আমাদের বেশিরভাগেরই "আমার অ্যাকাউন্ট হ্যাক হয়ে গেছে" বোঝার জন্য একটা মানসিক সতর্কতা-সংকেত আছে: এমন একটা পাসওয়ার্ড-রিসেট ইমেইল যা আমরা চাইনি, অপরিচিত কোনো শহর থেকে লগইনের একটা টেক্সট মেসেজ, অথবা হঠাৎ অ্যাকাউন্ট লক হয়ে যাওয়া। এই সতর্কতা-সংকেতটা তখন যুক্তিসঙ্গত ছিল যখন প্রধান হুমকি ছিল কেউ আপনার পাসওয়ার্ড অনুমান করার বা ব্রুট-ফোর্স করার চেষ্টা করছে। কিন্তু সাম্প্রতিক ঘটনাগুলোতে যেসব অ্যাক্সেস পদ্ধতি দেখা যাচ্ছে, তার বিরুদ্ধে এটা প্রায় কোনো কাজেই আসে না — কারণ সেগুলো বিশেষভাবে এমনভাবে তৈরি যাতে এই সতর্কতা-সংকেত সক্রিয়ই না হয়।
গত কয়েক সপ্তাহের দুটো উদাহরণ এই প্যাটার্নটা স্পষ্ট করে তোলে। Malwarebytes একটা WhatsApp স্ক্যাম নথিবদ্ধ করেছে (প্রকাশিত আগস্ট ৩, ২০২৬-এ) যেখানে ভুক্তভোগীদের এমন একটা প্রক্রিয়ার মধ্য দিয়ে নিয়ে যাওয়া হয় যা দেখতে "WhatsApp Web সেটআপ"-এর মতো — কখনো কখনো আসল wa.me ডোমেইনেই — এবং শেষে তারা এমন একটা কোড দিয়ে ফেলে যা আক্রমণকারীর ডিভাইসকে তাদের অ্যাকাউন্টের সাথে লিঙ্ক করে দেয়। কোথাও কোনো পাসওয়ার্ড টাইপ করা হয় না, তাই কোনো পাসওয়ার্ড-রিসেট ইমেইলও যায় না এবং কোনো ব্যর্থ-লগইন সতর্কবার্তাও সক্রিয় হয় না। আক্রমণকারীর ডিভাইসটা কেবল অ্যাকাউন্টের লিঙ্কড-ডিভাইস তালিকায় নিঃশব্দে আরেকটা এন্ট্রি হয়ে যায়, যার সম্পূর্ণ রিড ও সেন্ড অ্যাক্সেস থাকে, এবং তারা সেটা ব্যবহার করে ভুক্তভোগীর কন্টাক্টদের ওপর একই স্ক্যাম চালায়। এর পাশাপাশি, Microsoft "CaptiveCrunch" নামের একটা ক্যাম্পেইন সম্পর্কে সতর্ক করেছে, যা হোটেল ও কনফারেন্সের ওয়াই-ফাই ক্যাপটিভ পোর্টালে ভ্রমণকারীদের আটকে দেয়, তাদের ভুয়া লগইন পেজে রিডাইরেক্ট করে, যা কেবল পাসওয়ার্ডই নয় বরং ডিভাইস কোড এবং OAuth টোকেনও সংগ্রহ করে — এমন ক্রেডেনশিয়াল যা পাসওয়ার্ড পরিবর্তনের মতো কোনো "নতুন লগইন" নোটিশ তৈরি না করেই অ্যাক্সেস দিয়ে দেয়।
মিল একটাই: দুটো আক্রমণই সেশন ও অথরাইজেশন মেকানিজম-কে লক্ষ্য করে — লিঙ্কড ডিভাইস, OAuth গ্র্যান্ট, ডিভাইস কোড — পাসওয়ার্ড নিজে নয়। আপনার অ্যাকাউন্টের বিল্ট-ইন অ্যালার্ট সিস্টেম সামনের দরজা পাহারা দেওয়ার জন্য তৈরি হয়েছিল। এই পদ্ধতিগুলো একটা পাশের দরজা দিয়ে ঢোকে, যেটা সেই সিস্টেম নজরদারি করে না।
আসলে এই বিষয়ে কী করা উচিত
এমন কোনো নোটিফিকেশনের জন্য অপেক্ষা করা যাবে না যা আসবেই না। এর বদলে, নিজের লিঙ্কড ডিভাইস এবং অনুমোদিত অ্যাপগুলো নিয়মিত নিজে চেক করাটাকে একটা রুটিন হিসেবে ধরে নিন — ঠিক যেমন আপনি স্মোক ডিটেক্টরের ব্যাটারি চেক করেন। এখানে একটা কংক্রিট পদ্ধতি দেওয়া হলো, ক্রম অনুযায়ী:
১. মেসেজিং অ্যাপে লিঙ্কড/সক্রিয় ডিভাইস চেক করুন
- WhatsApp: Settings → Linked Devices। যা কিছু চিনতে পারছেন না, তাতে ট্যাপ করে "Log out" করুন।
- Telegram: Settings → Devices। একই ধারণা — যে সেশনটা আপনার হাতে ধরা ডিভাইস নয়, সেটাকে শেষ করে দিন।
- Signal: Settings → Linked Devices, একই চেক করুন।
২. আপনার মূল অ্যাকাউন্টগুলোতে সক্রিয় সেশন এবং থার্ড-পার্টি অ্যাপ অ্যাক্সেস চেক করুন
- Google: myaccount.google.com/security → "Your devices" এবং "Third-party apps with account access"। অপরিচিত যেকোনো কিছু বাতিল করুন, এবং বিশেষ করে সেইসব অ্যাপের দিকে নজর দিন যাদের কয়েক মাস বা কয়েক বছর আগে অ্যাক্সেস দিয়ে ভুলে গিয়েছিলেন — একটা পুরনো অনুমোদন আক্রমণকারীর কাছে নতুন অনুমোদনের মতোই ব্যবহারযোগ্য।
- Microsoft: account.microsoft.com/security → "Sign-in activity" এবং "App permissions"।
- Apple ID: Settings → [আপনার নাম] → নিচে ডিভাইস তালিকা চেক করুন।
- Facebook/Instagram: Settings → "Where you're logged in" / "Active sessions", এবং সংযুক্ত থার্ড-পার্টি অ্যাক্সেসের জন্য "Apps and websites"।
৩. পাসওয়ার্ডের বদলে কোড দিতে বলা যেকোনো প্রক্রিয়া সম্পর্কে সন্দেহপ্রবণ থাকুন
বৈধ "এই ডিভাইস লিঙ্ক করুন" প্রক্রিয়াগুলোও কোড ব্যবহার করে — এটা স্বতঃপ্রণোদিতভাবে কোনো রেড ফ্ল্যাগ নয়। যেটা আপনাকে থামাতে হবে সেটা হলো এর ট্রিগার: যদি কোনো কন্টাক্টের পাঠানো মেসেজের কারণে ("আমাকে ভোট দিন," "এটা দেখুন") কোড-এন্ট্রি প্রম্পট আসে, কোনো পাবলিক ওয়াই-ফাই ক্যাপটিভ পোর্টালের কারণে আসে, অথবা এমন কোনো লিঙ্ক থেকে আসে যা আপনি নিজে শুরু করেননি — তাহলে প্রমাণ না পাওয়া পর্যন্ত সেটাকে ক্ষতিকর বলেই ধরে নিন। সেটা বন্ধ করে দিন এবং লিঙ্ক থেকে চালিয়ে যাওয়ার বদলে সরাসরি অ্যাপ বা অ্যাকাউন্টে গিয়ে দেখুন।
৪. আপনার ইমেইল কোনো পরিচিত ডেটা ব্রিচে ফাঁস হয়েছে কিনা চেক করুন
নিরাপত্তা গবেষক Troy Hunt-এর পরিচালিত Have I Been Pwned (haveibeenpwned.com) একটা বিনামূল্যের, সুপ্রতিষ্ঠিত সেবা যা দিয়ে চেক করা যায় আপনার ইমেইল ঠিকানা কোনো পরিচিত ডেটা ব্রিচে দেখা গেছে কিনা — এটা এতটাই বিশ্বাসযোগ্য যে জাতীয় সরকারগুলোও নিজেদের ডোমেইনের জন্য এটা ব্যবহার করে (এই সপ্তাহের রিপোর্ট অনুযায়ী, নেপালের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার এতে যুক্ত হওয়া ৪৭তম সরকার হয়েছে)। এটা কোনো লিঙ্কড-ডিভাইস কম্প্রোমাইজ ধরতে পারবে না, তবে এটা আপনার প্রাথমিক ইমেইল ঠিকানাগুলোতে চালানোর মতো একটা দ্রুত, বিনামূল্যের চেক, এবং যদি আপনি কোনো অ্যাকাউন্ট সমস্যার সন্দেহ করেন কিন্তু কোথা থেকে শুরু করবেন বুঝতে না পারেন, তাহলে এটাই প্রথম সঠিক পদক্ষেপ।
৫. অবিশ্বস্ত নেটওয়ার্কে — হোটেল ওয়াই-ফাই, কনফারেন্স ওয়াই-ফাই, বিমানবন্দর ওয়াই-ফাই — ক্যাপটিভ পোর্টাল পেজের মাধ্যমে সংবেদনশীল কোনো কিছুতে লগইন করা এড়িয়ে চলুন
যদি কোনো হোটেল বা ভেন্যুর ওয়াই-ফাই লগইন পেজ ইন্টারনেট অ্যাক্সেস দেওয়ার আগে সফটওয়্যার আপডেট, কোনো "সিকিউরিটি চেক" ডায়ালগ, বা Microsoft/Google লগইন চায়, তাহলে সতর্ক থাকুন — প্রথমে সংযুক্ত হোন, তারপর নেটওয়ার্কটি যে পেজ দেয় তার মাধ্যমে না গিয়ে আপনার আসল লগইনগুলো আপনার ফোনের সেলুলার সংযোগে বা VPN দিয়ে করুন।
এটা ক্যালেন্ডারে রাখুন
একবারের পরিষ্কার-পরিচ্ছন্নতার পদক্ষেপ আজকের সমস্যাটা ঠিক করে, কিন্তু পরের প্রান্তিকেরটা নয়। একটা পুনরাবৃত্ত রিমাইন্ডার বেছে নিন — ত্রৈমাসিক একটা যুক্তিসঙ্গত ছন্দ, অথবা এটাকে এমন কিছুর সাথে জুড়ে দিন যা আপনি ইতিমধ্যে নিয়মিত করেন, যেমন ঋতু পরিবর্তন বা কোনো পুনরাবৃত্ত বিল — এবং আপনার দুই বা তিনটি সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য ওপরের ১ ও ২ নম্বর ধাপ চালিয়ে যান: প্রাথমিক ইমেইল, আপনি সবচেয়ে বেশি যে মেসেজিং অ্যাপ ব্যবহার করেন, এবং আপনার অর্থনীতির সাথে যুক্ত যেকোনো অ্যাকাউন্ট। মেনুগুলো কোথায় জানা থাকলে এতে পনেরো মিনিটেরও কম সময় লাগে, এবং বিশেষভাবে এমনভাবে ডিজাইন করা অ্যাক্সেস ধরার এটাই একমাত্র নির্ভরযোগ্য উপায় যা আপনাকে সতর্ক না করার জন্যই তৈরি।
