र्‍यान्समवेयर आक्रमणपछि कसरी सञ्चालनमा आउन सम्भव भयो सेयर बजार ?

६ असोज, काठमाडौं। सोमबार नेपाल स्टक एक्सचेन्ज अर्थात् नेप्सेले नियमित सेयर कारोबार पूर्ण रूपमा स्थगित गर्नुपर्‍यो । यसको कारण नेप्सेले बताएजस्तो साधारण ‘प्राविधिक गडबडी’ मात्र थिएन।

नेप्सेले औपचारिक विज्ञप्तिमा प्राविधिक गडबडी भन्दै गर्दा यसले गम्भीर साइबर आक्रमण बेहोरिरहेको थियो। डेटा हब प्रालिको डेटा सेन्टरमा भएको र्‍यान्समवेयर आक्रमणका कारण ७२ वटा ब्रोकर कम्पनीका सर्भर र ट्रेडिङ म्यानेजमेन्ट सिस्टम (टीएमएस) ठप्प बनाएको थियो।

यद्यपि यो मंगलबारबाट सञ्चालनमा आएको छ। तर, आइतबार बिहान करिब चारदेखि साढे पाँच बजेतिर पत्ता लागेको भनिएको यो आक्रमणपछि ब्रोकरहरूको प्रणाली सोमबार दिनभर काम गर्न नसक्ने अवस्थामा पुगेको थियो ।

यो घटनालाई साइबर सुरक्षा सम्बन्धी जानकार तथा बगभीका संस्थापक नरेश लामगादे सामान्य मान्दैनन्। उनको भनाइमा यो आक्रमण सामान्य ह्याक होइन। व्यवस्थित रूपमा गरिएको योजनाबद्ध र्‍यान्समवेयर आक्रमण हो।

डेटा हबले वाईको प्रालिलाई लेखेको पत्रमा पनि स्पष्ट रुपमा र्‍यान्समवेयर आक्रमण भएको उल्लेख गरिएको छ । र्‍यान्समवेयर भनेको ह्याकरहरूले सर्भरभित्र छिरेर फाइलहरूलाई इन्क्रिप्ट गरिदिने तरिका हो। उनीहरूले सिस्टमको एक्सेस लिएर महत्त्वपूर्ण फाइलहरूको एक्सटेन्सन नै परिवर्तन गरिदिन्छन्। त्यसपछि डेटा त सर्भरमा हुन्छ तर खोलिँदैन। चल्दा पनि चल्दैन।

प्रचलित उदाहरण हेर्ने हो भने यस्तो अवस्थामा ह्याकरहरूले म्यासेज छोड्छन्। उक्त म्यासेजमा ‘मलाई पैसा देउ भने मात्र यो खोल्ने तरिका सिकाइदिन्छु, यति पैसा मेरो खातामा हाल्देउ, यति बिटकोइन वा अन्य क्रिप्टोकरेन्सीमार्फत रकम देउ’ लगायतका सन्देश छाडेका हुन्छन्। नरेशका अनुसार यस्ता आक्रमणमा फिरौती माग्ने म्यासेज अधिकांश अवस्थामा छोडिएका छन्।

‘सम्भवत् त्यो म्यासेज अहिले डेटा हबसँगै भएर पनि सार्वजनिक नगरिएको हुनसक्छ,’ नरेशले बताए। तर डेटा हबका एक उच्च अधिकारीका अनुसार यो आक्रमणमा प्रचलित शैलीभन्दा फरक व्यवहार ह्याकरले देखाएका छन्। र्‍यान्समवेयरमा फिरौती माग्ने म्यासेज नदेखिएको उनको दाबी छ।

‘र्‍यान्समवेयरमा फिरौती माग्ने म्यासेज प्राय छाडिन्छन् । तर यसपटक हाम्रोमा त्यस्तो भएन । डेटा इन्क्रिप्ट गरेर केही पनि नचल्नेगरी राखिएको थियो,’ ती अधिकारीले भने, ‘अब डेटा चोरी भएको छ या छैन भन्ने कुरा चाहिँ अनुसन्धानपछि थाहा हुन्छ। अहिले हाम्रो टिमले यसमा अनुसन्धान गरिरहेको छ। कसले यो काम गर्‍यो भनेर पनि त्यसपछि थाहा हुन्छ।’
उनका अनुसार, मंगलबारबाट सेयर बजार सञ्चालन आउनुमा चाहिँ डेटा हबको डिजास्टर रिकभरी डेटा सेन्टरका कारण सम्भव भएको हो । यसको ब्याकअप राखिएको डेटा सेन्टर बुटवलमा रहेकाले त्यसबाट रिस्टोर गरेर पुन: सबै सञ्चालनमा ल्याइएको हो ।

‘हामीले सबै इन्क्रिप्ट भएको डेटा फर्म्याट गरेर बुटवलको ब्याकअपबाट रिस्टोर गर्‍यौं । धन्न डेटा लस भएन, अहिलेका लागि यही ठूलो कुरा भयो,’ उनले भने।

सेयर बजारबाहेक अन्य केही क्षेत्रमा समेत यो आक्रमणले प्रभाव पारेको छ ? भन्ने प्रश्नमा उनले फिनटेक कम्पनी लगायतका केहीलाई प्रभावित बनाए पनि त्यस्तो क्षति नपुगेको दाबी गरे। यद्यपि कुन कुन कम्पनीमा क्षति पुग्यो भनेर उनले खुलाउन मानेनन्। ‘अनुसन्धानपछि नै सबै विस्तृतमा आउँछ,’ उनले दोहोर्‍याए ।

डेटा हब आफैँमा नेपालको प्रमुख डेटा सेन्टर हो। सन् २०१२ बाट सेवा सुरु गरेको यसले करिब हजार वटा भन्दा धेरै कम्पनीलाई होस्टिङ सेवा उपलब्ध गराइरहेको आफ्नो वेबसाइटमा उल्लेख गरेको छ।  बैंक, बीमा कम्पनी, मोबाइल वालेट लगायतका धेरै ठूला संस्थाहरूले पनि यसैमा आफ्ना सर्भर राखेका छन्।

नियमअनुसार बैंकिङ तथा भुक्तानी सेवा प्रदायकहरूले डेटा विदेशमा राख्न पाउँदैनन्। त्यसैले स्वदेशी डेटा सेन्टरहरूमध्ये डेटा हब नै अधिकतम प्रयोग हुने गरेको छ।

खासमा के हो त डेटा सेन्टर ?  अरुलाई डेटा सेन्टरको रुपमा सेवा दिने प्रक्रियालाई यसरी सहज रुपमा बुझ्न सकिन्छ। साइबर सुरक्षाका जानकार नरेश यसलाई एउटा घरलाई डेटा सेन्टरको रुपमा उदाहरण दिएर बुझाउँछन्। घरभित्र एउटा कोठामा नेप्से बसेको छ, अर्कोमा बैंकहरू, अर्कोमा बीमा कम्पनीहरू। अहिलेको अवस्थामा आक्रमण मुख्य रूपमा नेप्सेवाला कोठामा भएको जस्तो देखिए पनि घर नै आक्रमणमा परेको हो।

त्यसैले अन्य कोठाहरूमा असर पुगेको छ कि छैन भनेर अहिले विश्लेषण भइरहेको हो । यसरी हुने र्‍यान्समवेयर आक्रमणमा डेटा सेन्टरको सेवा दिनेहरू जवाफदेही हुनुपर्ने देखिन्छ। अर्का एक साइबर मामलाका जानकारले नाम नखुलाउने सर्तमा अनलाइनखबरलाई बताए अनुसार, यस्तो आक्रमण एकै दिनमा भएको हुँदैन।

उनका अनुसार यस्तो ठूलो स्तरको आक्रमण ह्याकरहरूले पहिलेदेखि नै योजना बनाएर गर्छन्। उनीहरूले कुन सिस्टम सबैभन्दा क्रिटिकल छ, कुनले धेरै पैसा दिन सक्छ भनेर लामो समयसम्म निगरानी गर्छन्। कमजोरी खोज्छन् र त्यसपछि मात्र आक्रमण गर्छन्।  नेप्सेको सम्पूर्ण ट्रेडिङ सिस्टमलाई यति गहिरो रूपमा प्रभावित पार्न सक्नु भनेको उनीहरूले पहिले नै एक्सेस लिएर बसेका थिए भन्ने संकेत हो।

‘यद्यपि, यसको फरेन्सिक अनुसन्धान गरेपछि मात्र थाहा हुनेछ कि ह्याकरहरू कति समयदेखि सिस्टमभित्र बसेका थिए,’ ती साइबर मामलाका जानकारले अनलाइनखबरसँग भने, ‘डेटा हब आफैंले सर्भर व्यवस्थापन गरेको हो वा नेप्से र ब्रोकरहरूले गरेका थिए भन्ने कुरा पनि महत्वपूर्ण छ। कहिलेकाहीँ डेटा सेन्टरले मात्र ठाउँ, बिजुली र इन्टरनेट दिन्छ भने व्यवस्थापन संस्था आफैंले गर्छ। तर, जुनसुकै अवस्थामा भए पनि कम्पनीको कमजोरी स्पष्ट देखिएको छ।’

उनका अनुसार, पटकपटकको प्रयासबाट यस्ता आक्रमणमा सफलता हात पर्ने भएकाले डेटा सेन्टरजस्तो कम्पनी झन् यस्ता कुरामा गम्भीर हुनुपर्ने र सुरक्षा अवस्था सेन्स गर्न सक्नुपर्ने उनले बताए।

उनको भनाइमा यस्तो अवस्थामा ब्याकअप नै अत्यन्तै महत्वपूर्ण कुरा हो। सोही व्याकअप रिस्टोर गरेर अहिले सेयर बजार सञ्चालनमा आइसकेको छ। ‘पहिलाको सबै फर्म्याट गरेर रिस्टोर गर्नुपर्‍यो  वा अर्को सर्भरमा डेटा राखेर सञ्चालनमा ल्याइयो भन्ने कुरा डेटा हबले बताउनुपर्छ’ उनले भने, ‘अनि र्‍यान्समवेयर एट्याक हुँदा इन्क्रीप्ट मात्र गरिएको थियो या डेटा चोरी पनि भएको छ भन्ने कुरा पनि आउनुपर्छ। यसबारे सोधीखोजी आवश्यक छ।’

के हो र्‍यान्समवेयर एट्याक ?

र्‍यान्समवेयर आक्रमण भनेको साइबर अपराधीहरूले कुनै संस्थाको कम्प्युटर सिस्टम वा सर्भरमा छिरेर महत्त्वपूर्ण फाइल तथा डेटालाई इन्क्रिप्ट गरिदिने प्रविधि हो। इन्क्रिप्ट भएपछि ती फाइलहरू खोल्न वा प्रयोग गर्न सकिँदैन। ह्याकरहरूले सिस्टममा म्यासेज छोड्छन् जसमा तोकिएको रकम तिर्न भनिएको हुन्छ। पैसा तिरेपछि मात्र ‘डिक्रिप्सन की’ दिने प्रचलन यसमा छ।

अहिलेका अधिकांश आक्रमणमा पहिले डेटा चोरेर बाहिर लैजाने र त्यसपछि मात्र इन्क्रिप्ट गर्ने विधि पनि प्रयोग हुन्छ, जसलाई ‘डबल एक्स्टर्सन’ भनिन्छ। यसले गर्दा हामीसँग ब्याकअप भए पनि डेटा सार्वजनिक हुने जोखिम रहन्छ। नेपालको डेटा हबमा भएको आक्रमण पनि यही प्रकृतिको हो जहाँ ह्याकरहरूले सर्भरभित्र प्रवेश गरी ट्रेडिङ सिस्टमसँग सम्बन्धित फाइलहरूलाई लक गरिदिए ।

यस्ता आक्रमणहरू प्रायः महिनौं अघिदेखि योजनाबद्ध रूपमा हुन्छन्। ह्याकरहरूले पहिले कमजोरी खोज्छन्, सिस्टम मोनिटर गर्छन् र त्यसपछि मात्र आक्रमण गर्छन्।

विश्वभरि र्‍यान्समवेयर आक्रमणले ठूला वित्तीय संस्था, स्टक बजारसँग सम्बन्धित कम्पनी, डेटा सेन्टर र महत्वपूर्ण पूर्वाधारलाई बारम्बार निशाना बनाएको छ।

सन् २०२१ को मे महिनामा अमेरिकाको कोलोनियल पाइपलाइन सिस्टममा डार्कसाइड समूहले आक्रमण गर्दा कम्पनीले सुरक्षाको लागि सम्पूर्ण पाइपलाइन बन्द गर्नुपर्‍यो। पूर्वी अमेरिकामा पेट्रोल अभाव भयो, भाउ बढ्यो र धेरै राज्यमा आपतकाल घोषणा गर्नुपर्‍यो। कम्पनीले करिब चार दशमलव चार मिलियन डलर तिरेर सिस्टम फर्काएको थियो। यो आक्रमणलाई अमेरिकी इतिहासको सबैभन्दा ठूलो महत्वपूर्ण पूर्वाधारमाथिको साइबर आक्रमण मानिन्छ।

त्यसैगरी सन् २०२३ को नोभेम्बरमा चीनको सबैभन्दा ठूलो बैंक आईसीबीसीको अमेरिकी शाखामा लकबिट समूहले आक्रमण गर्दा अमेरिकी ट्रेजरी बजारको कारोबार सेटलमेन्टमा ठूलो अवरोध पुगेको थियो। जसले धेरै ट्रेड म्यानुअल रूपमा गर्नुपर्‍यो र बजारमा तरलता प्रभावित भयो।

यसले ठूलो बैंकमा आक्रमण भए वित्तीय क्षेत्र नै प्रभावित हुन सक्छ भन्ने देखाएको थियो। सन् २०१९ को अन्त्य र २०२० को सुरुमा युकेको ट्र्याभलेक्स मुद्रा विनिमय कम्पनीमा रेविल समूहले आक्रमण गर्दा वेबसाइट, मोबाइल एप र विश्वभरका शाखाहरू हप्ताौंसम्म बन्द भए। कर्मचारीहरूले पेपर पेनबाट कारोबार गर्न बाध्य भए र कम्पनी पछि वित्तीय संकटमा पनि पुगेको थियो।

सन् २०२१ मा अमेरिकी ठूलो बीमा कम्पनी सीएनए फाइनान्सियलमा आक्रमण भएपछि कम्पनीले ४० मिलियन डलर तिरेर सिस्टम फर्काएको थियो, जुन सार्वजनिक रूपमा थाहा भएको सबैभन्दा ठूला र्‍यान्सम पेमेन्टमध्ये एक हो। इन्डोनेसियाको बैंक सरियाहमा सन् २०२३ मा लकबिट समूहले आक्रमण गर्दा बैंकले २० मिलियन डलर तिर्न अस्वीकार गर्‍यो। फलस्वरुप, १.५ टेराबाइट व्यक्तिगत तथा वित्तीय डेटा सार्वजनिक भएको उदाहरण छ।

त्यस्तै, सन् २०२४ मा अमेरिकी कम्पनी लोयनडिपोमा आक्रमण हुँदा कम्पनीले ६ मिलियन डलर तिर्न अस्वीकार गर्‍यो। १९ दिनसम्म सिस्टम रिस्टोर गर्न लाग्यो र रिकभरी लागत २७ मिलियन डलर पुग्यो भने करिब १६.९ मिलियन रेकर्ड प्रभावित भएको थियो।

त्यही वर्ष इभल्भ बैंक एन्ड ट्रस्टमा लकबिट समूहले आक्रमण गर्दा ७.६ मिलियनभन्दा बढी रेकर्ड चोरियो। यसमा पनि कम्पनीले रकम  तिरेन र डेटा सार्वजनिक भयो।

अस्ट्रेलियाको ल्याटिच्युड फाइनान्सियलमा सन् २०२३ मा आक्रमणपछि गरिएको रिकभरीमा पनि ६४ देखि ७१ मिलियन अस्ट्रेलियन डलर खर्च भएको थियो।

हाम्रै छिमेकी मुलुक भारतमा सन् २०२४ मा सीएज टेक्नोलोजीजमा आक्रमण हुँदा करिब तीन सय साना बैंकहरू प्रभावित भएका थिए।

यसरी विश्वका विभिन्न ठूला डेटा सेन्टरमा पनि आक्रमण भएका छन्। इक्विनिक्स र साइरसवन जस्ता ठूला डेटा सेन्टर कम्पनीहरूमा पनि र्यान्समवेयर आक्रमण भएको इतिहास छ।