বিআরটিএর নামে ফিশিং প্রতারণা, পেছনে চীনা হ্যাকার চক্রের সংশ্লিষ্টতার দাবি


বাংলাদেশ সড়ক পরিবহন কর্তৃপক্ষের (বিআরটিএ) নামে কৃত্রিম বুদ্ধিমত্তা বা এআই (AI) ক্যামেরায় ট্রাফিক মামলার ভয় দেখিয়ে ব্যাংক কার্ডের তথ্য চুরির উদ্দেশ্যে দেশজুড়ে ফিশিং প্রতারণা চক্র সক্রিয় হয়েছে। গাড়ি বা মোটরসাইকেল না থাকলেও সাধারণ মানুষের মোবাইলে “স্পিডিং ফাইন” বা গতিসীমা লঙ্ঘনের জরিমানার ভুয়া মেসেজ পাঠানো হচ্ছে।
মেসেজে দাবি করা হয়, এআই ক্যামেরায় গাড়িটির গতিসীমা লঙ্ঘনের অপরাধ ধরা পড়েছে। তবে এই মেসেজগুলো সাধারণত কোনো সরকারি কোড বা বিআরটিএর প্রাতিষ্ঠানিক মাস্কিং নাম থেকে আসে না। মেসেজের সাথে একটি লিংক যুক্ত থাকে। এই লিংকে ক্লিক করলে হুবহু বিআরটিএ-এর ওয়েবসাইটের মতো দেখতে একটি ফিশিং বা নকল সাইট ওপেন হয়। নকল ওয়েবসাইটে জরিমানা পরিশোধের নামে ব্যবহারকারীর নাম, গাড়ির নম্বর এবং ক্রেডিট বা ডেবিট কার্ডের তথ্য চাওয়া হয়। সেখানে তথ্য দিলে কার্ডের নিয়ন্ত্রণ প্রতারকদের হাতে চলে যায়।
বিষয়টিকে একটি আন্তর্জাতিক ফিশিং চক্রের কাজ বলে দাবি করেছেন সিস্টেম ইঞ্জিনিয়ার ওয়ালিউল ইসলাম নোহান। তার দাবি, প্রাথমিকভাবে এটিকে স্থানীয় প্রতারকদের কাজ বলে মনে হলেও অনুসন্ধানে দেখা গেছে, একই অবকাঠামো ব্যবহার করে বিশ্বের অন্তত ১০টি দেশের সরকারি সেবা ও জরিমানা আদায়সংক্রান্ত ওয়েবসাইট নকল করে প্রতারণা চালানো হচ্ছে।
ওয়ালিউল ইসলাম নোহান জানান, গতকাল রবিবার সকালে তার মোবাইল ফোনে একটি এসএমএস আসে। বার্তায় বলা হয়, বিআরটিএর পক্ষ থেকে গতিসীমা লঙ্ঘনের কারণে তাকে ১ হাজার ৫০০ টাকা জরিমানা করা হয়েছে এবং জরিমানা পরিশোধের জন্য একটি সন্দেহজনক শর্ট ইউআরএল পাঠানো হয়।
তিনি বলেন, প্রতারণার কৌশলটি ছিল অত্যন্ত সহজ। প্রথমে ভুক্তভোগীর কাছে ট্রাফিক আইন ভঙ্গের অভিযোগে জরিমানার বার্তা পাঠানো হয়। এরপর একটি ভুয়া ওয়েবসাইটে প্রবেশ করে জরিমানার টাকা কার্ডের মাধ্যমে পরিশোধ করতে বলা হয়। সেখানে কার্ড নম্বর ও অন্যান্য তথ্য দেওয়ার সঙ্গে সঙ্গেই প্রতারকদের হাতে চলে যায় সংবেদনশীল আর্থিক তথ্য।
ওয়ালিদের দাবি, অনুসন্ধানে তিনি citybill-wisead.top নামে একটি ভুয়া ওয়েবসাইট শনাক্ত করেন, যা বিআরটিএর সরকারি সেবা পোর্টাল bsp.brta.gov.bd-এর নকশা ও কার্যক্রম নকল করে তৈরি করা হয়েছে।
যেভাবে উন্মোচিত হলো প্রতারণার নেটওয়ার্ক
ওয়ালিউল ইসলাম নোহান জানান, একটি কাস্টম ডিক্রিপশন স্ক্রিপ্ট ব্যবহার করে তিনি হ্যাকারদের এনক্রিপশন ব্যবস্থা বাইপাস করেন এবং তাদের ব্যবহৃত সার্ভার থেকে ১১টি সক্রিয় প্রতারণামূলক ক্যাম্পেইনের কনফিগারেশন তথ্য উদ্ধার করেন।
তার ভাষ্য অনুযায়ী, অনুসন্ধানের সময় প্রথমে সংশ্লিষ্ট সার্ভারের সেলফ-সাইনড বা অবৈধ এসএসএল সার্টিফিকেটের বাধা অতিক্রম করা হয়। এরপর একটি নির্দিষ্ট এন্ডপয়েন্ট থেকে এনক্রিপ্টেড ডেটা সংগ্রহ করে কী-হ্যাশিংয়ের মাধ্যমে ব্যবহৃত আরএসএ কী জোড়া শনাক্ত করা হয়। পরবর্তীতে হাইব্রিড এনক্রিপশন ভেঙে মূল কনফিগারেশন তথ্য উদ্ধার করা সম্ভব হয়।
তিনি বলেন, বিশ্লেষণে দেখা যায়, একই কমান্ড অ্যান্ড কন্ট্রোল (সি-টু) প্যানেল থেকে একযোগে বিভিন্ন দেশের নাগরিকদের টার্গেট করা হচ্ছে। বাংলাদেশের ক্ষেত্রে বিআরটিএর সেবা পোর্টাল নকল করা হয়েছে। ভুক্তভোগীদের ফাঁদে ফেলতে বাংলাদেশের প্রচলিত মোবাইল নম্বরের দৈর্ঘ্য এবং +৮৮০ কান্ট্রি কোডও সিস্টেমে নির্ধারণ করে দেওয়া হয়েছে।
১০ দেশে একই ধরনের প্রতারণা
ওয়ালিদের দাবি, বাংলাদেশ ছাড়াও ফ্রান্সের সরকারি জরিমানা আদায় পোর্টাল, দক্ষিণ আফ্রিকার ট্রাফিক জরিমানা ব্যবস্থা এবং লাটভিয়ার ডাকসেবা প্ল্যাটফর্মসহ মোট ১০টি দেশের সরকারি বা জনসেবা সংশ্লিষ্ট ওয়েবসাইটের আদলে পৃথক ফিশিং ক্যাম্পেইন পরিচালনা করা হচ্ছে।
তিনি বলেন, প্রতিটি ক্যাম্পেইনে রিয়েল-টাইম ডেটা চুরির জন্য একই ওয়েবসকেট সার্ভার ব্যবহার করা হয়েছে। এছাড়া সব ক্যাম্পেইনে অভিন্ন একটি স্ট্যাটিক এএইএস কী পাওয়া গেছে, যা থেকে ধারণা করা হচ্ছে— পুরো কার্যক্রমের পেছনে একই হুমকি-সৃষ্টিকারী গোষ্ঠী কাজ করছে।
তার দাবি, বিভিন্ন দেশের সরকারি প্রতিষ্ঠানের লোগো ও অন্যান্য স্ট্যাটিক ফাইল চীনের একটি নির্দিষ্ট স্টোরেজ সার্ভারে সংরক্ষণ করা হয়েছে, যা এই অবকাঠামোর আন্তর্জাতিক সংযোগের ইঙ্গিত দেয়।
ওয়ালিউল ইসলাম নোহান জানান, বিষয়টি শনাক্ত হওয়ার পর তিনি কয়েকটি পদক্ষেপ নিয়েছেন। এর মধ্যে রয়েছে সংশ্লিষ্ট ডোমেইন রেজিস্ট্রার এবং লোগো হোস্টিং সেবাদাতার কাছে প্রতারণামূলক অবকাঠামো বন্ধের অনুরোধ পাঠানো, গুগল সেফ ব্রাউজিংসহ বিভিন্ন থ্রেট ইন্টেলিজেন্স প্ল্যাটফর্মে ডোমেইন ও আইপি তথ্য জমা দেওয়া এবং বিআরটিএর তথ্যপ্রযুক্তি বিভাগ ও স্থানীয় সাইবার অপরাধ প্রতিরোধ ইউনিটকে সংশ্লিষ্ট তথ্য সরবরাহ করা।
ওয়ালিউল ইসলাম নোহান বলেন, এ ধরনের ফিশিং ওয়েবসাইটগুলো সাধারণত পেমেন্ট সফল বা ব্যর্থ দেখানোর পর ব্যবহারকারীকে আসল সরকারি ওয়েবসাইটে পুনর্নির্দেশ (রিডাইরেক্ট) করে। ফলে অনেকেই বুঝতে পারেন না যে এর আগেই তাদের ব্যাংক কার্ডের তথ্য প্রতারকদের হাতে চলে গেছে।
তিনি নাগরিকদের সতর্ক করে বলেন, সরকারি জরিমানা, ওটিপি বা আর্থিক লেনদেনসংক্রান্ত কোনো ওয়েবসাইট ব্যবহারের আগে অবশ্যই ডোমেইন ঠিকানা যাচাই করতে হবে। বিশেষ করে বাংলাদেশের সরকারি সেবার ক্ষেত্রে ডোমেইনের শেষে .gov.bd না থাকলে সেখানে কোনো ধরনের ব্যক্তিগত তথ্য, ওটিপি কিংবা ব্যাংক কার্ডের তথ্য দেওয়া থেকে বিরত থাকার পরামর্শ দেন তিনি।
আসল ট্রাফিক মামলার নিয়ম কী?
ডিএমপির মিডিয়া অ্যান্ড পাবলিক রিলেশনস বিভাগ এবং বিআরটিএ স্পষ্ট করেছে যে, বিআরটিএ সরাসরি কোনো ট্রাফিক মামলার জরিমানা বা পেমেন্ট এভাবে নেয় না। এআই ট্রাফিক সিস্টেমের মাধ্যমে আসল মামলা হলে তা গাড়ির নিবন্ধিত নম্বরের বিপরীতে সরাসরি সরকারি ডাটাবেজে যুক্ত হয় এবং নির্দিষ্ট সরকারি পোর্টালে গিয়েই কেবল তা যাচাই ও পরিশোধ করা যায়।
সাম্প্রতিক সময়ে সরকারি প্রতিষ্ঠানের নাম ব্যবহার করে ফিশিং হামলার প্রবণতা বেড়েছে। তাই অপরিচিত লিংকে ক্লিক না করা, বার্তার উৎস যাচাই করা এবং আর্থিক তথ্য দেওয়ার আগে ওয়েবসাইটের ঠিকানা নিশ্চিত হওয়া জরুরি।



