপথ খতিয়ে দেখছে। ২.৪২ কোটি টাকা কার কার কাছে পৌঁছেছে এবং পরে কোথায় কোথায় পাঠানো হয়েছে, তা নির্ধারণের চেষ্টা চলছে।
একই সঙ্গে সার্ভারে প্রবেশকারী সাইবার অপরাধীদের শনাক্ত করতে প্রযুক্তিগত প্রমাণ সংগ্রহ করা হচ্ছে। তদন্ত এগোনোর সঙ্গে ব্যাংক অ্যাকাউন্টের ধারকদের জিজ্ঞাসাবাদ, ডিজিটাল ডিভাইস ও লেনদেন-সংক্রান্ত রেকর্ড পরীক্ষা এবং সার্ভারের ফরেনসিক পরীক্ষা গুরুত্বপূর্ণ হতে পারে।
কোনো অ্যাকাউন্টে প্রতারণার অর্থ পৌঁছানোর পর তা অন্য অ্যাকাউন্টে পাঠানো হয়ে থাকলে পুলিশ পুরো অর্থের গতিপথ অনুসরণ করার চেষ্টা করবে। এখনও কোনো অভিযুক্তের গ্রেফতারের তথ্য সামনে আসেনি।
