पीएचपी सुरक्षा जोखिमले बैंकिङ क्षेत्रमा हलचल, राष्ट्र बैंकदेखि बैंकका वेबसाइटसम्म बन्द

काठमाडौं । विश्वभर वेबसाइट तथा अनलाइन प्रणाली सञ्चालनमा प्रयोग हुने पीएचपी प्रोग्रामिङ प्रविधिमा गम्भीर सुरक्षा कमजोरी देखिएपछि नेपालको बैंकिङ क्षेत्रमा समेत त्यसको प्रभाव परेको छ। सम्भावित साइबर आक्रमणबाट प्रणाली र ग्राहकका विवरण सुरक्षित राख्न नेपाल राष्ट्र बैंकसहित विभिन्न बैंक तथा वित्तीय संस्थाले आफ्ना वेबसाइट र वेबमा आधारित केही सेवा अस्थायी रूपमा बन्द गरेका छन्।

प्रविधिमा देखिएको जोखिमलाई ध्यानमा राख्दै बैंकहरूले प्रणालीको सुरक्षा परीक्षण, प्राविधिक सुधार र सम्भावित अनधिकृत पहुँच नियन्त्रणका उपाय अघि बढाएका छन्। जोखिमको प्रकृति र आफ्नो प्रणालीको अवस्थाअनुसार बैंकहरूले फरक–फरक सेवा बन्द गरेका छन्। कतिपयले आधिकारिक वेबसाइट नै बन्द गरेका छन् भने केहीले निश्चित अनलाइन पोर्टल तथा डिजिटल सेवामा रोक लगाएका छन्।

यसअघि राष्ट्रिय साइबर सुरक्षा केन्द्रले पनि पीएचपी प्रविधिमा देखिएका सुरक्षा कमजोरीलाई मध्यनजर गर्दै आपत्कालीन साइबर सुरक्षा एड्भाइजरी जारी गरेको थियो। केन्द्रले सरकारी निकाय, सार्वजनिक सेवा प्रदायक तथा वेबसाइट सञ्चालकलाई आफ्नो प्रणालीको सुरक्षा अवस्था तत्काल परीक्षण गर्न र आवश्यक सतर्कता अपनाउन निर्देशन दिएको थियो।

केन्द्रका अनुसार पीएचपीसँग सम्बन्धित विभिन्न रनटाइम तथा वेब प्रविधिमा आधारित प्रणालीहरू जोखिममा पर्न सक्ने सम्भावना छ। यसमा अपाचे, मोड_पीएचपी, पीएचपी–एफपीएम, पीएचपी–सीजीआई, फ्रान्केनपीएचपी र लाइटस्पिडजस्ता प्रविधिका साथै वर्डप्रेस तथा ड्रुपलजस्ता प्लेटफर्मसमेत पर्छन्। यी प्रविधिमा आधारित प्रणालीमा कमजोरी रहेमा त्यसको दुरुपयोगबाट अनधिकृत पहुँच तथा अन्य साइबर जोखिम उत्पन्न हुन सक्छ।

जोखिम न्यूनीकरणका लागि केन्द्रले प्रणालीमा प्रयोग भइरहेको पीएचपी संस्करण अद्यावधिक गर्न, आवश्यक सुरक्षा प्याच लागू गर्न र पुराना संस्करणमा रहेका कमजोरी हटाउन निर्देशन दिएको थियो। तत्काल अद्यावधिक गर्न नसकिने अवस्थामा जोखिमयुक्त प्रणालीलाई सार्वजनिक इन्टरनेटबाट अलग राखेर सेवा अस्थायी रूपमा बन्द गर्नसमेत सुझाव दिइएको थियो।

नेपाल राष्ट्र बैंकले पनि आफ्नो आधिकारिक वेबसाइटलगायत वेबमा आधारित सेवाहरू अस्थायी रूपमा बन्द गरेको छ। केन्द्रीय बैंकले बैंक तथा वित्तीय संस्था, भुक्तानी प्रणाली सञ्चालक, भुक्तानी सेवा प्रदायक र विप्रेषण कम्पनीहरूलाई प्रणालीको सुरक्षा सबलीकरण गर्न तथा नियमित सुरक्षा निगरानी बढाउन निर्देशन दिएको छ।

राष्ट्र बैंकको निर्देशन र राष्ट्रिय साइबर सुरक्षा केन्द्रको एड्भाइजरीपछि बैंकहरूले आफ्ना डिजिटल प्रणालीको सुरक्षा सुनिश्चित गर्न सावधानीका उपाय अपनाएका हुन्। ग्लोबल आइएमई बैंकले प्रणालीको सुरक्षा तथा मर्मतसम्भारका लागि डिजिटल युनिभर्स सेवा अस्थायी रूपमा बन्द गरेको जनाएको छ। उक्त सेवाअन्तर्गत एटीएम कार्ड प्रतिस्थापन, अनलाइन चेक क्लियरिङ र क्यास डिपोजिट मेसिनसँग सम्बन्धित सेवा प्रभावित भएका छन्। बैंकका अनुसार अन्य बैंकिङ सेवा भने सञ्चालनमा छन्।

नबिल बैंकले एनबैंक माइक्रोसाइट, जेनअल्फा एप, अनलाइन डेबिट तथा क्रेडिट कार्ड अनुरोध र मुद्दती निक्षेप कर्जासम्बन्धी सेवामा अस्थायी प्रभाव परेको जनाएको छ। प्राइम कमर्सियल बैंकले अनलाइन खाता खोल्ने पोर्टल, अनलाइन मुद्दती निक्षेप सेवा, ग्राहक पोर्टल, अनलाइन खाता रोक्का तथा ब्यालेन्स सर्टिफिकेट प्रमाणीकरण पोर्टल बन्द गरेको छ।

त्यस्तै, एनआईसी एसिया बैंकले जोखिम मूल्याङ्कन र प्रणाली सुरक्षित बनाउने प्रक्रियाअन्तर्गत आफ्नो आधिकारिक वेबसाइट तथा अन्य वेब सेवाहरू अस्थायी रूपमा बन्द गरेको छ। सिद्धार्थ बैंकले पनि आधिकारिक वेबसाइट र त्यसबाट सञ्चालन हुने अनलाइन सेवाहरू स्थगित गरेको जनाएको छ। माछापुच्छ्रे बैंकले पीएचपीमा आधारित प्रणाली अद्यावधिक गर्न वेबसाइट तथा केही वेब सेवाहरू बन्द गरेको छ भने नेपाल इन्भेष्टमेन्ट मेगा बैंकले सुरक्षा मर्मतसम्भार र प्रणाली अद्यावधिकका लागि आफ्नो आधिकारिक वेबसाइट अस्थायी रूपमा बन्द गरेको छ।

यसरी बैंकहरूले जोखिमको प्रकृति र प्राविधिक अवस्थाअनुसार विभिन्न सेवा बन्द गरेका छन्। केही बैंकले मुख्य बैंकिङ कारोबार तथा मोबाइल बैंकिङ सञ्चालनमा रहेको जानकारी दिएका छन्। यद्यपि, सबै बैंकका सेवा समान रूपमा प्रभावित भएका छैनन् र बन्द गरिएका सबै सेवा पुनः सञ्चालनमा आइसकेका छन् भन्ने पुष्टि पनि भएको छैन।

पीएचपी वेबसाइट तथा वेब एप्लिकेसन निर्माणमा विश्वव्यापी रूपमा प्रयोग हुने प्रोग्रामिङ भाषा हो। बैंकिङ सेवा, अनलाइन आवेदन, ग्राहक विवरण व्यवस्थापन तथा सार्वजनिक सूचना प्रणालीमा समेत यसमा आधारित प्रविधि प्रयोग हुन सक्छ। त्यसैले यस्तो प्रणालीमा गम्भीर सुरक्षा कमजोरी देखिँदा त्यसको असर वेबसाइटमा मात्र सीमित नरही सम्बन्धित अनलाइन सेवाको सुरक्षासम्म पुग्न सक्छ।

सुरक्षा कमजोरीको दुरुपयोग भएमा आक्रमणकारीले प्रणालीमा अनधिकृत पहुँच प्राप्त गर्ने, सर्भरमा हानिकारक कमान्ड सञ्चालन गर्ने वा वेबसाइट तथा सम्बन्धित सेवामा असर पुर्‍याउने जोखिम रहन्छ। यद्यपि, जोखिमको वास्तविक स्तर प्रयोग गरिएको संस्करण, प्रणालीको बनावट र अपनाइएका सुरक्षा उपायमा निर्भर हुन्छ।

यस विषयमा सार्वजनिक भएका विवरणअनुसार कृत्रिम बौद्धिकता (एआई) को प्रयोगबाट लामो समयदेखि कोडमा रहेका केही सुरक्षा कमजोरी पहिचान गर्न सहयोग पुगेको उल्लेख छ। कमजोरी सार्वजनिक भएपछि त्यसको दुरुपयोग गर्ने प्रयास बढ्न सक्ने भएकाले पुराना तथा अद्यावधिक नगरिएका प्रणालीमाथि विशेष सतर्कता आवश्यक मानिएको छ।