কিউআর কোড ফিশিং ইমেইল আপনাকে একটি কোড স্ক্যান করতে বলে, সাধারণত অ্যাকাউন্ট "পুনরায় যাচাই" করতে, কোনো ডকুমেন্ট সই করতে বা পাসওয়ার্ড রিসেট করতে। হ্যাকাররা কিউআর কোড ব্যবহার করে কারণ ছবির ভেতরের লিংক পড়তে ইমেইল ফিল্টার হিমশিম খেতে পারে, আর স্ক্যান করলে আপনি ফোনে চলে যান, যেখানে ভুয়া লগইন পেজ চেনা কঠিন।
ইমেইল যতদিন আছে, ফিশিংও ততদিন। কিন্তু কিউআর কোডের এই রূপটি, যাকে প্রায়ই কুইশিং বলা হয়, তুলনামূলক নতুন কৌশল। মাউস রেখে দেখা যায় এমন নীল লিংকের বদলে থাকে একটি চৌকো ছবি। এই গাইডে জানবেন হ্যাকাররা কেন এই পদ্ধতি পছন্দ করে, এমন ইমেইল সাধারণত দেখতে কেমন, আর কর্মী ও প্রতিষ্ঠান দুই পক্ষই কীভাবে নিজেদের রক্ষা করতে পারে।
হ্যাকাররা কেন ইমেইলে কিউআর কোড দেয়
অপরাধীর দৃষ্টিতে, একটি কিউআর কোড একসঙ্গে কয়েকটি সমস্যার সমাধান করে।
- এটি লিংক লুকিয়ে রাখে। মানুষ কিউআর কোড পড়তে পারে না, তাই এক নজরে সন্দেহজনক ওয়েব ঠিকানা ধরতে পারে না।
- এটি ফিল্টার এড়িয়ে যেতে পারে। অনেক ইমেইল নিরাপত্তা টুল লেখা লিংককে পরিচিত ক্ষতিকর সাইটের তালিকার সঙ্গে মেলায়। ছবির ভেতরের লিংক পরীক্ষা করা কঠিন, যদিও আধুনিক টুলগুলো ক্রমশ ছবিও স্ক্যান করছে।
- এটি আপনাকে অন্য ডিভাইসে নিয়ে যায়। আপনি অফিসের নিরাপত্তা-সুরক্ষিত ল্যাপটপে ইমেইল পড়েন, কিন্তু স্ক্যান করেন নিজের ফোনে, যেখানে সুরক্ষা হয়তো কম।
- ছোট স্ক্রিনে খুঁটিনাটি লুকিয়ে থাকে। ফোনে অ্যাড্রেস বার ছোট, আর ভুয়া লগইন পেজ দেখতে আসলের মতোই লাগে।
- এটি আধুনিক ও অফিসিয়াল মনে হয়। ব্যাংক, এয়ারলাইন আর নিয়োগকর্তারা কিউআর কোড ব্যবহার করে, তাই ইমেইলে কোড থাকলেই সন্দেহ জাগে না।
কিউআর ফিশিং ইমেইল দেখতে কেমন
এসব ইমেইল নানা রকম হয়, তবে সাধারণত পরিচিত কিছু ধাঁচ মেনে চলে। প্রচলিত বিষয়বস্তু:
- "আপনার পাসওয়ার্ডের মেয়াদ আজ শেষ। বর্তমান পাসওয়ার্ড রাখতে স্ক্যান করুন।"
- "মাল্টি-ফ্যাক্টর অথেন্টিকেশন আবার চালু করতে হবে। ফোন দিয়ে স্ক্যান করুন।"
- "আপনার জন্য একটি শেয়ার করা ডকুমেন্ট অপেক্ষা করছে। দেখতে স্ক্যান করুন।"
- "আপনার বেতন বা বোনাসের তথ্য আপডেট হয়েছে।"
- "একটি পার্সেল বা ইনভয়েসের জন্য আপনার নিশ্চিতকরণ প্রয়োজন।"
সাধারণ সতর্কসংকেত:
- তাড়াহুড়ো: অল্প সময়ের ডেডলাইন বা অ্যাকাউন্ট লক হওয়ার হুমকি।
- অদ্ভুত প্রেরক: নামে লেখা "IT Support" বা কোনো নামকরা ব্র্যান্ড, কিন্তু ইমেইল ঠিকানা মেলে না।
- লেখা কম, কোড বড়: মেসেজের বেশিরভাগই একটি কিউআর কোডসহ ছবি আর একটি ছোট নির্দেশনা।
- আপনার নামের বদলে সাধারণ সম্বোধন।
- স্ক্যানের পর লগইন পেজ: কোডটি এমন পেজে নিয়ে যায় যা আপনার অফিসের ইমেইল ও পাসওয়ার্ড, বা একটি OTP চায়।
শেষ পয়েন্টটিই সবচেয়ে গুরুত্বপূর্ণ। আসল আইটি বিভাগ খুব কমই ইমেইলে পাঠানো কিউআর কোড দিয়ে আপনাকে সাইন ইন করতে বলে।
এমন ইমেইল পেলে কী করবেন
আপনি যদি কর্মী হন আর সন্দেহজনক কিউআর কোডের ইমেইল আসে:
- ফোন দিয়ে স্ক্যান করবেন না।
- আসল কি না জিজ্ঞেস করতে সহকর্মীদের ফরওয়ার্ড করবেন না, কারণ কেউ স্ক্যান করে ফেলতে পারেন।
- প্রতিষ্ঠানের ফিশিং রিপোর্ট বাটন ব্যবহার করে বা পরিচিত মাধ্যমে আইটির সঙ্গে যোগাযোগ করে রিপোর্ট করুন।
- অ্যাকাউন্ট নিজে যাচাই করুন। ইমেইলে পাসওয়ার্ড বা ডকুমেন্টের কথা থাকলে সার্ভিসটির স্বাভাবিক ঠিকানা বা অ্যাপ দিয়ে সরাসরি যান।
- প্রতিষ্ঠানের নিয়ম অনুযায়ী রিপোর্ট করার পর মুছে ফেলুন।
যদি ইতিমধ্যে কোড স্ক্যান করে তথ্য দিয়ে ফেলেন, দ্রুত পদক্ষেপ নিন। পাসওয়ার্ড বদলান, সঙ্গে সঙ্গে আইটিকে জানান, আর আমাদের ক্ষতিকর কিউআর কোড স্ক্যান করে ফেললে কী করবেন সেই গাইডের ধাপগুলো অনুসরণ করুন।
অফিসের বাইরেও একই অভ্যাস কাজে লাগে। না খুলেই কোনো কোড কোথায় নিয়ে যায় জানতে চাইলে, আগে গন্তব্য দেখায় এমন স্ক্যানার, যেমন QR-TH-এর অনলাইন কিউআর স্ক্যানার, ক্লিকের আগে দেখে নেওয়ার সুযোগ দেয়।
প্রতিষ্ঠান কীভাবে কর্মীদের রক্ষা করে
কোনো একক টুল সব কিউআর ফিশিং ঠেকাতে পারে না। ভালো সুরক্ষা আসে প্রযুক্তি, প্রক্রিয়া আর মানুষের সমন্বয়ে।
ইমেইল ও নিরাপত্তা টুল
- এমন ইমেইল নিরাপত্তা ব্যবহার করুন যা ছবি ও অ্যাটাচমেন্টে কিউআর কোড শনাক্ত করে ভেতরের লিংক যাচাই করতে পারে
- অফিসের ডিভাইসে, আর প্রযোজ্য হলে ম্যানেজড ফোনে, লিংক চেকিং ও সেফ-ব্রাউজিং সুরক্ষা চালু রাখুন
- প্রতিষ্ঠানের বাইরে থেকে আসা ইমেইল স্পষ্টভাবে চিহ্নিত করুন, বিশেষ করে যেগুলো ভেতরের মতো শোনায় এমন নাম ব্যবহার করে
শক্তিশালী সাইন-ইন সুরক্ষা
- সব কর্মীর অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন বাধ্যতামূলক করুন
- সম্ভব হলে ফিশিং-প্রতিরোধী পদ্ধতি, যেমন পাসকি বা সিকিউরিটি কি, বেছে নিন, কারণ ভুয়া পেজে ধোঁকা দিয়ে মানুষের কাছ থেকে OTP-ও আদায় করা যায়
- টেক্সট মেসেজের চেয়ে অথেন্টিকেটর অ্যাপে উৎসাহ দিন। আমাদের টু-ফ্যাক্টর অথেন্টিকেশন গাইডে বিকল্পগুলো ব্যাখ্যা করা আছে।
- অস্বাভাবিক সাইন-ইন নজরে রাখুন, যেমন নতুন দেশ বা ডিভাইস থেকে লগইন
স্পষ্ট প্রক্রিয়া
- সবাইকে জানিয়ে দিন যে আইটি কখনো ইমেইলের কিউআর কোড দিয়ে সাইন ইন করতে বলবে না
- সন্দেহজনক মেসেজ রিপোর্টের একটি সহজ উপায় রাখুন, আর যারা রিপোর্ট করেন তাদের ধন্যবাদ দিন
- কেউ ভুল করে ফেলার কথা জানালে দ্রুত পাসওয়ার্ড রিসেট ও সেশন বন্ধ করার পরিকল্পনা রাখুন
যে প্রশিক্ষণ মনে থাকে
- প্রশিক্ষণে বাস্তবের মতো দেখতে কিউআর ফিশিং ইমেইলের উদাহরণ দেখান
- একটি সহজ প্রশ্ন শেখান: "এর জন্য কিউআর কোড লাগবে কেন?"
- কিউআর কোডসহ ফিশিং সিমুলেশন চালান, তারপর দোষারোপ না করে বন্ধুত্বপূর্ণ ফিডব্যাক দিন
যে কর্মীরা ভুল জানাতে নিরাপদ বোধ করেন, তারা দ্রুত জানান, ফলে ক্ষতি সীমিত থাকে।
ইমেইলে বৈধ কিউআর কোড
ইমেইলে থাকা সব কিউআর কোডই ক্ষতিকর নয়। ইভেন্টের টিকিট, বোর্ডিং পাস আর কিছু লগইন পেয়ারিং বৈধভাবেই এগুলো ব্যবহার করে। পার্থক্য সাধারণত প্রেক্ষাপটে: আপনি ইমেইলটির অপেক্ষায় ছিলেন, এটি আপনার করা কোনো কাজের সঙ্গে সম্পর্কিত, আর কোডটি আপনি দেখান বা পরিচিত অ্যাপে ব্যবহার করেন, অচেনা পেজে পাসওয়ার্ড টাইপ করার কারণ নয়।
আসল কিউআর কোড পাঠানো ব্যবসাগুলো সাহায্য করতে পারে কোডটি কী করে তা ব্যাখ্যা করে, বিকল্প হিসেবে পাশে একটি চেনা লিংক রেখে, আর বিশ্বস্ত ডোমেইন ব্যবহার করে।
FAQ
ফিশিং ইমেইল লিংকের বদলে কিউআর কোড ব্যবহার করে কেন?
কারণ লিংকটি মানুষ ও কিছু ফিল্টার দুইয়ের কাছ থেকেই লুকানো থাকে, আর স্ক্যান করলে শিকার ফোনে চলে যান, যেখানে নিরাপত্তা নিয়ন্ত্রণ ও চোখে পড়ার মতো সংকেত প্রায়ই দুর্বল।
আমার ইমেইল প্রোভাইডার কি কিউআর কোড ফিশিং ব্লক করতে পারে?
অনেক ইমেইল নিরাপত্তা সার্ভিস এখন ছবিতে কিউআর কোড খুঁজে লিংক যাচাই করে, কিন্তু কোনোটিই সব ধরতে পারে না। আপনার নিজের সতর্কতা এখনো সুরক্ষার একটি গুরুত্বপূর্ণ স্তর।
ব্যাংকের ইমেইলে আসা কিউআর কোড স্ক্যান করা কি নিরাপদ?
সতর্ক থাকুন। ব্যাংক খুব কমই ইমেইলের কিউআর কোড দিয়ে সাইন ইন করতে বলে। তার বদলে ব্যাংকের অফিসিয়াল অ্যাপ খুলুন বা ঠিকানা নিজে টাইপ করুন।
স্ক্যানের পর অফিসের পাসওয়ার্ড দিয়ে ফেললে কী করব?
সঙ্গে সঙ্গে পাসওয়ার্ড বদলান, আইটি বা নিরাপত্তা টিমকে জানান, আর তাদের সন্দেহজনক সাইন-ইন যাচাই করতে দিন। দ্রুততা সত্যিই পার্থক্য গড়ে দেয়।
খোলার আগে দেখে নিন
কিউআর ফিশিং কাজ করে যখন মানুষ না ভেবে স্ক্যান করে। যাচাই করাকে অভ্যাসে পরিণত করুন: অপ্রত্যাশিত কোড এলে কিছু খোলার আগে QR-TH-এর অনলাইনে কিউআর কোড স্ক্যান টুল দিয়ে দেখে নিন এটি কোথায় যায়।