পাসওয়ার্ড না চুরিয়েই অ্যাকাউন্ট দখল: ছয়টি নতুন কৌশল ও সুরক্ষার উপায়
পাসওয়ার্ড চুরি করেই যে অ্যাকাউন্ট দখল করতে হয়, তা আর সত্য নয়। সাইবার বিশেষজ্ঞরা বলছেন, অনলাইন অপরাধীরা এখন পাসওয়ার্ডের ধারেকাছে না গিয়েও মানুষের অ্যাকাউন্টে ঢুকে পড়ার নানা কৌশল বের করেছে। সক্রিয় লগইন সেশন ছিনতাই, সাইন-ইন অনুমোদন দিতে ব্যবহারকারীকে রাজি করানো, ফোন নম্বরের নিয়ন্ত্রণ নেওয়া কিংবা ম্যালওয়্যার দিয়ে যন্ত্র থেকে তথ্য সংগ্রহ—এসব পথেই চলছে অ্যাকাউন্ট দখলের নতুন ধরনের আক্রমণ। বিশেষজ্ঞদের মতে, পাসকি, বায়োমেট্রিক ও ফেস আইডির মতো পদ্ধতিই এখন ডিজিটাল জীবন সুরক্ষার সেরা উপায়।
প্রথম কৌশলটি হলো লগইন সেশন ছিনতাই। কোনো ওয়েবসাইটে সাইন-ইন করলে সেবাটি একটি সেশন তৈরি করে, যাতে বারবার পাসওয়ার্ড দিতে না হয়। অপরাধীরা কখনো কখনো এই সেশনের সঙ্গে যুক্ত ডিজিটাল টোকেন বা কুকি চুরি করে নেয়। সেবাটি সেই চুরি করা তথ্য গ্রহণ করলে আক্রমণকারী পাসওয়ার্ড বা অতিরিক্ত যাচাইকরণ ছাড়াই অ্যাকাউন্টে ঢুকে যেতে পারে। সুরক্ষার জন্য বিশেষজ্ঞরা বলছেন, অ্যাকাউন্টে যুক্ত যন্ত্র ও সক্রিয় সেশনগুলো নিয়মিত দেখতে হবে, অচেনা কিছু দেখলে সাইন-আউট করতে হবে এবং সন্দেহ হলে বিশ্বস্ত যন্ত্র থেকে পাসওয়ার্ড বদলে অন্য সেশন বাতিল করতে হবে। শুধু যন্ত্রের তালিকা থেকে নাম সরালেই যে সক্রিয় সেশন শেষ হয়ে যায়, তা নয়—এ কথাও মনে রাখতে হবে।
দ্বিতীয় কৌশল ফোন নম্বর দখল। অনেকের ইমেইল, ব্যাংকিং, পেমেন্ট ও সামাজিক মাধ্যমের অ্যাকাউন্টের সঙ্গে ফোন নম্বর যুক্ত থাকে। অপরাধীরা মোবাইল অপারেটরকে ভুল বুঝিয়ে নম্বরটি নিজেদের নিয়ন্ত্রিত সিম বা ই-সিমে স্থানান্তর করানোর চেষ্টা করে। সফল হলে ভুক্তভোগীর জন্য আসা কল ও বার্তা, এমনকি যাচাইকরণ কোডও তাদের হাতে চলে যায়। হঠাৎ মোবাইল সেবা বন্ধ হয়ে যাওয়া—এলাকায় কোনো বিভ্রাট না থাকলে—এই আক্রমণের প্রাথমিক সতর্ক সংকেত হতে পারে। অপারেটরের কাছে অ্যাকাউন্ট নিরাপত্তা পিন, নম্বর স্থানান্তর লক ও পোর্ট-আউট সুরক্ষা চালু রাখা এবং সংবেদনশীল অ্যাকাউন্টে পাসকি বা অথেনটিকেটর অ্যাপ ব্যবহারের পরামর্শ দিয়েছেন বিশেষজ্ঞরা।
তৃতীয় কৌশলটি মাল্টিফ্যাক্টর অথেনটিকেশনের (এমএফএ) ওপর আক্রমণ। এমএফএ অ্যাকাউন্টে বাড়তি সুরক্ষা যোগ করলেও অপরাধীরা এখন নিরাপত্তা অনুরোধ পাওয়া ব্যক্তিটিকেই লক্ষ্য করে। 'এমএফএ ফ্যাটিগ' বা 'পুশ বম্বিং' কৌশলে আক্রমণকারী বারবার অনুমোদনের নোটিফিকেশন পাঠাতে থাকে, এই আশায় যে বিরক্ত হয়ে ব্যবহারকারী একসময় 'অ্যাপ্রুভ' চেপে দেবেন। কেউ কেউ কারিগরি সহায়তা দল বা আর্থিক প্রতিষ্ঠানের ভান করে এককালীন নিরাপত্তা কোড মুখে বলতে বলে। বিশেষজ্ঞদের পরামর্শ: নিজে শুরু করেননি এমন লগইন কখনো অনুমোদন করবেন না, অপ্রত্যাশিতভাবে যোগাযোগ করা কাউকে কোড বলবেন না, আর বারবার অনুরোধ এলে তা প্রত্যাখ্যান করে দাপ্তরিক ওয়েবসাইট বা অ্যাপ থেকে অ্যাকাউন্ট পরীক্ষা করুন।
চতুর্থ কৌশল 'ইনফোস্টিলার' নামের ম্যালওয়্যার। এই ক্ষতিকর সফটওয়্যার যন্ত্র থেকে ব্রাউজারে সংরক্ষিত পাসওয়ার্ড, সেশন কুকি, পেমেন্টের তথ্যসহ নানা তথ্য সংগ্রহ করে। ভুয়া সফটওয়্যার হালনাগাদ, পাইরেটেড অ্যাপ, সন্দেহজনক ইমেইল সংযুক্তি, ক্ষতিকর বিজ্ঞাপন বা হ্যাক হওয়া ব্রাউজার এক্সটেনশনের মাধ্যমে এটি যন্ত্রে ঢুকতে পারে। অনেক সময় এটি নীরবে কাজ করে, ফলে ব্যবহারকারী তাৎক্ষণিক কিছু টের পান না। অপারেটিং সিস্টেম, ব্রাউজার ও নিরাপত্তা সফটওয়্যার হালনাগাদ রাখা, অচেনা ওয়েবসাইট থেকে সফটওয়্যার না নামানো এবং এক্সটেনশন নিয়মিত যাচাই করার পরামর্শ দেওয়া হয়েছে। সংক্রমণের সন্দেহ হলে আলাদা বিশ্বস্ত যন্ত্র থেকে গুরুত্বপূর্ণ অ্যাকাউন্ট সুরক্ষিত করতে হবে।
পঞ্চম কৌশলটি হলো 'ওঅথ কনসেন্ট ফিশিং'। এখানে অপরাধীরা পাসওয়ার্ড চুরি না করে ব্যবহারকারীকে ঠকিয়ে কোনো সংযুক্ত অ্যাপকে তথ্যের অনুমতি দেওয়ায়। যেমন, কোনো ভুয়া উৎপাদনশীলতা টুল ইমেইল পড়া, যোগাযোগের তালিকা দেখা বা ক্লাউড সংরক্ষণাগারের ফাইল ব্যবস্থাপনার অনুমতি চাইতে পারে। অনুমতি দিলে ক্ষতিকর অ্যাপ সেই পথে তথ্য নিতে থাকে এবং পাসওয়ার্ড বদলালেও কোনো কোনো ক্ষেত্রে সেই প্রবেশাধিকার থেকে যায়। ২০২৬ সালের সেপ্টেম্বরের এক সতর্কবার্তায় যুক্তরাষ্ট্রের এফবিআই জানিয়েছে, অপরাধীরা মানুষকে ঠকিয়ে ক্ষতিকর অ্যাপকে অ্যাকাউন্টে প্রবেশের অনুমতি দেওয়াতে পারে এবং অনুমতি বাতিল না করলে পাসওয়ার্ড বদলের পরও সেই প্রবেশাধিকার সক্রিয় থাকে। গুগল, মাইক্রোসফটসহ গুরুত্বপূর্ণ অ্যাকাউন্টে যুক্ত তৃতীয় পক্ষের অ্যাপগুলো নিয়মিত পর্যালোচনা করে অপ্রয়োজনীয় বা অচেনা অ্যাপের অনুমতি সরিয়ে ফেলার পরামর্শ দেওয়া হয়েছে।
পাসকি ঐতিহ্যবাহী পাসওয়ার্ড ফিশিংয়ের ঝুঁকি অনেকটা কমাতে পারে। পাসকি ব্যবহারকারীর যন্ত্র, সিকিউরিটি কি বা পাসওয়ার্ড ম্যানেজারের সঙ্গে যুক্ত ক্রিপ্টোগ্রাফিক পরিচিতি ব্যবহার করে এবং তা আসল ওয়েবসাইটের সঙ্গেই আবদ্ধ থাকে, ফলে ভুয়া লগইন পেজে তা চুরি করা কঠিন। তবে পাসকিও সব ঝুঁকি দূর করে না—ইতোমধ্যে প্রমাণিত সেশন, সংক্রমিত যন্ত্র, ক্ষতিকর সংযুক্ত অ্যাপ বা অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়া দিয়ে অপরাধীরা আক্রমণ চালাতে পারে। গুরুত্বপূর্ণ অ্যাকাউন্টে সুযোগ থাকলে পাসকি ব্যবহার, যন্ত্রে শক্তিশালী স্ক্রিন লক রাখা এবং পুনরুদ্ধারের তথ্য হালনাগাদ রাখার পরামর্শ দিয়েছেন বিশেষজ্ঞরা।
সবশেষে মনে রাখতে হবে, আপস হওয়া পাসওয়ার্ড বদল মানেই সব অননুমোদিত প্রবেশ বন্ধ হয়ে যাওয়া নয়। কোনো কোনো সেবা পাসওয়ার্ড বদলের পর বিদ্যমান সেশন বাতিল করে, আবার কোনো কোনোটিতে আলাদা করে যন্ত্র থেকে সাইন-আউট করতে হয়। অপরাধী অ্যাপ-নির্দিষ্ট পাসওয়ার্ড, অননুমোদিত সংযুক্ত অ্যাপ বা নতুন পুনরুদ্ধার পদ্ধতির মতো বিকল্প পথও তৈরি করে রাখতে পারে। বিশেষ করে ইমেইল অ্যাকাউন্টের দিকে নজর দিতে বলা হয়েছে, কারণ ইনবক্সে ঢুকতে পারলে অপরাধী ফরোয়ার্ডিং নিয়ম বসিয়ে নীরবে বার্তার অনুলিপি অন্যত্র পাঠিয়ে দিতে পারে।
