हम में से ज़्यादातर लोग अकाउंट टेकओवर का मतलब यही समझते हैं कि कोई आपका पासवर्ड अंदाज़ा लगाकर या चुराकर हासिल कर लेता है। लेकिन हाल की कई घटनाओं में जो पैटर्न सामने आ रहा है, वह इससे अलग तरीके से काम करता है: हमलावर आपके पासवर्ड को छूता तक नहीं। इसके बजाय, वह आपसे ऐसी चीज़ हासिल कर लेता है जो पहले से लॉग-इन अकाउंट की डुप्लीकेट चाबी जैसा काम करती है — एक लिंक्ड डिवाइस, एक ऑथराइज़ेशन टोकन, एक सेशन — और उन तालों को आराम से पार कर जाता है जिन पर आप आमतौर पर भरोसा करते हैं।
इस तरीके को समझने के लिए दो उदाहरण काफी हैं। सुरक्षा शोधकर्ताओं ने हाल ही में एक व्हाट्सऐप स्कैम के बारे में बताया, जो पहले से हैक हो चुके अकाउंट्स से फैलता है, जिसमें एक मैसेज आपसे किसी दोस्त को किसी प्रतियोगिता में "वोट" देने के लिए कहता है। यह आपको एक ऐसे पेज पर ले जाता है जो व्हाट्सऐप के "लिंक्ड डिवाइस" सेटअप की नकल करता है, या आपसे कहता है कि आप अपने ही लिंक्ड-डिवाइसेज़ मेन्यू में एक कोड डालें। इस प्रक्रिया को पूरा करते ही हमलावर का फ़ोन आपके अकाउंट में दूसरे, पूरी तरह अधिकृत डिवाइस के रूप में जुड़ जाता है — यानी पूरा रीड और सेंड एक्सेस — और उसे पासवर्ड डालने की ज़रूरत भी नहीं पड़ती। चूँकि पासवर्ड को छुआ ही नहीं गया, इसलिए आपको न तो पासवर्ड-रीसेट ईमेल मिलता है, न ही फेल्ड-लॉगिन अलर्ट। यह घुसपैठिया सेशन बस चुपचाप आपकी डिवाइस लिस्ट में एक और एंट्री बनकर बैठा रहता है।
अलग से, माइक्रोसॉफ्ट ने एक ऐसे कैंपेन को लेकर चेतावनी दी है जो होटल और कॉन्फ्रेंस के वाई-फाई कैप्टिव पोर्टल्स — यानी कनेक्ट करते समय दिखने वाला वह "शर्तों से सहमत हों" पेज — का दुरुपयोग करता है। नेटवर्क पथ में मौजूद हमलावर पीड़ितों को नकली लॉगिन पेजों या नकली "डिवाइस कोड" प्रॉम्प्ट्स पर भेज देते हैं, जिन्हें पूरा करते ही पासवर्ड की बजाय ऑथराइज़ेशन टोकन हमलावर के हाथ लग जाते हैं। नतीजा वही होता है: एक ऐसा सेशन जो सर्विस को असली लगता है, क्योंकि तकनीकी रूप से वह असली ही है — बस अब वह किसी और का हो चुका है।
आपके सामान्य सुरक्षा उपाय इसे क्यों पकड़ नहीं पाते
पासवर्ड मैनेजर पासवर्ड की सुरक्षा करता है। टू-फैक्टर ऑथेंटिकेशन लॉग-इन के पल की सुरक्षा करता है। इनमें से कोई भी इस बात पर नज़र नहीं रखता कि सेशन या डिवाइस अधिकृत होने के बाद क्या होता है, और यही वह खामी है जिसके लिए ये हमले खासतौर पर बनाए गए हैं। इस तरह की सेंधमारी को पकड़ने का एकमात्र भरोसेमंद तरीका यह है कि आप समय-समय पर खुद हाथ से जाँचें कि इस वक़्त कौन-कौन से डिवाइस और ऐप्स आपके अकाउंट्स तक स्थायी पहुँच रखते हैं — न कि किसी ऐसे अलर्ट का इंतज़ार करें जिसे ये हमले खासतौर पर ट्रिगर न होने के लिए ही डिज़ाइन किए गए हैं।
15 मिनट का सेशन ऑडिट
यह उन अकाउंट्स के लिए करें जो आपके लिए सबसे ज़्यादा मायने रखते हैं (ईमेल, व्हाट्सऐप/टेलीग्राम, बैंकिंग, और आपकी पहचान या पैसे से जुड़ी कोई भी चीज़), और इसे दोहराने के लिए एक बार-बार आने वाला रिमाइंडर सेट कर लें। जहाँ मेन्यू के नाम समय के साथ बदल जाते हैं, वहाँ "डिवाइसेज़," "सेशंस," या "कनेक्टेड ऐप्स" जैसे शब्दों को खोजें:
- व्हाट्सऐप: Settings → Linked Devices. जो भी डिवाइस आपको पहचान में न आए, उस पर टैप करें और उसे तुरंत लॉग आउट कर दें।
- Google: myaccount.google.com/security → "Your devices" और, अलग से, "Third-party apps & services" (कभी-कभी इसे "Sign in with Google" कहा जाता है)। जिन चीज़ों का आप सक्रिय रूप से इस्तेमाल नहीं करते, उनका एक्सेस रिवोक कर दें।
- Microsoft account: डिवाइस लिस्ट के लिए account.microsoft.com/devices; साइन-इन हिस्ट्री के लिए account.microsoft.com/activity.
- Apple ID: iPhone/iPad पर Settings → [your name], या Mac पर System Settings, आपके Apple ID में साइन-इन हर डिवाइस को दिखाता है।
- Facebook/Instagram (Meta): Settings → Accounts Center → Password and security → Where you're logged in.
- बैंकिंग और फाइनेंशियल ऐप्स: ज़्यादातर में सिक्योरिटी सेटिंग्स के अंदर "manage devices" या "active sessions" जैसी स्क्रीन होती है, हालाँकि शब्दावली संस्था के हिसाब से अलग-अलग हो सकती है — अभी अपनी वाली जाँच कर लें ताकि ज़रूरत पड़ने से पहले ही आपको पता हो कि वह कहाँ है।
इन मेन्यू में रहते हुए, "connected apps" या OAuth ग्रांट्स की लिस्ट पर भी एक नज़र डाल लें — जो पुराने ऐप्स और ब्राउज़र एक्सटेंशन आपने सालों पहले अधिकृत किए थे और भूल चुके हैं, वे बिल्कुल वैसी ही स्थायी पहुँच हैं जिसे यह तरह का हमला नए सिरे से बनाने की कोशिश करता है।
अगर आपको कुछ ऐसा मिले जिसे आप पहचान न पाएँ
सबसे पहले उस अनजान डिवाइस या ऐप को हटाएँ या लॉग आउट करें — इंतज़ार न करें। इसके बाद, भले ही हमलावर को आपके पासवर्ड की ज़रूरत न पड़ी हो, फिर भी एहतियात के तौर पर उसे बदल दें, और अगर टू-फैक्टर ऑथेंटिकेशन बंद हो गया हो तो उसे दोबारा चालू करें (कुछ हैक इसे इसलिए बंद कर देते हैं ताकि दोबारा घुसना आसान रहे)। यह भी जाँच लें कि हमलावर ने आगे टिके रहने के लिए कुछ सेट तो नहीं किया — जैसे ईमेल में नए फॉरवर्डिंग रूल्स, नए रिकवरी फ़ोन नंबर या ईमेल, या कहीं और जोड़े गए नए डिवाइस — क्योंकि हैक किए गए सेशन का इस्तेमाल अक्सर पहली सेंध पकड़े जाने से पहले दूसरी पैठ बनाने के लिए किया जाता है। आखिर में, अगर जिस अकाउंट में सेंध लगी है उस पर आपके संपर्क भरोसा करते हैं (जैसे व्हाट्सऐप), तो लोगों को आगाह कर दें कि हाल के दिनों में आपकी तरफ़ से आए मैसेज — खासकर पैसे, वोट या कोड माँगने वाले — हो सकता है आपने न भेजे हों।
यात्रा के दौरान एक खास जाल, जिसके बारे में जानना ज़रूरी है
अगर आप होटल, एयरपोर्ट या कॉन्फ्रेंस के वाई-फाई से जुड़ रहे हैं और कैप्टिव पोर्टल पेज आपसे Microsoft, Google या किसी ऐसे ही अकाउंट में "साइन इन" करने को कहे, या आपको डालने के लिए एक डिवाइस कोड दिखाए, तो शुरू से ही शक करें — असली होटल वाई-फाई को ऑनलाइन होने के लिए लगभग कभी भी आपके पर्सनल क्लाउड अकाउंट को ऑथेंटिकेट करने की ज़रूरत नहीं पड़ती। ब्राउज़र बंद कर दें, इसके बजाय अपने फ़ोन के सेल्युलर हॉटस्पॉट या VPN से कनेक्ट करें, और अगर होटल का वाई-फाई इस्तेमाल करना ही पड़े, तो उस पर किसी भी संवेदनशील चीज़ में लॉग इन करने से पूरी तरह बचें।
अगर आप कोड लिखते या पब्लिश करते हैं, तो एक और काम की बात
वही "यह आपका पासवर्ड नहीं, आपका सेशन/टोकन है" वाला तर्क डेवलपर क्रेडेंशियल्स पर भी लागू होता है। हाल ही में एक ज़हरीले npm पैकेज से जुड़ी सप्लाई-चेन घटना में खासतौर पर क्रेडेंशियल रोटेशन पर नज़र रखी जा रही थी और वह उस पर ट्रिगर हो सकती थी — यानी सहज ही सूझने वाला पहला कदम (अपने टोकन रोटेट करना) उस मामले में गलत पहला कदम साबित होता। अगर आपको कभी शक हो कि कोई बिल्ड या CI क्रेडेंशियल उजागर हो गया है, तो कुछ भी रोटेट करने से पहले यह जाँच लें कि सेंध लगे पैकेज ने असल में किया क्या था, बजाय यह मान लेने के कि सिर्फ़ रोटेशन से ही रास्ता बंद हो जाएगा।
इसे कैलेंडर में डाल लें
यह कोई एक बार करने वाला उपाय नहीं है — यह एक आदत है, बिल्कुल वैसे ही जैसे बैंक स्टेटमेंट जाँचना एक आदत होती है। कोई तारीख़ तय कर लें जो बार-बार आती हो (महीने की पहली तारीख़ इसके लिए अच्छी रहती है) और ऊपर दी गई डिवाइस/सेशन लिस्ट पर एक नज़र दौड़ा लें। यह पंद्रह मिनट की जाँच बिल्कुल उसी तरह की चुपचाप, बिना-पासवर्ड होने वाली सेंध को पकड़ लेती है, जिसे पकड़ने में आपके बाकी सारे सुरक्षा इंतज़ाम चूक जाते हैं।
