আপনি যদি ইন্টারনেট সিকিউরিটির সম্পর্কে জানकार হন, তবে আপনি ফিশিং সম্পর্কে শুনেছেন থাকেন। আপনি নিশ্চিতভাবেই আপনার ব্যাঙ্ক বা মাইক্রোসফট থেকে আসছে বলে ইমেল পেয়েছেন থাকেন, আপনাকে আপনার পাসওয়ার্ড পাঠাতে বলে। আশা করি আপনি জানেন যে আপনাকে কখনো সেটি করা উচিত নয়।
তবে এই কৌশলের একটি অনেক বেশি সফিস্টিকেটেড ভার্সন রয়েছে, যাকে স্পিয়ার ফিশিং বলে। এটি হলো যেখানে একটি ব্যক্তি একটি খুব ভালোভাবে রিসার্চ করা এবং পেরসোনালাইজড ফিশিং ক্যাম্পেইনের টার্গেট হয়।
প্রমাণিত ইন্টারনেট ব্যবহারকারিতেও স্পিয়ার ফিশিংয়ের শিকার হতে পারে, তাই এখানে কীভাবে এটি কাজ করে এবং কীভাবে এতে থেকে নিরাপদ থাকবেন সেটি দেওয়া হলো।
স্পিয়ার ফিশিং কীভাবে কাজ করে
স্পিয়ার ফিশিং একটি পরিচিত প্যাটার্ন ফলো করে। ফিশাররা আপনার সম্পর্কে রিসার্চ করে শুরু করবে এবং আপনি যে কোম্পানিতে কাজ করেন, আপনার সহকর্মীরা, এবং আপনি যে প্রজেক্টে বর্তমানে কাজ করছেন সেগুলি শিখবে।
তারপর আপনি একটি ইমেল পাবেন যেটি যেন কেউ আপনি চিনেন সেখান থেকে আসছে। উদাহরণস্বরূপ, এটি আপনার কাজ করছেন এমন একটি প্রজেক্ট বা আপনি যে সমস্যায় আছেন সেটি রেফারেন্স দিতে পারে। (বিকল্পভাবে, এটি একটি আগামী ইভেন্ট বা একটি মিউচুয়াল কন্টাক্ট রেফারেন্স দিতে পারে)। ইমেলে একটি ফাইলের লিংক থাকবে যেটি আপনাকে ডাউনলোড করতে বলা হবে।
প্রায়শই ফাইলটি Dropbox বা Google Drive-এর মতো সার্ভিস দ্বারা হোস্ট করা থাকে। আপনি যখন ফাইল হোস্ট করা পেজে যাবেন, আপনাকে আপনার ক্রেডেনশিয়াল এন্টার করতে বলা হবে। লগইন সাইটটি যেন একটি বৈধ গুগল বা অনুরূপ লগইন পেজ দেখাবে।
কিন্তু এই পেজটি আসলে স্ক্যামার tarafından চালানো হচ্ছে। আপনি যখন আপনার ইউজারনেম এবং পাসওয়ার্ড এন্টার করবেন, এই ইনফরমেশন স্ক্যামারের কাছে যাবে আপনাকে লগইন করানোর বদলে। এটি টু-ফ্যাক্টর অথেন্টিকেশনের সাথে ও কাজ করতে পারে। আপনি যখন আপনার অথেন্টিকেশন কোড এন্টার করবেন, সেটিও স্ক্যামারের কাছে যাবে।
তারপর স্ক্যামারের আপনার গুগল অ্যাকাউন্ট বা অন্য গুরুত্বপূর্ণ অ্যাকাউন্টের ইউজারনেম এবং পাসওয়ার্ড পাওয়া যাবে। তারা এটিকে আপনার অন্যান্য অ্যাকাউন্ট অ্যাক্সেস করতে ব্যবহার করতে পারে। আপনার সিকিউরিটি সম্পূর্ণ কমপ্রোমাইজড।
স্পিয়ার ফিশাররা তাদের মেসেজগুলো কীভাবে লেজিটিমেট দেখান
রেগুলার ফিশিং ইমেল চেনা সহজ যদি আপনি জানেন কী খুঁজে বের করতে হবে। কিন্তু জেনেরিক ফিশিং ইমেলের বিপরীতে যা বাল্কে পাঠানো হয়, একটি স্পিয়ার ফিশিং আক্রমণ আপনাকে নির্দিষ্টভাবে টার্গেট করে। ফিশাররা তাদের ইমেলগুলো আরও কনভিন্সিং করার জন্য কৌশল ব্যবহার করে।
একটি সাধারণ ট্রিক হলো ফিশার আসল ডোমেন যেটি থেকে নকল মেসেজ পাঠাতে চায় সেটির খুব সাদৃশ্য একটি ডোমেন কিনে নেয়।
উদাহরণস্বরূপ, কেউ makeuseof.com থেকে নকল ইমেল করার চেষ্টা করলে, সে rnakeuseof.com ডোমেন কিনতে পারে। r এবং n একসাথে দেখতে m-এর মতো লাগে যদি আপনি দ্রুত পড়েন। কেউ আপনাকে bob@rnakeuseof.com থেকে মেসেজ পাঠালে আপনি ভালোভাবে লেজিটিমেট মনে করতে পারেন।
বিকল্পভাবে, একটি ফিশার ইমেল স্পুফিং ব্যবহার করতে পারে আপনার পরিচিত কেউ থেকে একটি নকল ইমেল জালিয়ে তোলার জন্য।
ইমেল মেসেজগুলো ভালোভাবে লেখা হবে এবং প্রফেশনাল, কোনো স্পেলিং বা গ্রামার মিস্টেক ছাড়া। এবং ফিশাররা তাদের ইমেলগুলো জরুরি এবং গুরুত্বপূর্ণ দেখানোর জন্য খুব চতুর হতে পারে। তারা আপনার বস বা আপনার কোম্পানির CEO থেকে একটি নকল ইমেল তৈরি করতে পারে—যে ব্যক্তिको আপনি প্রশ্ন করতে চান না।
ফিশাররা এমনকি রিসার্চ করতে পারে জানতে আপনার একজন সহকর্মী কখন বিজনেস ট্রিপে বাইরে যাচ্ছেন। তারপর তারা আপনাকে ইমেল করবে, সেই সহকর্মী হয়ে ভেসে, কারণ তারা জানে আপনি সে সময় তাদের সাথে পারসোনালি কথা বলবেন না। আপনার কোম্পানি সম্পর্কে জানতে এবং সেই ইনফরমেশন আপনাকে ফাঁসিয়ে দিতে ব্যবহার করার জন্য ফিশারদের অনেক উপায় রয়েছে।
যারা স্পিয়ার ফিশিংয়ের আশঙ্কায় আছেন
যেহেতু স্পিয়ার ফিশিং একটি টার্গেটেড আক্রমণ যেটি প্রচুর রিসার্চ দরকার, স্ক্যামাররা তাদের টার্গেট সাবধানে বেছে নেয়। ফিশাররা একটি কোম্পানির কী সিস্টেমে অ্যাক্সেস আছে এমন একটি ব্যক্তিকে পিক করবে, বা উচ্চ নেটওয়ার্থ বা বড় ফান্ডে অ্যাক্সেস আছে এমন ব্যক্তিদের টার্গেট করবে।
স্পিয়ার ফিশিং আক্রমণের সবচেয়ে বেশি ঝুঁকিতে আছেন একজন বυσনেসের সাধারণ কর্মচারী, বা কেউ যারা বাড়িতে কম্পিউটার ব্যবহার করেন। একটি কোম্পানির সিনিয়র লোকজন যারা ম্যানেজমেন্টে কাজ করেন, বা আইটি-এ কাজ করেন, তারা "হোয়েলিং"-এর অধিক ঝুঁকিতে থাকবে যা হাই-ভ্যালু টার্গেটের ওপর একটি সাইবার আক্রমণ।
স্পিয়ার ফিশিং থেকে নিরাপদ থাকার উপায়
স্পিয়ার ফিশিং আক্রমণ যেনতত সফিস্টিকেটেড, আপনাকে সতর্ক থাকতে হবে। একটি विश्वস্ত বন্ধু বা সহকর্মী থেকে নিরপেক্ষ শব্দের মেসেজও একটি ফিশিং আক্রমণ হতে পারে।
সৌভাগ্য계를, কিছু প্র্যাক্টিক্যাল ধাপ রয়েছে যা আপনি নিতে পারেন নিরাপদ থাকতে এবং ফিশিং আক্রমণ আপনার ওপর সফল হওয়ার সম্ভাবনা কমাতে:
- আপনি যেকোনো ইমেল পেলে, সেন্ডার অ্যাড্রেস ডবল এবং ট্রিপল চেক করুন। আপনাকে এটিকে খুব ভালোভাবে দেখতে হবে যাতে অ্যাড্রেসটি নকল বা ভুল নয়। শুধু একটি ইমেল কেউ আপনার পরিচিত থেকে আসছে বলে মনে হলে, সেটি তাদের একটি রেগুলার ইমেলের মতো দেখায় (তাদের সিগনেচার, কোম্পানি ইনফো, ইত্যাদি সহ) সেটি মানে নয় সেটি অবশ্যই লেজিটিমেট।
- সন্দেহ করুন যদি সেন্ডার রিকোয়েস্টটিকে খুব জরুরি করে তুলে, বিশেষ করে যদি তারা আপনাকে এমন কিছু করতে বলে যা আপনি সাধারণত করবেন না। উদাহরণস্বরূপ, আপনার কোম্পানিতে আপনি যদি সাধারণত নেটওয়ার্ক ড্রাইভ দিয়ে ফাইল শেয়ার করেন, কিন্তু এখন কেউ আপনাকে জরুরি একটি ফাইল Dropbox থেকে ডাউনলোড করতে বলে, এটি একটি সুরাগ যে কিছু ঠিক নয়।
- ফোন দিয়ে একটি রিকোয়েস্ট কনফার্ম করুন যদি সেটি অদ্ভুত হয়। ফিশিং কাটানোর সেরা উপায় হলো ফোন তুলে প্রযোজিত সেন্ডারের সাথে নিজে কথা বলা। যদি রিকোয়েস্টটি আসল হয়, এটা মাত্র এক মিনিট নেবে কনফার্ম করতে। যদি না হয়, আপনি একটি পটেনশিয়ালি হানিকারক পরিস্থিতি থেকে বাঁচবেন।
- ইমেলে লিংক করা ফাইলগুলো দৃষ্টি রেখুন। এমন কিছু যা আপনি নিরাপদ হতে অনুমান করবেন, যেমন একটি Excel বা Word ফাইল ম্যালিশিয়াস সফ্টওয়্যার লুকিয়ে রাখতে পারে। এক্সট্রা সতর্ক থাকুন যদি একটি লিংক করা ফাইল আপনাকে ম্যাকরোস ইনেবল করতে বলে, কারণ এটি আপনার ডিভাইসে ম্যালওয়্যার ইনস্টল করার একটি সাধারণ উপায়।
সফিস্টিকেটেড স্পিয়ার ফিশিং আক্রমণের সতর্ক থাকুন
স্পিয়ার ফিশিং পুরনো ফিশিং আক্রমণের চেয়ে অনেক বেশি সফিস্টিকেটেড ভার্সন। এটি প্রচুর রিসার্চ ব্যবহার করে একটি নির্দিষ্ট ব্যক্তিকে টার্গেট করে, তাদের কন্টাক্টের একজনের নকল ইমেল করেসপন্ডেন্স দিয়ে।
এই ইমেলগুলো খুব কনভিন্সিং দেখতে পারে এবং রিসিপিয়েন্টকে একটি ফাইল ডাউনলোড করতে ইনস্ট্রাক্ট করে যেটি ম্যালওয়্যার ধারণ করে, যা ফিশারকে টার্গেটের ইমেল অ্যাকাউন্ট বা অন্যান্য অ্যাকাউন্টে অ্যাক্সেস দেয়।
এই ইমেলগুলো সতর্ক থাকুন যেগুলি লেজিটিমেট দেখতে পারে কিন্তু আপনার অ্যাকাউন্ট কমপ্রোমাইজ করার একটি উপায় হতে পারে। এবং আপনি যেহেতু এখানে আছেন, ভিশিং এবং স্মিশিং-এর মতো অন্যান্য ফিশিং টেকনিক সম্পর্কেও জানুন।
