বৈধ ক্লাউডে ফিশিং, লক্ষ্য মাইক্রোসফট অ্যাকাউন্ট

বৈধ ক্লাউড প্ল্যাটফর্মের সুনাম, বিনা মূল্যের সুবিধা ও বিভিন্ন ফিচার কাজে লাগিয়ে সাইবার অপরাধীরা ফিশিং হামলা চালাচ্ছে বলে জানিয়েছে গ্লোবাল সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যাসপারস্কি। প্রতিষ্ঠানটির গবেষণায় এমন একটি ফিশিং অভিযান শনাক্ত হয়েছে, যেখানে ২ লাখের বেশি হামলায় ক্লাউড প্ল্যাটফর্ম ব্যবহার করা হয়েছে।

এই অভিযানে ব্যবহারকারীদের মাইক্রোসফট অ্যাকাউন্টের লগইন তথ্য চুরি করতে একাধিক ধাপের প্রতারণামূলক কৌশল ব্যবহার করা হচ্ছে। হামলাটিতে বৈধ ওয়েবসেবা ব্যবহার করার পাশাপাশি CAPTCHA, ডাইনামিক ওয়েব কনটেন্ট এবং Browser-in-the-Browser (BiTB) প্রযুক্তি কাজে লাগানো হয়েছে।

হামলার শুরুতে কোনো বিশ্বস্ত ও পরিচিত ব্যক্তির পরিচয় ব্যবহার করে ব্যবহারকারীকে মাইক্রোসফট অ্যাকাউন্টে লগইন করতে প্রলুব্ধ করা হয়। সাধারণত ই-মেইলের মাধ্যমে একটি ফিশিং লিংক পাঠানো হয়।

লিংকে ক্লিক করলে ব্যবহারকারীকে একটি কথিত ‘অ্যান্টি-বট’ পেজে নিয়ে যাওয়া হয়। সেখানে করপোরেট ই-মেইল ঠিকানা দিয়ে একটি ভুয়া CAPTCHA পূরণ করতে বলা হয়।

এই CAPTCHA ব্যবহারকারীকে যাচাই করার পরিবর্তে তার ই-মেইল ঠিকানা সংগ্রহ করে। এরপর সেই ঠিকানাটি পরবর্তী পেজে পাঠানোর জন্য ব্যবহারকারীকে ক্লাউডফ্লেয়ারের স্বয়ংক্রিয়ভাবে দেওয়া .workers.dev ইউআরএলে নিয়ে যাওয়া হয়।

পরবর্তী ধাপে ব্যবহারকারী ক্লাউডফ্লেয়ার ওয়ার্কারসের একটি বিনা মূল্যের সাবডোমেইনে হোস্ট করা পেজে পৌঁছান। সেখানে আবারও একটি CAPTCHA পূরণ করতে বলা হয়।

দ্বিতীয় CAPTCHA-টি প্রকৃত হলেও এটি HTML কোডের সঙ্গে সরাসরি যুক্ত নয়। বরং ডাইনামিকভাবে ওয়েবপেজে যুক্ত করা হয়। ফলে নিরাপত্তা সমাধানের পক্ষে পুরো আক্রমণটি শনাক্ত করা আরও কঠিন হয়ে পড়ে।

নকল Office 365 লগইন উইন্ডো

এরপর ব্যবহারকারীর সামনে Office 365-এর মতো দেখতে একটি ভুয়া লগইন উইন্ডো দেখানো হয়। Browser-in-the-Browser (BiTB) কৌশলে তৈরি এই উইন্ডোতে প্রকৃত ব্রাউজারের মতো অ্যাড্রেস বার ও উইন্ডো কন্ট্রোল দেখা যায়।

তবে সেটি প্রকৃত ব্রাউজার উইন্ডো নয়। এটি একটি ভাসমান উইন্ডো, যেখানে ব্যবহারকারী ইউজারনেম, পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) কোড দিলে সেগুলো সরাসরি হামলাকারীদের কাছে চলে যায়।

একই সঙ্গে আক্রমণকারী স্ক্রিপ্ট ব্যবহারকারীর সেশন কুকিও সংগ্রহ করে। তথ্য সংগ্রহ শেষ হলে ব্যবহারকারীকে একটি সাধারণ ত্রুটি পেজে পাঠিয়ে দেওয়া হয়। এতে হামলার বিষয়টি ব্যবহারকারীর কাছে তাৎক্ষণিকভাবে স্পষ্ট হয় না।

বৈধ ক্লাউড সেবাই নতুন অস্ত্র

ক্যাসপারস্কির সাইবার নিরাপত্তা বিশেষজ্ঞ ওলগা আলতুখোভা বলেন, “হামলাকারীরা বৈধ সেবাগুলোর সুনাম, বিনা মূল্যের প্ল্যান এবং বিভিন্ন সুবিধা সক্রিয়ভাবে কাজে লাগাচ্ছে। আমরা যে ঘটনাটি বিশ্লেষণ করেছি, সেখানে ফিশাররা একাধিক ধাপের ‘অ্যাডভার্সারি-ইন-দ্য-মিডল’ হামলা চালিয়েছে। বৈধ মাইক্রোসফট ওয়েবসাইটের মতো দেখতে পেজের মাধ্যমে পুরো ট্রাফিক পরিচালনার পাশাপাশি তারা ‘ব্রাউজার-ইন-দ্যা-ব্রাউজার’ কৌশলও ব্যবহার করেছে। এতে বোঝা যায়, ফিশিং কৌশল ক্রমেই আরও অত্যাধুনিক হয়ে উঠছে।”

তার বক্তব্য অনুযায়ী, শুধু সন্দেহজনক বা অখ্যাত ওয়েবসাইট শনাক্ত করলেই এখন ফিশিং প্রতিরোধ করা সম্ভব নয়। হামলাকারীরা বৈধ ও পরিচিত ক্লাউড অবকাঠামো ব্যবহার করায় ওয়েবসাইটের ডোমেইন ও সনদ যাচাইয়ের পাশাপাশি ওয়েবপেজের আচরণ এবং ডাইনামিক উপাদানও বিশ্লেষণ করা গুরুত্বপূর্ণ হয়ে উঠেছে।

নিরাপদ থাকতে ক্যাসপারস্কির পাঁচ পরামর্শ

ক্যাসপারস্কি ব্যবহারকারীদের কয়েকটি সতর্কতা মেনে চলার পরামর্শ দিয়েছে।

প্রথমত, CAPTCHA নিয়ে সতর্ক থাকতে হবে। সাধারণত CAPTCHA ই-মেইল ঠিকানার মতো ব্যক্তিগত তথ্য চায় না। কোনো যাচাইকরণ ধাপে ‘রোবট নন’ প্রমাণ করার জন্য ব্যক্তিগত তথ্য দিতে বলা হলে সেটিকে ফিশিং বা প্রতারণার সম্ভাব্য সতর্কসংকেত হিসেবে বিবেচনা করতে হবে।

দ্বিতীয়ত, অপ্রত্যাশিত লগইন অনুরোধে সতর্ক থাকতে হবে। কোনো অনুরোধ বিশ্বস্ত ডোমেইন থেকে এলেও বা বৈধ SSL সার্টিফিকেট থাকলেও সেটিকে স্বয়ংক্রিয়ভাবে নিরাপদ ধরে নেওয়া যাবে না।

তৃতীয়ত, মূল ব্রাউজারের অ্যাড্রেস বার যাচাই করতে হবে। Browser-in-the-Browser হামলায় ভুয়া উইন্ডোর অ্যাড্রেস বার বা পপ-আপ নকল করা সম্ভব। তবে ব্রাউজারের প্রকৃত অ্যাড্রেস বারে প্রদর্শিত ডোমেইন পরিবর্তন করা যায় না। তাই প্রকৃত ব্রাউজারের অ্যাড্রেস বার পরীক্ষা করা গুরুত্বপূর্ণ।

চতুর্থত, ব্রাউজার ও নিরাপত্তা এক্সটেনশন নিয়মিত আপডেট রাখতে হবে। পুরোনো সফটওয়্যার ও নিরাপত্তা উপাদান ব্যবহার করলে নতুন ধরনের হামলা শনাক্ত ও প্রতিরোধের সক্ষমতা কমে যেতে পারে।

পঞ্চমত, শুধু ডোমেইনের সুনামের ওপর নির্ভর না করার পরামর্শ দিয়েছে ক্যাসপারস্কি। ওয়েবপেজের স্ক্রিপ্ট ও ডাইনামিক উপাদানও বিশ্লেষণ করতে পারে—এমন নির্ভরযোগ্য সাইবার নিরাপত্তা সমাধান ব্যবহারের পরামর্শ দিয়েছে প্রতিষ্ঠানটি।

ফিশিং আক্রমণের এই ধরন দেখাচ্ছে, সাইবার অপরাধীরা এখন শুধু ভুয়া ওয়েবসাইট তৈরির মধ্যে সীমাবদ্ধ নেই। বৈধ ক্লাউড অবকাঠামো, ডাইনামিক ওয়েব প্রযুক্তি এবং ব্রাউজারের দৃশ্যমান উপাদান নকল করে ব্যবহারকারীর আস্থা তৈরির পাশাপাশি নিরাপত্তা ব্যবস্থাকেও পাশ কাটানোর চেষ্টা করছে।

//ডিবিটেক/ আরআইসিপি/এসএমপি//