সাইলেন্ট মাইক্রোসফট লগইন স্ক্যাম এড়িয়ে চলুন: শনাক্ত ও রক্ষার উপায়

প্রকাশিত: ডিসেম্বর ২, ২০২৫, ৩:০০ PM EST

তশরিফের কনসিউমার টেকনোলজিতে আকর্ষণ শুরু হয় স্কুল লাইব্রেরিতে একটি টেক ম্যাগাজিন CHIP পেয়ে। যা তাকে কম্পিউটার সাইন্সে ডিগ্রি নেওয়ার জন্য অনুপ্রাণিত করল। ২০১২ থেকে তশরিফ পেশাদারভাবে হাজারও হাউ-টু আর্টিকেল লিখেছেন, Windows Report এবং How-To Geek-এ অবদান রেখেছেন। বর্তমানে MakeUseOf-এ মাইক্রোসফট উইন্ডোজ কন্টেন্টে ফোকাস করছেন, যা ২০০৭ থেকে ব্যবহার করছেন।

ওয়েবসাইট এবং টেক ব্লগ বিল্ড করার হ্যান্ডস-অন অভিজ্ঞতা নিয়ে তিনি প্র্যাক্টিক্যাল ডেভেলপার ইনসাইট টেকনিক্যাল রাইটিং-এ আনে। পূর্ণ কাজ পোর্টফোলিও itashreef.com-এ দেখুন।

লেখার বাইরে, তশরিফ ছোট এক্সপ্লেনার ভিডিও তৈরি করেন, গেমিং করেন, এবং অ্যানিমেটেড শো এক্সপ্লোর করেন।

কল্পনা করুন, একটি আসল মাইক্রোসফট ইমেইলের মতো লোগো, লেআউট, এবং URL-এ ক্লিক করলেন, কিন্তু শেষে আপনার অ্যাকাউন্ট ক্রেডেনশিয়াল হারালেন। ফিশিং ইমেইল বুদ্ধিমান হচ্ছে কারণ থ্রেট এক্টররা এখন টাইপোগ্রাফিক্যাল ইলিউশন এক্সপ্লয়েট করছে আপনাকে লগইন ডিটেলস সারেন্ডার করতে ফাঁসাতে।

এই আক্রমণের রূপকে টাইপোস্কোয়াটিং (typosquatting) বলা হয়, এবং এটি ছলনামূলকভাবে সাবটল। প্রথম নজরে সেন্ডার অ্যাড্রেস লেজিটিমেট লাগে। ইমেইল ডিজাইন মাইক্রোসফটের মতো যা আপনি এক্সপেক্ট করবেন। ইমেইল-এর লিংকটিও ঠিক মনে হয়। কিন্তু ঘনিষ্ঠে দেখলে কিছু অফ লাগবে: একটি একক ক্যারেক্টার যা আপনার অ্যাকাউন্ট হ্যাক করার জন্য যথেষ্ট।

টাইপোস্কোয়াটিং কী এবং কীভাবে কাজ করে

একটি ভিজ্যুয়াল ট্রিক যা আমরা কীভাবে পড়ি সেটি এক্সপ্লয়েট করে

এই উদাহরণে, থ্রেট এক্টররা rnicrosoft.com-এর মতো একটি ডোমেন রেজিস্টার করল এবং অফিসিয়াল মাইক্রোসফট সাপোর্ট যেন মনে হয় সেখান থেকে ইমেইল পাঠাল। প্রথম নজরে, এবং বিশেষ করে ফোনে, আপনার ব্রেইন সেটিকে microsoft.com দেখতে পারে "r-nicrosoft" না। এটি ক্লাসিক টাইপোস্কোয়াটিং (একা URL হাইজ্যাকিং) ইন অ্যাকশন।

টাইপোস্কোয়াটিং জড়িত জনপ্রিয় ওয়েবসাইটের تقريبًا একই দেখতে ডোমেন তৈরি করা। আক্রমণকারীরা মিসপেলিং, সোয়াপড ক্যারেক্টার, ভিন্ন টপ-লেভেল ডোমেন (.co বদলে .com), বা অ্যাল্টারড সাবডোমেন ব্যবহার করে লোকেদের ধোঁকা দেয়।

লক্ষ্য হলো আপনাকে একটি লিংক ক্লিক করতে বা URL টাইপ করতে ফাঁসানো যা একটি লুক-অ-লাইক ডোমেনে নিয়ে যায়। একবার সেখানে গেলে, শিকাররা প্রায়শই একটি ক্লোনড ওয়েবসাইট পান মিলের ব্র্যান্ডিং এবং ডিজাইন সহ। আপনি লগইন করেন, পেমেন্ট ডিটেলস দেন, বা ফাইল ডাউনলোড করেন এবং আক্রমণকারীদের যা দরকার সেটি দেন।

টাইপোস্কোয়াটিং কাজ করে কারণ আমাদের ব্রেইন পরিচিত শব্দগুলো প্যাটার্ন হিসেবে প্রসেস করে প্রতিটি লেটার indywidualভাবে পড়ার বদলে। আপনি "microsoft" সয়কবার দেখলে, আপনার ব্রেইন শেপ রিকগনাইজ করা শুরু করে প্রতিটি ক্যারেক্টার ভেরিফাই করার বদলে। স্ক্যামাররা এটিকে এক্সপ্লয়েট করে মিলতে-जুলতে লেটার ব্যবহার করে যেমন "rn" for "m," "vv" for "w," বা "1" for "l."

সমস্যাটি মোবাইল ডিভাইসে আরও খারাপ। ছোট স্ক্রিন, ডিফল্ট ফন্ট, এবং কুইক স্ক্রোলিং এই সাবটল পার্থক্যগুলো প্রায় অদৃশ্য করে দেয়। লাঞ্চ ব্রেকে ফোনে ইমেইল চেক করছেন, মাইক্রোসফট থেকে যেন মেসেজ এসেছে দেখলেন, এবং দ্বিতীয় চিন্তা ছাড়া ট্যাপ করে দেন।

টাইপোস্কোয়াটিং এত কার্যকর হওয়ার কারণ ইমেইলে ফিশিং-এ এর ব্যবহার। একজন স্ক্যামার একটি টাইপো ডোমেন রেজিস্টার করতে পারে, প্রপার ইমেইল অথেন্টিকেশন (SPF, DKIM, DMARC) সেটআপ করতে পারে, এবং মেসেজ পাঠাতে পারে যেটি সম্পূর্ণ লেজিটিমেট মনে হয়। ইমেইল স্প্যাম ফিল্টার পাস করে, আপনার ইনবক্সে আসে, এবং আপনার ক্লিক করার জন্য অপেক্ষা করে।

কেন ব্রাউজার এবং ইমেইল ফিল্টার এগুলো সবসময় ক্যাচ করে না

লেজিটিমেট দেখতে ডোমেন অটোমেটেড চেক্স থেকে স্লিপ করে

আপনি মনে করতে পারেন আপনার ইমেইল প্রোভাইডার বা ব্রাউজার স্পষ্ট নকল বা মিসপেলড URL ক্যাচ করবে, এবং প্রায়শই সেটি করেন। Edge এবং Chrome URL-এ টাইপো ডিটেক্ট করতে পারে। দুর্ভাগ্যক্রমে, টাইপোস্কোয়াটিং সেই গ‍্যাপগুলো এক্সপ্লয়েট করে যা অটোমেটেড সিস্টেমগুলো মিস করে।

টাইপোস্কোয়াটেড ডোমেনগুলো প্রায়শই প্রপারলি রেজিস্টারড থাকে বৈধ SSL সার্টিফিকেট এবং বেনাইন-দেখানো কন্টেন্ট সহ। ইমেইল গেটওয়ে স্প্যাম প্যাটার্ন এবং পরিচিত খারাপ সেন্ডার ফোকাস করে, কিন্তু প্রপার অথেন্টিকেশন সহ একটি সঠিক কনফিগার্ড টাইপো ডোমেন থেকে ইমেইল স্ট্যাটিস্টিক্যালি লেজিটিমেট ট্রাফিকের মতো দেখতে পারে। যদি না ফিল্টার স্পেসিফিক্যালি ব্র্যান্ড সিমিলারিটি চেক করে বা লুক-অ-লাইক ডোমেনের জন্য মেশিন লার্নিং টিউন করে থাকে, সেটি মেসেজটিকে সস্পিশিয়াস হিসেবে ফ্ল্যাগ করবে না।

ব্রাউজার প্রোটেকশনগুলোর সীমাবদ্ধতাও একই। নতুন টাইপো ডোমেন সবসময় আসছে এবং সংক্ষিপ্ত সময় ব্যবহৃত হয়ে নতুন ইফ্রাস্ট্রাকচারে রোটেট হয়। ব্ল্যাকলিস্ট এবং টাইপো প্রোটেকশন ফিচার ল্যাগ করে বা লো-ভলিউম, টার্গেটেড আক্রমণ পুরোপুরি মিস করে। ডোমেন ফ্ল্যাগ হয়ে যাওয়ার সময়ে, ক্ষতিটি প্রায়শই ইতিমধ্যে হয়ে থাকে।

টাইপোস্কোয়াটিং থেকে রক্ষা পাওয়া সহজ, শুধু আপনি কীভাবে জানেন তখন

সরল অভ্যাস এবং টুল যা আপনাকে নিরাপদ রাখে

গুগল, মাইক্রোসফট, অ্যামাজন-এর মতো বড় টেক কোম্পানিরা সক্রিয়ভাবে টাইপোস্কোয়াটিংয়ের বিরুদ্ধে লড়ছে এবং তাদের ডোমেনের সাধারণ মিসপেলড ভার্সনগুলো রুটিনে কিনে অফিসিয়াল সাইটে রিডাইরেক্ট করে। উদাহরণস্বরূপ, আপনি gooogle.com টাইপ করলে (এক্সট্রা "o" দিয়ে), আপনি সঠিক URL-এ, Google.com-এ রিডাইরেক্ট হয়ে যাবেন। এটি স্ক্যামারদের সাধারণ টাইপো রেজিস্টার করতে বাধা দেয়। কিন্তু সেগুলো সব সম্ভাব্য ভ্যারিয়েশন কিনতে পারে না, তাই আপনাকে সতর্ক থাকতে হবে।

সর্বশ্রেষ্ঠ প্রতিরক্ষা হলো ক্লিক করার আগে রুকুন। ইমেইলের লিংক হোভার করুন একচু্যাল URL দেখতে ক্লিক করার আগে। অ্যাড্রেস বার সাবধানে চেক করুন, বিশেষ করে মোবাইলে, যেখানে ছোট স্ক্রিন সাবটল পার্থক্য কঠিন করে দেয়। যদি লগইন পেজে কিছু অফ লাগে—ভুল ফন্ট, মিসিং এলিমেন্ট, বা যেকোনো কিছু ঠিক না লাগে—ট্যাব বন্ধ করুন এবং সরাসরি URL টাইপ করে বা বুকমার্ক ব্যবহার করে সাইটে যান।

পাসওয়ার্ড ম্যানেজার বিল্ট-ইন প্রোটেকশন অফার করে। আপনার পাসওয়ার্ড ম্যানেজার লগইন পেজে অটো-ফিল না করলে, সেটি একটি শক্তিশালী সিগন্যাল যে ডোমেনটি আপনার ব্যবহৃতটি নয়। পাসওয়ার্ড ম্যানেজার একচুয়াল ডোমেন চেক করে, ভিজ্যুয়াল আপিয়ারেন্স নয়, তাই টাইপোস্কোয়াটেড সাইট অটো-ফিল ট্রিগার করবে না।

আরও শক্তিশালী সুরক্ষার জন্য, পাসওয়ার্ডের বদলে পাসকিজ (passkeys) ব্যবহার করুন। পাসকিজ ডিজাইনানুযায়ী ফিশিং-রেজিস্ট্যান্ট কারণ সেগুলো নির্দিষ্ট ডোমেনের সাথে বান্ধব থাকে এবং লুক-অ-লাইক সাইটে কাজ করবে না। পাসকিজ সাপোর্ট করা অ্যাকাউন্টের জন্য হার্ডওয়্যার সিকিউরিটি কীও ব্যবহার করতে পারেন। এই ফিজিক্যাল ডিভাইস ওয়েবসাইটের প্রামাণিকতা ভেরিফাই করে অথেন্টিকেট করার আগে, যা টাইপোস্কোয়াটিং আক্রমণকে মূলত বেকার করে দেয়।

ইমেইল লিংক प्रति সবসময় সকিপ্টিক থাকুন

টাইপোস্কোয়াটিং কাজ করে কারণ এটি এক্সপ্লয়েট করে কীভাবে আমাদের ব্রেইন পরিচিত ইনফরমেশন প্রসেস করে। আমরা যা এক্সপেক্ট করি সেটি দেখি, নয় যা আসলে আছে। স্ক্যামাররা এই গড়েই, ডোমেন এবং ইমেইল তৈরি করে যেগুলো কুইক গ্ল্যান্স টেস্ট পাস করে।

তবে, একবার আপনি জানলে এই ট্রিক কীভাবে কাজ করে, আপনি সেই সাবটল ক্যারেক্টার সোয়াপগুলো সহজে লক্ষ্য করতে শুরু করবেন। সেন্ডার অ্যাড্রেস এবং URL ভেরিফাই করার জন্য এক সেকেন্ড অতিরিক্ত নিন, বিশেষ করে লগইন পেজ এবং আর্থিক ট্রানজ্যাকশনের জন্য। আপনার ভিজিট করা সাইটের জন্য বুকমার্ক ব্যবহার করুন এবং আপনার পাসওয়ার্ড ম্যানেজার ডোমেন ভেরিফিকেশন করতে দিন। সেই ক্ষণিক বিরাম আপনাকে ক্রেডেনশিয়াল কাউকে হাতে দিয়ে দেয়া থেকে বাঁচাতে পারে যিনি একটি ডোমেন রেজিস্টার করেছেন যা দেখতে অলমোস্ট—বট নট কাইট—রাইট।