ক্লাউড প্ল্যাটফর্ম ব্যবহার করে ২ লাখের বেশি ফিশিং হামলা: ক্যাসপারস্কি
নিজস্ব প্রতিবেদক
বৈধ ক্লাউড প্ল্যাটফর্মের সুনাম, বিনা মূল্যের সুবিধা ও বিভিন্ন ফিচার কাজে লাগিয়ে সাইবার অপরাধীরা ফিশিং হামলা চালাচ্ছে বলে জানিয়েছে গ্লোবাল সাইবার সিকিউরিটি প্রতিষ্ঠান ক্যাসপারস্কি। প্রতিষ্ঠানটির গবেষণায় এমন একটি ফিশিং অভিযান শনাক্ত হয়েছে, যেখানে ২ লাখের বেশি হামলায় ক্লাউড প্ল্যাটফর্ম ব্যবহার করা হয়েছে। হামলায় ব্যবহারকারীদের মাইক্রোসফট অ্যাকাউন্টের লগইন তথ্য চুরি করতে একাধিক ধাপের প্রতারণামূলক কৌশল ব্যবহার করা হচ্ছে।
হামলার প্রক্রিয়াটি শুরু হয় কোনো বিশ্বস্ত ও পরিচিত ব্যক্তির পরিচয়ে ব্যবহারকারীকে মাইক্রোসফট অ্যাকাউন্টে লগইন করতে প্রলুব্ধ করার মাধ্যমে। সাধারণত ই-মেইলে একটি ফিশিং লিংক পাঠানো হয়। লিংকে ক্লিক করলে ব্যবহারকারীকে একটি কথিত ‘অ্যান্টি-বট’ পেজে নেওয়া হয়। সেখানে করপোরেট ই-মেইল ঠিকানা দিয়ে একটি ভুয়া ক্যাপচা (CAPTCHA) পূরণ করতে বলা হয়। এটি ব্যবহারকারীকে যাচাই করার পরিবর্তে তার ই-মেইল ঠিকানা সংগ্রহ করে এবং সেটি পরবর্তী পেজে পাঠানোর জন্য ক্লাউডফ্লেয়ার (Cloudflare)-এর স্বয়ংক্রিয়ভাবে দেওয়া .workers.dev ইউআরএলে নিয়ে যায়।
এরপর ব্যবহারকারী ক্লাউডফ্লেয়ার ওয়ার্কারস (Cloudflare Workers)-এর একটি বিনা মূল্যের সাবডোমেইনে হোস্ট করা পরবর্তী পেজে পৌঁছান। সেখানে আরও একটি ক্যাপচা (CAPTCHA) পূরণ করতে বলা হয়। দ্বিতীয় ক্যাপচা-টি প্রকৃত হলেও এটি এইচটিএমএল (HTML) কোডের সঙ্গে সরাসরি যুক্ত নয়; বরং ডাইনামিকভাবে পেজে যুক্ত করা হয়। ফলে নিরাপত্তা সমাধানের পক্ষে এটি শনাক্ত করা আরও কঠিন হয়ে পড়ে।
সবশেষে ব্যবহারকারীর সামনে অফিস ৩৬৫-এর মতো দেখতে একটি ভুয়া লগইন উইন্ডো দেখানো হয়। ব্রাউজার-ইন-দ্য-ব্রাউজার (BiTB) কৌশলের মাধ্যমে তৈরি এই উইন্ডোটিতে আসল ব্রাউজারের মতো অ্যাড্রেস বার ও উইন্ডো কন্ট্রোল দেখা যায়। কিন্তু এটি প্রকৃতপক্ষে একটি ভাসমান উইন্ডো, যেখানে ব্যবহারকারী ইউজারনেম, পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) কোড দিলে সেগুলো হামলাকারীদের কাছে চলে যায়। একই সঙ্গে স্ক্রিপ্টটি সেশন কুকিও সংগ্রহ করে। এরপর ব্যবহারকারীকে একটি সাধারণ ত্রুটি পেজে পাঠিয়ে দেওয়া হয়, যাতে হামলার বিষয়টি সহজে বোঝা না যায়।
ক্যাসপারস্কির সাইবার নিরাপত্তা বিশেষজ্ঞ ওলগা আলতুখোভা বলেন, “হামলাকারীরা বৈধ সেবাগুলোর সুনাম, বিনা মূল্যের প্ল্যান এবং বিভিন্ন সুবিধা সক্রিয়ভাবে কাজে লাগাচ্ছে। আমরা যে ঘটনাটি বিশ্লেষণ করেছি, সেখানে ফিশাররা একাধিক ধাপের ‘অ্যাডভার্সারি-ইন-দ্য-মিডিল’ হামলা চালিয়েছে। বৈধ মাইক্রোসফট ওয়েবসাইটের মতো দেখতে পেজের মাধ্যমে পুরো ট্রাফিক পরিচালনার পাশাপাশি তারা ‘ব্রাউজার-ইন-দ্যা-ব্রাউজার’ কৌশলও ব্যবহার করেছে। এতে বোঝা যায়, ফিশিং কৌশল ক্রমেই আরও অত্যাধুনিক হয়ে উঠছে।”
নিরাপদ থাকতে ক্যাসপারস্কি কয়েকটি পরামর্শ দিয়েছে। প্রথমত, ক্যাপচা (CAPTCHA) সাধারণত ই-মেইল ঠিকানার মতো ব্যক্তিগত তথ্য চায় না। কোনো যাচাইকরণ ধাপে রোবট নন এটি প্রমাণ করার জন্য ব্যক্তিগত তথ্য দিতে বলা হলে সেটিকে ফিশিং বা প্রতারণার সম্ভাব্য সতর্কসংকেত হিসেবে বিবেচনা করতে হবে। দ্বিতীয়ত, অপ্রত্যাশিত লগইন অনুরোধের ক্ষেত্রে সতর্ক থাকতে হবে এমনকি সেটি বিশ্বস্ত ডোমেইন থেকে এলেও বা বৈধ এসএসএল (SSL) সার্টিফিকেট থাকলেও।
তৃতীয়ত, মূল ব্রাউজারের অ্যাড্রেস বারে থাকা ইউআরএল যাচাই করতে হবে। ব্রাউজার-ইন-দ্য-ব্রাউজার হামলায় ভুয়া উইন্ডোর অ্যাড্রেস বার বা পপ-আপ নকল করা সম্ভব হলেও ব্রাউজারের প্রকৃত অ্যাড্রেস বারে প্রদর্শিত ডোমেইন পরিবর্তন করা যায় না। চতুর্থত, ব্রাউজার ও নিরাপত্তা এক্সটেনশন নিয়মিত আপডেট রাখতে হবে। পঞ্চমত, শুধু ডোমেইনের সুনাম নয়, ওয়েবপেজের স্ক্রিপ্ট ও ডাইনামিক উপাদানও বিশ্লেষণ করতে পারে এমন নির্ভরযোগ্য সাইবার নিরাপত্তা সমাধান ব্যবহার করার পরামর্শ দিয়েছে ক্যাসপারস্কি।