সিইও (CEO) ফ্রড: এই স্ক্যাম আপনাকে চাকরি থেকে বের করবে এবং বসের টাকা খায়

ইমেইল ফ্রডস্টার ও কম্পিউটার অপরাধীদের একটি সাধারণ আক্রমণ ভেক্টর (attack vector)। কিন্তু আপনি যদি ভাবেন এটি শুধু ম্যালওয়্যার ছড়ানোর, ফিশিং, এবং নাইজেরিয়ান অ্যাডভান্স ফি স্ক্যামের জন্য ব্যবহার হয়, তবে আবার ভাবুন। একটি নতুন ইমেইল-চালিত স্ক্যাম আছে যেখানে একজন আক্রমণকারী আপনার বসের ভেস ধরে, আপনাকে কোম্পানির হাজার হাজার ডলার তার কন্ট্রোল থাকা একটি ব্যাংক একাউন্টে ট্রান্সফার করতে ফাঁসিয়ে দেবে।

এটিকে CEO Fraud, বা "ইনসাইডার স্পুফিং" (Insider Spoofing) বলা হয়।

আক্রমণটি বুঝুন

তো, আক্রমণটি কীভাবে কাজ করে? ঠিক আছে, একজন আক্রমণকারী এটি সফলভাবে চালাতে চাইলে, তাদের লক্ষ্যভুক্ত কোম্পানির সম্পর্কে অনেক তথ্য জানতে হবে।

এই তথ্যের অধিকাংশ লক্ষ্যভুক্ত কোম্পানি বা প্রতিষ্ঠানের হায়ারার্কিক্যাল স্ট্রাকচার (hierarchical structure) সম্পর্কে। তারা জানতে হবে কে কে তারা প্রতিনিয়ত করবে। এই টাইপের স্ক্যামটি "সিইও ফ্রড" (CEO fraud) নামে পরিচিত হলেও, বাস্তবে এটি কোনো সিনিয়র ভূমিকায় থাকা কারো লক্ষ্য করে - কেউ যিনি পেমেন্ট আরম্ভ করতে পারবেন। তাদের নাম এবং ইমেইল ঠিকানা জানতে হবে। তাদের শিডিউল জানা থাকলে ভালো, এবং তারা কখন ট্রাভেল করছেন বা ছুটি নিচ্ছেন।

শেষে, তাদের জানতে হবে কে সংগঠনে টাকা ট্রান্সফার ইস্যু করতে পারেন, যেন একাউন্ট্যান্ট (accountant), বা ফাইন্যান্স ডিপার্টমেন্টের কেউ।

এই তথ্যের অধিকাংশ কোম্পানির ওয়েবসাইটে বিনামূল্যে পাওয়া যায়। অনেক মিডিয়াম-অ্যান্ড-স্মল সাইজ কোম্পানির "আমাদের সম্পর্কে" (About Us) পেজ থাকে, যেখানে তারা তাদের কর্মীদের, ভূমিকা ও দায়িত্ব, এবং যোগাযোগের তথ্য লিস্ট করে।

কাউকে শিডিউল খুঁজে বের করা একটু কঠিন। অধিকাংশ মানুষ তাদের ক্যালেন্ডার অনলাইনে পাবলিক라이জ (publicize) করে না। কিন্তু অনেকেই তাদের মুভমেন্ট সোশ্যাল মিডিয়া সাইটে পাবলিক라이জ করে, যেন টুইটার, ফেসবুক, এবং সোয়ার্ম (Swarm, আসলেই ফোরস্কোয়ার)। একজন আক্রমণকারী শুধু অপেক্ষা করবে যতক্ষণ না তিনি অফিস ছেড়ে যান, এবং তারপর আক্রমণ করবে।

আক্রমণকারী যখন আক্রমণ চালানোর জন্য সব পazzল পিস পেয়ে যায়, তারা ফাইন্যান্স কর্মীকে ইমেইল করবে, সিইও বানা ধরে, এবং একটি ব্যাংক একাউন্টে মানি ট্রান্সফার আরম্ভ করার অনুরোধ করবে যা তারা কন্ট্রোল করে।

কাজ করার জন্য, ইমেইলটি আসল মনে হতে হবে। তারা অথবা একটি ইমেইল একাউন্ট ব্যবহার করবে যা 'বৈধ' বা সম্ভাব্য দেখাবে (উদাহরণস্বরূপ firstname.lastname.arbitrarynumber@gmail.com), অথবা সিইওর আসল ইমেইল 'স্পুফ' (spoofing) করবে। এটি হবে যেখানে একটি ইমেইল মডিফাইড হেডারস (modified headers) সহ পাঠানো হয়, যাতে "From:" ফিল্ডে সিইওর আসল ইমেইল থাকে। কিছু উদ্যমী আক্রমণকারী সিইওকে ইমেইল করার চেষ্টা করবে, যাতে তাদের ইমেইলের স্টাইলিং ও এস্থেটিক্স ডুপ্লিকেট করতে পারেন।

আক্রমণকারী আশা করবে ফাইন্যান্স কর্মী টার্গেটেড এক্সিকিউটিভের সাথে আগে চেক না করেই ট্রান্সফার আরম্ভ করার চাপ পাবেন। এই बेट (bet) প্রায়শই ফলদায়ী হয়, কিছু কোম্পানি অনিচ্ছাক্রমে লাখ লাখ ডলার चुकाয়েছে। ফ্রান্সের একটি কোম্পানি যা BBC প্রোফাইল করেছিল, ১০০,০০০ ইউরো হারিয়েছিল। আক্রমণকারী ৫০০,০০০ পাওয়ার চেষ্টা করেছিল, কিন্তু ব্যাংক শুধু একটা পেমেন্ট ছাড়া বাকিগুলো ব্লক করলো ফ্রড সন্দেহ করে।

সোশ্যাল এঞ্জিনিয়েরিং আক্রমণ কীভাবে কাজ করে

পারাম্পরিক কম্পিউটার সিকিউরিটি হুমকি প্রযুক্তিগত প্রকৃতির। ফলস্বরূপ, আপনি প্রযুক্তিগত উপায় দিয়ে এই আক্রমণগুলো পরাজিত করতে পারেন। আপনি যদি ম্যালওয়্যার সংক্রমিত হন, তবে আপনি অ্যান্টিভাইরাস প্রোগ্রাম ইনস্টল করতে পারেন। কেউ আপনার ওয়েব সার্ভার হ্যাক করার চেষ্টা করলে, আপনি কাউকে नियোগ করতে পারেন পেনিট্রেশন টেস্ট (penetration test) করতে এবং পরামর্শ নিতে কীভাবে মেশিনকে অন্য আক্রমণের বিরুদ্ধে 'হার্ডেন' (harden) করতে হবে।

সোশ্যাল এঞ্জিনিয়েরিং আক্রমণ - যেন সিইও ফ্রড (CEO fraud) এর একটি উদাহরণ - আটকাতে অনেক কঠিন, কারণ এগুলো সিস্টেম বা হার্ডওয়্যারে আক্রমণ করে না। এগুলো মানুষকে আক্রমণ করে। কোডে ভালনারেবিলিটি এক্সপ্লয়েট (exploit) করার বদলে, এগুলো মানব প্রকৃতি এবং আমাদের ফطرتানুসারী অন্যের ওপর বিশ্বাস করার প্রবণতাকে সুযোগ করে নেয়। এই আক্রমণের সবচেয়ে আকর্ষণীয় ব্যাখ্যা ২০১৩ সালে DEFCON কনফারেন্সে দেওয়া হয়েছিল।

সবচেয়ে দাড়ুণ সাহসী হ্যাকগুলো সোশ্যাল এঞ্জিনিয়ারিংর ফলাফল।

২০১২ সালে, সাবেক ওয়ায়ার্ড (Wired) জার্নালিস্ট ম্যাট হোনান (Mat Honan) নিজেকে একটি নিশ্চয় সাইবার অপরাধী গোষ্ঠীর আক্রমণের অধীন পেলেন, যারা তার অনলাইন জীবন ধ্বংস করতে চেয়েছিল। সোশ্যাল এঞ্জিনিয়ারিং ট্যাকটিকস ব্যবহার করে, তারা আমাজন (Amazon) এবং অ্যাপল (Apple)-কে আশ্বস্ত করলো তাদের সেটি দিতে যা তাদের দরকার ছিল তার ম্যাকবুক এয়ার (MacBook Air) এবং আইফোন (iPhone) রিমোটলি 와ইপ (wipe) করতে, ইমেইল একাউন্ট ডিলিট করতে, এবং তার প্রভাবশালী টুইটার একাউন্ট দখল করতে নitik এবং সমকামী বিতর্কিত উক্তি পোস্ট করতে। আপনি এখানে পুরো গল্প পড়তে পারেন।

সোশ্যাল এঞ্জিনিয়েরিং আক্রমণ কোনো নতুন আবিষ্কার নয়। হ্যাকাররা দশক ধরে এগুলো ব্যবহার করছে সিস্টেম, বিল্ডিং, এবং ইনফরমেশন-এ অ্যাক্সেস পেতে। সবচেয়ে বিখ্যাত সোশ্যাল エンজিনিয়ার কেভিন মিটনিক (Kevin Mitnick), যিনি ৯০-এর দশকে কম্পিউটার অপরাধের সিরিজের পর বছরের বছর পুলিশ থেকে লুকিয়ে থাকেন। তাকে পাঁচ বছরের কৈদ হয়েছিল, এবং ২০০৩ পর্যন্ত কম্পিউটার ব্যবহার নিষিদ্ধ ছিল। হ্যাকারর মধ্যে, মিটনিক রকস্টার স্ট্যাটাসের যেনটা কাছাকাছি ছিল। যখন তাকে শেষে ইন্টারনেট ব্যবহার করার অনুমতি মিলল, তবে এটি লিও লাপোর্টের (Leo Laporte) The Screen Savers-এ টেলিভাইজ করা হয়েছিল।

সে শেষে লেজিট (legit) হলো। সে এখন তার নিজের কম্পিউটার সিকিউরিটি কনসাল্টেন্সি ফার্ম চলে, এবং সোশ্যাল এঞ্জিনিয়েরিং ও হ্যাকিং সম্পর্কে অনেক বই লিখেছেন। সম্ভবত সবচেয়ে প্রশংসিত "দ আর্ট অফ ডিসেপশন" (The Art of Deception)। এটি সোশ্যাল এঞ্জিনিয়েরিং আক্রমণ কীভাবে করা যায় এবং কীভাবে নিজেকে রক্ষা করবেন সেটি নিয়ে শর্ট স্টোরির একটি संকলন (anthology), এবং আমাজনে কেনা যায়।

The Art of Deception: Controlling the Human Element of Security BUY NOW ON AMAZON

সিইও ফ্রড (CEO Fraud) বিষয়ক কী করা যায়?

তো, সারাংশ নিই। আমরা জানি সিইও ফ্রড ভয়াবহ। আমরা জানি এটা অনেক কোম্পানিকে অনেক টাকা খরচ করিয়েছে। আমরা জানি এর বিরুদ্ধে প্রতিরক্ষা করা অবিশ্বাস্যভাবে কঠিন, কারণ এটি কম্পিউটারের বিরুদ্ধে না, মানুষের বিরুদ্ধে আক্রমণ। বাকি হলো কীভাবে এটিকে লড়াই করা যায়।

এটি বলা সহজ, করা কঠিন। আপনি যদি একজন কর্মী হন এবং আপনার নियोক্তা বা বস থেকে একটি সন্দেহজনক পেমেন্ট রিকোয়েস্ট পান, তবে আপনি তাদের সাথে চেক ইন করতে চাইতে পারেন (ইমেইল ছাড়া অন্য কোনো মেথড ব্যবহার করে) দেখতে সেটি আসল কি না। তারা আপনাকে ডিস্টার্ব করার জন্য একটু বিরক্ত হতে পারেন, কিন্তু যদি আপনি কোম্পানির $১০০,০০০ বিদেশি ব্যাংক একাউন্টে পাঠিয়ে দেন, তবে তারা অধিক বিরক্ত হবে।

প্রযুক্তিগত সমাধানও ব্যবহার করা যায়। মাইক্রোসফটের আসন্ন অফিস ৩৬৫ (Office 365) আপডেটে এই ধরনের আক্রমণের বিরুদ্ধে কিছু প্রোটেকশন থাকবে, প্রতিটি ইমেইলের সোর্স চেক করে দেখতে সেটি কি একটি ট্রাস্টেড কন্ট্যাক্ট (trusted contact) থেকে আসেছে। মাইক্রোসফট মনে করে তারা অফিস ৩৬৫-এ নকল বা স্পুফড ইমেইল চিহ্নিত করার ক্ষেত্রে ৫০০% উন্নতি অর্জন করেছে।

ফাঁসে না পড়বেন

এই আক্রমণগুলোর বিরুদ্ধে রক্ষা পাওয়ার সবচেয়ে বিশ্বস্ত উপায় হলো সন্দেহশীল থাকা। যখনই আপনি একটি বড় মানি ট্রান্সফার চাইতে ইমেইল পান, তখন আপনার বসকে কল করে দেখুন সেটি লেজিটিমেট (legit) কি না। আপনার আইটি ডিপার্টমেন্টের সাথে আপনার কোনো প্রভাব থাকলে, তাদের থেকে অনুরোধ করুন অফিস ৩৬৫-এ যাওয়ার জন্য, যা সিইও ফ্রড (CEO Fraud) মোকাবিলা করার ক্ষেত্রে অগ্রণী।

আশা করি না, কিন্তু আপনি কি কখনো টাকা-কামনা করা ইমেইল স্ক্যামের শিকার হয়েছেন? যদি হ্যাঁ, তবে আমি শুনতে চাই। নিচে একটি কমেন্ট ড্রপ করুন, এবং বলুন কী ঘটেছিল।

ফটো ক্রেডিট: AnonDollar (Your Anon), Miguel The Entertainment CEO (Jorge)