Cyber Fraud: ইন্টারনেটে আর্থিক প্রতারণা এবং ফিশিং থেকে সুরক্ষিত থাকার উপায়!

Cyber Fraud হলো এমন যেকোনো প্রতারণামূলক কার্যকলাপ যা ইন্টারনেট, কম্পিউটার বা ডিজিটাল ডিভাইস ব্যবহার করে সম্পাদিত হয় এবং যার মাধ্যমে আক্রমণকারী আর্থিক লাভ বা গোপনীয় তথ্য অর্জন করেন। ঐতিহ্যবাহী প্রতারণার তুলনায় সাইবার প্রতারণা অনেক বেশি স্কেলযোগ্য, ভৌগোলিকভাবে সীমাহীন এবং প্রায়শই অনুসরণ করা কঠিন। একজন আক্রমণকারী এক দেশে বসে অন্য দেশের হাজার হাজার ভিকটিমকে একই সময়ে আক্রমণ করতে পারেন।

সাইবার প্রতারণার মূল চালিকা শক্তি হলো Social Engineering। আধুনিক ক্রিপ্টোগ্রাফি এবং নিরাপত্তা প্রযুক্তি এতটাই শক্তিশালী যে সরাসরি প্রযুক্তিগত আক্রমণ অনেক ক্ষেত্রে অকার্যকর। তাই আক্রমণকারীরা সবচেয়ে দুর্বল লিঙ্ক - মানুষ - কে লক্ষ্য করেন। ভয়, লোভ, কৌতূহল, জরুরি অবস্থার অনুভূতি এবং কর্তৃত্বের প্রতি আনুগত্য - এই মানবিক আবেগগুলো ব্যবহার করে আক্রমণকারীরা ভিকটিমকে এমন কাজ করাতে বাধ্য করেন যা তিনি সাধারণত করতেন না।

সাইবার প্রতারণাকে মূলত কয়েকটি শ্রেণীতে বিভক্ত করা যায়। আর্থিক প্রতারণায় সরাসরি অর্থ চুরি জড়িত যেমন ক্রেডিট কার্ড ক্লোনিং, ব্যাংক অ্যাকাউন্ট হাইজ্যাকিং বা অনলাইন ট্রান্সফার জালিয়াতি। পরিচয় প্রতারণায় আক্রমণকারী ভিকটিমের পরিচয় ধারণ করে বিভিন্ন কাজ সম্পাদন করেন। বিনিয়োগ প্রতারণায় ভুয়া বিনিয়োগের প্রতিশ্রুতি দিয়ে অর্থ আদায় করা হয়। রোমান্স স্ক্যাম এবং ব্যবসায়িক ইমেইল কম্প্রোমাইজ এর মতো বিশেষায়িত আক্রমণও বর্তমানে ব্যাপক।

ফিশিং সাইবার প্রতারণার সবচেয়ে প্রচলিত রূপ। সাধারণ ফিশিং ইমেইলে আক্রমণকারী একটি বৈধ প্রতিষ্ঠানের ছদ্মবেশে যেমন ব্যাংক, কুরিয়ার সার্ভিস বা সরকারি সংস্থা হিসেবে ইমেইল পাঠান। ইমেইলে সাধারণত একটি জরুরি বার্তা থাকে যেমন "আপনার অ্যাকাউন্ট লক হয়ে যাবে" বা "প্যাকেজ ডেলিভারি ব্যর্থ হয়েছে" - এর সাথে একটি লিঙ্ক থাকে যা একটি জাল ওয়েবসাইটে নিয়ে যায়। ভিকটিম সেখানে লগইন তথ্য দিলে সেগুলো আক্রমণকারীর কাছে চলে যায়।

Spear Phishing হলো ফিশিংয়ের একটি লক্ষ্যভিত্তিক রূপ। সাধারণ ফিশিং যেখানে গণহারে পাঠানো হয়, সেখানে Spear Phishing-এ আক্রমণকারী একজন নির্দিষ্ট ব্যক্তি বা প্রতিষ্ঠানের জন্য কাস্টমাইজড ইমেইল তৈরি করেন। তারা সোশ্যাল মিডিয়া থেকে তথ্য সংগ্রহ করেন এবং ভিকটিমের নাম, পদবী, সহকর্মী এবং সাম্প্রতিক কার্যকলাপ উল্লেখ করে অত্যন্ত বিশ্বাসযোগ্য বার্তা তৈরি করেন।

Whaling হলো উচ্চপদস্থ কর্মকর্তাদের লক্ষ্য করে পরিচালিত একটি বিশেষ ধরনের Spear Phishing। CEO, CFO বা অন্যান্য নির্বাহীদের ইমপারসোনেট করে আর্থিক বিভাগের কর্মচারীদের কাছে জরুরি ট্রান্সফার অনুরোধ পাঠানো হয়। ২০১৬ সালে FACC AG নামক অস্ট্রিয়ান কোম্পানি এই ধরনের আক্রমণে ৪৭ মিলিয়ন ইউরো হারিয়েছিল।

Smishing এবং Vishing হলো ফিশিংয়ের দুটি অন্য রূপ যেখানে যথাক্রমে SMS এবং ভয়েস কল ব্যবহার করা হয়। বিশেষত মোবাইল ফোন ব্যবহারকারী ভিকটিমদের জন্য Smishing অত্যন্ত কার্যকর কারণ মোবাইল স্ক্রিনে URL সংক্ষিপ্ত করে দেখানো হয় এবং পুরোপুরি যাচাই করা কঠিন। Vishing-এ আক্রমণকারীরা ব্যাংকের কাস্টমার সাপোর্টের ছদ্মবেশে ফোন করে OTP চান।

আধুনিক ফিশিং অভিযানে AI ব্যবহারের প্রবণতা বাড়ছে। ChatGPT-এর মতো লার্জ ল্যাঙ্গুয়েজ মডেল ব্যবহার করে আক্রমণকারীরা ব্যাকরণগতভাবে নিখুঁত এবং সাংস্কৃতিকভাবে প্রাসঙ্গিক ফিশিং বার্তা তৈরি করতে পারেন। Deepfake প্রযুক্তি ব্যবহার করে ভয়েস ক্লোনিং বা ভিডিও ম্যানিপুলেশনের মাধ্যমে CEO-র কণ্ঠস্বর নকল করে অর্থ ট্রান্সফারের অনুরোধ পাঠানো এখন বাস্তব হুমকি।

Business Email Compromise বা BEC হলো বর্তমানের সবচেয়ে ব্যয়বহুল সাইবার প্রতারণার একটি। FBI অনুযায়ী, BEC বিশ্বব্যাপী $৫০ বিলিয়ন ডলারেরও বেশি ক্ষতির কারণ। এই আক্রমণে অপরাধী সাধারণত একটি কর্পোরেট ইমেইল অ্যাকাউন্ট কম্প্রোমাইজ করেন বা একটি অনুরূপ-দেখানো ডোমেইন ব্যবহার করেন এবং অর্থ ট্রান্সফারের নির্দেশনা পাঠান।

BEC-এর সবচেয়ে সাধারণ পরিস্থিতি হলো Vendor Email Compromise। আক্রমণকারীরা একটি ভেন্ডর কোম্পানির ইমেইল অ্যাকাউন্ট কম্প্রোমাইজ করে গ্রাহকদের কাছে আপডেট করা পেমেন্ট নির্দেশনা পাঠান। গ্রাহক বিশ্বাস করে নতুন ব্যাংক অ্যাকাউন্টে অর্থ পাঠান যা প্রকৃতপক্ষে আক্রমণকারীর নিয়ন্ত্রিত।

CEO Fraud আরেকটি জনপ্রিয় রূপ। আক্রমণকারীরা CEO বা উচ্চপদস্থ কর্মকর্তার ইমপারসোনেট করে CFO বা অর্থ বিভাগের কর্মচারীর কাছে গোপন ট্রান্সফার রিকোয়েস্ট পাঠান। প্রায়শই এই বার্তায় বলা হয় যে এটি একটি গোপন অধিগ্রহণ এবং কাউকে জানানো যাবে না। জরুরিতার অনুভূতি এবং কর্তৃত্বের প্রতি আনুগত্য ব্যবহার করে দ্রুত সিদ্ধান্ত নিতে চাপ দেওয়া হয়।

Payroll Diversion হলো একটি নতুন প্রবণতা যেখানে আক্রমণকারীরা HR বিভাগকে ইমপারসোনেট করে কর্মচারীদের বেতন অন্য অ্যাকাউন্টে পাঠানোর নির্দেশনা দেন বা সরাসরি কর্মচারীর কাছ থেকে ব্যাংক তথ্য পরিবর্তনের অনুরোধ পান।

ক্রিপ্টোকারেন্সির জনপ্রিয়তার সাথে সাথে বিনিয়োগ প্রতারণা মহামারীর আকার ধারণ করেছে। Pig Butchering বা Sha Zhu Pan হলো একটি বিশেষভাবে নৃশংস কৌশল যেখানে আক্রমণকারীরা প্রথমে ভিকটিমের সাথে রোমান্টিক বা বন্ধুত্বপূর্ণ সম্পর্ক গড়ে তোলেন, তারপর তাকে একটি ভুয়া ক্রিপ্টোকারেন্সি ট্রেডিং প্ল্যাটফর্মে বিনিয়োগ করতে রাজি করান। প্রাথমিকভাবে ছোট লাভ দেখিয়ে বিশ্বাস অর্জন করা হয়, তারপর বড় বিনিয়োগের পর সবকিছু হারিয়ে যায়।

Rug Pull এবং Exit Scam হলো ক্রিপ্টোকারেন্সি জগতের বিশেষ ধরনের প্রতারণা যেখানে প্রকল্পের নির্মাতারা সমস্ত বিনিয়োগ নিয়ে অদৃশ্য হয়ে যান। ICO বা Initial Coin Offering-এর জোয়ারের সময় হাজার হাজার এই ধরনের প্রতারণার ঘটনা ঘটেছিল। NFT এবং DeFi প্রোটোকলেও একই ধরনের প্রতারণা চলছে।

Ponzi এবং Pyramid Scheme অনলাইনে নতুন রূপ পেয়েছে। আকর্ষণীয় ROI প্রতিশ্রুতি দিয়ে নতুন বিনিয়োগকারীদের অর্থ পুরনোদের লভ্যাংশ হিসেবে দেওয়া হয়। বাংলাদেশে ই-কমার্স প্ল্যাটফর্ম, ক্রিপ্টো প্রজেক্ট এবং MLM-এর ছদ্মবেশে এই ধরনের প্রতারণা ঘটেছে যেখানে হাজার হাজার মানুষ তাদের সঞ্চয় হারিয়েছেন।

সাইবার প্রতারণা শনাক্তকরণের জন্য বেশ কিছু সংকেত রয়েছে যেগুলো সম্পর্কে সচেতন থাকা প্রয়োজন। অপ্রত্যাশিত ইমেইল বা বার্তা যা জরুরি কাজের অনুরোধ করে - বিশেষত যেগুলো সরাসরি যাচাই করা যায় না - তা সর্বদা সন্দেহজনক। বৈধ প্রতিষ্ঠান কখনো ইমেইলে পাসওয়ার্ড, OTP বা সম্পূর্ণ ক্রেডিট কার্ড নম্বর চায় না।

URL-এর সূক্ষ্ম পার্থক্য একটি গুরুত্বপূর্ণ সংকেত। আক্রমণকারীরা প্রায়শই ০ এবং o, ১ এবং l, rn এবং m-এর মতো অক্ষর প্রতিস্থাপন করে অনুরূপ-দেখানো ডোমেইন তৈরি করেন। যেমন bank-bd.com-এর পরিবর্তে bank-bd.co বা bankbd.com। সর্বদা সম্পূর্ণ URL মনোযোগ দিয়ে পরীক্ষা করুন।

ইমেইল হেডার বিশ্লেষণ করেও প্রতারণা শনাক্ত করা যায়। SPF, DKIM এবং DMARC যাচাইকরণ ব্যর্থ হওয়া একটি স্পষ্ট সংকেত। আধুনিক ইমেইল ক্লায়েন্ট প্রায়শই এই বিষয়ে সতর্কতা প্রদর্শন করে। Reply-To এবং From হেডারের পার্থক্যও সন্দেহজনক।

প্রতিষ্ঠান পর্যায়ে Threat Intelligence ব্যবহার করুন। সাম্প্রতিক ফিশিং প্রচারণা এবং কৌশল সম্পর্কে জানতে CISA, MITRE ATT&CK এবং বিভিন্ন threat intelligence ফিড অনুসরণ করুন। বাংলাদেশে BGD e-GOV CIRT সাইবার নিরাপত্তা সংক্রান্ত পরামর্শ প্রদান করে।

ব্যক্তিগত পর্যায়ে সুরক্ষার জন্য প্রথম এবং সবচেয়ে গুরুত্বপূর্ণ পদক্ষেপ হলো Multi-Factor Authentication বা MFA সক্রিয় করা। শুধু SMS-ভিত্তিক MFA নয়, বরং Authenticator App বা Hardware Token ব্যবহার করুন। SMS SIM Swap আক্রমণের মাধ্যমে বাইপাস করা যায়।

দ্বিতীয়ত, প্রতিটি অ্যাকাউন্টে আলাদা এবং শক্তিশালী পাসওয়ার্ড ব্যবহার করুন। Password Manager যেমন Bitwarden, 1Password বা KeePass ব্যবহার করুন। তৃতীয়ত, কোনো লিঙ্কে ক্লিক করার আগে সর্বদা URL পরীক্ষা করুন। সন্দেহ হলে সরাসরি ব্রাউজারে অফিসিয়াল ওয়েবসাইটের ঠিকানা টাইপ করুন।

চতুর্থত, অপরিচিত ইমেইল থেকে আসা সংযুক্তি কখনই খুলবেন না। বিশেষত .exe, .scr, .js, .vbs ফাইল এবং ম্যাক্রো-সমর্থিত অফিস ডকুমেন্ট অত্যন্ত বিপজ্জনক। পঞ্চমত, ব্যাংকিং এবং সংবেদনশীল লেনদেনের জন্য পাবলিক Wi-Fi ব্যবহার করবেন না। প্রয়োজন হলে VPN ব্যবহার করুন।

প্রতিষ্ঠান পর্যায়ে আরো উন্নত প্রতিরক্ষা প্রয়োজন। প্রথমত, ইমেইল গেটওয়ে নিরাপত্তা সমাধান বাস্তবায়ন করুন যা ফিশিং ইমেইল ফিল্টার করে। Microsoft Defender for Office 365, Proofpoint, Mimecast - এ ধরনের সমাধান কার্যকর। দ্বিতীয়ত, কর্মচারীদের নিয়মিত সিকিউরিটি ট্রেনিং প্রদান করুন এবং সিমুলেটেড ফিশিং পরীক্ষা চালান।

তৃতীয়ত, কঠোর আর্থিক নিয়ন্ত্রণ স্থাপন করুন। বড় অর্থ লেনদেনের জন্য একাধিক অনুমোদন এবং কণ্ঠস্বর যাচাই বাধ্যতামূলক করুন। ভেন্ডর পেমেন্ট তথ্য পরিবর্তনের ক্ষেত্রে সরাসরি ফোন কলের মাধ্যমে যাচাই করুন। চতুর্থত, DMARC, SPF এবং DKIM সঠিকভাবে কনফিগার করে আপনার ডোমেইনের ইমপারসোনেশন প্রতিরোধ করুন।

পঞ্চমত, একটি দ্রুত প্রতিক্রিয়া পরিকল্পনা তৈরি করুন। যদি প্রতারণা সংঘটিত হয়, কী করতে হবে তা পূর্বনির্ধারিত থাকা উচিত। ব্যাংককে অবহিত করা, পুলিশে অভিযোগ দায়ের করা এবং অন্যান্য কর্মচারীদের সতর্ক করা - এই সব পদক্ষেপ মিনিটের মধ্যে নিতে হবে।

বাংলাদেশের প্রসঙ্গে CID-এর সাইবার পুলিশ সেন্টার এবং BGD e-GOV CIRT-এর সাথে যোগাযোগ করুন। ৯৯৯-এ কল করেও সাইবার অপরাধের অভিযোগ করা যায়। দ্রুত পদক্ষেপ নিলে অনেক ক্ষেত্রে চুরি যাওয়া অর্থ পুনরুদ্ধার সম্ভব হয়।