ইমেইলে কিউআর কোডের ফাঁদ বাড়ছে: মাইক্রোসফট ৩৬৫ ছদ্মবেশে নতুন ফিশিং কৌশল, বাঁচার উপায়

কর্পোরেট ইমেইলে কিউআর কোড পাঠিয়ে ফিশিং এখন দারুণ বাড়ছে। মাইক্রোসফট ৩৬৫ লগইন, প্যাকেজ ডেলিভারি আপডেট বা পেমেন্ট ভেরিফিকেশনের কথা বলে এক টুকরো ছবি আসে, স্ক্যান করলেই ব্রাউজারে খোলে ভুয়া সাইট। সকালবেলা কফি হাতে মেইল খুলে দেখলে বিষয়টা অনেকেরই চোখ এড়ায়। এটিই আসল ফাঁদ। এই কৌশলের শক্তি কী? কিউআর কোড সাধারণত PNG বা PDF হিসেবে আসে, ফলে অনেক ফিল্টার সহজে ধরতে পারে না। ফোনের ক্যামেরা বা স্ক্যানার অ্যাপ লিংক খোলার অনুমতি চায়, আপনি ‘ওকে’ দিলেই চলে যান এমন এক পাতায় যা মাইক্রোসফট ৩৬৫ বা ব্যাংকের সাইটের মতোই। সেখানে ইউজারনেম–পাসওয়ার্ড চাওয়া হয়, কখনও দুই স্তরের যাচাইকরণের কোডও। আপনি দিলে অপরাধীরা সেশন কুকি কপি করে সরাসরি আপনার একাউন্টে ঢুকে পড়তে পারে। হঠাৎ দেখলে ধরা কঠিন, কারণ ডোমেইন নামও প্রায়ই ছোট করা থাকে। বাংলাদেশের অনেক প্রতিষ্ঠান ক্লাউড স্যুটে কাজ করে, বিশেষ করে মাইক্রোসফট ৩৬৫ ও গুগল ওয়ার্কস্পেস। আইটি টিমগুলো বিদেশি আইপি থেকে হঠাৎ সাইন-ইনের চেষ্টা বাড়ার রিপোর্ট দিচ্ছে, আর ছোট টিমগুলো যেখানে আলাদা ইমেইল গেটওয়ে নেই, তারা বেশি ঝুঁকিতে। কর্মীরা ফোন দিয়ে স্ক্যান করেন, কিন্তু কর্পোরেট নীতিতে সেই ফোন সুরক্ষিত কি না সেটাই প্রশ্ন। একবার অ্যাকাউন্ট হাতছাড়া হলে মেইল ফরোয়ার্ডিং রুল বসিয়ে গোপনে ডেটা টেনে নেওয়া হয়। নিরাপদ থাকতে কী করবেন: - অজানা প্রেরকের মেইল বা পোস্টার/পিডিএফে থাকা কিউআর কোড স্ক্যান করবেন না। জরুরি হলে ব্রাউজারে নিজে হাতে ঠিকানা লিখে ঢুকুন (যেমন office.com)। - মাইক্রোসফট ৩৬৫, গুগল, ব্যাংক—সবখানে দুই স্তরের যাচাইকরণ চালু করুন। এসএমএসের বদলে অথেনটিকেটর অ্যাপ ও নাম্বার ম্যাচিং ব্যবহার করুন। - কিউআর স্ক্যানার অ্যাপকে স্বয়ংক্রিয়ভাবে লিংক খোলার অনুমতি দেবেন না। আগে ডোমেইনটি ভাল করে পড়ে নিন। - আইটি টিমের জন্য: কন্ডিশনাল অ্যাক্সেস, বেসিক অটেনটিকেশন বন্ধ, অসম্ভব ভ্রমণ অ্যালার্ট, অডিট লগ এবং ইনবক্স রুল মনিটরিং চালু করুন। - ফোন ও মেইল অ্যাপ হালনাগাদ রাখুন, সন্দেহ হলে সঙ্গে সঙ্গে পাসওয়ার্ড বদলান এবং টিমকে জানান। প্রয়োজনে জাতীয় BGD e-Gov CIRT–এ ঘটনাটি রিপোর্ট করুন।