যে আক্রমণ আপনি কল্পনাও করেননি
এর শুরুটা হয়েছিল একটি ইমেল দিয়ে, যেটিকে দেখতে সম্পূর্ণ বৈধ মনে হচ্ছিল।
পুনের একটি মাঝারি আকারের বেসরকারি ব্যাংকের একজন গ্রাহক একটি “নিয়মিত নিরাপত্তা আপডেট”-এর পর তার নেট ব্যাংকিং তথ্য যাচাই করার জন্য একটি বার্তা পান। প্রেরকের ডোমেইনটি ছিল firstindiabnk.in, যা আসল ডোমেইনের এতটাই কাছাকাছি ছিল যে তিনি দ্বিধা করেননি। এর ডিজাইন, ভাষা এবং ব্র্যান্ডিং তার ব্যাংক থেকে পাওয়া আগের সমস্ত যোগাযোগের সাথে মিলে গিয়েছিল।
সে ক্লিক করল। সে তার ইউজারনেম, পাসওয়ার্ড এবং ওটিপি প্রবেশ করাল।
চার ঘণ্টার মধ্যে ১.৮ লক্ষ টাকা উধাও হয়ে গিয়েছিল।
ডোমেইনটি মাত্র তিন সপ্তাহ আগেই ভারতে কর্মরত এক আক্রমণকারী দ্বারা নিবন্ধিত হয়েছিল। প্রথম অভিযোগটি প্রকাশ্যে আসার আগে, একুশ দিন ধরে এটি নীরবে ব্যবহারকারীর তথ্য সংগ্রহ করে। ততদিনে, সতেরো জন গ্রাহক ইতিমধ্যেই প্রতারিত হয়েছিলেন।
আক্রমণটি সম্পর্কে ব্যাংকের কোনো ধারণা ছিল না। কোনো সতর্কতা বা সতর্কবার্তা ছিল না।
কারণ আক্রমণটি তাদের অবকাঠামোকে স্পর্শ করেনি।
ভারতের ব্র্যান্ড ছদ্মবেশের মহামারী
এটি এখন আর কোনো বিচ্ছিন্ন ঘটনা নয়। এটি দ্রুত বেড়ে ওঠা একটি প্রবণতা।
২০২৪ থেকে ২০২৫ সালের মধ্যে ভারতে ব্র্যান্ডের ছদ্মবেশ ধারণের আক্রমণে ৩০০ শতাংশেরও বেশি বৃদ্ধি দেখা গেছে, যা এটিকে দেশের অন্যতম দ্রুত বর্ধনশীল সাইবার অপরাধের একটি বিভাগে পরিণত করেছে।
যা সাধারণ স্পুফড ইমেল হিসাবে শুরু হয়েছিল, তা এখন একটি বহু-চ্যানেল হুমকি ইকোসিস্টেমে পরিণত হয়েছে:
আসল ওয়েবসাইটের অনুরূপ ডোমেইন
আসল ব্র্যান্ড সম্পদ ব্যবহার করে প্রতারণামূলক মোবাইল অ্যাপ
লিঙ্কডইন, ইনস্টাগ্রাম এবং হোয়াটসঅ্যাপ জুড়ে ভুয়া নির্বাহী প্রোফাইল।
ডার্ক ওয়েব ফোরামে চুরি করা কর্মচারীর পরিচয়পত্র লেনদেন করা হয়েছে
এই প্রচারণাগুলো ক্রমশ আরও অত্যাধুনিক হয়ে উঠছে। আক্রমণকারীরা এখন এআই-নির্মিত কন্টেন্ট, নিখুঁত ওয়েবসাইটের ক্লোন এবং অত্যন্ত বিশ্বাসযোগ্য সোশ্যাল ইঞ্জিনিয়ারিং কৌশল ব্যবহার করছে, যা আসল যোগাযোগের থেকে প্রায় আলাদা করা যায় না।
কিন্তু সবচেয়ে গুরুত্বপূর্ণ পরিবর্তনটি হলো, কাদেরকে লক্ষ্যবস্তু করা হচ্ছে।
বৃহৎ প্রতিষ্ঠানগুলো তাদের প্রতিরক্ষা ব্যবস্থা জোরদার করেছে। আক্রমণকারীরাও সেই অনুযায়ী নিজেদের মানিয়ে নিয়েছে।
শক্তিশালী ব্র্যান্ড পরিচিতি থাকা সত্ত্বেও সীমিত নিরাপত্তা সক্ষমতা সম্পন্ন মাঝারি আকারের প্রতিষ্ঠানগুলোই প্রধান লক্ষ্যবস্তুতে পরিণত হয়েছে।
কেন আপনার নিরাপত্তা ব্যবস্থা এটি দেখতে পাচ্ছে না
এখানে অস্বস্তিকর সত্য:
বেশিরভাগ নিরাপত্তা সরঞ্জাম ব্র্যান্ডের ছদ্মবেশ শনাক্ত করার জন্য কখনোই ডিজাইন করা হয়নি।
ফায়ারওয়াল নেটওয়ার্ক ট্র্যাফিক পর্যবেক্ষণ করে।
এন্ডপয়েন্ট ও অ্যান্টিভাইরাস সলিউশন ডিভাইসগুলোকে সুরক্ষিত রাখে।
EDR এবং XDR প্ল্যাটফর্মগুলো আপনার পরিবেশের ভেতরের হুমকিগুলো শনাক্ত করে।
কিন্তু ব্র্যান্ডের ছদ্মবেশ আপনার পারিপার্শ্বিক পরিবেশে কাজ করে না।
বিদেশে হোস্ট করা কোনো ক্ষতিকারক ডোমেইন আপনার ফায়ারওয়ালকে কখনোই সক্রিয় করবে না।
আপনার গ্রাহকদের লক্ষ্য করে তৈরি কোনো ফিশিং সাইট কখনোই আপনার এন্ডপয়েন্ট স্পর্শ করবে না।
আপনার সিএফও-এর ছদ্মবেশে তৈরি কোনো ভুয়া লিঙ্কডইন প্রোফাইল আপনার লগ-এ কখনোই দেখা যাবে না।
এই আক্রমণগুলো সম্পূর্ণরূপে আপনার নিরাপত্তা বলয়ের বাইরে থেকে পরিচালিত হয় এবং সরাসরি আপনার গ্রাহক, অংশীদার ও কর্মচারীদের লক্ষ্যবস্তু করে।
আপনি যখন তাদের কথা শুনবেন, ততক্ষণে তারা সফল হয়ে গেছে।
তিনটি দুর্বলতা যা আপনাকে অরক্ষিত করে তোলে
-
সাদৃশ্যপূর্ণ ডোমেইন নিবন্ধন
আক্রমণকারীরা স্বয়ংক্রিয় টুল ব্যবহার করে দ্রুত আপনার ডোমেইনের একাধিক সংস্করণ নিবন্ধন করে ফেলে।
একটিমাত্র ব্র্যান্ডেরই কয়েক দিনের মধ্যে কয়েক ডজন ক্ষতিকর ও নকল সংস্করণ তৈরি করা যেতে পারে, যার প্রতিটিই ফিশিং ক্যাম্পেইন চালাতে সক্ষম। এগুলোর কোনোটিই আপনার অভ্যন্তরীণ নিরাপত্তা ব্যবস্থায় ধরা পড়ে না।
-
ডার্ক ওয়েবে পরিচয়পত্রের প্রকাশ
প্রায়শই কোনো নিরাপত্তা লঙ্ঘন শনাক্ত হওয়ার কয়েক সপ্তাহ আগেই কর্মচারীদের পরিচয়পত্র সংগ্রহ করে ডার্ক ওয়েবের মার্কেটপ্লেসগুলোতে বিক্রি করে দেওয়া হয়।
এই ক্রেডেনশিয়ালগুলো আক্রমণকারীদেরকে কর্পোরেট সিস্টেম, ইমেল অ্যাকাউন্ট এবং সংবেদনশীল ডেটাতে সরাসরি অ্যাক্সেস প্রদান করে।
-
সোশ্যাল মিডিয়া ছদ্মবেশ
বিভিন্ন প্ল্যাটফর্মে এখন কর্মকর্তা ও ব্র্যান্ডের ছদ্মবেশে ভুয়া প্রোফাইলের প্রচলন সাধারণ হয়ে উঠেছে।
এই প্রোফাইলগুলি নিম্নলিখিত উদ্দেশ্যে ব্যবহৃত হয়:
- ফিশিং এবং জালিয়াতি
- ব্যবসায়িক ইমেল আপস (বিইসি)
- ভুল তথ্য প্রচার অভিযান
অনেক ক্ষেত্রে, আক্রমণকারীরা প্রতারণা চালানোর আগে সময়ের সাথে সাথে বিশ্বাসযোগ্যতা তৈরি করে।
সুরক্ষা আসলে কেমন দেখতে
ব্র্যান্ডের নকল প্রতিরোধ করতে হলে প্রতিক্রিয়াশীল পদক্ষেপ থেকে সরে এসে সক্রিয় দৃশ্যমানতার দিকে একটি মৌলিক পরিবর্তন প্রয়োজন।
এই হল যেখানে Seqrite Digital Risk Protection Services (ডিআরপিএস) আসে.
Seqrite DRPS ক্রমাগত বাহ্যিক হুমকির পরিস্থিতি পর্যবেক্ষণ করে, যার মধ্যে অন্তর্ভুক্ত রয়েছে:
- উন্মুক্ত ওয়েব এবং ডোমেইন নিবন্ধন
- ডার্ক ওয়েব ফোরাম এবং মার্কেটপ্লেস
- সামাজিক মিডিয়া প্ল্যাটফর্ম
- মোবাইল অ্যাপ স্টোর
লক্ষ্যটা সহজ: হুমকিগুলোকে অস্ত্রে পরিণত হওয়ার আগেই শনাক্ত করা।
যখন কোনো সাদৃশ্যপূর্ণ ডোমেইন নিবন্ধিত হয়, তখন আপনাকে কয়েক ঘণ্টার মধ্যেই সতর্ক করা হয়।
যখন কোনো কর্মচারীর পরিচয়পত্র ডার্ক ওয়েবে প্রকাশিত হয়, আপনাকে তাৎক্ষণিকভাবে জানানো হয়।
যখন কোনো ভুয়া নির্বাহীর প্রোফাইল প্রকাশিত হয়, তখন তা ছড়িয়ে পড়ার আগেই ব্যবস্থা নেওয়া যেতে পারে।
কিন্তু শুধু শনাক্তকরণই যথেষ্ট নয়।
Seqrite ডিআরপিএস এছাড়াও রেজিস্ট্রার, হোস্টিং প্রোভাইডার এবং ডিজিটাল প্ল্যাটফর্মগুলোর সাথে প্রতিষ্ঠিত সম্পর্কের মাধ্যমে, প্রায়শই ২৪ থেকে ৪৮ ঘণ্টার মধ্যে ক্ষতিকারক অ্যাসেটগুলো দ্রুত নির্মূল করা সম্ভব হয়।
এর ফলে শোষণের সুযোগ ব্যাপকভাবে কমে যায়।
কিছু না করার মূল্য
ব্র্যান্ডের ছদ্মবেশ ধারণের প্রভাব তাৎক্ষণিক আর্থিক ক্ষতির চেয়েও অনেক বেশি সুদূরপ্রসারী।
নিয়ন্ত্রক সংস্থার কড়া নজরদারি বাড়ছে। রিজার্ভ ব্যাঙ্ক অফ ইন্ডিয়া (আরবিআই) এবং সেবি-র মতো কর্তৃপক্ষগুলি জালিয়াতি প্রতিরোধ এবং গ্রাহক সুরক্ষার উপর অধিক গুরুত্ব দিচ্ছে।
ছদ্মবেশ ধারণের ঝুঁকি পর্যবেক্ষণ ও প্রশমিত করতে ব্যর্থতার ফলে নিম্নলিখিত পরিণতি হতে পারে:
- নিয়ন্ত্রক তদন্ত
- আর্থিক জরিমানা
- আইনি দায়
- বাধ্যতামূলক প্রতিকার প্রচেষ্টা
এবং তারপরে এমন একটি খরচ রয়েছে যার পরিমাণ নির্ধারণ করা সবচেয়ে কঠিন, আর তা হলো গ্রাহকের আস্থা হারানো।
যখন গ্রাহকরা আপনার ব্র্যান্ডের নামে প্রতারিত হন, তখন তারা বহিরাগত আক্রমণকারী এবং অভ্যন্তরীণ ব্যর্থতার মধ্যে পার্থক্য করতে পারেন না।
তারা শুধু চলে যায়।
আক্রমণকারীরা আপনার সম্পর্কে আগে থেকেই কী জানে তা খুঁজে বের করুন
ব্র্যান্ড ছদ্মবেশের সবচেয়ে বিপজ্জনক দিকটি এই নয় যে এটি ঘটে থাকে।
ব্যাপারটা হলো, এটা আপনার অজান্তেই এই মুহূর্তে ঘটে যাওয়ার সম্ভাবনা রয়েছে।
Seqrite ডিআরপিএস আপনাকে সেই বাস্তবতা উন্মোচন করতে সাহায্য করে।
আমাদের থ্রেট রিসার্চ টিম একটি বিনামূল্যে ব্র্যান্ড ঝুঁকি মূল্যায়ন (Brand Risk Assessment) প্রদান করে, যা বিভিন্ন ডোমেইন, ডার্ক ওয়েব, সোশ্যাল মিডিয়া এবং ডিজিটাল চ্যানেল জুড়ে আপনার ব্র্যান্ডের পরিচিতির একটি রিয়েল-টাইম স্ক্যান।
কোনো খরচ নেই। কোনো বাধ্যবাধকতা নেই। শুধু কার্যকরী তথ্য।
কারণ কোনো আক্রমণ প্রতিহত করার প্রথম ধাপ হলো, সেটির অস্তিত্ব সম্পর্কে জানা।
