প্রকাশিত: ফেব্রুয়ারি ২৮, ২০২৬, ২:৩০ PM EST
গ্যাভিন Technology Explained, Security, Internet, Streaming, এবং Entertainment ভার্টিক্যালের Segment Lead, Really Useful Podcast-এর সাবেক কো-হোস্ট, এবং ঘনিষ্ট প্রোডাক্ট রিভিউয়ার। ডেভনের পাহাড় থেকে Contemporary Writing-এ ডিগ্রি, দশকও বেশি প্রফেশনাল লেখার অভিজ্ঞতা, এবং How-To Geek, Expert Reviews, Trusted Reviews, Online Tech Tips, Help Desk Geek-এও কাজ প্রকাশিত। CES, IFA, MWC-এ উপস্থিত থাকেন রিপোর্টিংয়ের জন্য। স ziyা হেডফোন, ইয়ারবাড, মেকানিক্যাল কিবোর্ড রিভিউ করেছেন, এবং চা, বোর্ড গেম, ফুটবল পছন্দ।
বেশিরভাগ অনলাইন স্ক্যাম এখনো একটি লক্ষ্যের চারদিকে ঘুরে: আপনার পাসওয়ার্ড চুরি। আমরা নকল লগইন পেজ, সন্দেহজনক লিংক, এবং জরুরি ইমেইল যা "ভেরিফাই" করতে বলে অ্যাকাউন্ট ক্রেডেনশিয়াল—এগুলো চিনতে শিখেছি।
কিন্তু মাইক্রোসফট অ্যাকাউন্ট আক্রমণের একটি নতুন লহর ভিন্নভাবে কাজ করে। শিকাররা মাইক্রোসফটের আসল ওয়েবসাইটে লগইন করেন, আসল সিকিউরিটি চেক ব্যবহার করেন, এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশনও সফলভাবে কমপ্লিট করেন—তবুও আক্রমণকারী অ্যাক্সেস পায়।
এই টেকনিক, যাকে ডিভাইস কোড ফিশিং (device code phishing) বলা হয়, আপনার পাসওয়ার্ড চুরি করে না। বরং এটি আপনাকে নিজে অ্যাক্সেস দিতে ফাঁসায়, মাইক্রোসফটের নিজস্ব অথেন্টিকেশন সিস্টেমকে ঠিক ডিজাইন করা মতেই ব্যবহার করে।
ডিভাইস কোড লগইন আসলে খুব উপকারী
আপনি احتمالত অনেকবার ব্যবহার করেছেন
মাইক্রোসফট, অন্যান্য বড় টেক কোম্পানির মতো, এক জিনিস সাপোর্ট করে যাকে ডিভাইস অথরাইজেশন ফ্লো (device authorization flow) বলা হয়, যা আরও সাধারণত ডিভাইস কোড লগইন নামে পরিচিত। কিন্তু এর চেও সাধারণত, সেটি হলো সেটি মুহূর্ত যখন একটি ফুল লগইন পেজের বদলে, আপনাকে আপনার ডিভাইসগুলোর জুড়ে একটি মিলता জুলতা লগইন কোড দেখানো হয় যেটি মিলাতে বা এন্টার করতে হয় লগইন কমপ্লিট করতে।
এটি খুব হ্যান্ডি, বিশেষ করে যেসব ডিভাইসে ফুল লগইন পেজ দেখানো সহজ নয় বা লিমিটেড-ইউজ ডিভাইস কানেক্ট করার সময়। উদাহরণস্বরূপ, আপনার স্মার্ট টিভি বা হোটেল রুমের টিভি কানেক্ট করার সময় এটা দেখতে পাওয়া যায়—দুটোই প্রাইম উদাহরণ।
বেশিরভাগ সময়, এই প্রক্রিয়া সম্পূর্ণ নিরাপদ, এবং প্রক্রিয়ার কোনো অংশই ভয়াবহ নয়। কিন্তু একটি নির্দিষ্ট এক্সপ্লয়েটের সাথে সেটি বদলায়।
লেজিটিমেট ফিচার আপনার বিরুদ্ধে ব্যবহার হয়তে পারে
এটি একটি সাধারণ অনুমান এক্সপ্লয়েট করে
ডিভাইস কোড লগইন খুব উপকারী। তবে এটি এক্সপ্লয়েট করা যায় কারণ ডিভাইস লগইন প্রক্রিয়া স্বাভাবিকভাবে অনুমান করে যে কোড এন্টার করা ব্যক্তিই রিকোয়েস্ট শুরু করেছে। সেটিই আংশিকভাবে যেখানে প্রক্রিয়া ভেঙে যায়।
যদি একজন আক্রমণকারী আপনার ইমেইল অড্রেস বা অন্য পরিচিত যোগাযোগের ডেটা জানে, সে নিজের ডিভাইস থেকে একটি ডিভাইস লগইন রিকোয়েস্ট শুরু করতে পারে, একটি یونিক সেশন সৃষ্টি করে। তারপর মাইক্রোসফট (এবং অন্যান্য টেক কোম্পানি) সেই সেশনের সাথে জুড়ে একটি লেজিটিমেট ডিভাইস কোড জেনারেট করে।
এখানেই ট্রিকি পার্ট। সে নিজে ব্যবহার না করে, আক্রমণকারী কোডটি সরাসরি আপনাকে পাঠাতে পারে, অন্য একটি প্রক্রিয়ার ভেসে ঢাকায়, যেগুলো পরিচিত ফিশিং ট্যাকটিক্স বিবেচনা করে:
- সন্দেহজনক কার্যকলাপ দাবি করে একটি সিকিউরিটি সতর্কতা
- একটি জরুরি Microsoft 365 বিজ্ঞপ্তি
- Teams বা IT সাপোর্ট মেসেজ থেকে মেসেজ
- ব্যবসায়িক বা অন্যান্য ইমেইল রিকোয়েস্ট
রিকোয়েস্ট আপনাকে অফিসিয়াল মাইক্রোসফট লগইন পেজে যেতে এবং প্রদত্ত কোড এন্টার করতে বলে "সিকিউর" বা "ভেরিফাই" করার জন্য অ্যাকাউন্ট। এখানেই এক্সপ্লয়েটের পরবর্তী পর্যায় শুরু হয়। আপনি কোনো নকল লগইন পেজ বা চতুর ফিশিং পোর্টালে যাচ্ছেন না: এটি আসল মাইক্রোসফট লগইন পেজ, এবং অথেন্টিকেশন চেকগুলো আসল।
আপনি সাধারণভাবে ডিভাইস কোড লগইন দেন, রিকোয়েস্ট অনুমোদন করেন, এবং মনে করেন আপনি আপনার অ্যাকাউন্ট রক্ষা করলেন। কিন্তু বাস্তবে, আপনি আসলে আক্রমণকারীকে অথেন্টিকেট করেছেন, আপনার অ্যাকাউন্টের চাবি হাতে দিয়ে।
পুরো প্রক্রিয়ায়, আপনার পাসওয়ার্ড কখনো এক্সপোজ হয়নি, তবুও আপনি সরাসরি আপনার অ্যাকাউন্ট হাতে দিয়ে দিলেন।
কেন ডিভাইস কোড লগইন স্ক্যাম এত ভালো কাজ করে
সबকुछ হলো অনুকরণের ওপর
ডিভাইস কোড লগইন স্ক্যামের সবচেয়ে বড় সমস্যা হলো এটি ট্রেডিশন্যাল ফিশিং স্ক্যাম ট্যাকটিক্সের বেশিরভাগ এড়িয়ে যায়। ফिशিং সাধারণত নকল লগইন পেজ, লুক-অ-লাইক লগইন পেজ, বা ক্রেডেনশিয়াল ইন্টারসেপ্ট করার সিস্টেম নিয়ে।
যেখানে ডিভাইস কোড লগইন ফিশিং স্ক্যাম সেই সব বাদ দিয়ে চলে, সবকিছু লেজিটিমেট এবং ঠিক-ঠাক মনে হয়। ঠিকই বললে, "লেজিটিমেট মনে হয়" বলতে হবে না—এটি আসলে লেজিটিমেট, কারণ আপনি মাইক্রোসফট অথেন্টিকেশন প্রক্রিয়ার সাথে ইন্টারঅ্যাক্ট করছেন। পুরো স্ক্যামটি কাজ করে কারণ সব প্রক্রিয়া ঠিক যেমন হওয়া উচিত কাজ করছে; শুধু আপনার ওপর একটু উল্টে দিয়ে দিয়েছে।
তো, আপনার অ্যাক্সেস টোকেন দিয়ে আক্রমণকারী কী পেতে পারে?
একজন আক্রমণকারীকে অথেন্টিকেট করা স্বাভাবিকভাবে খারাপ পরিস্থিতি
অথেন্টিকেশন কমপ্লিট হওয়ার পর, মাইক্রোসফট যেটি ইস্যু করে সেটি বলা হয় অ্যাক্সেস টোকেন, যা লগইন ইতিমধ্যে ভেরিফাই হয়েছে এমন একটি টেম্পোরারি প্রুফ হিসেবে কাজ করে। ফাংশনালি, সিস্টেম অনুমান করে হল্ডার ইতিমধ্যে নিজের পরিচয় প্রমাণ করেছেন, তাই এটি ক্রেডেনশিয়াল বারবার চাড়া অ্যাক্সেস অনুমতি দেয়।
তবে, আক্রমণকারী কী হাতে পাবে সেটি টার্গেটেড অ্যাকাউন্টের ওপর নির্ভর করে। উদাহরণস্বরূপ, আপনার আউটলুক অ্যাকাউন্ট টার্গেট হলে, আক্রমণকারী আপনার ইমেইল অ্যাক্সেস পেতে পারে, তারপর এক্সটেনশনে, সেই ঠিকানার সাথে জড়িত অন্যান্য সার্ভিসে (পাসওয়ার্ড রিসেট করে, ২FA কোড অ্যাক্সেস করে, ইত্যাদি)।
কিন্তু আপনার Teams লগইন টার্গেট হলে, আক্রমণকারী আপনার কোম্পানির Teams অ্যাকাউন্টে ঢুকতে পারে, সেখানে থাকা ডেটা অ্যাক্সেস করে।
তো, ডিভাইস কোড ফিশিং থেকে কীভাবে রক্ষা পাবেন?
নিরবচ্ছিন্ন, কখনো শেষ ন হওয়া সতর্কতা
চূড়ান্তভাবে, ডিভাইস কোড লগইন আক্রমণের বিরুদ্ধে সেরা প্রতিরক্ষা হলো ডিভাইস লগইন আসলে কীভাবে কাজ করে সেটি বুঝতে সত্যিকারের চেষ্টা করা। ডিভাইস লগইন প্রক্রিয়ার বেসিক লেভেলের বুঝতাও আপনাকে এই ফিশিং আক্রমণ থেকে রক্ষা করবে।
সংক্ষেপে, ডিভাইস লগইন কোড শুধু তখন দেখাবে যখন আপনি নিজে অন্য ডিভাইসে লগইন শুরু করবেন। মাইক্রোসফট যেনে এলোমেলোভাবে আপনাকে কোড পাঠাবে আপনার অ্যাকাউন্ট সিকিউর করার জন্য, ঠিক যেমন এটি কখনো আপনাকে মেসেজ করে পাসওয়ার্ড চাইবে না, ২FA কোড নিশ্চিত করতে বলবে না, ইত্যাদি।
এটি শুধু মাইক্রোসফট নয়। কোনো কোম্পানি, টেকি বা নন-টেকি, কখনো আপনাকে এই তথ্য চাইবে না। এটি প্রাইভেট এবং শুধু আপনার জন্য।
বেশিরভাগ কেসে, আপনি ফিশিং স্ক্যাম শনাক্ত করার সাধারণ সিকিউরিটি রুল ফলো করতে পারেন:
- ইমেইল, চ্যাট, বা টেক্সট মেসেজ দিয়ে পাঠানো লগইন কোড কখনো এন্টার করবেন না।
- অনাবশ্যক অথেন্টিকেশন রিকোয়েস্টকে পাসওয়ার্ড রিকোয়েস্টের মতোই চ윽ুন।
- আপনি যদি ট্রিগার না করলে একটি MFA প্রম্পট পান, তবে তা অবিলম্বে ডেনাই করুন।
- মাইক্রোসফট সাইন-ইন এক্টিভিটি নিয়মিত রিভিউ করুন অপরিচিত অ্যাপ্লিকেশন বা সেশনের জন্য।
মনে রাখুন, অথেন্টিকেশন কোড পারমিশন, ভেরিফিকেশন স্টেপ নয়। আপনি যদি প্রক্রিয়া শুরু না করেন, অন্য কেউ শুরু করেছে।
