ব্রাউজার ইন দ্য ব্রাউজার অ্যাটাক: BITB ফিশিং হুমকি

যদি ভেবে থাকেন ফিশিং ইমেইলই সবচেয়ে সরল সাইবার নিরাপত্তা হুমকি, তাহলে আবার ভাবুন। সাইবার অপরাধের দুনিয়ায় আরও নতুন ও আরও ধূর্ত এক ফিশিং কৌশল জোর পাচ্ছে: BITB অ্যাটাক, যার পূর্ণরূপ Browser-in-the-Browser। না, এটা শুধু আরেকটা জারগন নয়। এই পদ্ধতি অবিশ্বাস্য রকম কার্যকর, অথচ এতে উন্নত হ্যাকিং দক্ষতা বা দামি টুলের দরকার হয় না। ব্রাউজার ইন দ্য ব্রাউজার অ্যাটাক এমন জিনিসকে কাজে লাগায় যা আমরা সবাই রোজ ব্যবহার করি: আমাদের ওয়েব ব্রাউজার। এই আক্রমণের সরলতা আমাদের সবার জন্য আরও সতর্ক হওয়ার জাগরণী ডাক।

সত্যি বলতে, আমাদের বেশিরভাগই অভ্যাসবশে লগইন উইন্ডোতে ক্লিক করি। পরিচিত Google, Facebook বা Microsoft লগইন পপআপ দেখলেই কিছু না ভেবে ইউজারনেম আর পাসওয়ার্ড লিখে ফেলি। BITB অ্যাটাক ঠিক এই অভ্যাসের ওপরই ভরসা করে এবং এসব লগইন প্রম্পট এত নিখুঁতভাবে নকল করে যে নিরাপত্তা বিশেষজ্ঞরাও ধোঁকা খেয়েছেন।

এই লেখায় আমরা বিস্তারিত দেখব BITB অ্যাটাক কীভাবে কাজ করে, কেন এত বিপজ্জনক এবং নিরাপদ থাকতে আপনি কী করতে পারেন। আপনি আইটি অ্যাডমিন, ব্যবসার মালিক কিংবা নিজের ব্যক্তিগত তথ্য সুরক্ষিত রাখতে চান, এই গাইড আপনার জন্যই।

ব্রাউজার ইন দ্য ব্রাউজার অ্যাটাক (BITB) কী?

এই হুমকিটা আসলে কী, তা দিয়েই শুরু করা যাক। Browser-in-the-Browser (BITB) অ্যাটাক এক ধরনের ফিশিং প্রতারণা, যেখানে হ্যাকাররা একটি বৈধ ওয়েব পেজের ভেতরে ভুয়া ব্রাউজার উইন্ডো তৈরি করে। এই নকল উইন্ডো দেখতে হুবহু আসল লগইন পপআপের মতো, যেমনটা Google বা Microsoft অ্যাকাউন্ট দিয়ে কোনো সাইটে ঢোকার সময় দেখেন।

লক্ষ্য কী? আপনাকে ধোঁকা দিয়ে ক্রেডেনশিয়াল লিখিয়ে নেওয়া।

আক্রমণকারী HTML, CSS ও JavaScript ব্যবহার করে আসল অথেনটিকেশন পপআপের পিক্সেল-নিখুঁত ক্লোন বানায়। আপনার চোখে এটা ব্রাউজার উইন্ডোর মতোই লাগে। কিন্তু আসলে তা নয়। এটি এমন একটি ওয়েবপেজ, যা আপনার লগইন তথ্য চুরির জন্য বানানো।

এটি এত বিপজ্জনক হওয়ার কারণ এর বিশ্বাসযোগ্যতা। আমাদের বেশিরভাগই পরিচিত ইন্টারফেসে ভরসা করি এবং লগইনের সময় পপআপ দেখতে অভ্যস্ত, তাই আক্রমণটি সহজেই নজর এড়িয়ে যায়।

সংক্ষিপ্ত ইতিহাস: BITB অ্যাটাক এল কোথা থেকে?

ধারণাটা নতুন শোনালেও ব্রাউজারের উপাদান নকল করার চল বহু বছরের পুরোনো। তবে বিশেষ করে Browser-in-the-Browser কৌশলটি আলোচনায় আসে ২০২২ সালের শুরুতে, যখন একজন নিরাপত্তা গবেষক এর বিস্তারিত প্রুফ অব কনসেপ্ট প্রকাশ করেন।

সেই লেখা সাইবার নিরাপত্তা মহলে ভাইরাল হয়ে যায়। একসময় যা ছিল কেবল তাত্ত্বিক কৌশল, হঠাৎ তা বাস্তব আক্রমণের নকশায় পরিণত হলো। তারপর থেকে একাধিক ফিশিং ক্যাম্পেইন এই পদ্ধতি নিয়েছে, লক্ষ্য করেছে ব্যক্তি ও কোম্পানি দুই পক্ষকেই।

চিরাচরিত ফিশিং সাধারণত ইমেইলের লিংকের মাধ্যমে হুবহু একই রকম দেখতে সাইটে নিয়ে যায়। কিন্তু BITB অ্যাটাকে আপনাকে আসল ওয়েবসাইট ছেড়ে যেতেই হয় না। ভুয়া লগইন হয় একই ট্যাবের ভেতরে, ফলে প্রতারণা আরও জোরালো হয়।

BITB অ্যাটাক কীভাবে কাজ করে?

BITB অ্যাটাকের পেছনের কৌশল অবাক করার মতো সরল। প্রতারণাটা সাধারণত এভাবে ঘটে:

1. ব্যবহারকারী লগইন বাটনে ক্লিক করেন – ধরুন আপনি Google অ্যাকাউন্ট দিয়ে কোনো ওয়েবসাইটে ঢুকতে চাইছেন। আপনি “Login with Google”-এ ক্লিক করলেন।
2. ভুয়া লগইন পপআপ দেখা দেয়: আসল ব্রাউজার পপআপের বদলে আগে থেকে তৈরি একটি নকল উইন্ডো আসে। তাতে ব্র্যান্ডিং, ফর্মের ঘর, এমনকি URL বারসহ Google লগইন ইন্টারফেস থাকে।
3. আপনি ক্রেডেনশিয়াল দেন। বৈধ ভেবে আপনি ইউজারনেম ও পাসওয়ার্ড লিখে ফেলেন।
4. ক্রেডেনশিয়াল হাতিয়ে নেওয়া হয় – সাবমিট করলেই আপনার তথ্য চলে যায় আক্রমণকারীর সার্ভারে।
5. ঐচ্ছিক রিডাইরেকশন – মায়াজাল টিকিয়ে রাখতে পরে আপনাকে আসল লগইন পেজেও পাঠিয়ে দেওয়া হতে পারে।

এই কৌশলে আসল ব্রাউজার উইন্ডো ব্যবহার হয় না। এটি ওয়েবপেজেরই একটি চতুরভাবে বানানো অংশ, যা দেখতে উইন্ডোর মতো। আর এখানেই এর প্রতিভা এবং বিপদ।

সোশ্যাল ইঞ্জিনিয়ারিংয়ের ভূমিকা

BITB অ্যাটাকের আসল শক্তি সেই পুরোনো ধাঁচের সোশ্যাল ইঞ্জিনিয়ারিং। এই আক্রমণ আপনার প্রত্যাশা ও অভ্যাসকে শিকার করে। ব্রাউজারভিত্তিক লগইন সর্বত্র আছে বলে আপনি তাতে ভরসা করতে শিখেছেন, আর আক্রমণকারী ঠিক সেটাই কাজে লাগায়।

তারা ভরসা করে মনস্তত্ত্বের ওপর, জোরজবরদস্তির ওপর নয়। প্রতারণার সাফল্য নির্ভর করে ব্যবহারকারী যা দেখছেন তা নিয়ে প্রশ্ন না তোলার ওপর। সবকিছু “স্বাভাবিক” দেখায় বলে শিকার দ্বিতীয়বার ভাবেন না।

সংক্ষেপে, প্রযুক্তি আপনাকে ধরে না, ধরে কৌশল।

BITB অ্যাটাক এত কার্যকর কেন?

কয়েকটি কারণে BITB অ্যাটাক অসাধারণ রকম কার্যকর:

• দৃশ্যগত নিখুঁততা – এই নকল উইন্ডো আসলটার সঙ্গে হুবহু মিলে যায়।
• URL বারের প্রতারণা – আক্রমণকারীরা অ্যাড্রেস বারসহ ব্রাউজারের UI উপাদান নকল করতে পারে।
• সন্দেহজনক রিডাইরেক্ট নেই: চিরাচরিত ফিশিং আপনাকে অদ্ভুত চেহারার URL-এ নিয়ে যায়, আর BITB আপনাকে একই পেজে রেখে দেয়।
• MFA-ও আটকাতে পারে না: মাল্টি-ফ্যাক্টর অথেনটিকেশনও (MFA) অভেদ্য নয়। আক্রমণকারীরা কোড চেয়ে নিয়ে তখনই রিয়েল-টাইমে সেটি আবার ব্যবহার করতে পারে।
• সব ব্রাউজারে কাজ করে – আক্রমণটি Chrome, Firefox ও Edge জুড়েই কাজ করে।

ব্যবহারকারীকে নতুন ট্যাব বা উইন্ডোতে নেওয়া হয় না বলে অস্বাভাবিক কিছু চোখে পড়ে না। সবকিছু নেটিভ মনে হয়।

বাস্তবে BITB অ্যাটাকের উদাহরণ

BITB অ্যাটাকের অনেক উদাহরণ এখনো আড়ালে থাকলেও কিছু ক্যাম্পেইনে এগুলো ধরা পড়েছে, যাদের লক্ষ্য ছিল:

• গেমার – Steam বা Discord অ্যাকাউন্টের লগইন উইন্ডো
• কর্পোরেট কর্মী – Office365 ও Google Workspace পপআপ
• ডেভেলপার – GitHub লগইন পেজ
• ক্রিপ্টো বিনিয়োগকারী – ভুয়া MetaMask লগইন ইন্টারফেস

একটি ঘটনায় এক ব্যবহারকারী চ্যাটে আসা ভুয়া Microsoft Teams লিংকে ক্লিক করেন। একটি BITB উইন্ডো তাঁর কাছে ক্রেডেনশিয়াল চায়। কয়েক মিনিটের মধ্যেই তাঁর অফিসের ইমেইল হ্যাক হয় এবং তাঁর অ্যাকাউন্ট থেকে ক্ষতিকর ইমেইল পাঠানো হয়।

আসল ক্ষতি। আর খুব দ্রুত।

BITB অ্যাটাকের বাস্তব প্রভাব

BITB অ্যাটাক শুধু লগইন চুরির ব্যাপার নয়। আক্রমণকারী একবার ঢুকে পড়লে পরিণতি এমন হতে পারে:

• বিজনেস ইমেইল কম্প্রোমাইজ (BEC) – অভ্যন্তরীণ ইমেইল ব্যবহার করে অন্যদের টার্গেট করা
• ডেটা চুরি – সংবেদনশীল ফাইল বা আর্থিক নথি ডাউনলোড করা
• ল্যাটারাল মুভমেন্ট – নেটওয়ার্কের ভেতরে আরও সিস্টেমে প্রবেশাধিকার পাওয়া
• অ্যাকাউন্ট টেকওভার – ব্যাংকিং, সোশ্যাল মিডিয়া বা ক্লাউড স্টোরেজের মতো সেবা হাইজ্যাক করা
• র‍্যানসমওয়্যার স্থাপন – প্রাথমিক প্রবেশের পর সিস্টেম তালাবদ্ধ করে দেওয়া

ব্যবসার ক্ষেত্রে ক্ষতি শুধু প্রযুক্তিগত নয়, সুনাম ও অর্থেরও।

শনাক্ত করার চ্যালেঞ্জ: কেন এগুলো ধরা কঠিন

বেশিরভাগ ফিশিং প্রচেষ্টা ডিজিটাল চিহ্ন রেখে যায়: সন্দেহজনক লিংক, মেলে না এমন ডোমেইন, বা অদ্ভুত ফরম্যাটিং। কিন্তু BITB-তে তেমনটা প্রায় নেই।

• লিংক রিডাইরেকশন নেই – চিরাচরিত উপায়ে স্ক্যান করার মতো কিছু নেই।
• লোকালি রেন্ডার হয় – ভুয়া ব্রাউজার একই পেজে থাকে, তাই নিরাপত্তা টুল প্রায়ই ধরতে পারে না।
• কোনো ডাউনলোড নেই – অ্যান্টিভাইরাস টুল চিহ্নিত করতে পারে এমন অ্যাটাচমেন্ট বা পেলোড নেই।
• SSL সার্টিফিকেট সাহায্য করে না – আসল সাইট তখনও HTTPS ব্যবহার করতে পারে, যা মিথ্যে নিরাপত্তার অনুভূতি দেয়।

এসব কারণে BITB অ্যাটাক শনাক্ত করা অত্যন্ত কঠিন, যতক্ষণ না অনেক দেরি হয়ে যায়।

BITB অ্যাটাক কীভাবে ঠেকাবেন

সৌভাগ্যবশত, ব্যবহারকারী ও প্রতিষ্ঠান নিজেদের সুরক্ষায় কয়েকটি পদক্ষেপ নিতে পারে:

1. আপনার টিমকে শেখান – সচেতনতাই প্রতিরক্ষার প্রথম সারি। কর্মীদের শেখান BITB অ্যাটাক কীভাবে কাজ করে এবং কী কী লক্ষ্য রাখতে হবে। এই জ্ঞানে টিমকে সক্ষম করলে এমন আক্রমণের শিকার হওয়ার ঝুঁকি উল্লেখযোগ্যভাবে কমে।
2. পাসওয়ার্ড ম্যানেজার ব্যবহার করুন। এই টুলগুলো ভুয়া লগইন উইন্ডোতে পাসওয়ার্ড অটোফিল করবে না, কারণ তারা বুঝতে পারে সেগুলো আসল ব্রাউজার পপআপ নয়।
3. সতর্কতার সঙ্গে MFA চালু করুন – অভেদ্য না হলেও মাল্টি-ফ্যাক্টর অথেনটিকেশন সুরক্ষার একটি অতিরিক্ত স্তর যোগ করে।
4. লগইন উইন্ডো যাচাই করুন – লগইন করতে বলা হলে পপআপ উইন্ডোটি টেনে সরান। ব্রাউজার ট্যাব থেকে আলাদা হয়ে না নড়লে সেটি ভুয়া হতে পারে।
5. উন্নত অ্যান্টি-ফিশিং টুল নিন – কিছু এন্টারপ্রাইজ নিরাপত্তা প্ল্যাটফর্ম এখন ভুয়া পপআপসহ সন্দেহজনক আচরণের জন্য ওয়েব উপাদান স্ক্যান করে।
6. SSO-র পরিধি সীমিত করুন – সম্ভব হলে তৃতীয় পক্ষের সেবার মাধ্যমে ব্যবহারকারীরা কীসে অথেনটিকেট করতে পারবে তা সীমিত করুন। প্রবেশপথ কম মানে ঝুঁকিও কম।

ভবিষ্যতের প্রবণতা: BITB এবং তার পরে

ফিশিং কৌশল যে কীভাবে বদলাচ্ছে, BITB তার একটি উদাহরণ মাত্র। শিগগিরই আমরা দেখতে পারি:

• মোবাইল BITB – স্মার্টফোন ও ট্যাবলেটকে লক্ষ্য করে বানানো রূপ
• এআই-চালিত ফিশিং – জেনারেটিভ এআই দিয়ে আরও বিশ্বাসযোগ্য টোপ বার্তা
• ডিপফেক UI – পুরো অ্যাপ্লিকেশন নকল করা ব্রাউজার উপাদান
• লাইভ সেশন হাইজ্যাকিং – রিয়েল-টাইমে লগইন ডেটা ধরে সমান্তরাল সেশন চালু করা আক্রমণ

আক্রমণকারীরা যত চালাক হচ্ছে, আমাদের প্রতিরক্ষাকেও তাল মেলাতে হবে। স্থির নিরাপত্তা মডেলে আর চলবে না।

উপসংহার: সজাগ থাকুন, নিরাপদ থাকুন

ব্রাউজার ইন দ্য ব্রাউজার অ্যাটাক সরল মনে হতে পারে, কিন্তু এর কার্যকারিতাই একে বিপজ্জনক করেছে। এটি আপনার সিস্টেমে জোর করে ঢোকে না, অপেক্ষা করে আপনি কখন দরজা খুলবেন। পরিচিত জিনিস নকল করে BITB সবচেয়ে সজাগ ব্যবহারকারীকেও দিয়ে ক্রেডেনশিয়াল রুপোর থালায় তুলে দেওয়ায়।

তাহলে সেরা প্রতিরক্ষা কী? জ্ঞান। আক্রমণটা কীভাবে কাজ করে তা বুঝুন। সেই জ্ঞান অন্যদের সঙ্গে ভাগ করুন। লগইন উইন্ডো নিয়ে সন্দিহান থাকুন, বিশেষ করে যখন সেগুলো “বেশি নিখুঁত” মনে হয়। আপনি যদি কোনো টিম বা কোম্পানি চালান, BITB সচেতনতাকে আপনার নিরাপত্তা সংস্কৃতির অংশ করুন।

আজকের ডিজিটাল দুনিয়ায় সবচেয়ে বিপজ্জনক হুমকিগুলো জোরজবরদস্তির নয়, সুনিপুণভাবে সাজানো মায়াজাল।