টু-ফ্যাক্টর অথেনটিকেশন (২এফএ) দীর্ঘদিন ধরেই গুগল অ্যাকাউন্টের অন্যতম নির্ভরযোগ্য নিরাপত্তা ব্যবস্থা হিসেবে বিবেচিত। তবে সাম্প্রতিক সময়ে সাইবার অপরাধীরা টু-ফ্যাক্টর অথেনটিকেশন ব্যবস্থা ভাঙার চেষ্টা না করে ব্যবহারকারীকেই প্রতারণার মাধ্যমে লগইন তথ্য ও যাচাইকরণ কোড দিতে বাধ্য করছে। সাইবার নিরাপত্তা বিশেষজ্ঞদের মতে, সচেতনতার অভাবে টু-ফ্যাক্টর অথেনটিকেশন সক্রিয় থাকা অবস্থায়ও ব্যবহারকারীরা এই ধরনের আক্রমণের শিকার হতে পারে।
কীভাবে পরিচালিত হয় প্রতারণাটি?
এই কৌশলটি রিয়েল-টাইম ফিশিং বা অ্যাডভার্সারি-ইন-দা-মিডেল ফিশিং নামে পরিচিত। এতে ব্যবহারকারীকে গুগলের আসল সাইন-ইন পেজের অবিকল ভুয়া ওয়েবসাইটে নিয়ে যাওয়া হয় একটি ফিশিং লিংক এর মাধ্যমে। সেই ওয়েবসাইটে ব্যবহারকারী তার পাসওয়ার্ড দেওয়ার পর হামলাকারী সেটি ব্যবহার করে একই সময়েই আসল গুগল অ্যাকাউন্টে লগইনের চেষ্টা করে, ফলে ব্যবহারকারীর ফোনে একটি বৈধ ২এফএ কোড আসে। ব্যবহারকারী সেটিও ভুয়া ওয়েবসাইটে দিলে বা প্রবেশাধিকার অনুমোদন করে দিলে হামলাকারী সঙ্গে সঙ্গে অ্যাকাউন্টে প্রবেশ করতে পারে। গুগলের কিছু বিল্ট-ইন নিরাপত্তা সুবিধা সঠিকভাবে ব্যবহার করলে এ ধরনের প্রতারণার ঝুঁকি অনেকটাই কমানো সম্ভব।
ভুয়া গুগল নিরাপত্তা সতর্কবার্তা চিনবেন যেভাবে
প্রতারকরা সাধারণত ‘সাস্পিশিয়াস সাইন-ইন’ বা ‘আপনার অ্যাকাউন্ট ঝুঁকিতে’—এমন শিরোনামে জরুরি ইমেইল পাঠায়। সেখানে থাকা লিংকে ক্লিক করলে আসল গুগল লগইন পেজের মতো দেখতে একটি ভুয়া ওয়েবসাইট খুলে যায়। ব্যবহারকারী সেখানে ইমেইল, পাসওয়ার্ড এবং পরে ফোনে আসা ২এফএ কোড লিখলে সব তথ্য সরাসরি হামলাকারীর হাতে পৌঁছে যায়। ফিশিং ওয়েবসাইট চেনার সবচেয়ে সহজ উপায় হলো ওয়েবপেজের ঠিকানা (ইউআরএল) ভালোভাবে যাচাই করা। আসল Google সাইন-ইন পেজের ঠিকানা হবে accounts.google.com। কিন্তু প্রতারকরা প্রায় একই রকম দেখতে ভুয়া ডোমেইন ব্যবহার করে, যেমন accounts-google.com, google-account-security.com বা accounts.google.verify-login.com। ঠিকানার শুরুতে বা শেষে অতিরিক্ত শব্দ, অস্বাভাবিক অক্ষর কিংবা ভিন্ন ডোমেইন থাকলে সেটিকে সতর্কসংকেত হিসেবে বিবেচনা করুন এবং সেখানে কখনোই লগইন তথ্য প্রবেশ করাবেন না।
অটোফিল ফিচার হতে পারে ফিশিং শনাক্তের উপায়
অ্যান্ডয়েডের গুগল পাসওয়ার্ড ম্যানেজার শুধু পাসওয়ার্ডই সংরক্ষণ করে না, এটি ওয়েবসাইটের ডোমেইনও যাচাই করতে পারে। ভুয়া ওয়েবসাইটে সাধারণত গুগল পাসওয়ার্ড ম্যানেজারের ‘অটোফিল’ ফিচারটি কাজ করেনা বা স্বয়ংক্রিয়ভাবে পাসওয়ার্ডের পরামর্শ আসে না। যদি পরিচিত কোনো ওয়েবসাইটে হঠাৎ অটোফিল কাজ না করে, সেটিকে সতর্কসংকেত হিসেবে বিবেচনা করে ঐ ওয়েবসাইটে লগ-ইন করা থেকে বিরত থাকুন।
পাস-কি চালু করুন
পাসওয়ার্ড ও এসএমএস কোড ব্যবহারকারীর মাধ্যমে চুরি করা সম্ভব হলেও ‘পাস-কি’ ক্রিপ্টোগ্রাফিকভাবে নির্দিষ্ট ওয়েবসাইটের সঙ্গে যুক্ত থাকে। ফলে একই রকম দেখতে ভুয়া ওয়েবসাইটেও এটি কাজ করবে না। ফিচারটি চালু করতে ফোনের সেটিংস থেকে গুগল (বা গুগল অ্যাকাউন্ট) → ম্যানেজ ইউর গুগল অ্যাকাউন্ট → সিকিউরিটি অপশনে গিয়ে, ‘পাস-কি’ ফিচারটি অন করতে হবে।
গুগল প্রম্পট এলে আগে যাচাই করুন
অ্যাকাউন্টে প্রবেশাধিকারের জন্য আসা গুগল প্রম্পট-এ ‘ইয়েস’ অপশনটি নির্বাচনের আগে দেখুন সেটিতে প্রদর্শিত ডিভাইস, সময় ও লোকেশন আপনার পরিচিত কি না। আপনি নিজে লগইন না করে থাকলে বা তথ্য মিল না থাকলে সবসময় ‘নো’ নির্বাচন করুন। ভুল করে অনুমোদন দিলে হামলাকারী আপনার অ্যাকাউন্টে প্রবেশ করতে পারে।
নিয়মিত সিকিউরিটি চেকাপ করুন
গুগল অ্যাকাউন্টের নিরাপত্তা পর্যবেক্ষণের সবচেয়ে কার্যকর উপায় হলো সিকিউরিটি ফিচার। ফিচারটি পেতে ফোনের সেটিংসে গিয়ে গুগল → ম্যানেজ ইউর গুগল অ্যাকাউন্ট → সিকিউরিটি অপশনে গিয়ে রিসেন্ট সিকিউরিটি অ্যাক্টিভিটি থেকে সাম্প্রতিক লগইনের ইতিহাস, ইউর ডিভাইসেস অপশন থেকে বর্তমানে সাইন-ইন করা সব ডিভাইস এবং থার্ড পার্টি অ্যাপস এন্ড সার্ভিসেস থেকে গুগল অ্যাকাউন্টে যুক্ত অ্যাপগুলোর তালিকা দেখা যায়। তালিকায় অপরিচিত কোনো ডিভাইস বা বহুদিন অব্যবহৃত অ্যাপ থাকলে সঙ্গে সঙ্গে তার অ্যাক্সেস বাতিল করুন।
