काठमाण्डौ । सरकारी वेबसाइट र बैंकका केही अनलाइन सेवा बन्द गराउन बाध्य पारेको पीएचपीको सुरक्षा कमजोरीले दशैं बिदापछि खुल्ने सेयर बजारबारे पनि प्रश्न उठाएको छ। आगामी सोमबार कारोबार सुरु हुँदा लगानीकर्ताले टीएमएसबाट आदेश दिन, रकम पठाउन र बिक्री गरेको सेयर हस्तान्तरण गर्न पाउँछन् कि पाउँदैनन् भन्ने चासो स्वाभाविक बनेको छ।
प्राविधिक दृष्टिले अत्यावश्यक प्रणाली प्रभावित भए बजार ढिलो खुल्ने वा कारोबार स्थगित हुने अवस्था आउन सक्छ। तर अहिले उपलब्ध सूचनाबाट ‘पीएचपी समस्याका कारण सोमबार बजार खुल्दैन’ भन्ने निष्कर्ष निकाल्ने आधार भेटिएको छैन।
यो विश्लेषण तयार पार्दासम्म खोजीमा भेटिएका सार्वजनिक सूचनामा नेप्सेको मुख्य कारोबार प्रणाली, ब्रोकरका टीएमएस वा सीडीएससीको मुख्य राफसाफ प्रणाली यही कमजोरीबाट प्रभावित भएको स्पष्ट आधिकारिक पुष्टि भेटिएन। सूचना नपाइनुलाई सबै प्रणाली सुरक्षित रहेको प्रमाणका रूपमा पनि लिन मिल्दैन।
बैंकको सूचना राख्ने वेबसाइट, अनलाइन खाता खोल्ने पोर्टल, मोबाइल बैंकिङ र अन्तरबैंक भुक्तानी सेवा फरक काम गर्ने प्रणाली हुन्। एउटामा समस्या आउँदा अरू सबै स्वतः बन्द हुन्छन् भन्ने हुँदैन।
यसअघि उपलब्ध बैंकका सूचनाले पनि सेवा बन्दको दायरा फरक रहेको देखाएका छन्। प्राइमले निश्चित अनलाइन पोर्टल बन्द गरेको छ भने नबिलले जेनअल्फा एप प्रभावित भए पनि अन्य सेवा नियमित रहेको स्पष्ट पारेको छ। केही बैंकले वेबसाइट र वेबमा आधारित सेवा बन्द भएको बताएका छन्।
त्यसैले ‘बैंकको वेबसाइट खुलेन’ भन्ने आधारबाट ‘सेयर कारोबारको पैसा पठाउन सकिँदैन’ वा ‘क्लियरिङ बैंकले फछ्र्यौट गर्न सक्दैन’ भन्ने निष्कर्ष निकाल्नु हतार हुन्छ।
नेप्सेको सार्वजनिक वेबसाइटमा सूचना हेर्न नसक्नु र मुख्य प्रणालीमा खरिद–बिक्री आदेश मिलान हुन नसक्नु पनि एउटै समस्या होइन। तर वेबसाइट र मुख्य प्रणालीबीच साझा पूर्वाधार वा पहुँच रहेछ भने जोखिमको दायरा फराकिलो हुन सक्छ। त्यस्तो सम्बन्ध प्राविधिक परीक्षणबाट पुष्टि गर्नुपर्छ।
पीएचपीमा भेटिएका CVE-2026-109618 र CVE-2026-109619 नामका कमजोरीले प्रभावित प्रणालीमा लगइनबिनै अनधिकृत कोड चलाउन सक्ने जोखिम सिर्जना गरेका छन्। पीएचपी विकासकर्ताले सुरक्षा संस्करण सार्वजनिक गर्दै तत्काल अद्यावधिक गर्न आग्रह गरेका छन्।
तर नेप्से, सबै ब्रोकर र सीडीएससीका सम्पूर्ण प्रणाली पीएचपीमै बनेका छन् वा जोखिमयुक्त संस्करण चलाइरहेका छन् भन्ने प्रमाण सार्वजनिक रूपमा पुष्टि भएको छैन।
प्रणालीमा पीएचपी प्रयोग भएको छ भने पनि कुन संस्करण छ, सुरक्षा अद्यावधिक लागू भयो कि भएन र कमजोर सेवा अरू प्रणालीबाट अलग छ कि छैन भन्ने कुराले वास्तविक जोखिम निर्धारण गर्छ। यही कारण सबै वित्तीय प्रणालीलाई एउटै अवस्थामा राखेर विश्लेषण गर्न मिल्दैन।
सेयर बजार सञ्चालन हुन आदेश राख्ने सुविधा मात्रै पर्याप्त हुँदैन। कारोबारको अभिलेख सीडीएससीसम्म पुग्नुपर्छ र अन्ततः सेयर तथा रकमको फछ्र्यौट हुनुपर्छ। सीडीएससीको जानकारीअनुसार कारोबारको राफसाफ तथा फछ्र्यौट टी प्लस टु चक्रमा हुन्छ।
तलका अवस्था सम्भावित प्राविधिक परिदृश्य हुन्-हाल समस्या पुष्टि भएका प्रणालीको सूची होइनन्।
टीएमएसमा लगइन भयो र आदेश राख्न सकियो भन्दैमा सम्पूर्ण कारोबार शृङ्खला तयार भएको ठहर गर्न मिल्दैन।
उदाहरणका लागि, लगानीकर्ताको खाताबाट पैसा काटियो तर ब्रोकरको प्रणालीमा कोलाटरल अद्यावधिक भएन भने कारोबार क्षमता र बैंक अभिलेखबीच फरक पर्न सक्छ। बिक्री आदेश कार्यान्वयन भयो तर सेयर हस्तान्तरण निर्देशन दिने माध्यम उपलब्ध भएन भने अर्को समस्या सिर्जना हुन्छ।
यी उदाहरण सम्भावित सञ्चालन जोखिम बुझाउन प्रस्तुत गरिएका हुन्। अहिले यस्तै समस्या भइरहेको पुष्टि भने छैन।
नेपाल क्लियरिङ हाउसले कनेक्ट आईपीएस, एनसीएचएल–आईपीएस र अन्य भुक्तानी तथा फछ्र्यौट सेवा सञ्चालन गर्छ। यसले पनि बैंकको सामान्य वेबसाइट र वित्तीय भुक्तानी पूर्वाधारलाई छुट्टाछुट्टै हेर्नुपर्ने देखाउँछ।
सम्भावित रूपमा तीन अवस्थाले कारोबार सुरु गर्ने निर्णय जटिल बनाउन सक्छन्।
पहिलो, नेप्सेको मुख्य कारोबार प्रणाली वा त्यससँग जोडिएको अत्यावश्यक सेवाको सुरक्षा सुनिश्चित नभएको अवस्था। दोस्रो, धेरै ब्रोकरको टीएमएस एकैपटक अनुपलब्ध भएर ठूलो संख्याका लगानीकर्ता कारोबारबाट वञ्चित हुने अवस्था। तेस्रो, कारोबार भए पनि सीडीएससी र क्लियरिङ बैंकमार्फत सुरक्षित फछ्र्यौट गर्न नसकिने अवस्था।
यसमा सफल साइबर आक्रमण भइसकेको हुनैपर्छ भन्ने छैन। गम्भीर कमजोरी सच्याउन वा शंकास्पद प्रणाली अलग राख्न सावधानीस्वरूप सेवा रोक्नुपर्ने हुन सक्छ।
तर कुनै एउटा बैंकको सूचना वेबसाइट वा केही गैरअत्यावश्यक पोर्टल बन्द भएको अवस्थालाई यी बजारव्यापी अवरोधसँग तुलना गर्न मिल्दैन।
अहिले लगानीकर्तालाई सबैभन्दा उपयोगी कुरा अनुमानभन्दा नेप्से, सीडीएससी, ब्रोकर र सम्बन्धित भुक्तानी संस्थाको तयारीबारे स्पष्ट जानकारी हो।
सोमबारअघि उनीहरूले मुख्यतः यी विषय खुलाउन आवश्यक देखिन्छः
-जोखिमयुक्त प्रविधि पहिचान र आवश्यक सुरक्षा अद्यावधिक सम्पन्न भए कि भएनन् ?
-टीएमएसबाट आदेश पठाउनेदेखि कारोबार अभिलेख सीडीएससीमा पुग्नेसम्मको संयुक्त परीक्षण भयो कि भएन ?
-रकम पठाउने, कोलाटरल अद्यावधिक गर्ने र फछ्र्यौट गर्ने प्रक्रिया परीक्षण गरियो कि गरिएन ?
-ईडीआईएस वा भुक्तानी अवरुद्ध भए समयसीमा र वैकल्पिक व्यवस्था के हुन्छ ?
-समस्या देखिए कारोबार ढिला सुरु गर्ने वा स्थगित गर्ने निर्णय कहिले र कसरी सार्वजनिक हुन्छ ?
कारोबारअघि आफ्नो ब्रोकरबाट टीएमएस र भुक्तानी सेवाको अवस्था बुझ्नु उपयोगी हुन्छ। बैंकबाट रकम काटिए पनि कोलाटरल नदेखिए कारोबारको प्रमाण सुरक्षित राखेर बैंक र ब्रोकरलाई जानकारी दिनुपर्छ। पुष्टि नगरी एउटै भुक्तानी पटकपटक गर्नु उचित हुँदैन।
सेवा सुचारु गरिदिने नाममा आएका अपरिचित लिंकमा लगइन गर्ने वा ओटीपी, पिन र पासवर्ड दिने कामबाट पनि बच्नुपर्छ।
अहिलेसम्म कुनै प्रतिक्रिया छैन। पहिलो प्रतिक्रिया तपाईंको हुन सक्छ।
