आज के इस डिजिटल युग में साइबर ठगी का तरीका हर दिन बदलता जा रहा है।साइबर ठगी करने वाले अब सिर्फ फोन कॉल, फर्जी SMS या नकली बैंक वेबसाइट के जरिए लोगों को निशाना नहीं बना रहे, बल्कि ऐसी तकनीकों का इस्तेमाल कर रहे हैं जिनके जरिए वे पीड़ित के स्मार्टफोन तक पहुंच बनाने की कोशिश करते हैं। कुछ ऐसा ही मामला सामने आया है Google के Firebase प्लेटफॉर्म के दुरुपयोग से जुड़ा हुआ।
साइबर अटैक के रिस्क को देखते हुए, सरकार ने Google को Firebase पर मौजूद सैकड़ों अकाउंट बंद करने का निर्देश दिया है। मीडिया रिपोर्ट के मुताबिक, भारतीय साइबर अपराध समन्वय केंद्र यानी I4C ने अगस्त में ही Firebase पर होस्ट की गई कम से कम 57 वेबसाइट और डेटाबेस हटाने के लिए Google को नोटिस भेजे थे। इनमें कुछ वेबसाइट SBI, ICICI Bank और Axis Bank जैसी संस्थाओं की नकल करने वाले फिशिंग पेज थे।I4C के अनुसार कुछ मामले में तो साइबर ठग क्रेडिट कार्ड, रिवॉर्ड पॉइंट या क्रेडिट लिमिट बढ़ाने का लालच देकर लोगों से फर्जी ऐप डाउनलोड कराते हैं। ऐसे ऐप फोन में मौजूद संवेदनशील जानकारी तक पहुंच बना सकते हैं।
रॉयटर्स की रिपोर्ट के अनुसार सरकार ने Firebase के दुरुपयोग का एक पैटर्न देखा, जिसमें फर्जी बैंकिंग और PM-KISAN ऐप के जरिए लोगों की संवेदनशील जानकारी हासिल करने की कोशिश की जा रही थी। ऐसे में लोगों के मन में यह सवाल जरूर आ रहा है कि आखिर ये Firebase क्या है, ठग इसका इस्तेमाल कैसे कर रहे हैं और Android God Mode जैसा मैलवेयर फोन में घुसने के बाद कितना खतरनाक हो सकता है?
Google Firebase गूगल का एक क्लाउड-बेस्ड ऐप और वेबसाइट डेवलपमेंट प्लेटफॉर्म है।इसका इस्तेमाल दुनिया भर के डेवलपर्स ऐप्स बनाने, बैकएंड डेटाबेस मैनेज करने और होस्टिंग के लिए करते हैं। इन दिनों साइबर ठगी, इसी प्लेटफॉर्म का इस्तेमाल ठगी करने के लिए भी शुरू कर दिए हैं। मीडिया रिपोर्ट के अनुसार, साइबर ठगों ने फायरबेस के फ्री प्लान, शक्तिशाली डेटाबेस फीचर्स और आसान होस्टिंग सुविधा का फायदा उठाकर एक नया पैटर्न अपनाया है-
ठग फायरबेस पर फर्जी बैंकिंग पेजों जैसे SBI, ICICI, Axis Bank की नकल करके फिशिंग पेज बनाते हैं।
फर्जी ऐप या लिंक के जरिए आम लोगों के फोन में मैलवेयर इंस्टॉल कराया जाता है। जैसे ही पीड़ित अपने फोन में ऐप इंस्टॉल करता है, तो मैलवेयर फोन में पहुंच जाता है. फिर यूजर जो भी जानकारी दर्ज करता है या बैंकिंग ऐप का इस्तेमाल करता है, वह डेटा सीधे साइबर ठगों के फायरबेस पर बनाए गए बैकएंड डेटाबेस में ट्रांसफर हो जाता है।
I4C के नोटिस के अनुसार अगस्त में हटाने के लिए चिन्हित 57 वेबसाइट और डेटाबेस में से 7 फिशिंग पेज ऐसे थे जो SBI, ICICI Bank और Axis Bank जैसी भारतीय बैंकों की वेबसाइट की पूरी तरह नकल करके तैयार किए गए थे। बाकी में ऐसे इंफ्रास्ट्रक्चर शामिल थे जिनका इस्तेमाल पीड़ितों के फोन से चोरी की गई जानकारी, जिसमें क्रेडिट कार्ड की जानकारी और OTP शामिल थे, प्राप्त करने के लिए किया जा रहा था।
यहां एक जरूरी बात यह है कि Google या Firebase को इन ठगी गतिविधियों का जिम्मेदार नहीं बताया गया है।
यहां एक जरूरी बात यह है कि Google या Firebase को इन ठगी गतिविधियों का जिम्मेदार नहीं बताया गया है।
डिजिटल दौर में फेक वेबसाइड को पहचानना मुश्किल होता जा रहा है। आज के समय में साइबर ठग फेक वेबसाइट्स को हूबहू असली जैसा इंटरफेस, लोगो और कलर थीम के साथ डिजाइन करते हैं, जिससे आम ग्राहकों के लिए इन्हें पहचानना बेहद मुश्किल हो जाता है। लेकिन अगर आप कुछ बातों का ध्यान रखें तो बड़े ही आसानी से फेक और रियल वेबसाइट में फर्क कर सकते हैं। जैसे-
URL-डोमेन नेम चेक करें
असली बैंक का डोमेन नेम बिल्कुल सटीक होता है जैसे https://www.sbi.co.in. ठग मिलते-जुलते स्पेलिंग या गलत एक्सटेंशन का इस्तेमाल करते हैं।इसके साथ ही अगर कोई बड़ी कंपनी .xyz, .top, या अजीब डोमेन का इस्तेमाल कर रही है, तो सावधान रहें।
ऑफर
अगर वेबसाइट पर बहुत ज्यादा लुभावने ऑफर, भारी छूट, या गलत हिंदी-इंग्लिश दिखें, तो वह फ्रॉड हो सकती है।
दूसरा पेज
अगर कोई लिंक क्रेडिट कार्ड लिमिट बढ़ाने, रिवॉड पॉइंट कैश कराने या कैशबैक का दावा कर किसी अनजाने पेज पर जाने को बोले या ले जाए, तो वह फेक हो सकता है।
थर्ड-पार्टी APK से बचें
किसी भी बैंक की वेबसाइट पर जाने के बाद अगर आपको ऐप डाउनलोड करने के लिए किसी अज्ञात .apk फाइल का लिंक मिले, तो उस पर गलती से भी क्लिक न करं. बैंक हमेशा Play Store/App Store से ऐप डाउनलोड करने की सलाह देते हैं।
एक मीडिया रिपोर्ट के अनुसार, इसी साल मार्च में सरकार ने एडवाइजरी जारी की, जिसमें Android God Mode जैसे खतरनाक मैलवेयर को लेकर अलर्ट किया गया था।
सरकारी चेतावनी के मुताबिक, Android God Mode नाम से पहचाने जाने वाले मैलवेयर में Android की Accessibility permissions का गलत इस्तेमाल किया जाता है। ऐसे मैलवेयर बैंकिंग, सरकारी और यूटिलिटी सर्विस की नकल करने वाले ऐप के रूप में सामने आ सकते हैं और यूजर को उन्हें इंस्टॉल करने के लिए तैयार करते हैं। एक बार यूजर इन संदिग्ध ऐप को डाउनलोड कर लेते हैं और जरूरी संवेदनशील परमिशन दे देता है तो मैलवेयर फोन पर बहुत ज्यादा कंट्रोल हासिल कर लेते हैं। कई बार तो आपके फोन पर ठगों को फुल कंट्रोल मिल जाता है।
I4C के अगस्त के नोटिस में भी बताया गया था कि Android मैलवयर को लीगल बैंकिंग सर्विस के रूप में दिखाया जा रहा था और खास तौर पर क्रेडिट कार्ड यूजर्स को नए कार्ड, रिवॉर्ड और क्रेडिट लिमिट बढ़ाने जैसे लालच दिए जा रहे हैं।
यह मैलवेयर बैंक या फिर दूसरे फेक सरकारी ऐप के रूप में फोन में जगह बनाता है और यूजर को धोखा देकर किसी तरह से फोन की Accessibility Services या फिर दूसरी संवेदनशील परमिशन ऑन करवा लेता है। एक बार परमिशन मिलते ही साइबर अपराधी को फोन का लगभग पूरा एक्सेस मिल जाता है। सिर्फ इतना हीं नहीं यह मैलवेयर बैंकिंग ऐप खुलने पर असली स्क्रीन के ऊपर अपनी एक फेक स्क्रीन लगा देता है या यूजर के टाइप किए जाने वाले हर अक्षर को ट्रैक करता है।
मैलवेयर फोन में आने वाले SMS और OTP को खुद ही पढ़कर साइलेंटली ठगों के फायरबेस डेटाबेस में भेज देता है, जिससे यूजर को पता भी नहीं चलता कि उसके खाते से पैसे कट गए हैं।
साइबर ठग लोगों का भरोसा जीतने के लिए बैंक और क्रेडिट कार्ड का नाम लेने से बचते हैं।इसकी जगह पर अब सरकारी योजना का जिक्र करते हैं। सरकारी योजनाओं का नाम ठगों के लिए एक मजबूत सोशल इंजीनियरिंग हथियार बन सकता है। रॉयटर्स की रिपोर्ट के अनुसार, इस मामले में एक स्कैम में PM-KISAN का नाम इस्तेमाल किया गया। फेक वेबसाइट पर लोगों को सरकारी भुगतान हासिल करने में मदद का दावा किया गया और इसके लिए एक ऐप डाउनलोड करने को कहा गया
PM-KISAN जैसी सरकारी योजनाओं का नाम इसलिए भी ठगों के लिए असरदार बन सकता है, क्योंकि यह सरकारी योजना है।ऐसे में किसी यूजर को यह लग सकता है कि उसे पेमेंट लेने, स्टेटस देखने या फिर नए अप्लाई करने के लिए कोई नया ऐप जरूरी है। लेकिन असरी खतरा ऐप डाउनलोड करने के बाद शुरू होता है।
रिपोर्ट के मुताबिक, ऐसे फर्जी ऐप से यूजर से डेटा लेकर ठगों से कंट्रोल किए जा रहे Firebase डेटाबेस तक भेजा जा सकता था।इसके बाद हमलावर फोन में मौजूद दूसरी जानकारी और ऐप्स तक पहुंच बनाने का प्रयास कर सकते थे, और फिर ठगी का खतरा पैदा होता है।
यानी ऑनलाइन होने वाली ठगी का फॉर्मूला सिर्फ यह नहीं है कि आपसे क्रेडिट कार्ड या ओटीपी के जरिए पैसे खाते से गायब कर लिए जाएंगे।इससे भी बड़ा खतरा यह है कि फर्जी ऐप आपके फोन को ही हमलावर के लिए एक रास्ता बना देंगे।
I4C ने अब गूगल को 3 नोटिस भेजकर कम से कम 57 वेबसाइट और डेटाबेस हटाने का आदेश दिया है।लेकिन इसके बाद भी इन्हें रोकना मुश्किल है। क्योंकि क्लाउड प्लेटफॉर्म पर नया अकाउंट या डेटाबेस बनाना बहुत आसान और फ्री होता है। एक डोमेन बंद होते ही अपराधी मिनटों में दूसरा नया लिंक या फिर डेटाबेस तैयार कर लेते हैं।यह पूरा नेटवर्क देश-विदेश के अलग-अलग कोनों से कंट्रोल किया जा सकता है।
सरकार की नोटिस जारी होने के बाद अब 3 घंटे के अंदर गूगल को संदिग्ध लिंक-डेटाबेस को ब्लॉक करना होगा, नहीं तो गूगल को ही कानूनी रूप से उत्तरदायी माना जा सकता है।
वहीं गूगल का कहना है कि उनकी पॉलिशी फिशिंग और वित्तीय धोखाधड़ी को सख्ती से रोकती है। गूगल, Cloud, hosting, domain और app-store जैसी प्लेटफॉर्म की भूमिका ऑटोमेटेड AI डिटेक्शन और I4C जैसी एजेंसियों के साथ मिलकर संदिग्ध खातों की तुरंत पहचान कर उन्हें स्थायी रूप से ब्लॉक करने की है।