साइबर जोखिमले बैंकिङ क्षेत्रमा हलचल: सात बैंकका वेबसाइटदेखि अनलाइन सेवासम्म बन्द, कैयन दशैंको रमझममै व्यस्त हुँदा समस्याप्रति बेखबर

काठमाण्डौ । वेबसाइट सञ्चालनमा प्रयोग हुने प्रोग्रामिङ भाषा पीएचपीमा गम्भीर सुरक्षा कमजोरी देखिएपछि नेपालका बैंकहरूले धमाधम वेबसाइट तथा केही अनलाइन सेवा अस्थायी रूपमा बन्द गर्न थालेका छन्। दशैंको बिदाबीच सार्वजनिक भएका बैंकका सूचनाले डिजिटल पूर्वाधारको सुरक्षा र सेवा निरन्तरतामाथि चुनौती थपिएको देखाएका छन्।

उपलब्ध सूचनाअनुसार ग्लोबल आइएमई बैंक, माछापुच्छ्रे बैंक, नबिल बैंक, एनआईसी एशिया बैंक, नेपाल इन्भेष्टमेन्ट मेगा बैंक, प्राइम कमर्सियल बैंक र सिद्धार्थ बैंकले वेबसाइट वा निश्चित डिजिटल सेवा अस्थायी रूपमा अनुपलब्ध हुने जानकारी दिएका छन्। केहीले पीएचपीमा देखिएको जोखिम स्पष्ट उल्लेख गरेका छन् भने केहीले सुरक्षा परीक्षण, मर्मतसम्भार र प्रणाली अद्यावधिकलाई कारण बताएका छन्।

तर यी सूचनाले सबै बैंकका सम्पूर्ण अनलाइन कारोबार बन्द भएको वा बैंकिङ प्रणालीमा सफल साइबर आक्रमण भएको पुष्टि गर्दैनन्। कुन बैंकको कुन सेवा प्रभावित छ भन्ने विवरण फरक छ। उपलब्ध सात सूचनाका आधारमा मात्रै ‘दर्जनौं बैंकका सेवा बन्द’ भएको निष्कर्ष निकाल्न पनि मिल्दैन।

कुन बैंकको कुन सेवा प्रभावित ?

एनआईसी एशिया बैंकले विश्वव्यापी रूपमा पीएचपीमा देखिएको गम्भीर सुरक्षा कमजोरी र सम्भावित जोखिमलाई ध्यानमा राखेर आधिकारिक वेबसाइट तथा अन्य ई–सर्भिस अस्थायी रूपमा बन्द गरेको जनाएको छ। जोखिम मूल्याङ्कन भइरहेको र आवश्यक समस्या समाधानपछि सेवा पुनः सञ्चालन गर्ने बैंकको भनाइ छ।

सिद्धार्थ बैंकले पनि पीएचपीको सुरक्षा संवेदनशीलतालाई कारण देखाउँदै आधिकारिक वेबसाइट र वेबसाइटबाट उपलब्ध हुने अनलाइन सेवा अस्थायी रूपमा बन्द गरेको छ। बैंकले प्रणाली सुरक्षित बनाएपछि यथाशीघ्र सेवा सञ्चालन गर्ने जनाएको छ।

माछापुच्छ्रे बैंकले पीएचपीमा आधारित वेबसाइटमा देखिएको जोखिमबाट सम्भावित समस्या रोक्न प्रणाली अद्यावधिक गर्नुपरेकाले आफ्नो वेबसाइट र वेबमा आधारित केही सेवा केही समयका लागि बन्द गरेको जानकारी दिएको छ।

प्राइम कमर्सियल बैंकले विश्वव्यापी सुरक्षा जोखिमलाई ध्यानमा राखेर पाँचवटा अनलाइन पोर्टल अर्को सूचना नआएसम्म बन्द गरेको छ। बन्द गरिएका सेवामा अनलाइन खाता खोल्ने, अनलाइन मुद्दती निक्षेप खोल्ने, ग्राहक पोर्टल, अनलाइन खाता रोक्का गर्ने र मौज्दात प्रमाणपत्र प्रमाणीकरण गर्ने पोर्टल छन्।

ग्लोबल आइएमई बैंकले ग्राहकको तथ्याङ्क तथा प्रणालीको सुरक्षा र आवश्यक मर्मतसम्भारका लागि ‘डिजिटल युनिभर्स’ सेवा केही समय उपलब्ध नहुने जनाएको छ। यसको सूचनामा पीएचपीको नाम भने उल्लेख छैन।

नेपाल इन्भेष्टमेन्ट मेगा बैंकले आकस्मिक सुरक्षा मर्मतसम्भार तथा अद्यावधिकका कारण वेबसाइट अस्थायी रूपमा उपलब्ध नहुने जनाएको छ। बैंकले प्रणाली र ग्राहकको तथ्याङ्क सुरक्षाका लागि आवश्यक काम भइरहेको उल्लेख गरेको छ।

नबिल बैंकले प्राविधिक सुरक्षासम्बन्धी संवेदनशीलतालाई ध्यानमा राखेर जोखिम मूल्याङ्कन र आवश्यक सुधार भइरहेकाले ‘जेनअल्फा एप’ अस्थायी रूपमा प्रभावित भएको जनाएको छ। नबिलले उक्त सेवाबाहेक आफ्ना अन्य सम्पूर्ण सेवा नियमित सञ्चालनमा रहेको स्पष्ट पारेको छ।

के हो पीएचपीको समस्या ?

पीएचपी वेबसाइट र वेब एप्लिकेसन सञ्चालनमा व्यापक प्रयोग हुने प्रोग्रामिङ भाषा हो। यसको मूल इन्जिनमा भेटिएका दुई गम्भीर कमजोरीलाई संयुक्त रूपमा ‘पीएचपीटुशेल’ अर्थात् PHP2Shell भनिएको छ। ती कमजोरीका पहिचान नम्बर CVE-2026-109618 र CVE-2026-109619 हुन्। दुवैको गम्भीरता सूचक सीभीएसएसमा १० मध्ये ९.२ छ। 

यी कमजोरीको सफल दुरुपयोग भएमा आक्रमणकारीले प्रभावित सर्भरमा अनधिकृत कोड चलाउन, संवेदनशील सूचना चोर्न तथा वेबसाइटका सामग्री परिवर्तन गर्न सक्ने जोखिम रहेको साइबर सुरक्षा कम्पनी विजको अनुसन्धानले देखाएको छ। यद्यपि जोखिमको वास्तविक स्वरूप सम्बन्धित प्रणालीको बनावट र सञ्चालन अवस्थासँग जोडिन्छ।

यसको अर्थ वेबसाइटको सामान्य दृश्य वा कुनै पृष्ठमा आएको त्रुटिमात्र होइन। वेबसाइट चलाउने आधारभूत सफ्टवेयरमै कमजोरी हुँदा त्यसमाथि निर्भर सेवाको सुरक्षा परीक्षण आवश्यक हुन्छ। यही कारण जोखिममा पर्न सक्ने सेवा अस्थायी रूपमा अलग राखेर अद्यावधिक गर्ने कदम चालिएको बैंकका सूचनाबाट देखिन्छ।

पीएचपी विकासकर्ताले अक्टोबर २० मा गम्भीर सुरक्षा अपडेट आउने अग्रिम सूचना दिएका थिए। त्यसपछि अक्टोबर २१ मा कमजोरी सच्याउने सुरक्षा संस्करण सार्वजनिक गरिएको हो। पीएचपीको आधिकारिक सूचनाले तत्काल अद्यावधिक गर्न आग्रह गर्दै पूर्ण सुरक्षा दिने वैकल्पिक रोकथाम उपाय नभएको स्पष्ट पारेको छ।

वेबसाइट बन्द हुँदैमा निक्षेप चोरी भएको होइन

बैंकको वेबसाइट, अनलाइन आवेदन पोर्टल, मोबाइल बैंकिङ र मूल बैंकिङ प्रणाली एउटै सेवा होइनन्। एउटा पोर्टल बन्द भएको सूचनाबाट सबै कारोबार प्रणाली प्रभावित भएको निष्कर्ष निकाल्न मिल्दैन।

उपलब्ध सात बैंकका सूचनामा ग्राहकको निक्षेप चोरी भएको, खातामा अनधिकृत कारोबार भएको वा तथ्याङ्क चुहिएको पुष्टि गरिएको छैन। सूचनाहरूमा मुख्यतः सम्भावित जोखिम रोकथाम, सुरक्षा परीक्षण र प्रणाली अद्यावधिकको विषय उल्लेख छ।

त्यसैले ग्राहकका लागि अहिले सबैभन्दा आवश्यक जानकारी हो- आफूले प्रयोग गर्ने कुन सेवा बन्द छ, कुन सेवा चलिरहेको छ र समस्या परे कहाँ सम्पर्क गर्ने ?

‘मर्मतसम्भार’ भन्ने सूचनाले मात्र पुग्छ ?

बैंकका सूचनामा जानकारी दिने शैली भने एकरूप छैन। केहीले पीएचपीको जोखिम स्पष्ट खुलाएका छन्। केहीले ‘सुरक्षा मर्मतसम्भार’ वा ‘प्राविधिक सुधार’ मात्र उल्लेख गरेका छन्। अधिकांशले सेवा पुनः सञ्चालनको निश्चित समय दिएका छैनन्।

यसले ग्राहकलाई आफ्नो सेवा किन चलेन र विकल्प के हो भन्ने अन्योलमा पार्न सक्छ। विशेषगरी प्राइमले अनलाइन खाता रोक्का गर्ने पोर्टलसमेत बन्द गरेको अवस्थामा शंकास्पद कारोबार देखिए ग्राहकले कुन वैकल्पिक माध्यम प्रयोग गर्ने भन्ने जानकारी सहज रूपमा पाउनुपर्छ।

दशैंको बिदामा डिजिटल सेवाको भर पर्ने ग्राहकका लागि बैंकले सूचना जारी गर्नुका साथै त्यसलाई निरन्तर अद्यावधिक गर्नु आवश्यक छ। बन्द सेवा, सञ्चालनमा रहेका विकल्प, सहायता नम्बर र अर्को जानकारी आउने समय खुलाउँदा अनावश्यक त्रास घटाउन सकिन्छ।

तर सूचना नदेखिएकै आधारमा कुनै बैंक जोखिमप्रति बेखबर रहेको वा व्यवस्थापन दशैंको रमझममै व्यस्त भएको ठहर गर्न सकिँदैन। त्यस्तो निष्कर्षका लागि सम्बन्धित बैंकको तयारी र प्रतिक्रियाको थप पुष्टि आवश्यक हुन्छ। अहिले उठाउनुपर्ने ठोस प्रश्न हो- बैंकहरूले जोखिम जाँच र ग्राहकलाई जानकारी दिने काम कति छिटो र स्पष्ट रूपमा गरिरहेका छन् ?

ग्राहकले के गर्ने ?

सेवा नचलेको अवस्थामा सामाजिक सञ्जालमा भेटिएका अपरिचित लिंकबाट लगइन गर्ने वा ‘सेवा सुचारु गरिदिने’ व्यक्तिलाई विवरण दिने काम नगर्नुहोस्। बैंकको आधिकारिक एप, प्रमाणित सामाजिक सञ्जाल र पहिल्यै पुष्टि गरिएको ग्राहक सहायता नम्बरबाट जानकारी लिनु उपयुक्त हुन्छ।

ओटीपी, पिन, पासवर्ड वा कार्डको गोप्य विवरण कसैलाई नदिनुहोस्। शंकास्पद कारोबार देखिए तत्काल बैंकलाई सम्पर्क गर्नुहोस्। वेबसाइट बन्द भएको मात्र कारणले खाताको रकम असुरक्षित भएको निष्कर्ष निकाल्नु आवश्यक छैन।

पीएचपीको घटनाले बैंकिङ क्षेत्रलाई दिएको चुनौती सेवा पुनः सञ्चालनमा मात्र सीमित छैन। सुरक्षा कमजोरी सच्याउने गति र ग्राहकलाई समयमै सही सूचना दिने क्षमताको पनि यो परीक्षा बनेको छ।