ঘুম থেকে উঠে ফেসবুক খুলতেই দেখলেন পাসওয়ার্ড কাজ করছে না। ভাবলেন হয়তো টাইপিংয়ে ভুল হয়েছে, তাই পাসওয়ার্ড রিসেট অপশনে গেলেন। কিন্তু সেখানে গিয়ে দেখলেন আরও বড় ধাক্কা, আপনার অ্যাকাউন্টের সাথে যুক্ত থাকা ইমেইল ও মোবাইল নম্বরটি ইতিমধ্যে পরিবর্তন করে অন্য কারও ঠিকানা বসিয়ে দেওয়া হয়েছে। আপনার ফোনটি আপনার হাতেই ছিল, কাউকে কোনো ওটিপি (OTP) বা পাসওয়ার্ড দেননি, তবু কীভাবে আপনার সম্পূর্ণ অ্যাকাউন্টের নিয়ন্ত্রণ অন্য কারও হাতে চলে গেল? সাইবার অপরাধীদের এই অদৃশ্য হামলার পেছনে রয়েছে বিচিত্র মনস্তাত্ত্বিক ফাঁদ ও প্রযুক্তিগত দুর্বলতার জটিল সংমিশ্রণ।[১]
সাধারণ মানুষের চোখে হ্যাকিং বললেই ভেসে ওঠে একটি অন্ধকার ঘরে হুডি পরা কোনো ব্যক্তি, যার সামনে সবুজ রঙের দুর্বোধ্য কোড স্ক্রল করছে আর সে চোখের পলকে কিবোর্ডে ঝড় তুলে যে কারও অ্যাকাউন্টে ঢুকে পড়ছে। হলিউডি সিনেমার এই রোমাঞ্চকর দৃশ্য বাস্তবতার ধারেকাছেও নেই। বাস্তবে হ্যাকিং কোনো জাদু নয়; কখনো এটি সিস্টেমের নিরাপত্তা ত্রুটিকে কাজে লাগায়, কখনো ডেটাবেজ ফাঁসের তথ্য ব্যবহার করে, আবার বেশিরভাগ ক্ষেত্রে মানুষের সহজাত বিশ্বাস ও ভয়কে পুঁজি করে ব্যবহারকারীকে দিয়েই অ্যাকাউন্টের চাবি হ্যাকারের হাতে তুলে দিতে বাধ্য করে।
হ্যাকিংয়ের আসল রূপ: সিনেমার কাল্পনিক দৃশ্য বনাম বাস্তবতা
আধুনিক সাইবার সিকিউরিটিতে কোনো ব্যক্তিগত অ্যাকাউন্টে সরাসরি সাইবার অ্যাটাক চালিয়ে ফেসবুক বা গুগলের মূল সার্ভার ভেঙে ফেলা প্রায় অসম্ভব। বিশ্বের শীর্ষ টেক জায়ান্টগুলো তাদের সার্ভার সুরক্ষায় শত শত কোটি ডলার ব্যয় করে এবং বহুস্তরীয় ক্রিপ্টোগ্রাফিক এনক্রিপশন ব্যবহার করে। ফলে অপরাধীরা সার্ভারের পেছনে না ছুটে ব্যবহারকারীর নিজস্ব ডিভাইসের অসাবধানতা এবং মানসিক দুর্বলতার দিকে নজর দেয়।
সাইবার অপরাধীরা সবসময় কম বাধার পথ খোঁজে। একটি অ্যাকাউন্টের পাসওয়ার্ড ক্র্যাক করতে সুপারকম্পিউটারের বছরের পর বছর সময় লাগতে পারে, কিন্তু ব্যবহারকারীকে একটি জরুরি ভুয়া সতর্কবার্তা পাঠিয়ে নিজেই তার পাসওয়ার্ড টাইপ করিয়ে নিতে সময় লাগে মাত্র কয়েক সেকেন্ড। তাই আধুনিক হ্যাকিং কেবল প্রযুক্তিগত দক্ষতার খেলা নয়, এটি মূলত মানুষের মনোজগৎকে প্রভাবিত করার এক বিপজ্জনক মনস্তাত্ত্বিক কৌশল।[২]
এমআইটি থেকে মরিস ওয়ার্ম: হ্যাকিংয়ের আদি ইতিহাস
হ্যাকিংয়ের সূচনা ফেসবুক, গুগল বা ইন্টারনেটের হাত ধরে হয়নি। এর শেকড় প্রোথিত রয়েছে ১৯৬০-এর দশকে আমেরিকার ম্যাসাচুসেটস ইনস্টিটিউট অব টেকনোলজির (MIT) ল্যাবরেটরিতে। সেই সময় প্রযুক্তিপ্রেমী কিছু মেধাবী তরুণ কম্পিউটারের প্রচলিত গণ্ডির বাইরে গিয়ে যন্ত্র কীভাবে কাজ করে, তা নিয়ে নানা গবেষণামূলক পরীক্ষা চালাতেন। প্রাতিষ্ঠানিক সীমানা ছাড়িয়ে কোনো জটিল যন্ত্রের গভীরে প্রবেশের এই অদম্য কৌতূহল থেকেই জন্ম নেয় আদি 'হ্যাকার কালচার'।
১৯৭০-এর দশকে টেলিফোন নেটওয়ার্কের এনালগ সুইচিং টোন নকল করে বিনা পয়সায় দূরদূরান্তে ফোন করার কৌশল উদ্ভাবন করেন কিছু তরুণ, যা প্রযুক্তি ইতিহাসে 'ফোন ফ্রিকিং' (Phone Phreaking) নামে পরিচিত। তবে ইতিহাসের সবচেয়ে যুগান্তকারী মোড় আসে ১৯৮৮ সালে, যখন রবার্ট ট্যাপান মরিস নামের এক গবেষক একটি স্বয়ংক্রিয় প্রোগ্রাম তৈরি করেন। ইন্টারনেটের প্রাথমিক নেটওয়ার্কে সেই 'মরিস ওয়ার্ম' নিজে থেকেই এক কম্পিউটার থেকে অন্য কম্পিউটারে দ্রুতগতিতে ছড়িয়ে পড়তে শুরু করে। তখনকার মোট ৬০ হাজার হোস্ট কম্পিউটারের প্রায় ৬ হাজার কম্পিউটার এই ওয়ার্মের কারণে অচল হয়ে পড়েছিল। মরিস ওয়ার্ম প্রথমবারের মতো বিশ্বকে সতর্ক করে দেয় যে নেটওয়ার্কযুক্ত ডিভাইসের নিরাপত্তা ত্রুটি একটি বৈশ্বিক বিপর্যয় ডেকে আনতে পারে।[৩]
ফিশিং ও সোশ্যাল ইঞ্জিনিয়ারিং: মানুষকে বোকা বানানোর ফাঁদ
বর্তমান সাইবার অপরাধের এক নম্বর অস্ত্র হলো 'ফিশিং' (Phishing)। আপনার কাছে ফেসবুক বা গুগলের নাম ও লোগো ব্যবহার করে একটি জরুরি ইমেইল আসতে পারে, যেখানে লেখা থাকবে আপনার অ্যাকাউন্টে সন্দেহজনক কার্যক্রম শনাক্ত হয়েছে এবং আগামী ২৪ ঘণ্টার মধ্যে ভেরিফাই না করলে অ্যাকাউন্টটি স্থায়ীভাবে বন্ধ করে দেওয়া হবে।
ভয় পেয়ে সেই লিংকে ক্লিক করলেই হুবহু আসল ফেসবুকের মতো দেখতে একটি নকল লগইন পেজ খুলে যায়। সেখানে নিজের ইউজারনেম ও পাসওয়ার্ড দিয়ে লগইন করার চেষ্টা করামাত্র সেই স্পর্শকাতর তথ্যগুলো সোজা হ্যাকারের ডাটাবেজে জমা হয়ে যায়। হ্যাকার এখানে কোনো এনক্রিপশন ভাঙেনি; বরং সামাজিক প্রকৌশল বা সোশ্যাল ইঞ্জিনিয়ারিং ব্যবহার করে মানুষের আতঙ্ক ও বিশ্বাসকে পুঁজি করে তথ্য হাতিয়ে নিয়েছে। তবে শুধু একটি লিংকে ক্লিক করলেই স্বয়ংক্রিয়ভাবে ফোন হ্যাক হয়ে যায় না, ঝুঁকি নির্ভর করে আপনি লিংকে ঢুকে কী তথ্য ইনপুট দিচ্ছেন এবং ডিভাইসে কোনো ক্ষতিকর ফাইল নামছে কি না তার ওপর।
ক্রেডেনশিয়াল স্টাফিং ও পাসওয়ার্ড পুনঃব্যবহারের বিপদ
অনেকেই আছেন যারা ফেসবুক, জিমেইল, অনলাইন শপিং সাইট এবং বিভিন্ন সাধারণ ফোরামে একই পাসওয়ার্ড ব্যবহার করেন। ধরুন, আপনি পাঁচ বছর আগে একটি সাধারণ অনলাইন ই-কমার্স ওয়েবসাইটে অ্যাকাউন্ট খুলেছিলেন। কয়েক বছর পর সেই দুর্বল সাইটটিতে সাইবার হামলা হলো এবং লাখ লাখ গ্রাহকের ইমেইল ও পাসওয়ার্ড ডার্ক ওয়েবে ফাঁস হয়ে গেল।
অপরাধীরা তখন স্বয়ংক্রিয় বটের মাধ্যমে সেই ফাঁস হওয়া ইমেইল ও পাসওয়ার্ডের তালিকা দিয়ে ফেসবুক, জিমেইল, নেটফ্লিক্স কিংবা ব্যাংকিং পোর্টালে একের পর এক লগইন ট্রায়াল চালাতে থাকে। এই কৌশলটিকে বলা হয় 'ক্রেডেনশিয়াল স্টাফিং' (Credential Stuffing)। অর্থাৎ মূল অ্যাকাউন্টের কোনো ত্রুটি না থাকা সত্ত্বেও অন্য একটি অনিরাপদ ওয়েবসাইটের ডেটা ফাঁসের কারণে আপনার মূল অ্যাকাউন্টটি বেদখল হয়ে যায়।[৪]
ইনফো-স্টিলার ও ব্রাউজার সেশন হাইজ্যাকিং কৌশল
পাসওয়ার্ড ছাড়াও আপনার অ্যাকাউন্টের নিয়ন্ত্রণ চলে যেতে পারে ব্রাউজার সেশন চুরির মাধ্যমে। বারবার পাসওয়ার্ড টাইপ করার ঝামেলা এড়াতে গুগল ক্রোম বা ফায়ারফক্স ব্রাউজারে একবার লগইন করলে সেশন কুকিজ (Session Cookies) সংরক্ষিত থাকে। আধুনিক সাইবার অপরাধীরা বিভিন্ন ম্যালওয়্যারের মাধ্যমে এই ব্রাউজার কুকি চুরি করে থাকে, যাকে 'ইনফো-স্টিলার' (Infostealer) বলা হয়।
কোনোভাবে ডিভাইসে এই ক্ষতিকর ট্রোজান প্রবেশ করলে তা ব্রাউজারের অটো-সেভ পাসওয়ার্ড ও সক্রিয় সেশন টোকেন ক্লোন করে হ্যাকারের সার্ভারে পাঠিয়ে দেয়। এর ফলে হ্যাকার আপনার পাসওয়ার্ড কিংবা টু-ফ্যাক্টর ওটিপি ছাড়াই অন্য কম্পিউটার থেকে সরাসরি ব্রাউজারে আপনার অ্যাকাউন্টে প্রবেশ করতে সক্ষম হয়।
ক্র্যাক সফটওয়্যার ও পাইরেটেড এপিকে (APK)-র গোপন ঝুঁকি
দামি প্রিমিয়াম সফটওয়্যার ফ্রিতে ব্যবহার করার লোভই সাধারণ ব্যবহারকারীদের সবচেয়ে বড় ফাঁদে ফেলে। গুগল সার্চ করে নামানো বিভিন্ন ফটোশপ ক্র্যাক, আইডিএম প্যাচ কিংবা গেমসের মোড ফাইলের ভেতরে প্রায়শই গোপনে রিমোট অ্যাক্সেস ট্রোজান (RAT) লুকিয়ে রাখা হয়। সফটওয়্যারটি কম্পিউটারে ঠিকঠাক ইনস্টল হলেও ব্যাকগ্রাউন্ডে নীরবে চালু হয়ে যায় হ্যাকারের ক্ষতিকর কোড।
অ্যান্ড্রয়েড স্মার্টফোনে গুগল প্লে-স্টোরের বাইরে থেকে অপরিচিত এপিকে ফাইল ইনস্টল করার ক্ষেত্রেও একই ঝুঁকি বিদ্যমান। অনেক ভুয়া অ্যাপ ফোনের অ্যাক্সেসিবিলিটি সার্ভিস এবং এসএমএস রিড করার পারমিশন চেয়ে নেয়। এই অনুমতি পাওয়ার পর ব্যাংকের ওটিপি থেকে শুরু করে স্ক্রিনে যা কিছু টাইপ করা হয়, তার সবকিছুই হ্যাকার দূর থেকে পর্যবেক্ষণ ও রেকর্ড করতে পারে।
আধুনিক সাইবার অ্যাটাক মেথড ও ঝুঁকির তুলনামূলক রূপরেখা
হ্যাকারদের প্রচলিত বিভিন্ন আক্রমণ পদ্ধতি এবং সেগুলোর কার্যপ্রণালীর তুলনামূলক তালিকা নিচে বিশ্লেষণ করা হলো:
| আক্রমণের পদ্ধতি | যেভাবে ফাঁদ তৈরি করা হয় | আক্রান্ত হওয়ার মূল কারণ |
|---|---|---|
| ফিশিং ও স্পুফিং | জরুরি নোটিশের ছদ্মবেশে নকল ওয়েবসাইট তৈরি করে ইউজারনেম ও পাসওয়ার্ড হাতিয়ে নেওয়া। | অসাবধানতাবশত নকল ইউআরএলে প্রবেশ করে তথ্য দেওয়া। |
| ক্রেডেনশিয়াল স্টাফিং | পুরনো কোনো দুর্বল সাইট থেকে ফাঁস হওয়া পাসওয়ার্ড দিয়ে বড় অ্যাকাউন্টে লগইন চেষ্টা। | একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড বারবার ব্যবহার করা। |
| ইনফো-স্টিলার ট্রোজান | কম্পিউটারের সংরক্ষিত কুকিজ ও ব্রাউজার সেশন টোকেন সরাসরি ক্লোন করে নিয়ে যাওয়া। | পাইরেটেড ক্র্যাক ও কি-জেন সফটওয়্যার ডাউনলোড করা। |
| ম্যালিসিয়াস মোবাইল এপিকে | অপরিচিত অ্যাপের মাধ্যমে ফোনের অ্যাক্সেসিবিলিটি ও এসএমএস রিডিং পারমিশন দখল। | অজানা উৎস থেকে মড অ্যাপ ও সন্দেহজনক ফাইল ইনস্টল। |
| র্যানসমওয়্যার সংক্রমণ | ডিভাইসের সমস্ত ব্যক্তিগত ও ব্যবসায়িক ফাইল এনক্রিপ্ট করে ক্রিপ্টোকারেন্সিতে মুক্তিপণ দাবি। | পুরনো আনপ্যাচড অপারেটিং সিস্টেম ও সন্দেহজনক অ্যাটাচমেন্ট। |
এআই যুগের নতুন হুমকি: ডিপফেক ও নির্ভুল স্পিয়ার ফিশিং
অতীতে স্প্যাম ইমেইল বা ফিশিং মেসেজগুলো দেখলেই সহজে চেনা যেত। সেগুলোতে ভাঙা ইংরেজি, অদ্ভুত বানান ও ব্যাকরণের নানা ভুল থাকত। কিন্তু জেনারেটিভ এআই আসার পর এই দৃশ্যপট পুরোপুরি বদলে গেছে। সাইবার অপরাধীরা এখন নিখুঁত ভাষায় অত্যন্ত প্রফেশনাল ইমেইল ও সোশ্যাল বার্তা তৈরি করছে, যা দেখে সাধারণ মানুষের পক্ষে ভুয়া ও আসলের পার্থক্য ধরা অসম্ভব।
এর চেয়েও মারাত্মক হলো এআই ভয়েস ক্লোনিং। পরিচিত কোনো বন্ধু বা পরিবারের সদস্যের সোশ্যাল মিডিয়া ভিডিও থেকে মাত্র কয়েক সেকেন্ডের অডিও স্যাম্পল নিয়ে হ্যাকাররা তাদের কণ্ঠ হুবহু নকল করতে পারছে। এরপর জরুরি বিপদের নাটক সাজিয়ে ফোন করে আত্মীয়স্বজনদের কাছ থেকে মোবাইল ব্যাংকিংয়ে টাকা হাতিয়ে নেওয়া হচ্ছে। প্রযুক্তি যতই এগিয়ে যাচ্ছে, ব্যক্তিগত সতর্কতার গুরুত্ব ততই অপরিহার্য হয়ে উঠছে।[৫]
ডিজিটাল একাউন্ট নিরাপদ রাখার কার্যকর ৭টি সাইবার হাইজিন
অনলাইনের ঝুঁকি এড়াতে জটিল কোনো সফটওয়্যার বিশেষজ্ঞ হওয়ার প্রয়োজন নেই। প্রতিদিনের কিছু মৌলিক স্বাস্থ্যকর সাইবার অভ্যাস আপনাকে ৯৯ শতাংশ আক্রমণ থেকে সুরক্ষিত রাখতে পারে:
- ইউনিক পাসওয়ার্ড ও পাসওয়ার্ড ম্যানেজার: প্রতিটি অ্যাকাউন্টে সম্পূর্ণ ভিন্ন ও জটিল পাসওয়ার্ড ব্যবহার করুন। মনে রাখা কঠিন হলে গুগল পাসওয়ার্ড ম্যানেজার বা ওপেন সোর্স বিটওয়ার্ডেন (Bitwarden) ব্যবহার করুন।
- টু-ফ্যাক্টর অথেন্টিকেশন ও পাস কি: কেবল এসএমএস কোডের ওপর নির্ভর না করে গুগল অথেন্টিকেটর অ্যাপ কিংবা আধুনিক 'পাস কি' (Passkey) সক্রিয় করুন, যা ফিশিং পেজেও পাসওয়ার্ড ফাঁস হতে দেয় না।
- সরাসরি ওয়েবসাইট ব্রাউজ করা: ইমেইল বা মেসেজের জরুরি লিংকে ক্লিক না করে সরাসরি ব্রাউজারে অফিশিয়াল এড্রেস টাইপ করে বা অ্যাপে ঢুকে অ্যাকাউন্ট স্ট্যাটাস যাচাই করুন।
- সিস্টেম ও সফটওয়্যার আপডেট: অপারেটিং সিস্টেম, ব্রাউজার ও অ্যাপস সবসময় আপডেট রাখুন। কারণ প্রতিটি আপডেটে পুরোনো নিরাপত্তা দুর্বলতা সারিয়ে তোলা হয়।
- ক্র্যাক সফটওয়্যার বর্জন: প্রিমিয়াম সফটওয়্যারের মোড ভার্সন ব্যবহার বন্ধ করুন। কোনো অ্যাপকে ফোনের এসএমএস বা অ্যাক্সেসিবিলিটি পারমিশন দেওয়ার আগে ভালোভাবে যাচাই করুন।
- অফলাইন ডেটা ব্যাকআপ: র্যানসমওয়্যার বা হার্ডওয়্যার ধ্বংসের ঝুঁকি থেকে বাঁচতে প্রয়োজনীয় ফাইল ক্লাউডের পাশাপাশি একটি অফলাইন এক্সটার্নাল হার্ডড্রাইভে সংরক্ষণ করুন।
- প্রাইমারি ইমেইলের সর্বোচ্চ নিরাপত্তা: আপনার মূল জিমেইল বা আউটলুক অ্যাকাউন্টটি হলো সব অ্যাকাউন্টের অভিভাবক। সেখানে সর্বোচ্চ স্তরের সুরক্ষা ও ফিজিক্যাল সিকিউরিটি কি যুক্ত রাখুন।
সাধারণ প্রশ্নোত্তর (FAQ)
কোনো অপরিচিত লিংকে শুধু ক্লিক করলেই কি ফেসবুক হ্যাক হতে পারে?
এসএমএস টু-ফ্যাক্টর কোড কি শতভাগ নিরাপদ?
পাস কি (Passkey) কীভাবে কাজ করে এবং কেন এটি ফিশিং-প্রুফ?
হ্যাকারদের দেওয়া মুক্তিপণ দিলে কি র্যানসমওয়্যারের ফাইল ফেরত পাওয়া যায়?
তথ্যসূত্র
- ↑ "Data Breach Investigations Report: Human Factor and Credential Theft Vectors", Verizon Business Cybersecurity Insights (2026)। প্রতিবেদন লিংক
- ↑ "Understanding Social Engineering and Deceptive Phishing Attacks", Cybersecurity and Infrastructure Security Agency (CISA) (2026)। প্রতিবেদন লিংক
- ↑ "The Morris Worm: Thirty-Five Years After the First Internet Attack", MIT CSAIL Archive and Historical Retrospective (2025)। প্রতিবেদন লিংক
- ↑ "Digital Identity Guidelines: Authentication and Lifecycle Management", National Institute of Standards and Technology (NIST SP 800-63B) (2026)। প্রতিবেদন লিংক
- ↑ "Internet Crime Report: Rise of AI-Enhanced Spear Phishing and Voice Spoofing", Federal Bureau of Investigation (FBI IC3) (2026)। প্রতিবেদন লিংক
পাঠকদের মন্তব্য ০
মন্তব্য লিখুনএখনও কোনো মন্তব্য করা হয়নি
এই আর্টিকেল সম্পর্কে আপনার মতামত দিয়ে প্রথম মন্তব্যকারী হোন!
একটি মন্তব্য লিখুন
আপনার ইমেইল ঠিকানা প্রকাশ করা হবে না। লাল তারকাচিহ্নিত (*) ফিল্ডগুলো পূরণ করা আবশ্যক।