অ্যাপ-পাসওয়ার্ড ব্যবহার করে জিমেইল হ্যাকের নতুন ফাঁদ!

রুশ হ্যাকাররা অত্যন্ত উন্নত সামাজিক প্রকৌশল কৌশল (social engineering) ব্যবহার করে জিমেইলের মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) বাইপাস করেছে। তারা ভুয়া পরিচয়ে মার্কিন যুক্তরাষ্ট্রের স্টেট ডিপার্টমেন্টের কর্মকর্তা সেজে লক্ষ্যবস্তুদেরকে বিশেষভাবে তৈরি করা ফিশিং বার্তা পাঠায় এবং অ্যাপ-নির্দিষ্ট পাসওয়ার্ড তৈরির মাধ্যমে জিমেইল অ্যাকাউন্টে প্রবেশের পথ তৈরি করে।

কাদের টার্গেট করা হয়েছে?
এই হামলার লক্ষ্য ছিলেন রাশিয়ার সমালোচক, প্রভাবশালী গবেষক ও একাডেমিক ব্যক্তিত্বরা। হামলাকারীরা ছিলেন অত্যন্ত ধৈর্যশীল এবং ধাপে ধাপে যোগাযোগ করতেন যাতে লক্ষ্যবস্তু সন্দেহ না করেন।

হামলার ধরন
গুগলের থ্রেট ইন্টেলিজেন্স গ্রুপ (GTIG) জানিয়েছে, তারা UNC6293 নামে এই হুমকিসৃষ্টিকারী গোষ্ঠীকে ট্র্যাক করছে, যারা রাশিয়ার গোয়েন্দা সংস্থা SVR-এর অধীনস্থ APT29 (যাদের অন্য নামে Cozy Bear, Nobelium, ইত্যাদি বলা হয়) এর সঙ্গে সম্পৃক্ত হতে পারে।

এই গোষ্ঠী এপ্রিল থেকে জুন পর্যন্ত সময়ে দুই ধরনের ফিশিং অভিযান চালায়—একটি মার্কিন স্টেট ডিপার্টমেন্টের নাম ব্যবহার করে, অপরটি ইউক্রেন ও মাইক্রোসফট সংশ্লিষ্ট।

হামলার কৌশল
সিটিজেন ল্যাবের অনুসন্ধান অনুযায়ী, হামলাকারীরা গবেষক কিয়ার গাইলসকে টার্গেট করেন। তারা “Claudie S. Weber” নামে ভুয়া এক স্টেট ডিপার্টমেন্ট কর্মকর্তার ছদ্মবেশে মেইল পাঠায়, যেখানে মূল মেইলটি জিমেইল থেকে পাঠালেও CC লাইনে একাধিক @state.gov ঠিকানা ছিল, যা মেইলটিকে আরও বিশ্বাসযোগ্য করে তোলে।

গাইলসের সঙ্গে বেশ কয়েকবার যোগাযোগের পর, তাকে একটি প্ল্যাটফর্মে যোগদানের জন্য অ্যাপ-নির্দিষ্ট পাসওয়ার্ড তৈরি করে তা "যুক্তরাষ্ট্রের স্টেট ডিপার্টমেন্ট অ্যাডমিনিস্ট্রেটরদের" সঙ্গে শেয়ার করতে বলা হয়।

অ্যাপ-নির্দিষ্ট পাসওয়ার্ড কী?
অ্যাপ-নির্দিষ্ট পাসওয়ার্ড হলো এমন একটি পাসওয়ার্ড, যা কম সুরক্ষিত বা পুরনো থার্ড-পার্টি অ্যাপকে ২-ফ্যাক্টর অথেনটিকেশন সক্রিয় থাকা অবস্থায় অ্যাকাউন্টে প্রবেশের সুযোগ দেয়। এটি ব্যবহার করে হ্যাকাররা পুরো গুগল অ্যাকাউন্টে প্রবেশ করতে সক্ষম হয়।

হ্যাকারদের কাঠামো
GTIG জানিয়েছে, UNC6293 হ্যাকাররা আবাসিক প্রক্সি ও ভার্চুয়াল প্রাইভেট সার্ভার (VPS) ব্যবহার করেছে যাতে তারা তাদের আইডেন্টিটি গোপন রাখতে পারে। তারা জাল পরিচয়, নকল অ্যাকাউন্ট এবং কাস্টমাইজড ডকুমেন্টেশন ব্যবহার করে লক্ষ্যের বিশ্বাস অর্জন করে।

গুগলের পরামর্শ
গুগল ব্যবহারকারীদের জন্য Advanced Protection Program-এ অন্তর্ভুক্ত হওয়ার পরামর্শ দিয়েছে। এই প্রোগ্রামে ব্যবহারকারীকে অতিরিক্ত নিরাপত্তা দেওয়া হয় এবং অ্যাপ-নির্দিষ্ট পাসওয়ার্ড তৈরি করার সুযোগ বন্ধ থাকে। এতে শুধু নির্ধারিত নিরাপত্তা কী বা পাসকি ছাড়া কেউ অ্যাকাউন্টে প্রবেশ করতে পারে না।

সতর্কতা: প্রযুক্তির সঙ্গে সঙ্গে ফিশিং কৌশলও হয়ে উঠছে আরও চতুর। সরকারি সংস্থা বা নিরাপত্তা প্রতিষ্ঠান থেকে আসা বলে দাবি করা যে কোনো মেইলের ক্ষেত্রে সন্দেহজনক উপাদান লক্ষ্য করুন এবং অ্যাকাউন্টের পাসওয়ার্ড বা নিরাপত্তা তথ্য শেয়ার থেকে বিরত থাকুন।