সাইবার অপরাধীরা বর্তমানে এমন এক কৌশল ব্যবহার করছে, যার মাধ্যমে এনক্রিপ্টেড লগ ইন তথ্য চুরি সম্ভব। এটি প্রচলিত নিরাপত্তা ব্যবস্থায় ধরাও পড়ছে না। নতুন এ ফিশিং কৌশলে ব্যবহার করা হচ্ছে ‘ব্লব ইউআরআই’ (Blob URI) নামে এক ব্রাউজার ফিচার, যা মূলত সাময়িকভাবে লোকাল কনটেন্ট দেখানোর জন্য তৈরি। সাইবার নিরাপত্তা বিশেষজ্ঞদের এক নতুন গবেষণায় এসব তথ্য উঠে এসেছে। খবর টেক রাডার।
যুক্তরাষ্ট্রভিত্তিক সাইবার নিরাপত্তা প্রতিষ্ঠান কোফেন্স সম্প্রতি এ কৌশল নিয়ে একটি বিশদ প্রতিবেদন প্রকাশ করেছে। গবেষণায় দেখা যায়, ব্লব ইউআরআইকে অপব্যবহার করে হামলাকারীরা ভুক্তভোগীর ব্রাউজারের ভেতর একেবারে স্থানীয়ভাবে ভুয়া লগ ইন পেজ তৈরি করছে, যা দেখতে আসল পেজের মতো।
এ ধরনের পেজ অনলাইনের কোথাও হোস্ট করা থাকে না। ফলে ‘সিকিউর ই-মেইল গেটওয়ে বা এসইজি’ কিংবা এআই-ভিত্তিক ফিল্টারের মতো সাধারণ নিরাপত্তা ব্যবস্থার মাধ্যমে এসব পেজ শনাক্ত করা সম্ভব হয় না।
প্রতারণা শুরু হয় একটি ই-মেইল দিয়ে, যা দেখতে একেবারে আসল ও বিশ্বাসযোগ্য মনে হয়। ই-মেইলে থাকা একটি লিংকে ক্লিক করলে ব্যবহারকারী মাইক্রোসফট ওয়ানড্রাইভ বা অনুরূপ কোনো পরিচিত সাইটে চলে যান। তবে আসলে, পেজটি একটি গোপন এইচটিএমএল ফাইল চালু করে, যা ব্লব ইউআরআই তৈরি করে ও ব্যবহারকারীর ব্রাউজারে একটি ভুয়া লগ ইন পেজ দেখায়।
পেজটি দেখতে হুবহু আসল মাইক্রোসফট লগ ইন পোর্টালের মতো। ব্যবহারকারী যখন ‘সাইন-ইন’ বাটনে ক্লিক করেন, তখন তার দেয়া তথ্য সরাসরি হামলাকারীর সার্ভারে চলে যায়। ব্যবহারকারী বুঝতেই পারেন না যে তার তথ্য চুরি হয়ে গেছে।
কোফেন্সের গবেষক জ্যাকব মালিমবান বলেন, ‘ব্লব ইউআরআই দিয়ে ফিশিং পেজ তৈরি হয় সম্পূর্ণভাবে ব্যবহারকারীর ব্রাউজারের ভেতরেই। এটি কোথাও হোস্ট করা হয় না। তাই প্রচলিত উপায়ে এটি স্ক্যান বা ব্লক করা যায় না।’
ব্লব ইউআরআই সাধারণত ক্ষতিকর হিসেবে বিবেচিত নয়। এআই মডেলের প্রশিক্ষণ ডাটায় এর উপস্থিতি খুব কম। তাই নিরাপত্তা ফিল্টার ও ব্যবস্থাগুলো অনেক সময় এগুলো শনাক্ত করতে পারে না।
আরো উদ্বেগের বিষয় হলো এ পদ্ধতিতে এনক্রিপ্টেড লগ ইন বা টু-ফ্যাক্টর অথেন্টিকেশন ব্যবস্থাও উপেক্ষা করা যায়। কারণ পুরো প্রতারণা ঘটে ব্যবহারকারীর ব্রাউজারের ভেতর, যেখানে সাধারণ নিরাপত্তা পদ্ধতিগুলো ঠিকমতো কাজ করতে পারে না।
গবেষকরা সতর্ক করছেন, কৌশলটি আরো ব্যাপকভাবে ব্যবহার হতে পারে। এক্ষেত্রে হামলাকারীদের প্রধান লক্ষ্য থাকতে পারে সরকারি ও আর্থিক প্রতিষ্ঠানের মতো গুরুত্বপূর্ণ অ্যাকাউন্ট।
এ ধরনের ঝুঁকি মোকাবেলায় বিশেষজ্ঞরা প্রতিষ্ঠানগুলোকে ‘জিরো ট্রাস্ট নেটওয়ার্ক অ্যাকসেস বা জেডটিএনএ’ ও ‘ফায়ারওয়াল অ্যাজ আ সার্ভিস বা এফডব্লিউএএএস’ ব্যবস্থার দিকে নজর দিতে বলছেন। পাশাপাশি কর্মীদের নিয়মিত ফিশিং সচেতনতামূলক প্রশিক্ষণ ও ব্যবহারভিত্তিক মনিটরিং ব্যবস্থা গ্রহণের পরামর্শ দেয়া হয়েছে।
বিশেষজ্ঞদের আশঙ্কা, প্রযুক্তি যত উন্নত হচ্ছে, সাইবার অপরাধীদের পদ্ধতিও তত চতুর হয়ে উঠছে। এ প্রবণতা রোধে নিরাপত্তা কৌশলগুলোকেও সময়োপযোগী ও আধুনিক করে তুলতে হবে, তা না হলে আগামী দিনে এমন আরো নীরব আক্রমণের শিকার হতে পারে অনেক প্রতিষ্ঠান।
