চীনের সঙ্গে যুক্ত একটি গোষ্ঠী ভারতের পাঁচটি আঞ্চলিক গ্রিড নিয়ন্ত্রণ কেন্দ্রের চারটিকে লক্ষ্য করেছিল। মুম্বইয়ের আলো তারাই নিভিয়েছিল, এমন প্রমাণ কেউ দেয়নি।

২০২০ সালের ১২ অক্টোবর, সোমবার, সকাল ১০টার একটু পরে মুম্বইজুড়ে আলো নিভে গেল। একটা গ্রিড বিপর্যয়ে প্রায় ২ কোটি মানুষের শহর আর তার চারপাশের শহরতলিতে বিদ্যুৎ বন্ধ হয়ে যায়, Gulf News-এর বিবরণ অনুযায়ী যা ছিল সেখানে দুই বছরের বেশি সময়ের মধ্যে এই ধরনের প্রথম ব্ল্যাকআউট। শহরতলির ট্রেন লাইনের ওপরেই থেমে যায়। সেন্ট্রাল রেলওয়ে সকাল ১০:৫৫-এ তার প্রথম কিছু ট্রেন আবার চালু করে। ন্যাশনাল স্টক এক্সচেঞ্জ, বম্বে স্টক এক্সচেঞ্জ আর আন্তর্জাতিক বিমানবন্দর চালু ছিল, আর মুখ্যমন্ত্রী উদ্ধব ঠাকরে অবিলম্বে তদন্তের নির্দেশ দেন এবং কর্মকর্তাদের বলেন হাসপাতালগুলিতে সরবরাহ বজায় রাখতে, যার অনেকগুলিতে তখন কোভিড-১৯ রোগীদের চিকিৎসা চলছিল। টাটা পাওয়ার জানায়, দুপুরের কাছাকাছি সময়ে তারা শহরে সরবরাহ ফিরিয়ে দিয়েছে।

প্রথম ব্যাখ্যাগুলি ছিল সাধারণ ধরনের। প্রাথমিক খবরে ইঙ্গিত ছিল “থানে জেলার পাড়ঘাভিত্তিক লোড ডেসপ্যাচ কেন্দ্রে ট্রিপিং”-এর দিকে, TechTarget পরে সেগুলিকে এভাবেই সংক্ষেপে বলেছিল, আর লোড ডেসপ্যাচ কেন্দ্র হলো এমন একটা নিয়ন্ত্রণ কক্ষ যা একটা এলাকা জুড়ে বিদ্যুতের চাহিদার সঙ্গে সরবরাহের ভারসাম্য রাখে। Gulf News জানায়, জ্বালানিমন্ত্রী রক্ষণাবেক্ষণের কাজের সময় “প্রযুক্তিগত সমস্যা”কে দায়ী করেছিলেন।

সাড়ে চার মাস পরে, ২০২১ সালের ২৮ ফেব্রুয়ারি, Recorded Future নামের একটি মার্কিন সংস্থা “China-linked Group RedEcho Targets the Indian Power Sector Amid Heightened Border Tensions” শিরোনামের একটি প্রতিবেদনে সেই তারিখ দেয়। কয়েক দিনের মধ্যেই মুম্বই আর দিল্লির মন্ত্রীরা এর অর্থ নিয়ে জনগণকে পরস্পরবিরোধী উত্তর দিচ্ছিলেন।

দশটি লক্ষ্য আর একটি ব্যাকডোর

Recorded Future-এর গবেষণা শাখা Insikt Group বলে, তারা ভারতের বিদ্যুৎ খাতের ১০টি আলাদা প্রতিষ্ঠানকে লক্ষ্য হিসেবে শনাক্ত করেছে, যাকে তারা বলেছিল একটি সমন্বিত অভিযান। তার চারটি ছিল রিজিওনাল লোড ডেসপ্যাচ সেন্টার, অর্থাৎ অঞ্চল ধরে জাতীয় গ্রিড চালানো পাঁচটি নিয়ন্ত্রণ কক্ষের চারটি। দুটি ছিল ভারতীয় সমুদ্রবন্দর। প্রতিবেদনে ভুক্তভোগীদের কারও নাম ছিল না।

সংস্থাটির প্রমাণ ছিল নেটওয়ার্ক ট্র্যাফিক। তারা দেখে, ভারতীয় গুরুত্বপূর্ণ-পরিকাঠামো প্রতিষ্ঠানগুলির ইন্টারনেট ঠিকানা বেশ কয়েক মাস ধরে এমন একসেট নির্দিষ্ট সার্ভারের সঙ্গে যোগাযোগ করছিল যেগুলি তাদের দেওয়া নাম RedEcho গোষ্ঠী ব্যবহার করত। Recorded Future বলেছে, এই ধরন একটা লক্ষ্যভিত্তিক অভিযানের দিকে ইঙ্গিত করে, আর তাদের তথ্যে বিস্তৃত পরিসরে লক্ষ্যবস্তু করার চিহ্ন ছিল সামান্যই। সার্ভারগুলি ছিল ShadowPad নামের একটি ব্যাকডোর প্রোগ্রামের কমান্ড সার্ভার, ব্যাকডোর হলো কম্পিউটারে ঢোকার একটা গোপন পথ যা আক্রমণকারীকে সেটাকে নির্দেশ পাঠাতে দেয়। ShadowPad, প্রতিবেদন অনুযায়ী, “is used by at least 5 distinct Chinese groups.”

সংস্থাটি RedEcho-কে তাদের কোনো একটির ঘাড়ে চাপায়নি। তারা APT41 (Barium নামেও পরিচিত) আর Tonto Team নামে দুটি চীনা গোষ্ঠীর সঙ্গে “strong infrastructure and victimology overlaps” পায় (victimology বলতে বোঝায় কারা লক্ষ্য হয় তার ধরন)। Insikt Group জানায়, তাদের বিশ্বাস ছিল না যে তৎপরতাটিকে দুটির কোনোটির ওপর দৃঢ়ভাবে আরোপ করার মতো যথেষ্ট প্রমাণ আছে। তাই “China-linked” সংস্থাটির নিজের দেওয়া লেবেল।

সময়টা ছিল প্রতিবেদনের যুক্তির একটা অংশ। ২০২০ সালের ১৫ জুন লাদাখের গালওয়ান উপত্যকায় দুই সেনাবাহিনীর সৈন্যরা লড়াই করেছিল। মার্কিন কংগ্রেসের গঠিত সংস্থা US-China Economic and Security Review Commission অন্তত ২০ জন ভারতীয়ের মৃত্যুর হিসাব দেয় এবং বলে ১৯৭৫ সালের পর এই প্রথম ওই সীমান্তে কোনো পক্ষের সৈন্য মারা গেল। Recorded Future ২০২০ সালের মাঝামাঝি থেকে ওই তৎপরতার পরিকাঠামোয় তীব্র বৃদ্ধি দেখেছিল।

উদ্দেশ্য নিয়ে তাদের মূল্যায়ন এরকম: “The targeting of Indian critical infrastructure offers limited economic espionage opportunities; however, we assess they pose significant concerns over potential pre-positioning of network access to support Chinese strategic objectives.”

প্রি-পজিশনিং মানে কোনো সিস্টেমে ঢুকে সেখানে থেকে যাওয়া, যাতে কখনও দরকার হলে প্রবেশাধিকার তৈরি থাকে। প্রতিবেদনে তালিকা করা ছিল কীসের জন্য সেটা দরকার হতে পারে: “Pre-positioning on energy assets may support several potential outcomes, including geo-strategic signaling during heightened bilateral tensions, supporting influence operations, or as a precursor to kinetic escalation.” Recorded Future আরও জানায়, প্রকাশের আগে তারা ভারত সরকারের সংশ্লিষ্ট বিভাগগুলিকে জানিয়েছিল, যাতে ক্ষতিগ্রস্ত প্রতিষ্ঠানগুলি তদন্ত করতে পারে।

Recorded Future যা বলতে চায়নি

প্রতিবেদন ব্ল্যাকআউটের কারণ খুঁজে পাওয়ার দাবি করেনি। TechTarget সংস্থাটির অবস্থান উদ্ধৃত করেছিল: “At this time we cannot confirm that the RedEcho activity group nor this campaign is linked to the power outages experienced in the Mumbai region in October 2020.”

Recorded Future-এর প্রধান নির্বাহী ক্রিস্টোফার অ্যালবার্গ একই প্রতিবেদনে উদ্ধৃত হয়েছিলেন। “The activity puts civilian critical infrastructure at risk and should not be done,” তিনি বলেন।

ভারতের ও বিদেশের সংবাদপত্র একদিনের মধ্যেই দুটি ঘটনাকে পাশাপাশি রাখে। The Quint-এর খবরের বিবরণে লেখা আছে যে মহারাষ্ট্র সরকার গবেষণাটির কথা নোট করে এবং তার সাইবার বিভাগ সম্ভাব্য নাশকতার ইঙ্গিত দেয় এমন পর্যবেক্ষণ জমা দিয়েছিল। রাজ্যের জ্বালানিমন্ত্রী নীতিন রাউত বলেন, ব্ল্যাকআউট খতিয়ে দেখতে মহারাষ্ট্র তিনটি কমিটি গঠন করেছে, আর তিনি সাংবাদিকদের বলেন তাঁর বিশ্বাস এর পেছনে কারিগরি ত্রুটির চেয়ে বেশি কিছু আছে।

একটা তথ্য সহজেই চোখ এড়িয়ে যায়। Business Today জানিয়েছিল, রাজ্যের সাইবার বিভাগ সন্দেহজনক ম্যালওয়্যারের উৎস খুঁজে পেয়েছিল পাড়ঘাভিত্তিক রাজ্য লোড ডেসপ্যাচ কেন্দ্রে, ব্ল্যাকআউটের প্রথম খবরগুলি যে জায়গার নাম করেছিল সেটাই। পাড়ঘা একটি রাজ্য কেন্দ্র। Recorded Future-এর প্রতিবেদনের কেন্দ্রগুলি ছিল আঞ্চলিক, আর প্রতিবেদনে বলা হয়নি সেগুলি কোন প্রতিষ্ঠান।

মুম্বই বলল নাশকতা, দিল্লি বলল মানুষের ভুল

২০২১ সালের ১ মার্চ মহারাষ্ট্রের স্বরাষ্ট্রমন্ত্রী অনিল দেশমুখ সাংবাদিকদের বলেন, রাজ্যের সাইবার সেলের একটি প্রাথমিক প্রতিবেদন ইঙ্গিত দেয় যে ব্ল্যাকআউটটি সাইবার নাশকতা হতে পারে। তাঁর বর্ণনা অনুযায়ী প্রতিবেদনে পাওয়া গিয়েছিল রাজ্যের বিদ্যুৎ সংস্থার সার্ভারে ১৪টি ট্রোজান হর্স (যে প্রোগ্রাম নিরীহ সফটওয়্যারের ভান করে), বাইরের একটা সার্ভার থেকে সেগুলিতে সরানো হয়ে থাকতে পারে এমন ৮ জিবি ডেটা, আর একটা কালো তালিকাভুক্ত আইপি ঠিকানা থেকে লগইনের একটা চেষ্টা। দেশমুখ কোনো দেশের নাম করেননি।

দিল্লিতে কেন্দ্রীয় বিদ্যুৎমন্ত্রী আর.কে. সিং কয়েক দিনের মধ্যে একটা আলাদা বিবরণ দেন। ফ্যাক্ট-চেকিং সাইট BOOM তাঁর কথা প্রকাশ করেছিল। “Two teams investigated the power outage and reported that the outage was caused by human error and not due to cyber attack,” সিং বলেন। তিনি যোগ করেন: “One of the teams submitted that cyber attacks did happen but they were not linked to the Mumbai grid failure.” The Quint জানায়, তিনি বলেছিলেন যে চীন বা পাকিস্তান কেউ হামলাগুলি চালিয়েছে, এমন কোনো প্রমাণ সরকারের কাছে নেই।

বিদ্যুৎ মন্ত্রক এটাও প্রকাশ করে যে একই ম্যালওয়্যার পরিবার নিয়ে সরকারকে সতর্ক করা হয়েছিল। “An email was received from CERT-In on 19th November, 2020 on the threat of malware called Shadow Pad at some control centres of POSOCO,” মন্ত্রক জানায়। CERT-In হলো জাতীয় কম্পিউটার জরুরি সাড়াদান দল। POSOCO হলো রাষ্ট্রীয় মালিকানাধীন সংস্থা যা গ্রিডের নিয়ন্ত্রণ কক্ষগুলি চালায়। তারিখটা ব্ল্যাকআউটের প্রায় পাঁচ সপ্তাহ পরে আর মার্কিন প্রতিবেদন প্রকাশের তিন মাসেরও বেশি আগে।

চীন অভিযোগ প্রত্যাখ্যান করে। তার পররাষ্ট্র মন্ত্রকের মুখপাত্র ওয়াং ওয়েনবিন ১ মার্চ বলেন, প্রমাণ ছাড়া এমন অভিযোগ করা দায়িত্বজ্ঞানহীন ও বদ-উদ্দেশ্যপ্রণোদিত, আর চীন যেকোনো ধরনের সাইবার আক্রমণের দৃঢ় বিরোধী।

তিনটি অবস্থান তখন পাশাপাশি দাঁড়িয়ে। মহারাষ্ট্রের সাইবার বিভাগ বলেছিল নাশকতা ঘটে থাকতে পারে। কেন্দ্রীয় বিদ্যুৎ মন্ত্রক বলেছিল তাদের দুটি তদন্ত দল পেয়েছে মানুষের ভুল, আর আলাদা অনুপ্রবেশ ঘটেছিল যা বিপর্যয়ের কারণ নয়। Recorded Future বলেছিল তারা কোনো যোগসূত্র নিশ্চিত করতে পারে না। ১২ অক্টোবরের ব্ল্যাকআউটকে কোনো শত্রু পক্ষের, চীনা বা অন্য কারও, সঙ্গে যুক্ত করে এমন কোনো প্রকাশ্য নথি আমরা পাইনি, আর কোনো দলের প্রতিবেদনের কোনো প্রকাশিত কপিও পাইনি।

তিনটি দাবি আর তাদের পেছনে কী আছে

তিনটি অবস্থানের প্রতিটি আলাদা ধরনের প্রমাণের ওপর দাঁড়িয়ে। মহারাষ্ট্রের অবস্থান দাঁড়িয়ে আছে রাজ্য বিদ্যুৎ সংস্থার নিজের সার্ভার থেকে পাওয়া উপাদান নিয়ে তার সাইবার বিভাগের পাঠের ওপর, যা জনগণের কাছে পৌঁছেছে একজন মন্ত্রীর পড়ে শোনানো কিছু সংখ্যার তালিকা হিসেবে: ১৪টি প্রোগ্রাম, ৮ জিবি, একটি লগইনের চেষ্টা। সাইবার সেলের পূর্ণ প্রতিবেদন আমরা যে খবরগুলি দেখেছি তার কোনোটিতে প্রকাশিত হয়নি।

কেন্দ্রীয় মন্ত্রকের অবস্থান দাঁড়িয়ে আছে দুটি তদন্ত দলের ওপর, যাদের ফলাফল তারা কয়েকটা বাক্যে সংক্ষেপে জানিয়েছিল। তার একটি বাক্য মেনে নেয় যে সাইবার আক্রমণ ঘটেছিল। যা অস্বীকার করা হয়েছে তা গ্রিড বিপর্যয়ের সঙ্গে কার্যকারণ সম্পর্ক, যা কোনো অনুপ্রবেশই ঘটেনি বলার চেয়ে সংকীর্ণ দাবি।

Recorded Future-এর অবস্থান দাঁড়িয়ে আছে নেটওয়ার্কগুলির বাইরে থেকে দেখা ট্র্যাফিকের ওপর। এই ধরনের তথ্য দেখায় কোন ঠিকানা কোন সার্ভারের সঙ্গে কথা বলেছে, আর কতক্ষণ ধরে। মুম্বই নিয়ে সংস্থাটির প্রকাশ্য বক্তব্য ওপরে উদ্ধৃত একটিমাত্র বাক্য, আর বেসামরিক গুরুত্বপূর্ণ পরিকাঠামো নিয়ে অ্যালবার্গের মন্তব্য ছিল অনুপ্রবেশগুলির উদ্দেশেই।

লাদাখ, ২০২২

২০২২ সালের ৬ এপ্রিল Recorded Future দ্বিতীয় একটি প্রতিবেদন প্রকাশ করে, এবার TAG-38 নামে একটি গোষ্ঠী নিয়ে, যাকে তারা একটি সম্ভাব্য চীনা রাষ্ট্র-পৃষ্ঠপোষকতাপ্রাপ্ত গোষ্ঠী হিসেবে বর্ণনা করে। তারা জানায়, লাদাখের বিতর্কিত সীমান্তের কাছে উত্তর ভারতের অন্তত সাতটি স্টেট লোড ডেসপ্যাচ সেন্টার লক্ষ্যগুলির মধ্যে তারা পেয়েছে। তালিকায় ভারতের জাতীয় জরুরি সাড়াদান ব্যবস্থা আর একটি বহুজাতিক লজিস্টিক কোম্পানির ভারতীয় সহযোগী সংস্থাও ছিল।

হাতিয়ার ছিল আবারও ShadowPad। এবার আক্রমণকারীরা তাদের কমান্ড চ্যানেল চালিয়েছিল আপসকৃত DVR আর আইপি ক্যামেরার মধ্য দিয়ে, যেগুলি হলো সিসিটিভি ফুটেজ জমা রাখা বাক্স আর তাতে ছবি পাঠানো নেটওয়ার্কযুক্ত ক্যামেরা। প্রতিবেদনে FastReverseProxy নামের একটি টুলও বর্ণিত হয়েছিল, যা আপসকৃত একটা যন্ত্রের মধ্য দিয়ে ট্র্যাফিক পাঠায়। Recorded Future লিখেছিল যে “we have not identified technical evidence allowing us to attribute it to RedEcho.” তারা তৎপরতাটিকে বলেছিল “pre-positioning for future activity.” প্রতিবেদনে কোনো ব্ল্যাকআউট ঘটেছিল বলে দাবি করা হয়নি।

আর.কে. সিং বৃহস্পতিবার ৭ এপ্রিল উত্তর দেন, আর এবার নিজেই “চীনা হ্যাকার” শব্দ ব্যবহার করেন। “Two attempts by Chinese hackers were made to target electricity distribution centres near Ladakh but were not successful,” তিনি বলেন, যেমন The Quint জানিয়েছিল। তিনি যোগ করেন: “We’ve already strengthened our defence system to counter such cyber attacks.”

দুটি বিবরণ সংখ্যায় সংখ্যায় মেলে না। Recorded Future অন্তত সাতটি কেন্দ্রের তালিকা দিয়েছিল, আর মন্ত্রী গুনেছিলেন দুটি চেষ্টা। তাদের প্রতিবেদন ছিল লোড ডেসপ্যাচ কেন্দ্র নিয়ে, যে নিয়ন্ত্রণ কক্ষগুলি সরবরাহ আর চাহিদার ভারসাম্য রাখে, আর মন্ত্রী বলেছিলেন বিতরণ কেন্দ্রের কথা। মন্ত্রীর বক্তব্য নথিভুক্ত আছে লাদাখের কাছে চীনা চেষ্টার একটি সরকারি স্বীকৃতি হিসেবে, সেগুলি সফল হয়নি এই অস্বীকৃতিসহ।

আধার, একটি সংবাদপত্র আর একটি পুলিশ বাহিনী

গ্রিড ছিল বেশ কয়েকটি লক্ষ্যের একটি। ২০২১ সালের সেপ্টেম্বরে Bloomberg Recorded Future-এর আরেকটি গোষ্ঠী নিয়ে একটি অনুসন্ধানের খবর দেয়, যে গোষ্ঠীকে সংস্থাটি TAG-28 নামে ট্র্যাক করত এবং যা Winnti নামের একটি ম্যালওয়্যার পরিবার ব্যবহার করত। এর ভুক্তভোগীদের মধ্যে ছিল আধার পরিচালনাকারী ইউনিক আইডেন্টিফিকেশন অথরিটি অফ ইন্ডিয়া, গণমাধ্যম সংস্থা বেনেট কোলম্যান আর মধ্যপ্রদেশ পুলিশ।

Bloomberg-এর মতে, ফেব্রুয়ারি থেকে আগস্টের মধ্যে গণমাধ্যম সংস্থাটি থেকে প্রায় ৫০০ মেগাবাইট ডেটা বেরিয়ে যায়। পুলিশ বিভাগ হারায় প্রায় ৫ মেগাবাইট। UIDAI-এর অনুপ্রবেশ ছিল আরও ছোট, প্রায় ১০ মেগাবাইট ডাউনলোড আর ৩০ আপলোড। Recorded Future জানায়, ভারতীয় প্রতিষ্ঠানগুলির বিরুদ্ধে সন্দেহভাজন রাষ্ট্র-পৃষ্ঠপোষকতাপ্রাপ্ত চীনা অভিযানে ২০২১ সালের এ পর্যন্ত ২০২০ সালের পুরো বছরের তুলনায় ২৬১ শতাংশ বৃদ্ধি তারা দেখেছে। Bloomberg উল্লেখ করেছিল যে চীনা কর্তৃপক্ষ রাষ্ট্র-পৃষ্ঠপোষকতাপ্রাপ্ত হ্যাকিংয়ে জড়িত থাকার কথা ধারাবাহিকভাবে অস্বীকার করেছে।

UIDAI-এর উত্তর ছিল সংক্ষিপ্ত। তারা বলে, “breach of the nature described” সম্পর্কে তাদের কোনো জ্ঞান নেই। Bloomberg-এর বিবরণ দাঁড়িয়ে আছে Recorded Future-এর অনুসন্ধানের ওপর, আর সংস্থাটির অস্বীকারই একমাত্র সরকারি প্রতিক্রিয়া যা তারা জানিয়েছে।

নিষিদ্ধ অ্যাপ, বিশ্বস্ত বিক্রেতা, প্রত্যয়িত ক্যামেরা

সীমান্ত সংকটে ভারতের প্রথম উত্তরগুলি কোনো গ্রিড প্রতিবেদনের জন্য অপেক্ষা করেনি। ২০২০ সালের ২৯ জুন, গালওয়ানের ১৪ দিন পরে, সরকার আইটি আইনের ৬৯এ ধারায় টিকটকসহ ৫৯টি চীনা অ্যাপ ব্লক করে। মন্ত্রক জানায়, তারা এমন খবর পেয়েছিল যে অ্যাপগুলি ব্যবহারকারীদের ডেটা অনুমতি ছাড়া ভারতের বাইরের সার্ভারে পাঠাচ্ছে, আর অ্যাপগুলি এমন কার্যকলাপে যুক্ত ছিল যা “prejudicial to sovereignty and integrity of India, defence of India, security of state and public order.”

টেলিকমে, অপারেটরদের লাইসেন্সে টেলিযোগাযোগ বিভাগের একটি সংশোধনী কার্যকর হয় ২০২১ সালের ১৫ জুন। সেই তারিখ থেকে অপারেটররা শুধু ন্যাশনাল সাইবার সিকিউরিটি কোঅর্ডিনেটরের বিজ্ঞাপিত “Trusted Sources”-এর যন্ত্রপাতি ব্যবহার করতে পারত, আর তালিকার বাইরের যেকোনো কিছুর জন্য বিশেষ অনুমতি লাগত। MediaNama উল্লেখ করেছিল যে পরিবর্তনটি Huawei আর ZTE-র মতো চীনা বিক্রেতাদের লক্ষ্য করে, এমনটাই ব্যাপকভাবে বোঝা হয়েছিল। ইতিমধ্যে বসানো যন্ত্রপাতির রক্ষণাবেক্ষণ ছাড়ের আওতায় ছিল।

ক্যামেরা এসেছে সবার শেষে। ২০২৫ সালের ৯ এপ্রিল থেকে ভারতে বিক্রি হওয়া ইন্টারনেট-সংযুক্ত সব সিসিটিভি সরঞ্জামের জন্য স্ট্যান্ডার্ডাইজেশন টেস্টিং অ্যান্ড কোয়ালিটি সার্টিফিকেশন ডিরেক্টরেট, যা STQC নামে পরিচিত, তার প্রত্যয়ন লাগে। প্রক্রিয়ায় একজন নির্মাতাকে সোর্স কোড হস্তান্তর করতে, কারখানা অডিট মেনে নিতে আর সরকারি ল্যাবে তার যন্ত্র পরীক্ষা করাতে হতে পারে। একজন ঊর্ধ্বতন কর্মকর্তা Reuters-কে বলেন, “China is part of the concern.” Xiaomi সংবাদ সংস্থাটিকে জানায়, ভারতীয় ল্যাবগুলি তাদের চীন-ভিত্তিক চুক্তিভিত্তিক নির্মাতাদের কাছে অতিরিক্ত নথি চেয়েছে, ভারতের সঙ্গে স্থলসীমান্ত আছে এমন দেশগুলির প্রতিষ্ঠানের জন্য “internal guidelines”-এর কথা উল্লেখ করে।

Hikvision আর Dahua, দুটি চীনা ক্যামেরা নির্মাতা, ব্যাপকভাবে নিষিদ্ধ বলে বর্ণিত হয়। সেটা সঠিক নয়। PTC News ২০২৬ সালের ১ এপ্রিল জানায় যে কর্মকর্তারা তাদের যন্ত্রের আর চীনা-উৎসের চিপসেট ব্যবহারকারী যন্ত্রের অনুমোদন আটকে রাখছেন, যার ফলে কোনো নিষেধাজ্ঞার আদেশ ছাড়াই পণ্যগুলির বৈধ বিক্রি বন্ধ হয়ে যায়। কোনো কোম্পানিকেই নিষিদ্ধ করার আনুষ্ঠানিক আদেশ আমরা পাইনি।

২০২৬-এও চলছে

২০২৬ সালের ২৮ জুন Acronis Threat Research Unit ভারতের বিরুদ্ধে একটি নতুন অভিযানকে উচ্চ আত্মবিশ্বাসের সঙ্গে চীনা গোষ্ঠী Mustang Panda-র ওপর আরোপ করে। তাদের ভিত্তি ছিল আগের Mustang Panda তৎপরতার সঙ্গে কৌশলে, ম্যালওয়্যার কোডে আর সার্ভার পরিকাঠামোয় মিল। লক্ষ্য ছিল ভারতের জলবিদ্যুৎ খাত আর তাইওয়ানের সঙ্গে সহযোগিতা চুক্তি আছে এমন সরকারি সংস্থা।

টোপ ছিল “Hydropower Cooperation Project Proposal.zip” আর “MOU USI-INDSR TAIWAN.zip” নামের দুটি জিপ ফাইল। Acronis-এর দেওয়া নামে ZOHOMURK ম্যালওয়্যারটি ভারতীয় সফটওয়্যার কোম্পানি Zoho-র ক্লাউড স্টোরেজ সেবা Zoho WorkDrive ব্যবহার করত নির্দেশ পেতে আর চুরি করা ডেটা বের করে নিতে। Acronis সেবাটিকে ভারত সরকারে সাধারণভাবে ব্যবহৃত বলে বর্ণনা করেছে, যা ট্র্যাফিককে স্বাভাবিক দেখায়। দ্বিতীয় একটি ইমপ্লান্ট, MINIRECON, Toneshell নামের একটি ম্যালওয়্যার পরিবার থেকে উদ্ভূত। আরোপের পক্ষে Acronis যে সূত্রগুলি তালিকাভুক্ত করেছে তার মধ্যে ছিল কোডে “RunOnece”-সহ সামঞ্জস্যপূর্ণ বানান ভুল, আগে নথিভুক্ত হওয়া Mustang Panda টুলের সঙ্গে কোডের মিলের পাশাপাশি।

২০২৬ সালের মে মাসে The Hacker News জানায় যে Trend Micro SHADOW-EARTH-053 নামে একটি ক্লাস্টার শনাক্ত করেছে, যা অন্তত ২০২৪ সালের ডিসেম্বর থেকে সক্রিয়। ভারত ছিল তার লক্ষ্যগুলির একটি, সঙ্গে পাকিস্তান, থাইল্যান্ড, মালয়েশিয়া, মিয়ানমার, শ্রীলঙ্কা, তাইওয়ান আর পোল্যান্ড। গোষ্ঠীটি ইন্টারনেট-মুখী Microsoft Exchange আর IIS সার্ভারের জানা ত্রুটির মধ্য দিয়ে ঢুকত এবং ওয়েব শেল বসাত, যা ছোট প্রোগ্রাম যা আক্রমণকারীকে সার্ভারের দূরনিয়ন্ত্রণ দেয়, তার একটির নাম Godzilla। তারপর তারা ShadowPad বসাত, ২০২১ সালে Recorded Future ভারতের গ্রিডে যে ব্যাকডোর পেয়েছিল সেটাই।

টেলিকমও নথিতে আসে, কম নিশ্চয়তা নিয়ে। ২০২৫ সালের ফেব্রুয়ারিতে Recorded Future জানায়, Salt Typhoon নামে পরিচিত গোষ্ঠীর একটি অভিযানে “more than half of the targeted Cisco devices were located in the U.S., South America and India”। Cybersecurity Dive-এর সেই প্রতিবেদনের বিবরণে নিশ্চিত ভুক্তভোগীদের মধ্যে কোনো ভারতীয় টেলিকম কোম্পানির নাম নেই।

ভারত যা বলবে না

ওপরের প্রায় সবকিছু এসেছে বিদেশি নিরাপত্তা সংস্থাগুলি থেকে, পাশে মন্ত্রীদের উত্তর। Recorded Future, Trend Micro আর Acronis তাদের অনুসন্ধান প্রকাশ করে। দেশের সবচেয়ে স্পর্শকাতর ব্যবস্থা রক্ষার দায়িত্বপ্রাপ্ত ভারতীয় সংস্থাটি বলেছে যে তারা করে না।

ন্যাশনাল ক্রিটিক্যাল ইনফরমেশন ইনফ্রাস্ট্রাকচার প্রোটেকশন সেন্টার, বা NCIIPC, আইটি আইনের ৭০এ ধারায় ২০১৪ সালের ১৬ জানুয়ারির একটি বিজ্ঞপ্তিতে তৈরি হয় এবং ন্যাশনাল টেকনিক্যাল রিসার্চ অর্গানাইজেশনের অধীনে কাজ করে। সংসদ যখন গুরুত্বপূর্ণ পরিকাঠামোর ওপর আক্রমণ নিয়ে জানতে চেয়েছিল, সরকারের লিখিত উত্তরে সংস্থাটির অবস্থান জানানো হয়: গুরুত্বপূর্ণ পরিকাঠামোয় সাইবার নিরাপত্তা লঙ্ঘনের বিবরণ প্রকাশ করা জাতীয় নিরাপত্তার স্বার্থে হবে না।

একই উত্তরে তালিকা করা আছে যে ব্যবস্থা বাস্তবে আছে। CERT-In আইনের ৭০বি ধারায় সাইবার নিরাপত্তা ঘটনায় সাড়া দেওয়ার জাতীয় সংস্থা হিসেবে মনোনীত। জাতীয় নিরাপত্তা পরিষদ সচিবালয়ে একজন ন্যাশনাল সাইবার সিকিউরিটি কোঅর্ডিনেটর আছেন, আর CERT-In পরিচালিত একটি ন্যাশনাল সাইবার কোঅর্ডিনেশন সেন্টার ভারতীয় সাইবারস্পেসে হুমকির সন্ধানে নজর রাখা একটি নিয়ন্ত্রণ কক্ষ হিসেবে কাজ করে। উত্তরে ২০২৫ সালের কেন্দ্রীয় বাজেটে সাইবার নিরাপত্তা প্রকল্পের জন্য ₹৭৮২ কোটি বরাদ্দের কথাও আছে।

উত্তরটি Press Information Bureau ২০২৫ সালের ২৬ মার্চ প্রকাশ করে।