অ্যাসোসের নিজস্ব অ্যাপ ব্যবস্থা ব্যবহার করে প্রতিষ্ঠানটির সম্ভাব্য লাখ লাখ গ্রাহকের ফোনে পপ-আপ বিজ্ঞপ্তি পাঠিয়েছে সাইবার অপরাধীরা; মঙ্গলবার ঘটনাটি বিশ্বজুড়ে শিরোনাম হয়। বিবিসি জানতে পেরেছে, যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার প্রতিষ্ঠানটিকে সহায়তার প্রস্তাব দিয়েছে।
একই সপ্তাহে এনসিএসসি তাদের দশ বছর পূর্তি পালন করছিল। সংস্থাটিকে লেখা এক চিঠিতে রাজা তৃতীয় চার্লস লিখেছেন, “বিদ্বেষপরায়ণ ব্যক্তিরা” “স্বয়ংক্রিয় প্রযুক্তি ব্যবহার করে কৌশল বদলে” চলেছে, আর অনলাইন পরিবেশকে নিরাপদ ও সহনশীল করতে শক্তিশালী সাইবার নিরাপত্তা “মৌলিক”। সংস্থাটি গঠিত হয় ২০১৬ সালে, জিসিএইচকিউর অংশ হিসেবে।
বার্তার চেয়ে পথটি কেন বেশি গুরুত্বপূর্ণ
বেশির ভাগ প্রতারণা মানুষের কাছে পৌঁছায় ই-মেইল আর এসএমএসে, আর বেশির ভাগ মানুষ দুটিকেই অবিশ্বাস করতে শিখেছেন—অসমভাবে হলেও শিখেছেন। অচেনা নম্বর থেকে আসা খুদে বার্তার লিংক এখন অনেকেই দ্বিতীয়বার দেখেন, যাঁরা পাঁচ বছর আগে চাপ দিয়ে ফেলতেন।
পুশ বিজ্ঞপ্তি আলাদা, আর পার্থক্যটি কারিগরি নয়। পার্থক্যটি হলো, বিজ্ঞপ্তিটি আসে ব্যবহারকারী যেসব যাচাইয়ে বিশ্বাস করেন সেগুলো পেরিয়েই। এটি দেখা যায় অ্যাপের নিজের নাম ও আইকনের নিচে। এটি থাকে ফোনের লক স্ক্রিনে, পরিচিত মানুষের বার্তাগুলোর মাঝে। পরীক্ষা করার মতো কোনো প্রেরকের ঠিকানা নেই, চোখ কুঁচকে দেখার মতো কোনো ডোমেইন নেই, ফরোয়ার্ডের শৃঙ্খল নেই। সাধারণত যে জিনিসটি আশ্বস্ত করার কাজ করে—এটি আসল অ্যাপ থেকে এসেছে—এ ক্ষেত্রে সেটি সত্যি।
এ কারণেই কোনো বিক্রেতার নিজস্ব বিজ্ঞপ্তি ব্যবস্থা ব্যবহার করা নিছক আরেকটি সেঁধিয়ে যাওয়া নয়, বরং উল্লেখযোগ্য একটি উল্লম্ফন। এটি প্রতিষ্ঠানের বছরের পর বছর গড়া আস্থা ধার করে, আর ব্যবহারকারীর কাছ থেকে কেড়ে নেয় সেই সংকেতগুলো, যা দিয়ে তিনি সাধারণত যাচাই করতেন।
ক্রেতা আসলে কী করতে পারেন
প্রচলিত পরামর্শের প্রায় কোনোটিই এখানে খাটে না, আর তা পুনরাবৃত্তি না করে স্পষ্ট বলে দেওয়াই ভালো।
আপনি প্রেরক যাচাই করতে পারবেন না। লিংকের ওপর মাউস রাখতে পারবেন না। “ইউআরএল মন দিয়ে দেখুন” বলার মানে ধরে নেওয়া যে ট্যাপ করার আগেই ইউআরএল দেখা যায়—বিজ্ঞপ্তিতে সাধারণত যায় না।
যা পড়ে থাকে তা একটিই অভ্যাস, আর এই আক্রমণে কেবল সেটিই টেকে: বিজ্ঞপ্তি থেকে কখনো কাজ করবেন না—কাজ করুন নিজে খোলা অ্যাপ বা সাইট থেকে। কোনো বার্তা যদি বলে অর্ডারে সমস্যা, রিফান্ড অপেক্ষা করছে কিংবা পাসওয়ার্ড বদলাতে হবে, তবে সেটি বন্ধ করুন, হোম স্ক্রিন থেকে অ্যাপ খুলুন, আর দেখুন। আসল বার্তা সেখানে থাকবে। ভুয়াটি থাকবে না।
নিয়মটিতে চার সেকেন্ড লাগে, আর এটি গোটা শ্রেণির আক্রমণকেই হারিয়ে দেয়—যেগুলো এখনো উদ্ভাবিত হয়নি, সেগুলোসহ।
বাংলাদেশি প্রতিষ্ঠানের যে অংশটি পড়া দরকার
বাংলাদেশের প্রতিটি ব্যাংক, মোবাইল আর্থিক সেবা আর ই-কমার্স অ্যাপের পুশ বিজ্ঞপ্তির পথ আছে, আর বেশির ভাগ প্রতিষ্ঠানে সেটি চালায় নিরাপত্তা নয়, বিপণন বিভাগ।
ঝুঁকিটি সেখানেই। বিজ্ঞপ্তি কনসোলের পরিচয়-তথ্য সাধারণত ভাগাভাগি করা, কদাচিৎ বদলানো, প্রায়ই প্রচার চালানো বাইরের কোনো এজেন্সির হাতে, আর কোর ব্যাংকিং ব্যবস্থায় প্রয়োগ করা বহুস্তর যাচাইয়ের আওতায় প্রায় কখনোই নয়—কারণ কনসোলটিকে ভাবা হয় বিপণনের সরঞ্জাম হিসেবে, কয়েক লাখ লক স্ক্রিনে সরাসরি পৌঁছানোর লাইন হিসেবে নয়।
এ সপ্তাহে প্রতিষ্ঠানগুলোর তিনটি প্রশ্ন করা উচিত: সব ব্যবহারকারীকে বিজ্ঞপ্তি পাঠাতে পারেন কারা, তাঁদের কতজন প্রতিষ্ঠানের বাইরের, আর গ্রাহকেরা ফোন করা শুরুর আগে অনির্ধারিত কোনো বার্তা পাঠানো হলে কেউ কি তা খেয়াল করবেন।
বিজ্ঞপ্তিটি নিজেই তদন্তকারীদের যা বলে
এ ধরনের সেঁধিয়ে যাওয়া কতটা খারাপ, তা ঠিক করে একটিই খুঁটিনাটি—আর সেটি বার্তার ভাষা নয়।
বিজ্ঞপ্তি কনসোল একটি পাঠানোর সরঞ্জাম। সেখানে পৌঁছানো প্রমাণ করে কেউ বিপণন ব্যবস্থায় ঢুকেছে; এতেই প্রমাণ হয় না যে তারা গ্রাহকের নথিতেও পৌঁছেছে। সাধারণত ওগুলো আলাদা ব্যবস্থা, আলাদা পরিচয়-তথ্যসহ—আর যে প্রতিষ্ঠান দ্রুত তা বলতে পারে, সে আশ্বাস নয়, অর্থবহ কিছু বলছে।
কাজেই এমন যেকোনো ঘটনায় দেখার প্রশ্নটি সংকীর্ণ: হামলাকারী কি কেবল পাঠিয়েছে, নাকি পড়েছেও? কোনো প্রতিষ্ঠান সুনির্দিষ্টভাবে এর উত্তর না দেওয়া পর্যন্ত “আমরা তদন্ত করছি” কথাটি বিরক্তিকর ঝামেলা আর গুরুতর তথ্য হারানো—দুটোকেই ঢেকে রাখে, আর গ্রাহক বুঝতে পারেন না তিনি কোনটিতে আছেন।
এখানে সেঁধিয়ে যাওয়া কীভাবে মানুষের কাছে পৌঁছায়, তা নিয়ে দেখুন অ্যাকাউন্ট নিরাপত্তার তালিকা আর এজেন্টদের নথি নিয়ে তথ্য ফাঁসের দাবি।
