ফিশিং কী?
ফিশিং হল একটি সামাজিক প্রকৌশল আক্রমণ যেখানে একজন আক্রমণকারী একটি বৈধ ওয়েবসাইটের বিশ্বাসযোগ্য কপি তৈরি করে — প্রায়ই পিক্সেল-পারফেক্ট — এবং ভিকটিমকে সেখানে লগইন তথ্য প্রবেশ করতে প্রতারণা করে। ভিকটিম ফর্ম জমা দেওয়ার মুহূর্তে, আক্রমণকারী ইউজারনেম, পাসওয়ার্ড, এবং যেকোনো দ্বিতীয় ফ্যাক্টর ক্যাপচার করে, তারপর সেকেন্ডের মধ্যে আসল অ্যাকাউন্ট দখল করতে সেগুলো ব্যবহার করে।
শব্দটি এসেছে টোপ দিয়ে ভিকটিমদের "মাছ ধরার" রূপক থেকে (সাধারণত একটি ইমেইল)। বানানটি পরিবর্তিত হয়েছে এটি জোর দিতে যে আক্রমণকারীরা প্রায়ই ফোন নম্বর (SMS ফিশিং, বা "smishing") এবং পেশাদার চেহারার অবকাঠামো ব্যবহার করে।
কেন ফিশিং এখনও ১ নম্বর হুমকি
আজকের বেশিরভাগ বড় আকারের অ্যাকাউন্ট লঙ্ঘনে হ্যাকিং, পাসওয়ার্ড ক্র্যাকিং, বা এনক্রিপশন বাইপাসিং জড়িত নেই। এতে জড়িত থাকে একটি মানুষ ভুয়া সাইটে পাসওয়ার্ড টাইপ করা। ফিশিং হল:
- সস্তা — একজন আক্রমণকারী একটি VPS এবং একটি স্পুফড ডোমেইনের দামে লক্ষ লক্ষ ইমেইল পাঠাতে পারে
- ফিল্টার করা কঠিন — আধুনিক কিটগুলো ডোমেইন ঘোরায়, বৈধ হোস্টিং ব্যবহার করে, এবং রিয়েল টাইমে ফিল্টারের সাথে মানিয়ে নেয়
- কার্যকর — এমনকি নিরাপত্তা-সচেতন ইউজাররাও ভালভাবে তৈরি লক্ষ্যবদ্ধ প্রচেষ্টার (স্পিয়ার ফিশিং) শিকার হয়
- স্কেলযোগ্য — একটি একক সফল ফিশ প্রায়ই পাসওয়ার্ড পুনব্যবহারের মাধ্যমে ডজনখানেক সংযুক্ত সেবার অ্যাক্সেস দেয়
২০২৪ Verizon Data Breach Investigations রিপোর্টে দেখা গেছে যে সমস্ত লঙ্ঘনের ৩৬%-এর বেশিতে ফিশিং ছিল প্রাথমিক অ্যাক্সেস ভেক্টর — অন্য যেকোনো একক কারণের চেয়ে বেশি।
আধুনিক ফিশিং কীভাবে কাজ করে
ফিশিং ২০০০-এর দশকের "নাইজেরিয়ান প্রিন্স" ইমেইলের চেয়ে অনেক এগিয়ে গেছে। একটি আধুনিক ফিশিং আক্রমণে সাধারণত অন্তর্ভুক্ত থাকে:
১. একটি বিশ্বাসযোগ্য টোপ
সাধারণত একটি ইমেইল, টেক্সট, বা চ্যাট বার্তা যা জরুরীতা ("আপনার অ্যাকাউন্ট স্থগিত হবে"), কর্তৃত্ব ("Microsoft নিরাপত্তা দল"), বা কৌতূহল ("কেউ আপনাকে একটি ছবিতে ট্যাগ করেছে") তৈরি করে। স্পিয়ার-ফিশিং এটিকে LinkedIn, লঙ্ঘনের ডাম্প, বা পূর্ববর্তী যোগাযোগ থেকে টানা ব্যক্তিগত বিবরণ দিয়ে আরও এগিয়ে নিয়ে যায়।
২. একটি পিক্সেল-পারফেক্ট ভুয়া সাইট
আক্রমণকারীরা অফ-দ্য-শেল্ফ ফিশিং কিট ব্যবহার করে যা টার্গেট সাইটের HTML, CSS, এবং JavaScript ক্লোন করে। অনেক কিট সেবা হিসেবে বিক্রি হয় (ফিশিং-অ্যাজ-অ্যা-সার্ভিস), কার্যকর ড্যাশবোর্ড এবং গ্রাহক সহায়তা সহ।
৩. 2FA-এর জন্য রিয়েল-টাইম প্রক্সি
বিপজ্জনক অংশ: আধুনিক কিটগুলো শুধু আপনার পাসওয়ার্ড ক্যাপচার করে না। সেগুলো ম্যান-ইন-দ্য-মিডল প্রক্সি হিসেবে কাজ করে যা আপনি যা কিছু টাইপ করেন — আপনার TOTP কোড সহ — সেকেন্ডের মধ্যে আসল সাইটে ফরওয়ার্ড করে, বেশিরভাগ 2FA বাইপাস করে। এই কৌশলটিকে adversary-in-the-middle (AiTM) বলা হয় এবং এটি Evilginx2 এবং Modlishka-এর মতো টুলে ব্যবহৃত হয়।
৪. সেশন টোকেন চুরি
একবার আপনি প্রক্সির মাধ্যমে প্রমাণীকরণ করলে, আক্রমণকারী আপনার সেশন কুকি ক্যাপচার করে এবং আপনি পাসওয়ার্ড পরিবর্তন করার পরেও লগ ইন থাকতে এটি ব্যবহার করতে পারে। এ কারণেই ফিশিং প্রতিক্রিয়ায় সর্বদা সক্রিয় সেশনগুলো প্রত্যাহার করা অন্তর্ভুক্ত থাকে, শুধু পাসওয়ার্ড পরিবর্তন নয়।
আসলে কী ফিশিং বন্ধ করে
হার্ডওয়্যার সিকিউরিটি কী (FIDO2 / WebAuthn)
এটি একমাত্র ক্যাটেগরির প্রতিরক্ষা যা ডিজাইনগতভাবে ফিশিং-প্রুফ। যখন আপনি FIDO2 কী দিয়ে লগ ইন করেন, আপনার কী ক্রিপ্টোগ্রাফিকভাবে প্রমাণীকরণের জন্য অনুরোধকারী সাইটের সঠিক ডোমেইন যাচাই করে। একটি ভুয়া সাইট — যতই ভিজুয়ালি নিখুঁত হোক না কেন — একটি ভিন্ন ডোমেইন আছে, তাই কী প্রতিক্রিয়া জানাতে অস্বীকার করে। ক্রিপ্টোগ্রাফিক হ্যান্ডশেক সহজভাবে সম্পূর্ণ হয় না।
Google বিখ্যাতভাবে ২০১৭ সালে সব ৮৫,০০০+ কর্মচারীর জন্য YubiKey বাধ্যতামূলক করেছিল এবং তার পরের বছরগুলোতে কোম্পানির অ্যাকাউন্টে শূন্য সফল ফিশিং আক্রমণ রিপোর্ট করেছে।
পাসকী
পাসকীগুলো হল FIDO2-এর ভোক্তা-বান্ধব বিবর্তন। সেগুলো একই ডোমেইন-বাউন্ড ক্রিপ্টোগ্রাফি ব্যবহার করে এবং iOS, Android, macOS, এবং Windows-এ নির্মিত। যদি আপনার ব্যবহৃত কোনো সাইট পাসকী সাপোর্ট করে, একটি সক্রিয় করলে সেই অ্যাকাউন্ট ফিশিং-প্রুফ হয়ে যায়।
পাসওয়ার্ড ম্যানেজার
একটি পাসওয়ার্ড ম্যানেজার আপনার দ্বিতীয় প্রতিরক্ষা লাইন কারণ এটি শুধুমাত্র সঠিক ডোমেইনে লগইন তথ্য অটোফিল করে যেখানে সেগুলো সংরক্ষিত হয়েছিল। আপনি যদি paypal.com-এর পরিবর্তে paypaI.com (বড় হাতের I)-এ যান, আপনার ম্যানেজার নীরবে ফর্ম পূরণ করতে অস্বীকার করে। সেই অস্বীকৃতি একটি জোরালো সতর্কতা যে কিছু ভুল আছে।
ইমেইল এবং DNS ফিল্টারিং
ইমেইল প্রোভাইডাররা স্পুফড প্রেরকের ঠিকানা শনাক্ত করতে DMARC, SPF, এবং DKIM ব্যবহার করে। বেশিরভাগ আধুনিক প্রোভাইডার স্পষ্ট প্রচেষ্টাগুলো ধরে ফেলে, কিন্তু লক্ষ্যবদ্ধ আক্রমণ এখনও পিছলে যায়। আপনার মেইল ক্লায়েন্টে "report phishing" বোতাম সক্রিয় করুন যাতে ফিল্টারগুলো উন্নত করতে আপনি সাহায্য করেন।
যেসব লাল পতাকা দেখতে হবে
যখন আপনি লগ ইন করতে, যাচাই করতে, বা জরুরী কাজ করতে বলে বার্তা পান:
- জরুরী এবং হুমকি — "আপনার অ্যাকাউন্ট ২৪ ঘন্টায় বন্ধ হবে"
- সাধারণ সম্বোধন — আপনার নামের পরিবর্তে "প্রিয় গ্রাহক"
- দেখতে অনুরূপ ডোমেইন —
paypaI.com,app1e.com,secure-microsoft-login.net - অপ্রত্যাশিত সংযুক্তি — বিশেষত
.zip,.html, বা.pdfফাইল যা দেখার জন্য আপনাকে লগ ইন করতে বলে - ব্যাকরণ বা ফরম্যাট ত্রুটি — বড় কোম্পানিগুলো তাদের ইমেইল প্রুফরিড করে
- লিঙ্ক অমিল — লিঙ্কের উপর হোভার করুন এবং গন্তব্য টেক্সটের সাথে মেলে কিনা চেক করুন
কিছু অস্বাভাবিক মনে হলে, ইমেইল বন্ধ করুন। ম্যানুয়ালি সাইটে যান। যদি আসলেই কোনো সমস্যা থাকে, আপনার স্বাভাবিক প্রক্রিয়ায় লগ ইন করলে আপনি এটি দেখতে পাবেন।
যদি ফাঁদে পড়ে যান তো কী করবেন
দ্রুত কাজ করুন — গতি গুরুত্বপূর্ণ কারণ আক্রমণকারীরা মিনিটের মধ্যে লগইন তথ্য ব্যবহার শুরু করে।
১. অবিলম্বে পাসওয়ার্ড পরিবর্তন করুন অন্য ডিভাইসে (উদাহরণস্বরূপ, আপনার ফোনে, যদি আপনি ল্যাপটপে ফাঁদে পড়ে থাকেন) ২. সব সক্রিয় সেশন প্রত্যাহার করুন অ্যাকাউন্ট সেটিংসে — এটি চুরি করা সেশন টোকেন ব্যবহারকারী যে কেউ বর্তমানে আছে তাদের বের করে দেয় ৩. 2FA সক্রিয় করুন যদি আগে থেকে চালু না থাকে, এবং সম্ভব হলে হার্ডওয়্যার কী বা পাসকী ব্যবহার করুন ৪. অননুমোদিত কার্যকলাপ চেক করুন — পাঠানো ইমেইল, সাম্প্রতিক লগইন, বিলিং পরিবর্তন, নতুন ফরওয়ার্ডিং নিয়ম ৫. আক্রান্ত প্রতিষ্ঠানকে জানান যদি এটি আর্থিক বা কাজের অ্যাকাউন্ট হয় ৬. অন্যান্য অ্যাকাউন্ট চেক করুন যা একই পাসওয়ার্ড ব্যবহার করে — যদিও আপনি নিশ্চিত যে আপনি পাসওয়ার্ড পুনব্যবহার করেন না, চেক করুন
মূল কথা
ফিশিং সফল হয় কারণ এটি প্রযুক্তি বাইপাস করে এবং মানুষকে টার্গেট করে। সেরা