ফিশিং ইমেইল চেনার উপায় জানা বর্তমানে প্রত্যেক ইন্টারনেট ব্যবহারকারীর জন্য জরুরি। প্রতারকেরা ব্যাংক, কুরিয়ার কোম্পানি, সামাজিক যোগাযোগমাধ্যম, সরকারি প্রতিষ্ঠান, পরিচিত ব্যক্তি কিংবা অফিসের কর্মকর্তার পরিচয় ব্যবহার করে ভুয়া ইমেইল পাঠাতে পারে।
এসব ইমেইলে সাধারণত একটি Link-এ ক্লিক করা, Attachment খোলা, Password বা OTP দেওয়া, দ্রুত Payment করা কিংবা কোনো Software Install করার জন্য চাপ দেওয়া হয়। ব্যবহারকারী ভুল করলে Email Account, Social Media, Online Banking, WordPress Website এবং ব্যবসায়িক তথ্য ঝুঁকিতে পড়তে পারে।
একটি ফিশিং ইমেইল সব সময় ভুল বানান বা নিম্নমানের ডিজাইনের হয় না। আধুনিক Phishing Email-এ আসল প্রতিষ্ঠানের Logo, পরিচিত ভাষা, ব্যক্তিগত নাম এবং বাস্তবসম্মত Login Page ব্যবহার করা হতে পারে। তাই শুধু ইমেইলের চেহারা দেখে নয়—Sender Address, Link, Attachment, Message Context এবং অনুরোধের ধরন যাচাই করতে হবে।
ফিশিং ইমেইল কী?
Phishing Email হলো এমন একটি প্রতারণামূলক বার্তা, যার মাধ্যমে আক্রমণকারী ব্যবহারকারীকে বিভ্রান্ত করে গোপন তথ্য সংগ্রহ, টাকা আদায় অথবা ক্ষতিকর File চালানোর চেষ্টা করে।
ফিশিং ইমেইলের লক্ষ্য হতে পারে:
ইমেইল Password চুরি করা।
Facebook বা Google Account দখল করা।
Banking বা Mobile Financial Service-এর তথ্য নেওয়া।
OTP ও Recovery Code সংগ্রহ করা।
Computer-এ Malware বা Ransomware Install করা।
WordPress Admin Login চুরি করা।
ব্যবসায়িক Invoice পরিবর্তন করে টাকা নেওয়া।
ব্যক্তিগত পরিচয় ও Financial Information সংগ্রহ করা।
Phishing Defense কী?
Phishing Defense হলো ফিশিং আক্রমণ শনাক্ত, প্রতিরোধ এবং ঘটনার পর ক্ষতি সীমিত করার জন্য ব্যবহৃত নিরাপত্তা পদ্ধতির সমষ্টি।
এর মধ্যে রয়েছে:
সন্দেহজনক ইমেইল শনাক্ত করা।
Sender ও Domain যাচাই করা।
Link-এ ক্লিক করার আগে Destination দেখা।
Attachment Scan করা।
Password Manager ব্যবহার করা।
Two-Factor Authentication চালু রাখা।
Email Security Filter ব্যবহার করা।
কর্মীদের নিয়মিত Security Training দেওয়া।
ফিশিং ইমেইল Report করা।
আক্রান্ত Account দ্রুত Secure করা।
ফিশিং আক্রমণের সাধারণ ধরন
১. সাধারণ Email Phishing
একই ধরনের প্রতারণামূলক ইমেইল একসঙ্গে অনেক ব্যবহারকারীর কাছে পাঠানো হয়।
উদাহরণ:
আপনার Account বন্ধ হয়ে যাবে।
আপনার Package আটকে আছে।
Invoice বাকি রয়েছে।
Password-এর মেয়াদ শেষ।
আপনি একটি পুরস্কার জিতেছেন।
২. Spear Phishing
Spear Phishing নির্দিষ্ট ব্যক্তি বা প্রতিষ্ঠানের জন্য প্রস্তুত করা হয়। প্রতারক আগে থেকেই ব্যবহারকারীর নাম, পদবি, প্রতিষ্ঠান, সহকর্মী অথবা বর্তমান Project সম্পর্কে তথ্য সংগ্রহ করতে পারে।
এই কারণে বার্তাটি অনেক বেশি বিশ্বাসযোগ্য মনে হয়।
৩. Business Email Compromise
এখানে প্রতারক প্রতিষ্ঠানের মালিক, কর্মকর্তা, Supplier বা Accountant-এর পরিচয় ব্যবহার করে Payment অথবা গোপন তথ্য চাইতে পারে।
উদাহরণ:
এই নতুন Bank Account-এ Invoice পরিশোধ করুন।
জরুরি ভিত্তিতে Gift Card কিনুন।
Payroll Information পরিবর্তন করুন।
এই Document এখনই পাঠান।
আমার Meeting চলছে, ফোন করবেন না।
৪. Clone Phishing
আগে পাওয়া আসল ইমেইলের নকল তৈরি করে তার Link বা Attachment পরিবর্তন করা হয়। ব্যবহারকারী মনে করতে পারেন এটি একই প্রতিষ্ঠানের বৈধ Follow-up Message।
৫. Credential Phishing
ভুয়া Login Page তৈরি করে Email, Microsoft 365, Google, Facebook, Banking অথবা WordPress Password নেওয়ার চেষ্টা করা হয়।
৬. Attachment Phishing
ইমেইলে ক্ষতিকর Document, Archive, Script বা Executable File পাঠানো হয়।
এতে থাকতে পারে:
Malware
Ransomware
Keylogger
Remote Access Trojan
Credential Stealer
Malicious Macro
৭. QR Code Phishing
ইমেইলে QR Code দিয়ে Mobile Device থেকে Login বা Payment করতে বলা হয়। QR Code Scan করার আগে Destination Address সহজে দেখা যায় না বলে এটি ঝুঁকিপূর্ণ হতে পারে।
৮. Thread Hijacking
কোনো Email Account আক্রান্ত হলে প্রতারক চলমান আসল Conversation-এর ভেতরে Reply পাঠাতে পারে। এতে Sender ও পূর্বের Message বৈধ দেখালেও নতুন Link, Attachment বা Payment Instruction ক্ষতিকর হতে পারে।
ফিশিং ইমেইল চেনার উপায়
একটি মাত্র লক্ষণ দেখে সব সময় সিদ্ধান্ত নেওয়া যায় না। একাধিক সতর্কসংকেত একসঙ্গে পরীক্ষা করুন।
১. Sender-এর Display Name ও Email Address মিলিয়ে দেখুন
Inbox-এ শুধু প্রতিষ্ঠানের নাম দেখা যেতে পারে। কিন্তু প্রকৃত Email Address অন্য Domain-এর হতে পারে।
উদাহরণ:
Display Name:
Google Security
সন্দেহজনক Address:
[google.security.alert@gmail-example.net](mailto:google.security.alert@gmail-example.net)
পরিচিত প্রতিষ্ঠানের ইমেইল সাধারণত তার নিজস্ব Official Domain থেকে আসে। তবে শুধু Domain দেখতে কাছাকাছি হলেই নিরাপদ নয়।
যা পরীক্ষা করবেন:
@ চিহ্নের পরের সম্পূর্ণ Domain।
অতিরিক্ত অক্ষর আছে কি না।
সংখ্যা দিয়ে অক্ষর নকল করা হয়েছে কি না।
Subdomain ব্যবহার করে বিভ্রান্ত করা হচ্ছে কি না।
Reply-To Address আলাদা কি না।
২. Lookalike Domain চিনুন
প্রতারকেরা আসল Domain-এর মতো দেখতে নাম ব্যবহার করতে পারে।
উদাহরণ:
আসল:
microsoft.com
সন্দেহজনক:
micros0ft-login.com
microsoft-security.example.net
rnicrosoft.com
এখানে “o”-এর বদলে শূন্য অথবা “m”-এর মতো দেখতে “rn” ব্যবহার করা হতে পারে।
Domain পড়ার সময় ডান দিক থেকে মূল Registered Domain শনাক্ত করুন।
উদাহরণ:
accounts.google.com.example.net
এই Address-এর মূল Domain হলো example.net, google.com নয়।
৩. জরুরি সিদ্ধান্ত নেওয়ার চাপ আছে কি না দেখুন
ফিশিং ইমেইলে ব্যবহারকারীকে চিন্তা করার সময় না দিয়ে দ্রুত কাজ করানোর চেষ্টা করা হয়।
সাধারণ বার্তা:
১০ মিনিটের মধ্যে Account Verify করুন।
আজই Payment না করলে Service বন্ধ হবে।
আপনার Account এখনই Lock করা হবে।
এই তথ্য Boss-কে না জানিয়ে পাঠান।
তাৎক্ষণিকভাবে Gift Card কিনুন।
শেষ সুযোগ—এখনই Claim করুন।
অস্বাভাবিক জরুরি ভাষা দেখলে থামুন এবং অন্য মাধ্যমে যাচাই করুন।
৪. ভয়, লোভ বা কৌতূহল তৈরি করা হচ্ছে কি না দেখুন
Phishing Email প্রায়ই মানুষের আবেগকে কাজে লাগায়।
ভয়:
Account হ্যাক হয়েছে।
Bank Account বন্ধ হবে।
আইনগত ব্যবস্থা নেওয়া হবে।
Package বাজেয়াপ্ত হবে।
লোভ:
Lottery জিতেছেন।
Free Gift পাওয়া গেছে।
অস্বাভাবিক Discount।
Refund প্রস্তুত।
কৌতূহল:
আপনার গোপন ছবি দেখুন।
Salary List সংযুক্ত।
Complaint Document দেখুন।
Confidential File খুলুন।
অপ্রত্যাশিত আবেগনির্ভর বার্তায় সতর্ক থাকুন।
৫. Email-এর Link যাচাই করুন
Computer-এ Link-এর ওপর Mouse Pointer রাখুন, কিন্তু Click করবেন না। Browser বা Email Client-এর নিচে প্রকৃত Destination Address দেখা যেতে পারে।
Mobile Device-এ Link দীর্ঘক্ষণ চেপে Preview দেখা যেতে পারে। তবে ভুল করে Open না করার বিষয়ে সতর্ক থাকুন।
পরীক্ষা করুন:
Domain সঠিক কি না।
HTTPS আছে কি না।
বানান পরিবর্তিত কি না।
অস্বাভাবিক URL Shortener ব্যবহার হয়েছে কি না।
Link Text ও Destination একই কি না।
IP Address দিয়ে Website খোলা হচ্ছে কি না।
URL-এ অতিরিক্ত Subdomain আছে কি না।
“Click here” লেখা Link আসলে সম্পূর্ণ অন্য Website-এ নিতে পারে।
৬. HTTPS বা Padlock দেখলেই বিশ্বাস করবেন না
HTTPS Browser ও Website-এর মধ্যে Connection Encrypt করে। এটি Website-এর মালিক বিশ্বস্ত—এমন নিশ্চয়তা দেয় না।
Phishing Website-ও HTTPS Certificate ব্যবহার করতে পারে।
তাই দেখুন:
সম্পূর্ণ Domain সঠিক কি না।
Page-এর বানান ও Layout স্বাভাবিক কি না।
Login Page প্রত্যাশিত Website-এর কি না।
Password Manager Autofill করছে কি না।
৭. Email-এর Link ব্যবহার না করে Official Website খুলুন
ইমেইলে Bank, Courier, Google, Microsoft বা অন্য Service-এর সমস্যা বলা হলে Link-এ Click না করে নতুন Browser Tab খুলুন।
নিজে Official Address লিখুন অথবা আগে সংরক্ষিত Bookmark ব্যবহার করুন।
এরপর Account Dashboard-এ একই Alert আছে কি না দেখুন।
৮. পরিচিত Sender হলেও অনুরোধ যাচাই করুন
পরিচিত ব্যক্তির Account আক্রান্ত হতে পারে অথবা তার নাম নকল করা হতে পারে।
বিশেষ করে নিচের অনুরোধ অন্য মাধ্যমে যাচাই করুন:
টাকা পাঠানো।
Bank Account পরিবর্তন।
Gift Card কেনা।
Password বা OTP দেওয়া।
গোপন File পাঠানো।
অপরিচিত Link খোলা।
Remote Access দেওয়া।
Email-এর Reply ব্যবহার না করে আগে থেকে জানা Phone Number বা অন্য যোগাযোগের মাধ্যমে ব্যক্তির সঙ্গে কথা বলুন।
৯. Generic Greeting পরীক্ষা করুন
ফিশিং ইমেইলে লেখা থাকতে পারে:
Dear Customer
Dear User
Account Holder
Valued Member
Dear Sir or Madam
তবে Generic Greeting থাকলেই Email ফিশিং—এমন নয়। আবার আপনার সঠিক নাম থাকলেই Email বৈধ নয়। Data Breach, Social Media বা Public Website থেকে নাম সংগ্রহ করা সম্ভব।
১০. বানান ও ভাষার ভুল দেখুন
অস্বাভাবিক Grammar, ভুল বানান, অদ্ভুত Sentence Structure এবং অসামঞ্জস্যপূর্ণ Formatting সন্দেহের লক্ষণ হতে পারে।
তবে আধুনিক প্রতারকেরা শুদ্ধ ও স্বাভাবিক ভাষায় ইমেইল তৈরি করতে পারে। তাই বানান ঠিক থাকাকে নিরাপত্তার প্রমাণ মনে করবেন না।
১১. অপ্রত্যাশিত Attachment খুলবেন না
আপনি যে File আশা করেননি, সেটি পরিচিত Sender পাঠালেও যাচাই না করে খুলবেন না।
ঝুঁকিপূর্ণ File Extension:
.exe
.scr
.bat
.cmd
.vbs
.js
.ps1
.msi
.iso
.img
.lnk
OneNote File
Macro-enabled Office File
Archive File-ও সতর্কতার সঙ্গে দেখুন:
.zip
.rar
.7z
Invoice.pdf.exe-এর মতো Double Extension থাকতে পারে। File Explorer-এ File Name Extension দৃশ্যমান রাখুন।
১২. Office Document-এর Macro চালু করবেন না
কোনো Document খুলে যদি Enable Content, Enable Macros বা Enable Editing চাপতে বলে, আগে Source যাচাই করুন।
অপরিচিত Invoice, Resume, Purchase Order বা Delivery Document-এর Macro চালালে ক্ষতিকর Code চলতে পারে।
১৩. Password, OTP বা Recovery Code চাওয়া হচ্ছে কি না দেখুন
বিশ্বস্ত প্রতিষ্ঠান সাধারণত Email Reply-এর মাধ্যমে আপনার Password, OTP, PIN বা Recovery Code চাইবে না।
কখনো দেবেন না:
Email Password
Banking PIN
Card CVV
OTP
Authenticator Code
Backup Code
Password Manager Master Password
WordPress Admin Password
Remote Access Code
Support Agent পরিচয় দিলেও এসব তথ্য Share করবেন না।
১৪. অস্বাভাবিক Payment Method পরীক্ষা করুন
প্রতারকেরা এমন Payment Method চাইতে পারে, যা ফেরত পাওয়া কঠিন।
উদাহরণ:
Gift Card
Cryptocurrency
Wire Transfer
অপরিচিত Mobile Wallet
ব্যক্তিগত Bank Account
জরুরি Advance Payment
Supplier-এর Bank Account পরিবর্তনের ইমেইল পেলে আগে থেকে সংরক্ষিত Phone Number দিয়ে Supplier-এর সঙ্গে যোগাযোগ করুন।
১৫. Invoice ও Order Confirmation যাচাই করুন
আপনি কিছু Order না করেও Invoice বা Subscription Renewal ইমেইল পেতে পারেন।
প্রতারক আশা করে আপনি আতঙ্কিত হয়ে ইমেইলে দেওয়া Phone Number-এ Call করবেন।
যা করবেন:
Email-এর Number ব্যবহার করবেন না।
Official Website থেকে Support Number নিন।
নিজের Bank বা Card Statement দেখুন।
Attachment খুলবেন না।
Remote Access দেবেন না।
১৬. QR Code Scan করার আগে যাচাই করুন
Email-এর QR Code Scan করলে সরাসরি ভুয়া Login Page খুলতে পারে।
QR Code Phishing থেকে নিরাপদ থাকতে:
অপ্রত্যাশিত QR Code Scan করবেন না।
Scan-এর পর খোলা Domain পরীক্ষা করুন।
Password বা OTP দেওয়ার আগে Website যাচাই করুন।
Office QR Payment Instruction অন্য মাধ্যমে Confirm করুন।
Authenticator Setup QR Code ও সাধারণ Login QR Code গুলিয়ে ফেলবেন না।
১৭. Reply-To Address পরীক্ষা করুন
From Address বৈধ দেখালেও Reply চাপলে অন্য Address আসতে পারে।
বিশেষ করে Payment, Support এবং Account Verification ইমেইলে Reply-To Address আলাদা কি না দেখুন।
১৮. Email Header পরীক্ষা করুন
Advanced User ইমেইলের Header থেকে নিচের তথ্য পরীক্ষা করতে পারেন:
Return-Path
Received
Reply-To
Authentication-Results
SPF
DKIM
DMARC
Gmail-এ সাধারণত Show original Option থেকে Header দেখা যায়।
তবে SPF, DKIM বা DMARC Pass করলেই Message-এর সব Content নিরাপদ—এমন নয়। বৈধ Domain-এর Account আক্রান্ত হতে পারে অথবা অনুমোদিত Email Service অপব্যবহার করা হতে পারে।
১৯. Email Branding অস্বাভাবিক কি না দেখুন
Logo, Font, Colour, Footer এবং Contact Information প্রতিষ্ঠানটির আসল যোগাযোগের সঙ্গে মিলছে কি না দেখুন।
তবে Logo সহজেই Copy করা যায়। তাই Branding-কে একমাত্র প্রমাণ হিসেবে ব্যবহার করবেন না।
২০. Password Manager Autofill ব্যবহার করুন
একটি বিশ্বস্ত Password Manager সাধারণত সংরক্ষিত সঠিক Domain-এর Login Form-এ Password Autofill করে।
দেখতে আসল হলেও ভুল Domain-এ Password Manager Autofill না করলে সেটি সতর্কসংকেত হতে পারে।
এ অবস্থায় নিজে Copy-Paste করার আগে Domain পুনরায় যাচাই করুন।
ফিশিং ইমেইল পেলে কী করবেন?
১. কোনো Link-এ Click করবেন না।
২. Attachment খুলবেন না।
৩. Email-এর Phone Number-এ Call করবেন না।
৪. Reply করে ব্যক্তিগত তথ্য দেবেন না।
৫. Sender-কে পরিচিত মাধ্যম দিয়ে আলাদাভাবে যাচাই করুন।
৬. Email Service-এর Report Phishing Option ব্যবহার করুন।
৭. অফিসের Email হলে IT বা Security Team-কে জানান।
৮. Report করার পর Message Delete করুন।
Gmail-এ Phishing Report করার নিয়ম
Gmail খুলুন।
সন্দেহজনক Email খুলুন।
উপরের More বা Three-dot Menu চাপুন।
Report phishing নির্বাচন করুন।
Confirm করুন।
কিছু ক্ষেত্রে Email না খুলেও Message নির্বাচন করে Report করা যেতে পারে। তবে Interface Device ও Gmail Version অনুযায়ী পরিবর্তিত হতে পারে।
Outlook-এ Phishing Report
Outlook-এ সন্দেহজনক Message নির্বাচন করুন।
Report বা Report Message Option খুলুন।
Phishing নির্বাচন করুন।
Office Account হলে প্রতিষ্ঠানের Security Team-এর নির্দেশনা অনুসরণ করুন।
শুধু Delete করলে Email Provider একই ধরনের Message শনাক্ত করার জন্য আপনার Report ব্যবহার করতে পারবে না। তাই সম্ভব হলে আগে Report করুন।
Spam ও Phishing-এর পার্থক্য
Spam সাধারণত অনাকাঙ্ক্ষিত বিজ্ঞাপন বা প্রচারণা।
Phishing-এর উদ্দেশ্য:
Password চুরি।
টাকা নেওয়া।
Malware Install।
Account দখল।
পরিচয়সংক্রান্ত তথ্য সংগ্রহ।
সব Phishing Email Spam হলেও সব Spam Email Phishing নয়।
অপরিচিত Marketing Email-এর Unsubscribe Link-এ Click করবেন?
বিশ্বস্ত ও পরিচিত প্রতিষ্ঠানের Marketing Email হলে Unsubscribe ব্যবহার করা যায়।
কিন্তু স্পষ্টত সন্দেহজনক Email-এর Unsubscribe Link-এ Click করলে:
ভুয়া Website খুলতে পারে।
আপনার Email সক্রিয় বলে নিশ্চিত হতে পারে।
Malware Download হতে পারে।
আরও তথ্য চাইতে পারে।
সন্দেহজনক Message Report করে Delete করুন।
ফিশিং Link-এ Click করলে করণীয়
Link-এ Click করলেও সব সময় Account আক্রান্ত হয় না। তবে দ্রুত ব্যবস্থা নিন।
১. Page-এ কোনো তথ্য দেবেন না।
২. Browser Tab বন্ধ করুন।
৩. কোনো File Download হলে খুলবেন না।
৪. Download করা File Delete করুন।
৫. Browser ও Operating System Update করুন।
৬. Antivirus Full Scan চালান।
৭. Email ও Account Activity পরীক্ষা করুন।
৮. সন্দেহজনক Browser Extension Install হয়েছে কি না দেখুন।
৯. Permission দেওয়া হলে তা Revoke করুন।
Password দিয়ে ফেললে করণীয়
যে Account-এর Password দিয়েছেন, তার Official Website নিজে খুলুন।
তারপর:
পরিষ্কার ও বিশ্বস্ত Device থেকে Password পরিবর্তন করুন।
সব Active Session Logout করুন।
Two-Factor Authentication চালু করুন।
Recovery Email ও Phone পরীক্ষা করুন।
অপরিচিত Device Remove করুন।
Third-party App Access Review করুন।
Email Forwarding Rule পরীক্ষা করুন।
একই Password ব্যবহৃত অন্য Account পরিবর্তন করুন।
Password Manager-এ নতুন ইউনিক Password সংরক্ষণ করুন।
Primary Email আক্রান্ত হলে দ্রুত ব্যবস্থা নিন, কারণ অন্য Account-এর Password Reset Link সেখানে আসতে পারে।
OTP বা Authenticator Code দিয়ে ফেললে
OTP বা Authenticator Code অল্প সময়ের জন্য কার্যকর হলেও আক্রমণকারী তা সঙ্গে সঙ্গে ব্যবহার করতে পারে।
করণীয়:
Account-এর Official Security Page খুলুন।
Password পরিবর্তন করুন।
সব Session Revoke করুন।
অপরিচিত Device Remove করুন।
2FA Method Review করুন।
নতুন Backup Code তৈরি করুন।
Security Alert পরীক্ষা করুন।
Support Team-কে জানান।
Banking তথ্য দিলে
Card Number, PIN, CVV, Banking Password বা OTP দিলে দ্রুত Bank-এর Official Number-এ যোগাযোগ করুন।
প্রয়োজনে:
Card Block করুন।
Account সাময়িক Freeze করুন।
PIN পরিবর্তন করুন।
সাম্প্রতিক Transaction পরীক্ষা করুন।
Transaction Alert চালু করুন।
অপরিচিত Beneficiary Remove করুন।
অভিযোগের Reference Number সংগ্রহ করুন।
Email-এ দেওয়া Number ব্যবহার না করে Bank-এর Official App, Website অথবা Card-এর পেছনের Number ব্যবহার করুন।
Attachment খুলে ফেললে
Attachment খুলে Macro, Script বা Installer চালালে:
Internet সাময়িকভাবে Disconnect করুন।
File আর চালাবেন না।
IT Team-কে জানান।
Antivirus Full Scan চালান।
Microsoft Defender Offline Scan বিবেচনা করুন।
অপরিচিত Process ও Startup Item পরীক্ষা করুন।
গুরুত্বপূর্ণ Password পরিষ্কার Device থেকে পরিবর্তন করুন।
Network-এর অন্য Computer আক্রান্ত কি না পরীক্ষা করুন।
Ransomware সন্দেহ হলে আক্রান্ত Device আলাদা রাখুন।
শুধু File Delete করলেই Malware চলে গেছে ধরে নেবেন না।
Two-Factor Authentication কি Phishing পুরোপুরি বন্ধ করে?
না। 2FA Account Security বাড়ায়, কিন্তু Real-time Phishing Site OTP চুরি করে তাৎক্ষণিক ব্যবহার করতে পারে। Push Notification ভুল করে Approve করলেও Account আক্রান্ত হতে পারে।
আরও শক্তিশালী সুরক্ষার জন্য ব্যবহার করুন:
Passkey
Hardware Security Key
Phishing-resistant MFA
Password Manager
Device Security
Domain Verification
Security Key ও Passkey অনেক ধরনের Credential Phishing-এর বিরুদ্ধে Authenticator Code বা SMS-এর তুলনায় শক্তিশালী হতে পারে।
MFA Fatigue Attack কী?
আক্রমণকারী Password জেনে গেলে বারবার Login Request পাঠিয়ে ব্যবহারকারীকে বিরক্ত করতে পারে। ব্যবহারকারী ভুল করে একটি Request Approve করলে Account দখল হতে পারে।
নিজে Login না করলে:
Approve করবেন না।
Deny করুন।
Password পরিবর্তন করুন।
Security Team-কে জানান।
Account Session পরীক্ষা করুন।
Email Account নিরাপদ করার উপায়
শক্তিশালী ও ইউনিক Password ব্যবহার করুন।
Two-Factor Authentication চালু করুন।
Recovery Email ও Phone আপডেট রাখুন।
অপরিচিত Login Alert চালু রাখুন।
Email Forwarding Rule পরীক্ষা করুন।
POP ও IMAP Access Review করুন।
Third-party App Access সরান।
পুরোনো Device Sign out করুন।
Password Manager ব্যবহার করুন।
Browser ও Email App Update রাখুন।
Windows ও Browser নিরাপত্তা
Operating System ও Browser Update রাখুন।
Microsoft Defender বা বিশ্বস্ত Antivirus-এর Real-time Protection চালু রাখুন।
Browser-এর Safe Browsing, SmartScreen বা অনুরূপ Protection বন্ধ করবেন না।
অপরিচিত Browser Extension Remove করুন।
File Name Extension দৃশ্যমান রাখুন।
Cracked Software ব্যবহার করবেন না।
Windows 11-এর সমর্থিত Configuration-এ Enhanced Phishing Protection Password ব্যবহারের সময় কিছু ঝুঁকিপূর্ণ পরিস্থিতি সম্পর্কে Warning দিতে পারে।
অফিসে Phishing Defense
প্রতিষ্ঠানের জন্য শুধু কর্মীদের সতর্ক থাকতে বলা যথেষ্ট নয়। প্রযুক্তিগত ও প্রশাসনিক নিরাপত্তা একসঙ্গে প্রয়োজন।
প্রয়োজনীয় ব্যবস্থা:
Email Spam ও Phishing Filter।
SPF, DKIM ও DMARC।
Multi-Factor Authentication।
Phishing-resistant MFA।
Endpoint Protection।
Attachment Sandboxing।
URL Filtering।
DNS Filtering।
Security Awareness Training।
Easy Report Phishing Button।
Payment Verification Policy।
Regular Access Review।
Incident Response Plan।
Data Backup।
Least Privilege Access।
Payment Verification Policy
নিচের পরিবর্তন শুধু Email-এর ভিত্তিতে অনুমোদন করবেন না:
Supplier Bank Account পরিবর্তন।
Employee Payroll Account পরিবর্তন।
বড় Payment Request।
Gift Card Purchase।
Confidential Data Transfer।
Administrator Password Reset।
আগে থেকে অনুমোদিত Phone Number অথবা অন্য Independent Channel দিয়ে যাচাই করুন।
কর্মীদের Phishing Training
কর্মীদের শেখাতে হবে:
Sender Address পরীক্ষা।
Link Preview দেখা।
Attachment না খোলা।
OTP Share না করা।
QR Code যাচাই।
Payment Request Confirm করা।
Report Button ব্যবহার।
Security Incident দ্রুত জানানো।
কর্মী ভুল করলে তাকে ভয় দেখিয়ে ঘটনা গোপন করতে বাধ্য করা উচিত নয়। দ্রুত Report করলে ক্ষতি সীমিত করা সহজ হয়।
ফিশিং ইমেইল চেনার সহজ চেকলিস্ট
Sender-এর সম্পূর্ণ Address পরীক্ষা করেছি।
Domain-এর বানান সঠিক।
Reply-To Address অস্বাভাবিক নয়।
Message অপ্রত্যাশিত কি না ভেবেছি।
জরুরি সিদ্ধান্তের চাপ আছে কি না দেখেছি।
Link-এর Destination পরীক্ষা করেছি।
Email-এর Link ব্যবহার না করে Official Website খুলেছি।
Attachment আশা করেছিলাম কি না যাচাই করেছি।
File Extension পরীক্ষা করেছি।
Macro চালু করিনি।
Password, OTP বা Recovery Code দিইনি।
Payment Request অন্য মাধ্যমে Confirm করেছি।
QR Code Scan করার আগে যাচাই করেছি।
পরিচিত Sender হলেও অস্বাভাবিক অনুরোধ Confirm করেছি।
সন্দেহজনক Message Report করেছি।
প্রায় জিজ্ঞাসিত প্রশ্ন
ফিশিং ইমেইল চেনার সবচেয়ে সহজ উপায় কী?
Sender-এর সম্পূর্ণ Email Address, Link-এর প্রকৃত Destination, অপ্রত্যাশিত Attachment এবং জরুরি Password বা Payment অনুরোধ পরীক্ষা করুন।
পরিচিত কোম্পানির Logo থাকলে কি Email নিরাপদ?
না। Logo, Colour ও Email Design সহজেই Copy করা যায়। Official Domain এবং Message Context যাচাই করতে হবে।
HTTPS Website কি ফিশিং হতে পারে?
হ্যাঁ। Phishing Website-ও HTTPS Certificate ব্যবহার করতে পারে। সম্পূর্ণ Domain সঠিক কি না দেখুন।
ফিশিং Email খুললেই কি Virus হয়?
শুধু Email দেখা সব সময় Infection ঘটায় না। তবে Link-এ Click, Attachment খোলা, Script চালানো বা তথ্য দেওয়া ঝুঁকিপূর্ণ। Email Client ও Device আপডেট রাখা জরুরি।
ফিশিং Link-এ Click করলে কী করব?
Page বন্ধ করুন, কোনো তথ্য দেবেন না, Download করা File খুলবেন না, Antivirus Scan চালান এবং Account Activity পরীক্ষা করুন।
Password দিয়ে ফেললে কী করব?
Official Website থেকে দ্রুত Password পরিবর্তন, সব Session Logout, 2FA চালু এবং একই Password ব্যবহৃত অন্য Account পরিবর্তন করুন।
OTP দিলে কি Password পরিবর্তন করা দরকার?
হ্যাঁ। আক্রমণকারী OTP ব্যবহার করে Login করতে পারে। Password পরিবর্তন, Session Revoke এবং Security Settings পরীক্ষা করুন।
Gmail-এ Phishing Report কীভাবে করব?
সন্দেহজনক Email-এর More Menu থেকে Report phishing নির্বাচন করুন।
Email-এর Unsubscribe Link ব্যবহার করা কি নিরাপদ?
শুধু পরিচিত ও বিশ্বস্ত প্রতিষ্ঠানের Marketing Email হলে ব্যবহার করুন। স্পষ্টত সন্দেহজনক Email Report করে Delete করুন।
শেষ কথা
ফিশিং ইমেইল চেনার উপায় হলো কোনো Message-এর Logo বা সুন্দর Design দেখে বিশ্বাস না করে Sender, Domain, Link, Attachment এবং অনুরোধের উদ্দেশ্য আলাদাভাবে যাচাই করা।
অপ্রত্যাশিত Password Reset, Payment Request, Invoice, Package Alert অথবা Account Warning পেলে Email-এর Link ব্যবহার করবেন না। নিজে Official Website বা App খুলে তথ্য যাচাই করুন।
কোনো প্রতিষ্ঠান বা Support Agent-কে Password, OTP, Authenticator Code, Banking PIN কিংবা Recovery Code দেবেন না। পরিচিত ব্যক্তি বা কর্মকর্তার অস্বাভাবিক অনুরোধও আগে থেকে জানা অন্য যোগাযোগের মাধ্যমে Confirm করুন।
ফিশিং ইমেইল পেলে Report করে Delete করুন। ভুল করে Link-এ তথ্য দিলে দ্রুত Password পরিবর্তন, সব Session Logout, Two-Factor Authentication চালু এবং Account Recovery Information পরীক্ষা করুন।
নিয়মিত Phishing Defense অভ্যাস, Password Manager, MFA, Updated Device এবং কর্মীদের Security Training ব্যবহার করলে ব্যক্তি ও প্রতিষ্ঠানের Email Account দখল এবং আর্থিক ক্ষতির ঝুঁকি উল্লেখযোগ্যভাবে কমানো সম্ভব।