साइबर ठगी गर्नेहरुको भरपर्दो माध्यमः कसरी बन्छ फिसिङ लिंक ?

काठमाडौं – मोबाइलमा एउटा सन्देश आउँछ। सन्देशमा कनेक्ट आईपीएसकै जस्तो देखिने लिंक हुन्छ। हेर्दा ठ्याक्कै कनेक्ट आईपीएसकै आधिकारिक लिंकजस्तो लाग्छ। प्रयोगकर्ताले पनि कनेक्ट आईपीएसकै लिंक हो, भन्ने विश्वास गरेर उक्त लिंक खोल्छन्। लिंक खोलेपछि कनेक्ट आईपीएसकै जस्तो देखिने नक्कली वेबसाइट खुल्छ। वेबसाइटको स्वरूपसमेत सक्कलीजस्तै देखिएपछि प्रयोगकर्ता झन् ढुक्क हुन्छन् र त्यही नक्कली वेबसाइटमा आफ्नो वास्तविक कनेक्ट आईपीएसको प्रयोगकर्ता विवरण तथा पासवर्ड भर्छन्।

विवरण भरेको केही समयपछि मोबाइलमा अर्को सन्देश आउँछ। तर यस पटक आएको सन्देश बैंक वा वित्तीय संस्थाबाट हुन्छ। सन्देशमा आफ्नो बैंक खाताबाट अर्को खातामा रकम स्थानान्तरण भएको जानकारी हुन्छ। त्यसपछि मात्र प्रयोगकर्तालाई आफू ठगीमा परेको थाहा हुन्छ। कतिपय अवस्थामा पीडितले आफू कसरी ठगिएँ भन्ने कुरासमेत पत्तो पाउन सक्दैनन्। ठगहरूले सक्कली वेबसाइटको स्वरूप नक्कल गरी बनाएको नक्कली वेबसाइटमार्फत प्रयोगकर्ताको संवेदनशील विवरण चोरी गर्ने गरेका प्रहरी बताउँछन्।

प्रहरीले गत वर्षको वैशाखमा म्यासेजबाट द अलर्ट, एटी अलर्ट जस्ता फिसिङ लिंंक पठाएर अकाउन्ट सस्पेन्ड हुन लागेको भन्दै पशुपति ग्लोबल इनोभेसन प्राइभेट लिमिटेडको व्यापारी खातामा ४ हजार भन्दा बढी व्यक्तिहरूको सेवामा रहेको मौज्दात १ करोड बराबरको रकम चोरी गर्नेलाई पक्राउ गर्‍यो। यो घटना एउटा उदाहरण मात्र हो। आर्थिक वर्ष २०७९/२०८० बाट गत आर्थिक २०८२/८३ सम्ममा १३ वटा फिसिङ्गका उजुरी प्रहरीमा परेका छन्। भने यी चार वर्षमा १५ जना पक्राउ परेका छन्। चारमा वर्षमा फिसिङ्गबाट १ करोड ५लाख ९२ हजार ठगी भइसकेको छ।

‘तपाईँको बैंक खाता निलम्बन हुन लागेको छ।’ अर्को सन्देशमा लेखिएको हुन्छ—‘बधाई छ, तपाईँले पुरस्कार जित्नुभएको छ।’ कहिलेकाहीँ फेसबुक वा म्यासेन्जरमा परिचित बैंक वा डिजिटल वालेटको लोगो राखिएको आकर्षक अफर देखिन्छ। त्यस्ता लिंक वा वेबसाइटहरू फिसिङ हुने नेपाल प्रहरीका केन्द्रीय प्रवक्ता अवनिनारायण काफ्ले बताउँछन्। फिसिङ लिंकबाट हुने ठगीका घटनाबाट बच्न मुख्य रूपमा प्रयोगकर्ता नै सचेत हुनुपर्ने उनी बताउँछन्।

नेपालमा पनि बैंक, वित्तीय संस्था, डिजिटल वालेट तथा सामाजिक सञ्जालका प्रयोगकर्तालाई लक्षित गरेर यस्ता फिसिङ लिंक पठाएर ठगी गर्ने बढी रहेका छन्। साइबर ब्युरोको तंथ्याक अनुसार, कनेक्ट आईपीएस लगायतका फिसिङ लिंकबाट भएका ठगीका घटनामा ५८ वटा उजुरी आइसकेको छ। ह्याकरहरुले फिसिङ अट्याकबाट फेसबुक, इमेल, बैंक तथा वित्तीय संस्थाको मोबाइल बैंकिङ्ग, वालेटहरू पनि ह्याक गरी आफ्नो नेतृत्व लिने गरेको प्रहरीले जनाएको छ। ह्याकरहरुले फिसिङ अट्याक विभिन्न लिंकहरु, म्यासेज, इमेल वेबसाइटहरुको माध्यमबाट गर्ने गर्छन्।

साइबर ब्युरोका प्रवक्ता दिलीप कुमार गिरीका अनुसार, ह्याकरहरूले विभिन्न माध्यमको प्रयोग गरी फिसिङ लिंकहरू बनाउने गर्छन्। सर्वसाधारणलाई प्रलोभनमा पार्ने किसिमले यस्ता लिंकहरू तयार गरिएका हुन्छन्। यस्ता फिसिङ लिंक सक्कली हो वा नक्कली भनेर सर्वसाधारणले छुट्याउन नसक्ने उनले बताए। त्यसैले आफूलाई काम नलाग्ने, वास्ता नभएका वा चासो नभएका लिंकहरू क्लिक नगर्न उनले अनुरोध गरेका छन्। बैंक तथा वित्तीय संस्थाहरूले कहिल्यै पनि ओटीपी माग्दैनन् र केवाईसी अपडेट गर्न भन्दै म्यासेज पठाउँदैनन् भन्नेबारे पनि उनले सचेत गराए। साथै, कनेक्ट आईपीएसले पनि ‘लक भयो’ भन्दै म्यासेज नपठाउने उनले बताए।

प्रयोगकर्ता स्वयं सचेत नभएसम्म यस्ता साइबर अपराधलाई पूर्ण रूपमा रोक्ने उपाय नरहेको उनको भनाइ छ। उनले भने, ‘बढ्दो प्रविधिको प्रयोगसँगै सामाजिक सञ्जालको दुरुपयोग पनि बढेको छ।’ फिसिङ भनेको सक्कलीजस्तै देखिने नक्कली लिंक, इमेल वा वेबसाइटमार्फत सर्वसाधारणलाई झुक्काएर गोप्य तथा संवेदनशील विवरण चोरी गर्ने साइबर ठगीको एक माध्यम हो। फिसिङ लिंकमार्फत ठगीमा पर्ने अधिकांश व्यक्तिले आफूले प्रयोग गरिरहेको लिंक वा वेबसाइट सक्कली नै भएको विश्वासमा आफ्नो पासवर्ड, ओटिपि, बैंक तथा डिजिटल वालेटसम्बन्धी विवरणजस्ता संवेदनशील जानकारी प्रविष्ट गर्ने गर्छन्।

फिसिङको सबैभन्दा खतरनाक पक्ष यसको बाहिरी रूप हो। लिंक खोल्दा देखिने पेज पनि आधिकारिक वेबसाइटजस्तै हुन्छ। तर वेबसाइटको ठेगाना अर्थात् युनिफर्म रिसोर्स लोकेटर (युआरएल) भने फरक हुन सक्छ। सक्कली वेबसाइटको नामसँग मिल्दोजुल्दो अक्षर, अतिरिक्त शब्द वा फरक डोमेन प्रयोग गरिएको हुन सक्छ। यही कारण फिसिङबाट बच्ने पहिलो उपाय भनेको लिंकमा क्लिक गर्नुअघि युनिफर्म रिसोर्स लोकेटर (युआरएल) हेर्नु हो।

फिसिङ लिंकहरू धेरै पटक सक्कली वेबसाइटको नामसँग मिल्दोजुल्दो बनाइन्छन् । प्रयोगकर्ताले मोबाइलको सानो स्क्रिनमा युआरएल राम्रोसँग नहेर्दा फरक छुटाउन गाह्रो हुन्छ। उदाहरणका लागि, कुनै बैंकको आधिकारिक वेबसाइटको नामसँग मिल्दोजुल्दो अर्को ठेगाना बनाएर त्यसमा लगइन पेज राख्न सकिन्छ। त्यसैले लिंकमा क्लिक गर्दा वेबसाइटको डिजाइन मात्र हेरेर विश्वास गर्नु पर्याप्त हुँदैन।

‘एचटीटीपीएस छ, त्यसैले सुरक्षित छ’ भन्ने सोच पनि पूर्ण रूपमा सही होइन। नक्कली वेबसाइटले पनि एचटीटीपीएस प्रयोग गर्न सक्छ। त्यसैले डोमेन नाम, वेबसाइटको ठेगाना र लिंक कहाँबाट आएको हो भन्ने कुरा हेर्नु आवश्यक हुन्छ। साथै, आफूलाई नै फिसिङ्ग होकी जस्तै लागेको अवस्थामा पनि यस्ता लिंकहरु यस्ता लिंकहरु नखोल्ने गर्नुपर्छ।

फिसिङ लिंकमार्फत हुने साइबर ठगीका घटना बढ्दै गएपछि प्रहरीले सर्वसाधारणलाई कुनै पनि लिंकमा क्लिक गर्नुअघि त्यसको आधिकारिकता पुष्टि गर्न आग्रह गरेको छ। केन्द्रीय प्रहरी प्रवक्ता काफ्लेले अपरिचित व्यक्ति वा स्रोतबाट आएका आकर्षक अफर, उपहार, सामान वा अन्य प्रलोभनयुक्त लिंकमा तत्काल क्लिक नगर्न सुझाव दिएका छन्। उनले कुनै पनि संस्थाले विना कारण केही नदिने भएकाले अस्वाभाविक रूपमा लाभको प्रस्ताव आएमा त्यसबारे सोचविचार गर्नुपर्ने बताए।

काफ्लेले ‘थिंक बिफोर क्लिक’ अर्थात् क्लिक गर्नुअघि दुई पटक सोच्ने बानी बसाल्नुपर्नेमा जोड दिए। उनका अनुसार लिंक आधिकारिक हो कि होइन, सम्बन्धित व्यक्ति वा संस्था वास्तविक हो कि होइन तथा वेबसाइटको ठेगाना आधिकारिक हो कि होइन भन्ने कुरा यकिन गरेपछि मात्रै त्यस्ता लिंक प्रयोग गर्नुपर्छ।

उनले बैंक तथा वित्तीय संस्थाको नाममा आउने फिसिङ लिंकप्रति विशेष सावधानी अपनाउन आग्रह गरे। बैंकले ग्राहकसँग पासवर्ड, ओटिपि लगायतका संवेदनशील विवरण अनधिकृत रूपमा माग्ने वा शङ्कास्पद लिंकमा क्लिक गराउने नगर्ने भएकाले त्यस्ता सन्देश आएमा आधिकारिक वेबसाइट वा सम्पर्क नम्बरबाट पुष्टि गर्नुपर्ने उनको भनाइ छ। त्यस्तै, सामाजिक सञ्जाल, इमेल तथा वेबसाइटमार्फत आउने सन्देशले आफूलाई हानि पुर्‍याउन सक्छ कि सक्दैन भन्नेबारे सचेत हुनुपर्ने प्रहरीको भनाइ छ। आफ्ना महत्त्वपूर्ण खातामा डबल अथेन्टिकेसन-दुई तहको प्रमाणीकरण) प्रयोग गर्न तथा शङ्कास्पद सन्देश वा लिंक तत्काल हटाउन पनि उनले सुझाव दिएका छन्।