Social engineering প্রতিরক্ষা — মানুষের মনস্তত্ত্ব আর প্রক্রিয়ার দেয়াল

১ · তালা শক্ত হলে প্রতারক দারোয়ানকে ডাকেন

একটি বড় বাড়ির কথা ভাবুন। ফটকে ভারী তালা, উঁচু দেয়াল, CCTV. চোরের পক্ষে দেয়াল টপকানো কঠিন। তাই একজন প্রতারক অন্য পথ ধরেন। তিনি ফিটফাট পোশাকে এসে বড় কর্তার নাম নেন আর একটি জরুরি কাজের কথা বলেন। দারোয়ান ভদ্র মানুষ। সাহেবকে রাগাতে চান না। তিনি ফটক খুলে দেন। তালা অক্ষত থাকল, তবু বাড়িতে অচেনা মানুষ ঢুকে গেলেন।

Social engineering মানে এটাই: প্রযুক্তির ত্রুটি নয়, মানুষের বিশ্বাস, ভয় বা ভদ্রতাকে কাজে লাগিয়ে তথ্য, টাকা বা প্রবেশাধিকার আদায় করা। প্রতিরক্ষা শক্ত হলে আক্রমণকারী সস্তা পথ খোঁজেন। Encryption ভাঙার চেয়ে একজনকে দিয়ে কিছু একটা করিয়ে নেওয়া অনেক সময় সহজ।

মানুষ কেন লক্ষ্য হন, তার কারণগুলো বোকামি নয়, বরং কাজের স্বভাব:

• মানুষের হাতে আসল ক্ষমতা। হিসাবরক্ষক টাকা পাঠাতে পারেন, help desk password বদলাতে পারেন, রিসেপশনিস্ট দরজা খুলতে পারেন।
• সাহায্য করাই চাকরি। ভালো কর্মীকে শেখানো হয় গ্রাহককে ফিরিয়ে না দিতে। এই গুণটিই লক্ষ্যে পরিণত হয়।
• মস্তিষ্ক শর্টকাটে চলে। Daniel Kahneman-এর Thinking, Fast and Slow (২০১১) দ্রুত, স্বয়ংক্রিয় চিন্তা আর ধীর, পরিশ্রমী চিন্তার পার্থক্য জনপ্রিয় করেছে। তাড়া বা ভয়ে মানুষ দ্রুত পথেই চলেন।
• প্রযুক্তি অনুরোধের সত্যতা বোঝে না। MFA দেখে কোড ঠিক কি না। কোডটি কে, কেন দিল, তা দেখে না।
• একবার সফল হলেই চলে। শত জনের মধ্যে একজন ভুল করলেই আক্রমণকারীর কাজ হয়। রক্ষককে প্রতিদিন, সবাইকে ঠিক থাকতে হবে।

২ · ছয়টি নীতি — প্রতারণার সতর্ক-সংকেত হিসেবে চেনা

মনোবিজ্ঞানী Robert Cialdini তাঁর Influence (১৯৮৪) বইয়ে মানুষের সম্মতি আদায়ের ছয়টি সাধারণ নীতি সাজিয়েছিলেন। পরে Pre-Suasion (২০১৬) বইয়ে তিনি সপ্তম একটি যোগ করেন, unity বা “আমরা একই দলের”. এই নীতিগুলো বিপণন, রাজনীতি আর দৈনন্দিন জীবনে সর্বত্র আছে, এবং নিজে থেকে খারাপ নয়। আমরা এদের দেখব শুধু এক চোখে: কোনো অনুরোধে এই সংকেত দেখলে থামতে হবে।

একটি ছোট সতর্কতা: “urgency” নামে আলাদা কোনো নীতি Cialdini-র তালিকায় নেই। তাঁর শব্দ scarcity, মানে সুযোগ কমে যাচ্ছে। নিরাপত্তার লেখায় সময়ের চাপ প্রায়ই এই নীতির সাথেই আলোচনা হয়, তাই এখানেও একসাথে রাখা হলো। অন্য লেখক অন্যভাবে ভাগ করেন, সংখ্যা মুখস্থ করা জরুরি নয়।

বাস্তবে নীতিগুলো একা আসে না। একটি প্রতারণায় প্রায়ই কর্তৃত্ব আর তাড়া একসাথে থাকে, সাথে যোগ হয় গোপনীয়তার দাবি: “কাউকে বলবেন না।” এই শেষ কথাটি বিশেষভাবে মনে রাখুন। প্রতারক আপনাকে যাচাই থেকে বিচ্ছিন্ন রাখতে চান। যে অনুরোধ আপনাকে যাচাই করতে বাধা দেয়, সেটিই সবচেয়ে সন্দেহজনক।

৩ · নানা রূপ — নাম জানলে চেনা সহজ

নিচের নামগুলো চেনার জন্য। প্রতিটি রূপের ধরন আলাদা, কিন্তু ভেতরের মনস্তত্ত্ব একই। প্রতিটির পাশে আছে কোন বিষয়টি একে ঠেকায়।

আকার বোঝাতে একটি প্রকাশিত হিসাব: যুক্তরাষ্ট্রের FBI-এর IC3-র ২০২৫ সালের বার্ষিক প্রতিবেদনে BEC অভিযোগ ২৪,৭৬৮টি, আর জানানো ক্ষতি প্রায় ৩০৫ কোটি মার্কিন ডলার। এটি শুধু তাদের কাছে আসা অভিযোগের হিসাব, পৃথিবীর মোট ক্ষতি নয়। তবু দেখা যায়, malware ছাড়াই শুধু একটি বিশ্বাসযোগ্য অনুরোধ কত টাকা সরাতে পারে।

প্রযুক্তির কাঠামোতেও এগুলোর জায়গা আছে। MITRE ATT&CK (পর্ব ৫) Phishing, Phishing for Information আর Impersonation-কে আলাদা technique হিসেবে তালিকাভুক্ত করে। অর্থাৎ এটি কেবল “সচেতনতার” বিষয় নয়, হামলার একটি স্বীকৃত ধাপ, যার detection আর প্রতিরোধ দুটোই নকশা করা যায়।

৪ · প্রতিদিনের প্রতারণা — যা আপনার ফোনেও আসতে পারে

এবার বাংলাদেশের সাধারণ মানুষের অভিজ্ঞতায় আসি। সংবাদ আর সরকারি সতর্কতায় নিচের ধরনগুলো বারবার দেখা যায়। বিবরণগুলো সাধারণ, কোনো নির্দিষ্ট প্রতিষ্ঠানের নাম এখানে নেই, আর প্রতারকের নিজের নাম বা নম্বর পাল্টায়। ধরন চিনুন, নাম নয়।

ভুয়া OTP কলটি সবচেয়ে বিস্তারিত দেখা দরকার, কারণ কয়েক মিনিটেই সব শেষ হয়ে যেতে পারে। এখানে প্রতারকের কথার নমুনা নেই, শুধু ঘটনার গতি আর ভাঙার জায়গাটি দেখুন। মনে রাখবেন, OTP আসে আপনার কাজের জন্য, কারও জানার জন্য নয়। একটি OTP আপনার ফোনে আসা মানে অনেক সময় অন্য কেউ আপনার account-এ ঢোকার চেষ্টা করছেন (পর্ব ১৬).

চোখে সংকেত ধরার অভ্যাস কেমন, সেটি একটি খেলনা scorer দিয়ে দেখি। নিচের লাইনগুলো বানানো, কাল্পনিক বিবরণ, নমুনা বার্তা নয়, আর লেবেল আগে থেকেই জানা। কোড কিছু সংকেত খুঁজে নম্বর দেয়, ৪ বা তার বেশি হলে FLAG. শেষে precision আর recall হিসাব হয়।

// Toy red-flag scorer. Invented one-line descriptions, not samples. Labels are known.
const rules = [
  [/otp|pin|password/i, 3, 'secret'],
  [/now|today|urgent/i, 2, 'hurry'],
  [/prize|won/i, 2, 'too-good'],
  [/fee|send money/i, 2, 'pay-first'],
  [/new number/i, 2, 'new-channel'],
  [/tell no one/i, 2, 'secrecy'],
];
const THRESHOLD = 4;
const inbox = [
  { text: 'Caller asks for OTP now, threatens closure', scam: true },
  { text: 'Claims a prize, asks a fee today', scam: true },
  { text: 'New number asks to send money now, says tell no one', scam: true },
  { text: 'Job offer asks a uniform fee to join', scam: true },
  { text: 'Your OTP is 000000. Do not share it today', scam: false },
  { text: 'Class moved to 3 pm today', scam: false },
  { text: 'Meeting notes are in the shared folder', scam: false },
  { text: 'Electricity bill is due today', scam: false },
];
let tp = 0, fp = 0, fn = 0, tn = 0;
for (const m of inbox) {
  const hits = rules.filter(([re]) => re.test(m.text));
  const score = hits.reduce((sum, [, w]) => sum + w, 0);
  const flagged = score >= THRESHOLD;
  if (flagged && m.scam) tp++;
  if (flagged && !m.scam) fp++;
  if (!flagged && m.scam) fn++;
  if (!flagged && !m.scam) tn++;
  const tags = hits.map(([, , tag]) => tag).join(',') || '-';
  console.log(`${flagged ? 'FLAG' : 'ok  '} ${score} [${tags}] ${m.text}`);
}
console.log(`TP=${tp} FP=${fp} FN=${fn} TN=${tn}`);
console.log(`precision=${(tp / (tp + fp)).toFixed(2)} recall=${(tp / (tp + fn)).toFixed(2)}`);

৫ · প্রক্রিয়ার দেয়াল — টাকা আর ব্যাংক-তথ্য যেখানে স্মৃতির ওপর নয়

সচেতনতা দরকারি, তবে সবসময় কাজ করে না। মানুষ অসুস্থ থাকেন, বৃহস্পতিবার সন্ধ্যায় তাড়ায় থাকেন, বসকে ভয় পান। তাই ভালো নকশা মনে রাখার ওপর দাঁড়ায় না। সে ঠিক কাজটিকেই স্বাভাবিক পথ বানায়, আর একা ভুল করার সুযোগ কমায়। এগুলো administrative control, যা সফটওয়্যারে বসালে আরও শক্ত হয়।

একটি বিশেষ নিয়ম লিখে রাখা দরকার, আর তাতে সবচেয়ে ওপরের মানুষের স্বাক্ষর থাকা দরকার: “তাড়া থাকলেও, আমি নিজে বললেও, এই ধাপ বাদ যাবে না।” কর্মীকে প্রক্রিয়া মানার জন্য বকা খাওয়ার ভয় থাকলে দেয়ালে ফাটল ধরবে। এই নিয়ম কর্মীকে “না” বলার অধিকার দেয়।

From    : new number, name shows "MD"
Amount  : 95,00,000 taka
Payee   : New Trading Co (not on list)
Tone    : urgent, confidential

id      : PR-2207
maker   : clerk
amount  : 95,00,000
payee   : New Trading Co
status  : WAITING

amount >= 5,00,000     -> 2 other approvers
new payee              -> call-back required
urgent flag            -> rules unchanged
approvals so far       : 0 of 2

number used : office directory
number in chat : ignored
answer : "I sent no such request"

id      : PR-2207
status  : BLOCKED
money sent : 0
reported to : security, finance head

clerk  : thanked in the team meeting
alert  : all finance staff warned
log    : request and call saved
review : how did they know our MD's name?

এবার এই নিয়মগুলো একটি খেলনা simulator-এ দেখুন। সব payment কাল্পনিক, কোনো ব্যাংক বা আসল টাকা নেই। নিয়ম: একই প্রাপকের দিনের মোট ৫ লাখ বা বেশি হলে maker ছাড়া আরও দুজন, বড় বা নতুন প্রাপকে call-back.

// Toy dual-approval control. In-memory fictional payments; no real bank or money.
const LIMIT = 500000;                // taka per payee per day (assumed policy)
const knownPayees = ['Paper Mill Ltd'];
const paidToday = {};                // running total per payee, for split payments

function check(p) {
  const blocks = [];
  const total = (paidToday[p.payee] || 0) + p.amount;
  const big = total >= LIMIT;
  const isNew = !knownPayees.includes(p.payee);
  const others = [...new Set(p.approvers)].filter(a => a !== p.maker);
  const need = big ? 2 : 1;
  if (p.approvers.includes(p.maker)) blocks.push('maker cannot approve');
  if (others.length < need) blocks.push(`needs ${need} other approver(s), has ${others.length}`);
  if ((big || isNew) && !p.calledBack) blocks.push('no call-back on known number');
  // "Urgent" is recorded, never used to skip a rule.
  const note = p.urgent ? ' (urgent noted, rules unchanged)' : '';
  if (blocks.length === 0) paidToday[p.payee] = total;
  console.log(`${p.id} ${p.amount} to ${p.payee}: ` +
    (blocks.length ? 'BLOCK' : 'PAY') + note);
  blocks.forEach(b => console.log('   - ' + b));
}

const base = { maker: 'clerk', urgent: false, calledBack: false };
check({ ...base, id: 'P1', amount: 40000, payee: 'Paper Mill Ltd', approvers: ['manager'] });
check({ ...base, id: 'P2', amount: 9500000, payee: 'New Trading Co', urgent: true,
        approvers: ['clerk'] });
check({ ...base, id: 'P3', amount: 9500000, payee: 'New Trading Co', urgent: true,
        approvers: ['manager', 'finance-head'] });
check({ ...base, id: 'P4', amount: 480000, payee: 'Paper Mill Ltd', approvers: ['manager'] });
check({ ...base, id: 'P5', amount: 9500000, payee: 'New Trading Co', calledBack: true,
        approvers: ['manager', 'finance-head'] });

হিসাব: দুজন মানে কি সত্যিই দ্বিগুণ নিরাপত্তা?

এবার সংখ্যায় ভাবা যাক। নিচের সব সংখ্যা ধরে নেওয়া, কোনো পরিসংখ্যান নয়। ধরুন বছরে ৪টি বিশ্বাসযোগ্য চেষ্টা আসে, প্রতিটিতে ক্ষতি হতে পারে ২ কোটি টাকা, আর একজন কর্মী ঠকার সম্ভাবনা ১০% (p = ০.১০)।

দুটি শিক্ষা আছে। প্রথমত, দ্বিতীয় অনুমোদনকারী যদি প্রথমজনের কথায় চোখ বন্ধ করে “ok” দেন, তাহলে তিনি স্বাধীন নন। ক্ষতি ১০ ভাগের ১ ভাগ না হয়ে অর্ধেক হলো। তাই একই chat, একই গল্প নয়, আলাদা তথ্য দেখে সিদ্ধান্ত নেওয়া জরুরি। দ্বিতীয়ত, call-back আলাদা চ্যানেল যোগ করে, তাই তার প্রভাব বড়। খরচও দেখুন: বছরে ২০০টি যাচাই, প্রতিটিতে ১৫ মিনিট হলে মোট ৫০ ঘণ্টা। এই হিসাবের ধরনটি পর্ব ৬৮-তে আরও বিস্তারিত আছে।

ব্যাংক-তথ্য পরিবর্তন হলো BEC-র সবচেয়ে সাধারণ শেষ ধাপ, কারণ টাকা পরিশোধের সময় কেউ আর প্রাপক নিয়ে সন্দেহ করেন না। নিচের simulator-এ call-back-এর “ফোন” একটি lookup table মাত্র, আর সরবরাহকারীরা কাল্পনিক।

// Toy bank-detail change control. Fictional vendors; "calls" are a lookup table.
const HOLD_DAYS = 2;
const vendors = {
  'Cotton Co': { phone: 'FILE-0101', account: 'OLD-111', pending: null },
  'Dye House': { phone: 'FILE-0202', account: 'OLD-222', pending: null },
};
// Who says yes when the finance team rings a number. Simulated answers only.
const callAnswers = { 'FILE-0101': false, 'FILE-0202': true, 'MSG-0999': true };

function requestChange(req, day) {
  const v = vendors[req.vendor];
  console.log(`day ${day}: ${req.vendor} asks for ${req.account}`);
  if (req.newPhone) return console.log('  REJECT phone and account changed together');
  // Always ring the number on file, never the one inside the request.
  const confirmed = callAnswers[v.phone];
  console.log(`  rang ${v.phone} (request gave ${req.phoneInMessage}): ` +
    (confirmed ? 'confirmed' : 'vendor knows nothing'));
  if (!confirmed) return console.log('  REJECT and report as suspected fraud');
  v.pending = { account: req.account, from: day + HOLD_DAYS };
  console.log(`  HOLD until day ${v.pending.from}`);
}
function pay(name, day) {
  const v = vendors[name];
  if (v.pending && day >= v.pending.from) { v.account = v.pending.account; v.pending = null; }
  console.log(`day ${day}: pay ${name} into ${v.account}`);
}

requestChange({ vendor: 'Cotton Co', account: 'NEW-666', phoneInMessage: 'MSG-0999' }, 1);
requestChange({ vendor: 'Cotton Co', account: 'NEW-777', phoneInMessage: 'MSG-0999',
                newPhone: 'MSG-0999' }, 1);
requestChange({ vendor: 'Dye House', account: 'NEW-333', phoneInMessage: 'FILE-0202' }, 1);
pay('Cotton Co', 2);
pay('Dye House', 2);
pay('Dye House', 3);

৬ · Help desk — যেখানে কণ্ঠ দিয়ে দরজা খোলে

আধুনিক phishing-resistant login শক্ত হলে আক্রমণকারী login-এর পাশের দরজা খোঁজেন: account recovery. Help desk কর্মীর কাজ সাহায্য করা, এবং তাঁর হাতে এমন ক্ষমতা আছে যা একটি password-এর চেয়ে অনেক বড়। তাই help desk হলো পরিচয়ের সীমান্তচৌকি।

এখানে একটি মূল শিক্ষা আছে। জন্মতারিখ, staff ID বা ম্যানেজারের নাম এগুলো হলো knowledge-based প্রশ্ন। এসব তথ্য LinkedIn, পুরোনো ফাঁস বা প্রতিষ্ঠানের ওয়েবসাইটে মিলতে পারে। যা খুঁজে পাওয়া যায়, তা পরিচয়ের প্রমাণ হতে পারে না।

নিচের সিদ্ধান্ত-সারণি ওপরের ধারণাকে কোডে রাখে। সব টিকিট বানানো, কোনো আসল directory বা account স্পর্শ হয় না, আর পয়েন্ট শুধু উদাহরণ।

// Toy help desk decision. Fictional tickets; no real directory or account is touched.
// Facts that public pages or leaks can reveal prove nothing, so they score 0.
const proof = {
  'birth date': 0, 'staff id': 0, 'manager name': 0,
  'call-back to directory number': 2,
  'manager confirms by call-back': 2,
  'photo id seen in person': 3,
  'existing passkey or device': 3,
};
const needed = { 'password reset': 4, 'mfa reset': 5, 'admin mfa reset': 6 };

function decide(t) {
  const score = t.gave.reduce((sum, p) => sum + proof[p], 0);
  const need = needed[t.type];
  const verdict = score >= need ? 'DO IT' : score > 0 ? 'STEP UP' : 'DENY';
  console.log(`${t.id} ${t.type}: score ${score}/${need} => ${verdict}`);
  if (t.urgent) console.log('   caller pressed hard: rules unchanged, flag to security');
  if (verdict === 'DO IT') {
    console.log('   notify user on old channel; alert on new device for 24h');
    if (t.type === 'admin mfa reset') console.log('   second agent must co-sign');
  }
}

decide({ id: 'T1', type: 'password reset', gave: ['birth date', 'staff id'] });
decide({ id: 'T2', type: 'password reset', urgent: false,
         gave: ['call-back to directory number', 'manager confirms by call-back'] });
decide({ id: 'T3', type: 'mfa reset', urgent: true,
         gave: ['staff id', 'manager name', 'call-back to directory number'] });
decide({ id: 'T4', type: 'admin mfa reset', urgent: true,
         gave: ['birth date', 'staff id', 'manager name'] });
decide({ id: 'T5', type: 'admin mfa reset',
         gave: ['photo id seen in person', 'manager confirms by call-back',
                'call-back to directory number'] });

Detection-এর দিক: প্রক্রিয়া ফাঁকি খেলেও চিহ্ন থাকে। Detective control হিসেবে identity log-এ এগুলো খেয়াল করুন (পর্ব ৫৫ আর ৫৬-তে বিস্তারিত):

• MFA reset-এর অল্প পরেই নতুন device থেকে login, বিশেষ করে admin ক্ষমতা ব্যবহার
• অল্প সময়ে একই help desk কর্মী বা দলে একাধিক reset অনুরোধ
• একই কর্মীর নামে নতুন remote access বা নতুন MFA নথিভুক্তি
• বারবার push অনুমোদনের অনুরোধ (MFA fatigue) আর SIM swap-এর পর হঠাৎ recovery চেষ্টা

৭ · দরজা, ডেস্ক আর প্রকাশ্য তথ্য — অফিসে আর ওয়েবে যা দেখা যায়

Physical নিরাপত্তা

একজন অচেনা মানুষ অফিসে ঢুকে একটি খোলা কম্পিউটারের সামনে বসলে অনেক firewall অর্থহীন হয়ে যায়। Physical control সাধারণ, কিন্তু অবহেলিত। মনে রাখুন অফিসের রেজিস্টার খাতা আর গেটের দারোয়ান, যাঁরা অনেক আগে থেকেই এই কাজ করছেন।

ISO/IEC 27001:2022-এর Annex A-তে physical control-এর একটি আলাদা দল আছে, যেখানে clear desk আর clear screen-ও স্থান পেয়েছে। আসল কথা, ভদ্রভাবে থামানো যেন অভদ্রতা না হয়। “মাফ করবেন, আপনাকে রিসেপশনে নিয়ে যাই” বলা যেন স্বাভাবিক হয়, আর যিনি বলেন, তাঁকে কেউ যেন বকা না দেন।

প্রকাশ্য তথ্য — আপনার প্রতিষ্ঠান নিজে কী বলে দিচ্ছে

আগের ঘটনায় প্রতারক MD-র নাম কীভাবে জানলেন? প্রায়ই উত্তরটি হলো আমাদেরই ওয়েবসাইট। প্রতারণা শুরুর আগে লক্ষ্য সম্পর্কে তথ্য জানার ধাপকে বলে reconnaissance. প্রকাশ্য উৎস থেকে তথ্য জড়ো করাকে বলে OSINT. রক্ষক হিসেবে আপনি প্রশ্নটি উল্টে দেখবেন: আমরা কী প্রকাশ করছি, আর সেটি না করলে কি চলত? এই পর্যালোচনা হয় নিজের প্রতিষ্ঠানের অনুমতিতে, নিজের প্রকাশিত জিনিসের ওপর, অন্য কারও ব্যক্তিগত জীবনে নয়।

সীমারও সীমা আছে। আপনি সব তথ্য লুকাতে পারবেন না। ব্যবসার জন্য, আইনের জন্য, স্বচ্ছতার জন্য কিছু নাম আর পদ প্রকাশ করতেই হয়। তাই লক্ষ্য লুকানো নয়, এমন প্রক্রিয়া, যা তথ্য জানা থাকলেও ভাঙে না। এই চিন্তা data minimization-এর কাছাকাছি (পর্ব ৭০), এবং ঠিক এখানেই অংশ ৬-এর শিক্ষাটি জুড়ে যায়: জানা তথ্য প্রমাণ নয়।

৮ · ঠকে গেলে কী করবেন — থামুন, জানান, বন্ধ করুন, দোষ নয়

সবচেয়ে সতর্ক মানুষও একদিন ঠকতে পারেন। আপনি ঠকেছেন মানে আপনি বোকা নন। আপনি এমন একজনের মুখোমুখি হয়েছেন, যাঁর পেশা এটাই। এখন যে কাজটি সবচেয়ে বেশি কাজে দেবে, সেটি হলো দ্রুত জানানো। লজ্জায় চুপ থাকলে প্রতারক সময় পান।

প্রতিষ্ঠানের দিকটিও সমান গুরুত্বপূর্ণ। যে কর্মী এসে বলেন, “আমি একটি link-এ ক্লিক করে ফেলেছি”, তিনি প্রতিরক্ষার সবচেয়ে কাজের সংকেতদাতা। তাঁকে বকলে পরের জন আর আসবেন না। দোষারোপহীন রিপোর্টিং মানে ভুলের কথা জানালে শাস্তি নেই, ইচ্ছাকৃত অবহেলা আলাদা বিষয়। দ্রুত রিপোর্ট করাকে ধন্যবাদ জানানো হয়, আর ঘটনার পর post-incident review-এ প্রশ্ন হয়, “কোন প্রক্রিয়া ব্যর্থ হলো?”, “কার দোষ?” নয়। সংস্কৃতির বিষয়টি পর্ব ৫৪-তে বিস্তারিত আছে।

৯ · প্রকাশিত ঘটনা থেকে শিক্ষা — কী ব্যর্থ হয়েছিল, কী থামাতে পারত

নিচের তিনটি ঘটনা প্রকাশিত প্রতিবেদনের স্তরে রাখা হলো। লক্ষ্য হামলার ধাপ সাজানো নয়, প্রতিরক্ষার ফাঁক দেখা। বিস্তারিত আর দাবি নানা উৎসে আলাদা হতে পারে, এবং প্রকাশ্য তথ্য সবসময় পূর্ণ নয়। আরও ঘটনার বিশ্লেষণ আছে পর্ব ৬৫-তে।

তিনটি ঘটনার সাধারণ শিক্ষা দেখুন। Twitter-এর প্রতিবেদনের বর্ণনায় ভুয়া পাতায় দেওয়া login তথ্য সাথে সাথেই আসল site-এ ব্যবহার হয়েছিল, আর MFA অনুরোধ কিছু কর্মী অনুমোদনও করেছিলেন। এমন relay phishing-resistant MFA-তে অনেক কঠিন হয় (পর্ব ১৬). CISA-র ওই পরামর্শেও FIDO বা PKI-ভিত্তিক MFA, কর্মী প্রশিক্ষণ আর ঝুঁকিপূর্ণ login-এর নজরদারির কথা আছে। ক্যাসিনো ঘটনা দেখায়, সবচেয়ে শক্তিশালী MFA-ও ততটুকু, যতটুকু তার reset-এর পথ। তৃতীয় ঘটনার বড় শিক্ষা হলো, প্রতারণা ধরা পড়েছিল ঠিক সেই কাজে, যা আগে করলে টাকা যেত না: প্রধান কার্যালয়ে স্বাধীনভাবে খোঁজ নেওয়া।

১০ · AI-এর যুগে social engineering — কণ্ঠ আর ভাষা আর প্রমাণ নয়

AI প্রতারণার দুটি পুরোনো সীমা ভেঙে দিচ্ছে। আগে ভুল বানান আর অদ্ভুত ভাষা দেখে অনেক প্রতারণা ধরা যেত। এখন নির্ভুল ভাষায়, যেকোনো ভাষায় বার্তা তৈরি হতে পারে, তাই “ভাষা খারাপ হলে সন্দেহ করুন” পরামর্শটি আর যথেষ্ট নয়। আর কণ্ঠ বা ভিডিও নকল করা সহজ হচ্ছে। সুতরাং প্রতিরক্ষা শোনা-দেখার ওপর নয়, চ্যানেল আর প্রক্রিয়ার ওপর দাঁড়াবে। AI নিরাপত্তার বড় ছবি আছে পর্ব ৫১-এ।

AI ব্যবহার আর AI-চালিত প্রতারণার জন্য চেকলিস্ট

• বড় অনুরোধে কণ্ঠ বা ভিডিও দেখে নয়, চেনা নম্বরে ফোন করে যাচাই করি
• পরিবারে একটি গোপন শব্দ ঠিক করেছি, যা কোথাও লেখা নেই
• AI-কে আসল নাম, account, invoice বা গ্রাহকের তথ্য দিই না
• AI-র উল্লেখ করা মান বা সংখ্যা মূল উৎসে মিলিয়ে দেখি
• AI “নিরাপদ” বললেও টাকা বা account-এর সিদ্ধান্ত মানুষ নেন
• AI-কে দিয়ে কাউকে ঠকানোর বার্তা বানাই না, পরীক্ষাও শুধু লিখিত অনুমতিতে