Alert! हैकर्स ने तोड़ा 2FA का सुरक्षा कवच, हैक का तरीका जान चौंक जाएंगे आप

नई दिल्ली: आजकल ऑनलाइन अकाउंट चुराने वाले हैकर्स बहुत स्मार्ट हो गए हैं. पहले लोग सिर्फ पासवर्ड से अकाउंट बचाते थे. बाद में टू-फैक्टर ऑथेंटिकेशन यानी 2FA आया. इसे बहुत सुरक्षित माना जाता था. लेकिन अब हैकर्स ने इसका भी तोड़ निकाल लिया है. कई लोगों को शायद इसके बारे में अच्छे से नहीं पता होगा कि 2FA क्या है. अगर आप भी इसी लिस्ट में हैं तो यहां हम आपको इसके बारे में बता रहे हैं और  Evilginx नाम का टूल कैसे काम करता है और इससे कैसे बचा जा सकता है.

2FA क्या होता है और क्यों जरूरी है?

2FA का मतलब है दो तरीकों से आईडेंटिटी की जांच. जैसे आपका पासवर्ड पहला तरीका है. दूसरा तरीका हो सकता है फोन पर आने वाला कोड, ईमेल पर मैसेज, फिंगरप्रिंट या चेहरे की स्कैनिंग. जब आप किसी वेबसाइट या ऐप में लॉगिन करते हैं तो पहले पासवर्ड डालते हैं. उसके बाद दूसरा कोड या स्कैन भी देना पड़ता है. 

पासवर्ड तो कोई अनुमान लगा सकता है या चोरी कर सकता है. लेकिन फोन पर आने वाला कोड तुरंत बदल जाता है और सिर्फ आपके पास आता है. इसलिए 2FA को ऑनलाइन सुरक्षा का मजबूत तरीका माना जाता था. बैंक, सोशल मीडिया, ईमेल और शॉपिंग साइट्स सब इसको इस्तेमाल करते हैं. कई लोग सोचते हैं कि 2FA चालू कर दिया तो अकाउंट पूरी तरह सुरक्षित है. लेकिन अब यह सोच गलत साबित हो रही है.

Evilginx टूल ने बढ़ाया खतरा:

रिपोर्ट्स बताती हैं कि हैकर्स एक टूल का इस्तेमाल कर रहे हैं जिसका नाम है Evilginx. यह टूल खासतौर पर 2FA को धोखा देने के लिए बनाया गया है. असल में Evilginx एक खुला सॉफ्टवेयर है. इसे पहले साइबर सुरक्षा के विशेषज्ञों ने बनाया था ताकि वे खुद टेस्ट करके देख सकें कि 2FA में कहां कमजोरी है. लेकिन हैकर्स ने इसे बदलकर गलत कामों में इस्तेमाल करना शुरू कर दिया.

यह टूल मैन-इन-द-मिडल की तरह काम करता है. मतलब हैकर आपके और असली वेबसाइट के बीच बैठ जाता है. जब आप लॉगिन करते हैं तो सारी जानकारी पहले हैकर के पास जाती है और फिर असली साइट पर. इससे हैकर न सिर्फ आपका पासवर्ड और कोड चुरा लेता है बल्कि सेशन कुकीज भी ले लेता है.

सेशन कुकीज क्या होती हैं?

जब आप किसी वेबसाइट में लॉगिन करते हैं तो ब्राउजर में छोटी-छोटी फाइलें बन जाती हैं. इन्हें कुकीज कहते हैं. इनमें आपकी लॉगिन की जानकारी और सेशन आईडी होती है. इन कुकीज के सहारे वेबसाइट जानती है कि आप वही यूजर हैं जो अभी लॉगिन हुए हैं. हैकर्स इन कुकीज को चुरा लेते हैं तो उन्हें बार-बार पासवर्ड या 2FA कोड डालने की जरूरत नहीं पड़ती. वे सीधे आपके अकाउंट में घुस सकते हैं.

Evilginx कैसे काम करता है?

साधारण फिशिंग में हैकर नकली वेबसाइट बनाते हैं जो असली जैसी दिखती है. आप उस पर पासवर्ड डालते हैं तो पासवर्ड उनके पास चला जाता है. लेकिन 2FA कोड आपके फोन पर आता है इसलिए वे आगे नहीं बढ़ पाते. अब हैकर्स Evilginx का इस्तेमाल करते हैं. वे एक नकली लॉगिन पेज बनाते हैं और बीच में यह टूल लगा देते हैं. जब आप नकली पेज पर अपना यूजरनेम और पासवर्ड डालते हैं तो Evilginx उसे असली वेबसाइट पर भेज देता है. असली वेबसाइट आपको 2FA कोड मांगती है. आप कोड डालते हैं. कोड सही होने पर असली साइट लॉगिन मंजूर कर देती है और सेशन कुकीज बनाती है. Evilginx इन कुकीज को चुराकर हैकर को दे देता है.  

अब हैकर उन कुकीज के सहारे सीधे आपके अकाउंट में घुस जाता है. आपको लगता है कि आपने सही साइट पर लॉगिन किया है लेकिन असल में आपकी जानकारी हैकर के पास पहुंच चुकी होती है. यह तरीका बैंकिंग साइट्स, जीमेल, फेसबुक, इंस्टाग्राम, क्लाउड स्टोरेज और शॉपिंग साइट्स पर काम कर सकता है.

क्यों खतरा बढ़ गया है?

पहले हैकर्स को 2FA कोड का इंतजार करना पड़ता था. अब वे रियल टाइम में कुकीज चुरा लेते हैं. एक बार कुकीज मिल जाने के बाद वे घंटों या दिनों तक आपके अकाउंट का इस्तेमाल कर सकते हैं. व्यक्तिगत जानकारी, पैसे, फोटो, मैसेज सब कुछ खतरे में पड़ सकते हैं. कई कंपनियों और आम लोगों के अकाउंट इसी तरीके से हैक हो चुके हैं.

किस तरह किया जा सकता है बचाव?

साइबर सुरक्षा विशेषज्ञ अब पासकी का सुझाव दे रहे हैं. पासकी एक नया और मजबूत तरीका है. इसमें पासवर्ड की जरूरत ही नहीं पड़ती. आपका फोन या कंप्यूटर खुद आईडेंटिटी करता है. फिंगरप्रिंट, चेहरे की स्कैन या डिवाइस की सुरक्षा कुंजी से लॉगिन होता है.  

पासकी का सबसे बड़ा फायदा यह है कि यह फिशिंग से बचाती है. हैकर चाहे कितना भी स्मार्ट टूल लगा ले, पासकी उसके काम नहीं आती क्योंकि यह आपके डिवाइस से जुड़ी होती है. कई बड़ी कंपनियां जैसे गूगल, एप्पल, माइक्रोसॉफ्ट अब पासकी सपोर्ट कर रही हैं. जहां भी पासकी का ऑप्शन दिखे वहां इसे चालू कर लें.

इन बातों का रखें ख्याल:

• किसी भी लिंक पर क्लिक करने से पहले यूआरएल ध्यान से देखें.  

• संदिग्ध मैसेज या ईमेल से आए लिंक न खोलें.  

• महत्वपूर्ण अकाउंट पर जहां संभव हो वहां पासकी या हार्डवेयर सिक्योरिटी की चालू करें.  

• ब्राउजर और ऐप्स अपडेट रखते रहें.  

• पब्लिक वाई-फाई पर महत्वपूर्ण लॉगिन न करें.