হোটেলের Wi‑Fi লগইন কি ফিশিং ফাঁদ? নিরাপদে সংযোগের গাইড

আপনি হোটেলের ঘরে বা সম্মেলনকক্ষে ল্যাপটপ খুলে, Wi-Fi আইকনে ক্লিক করেন, আর অনলাইনে যাওয়ার আগে লগ ইন করতে বা শর্ত মেনে নিতে বলার জন্য একটি ব্রাউজার উইন্ডো ভেসে ওঠে। বেশিরভাগ সময় এটি সম্পূর্ণ স্বাভাবিক—এটিকে ক্যাপটিভ পোর্টাল বলা হয়, এবং হোটেল, বিমানবন্দর ও সম্মেলনকেন্দ্রগুলো তাদের নেটওয়ার্কে প্রবেশাধিকার নিয়ন্ত্রণ করতে এটি ব্যবহার করে। কিন্তু সেই একই লগইন পেজটি আক্রমণকারীর জন্য প্রায় নিখুঁত ছদ্মবেশও হতে পারে, কারণ আপনি এমন একটি পেজ দেখার প্রত্যাশা করেন, আপনার তাড়া থাকে, আর আপনি যে পেজটি দেখছেন সেটি আসলে কে তৈরি করেছে তা স্বাধীনভাবে যাচাই করার কোনো উপায় আপনার থাকে না।

Microsoft-এর গবেষকেরা সম্প্রতি "CaptiveCrunch" নামে ট্র্যাক করা একটি অভিযান প্রকাশ করেছেন। এতে আক্রমণকারীরা হোটেল ও সম্মেলনের Wi-Fi নেটওয়ার্কের ভেতরে অবস্থান করে এবং যাত্রীরা ঠিক সেই মুহূর্তে যে ট্র্যাফিক দেখছিলেন তা বদলে দিচ্ছিল—ক্যাপটিভ-পোর্টাল সেশনগুলোকে ভুয়া লগইন পেজে (বিশ্বাসযোগ্য ভুয়া Microsoft সাইন-ইন স্ক্রিনসহ) পাঠিয়ে দিচ্ছিল, যেগুলো পাসওয়ার্ড, ডিভাইস কোড ও OAuth টোকেন হাতিয়ে নেওয়ার জন্য তৈরি, অথবা ভুয়া "আপডেট প্রয়োজন" ডায়ালগ দেখাচ্ছিল, যা কীবোর্ডে চাপা কী পড়তে এবং ওয়েবক্যাম বা মাইক্রোফোন চালু করতে সক্ষম রিমোট-অ্যাক্সেস ম্যালওয়্যার ইনস্টল করে। বক্তব্যটি এই নয় যে প্রতিটি হোটেল Wi-Fi লগইনই ফাঁদ—বিপুল সংখ্যাগরিষ্ঠ তা নয়। বক্তব্যটি হলো, এই নির্দিষ্ট মুহূর্তটি—যখন আপনি অনলাইনে আসার আগেই একটি অপরিচিত পেজে কিছু টাইপ করবেন বলে আশা করা হচ্ছে—সহজ লক্ষ্য, এবং এর জন্য একটি নিয়মিত পদ্ধতি থাকা মূল্যবান।

কেন এই মুহূর্তটি সাধারণ ফিশিংয়ের চেয়ে আলাদা

সাধারণ ফিশিং প্রশিক্ষণে প্রেরক যাচাই করতে, লিংকের ওপর কার্সর ধরতে এবং তালার চিহ্ন খুঁজতে বলা হয়। ক্যাপটিভ পোর্টাল এসব অভ্যাসের বেশিরভাগই অকার্যকর করে দেয়। আপনি পেজটিতে যাননি—আপনার ডিভাইস আপনাকে স্বয়ংক্রিয়ভাবে সেখানে পাঠিয়েছে। যাচাই করার মতো কোনো "From:" ঠিকানা নেই। পেজটি প্রায়ই স্বাভাবিক অ্যাড্রেস বার দৃশ্যমান না রেখেই লোড হয় (কিছু অপারেটিং সিস্টেম এটিকে ছাঁটাই করা ব্রাউজার উইন্ডোয় খোলে), এবং আপনি এমন একটি নেটওয়ার্কে থাকতে পারেন যেটি আপনার নিয়ন্ত্রণে নেই ও যাচাই করতে পারেন না। তাই দেখতে সঠিক HTTPS তালার চিহ্ন থাকলেও তা শুধু বলে যে ওই পেজের সঙ্গে সংযোগটি এনক্রিপ্ট করা—পেজটি নিজে বৈধ কি না, বা নেটওয়ার্কটি আপনি যা দেখছেন তা বদলাচ্ছে কি না, তা নয়।

একটি বৈধ ক্যাপটিভ পোর্টালের কী চাওয়া উচিত—আর কী চাওয়া উচিত নয়

এই ধরনের কোনো পেজ দেখা দিলেই প্রতিবার এটিকে আপনার প্রাথমিক যাচাইয়ের মানদণ্ড হিসেবে ব্যবহার করুন:

• স্বাভাবিক: আপনার পদবি ও কক্ষ নম্বর, সম্মেলনের ব্যাজ বা নিবন্ধন কোড, পরিষেবার শর্তে সম্মতি, রসিদের জন্য একটি ইমেল ঠিকানা, অথবা আপনি অর্থপ্রদানকারী অতিথি কি না যাচাই করতে টেক্সট মেসেজে পাঠানো একবারের কোড।
• স্বাভাবিক নয়: Microsoft, Google, Apple বা আপনার প্রতিষ্ঠানের পরিচয়-অ্যাকাউন্ট দিয়ে সাইন ইন করার অনুরোধ। আপনাকে ইন্টারনেট-অ্যাক্সেস দেওয়ার জন্য সত্যিকারের কোনো ভেন্যু Wi-Fi সিস্টেমের আপনার Microsoft পাসওয়ার্ডের প্রয়োজন হওয়ার বৈধ কারণ নেই।
• স্বাভাবিক নয়: অন্য কোথাও দেখানো একটি "ডিভাইস কোড" লিখতে বলা, অথবা এমন কোনো পেজ যেখানে বলা হয়, "microsoft.com/devicelogin-এ যান এবং এই কোডটি লিখুন।" এটি Microsoft-এর একটি বাস্তব ফিচার (স্মার্ট টিভির মতো ডিভাইসে সাইন ইন করতে ব্যবহৃত হয়), যেটির অপব্যবহার করে আক্রমণকারীরা আপনার পাসওয়ার্ড কখনো না দেখেও বিশেষভাবে আপনার অ্যাকাউন্ট দখল করতে পারে। কোনো Wi-Fi লগইন পেজ যদি আপনাকে ডিভাইস-কোড প্রক্রিয়ার মধ্য দিয়ে নিয়ে যায়, থামুন—ব্রাউজার বন্ধ করুন এবং আর এগোবেন না।
• স্বাভাবিক নয়: এমন কোনো পপ-আপ যা বলে আপনার ব্রাউজার বা Windows-এর জরুরি আপডেট দরকার, বিশেষ করে যদি সংযোগ "ঠিক" করতে কোনো কমান্ড কপি করে "Run" বক্স বা টার্মিনালে পেস্ট করতে বলে। এই কৌশলটি (কখনো কখনো ClickFix বলা হয়) মানুষকে নিজেরাই ম্যালওয়্যার ইনস্টল করানোর একটি প্রচলিত পদ্ধতি, আর কোনো বৈধ Wi-Fi পোর্টালেরই আপনাকে কমান্ড চালানোর প্রয়োজন হয় না।

ধাপে ধাপে: নিরাপদে সংযোগ করা

1. ভ্রমণের আগে খোলা নেটওয়ার্কে স্বয়ংক্রিয়ভাবে যোগ দেওয়া বন্ধ করুন। আপনার ফোনে: Settings → Wi-Fi → খোলা/অনিরাপদ নেটওয়ার্কের জন্য "Auto-Join" বা "Auto-Connect" বন্ধ করুন (ডিভাইসভেদে সঠিক ভাষা ভিন্ন হতে পারে)। এতে পরে আপনার অজান্তে একই রকম নামের কোনো ভুয়া নেটওয়ার্কে ডিভাইসটি নীরবে পুনরায় সংযুক্ত হবে না।
2. যেসব পুরোনো পাবলিক নেটওয়ার্ক আর ব্যবহার করেন না, সেগুলো ভুলে যান। আপনার ল্যাপটপ বা ফোনে যদি "Airport_Free_WiFi" বা কোনো পুরোনো হোটেল নেটওয়ার্ক সংরক্ষিত থাকে, সেটি মুছে দিন। আক্রমণকারীরা একই নামের একটি নেটওয়ার্ক সম্প্রচার করতে পারে (যাকে "evil twin" বলা হয়), আর নামটি চেনার কারণে আপনার ডিভাইস স্বয়ংক্রিয়ভাবে সেটিতে যুক্ত হয়ে যেতে পারে।
3. আসল নেটওয়ার্কে যোগ দেওয়ার সময় সেটিকে পাবলিক/অবিশ্বস্ত হিসেবে চিহ্নিত করুন। Windows ও macOS উভয়ই নতুন নেটওয়ার্কটি "public" নাকি "private"/"trusted"—তা জানতে চায়; public বেছে নিন। এতে ফাইল শেয়ারিং ও নেটওয়ার্ক আবিষ্কার নিষ্ক্রিয় হয়, ফলে ওই নেটওয়ার্কে থাকা অন্যরা আপনার ডিভাইসটি কী দেখতে বা অ্যাক্সেস করতে পারে তা সীমিত হয়।
4. কিছু টাইপ করার আগে পোর্টাল পেজটি পড়ুন। ওপরের "স্বাভাবিক বনাম স্বাভাবিক নয়" তালিকার সঙ্গে মিলিয়ে দেখুন। যদি এটি কোনো পরিচয়-প্রদানকারী অ্যাকাউন্টে লগইন, কোনো ডিভাইস কোড, অথবা কোনো কমান্ড চালাতে বলে, ট্যাবটি বন্ধ করুন। তার বদলে ফ্রন্ট ডেস্ক বা নিবন্ধন টেবিলে গিয়ে সঠিক নেটওয়ার্কের নাম ও পাসওয়ার্ড নির্দিষ্ট করে জিজ্ঞেস করুন—নেটওয়ার্কটির নাম কী, তা কোনো পেজের কথায় বিশ্বাস করবেন না।
5. পোর্টালের যতটুকু প্রয়োজন, শুধু ততটুকুই লিখুন—সাধারণত একটি কক্ষ নম্বর, পদবি বা আপনাকে হাতে দেওয়া কোনো কোড। কখনোই আপনার ইমেল পাসওয়ার্ড বা অন্য কোথাও ব্যবহার করেন এমন কোনো অ্যাকাউন্টের তথ্য লিখবেন না।
6. পোর্টাল পার হওয়ার পর অন্য কিছু করার আগে একটি VPN চালু করুন। এটি সবচেয়ে কার্যকর একক পদক্ষেপ, কারণ এর মানে হলো নেটওয়ার্কটি নিজেই শত্রুভাবাপন্ন হলেও এরপরের সবকিছু এমন একটি টানেলের মধ্যে এনক্রিপ্টেড থাকবে, যা নেটওয়ার্ক অপারেটর (বা সেখানে থাকা কোনো আক্রমণকারী) পড়তে বা অন্যদিকে পাঠাতে পারবে না। ইমেল দেখা, কোনো কিছুতে লগ ইন করা বা ব্যাংকিং অ্যাপ খোলার আগে এটি করুন।
7. আপনার VPN না থাকলে সংবেদনশীল লগইন পরে করার জন্য রেখে দিন, অথবা তার বদলে ফোনের সেলুলার ডেটা ব্যবহার করুন। ফোনকে ব্যক্তিগত হটস্পটে পরিণত করে ল্যাপটপকে তাতে সংযুক্ত করলে, অল্প সময়ের জন্য হলেও, সংবেদনশীল কাজের ক্ষেত্রে ভেন্যুর নেটওয়ার্ক পুরোপুরি এড়ানো যায়—ব্যাংকিং, কাজের ইমেল, পাসওয়ার্ড ম্যানেজার আনলক করা ইত্যাদি।
8. চলে যাওয়ার সময় নেটওয়ার্কটি ভুলে যান (ফোন ও ল্যাপটপ উভয়েই), যাতে এটি অনির্দিষ্টকাল আপনার সংরক্ষিত নেটওয়ার্কের তালিকায় পড়ে না থাকে।

আপনার মনে হলে আপনি ইতিমধ্যেই একটির ফাঁদে পড়েছেন

আপনি যদি কোনো Wi-Fi লগইন পেজে Microsoft, Google বা অন্য কোনো অ্যাকাউন্টের পাসওয়ার্ড লিখে থাকেন, অথবা নিজে শুরু না করা কোনো ডিভাইস-কোড প্রম্পট সম্পন্ন করে থাকেন, তাহলে অ্যাকাউন্টটিকে আপসকৃত হিসেবে বিবেচনা করুন: অবিলম্বে কোনো বিশ্বস্ত নেটওয়ার্ক বা ডিভাইস থেকে সেই পাসওয়ার্ড বদলান, অ্যাকাউন্টের সাম্প্রতিক সাইন-ইন কার্যকলাপ ও সংযুক্ত ডিভাইস/সেশন পরীক্ষা করে আপনি চেনেন না এমন সবকিছু থেকে সাইন আউট করুন, এবং সংযুক্ত অ্যাপ বা "আপনার অ্যাকাউন্টে অ্যাক্সেস থাকা অ্যাপ" পর্যালোচনা করে আপনি অনুমোদন করেননি এমন কিছু আছে কি না দেখুন—ডিভাইস-কোড ফিশিং বিশেষভাবে আক্রমণকারীকে আপনার পাসওয়ার্ডের প্রয়োজন ছাড়াই একটি টোকেন দেয়, তাই শুধু পাসওয়ার্ড বদলালেই তাদের অ্যাক্সেস সরানো নাও হতে পারে। আপনি যদি "এখনই আপডেট করুন"-এ ক্লিক করে থাকেন বা কোনো পপ-আপ থেকে কমান্ড চালিয়ে থাকেন, ডিভাইসটিকে ইন্টারনেট থেকে বিচ্ছিন্ন করুন এবং স্ক্যান বা পুনর্নির্মাণ না হওয়া পর্যন্ত সম্ভাব্য সংক্রমিত হিসেবে বিবেচনা করুন, কারণ এই ধরনের অভিযানে বর্ণিত পেলোডগুলোর মধ্যে কীবোর্ডে চাপা কী রেকর্ড করা এবং ওয়েবক্যাম বা মাইক্রোফোন চালু করতে সক্ষম টুল ছিল।

মূল কথা

ক্যাপটিভ পোর্টাল নিজে থেকেই সন্দেহজনক নয়—ভ্রমণের সময় এটি একটি স্বাভাবিক, নিরস বিষয়। ঝুঁকি বদলে যায় এটি আপনাকে কী করতে বলছে তার ওপর। যে পেজ আপনার কক্ষ নম্বর চায়, সেটি নিজের কাজ করছে। যে পেজ আপনার Microsoft পাসওয়ার্ড, একটি ডিভাইস কোড বা টার্মিনালে পেস্ট করার জন্য কোনো কমান্ড চায়, সেটি আর Wi-Fi লগইন স্ক্রিন নয়—এটি একটি ফিশিং পেজ, যা Wi-Fi লগইন স্ক্রিনের ছদ্মবেশ নিয়েছে। পার্থক্যটি জানা এবং সংবেদনশীল কাজের জন্য VPN বা ফোনের হটস্পট ব্যবহার করা—এই ধরনের আক্রমণ যে নির্দিষ্ট মুহূর্তটির ওপর নির্ভর করে, তা বন্ধ করে দেয়।