BITB اٹیک کیا ہے؟ براؤزر ان دی براؤزر خطرے کی مکمل گائیڈ

اگر آپ سمجھتے تھے کہ فشنگ ای میلز سائبر سیکیورٹی کا سب سے سیدھا خطرہ ہیں، تو دوبارہ سوچیں۔ سائبر جرائم کی دنیا میں ایک نیا اور زیادہ مکار فشنگ حربہ زور پکڑ رہا ہے: BITB اٹیک، جو Browser-in-the-Browser کا مخفف ہے۔ اور نہیں، یہ محض کوئی اور بھاری بھرکم اصطلاح نہیں۔ یہ طریقہ حیرت انگیز طور پر مؤثر ہے اور اس کے لیے نہ جدید ہیکنگ مہارت درکار ہے نہ مہنگے ٹولز۔ BITB اٹیک اس چیز کا فائدہ اٹھاتے ہیں جو ہم سب روزانہ استعمال کرتے ہیں: ہمارا ویب براؤزر۔ اس حملے کی سادگی ہم سب کے لیے ایک جگانے والی گھنٹی ہونی چاہیے کہ ہم زیادہ چوکس رہیں۔

سچ کہیں تو ہم میں سے اکثر لاگ ان ونڈوز پر بغیر سوچے کلک کر دیتے ہیں۔ گوگل، فیس بک یا مائیکروسافٹ کا جانا پہچانا لاگ ان پاپ اپ نظر آئے تو ہم بغیر سوچے یوزر نیم اور پاس ورڈ لکھ دیتے ہیں۔ BITB اٹیک اسی عادت پر انحصار کرتے ہیں اور ان لاگ ان پرامپٹس کی اتنی مہارت سے نقل کرتے ہیں کہ سیکیورٹی ماہرین بھی دھوکا کھا چکے ہیں۔

اس مضمون میں ہم تفصیل سے دیکھیں گے کہ BITB اٹیک کیسے کام کرتے ہیں، یہ اتنے خطرناک کیوں ہیں، اور محفوظ رہنے کے لیے آپ کیا کر سکتے ہیں۔ چاہے آپ IT ایڈمن ہوں، کاروبار کے مالک ہوں یا اپنا ذاتی ڈیٹا بچانا چاہتے ہوں، یہ گائیڈ آپ کے لیے ہے۔

BITB اٹیک کیا ہے؟

آئیے پہلے سمجھتے ہیں کہ یہ خطرہ اصل میں ہے کیا۔ براؤزر ان دی براؤزر (BITB) اٹیک فشنگ فراڈ کی ایک قسم ہے جس میں ہیکرز ایک جائز ویب پیج کے اندر جعلی براؤزر ونڈو بنا دیتے ہیں۔ یہ نقل بالکل اصلی لاگ ان پاپ اپ جیسی لگتی ہے، جیسے وہ جو آپ گوگل یا مائیکروسافٹ اکاؤنٹ سے کسی سائٹ میں لاگ ان کرتے وقت دیکھتے ہیں۔

مقصد؟ آپ کو دھوکا دے کر آپ کی لاگ ان معلومات حاصل کرنا۔

حملہ آور HTML، CSS اور JavaScript سے اصلی تصدیقی پاپ اپ کی پکسل بہ پکسل ہو بہو نقل بناتا ہے۔ آپ کی آنکھ کو یہ براؤزر ونڈو لگتی ہے۔ مگر یہ ہے نہیں۔ یہ ایک ویب پیج ہے جو آپ کی لاگ ان معلومات چرانے کے لیے بنایا گیا ہے۔

اسے خطرناک بنانے والی چیز اس کا قائل کر دینے والا ہونا ہے۔ چونکہ ہم میں سے اکثر جانے پہچانے انٹرفیس پر بھروسا کرتے ہیں اور لاگ ان کے دوران پاپ اپس دیکھنے کے عادی ہیں، اس لیے یہ حملہ آسانی سے نظروں سے بچ نکلتا ہے۔

مختصر تاریخ: BITB اٹیک کہاں سے آئے؟

اگرچہ یہ تصور نیا لگتا ہے، براؤزر کے عناصر کی جعل سازی برسوں پرانی ہے۔ تاہم مخصوص Browser-in-the-Browser تکنیک نے 2022 کے اوائل میں توجہ حاصل کی جب ایک سیکیورٹی محقق نے تفصیلی پروف آف کانسیپٹ شائع کیا۔

وہ مضمون سائبر سیکیورٹی حلقوں میں تیزی سے پھیلا۔ اچانک جو چیز کبھی محض نظریاتی چال تھی، حقیقی دنیا میں استعمال کا نقشہ بن گئی۔ تب سے متعدد فشنگ مہمات نے یہ حکمت عملی اپنائی ہے اور افراد اور کمپنیوں دونوں کو نشانہ بنایا ہے۔

روایتی فشنگ کے برعکس، جو اکثر ای میل لنکس پر انحصار کرتی ہے جو ملتی جلتی نظر آنے والی سائٹس تک لے جاتے ہیں، BITB اٹیک میں آپ کو اصل ویب سائٹ چھوڑنے کی ضرورت نہیں پڑتی۔ جعلی لاگ ان اسی ٹیب کے اندر ہوتا ہے، جو اسے مزید دھوکے باز بنا دیتا ہے۔

BITB اٹیک کیسے کام کرتا ہے؟

BITB اٹیک کا طریقہ کار حیرت انگیز طور پر سادہ ہے۔ یہ فراڈ عموماً اس طرح آگے بڑھتا ہے:

1. صارف لاگ ان بٹن پر کلک کرتا ہے – فرض کریں آپ اپنے گوگل اکاؤنٹ سے کسی ویب سائٹ میں داخل ہو رہے ہیں۔ آپ “Login with Google” پر کلک کرتے ہیں۔
2. جعلی لاگ ان پاپ اپ ظاہر ہوتا ہے: اصلی براؤزر پاپ اپ کے بجائے پہلے سے تیار کی گئی جعلی ونڈو آ جاتی ہے۔ اس میں برانڈنگ، فارم فیلڈز اور یہاں تک کہ URL بار کے ساتھ گوگل کا لاگ ان انٹرفیس ہوتا ہے۔
3. آپ لاگ ان معلومات درج کرتے ہیں۔ اسے اصلی سمجھ کر آپ یوزر نیم اور پاس ورڈ لکھ دیتے ہیں۔
4. معلومات چرا لی جاتی ہیں – جیسے ہی آپ سبمٹ کرتے ہیں، آپ کی معلومات حملہ آور کے سرور کو بھیج دی جاتی ہیں۔
5. اختیاری ری ڈائریکشن – فریب برقرار رکھنے کے لیے بعد میں آپ کو اصل لاگ ان پیج پر بھی بھیجا جا سکتا ہے۔

اس چال میں کوئی حقیقی براؤزر ونڈو استعمال نہیں ہوتی۔ یہ ویب پیج کا ہی ایک ہوشیاری سے ڈیزائن کیا گیا حصہ ہے جو ونڈو جیسا دکھتا ہے۔ یہی اس کی چالاکی بھی ہے اور خطرہ بھی۔

سوشل انجینئرنگ کا کردار

BITB اٹیک کی اصل طاقت پرانی طرز کی سوشل انجینئرنگ ہے۔ یہ حملہ آپ کی توقعات اور عادات کا فائدہ اٹھاتا ہے۔ آپ نے خود کو براؤزر پر مبنی لاگ ان پر بھروسا کرنے کا عادی بنا لیا ہے کیونکہ یہ ہر جگہ ہیں، اور حملہ آور اسی پر بھروسا کر رہا ہوتا ہے۔

وہ نفسیات پر انحصار کرتے ہیں، زور زبردستی پر نہیں۔ فراڈ کی کامیابی اس میں ہے کہ صارف جو دیکھ رہا ہے اس پر سوال نہیں اٹھاتا۔ چونکہ سب کچھ “معمول کے مطابق” لگتا ہے، شکار دوبارہ نہیں سوچتا۔

مختصراً، ٹیکنالوجی آپ کو نہیں پھنساتی، چال پھنساتی ہے۔

BITB اٹیک اتنے مؤثر کیوں ہیں؟

کئی عوامل BITB اٹیک کو انتہائی مؤثر بناتے ہیں:

• بصری درستی – یہ جعلی ونڈوز اصلی ونڈوز سے بالکل ملتی جلتی نظر آتی ہیں۔
• URL بار کا فریب – حملہ آور ایڈریس بار سمیت براؤزر UI کے عناصر کی نقل کر سکتے ہیں۔
• کوئی مشکوک ری ڈائریکٹ نہیں: روایتی فشنگ آپ کو عجیب سے URL پر لے جاتی ہے، جبکہ BITB آپ کو اسی پیج پر رکھتا ہے۔
• MFA کے لیے تیار: ملٹی فیکٹر آتھنٹیکیشن (MFA) بھی مکمل محفوظ نہیں۔ حملہ آور کوڈز مانگ کر انہیں فوراً ریئل ٹائم میں دوبارہ استعمال کر سکتے ہیں۔
• کراس براؤزر مطابقت – یہ حملہ Chrome، Firefox اور Edge پر کام کرتا ہے۔

چونکہ صارفین کسی نئے ٹیب یا ونڈو میں منتقل نہیں ہوتے، انہیں کچھ عجیب محسوس نہیں ہوتا۔ سب کچھ اصلی لگتا ہے۔

حقیقی دنیا میں BITB کی مثالیں

اگرچہ BITB اٹیک کی کئی مثالیں نظروں سے اوجھل ہیں، کچھ ایسی مہمات میں دیکھی گئی ہیں جن کا ہدف یہ لوگ تھے:

• گیمرز – Steam یا Discord اکاؤنٹس کی لاگ ان ونڈوز
• کارپوریٹ ملازمین – Office365 اور Google Workspace کے پاپ اپس
• ڈیولپرز – GitHub کے لاگ ان پیجز
• کرپٹو سرمایہ کار – MetaMask کے جعلی لاگ ان انٹرفیس

ایک واقعے میں ایک صارف نے چیٹ کے ذریعے بھیجے گئے جعلی Microsoft Teams لنک پر کلک کیا۔ ایک BITB ونڈو نے لاگ ان معلومات مانگیں۔ چند منٹوں میں ان کا کارپوریٹ ای میل ہیک ہو گیا اور ان کے اکاؤنٹ سے بدنیتی پر مبنی ای میلز بھیجی گئیں۔

حقیقی نقصان۔ بہت تیزی سے۔

BITB اٹیک کا حقیقی دنیا پر اثر

BITB اٹیک صرف لاگ ان چوری کرنے تک محدود نہیں۔ جب حملہ آور رسائی حاصل کر لے تو نتائج میں یہ شامل ہو سکتے ہیں:

• بزنس ای میل کمپرومائز (BEC) – اندرونی ای میلز کے ذریعے دوسروں کو نشانہ بنانا
• ڈیٹا کی چوری – حساس فائلیں یا مالی دستاویزات ڈاؤن لوڈ کرنا
• لیٹرل موومنٹ – نیٹ ورک کے اندر مزید سسٹمز تک رسائی حاصل کرنا
• اکاؤنٹ ٹیک اوور – بینکنگ، سوشل میڈیا یا کلاؤڈ اسٹوریج جیسی سروسز ہائی جیک کرنا
• رینسم ویئر کی تعیناتی – ابتدائی رسائی کے بعد سسٹمز کو لاک کر دینا

کاروباروں کے لیے نقصان صرف تکنیکی نہیں، ساکھ اور مالی بھی ہوتا ہے۔

پہچاننے کے چیلنجز: انہیں پکڑنا مشکل کیوں ہے

زیادہ تر فشنگ کوششیں ڈیجیٹل نشانات چھوڑ جاتی ہیں: مشکوک لنکس، بے میل ڈومینز یا عجیب فارمیٹنگ۔ لیکن BITB میں ایسا کم ہی ہوتا ہے۔

• کوئی لنک ری ڈائریکشن نہیں – روایتی طور پر اسکین کرنے کے لیے کچھ نہیں ہوتا۔
• مقامی طور پر رینڈر ہوتا ہے – جعلی براؤزر اسی پیج پر ہوتا ہے، اس لیے سیکیورٹی ٹولز اکثر اسے چھوڑ دیتے ہیں۔
• کوئی ڈاؤن لوڈ نہیں – نہ اٹیچمنٹس نہ پے لوڈز جنہیں اینٹی وائرس ٹولز نشان زد کر سکیں۔
• SSL سرٹیفکیٹ مدد نہیں کر سکتے – اصل سائٹ اب بھی HTTPS استعمال کر رہی ہو سکتی ہے، جو تحفظ کا جھوٹا احساس دیتی ہے۔

یہ سب BITB اٹیک کو اس وقت تک پکڑنا انتہائی مشکل بنا دیتا ہے جب تک بہت دیر نہ ہو جائے۔

BITB اٹیک سے بچاؤ کیسے کریں

خوش قسمتی سے صارفین اور ادارے خود کو بچانے کے لیے کچھ اقدامات کر سکتے ہیں:

1. اپنی ٹیم کو تعلیم دیں – آگاہی دفاع کی پہلی لائن ہے۔ ملازمین کو سکھائیں کہ BITB اٹیک کیسے کام کرتے ہیں اور کن باتوں پر نظر رکھنی ہے۔ ٹیم کو یہ علم دے کر آپ ایسے حملوں کا شکار ہونے کا خطرہ نمایاں طور پر کم کر سکتے ہیں۔
2. پاس ورڈ مینیجرز استعمال کریں۔ یہ ٹولز جعلی لاگ ان ونڈوز پر پاس ورڈ خود نہیں بھریں گے کیونکہ وہ پہچان لیتے ہیں کہ یہ اصلی براؤزر پاپ اپس نہیں ہیں۔
3. MFA احتیاط کے ساتھ فعال کریں – اگرچہ یہ مکمل محفوظ نہیں، ملٹی فیکٹر آتھنٹیکیشن پھر بھی تحفظ کی ایک تہہ بڑھاتی ہے۔
4. لاگ ان ونڈوز کا معائنہ کریں – اگر آپ سے لاگ ان کے لیے کہا جائے تو پاپ اپ ونڈو کو گھسیٹ کر دیکھیں۔ اگر یہ براؤزر ٹیب سے الگ ہو کر نہ ہلے تو ہو سکتا ہے یہ جعلی ہو۔
5. جدید اینٹی فشنگ ٹولز اپنائیں – کچھ انٹرپرائز سیکیورٹی پلیٹ فارمز اب ویب عناصر کو مشکوک رویوں کے لیے اسکین کرتے ہیں، جن میں جعلی پاپ اپس بھی شامل ہیں۔
6. SSO کا دائرہ محدود کریں – اگر ممکن ہو تو محدود کریں کہ صارفین تھرڈ پارٹی سروسز سے کن چیزوں میں تصدیق کر سکتے ہیں۔ داخلے کے کم راستے یعنی کم خطرات۔

مستقبل کے رجحانات: BITB اور اس سے آگے

BITB اس بات کی صرف ایک مثال ہے کہ فشنگ کے حربے کیسے بدل رہے ہیں۔ جلد ہی ہم یہ دیکھ سکتے ہیں:

• موبائل BITB – اسمارٹ فونز اور ٹیبلیٹس کو نشانہ بنانے والی شکلیں
• AI سے بہتر فشنگ – جنریٹو AI کے ذریعے مزید قائل کرنے والے پیغامات
• ڈیپ فیک UI – پوری ایپلیکیشنز کی نقل کرنے والے براؤزر عناصر
• لائیو سیشن ہائی جیکنگ – ایسے حملے جو لاگ ان ڈیٹا ریئل ٹائم میں پکڑتے ہیں اور متوازی سیشن شروع کر دیتے ہیں

جیسے جیسے حملہ آور ہوشیار ہو رہے ہیں، ہمارے دفاع کو بھی ساتھ چلنا ہوگا۔ جامد سیکیورٹی ماڈل کام نہیں آئیں گے۔

نتیجہ: چوکس رہیں، محفوظ رہیں

براؤزر ان دی براؤزر اٹیک سادہ لگ سکتا ہے، مگر اس کی تاثیر اسے خطرناک بناتی ہے۔ یہ آپ کے سسٹم میں نقب نہیں لگاتا، بلکہ انتظار کرتا ہے کہ آپ خود دروازہ کھولیں۔ جانی پہچانی چیزوں کی نقل کر کے BITB تیز ترین صارفین کو بھی اپنی لاگ ان معلومات تھالی میں رکھ کر دینے پر مجبور کر دیتا ہے۔

تو بہترین دفاع کیا ہے؟ علم۔ سمجھیں کہ حملہ کیسے کام کرتا ہے۔ یہ علم دوسروں تک پہنچائیں۔ لاگ ان ونڈوز پر شک کرتے رہیں، خاص طور پر جب وہ “ضرورت سے زیادہ مکمل” لگیں۔ اگر آپ کسی ٹیم یا کمپنی کو سنبھالتے ہیں تو BITB سے آگاہی کو اپنے سیکیورٹی کلچر کا حصہ بنائیں۔

آج کی ڈیجیٹل دنیا میں سب سے خطرناک خطرات زور زبردستی والے نہیں، بلکہ خوبصورتی سے تراشے گئے فریب ہیں۔