ক্রেডেনশিয়াল স্টাফিং আক্রমণ: লক্ষ লক্ষ অ্যাকাউন্টের বেড়তা হুমকির উদ্ভাবন

গত মাস থেকে, সেকроঁ নিন্টেন্ডো ব্যবহারকারীরা তাদের অ্যাকাউন্ট হ্যাক হয়েছে এবং রিমোট লোকেশন থেকে অ্যাক্সেস করা হয়েছে বলে রিপোর্ট করেছেন। ৫,০০,০০০ এরও বেশি জুম অ্যাকাউন্ট শুধু হ্যাকার ফোরামে ডার্ক ওয়েবে তৈরাচ্ছে। সম্প্রতি, গবেষকরা ৭০০টিরও বেশি ম্যালিশাস নেটফ্লিক্স এবং ডিজনি+ ক্লোন চিহ্নিত করেছেন যা হ্যাকাররা ভিক্টিমের ডেটা স্ক্রেপ করতে ব্যবহার করছে। এই ফরডুলেন্ট ক্লোন ওয়েবসাইটগুলো হয় নকল সাবস্ক্রিপশনের মাধ্যমে টাকা চুরি করছে বা ব্যবহারকারীদের ডেটা হার্ভেস্ট করছে ব্যাংকিং ডিটেইলস এবং অন্যান্য লগইন ক্রেডেনশিয়াল সংগ্রহ করার জন্য।

আপনি কি বুঝতে পারলেন এই সকল সাম্প্রতিক ডেটা চুরির ফরডে একটি সাধারণ জিনিস আছে? যাওয়া পর্যন্ত, কোম্পানির লেভেলে কোনো ব্রিচ হওয়ার কোনো ইন্ডিকেশন নেই, বরং এটা ক্রেডেনশিয়াল স্টাফিং আক্রমণ-এর ফলাফল। একটি ব্রুট-ফোর্স আক্রমণের ধরন, যেখানে ইউজারনেম এবং পাসওয়ার্ড ওয়েবসাইটগুলোর বিপক্ষে অটোমেটেডভাবে টেস্ট করা হয় একাউন্ট টেকওভার করার জন্য।

পার্ট ১- ক্রেডেনশিয়াল স্টাফিং একশনে

একটি অত্যন্ত গুরুত্বপূর্ণ দিক যেটি লক্ষ্য করা যাক, ব্যবহারকারীরা আজকাল তাদের ডিজিটাল প্রাইভেসি নিয়ে খুব প্রোটেক্টিভ। আজকাল লোকেরা 'কমপ্লেক্স পাসওয়ার্ড' রাখতে имеет সাধ্য — যেটি আপার ও লোয়ার ক্যারেক্টার, সংখ্যা এবং স্পেশাল ক্যারেক্টারের কম্বিনেশন। কিন্তু দুর্ভাগ্যক্রমে, একটি শক্তিশালী পাসওয়ার্ড থাকার পরও, লোকেরা তাদের অন্যান্য সাইট ও সার্ভিসের জন্য একটি ইউনিক পাসওয়ার্ড রাখতে সমস্যায় পড়ে।

শেষ পর্যন্ত, তারা সব জায়গায় একই পাসওয়ার্ড রাখে। মানে, এখন হ্যাকারদের ক্রেডেনশিয়াল স্টাফিং করতে কোনো স্পেশাল ডেটাবেস লাগে না। তারা সادা বড় ডেটাবেসগুলো রেফার করতে পারে এবং সেই ডেটাবেস থেকে ইউজারনেম ও পাসওয়ার্ড দিয়ে নেটফ্লিক্স, নিন্টেন্ডো, জুম বা অন্য যেকোনো সার্ভিসে অ্যাক্সেস করার চেষ্টা করতে পারে।

গবেষকদের অনুযায়ী, "জুম-সংক্রান্ত ক্রেডেনশিয়াল স্টাফিং করার জন্য 'ওপেনবুলেট' ব্যবহার করা হয়েছে। ওপেনবুলেট গিটহাব পেজ-এর ভিত্তিতে, এটি একটি অনলাইন টেস্টিং টুল যা ডেডিকেটেডলি ইউজার ডেটা স্ক্রেপিং এবং পার্সিংয়ের জন্য ব্যবহৃত হয়। এটি একটি ওপেন-सোর্স টুল যা ক্রেডেনশিয়াল স্টাফিং আক্রমণকে সহজ ও সহজ করে তুলেছে।"

তাহলে, আর বিলম্ব না করে, চলুন ক্রেডেনশিয়াল স্টাফিং আক্রমণের অ্যানাটমি, কীভাবে এটি কাজ করে এবং আপনি কীভাবে এটা প্রতিরোধ করতে পারেন সেটি দেখি।

পার্ট ২- ক্রেডেনশিয়াল স্টাফিং-এর অ্যানাটমি

খুব, ক্রেডেনশিয়াল স্টাফিং আক্রমণ শুধু একটি সিম্পল ওয়ার্কঅরাউন্ড একাউন্ট টেকওভার করার জন্য। একই ক্রেডেনশিয়াল একাধিকবার ব্যবহার করা হুমকিকে এক্সপোজ করে এবং অনঅথরাইজড অ্যাক্সেস লাভ করে। যদিও আক্রমণটি টাফ দেখাতে পারে, এমনকি নতুন হ্যাকাররাও এই সাইবার আক্রমণ নির্দিষ্ট অনলাইন টুলস দিয়ে পারফর্ম করতে পারে যা ইন্টারনেটে সহজে উপলব্ধ।

একটি সাম্প্রতিক অধ্যয়ন অনুযায়ী, চমকপ্রদ ৪৩ শতাংশ ওয়েবসাইটের মাধ্যমে সাবমিট হওয়া লগইন ক্রেডেনশিয়াল শুধু একাউন্ট টেকওভার অটেম্পট। ক্রেডেনশিয়াল স্টাফিং-এর একমাত্র কারণ হলো পাসওয়ার্ড রি-ইউজ।

ক্রেডেনশিয়াল স্টাফিং আক্রমণের সর্বাধিক টার্গেটেড প্রতিষ্ঠানগুলো হতে পারে ই-কমার্স, ফাইন্যানশিয়াল, এন্টারটেইনমেন্ট ও সোশ্যাল মিডিয়া, আইটি, টেলিকমিউনিকেশনস, ট্রান্সপোর্টেশন, এবং রিটেইল ইন্ডাস্ট্রি।

একটি সফল ক্রেডেনশিয়াল স্টাফিং আক্রমণের ফলাফল হলো একাউন্ট টেকওভার, যখন চুরি করা এবং বৈধ ক্রেডেনশিয়াল থার্ড পার্টিকে বিক্রি করা হয় একাউন্টের স্টোরড ভ্যালু ড্রেন করতে বা ডেটা চুরি করার জন্য।

ক্রেডেনশিয়াল अबিউজ এবং একাউন্ট টেকওভার ওভারভিউ

পার্ট ৩- ক্রেডেনশিয়াল স্টাফিং আক্রমণ কীভাবে কাজ করে?

একজন আক্রমণকারী ক্রেডেনশিয়াল স্টাফিং পারফর্ম করার জন্য যে সাধারণ প্রক্রিয়া ফলো করে সেটি নিচে বর্ণনা করা হলো:

আক্রমণকারী:

স্টেপ ১- একটি বট তৈরি ও সেট আপ করে, যা অটোমেটিক্যালি কাজ করে একাধিক অ্যাকাউন্টে লগইন করার জন্য নকল IP অ্যাড্রেস দিয়ে।

স্টেপ ২- আরো, তারা একটি অটোমেটেড প্রসেস চালায় চেক করতে চুরি করা ক্রেডেনশিয়াল একাধিক ওয়েবসাইটের জন্য কাজ করে কিনা। বিভিন্ন ক্রেডেনশিয়াল স্টাফিং টুল ম্যালিশাস প্ল্যাটফর্মে উপলব্ধ যা 'প্রক্সি লিস্ট' ইনকর্পোরেট করে রিকোয়েস্টগুলো ওয়েবের চারপাশে বাউন্স করতে এবং এতে দেখাতে যেন সেগুলো ভিন্ন ভিন্ন IP অ্যাড্রেস থেকে আসছে।

স্টেপ ৩- তারা নিয়মিত মনিটর করে প্রফিটেবল ক্রেডেনশিয়াল খুঁজে বের করতে এবং (PII) পারসোনালি আইডেন্টিফাইয়েবল ইনফরমেশন, যেমন ব্যাংকিং ডিটেইলস এবং অন্যান্য প্রাইভেসি-সংক্রান্ত ডেটা প্রাপ্ত করতে।

স্টেপ ৪- তারা আকাউন্ট ইনফরমেশন রাখে পরবর্তী ব্যবহারের জন্য, যেন ফিশিং আক্রমণের জন্য টার্গেট করতে পারে। তারা ডেটা কপি করে এবং বিক্রি করে বা পাবলিশ করে (প্রায়শই ডার্ক ওয়েবে) অন্য হ্যাকাররা ব্যবহার করতে পারে।

একবার আক্রমণকারী ভিক্টিমের ডেটা অ্যাক্সেস পেলে, তারা সেটি বিভিন্ন ধরণের ক্ষতির জন্য ব্যবহার করে, যেমন কমপ্রোমাইজড অ্যাকাউন্টে অ্যাক্সেস বিক্রি (নেটফ্লিক্স এবং ডিজনি+ এর মতো), লেজিটিমেট ইউজার হিসেবে ছদ্মবেশ ধারণ করে ই-কমার্স ফরড করা। উপরের দুটি অপরাধের গুরুতর ফলাফল হলেও, অন্য একটি ফরড 'কর্পোরেট/ইনস্টিটিউশনাল এস্পিয়নেজ এবং থেফট'-এর পটেনশিয়াল সবচেয়ে বেশি ধ্বংসাত্মক ব্যবসার জন্য।

যদি কোনো আক্রমণকারী কর্মচারীর বা অ্যাডমিনের ডেটা অ্যাক্সেস পায়, তবে তারা সকল ধরনের সংবেদনশীল ইন্টারন্যাল ইনফরমেশন বের করতে পারে, যা তারা হাইএস্ট বিডারকে বিক্রি করতে পারে।

• ব্যবসার জন্য সাইবার সিকিউরিটির তাৎপর্য এন্টারপ্রাইজে কী?
• কি কোম্পানিগুলো সাইবার আক্রমণের জন্য প্রস্তুত?

পার্ট ৪- কেন ক্রেডেনশিয়াল স্টাফিং হ্যাকারদের মধ্যে জনপ্রিয় হচ্ছে?

সংক্ষেপে, ক্রেডেনশিয়াল স্টাফিং আক্রমণ বেড়ে চলছে কারণ টেকনিকটি সম্পূর্ণ অটোমেটেড, সহজ এবং সিম্পল। যেহেতু বাজার টপ ইন্টারনেট সিকিউরিটি সলিউশনগুলোর কমপ্লেক্স ফাংশনালিটির সাথে প্যাক্ড হচ্ছে, সোফিস্টিকেটেড এবং এডভান্সড মেথড দিয়ে সিস্টেম হ্যাক করা কঠিন হয়ে যাচ্ছে। তাই, ক্রেডেনশিয়াল স্টাফিং-এ আসা খরচ-প্রভাবশীল এবং বেসিক টেকনিক দিয়ে সিস্টেমে ভাঙা যায় যা ইফেক্টিভ হয়ে যায়।

কোনো ফায়দা নয় যদি একজন ইউজার স্মার্ট এবং এডভান্সড সিকিউরিটি ডিটেকশন ও প্রোটেকশন সলিউশনে নির্ভর করে, যদি সে রিস্কি ম্যানারে আচরণ করে, তবে একটি সিকিউরিটি লুপহোল সবসময় তৈরি হবে।

একটি ক্রেডেনশিয়াল স্টাফিং আক্রমণে, একজন ইউজারকে শুধু একাধিক অ্যাকাউন্টের জন্য একই পাসওয়ার্ড রাখতে হবে শিকার হতে। বিভিন্ন গবেষকের অনুযায়ী, সাধারণ পাসওয়ার্ড রাখা ব্যবহারকারীদের করা সবচেয়ে সাধারণ ভুল들োর একটি যা হ্যাকারদের দ্রুত এক্সপ্লয়েটেশন ইমপ্লিমেন্ট করার দরওয়াজা খুলে দেয়।

পার্ট ৫- ক্রেডেনশিয়াল স্টাফিং আক্রমণ প্রতিরোধে আপনি যে উপায়গুলো আডপ্ট করতে পারেন

নিজেকে ক্রেডেনশিয়াল স্টাফিং আক্রমণ থেকে রক্ষা করা খুব সিম্পল এবং শুধু কিছু সিকিউরিটি প্র্যাকটিস ফলো করতে হবে।

১. ভালো পাসওয়ার্ড হাইজিন রক্ষা করুন

প্রতিটি অ্যাকাউন্টের জন্য একই পাসওয়ার্ড ব্যবহার এড়িয়ে চলুন। এই ধরনের আক্রমণ হয় কারণ ব্যবহারকারীরা তাদের একাধিক অ্যাকাউন্টের জন্য একই বা মিলত জুলত পাসওয়ার্ড সেট করে।

২. আপনার সকল অ্যাকাউন্টের জন্য মাল্টি-ফ্যাক্টর অথেন্টিকেশন অন করুন

সাইবার অপরাধীরা বেটার এবং সোফিস্টিকেটেড টেকনিক নিয়ে আসছে পারসোনাল ডেটা এবং অন্যান্য প্রাইভেসি-সংক্রান্ত ট্রেস এক্সট্র্যাক্ট করতে। তাদের প্রতিরোধে, একটি মাল্টি-লെയার্ড সিকিউরিটি অ্যাপ্রোচ একটি চমৎকার ওয়ার্কঅরাউন্ড।

৩. পিরিয়ডিক্যালি আপনার পাসওয়ার্ড রিসেট করুন

আপনি এটা একটি এসেনশিয়াল টু-ডু হিসেবে বিবেচনা করুন ভালো সিকিউরিটি ও প্রাইভেসি নিশ্চিত করার জন্য। নিশ্চিত করুন আপনি আগে ব্যবহৃত পাসওয়ার্ড ব্যবহার করছেন না।

৪. নিশ্চিত করুন আপনি আপনার পারসোনাল ও প্রফেশনাল অ্যাকাউন্টের জন্য একই পাসওয়ার্ড ব্যবহার করছেন না

খুব, অনেক কোম্পানি আছে যা আপনার কর্মচারীদের পিরিয়ডিক্যালি ডিজিটাল ক্লিন-আপ পারফর্ম করতে উৎসাহিত করে। মানে, তারা এটা বাধ্যতামূলক করে দিয়েছে প্রত্যেক ছয় মাসে পাসওয়ার্ড চেঞ্জ করতে এবং ওয়ার্ক ও পারসোনাল ইউজের জন্য আলাদা রাখতে।

৫. নিশ্চিত করুন আপনি যে থ্রেট প্রোটেকশন সার্ভিস ব্যবহার করছেন সেটি ফ্ললেস

একজন যিনি জিনিয়াস হতে হবে না বুঝতে যে আপনার সিস্টেমের টপে একটি অ্যান্টিভাইরাস সমাধান শিল্ড হিসেবে রাখা আজকাল কতটুকু কিন্টেসেনশিয়াল। আমরা আমাদের পাঠকদের আগ্রহ করি তাদের সিস্টেম সেরা শ্রেণির অ্যান্টিভাইরাস প্রোটেকশন দিয়ে রক্ষা করার জন্য উইন্ডোজ, ম্যাক, অ্যান্ড্রয়েড, আইফোন এবং অন্যান্য ডিভাইসের জন্য।

পার্ট ৬- সিস্টওয়েক কীভাবে ব্যবহারকারীদের ক্রেডেনশিয়াল স্টাফিং আক্রমণ এবং একাউন্ট টেকওভার থেকে রক্ষা করে?

সিস্টওয়েক সবচেয়ে এডভান্সড সমাধানগুলোর একটি আনে যা ব্যবহারকারীদের এমন সোফিস্টিকেটেড আক্রমণ থেকে ডিফ্লেক্ট করতে সাহায্য করে!

শুরুতে, তারা একটি ডেডিকেটেড পাসওয়ার্ড ম্যানেজমেন্ট অ্যাপ, টুইকপাস অফার করে যা একটি স্পেশাল ভল্ট অফার করে AES-256-বিট এনক্রিপশন, PBKDF2 SHA-256 এবং HMAC দিয়ে সুরক্ষিত যাতে আপনার ক্রেডেনশিয়াল এবং পারসোনাল ডেটার ৩৬০-ডিগ্রি প্রোটেকশন নিশ্চিত হয়। যেহেতু আমরা শিখেছি একই পাসওয়ার্ড রি-ইউজ করা ক্রেডেনশিয়াল স্টাফিং-এর রিস্ক বাড়ায়। এটি একটি পাসওয়ার্ড জেনারেটর ফিচার অফার করে যা আপনার সকল অ্যাকাউন্ট, ওয়েবসাইট ও সার্ভিসের জন্য কমপ্লেক্স এবং ইউনিক পাসওয়ার্ড সাজেস্ট করে।その上, আপনাকে এই লম্বা এবং শক্তিশালী পাসওয়ার্ডগুলো মনে রাখতে হবে না কারণ টুইকপাস সেটি আপনার জন্য করে। এটি আপনাকে ক্রেডেনশিয়াল এবং অন্যান্য পারসোনাল ডেটা কয়েক সেকেন্ডে অটোফিল করার অনুমতিও দেয়।

পাসওয়ার্ড ম্যানেজার অ্যাপ সম্পর্কে আরও পড়ুন, এখানে!

চূড়ান্ত আইডেন্টিটি প্রোটেকশন এবং সিকিউরিটির জন্য, তাদের আছে অ্যাডভান্সড আইডেন্টিটি প্রোটেক্টর। এটি একটি সোফিস্টিকেটেড টুল যা ব্যবহারকারীদের একাধিক সাইটে বিনামূল্যে ট্রানজ্যাক্ট করতে সাহায্য করে তাদের ডেটা গোপন রেখে। এটি আপনার মেশিনে একটি সিঙ্গেল স্ক্যান পারফর্ম করে এবং আপনার আইডেন্টিটি সংক্রান্ত সকল সংবেদনশীল ইনফরমেশন শনাক্ত করে যা হুমকি পোজ করতে পারে এবং হ্যাকাররা সহজে আপনার নামে অপরাধ করতে পারে। একবার আপনি লুকানো ট্রেসগুলো খুঁজে পেলে যেমন সোশ্যাল সিকিউরিটি নম্বর, ক্রেডিট কার্ড ডিটেইলস, কন্টাক্ট ইনফরমেশন ইত্যাদি, আপনি সেগুলো একটি সিকিউয়ার ভল্টে স্টোর করতে বেছে নিতে পারেন বা সম্পূর্ণরূপে কেটে ফেলতে পারেন, যাতে সেটি ভুল হাতে না পড়ে।

এই রবাস্ট ইউটিলিটি সম্পর্কে আরও জানুন, এখানে ক্লিক করুন!

পার্ট ৭ — চূড়ান্ত কথা

ইন্টারনেট হুমকির কোনো অভাব নেই যা এন্ড কনসিউমারকে রিস্কে ফেলে এবং আইটি প্রফেশনালদের ব্যস্ত রাখে। ক্রেডেনশিয়াল স্টাফিং সেগুলোর মধ্যে একটা যেটি ব্যবহারকারীদের কাছে গুরুতর হুমকি আনে। এই কারণগুলো জন্য, প্রতিটি ব্যক্তিকে পরামর্শ দেওয়া হচ্ছে ইউনিক পাসওয়ার্ড ব্যবহার করতে, তাদের অ্যাকাউন্ট মাল্টি-ফ্যাক্টর অথেন্টিকেশন দিয়ে প্রোটেক্ট করতে এবং ডিজিটাল হাইজিন মেইনটেইন করতে, বিশেষ করে তারা সন্দেহ করলে যে তারা যেকোনো ফরডুলেন্ট ওয়েবসাইট বা সার্ভিস ব্যবহার করছেন।

অবশ্যই পড়ুন:

• ২০২০ সালের উইন্ডোজের জন্য সেরা ভিপিএন সমাধান
• ২০২০ সালের ম্যাক ব্যবহারকারীদের জন্য সেরা ভিপিএন ক্লায়েন্ট
• ২০২০ সালের অ্যান্ড্রয়েড ডিভাইসের জন্য সেরা ভিপিএন সার্ভিস
• ২০২০ সালের আইফোন এবং আইপ্যাডের জন্য সেরা ফ্রি ভিপিএন অ্যাপ