বাংলাদেশ ব্যাংক ২০২৬ সালে একটি নতুন Cyber Security Framework (Version 1.0) জারি করেছে, যা অনুযায়ী দেশের সব তফসিলি ব্যাংক, NBFI, MFS প্রোভাইডার এবং পেমেন্ট সিস্টেম অপারেটরদের ৩১ ডিসেম্বর ২০২৬-এর মধ্যে উন্নত সাইবার নিরাপত্তা ব্যবস্থা বাস্তবায়ন করতে হবে। এই ফ্রেমওয়ার্কের একটি মূল স্তম্ভ হলো কর্মী-পর্যায়ে ফিশিং সিমুলেশন ও সিকিউরিটি অ্যাওয়ারনেস ট্রেনিং, কারণ বাংলাদেশের ব্যাংকিং খাতে ঘটা বেশিরভাগ সাইবার আক্রমণের মূল প্রবেশপথ এখনও মানুষ — প্রযুক্তি না।

নিচে আমরা দেখাচ্ছি কেন এই ঝুঁকি বাস্তব, কী কী পরিসংখ্যান তা প্রমাণ করে, এবং প্রতিষ্ঠানগুলোর এখনই কী পদক্ষেপ নেওয়া উচিত।

বাংলাদেশে বর্তমান সাইবার হুমকির চিত্র কেমন?

বাংলাদেশের জাতীয় সাইবার নিরাপত্তা সংস্থা BGD e-GOV CIRT-এর সাম্প্রতিক পর্যবেক্ষণ অনুযায়ী, দেশের সাইবার স্পেসে হুমকির মাত্রা ক্রমাগত বাড়ছে। ২০২৬ সালের একটি সাম্প্রতিক Situational Awareness advisory-তে জানানো হয়েছে, এক সপ্তাহের মধ্যেই ৫৫টিরও বেশি ভিন্ন ম্যালওয়্যার স্ট্রেইন শনাক্ত হয়েছে, এবং ১৬০টিরও বেশি ম্যালওয়্যার ভ্যারিয়েন্ট বাংলাদেশের থ্রেট ল্যান্ডস্কেপে সক্রিয়ভাবে ছড়িয়ে পড়ছে — যার মধ্যে Android.BadBox2, Android.Vo1d, Avalanche-Andromeda এবং Mirai-এর মতো পরিচিত ম্যালওয়্যার ফ্যামিলি রয়েছে, যা মোবাইল ডিভাইস ও IoT ইকোসিস্টেমকে লক্ষ্য করে।

একই advisory অনুযায়ী, বাংলাদেশে ১৭,০০০+ রাউটার ও IoT ডিভাইস এবং ৩,৫০০+ নেটওয়ার্ক-সংযুক্ত প্রিন্টার পাবলিকলি এক্সপোজড অবস্থায় আছে, যা বটনেট রিক্রুটমেন্ট, অননুমোদিত অ্যাক্সেস এবং নেটওয়ার্কে lateral movement-এর ঝুঁকি বাড়িয়ে দিচ্ছে। এর আগেও BGD e-GOV CIRT AsyncRAT-এর মতো Remote Access Trojan ক্যাম্পেইন শনাক্ত করেছে, যা জাল অনলাইন জুয়ার প্ল্যাটফর্মের ছদ্মবেশে বাংলাদেশি ব্যবহারকারীদের লক্ষ্য করে পরিচালিত হয়েছিল।

ব্যাংকিং খাত কেন সবচেয়ে বেশি ঝুঁকিতে

বাংলাদেশ ইনস্টিটিউট অব ব্যাংক ম্যানেজমেন্ট (BIBM)-এর একটি গবেষণায় ব্যাংকিং খাতে সংগঠিত সাইবার আক্রমণের একটি বিস্তারিত চিত্র উঠে এসেছে। গবেষণায় অন্তত ১৩ ধরনের আক্রমণ কৌশল চিহ্নিত হয়েছে — Advanced Persistent Threats (APT), স্পিয়ার ফিশিং, র‍্যানসমওয়্যার, SQL injection, DDoS ইত্যাদি — যেগুলো সাধারণত সিকিউরিটি ইনফ্রাস্ট্রাকচারের দুর্বলতাকে কাজে লাগায়।

এই গবেষণার সবচেয়ে গুরুত্বপূর্ণ পরিসংখ্যানগুলো হলো:

• বাংলাদেশের ব্যাংকিং খাতে ৭২% অনলাইন জালিয়াতি SWIFT-সম্পর্কিত কার্যক্রমকে ঘিরে ঘটে
• এই ধরনের আক্রমণ ৮৫% ক্ষেত্রে কর্মীদের মনোবলে নেতিবাচক প্রভাব ফেলে
• ৫৩% ক্ষেত্রে দৈনন্দিন ব্যাংকিং কার্যক্রম ব্যাহত হয়
• উদ্বেগজনকভাবে, ব্যাংকে ঘটা সাইবার ক্রাইমের ২৭% ঘটানো হয় IT ভেন্ডরদের মাধ্যমে — অর্থাৎ তৃতীয় পক্ষের ঝুঁকি একটি বড় ফ্যাক্টর

এই পরিসংখ্যানগুলো স্পষ্ট করে দেয় যে শুধু টেকনিক্যাল কন্ট্রোল (ফায়ারওয়াল, এনক্রিপশন) যথেষ্ট না — মানব-স্তরের ঝুঁকি (কর্মীর সচেতনতার অভাব, ভেন্ডর ব্যবস্থাপনার দুর্বলতা) সমান বা তার চেয়ে বেশি গুরুত্বপূর্ণ।

ডিজিটাল ব্যাংকিং অবকাঠামো কতটা বড় — Attack Surface বোঝা

বাংলাদেশের ব্যাংকিং খাতের ডিজিটাল ফুটপ্রিন্ট এতটাই বিশাল যে আক্রমণের সম্ভাব্য এন্ট্রি পয়েন্টও সেই অনুপাতে বেড়েছে। ২০২৫ সালের মার্চ পর্যন্ত দেশের ব্যাংকগুলো পরিচালনা করছিল ১১,৩৮১টি শাখা, ১২,৯২৫টি ATM, ৭,৩৪৫টি CRM সিস্টেম, এবং ১,৩৩,১৫০টি POS মেশিন। মোবাইল ফাইন্যান্সিয়াল সার্ভিসের এজেন্ট সংখ্যা ১৪.৩ লাখ, আর অ্যাকাউন্টধারী ১৪.৫ কোটিরও বেশি। সব মিলিয়ে দেশে প্রায় ৫০ কোটি ব্যাংক অ্যাকাউন্ট এবং ইন্টারনেট ব্যাংকিং ব্যবহারকারী ১.১৩ কোটিরও বেশি।

এই বিশাল স্কেল মানে প্রতিটা নতুন ডিজিটাল টাচপয়েন্ট — প্রতিটা ATM, প্রতিটা কর্মীর ইনবক্স, প্রতিটা তৃতীয়-পক্ষ ইন্টিগ্রেশন — একটা সম্ভাব্য আক্রমণের পথ।

ইতিহাসের সবচেয়ে বড় শিক্ষা: ২০১৬ সালের Bangladesh Bank Heist

বাংলাদেশের সাইবার নিরাপত্তার ইতিহাসে সবচেয়ে আলোচিত ও শিক্ষণীয় ঘটনা এখনও ২০১৬ সালের Bangladesh Bank হাইস্ট। এই ঘটনা প্রমাণ করে দেয় যে একটি সুপরিকল্পিত স্পিয়ার-ফিশিং আক্রমণ কতটা বিধ্বংসী হতে পারে।

আন্তর্জাতিক সাইবার নিরাপত্তা বিশ্লেষকদের গবেষণা অনুযায়ী, আক্রমণকারীরা মাসের পর মাস আগে থেকে পরিকল্পনা শুরু করেছিল। ২০১৫ সালের ডিসেম্বরে বা তারও আগে ব্যাংক কর্মীদের কাছে ম্যালওয়্যারবাহী স্পিয়ার-ফিশিং ইমেইল পাঠানো হয়, যা ব্যাংকের নেটওয়ার্কে ব্যাকডোর তৈরি করতে এবং SWIFT-সংযুক্ত সিস্টেম ম্যাপ করতে সফল হয়। আক্রমণকারীরা বৈধ SWIFT অপারেটর ক্রেডেনশিয়াল হাতিয়ে নেয়, এমনকি ট্রানজেকশন লগ প্রিন্ট করা প্রিন্টারকে এমনভাবে কম্প্রোমাইজ করে যাতে তা ব্ল্যাংক পেজ প্রিন্ট করে — যাতে জালিয়াতি দ্রুত ধরা না পড়ে।

এই ঘটনার মূল শিক্ষা: সবচেয়ে শক্তিশালী টেকনিক্যাল সিকিউরিটি সিস্টেমও একটি অসতর্ক ক্লিকের কাছে পরাজিত হতে পারে। এটাই কেন phishing simulation ও employee awareness training-কে এখন “optional extra” না, বরং “core defense layer” হিসেবে দেখা হচ্ছে।

Bangladesh Bank Cyber Security Framework 2026: কী পরিবর্তন হচ্ছে

২০২৬ সালে বাংলাদেশ ব্যাংক একটি সমন্বিত সাইবার নিরাপত্তা নীতি জারি করেছে, যার লক্ষ্য দেশের আর্থিক খাতকে ক্রমবর্ধমান ডিজিটাল হুমকি থেকে সুরক্ষিত করা। এই Cyber Security Framework, Version 1.0 (2026) বাস্তবায়নের নির্দেশ দেওয়া হয়েছে সব তফসিলি ব্যাংক, ফাইন্যান্স কোম্পানি, মোবাইল ফাইন্যান্সিয়াল সার্ভিস (MFS) প্রোভাইডার এবং পেমেন্ট সিস্টেম অপারেটরকে, যার সময়সীমা নির্ধারণ করা হয়েছে ৩১ ডিসেম্বর ২০২৬।

এর মানে দাঁড়ায়, বাংলাদেশের প্রতিটা রেগুলেটেড আর্থিক প্রতিষ্ঠান এখন compliance pressure-এর মধ্যে আছে — এবং deadline চলতি বছরের শেষেই। যেসব প্রতিষ্ঠান আগে থেকেই phishing simulation ও awareness training-কে গুরুত্ব দিয়েছে, তারা এই compliance-এর জন্য অনেকটাই প্রস্তুত। বাকিদের জন্য এখন সময় দ্রুত পদক্ষেপ নেওয়ার।

কোন সেক্টর কোন ধরনের আক্রমণে সবচেয়ে ঝুঁকিপূর্ণ

কোন ব্যাংকগুলোর এখন সবচেয়ে বেশি প্রস্তুতি দরকার

বাজেট নমনীয়তা, ডিজিটাল লেনদেনের পরিমাণ এবং কমপ্লায়েন্স-চালিত procurement culture বিবেচনা করলে, নিচের ধরনের প্রতিষ্ঠানগুলো সবচেয়ে বেশি অগ্রাধিকার পাওয়া উচিত:

সবচেয়ে বেশি ডিজিটালি এক্সপোজড প্রাইভেট ব্যাংক: BRAC Bank, Dutch-Bangla Bank (DBBL), City Bank, Eastern Bank Limited (EBL), Mutual Trust Bank (MTB), IFIC Bank, Prime Bank — এদের বড় ডিজিটাল ট্রানজেকশন ভলিউম ও প্রতিষ্ঠিত IT গভর্নেন্স টিম আছে।

বিদেশি ব্যাংকের শাখা: Standard Chartered, HSBC, Citibank N.A. — এদের গ্লোবাল কমপ্লায়েন্স স্ট্যান্ডার্ড এমনিতেই কঠোর, ফলে awareness training তাদের রুটিন প্র্যাকটিসের অংশ।

সাম্প্রতিক merger-এর মধ্য দিয়ে যাওয়া প্রতিষ্ঠান: যেমন সদ্য গঠিত একীভূত শরিয়াহভিত্তিক ব্যাংকগুলো — সিস্টেম ইউনিফিকেশনের সময় awareness gap বেশি থাকার সম্ভাবনা।

রাষ্ট্রায়ত্ত ব্যাংক: প্রক্রিয়া ধীর হলেও, বাংলাদেশ ব্যাংকের নির্দেশনার কারণে শেষ পর্যন্ত এদেরও কমপ্লায়েন্স নিশ্চিত করতে হবে।

সচরাচর জিজ্ঞাসিত প্রশ্ন (FAQ)

প্রশ্ন: বাংলাদেশ ব্যাংকের Cyber Security Framework 2026 কবে কার্যকর হতে হবে?

উত্তর: বাংলাদেশ ব্যাংকের নির্দেশনা অনুযায়ী, সব তফসিলি ব্যাংক, ফাইন্যান্স কোম্পানি, MFS প্রোভাইডার ও পেমেন্ট সিস্টেম অপারেটরকে ৩১ ডিসেম্বর ২০২৬-এর মধ্যে এই ফ্রেমওয়ার্ক বাস্তবায়ন করতে হবে।

প্রশ্ন: বাংলাদেশের ব্যাংকিং খাতে সবচেয়ে বেশি সাইবার জালিয়াতি কোন মাধ্যমে হয়?

উত্তর: BIBM-এর গবেষণা অনুযায়ী, বাংলাদেশের ব্যাংকিং খাতে অধিকাংশ (৭২%) অনলাইন জালিয়াতি SWIFT-সম্পর্কিত কার্যক্রমকে ঘিরে ঘটে।

প্রশ্ন: কর্মীদের মধ্যে কতজন সাইবার আক্রমণে আক্রান্ত হলে দৈনন্দিন কার্যক্রম ব্যাহত হয়?

উত্তর: গবেষণা বলছে, সাইবার আক্রমণের ৫৩% ক্ষেত্রে ব্যাংকের দৈনন্দিন কার্যক্রম সরাসরি ব্যাহত হয়, আর ৮৫% ক্ষেত্রে কর্মীদের মনোবলে নেতিবাচক প্রভাব পড়ে।

প্রশ্ন: Phishing simulation কেন এত গুরুত্বপূর্ণ?

উত্তর: কারণ বাংলাদেশের সবচেয়ে বড় সাইবার আক্রমণ (২০১৬ সালের Bangladesh Bank হাইস্ট) শুরু হয়েছিল একটি স্পিয়ার-ফিশিং ইমেইল দিয়ে। মানুষের ভুল প্রতিরোধ করার সবচেয়ে কার্যকর উপায় হলো নিয়মিত সিমুলেশন ও প্রশিক্ষণের মাধ্যমে সচেতনতা তৈরি করা।

প্রশ্ন: কোন ব্যাংকগুলো এখন সবচেয়ে বেশি cybersecurity vendor খুঁজছে?

উত্তর: বড়, ডিজিটালি পরিপক্ব প্রাইভেট ব্যাংক এবং বিদেশি ব্যাংকের শাখাগুলো — যাদের বাজেট নমনীয়তা বেশি এবং কমপ্লায়েন্স deadline-এর চাপ সবচেয়ে বেশি অনুভব করছে — তারাই আপাতত সবচেয়ে সক্রিয়।

উপসংহার

বাংলাদেশের সাইবার হুমকি ল্যান্ডস্কেপ ২০২৬ সালে এসে আর তাত্ত্বিক ঝুঁকি না — এটা প্রতিদিনের বাস্তবতা, যা জাতীয় CIRT-এর নিজস্ব ডেটা দিয়েই প্রমাণিত। নতুন নিয়ন্ত্রক নির্দেশনা এবং ইতিহাসের কঠিন শিক্ষা মিলিয়ে বাংলাদেশের ব্যাংক ও আর্থিক প্রতিষ্ঠানগুলোর জন্য এখনই সময় phishing simulation ও security awareness training-কে একটি core priority হিসেবে গ্রহণ করার।

সোর্স: BGD e-GOV CIRT (cirt.gov.bd), Bangladesh Institute of Bank Management (BIBM) গবেষণা, বাংলাদেশ ব্যাংক অফিসিয়াল নীতিমালা, CSO Online-এর আন্তর্জাতিক বিশ্লেষণ।

mdhimelatikh

CPENT | MCRTA | ISO 27001 Lead Auditor | Founder & CEO, Hacked By Himel

MD Himel Atik is a cybersecurity professional, red teamer, penetration tester, security researcher, and cybersecurity educator with 5+ years of hands-on experience in Red Teaming and Offensive Security.

He is the Founder & CEO of Hacked By Himel (HBH) and HBH Academy, where he focuses on building practical, Bangla-first cybersecurity education for aspiring security professionals and ethical hackers.

His professional certifications include CPENT (Certified Penetration Testing Professional), MCRTA (Multi-Cloud Red Team Analyst), and ISO 27001 Lead Auditor, reflecting experience across offensive security, Red Teaming, cloud security, and information security management.

Beyond teaching, Himel is also a security researcher and vulnerability discoverer. He has been credited as the Finder of a published security vulnerability in the Python mistune package, documented through GitHub Security Advisory GHSA-8ppg-4vv7-9p53.

He is the creator and instructor of multiple practical cybersecurity programs, including:

Professional AI Red Teaming
Certified Ethical Hacker Practical Preparation (CEHPP) With AI
Active Directory Pentesting & Red Teaming
OSINT for Hackers
AWS Cloud Pentesting Fundamentals
Linux for Ethical Hackers
Penetration Testing for Professionals
Vulnerability Assessment Mastery
Cyber Security Fundamentals
Hacking Ki Series
and other practical cybersecurity training programs.

Teaching Philosophy

Himel's approach is centered on practical skills, realistic scenarios, and methodology, helping students understand not only what a vulnerability is, but also how to think, investigate, validate, and approach security problems like a real-world security practitioner.