Crypto Phishing, यह काम कैसे करती है और बचाव के नियम क्या हैं

इस श्रेणी की सबसे पुरानी सलाह अब लगभग बेकार हो चुकी है। वह सलाह यह थी कि नकली संदेश भाषा की गलतियों से पहचान लीजिए। Crypto Phishing में अब वह पहचान काम नहीं करती, इसलिए पहचान का आधार ही बदलना पड़ेगा।

यह पेज तीन अलग रास्ते अलग करता है, क्योंकि तीनों में नुकसान अलग जगह होता है और बचाव भी अलग है।

Crypto Phishing, यह है क्या

इसका मतलब है किसी को धोखे से ऐसी जानकारी या अनुमति देने पर राज़ी करना जिससे उसकी संपत्ति निकाली जा सके। ध्यान दीजिए कि इसमें कहीं भी किसी सिस्टम में सेंध नहीं लगती।

पूरा काम आपसे करवाया जाता है, और इसीलिए महँगा उपकरण, मज़बूत पासवर्ड या कोई antivirus इससे नहीं बचाता। यह तकनीकी समस्या नहीं है, यह एक ऐसा क्षण है जहाँ आपसे एक फैसला करवाया जाता है।

नकली साइट कैसे बनती है

किसी असली सेवा की हूबहू नकल बनाना अब मुश्किल काम नहीं रहा। पूरा पेज, उसका रंग, उसके शब्द, सब कुछ वैसा ही तैयार किया जा सकता है, और अंतर केवल पते में होता है।

पता भी अक्सर बहुत मिलता-जुलता रखा जाता है, कहीं एक अक्षर बदला हुआ, कहीं एक अतिरिक्त शब्द, कहीं कोई ऐसा हिस्सा जो जल्दी में सही लगता है। और कई बार तो हानिकारक सामग्री किसी वैध सेवा के ही सार्वजनिक लिंक पर रख दी जाती है, जिससे पता पूरी तरह भरोसेमंद दिखता है। इस तरीके का पूरा ब्यौरा इस पेज पर दर्ज है।

तीन तरीके और उनका निर्णायक क्षण

ध्यान दीजिए कि हर पंक्ति में निर्णायक क्षण एक ऐसा काम है जो आप करते हैं। यही इस पूरी श्रेणी का ढाँचा है।

seed phrase वाला हमला

यह सबसे सीधा और सबसे पूर्ण नुकसान करने वाला तरीका है। इसमें आपको किसी बहाने से वे शब्द टाइप करने को कहा जाता है जिनसे वॉलेट बहाल होता है, अक्सर किसी सहायता पेज, किसी बहाली फॉर्म या किसी सत्यापन के नाम पर।

यहाँ नियम अपवाद रहित है

कोई भी वैध सेवा वे शब्द कभी नहीं माँगती, किसी भी हालत में, किसी भी कारण से। न कोई सहायता कर्मचारी, न कोई फॉर्म, न कोई ऐप। इसलिए यहाँ सोचने या जाँचने की भी ज़रूरत नहीं, यह माँग अपने आप में पूरा जवाब है। यही बात इस नियम को याद रखने लायक बनाती है, क्योंकि इसमें कोई अपवाद नहीं है जिसे याद रखना पड़े। वॉलेट स्तर का पूरा ढाँचा इस पेज पर है।

अनुमति वाला हमला

यह ज़्यादा सूक्ष्म है और इसीलिए ज़्यादा चलता है। इसमें आपसे कोई गुप्त जानकारी नहीं माँगी जाती, बल्कि एक स्वीकृति माँगी जाती है, जो देखने में सामान्य लगती है।

यहाँ वही एक सवाल हर बार काम आता है, यह अनुमति उस चीज़ पर है जो मुझे मिल रही है, या उस पर जो मेरे पास पहले से है। दूसरा जवाब आने पर रुक जाना है। इसका पूरा तंत्र, और यह कि हार्डवेयर उपकरण भी इससे क्यों नहीं बचाता, claim safety वाले पेज पर विस्तार से समझाया गया है।

नकली सहायता वाला रास्ता

यह तरीका अलग से समझने लायक है क्योंकि इसमें आप खुद पहला कदम उठाते हैं। किसी समस्या के बारे में आप कहीं सार्वजनिक रूप से पोस्ट करते हैं, और कुछ ही मिनटों में कोई मददगार जवाब आ जाता है।

वह जवाब देने वाला आपकी समस्या पहले से जानता है, इसलिए उसकी बात सटीक लगती है, और वह आपको निजी बातचीत में ले जाता है जहाँ अंत में या तो कोई लिंक आता है या कोई फॉर्म। बचाव सरल है, सहायता के लिए हमेशा उस सेवा का आधिकारिक चैनल खुद खोजकर जाइए, और यह मानकर चलिए कि आपकी सार्वजनिक पोस्ट पर आया कोई भी निजी संदेश सहायता नहीं है। नियामकीय स्थिति और शिकायत का ढाँचा इस पेज पर दर्ज है।

बचाव के छह नियम

पहला, कोई भी साइट पता खुद खोजकर या टाइप करके खोलिए, किसी संदेश, टिप्पणी या विज्ञापन के लिंक से नहीं। दूसरा, seed phrase कहीं मत डालिए, यह नियम अपवाद रहित है।

तीसरा, कोई भी अनुमति देने से पहले पढ़िए कि वह किस टोकन पर और कितनी मात्रा पर है। चौथा, कोई कमांड कॉपी करके अपने सिस्टम में मत चलाइए। पाँचवाँ, सहायता हमेशा खुद खोजकर लीजिए, क्योंकि सोशल पोस्ट पर आया मददगार जवाब सबसे आम जाल है। छठा, बड़ी होल्डिंग वाले वॉलेट को रोज़मर्रा के प्रयोग से अलग रखिए, जिसका ढाँचा custody पेज पर है।

दो-चरणीय सत्यापन की सीमा

यह मान लेना आम है कि दो-चरणीय सत्यापन चालू होने के बाद नकली लॉगिन पेज से कोई खतरा नहीं। यह आंशिक रूप से सही है और इसीलिए खतरनाक भी।

अच्छी तरह बने नकली पेज उसी क्षण आपसे वह कोड भी माँग लेते हैं और उसे तुरंत असली साइट पर इस्तेमाल कर लेते हैं। यानी वह सुरक्षा तब काम आती है जब कोई आपका पासवर्ड कहीं और से पाकर लॉगिन करने की कोशिश करे, पर उस स्थिति में नहीं जहाँ आप खुद उसी समय दोनों चीज़ें दे रहे हों। इसका मतलब यह नहीं कि उसे बंद कर दीजिए, वह ज़रूरी है। मतलब यह है कि उसे पहली दीवार मत मानिए, पहली दीवार अब भी यही है कि आप उस पेज तक पहुँचे कैसे।

अगर हो चुका हो

पहला, उस उपकरण को इंटरनेट से हटा दीजिए, ताकि आगे कुछ बाहर न जाए। दूसरा, किसी दूसरे सुरक्षित उपकरण से अपने महत्वपूर्ण खातों के पासवर्ड बदलिए, उसी संक्रमित उपकरण से नहीं।

तीसरा, दी हुई अनुमतियाँ रद्द कीजिए और बची हुई संपत्ति नए वॉलेट में ले जाइए, जिसके शब्द उस उपकरण पर कभी न रहे हों। चौथा, नुकसान होने पर तुरंत शिकायत दर्ज कराइए, क्योंकि शुरुआती घंटे सबसे अहम होते हैं। पूरा क्रम इस कार्य-योजना पर और भारत में चल रहे तरीकों की सूची इस पेज पर है।

जल्दबाज़ी ही असली हथियार है

इन सभी तरीकों में एक बात साझा है जो तकनीक से नहीं जुड़ी। हर मामले में कोई न कोई कारण बनाया जाता है कि यह काम अभी करना ज़रूरी है, चाहे वह कोई समयसीमा हो, कोई चेतावनी हो, या कोई मौका जो निकल जाएगा।

इसका कारण सीधा है। जो भी जाँच इस पेज पर बताई गई है, वह करने में एक या दो मिनट लगते हैं, और हमलावर को यही एक या दो मिनट नहीं देने होते। इसीलिए सबसे असरदार बचाव कोई तकनीकी उपाय नहीं, बल्कि एक आदत है, कि जहाँ भी तात्कालिकता महसूस हो वहाँ जानबूझकर रुक जाइए। अगर कोई प्रस्ताव या चेतावनी दस मिनट रुकने से बेकार हो जाती है, तो वह शुरू से ही आपके लिए नहीं थी।

Glossary

Phishing

धोखे से जानकारी या अनुमति लेना, जिसमें किसी सिस्टम में सेंध नहीं लगती।

Lookalike Domain

असली पते से मिलता-जुलता पता, जिसमें अक्सर एक अक्षर का अंतर होता है।

Seed Phrase

वॉलेट बहाल करने वाले शब्द, जिन्हें कोई वैध सेवा कभी नहीं माँगती।

Approval

किसी अनुबंध को आपके टोकन खर्च करने की दी गई स्वीकृति।

Decisive Moment

वह क्षण जब आप स्वयं कोई ऐसा काम करते हैं जो पलटा नहीं जा सकता।

परिवार और नए उपयोगकर्ताओं के लिए

इस पूरी जानकारी को आगे बढ़ाते समय पाँच तरीकों के नाम गिनाना उल्टा पड़ता है, क्योंकि उन्हें याद रखना संभव नहीं। एक वाक्य ज़्यादा काम करता है।

वह वाक्य यह है, कोई भी पता, ऐप या सहायता खुद खोजकर लीजिए, कभी किसी संदेश या पोस्ट से नहीं। इसमें कोई तकनीकी बात नहीं है और यह हर तरीके पर एक साथ लागू होता है, चाहे नकली पेज हो, नकली सहायता हो या कोई नया रूप जो अभी आया न हो। दूसरा वाक्य seed phrase के बारे में है, वह किसी को नहीं, कभी नहीं। इन दो वाक्यों से आगे की बात तभी कीजिए जब सामने वाला खुद पूछे, क्योंकि इससे ज़्यादा जानकारी अक्सर याद नहीं रहती और उसका कोई फायदा भी नहीं होता।

निष्कर्ष

पहचान का पुराना आधार, यानी भाषा और दिखावट, अब भरोसे लायक नहीं रहा। नया आधार सामग्री नहीं, रास्ता है। इसलिए Crypto Phishing से बचने के लिए यह मत पूछिए कि यह संदेश कितना असली लगता है, यह पूछिए कि यह मुझ तक पहुँचा कैसे, क्योंकि इन सभी तरीकों में एक बात साझा है, वे आप तक पहुँचाए जाते हैं।

अस्वीकरण

यह लेख जागरूकता के लिए है और तकनीकी सुरक्षा परामर्श नहीं है। तरीके तेज़ी से बदलते हैं, इसलिए यहाँ दर्ज तस्वीर प्रकाशन तिथि तक की है।