अधिकांश ऑनलाइन स्कैम अभी भी एक लक्ष्य के इर्द-गिर्द घूमते हैं: आपका पासवर्ड चुराना। हमें नकली लॉगिन पेज, संदिग्ध लिंक, और तत्काल ईमेल जो हमें हमारे अकाउंट क्रेडेंशियल "सत्यापित" करने के लिए कहते हैं, के लिए देखना सिखाया जाता है।
लेकिन माइक्रोसॉफ्ट अकाउंट अटैक की एक नई लहर अलग तरह से काम करती है। पीड़ित माइक्रोसॉफ्ट की असली वेबसाइट पर लॉग इन करते हैं, असली सिक्योरिटी चेक का उपयोग करते हैं, और यहां तक कि मल्टी-फैक्टर ऑथेंटिकेशन को सफलतापूर्वक पूरा करते हैं—फिर भी हमलावर पहुंच प्राप्त कर लेते हैं।
इस तकनीक को डिवाइस कोड फिशिंग के रूप में जाना जाता है, यह आपका पासवर्ड बिल्कुल नहीं चुराता। इसके बजाय, यह आपको माइक्रोसॉफ्ट के अपने ऑथेंटिकेशन सिस्टम का उपयोग करके ठीक वैसे ही एक्सेस देने के लिए धोखा देता है जैसे इसे डिज़ाइन किया गया था।
डिवाइस कोड लॉगिन वास्तव में उपयोगी है
आपने शायद इसका कई बार उपयोग किया है
माइक्रोसॉफ्ट, अन्य प्रमुख टेक कंपनियों की तरह, डिवाइस ऑथराइज़ेशन फ्लो नामक किसी चीज़ का समर्थन करता है, जिसे आमतौर पर डिवाइस कोड लॉगिन के रूप में जाना जाता है। लेकिन इससे भी अधिक आम तौर पर, यह वह क्षण होता है जब, पूर्ण लॉगिन पेज के बजाय, आपको अपने डिवाइस पर एक मिलान लॉगिन कोड दिखाया जाता है जिसे आपको लॉगिन प्रक्रिया पूरी करने के लिए मिलान या दर्ज करना होता है।
यह वास्तव में उपयोगी है, विशेष रूप से उन डिवाइस पर जो आसानी से पूर्ण लॉगिन पेज प्रदर्शित नहीं कर सकते या जब आप सीमित-उपयोग वाले डिवाइस से कनेक्ट कर रहे होते हैं। उदाहरण के लिए, आपने इनका सामना अपने स्मार्ट टीवी पर या अपने होटल के कमरे में टीवी से कनेक्ट करते समय किया होगा—दोनों प्रमुख उदाहरण हैं।
ज्यादातर समय, यह प्रक्रिया पूरी तरह से सुरक्षित होती है, और प्रक्रिया के बारे में कुछ भी खतरनाक नहीं है। लेकिन एक विशिष्ट शोषण के साथ वह सब बदल जाता है।
वैध फीचर्स का आपके खिलाफ उपयोग किया जा सकता है
यह एक सामान्य धारणा का फायदा उठाता है
डिवाइस कोड लॉगिन अविश्वसनीय रूप से उपयोगी है। हालांकि, इसका शोषण किया जा सकता है क्योंकि डिवाइस लॉगिन प्रक्रियाएं स्वाभाविक रूप से यह मानती हैं कि कोड दर्ज करने वाला व्यक्ति वही है जिसने अनुरोध शुरू किया था। यहीं प्रक्रिया आंशिक रूप से टूट जाती है।
अगर किसी हमलावर को आपका ईमेल एड्रेस या कोई अन्य ज्ञात संपर्क डेटा पता है, तो वे अपने डिवाइस से डिवाइस लॉगिन अनुरोध शुरू कर सकते हैं, एक यूनिक सेशन शुरू कर सकते हैं। फिर माइक्रोसॉफ्ट (और अन्य टेक कंपनियां) उस सेशन से जुड़ा एक वैध डिवाइस कोड उत्पन्न करता है।
यहां यह मुश्किल हो जाता है। स्वयं इसका उपयोग करने का प्रयास करने के बजाय, हमलावर कोड को सीधे आपको भेज सकता है, किसी अन्य प्रक्रिया के रूप में प्रच्छन्न, जिनमें से कई परिचित फिशिंग रणनीति को ध्यान में रखते हैं:
- संदिग्ध गतिविधि का दावा करने वाला सुरक्षा अलर्ट
- एक तत्काल माइक्रोसॉफ्ट 365 नोटिफिकेशन
- टीम्स या आईटी सपोर्ट मैसेज से संदेश
- व्यावसायिक या अन्य ईमेल अनुरोध
अनुरोध आपको आधिकारिक माइक्रोसॉफ्ट लॉगिन पेज पर जाने और अपने अकाउंट को "सुरक्षित" या "सत्यापित" करने के लिए प्रदान किया गया कोड दर्ज करने का निर्देश देता है। यहीं शोषण का अगला चरण शुरू होता है। आप नकली लॉगिन पेज या चतुराई से डिज़ाइन किए गए फिशिंग पोर्टल पर नहीं जा रहे हैं: यह एक वास्तविक माइक्रोसॉफ्ट लॉगिन पेज है, और ऑथेंटिकेशन चेक असली हैं।
आप सामान्य रूप से डिवाइस कोड लॉगिन प्रदान करते हैं, अनुरोध को स्वीकृत करते हैं, और महसूस करते हैं कि आपने अपने अकाउंट की रक्षा की है। लेकिन वास्तव में, आपने हमलावर को ऑथेंटिकेट कर दिया है, इस प्रक्रिया में अपने अकाउंट की चाबी सौंप दी है।
पूरी प्रक्रिया में, आपका पासवर्ड कभी उजागर नहीं होता, फिर भी आपने सीधे अपना अकाउंट सौंप दिया है।
डिवाइस कोड लॉगिन स्कैम इतना अच्छा क्यों काम करता है
यह सब नकल के बारे में है
डिवाइस कोड लॉगिन स्कैम के साथ सबसे बड़ी समस्या यह है कि यह अधिकांश पारंपरिक फिशिंग स्कैम रणनीति को दरकिनार कर देता है। फिशिंग में आमतौर पर एक क्लोन लॉगिन पेज, एक लुकअलाइक लॉगिन पेज, या एक सिस्टम शामिल होता है जो क्रेडेंशियल्स को इंटरसेप्ट करता है।
जबकि डिवाइस कोड लॉगिन फिशिंग स्कैम उस सब को छोड़ देता है, जिससे सब कुछ ऊपर से बोर्ड और वैध दिखाई देता है। ठीक है, यहां तक कि इसे "ऊपर से बोर्ड" दिखाना भी नहीं—यह वास्तव में है, क्योंकि आप माइक्रोसॉफ्ट ऑथेंटिकेशन प्रक्रिया के साथ इंटरैक्ट कर रहे हैं। पूरा स्कैम इसलिए काम करता है क्योंकि सभी प्रक्रियाएं ठीक वैसे ही काम करती हैं जैसे उन्हें करना चाहिए; यह बस आप पर थोड़ा उल्टा कर दिया गया है।
तो, हमलावर आपके एक्सेस टोकन से क्या प्राप्त कर सकता है?
एक हमलावर को ऑथेंटिकेट करना स्पष्ट रूप से एक बुरी स्थिति है
ऑथेंटिकेशन पूरा होने के बाद, माइक्रोसॉफ्ट जिसे एक्सेस टोकन के रूप में जाना जाता है, जारी करता है, जो एक अस्थायी प्रमाण की तरह कार्य करता है कि लॉगिन पहले ही सत्यापित हो चुका है। कार्यात्मक रूप से, सिस्टम मानता है कि धारक ने पहले ही अपनी पहचान साबित कर दी है, इसलिए यह बार-बार क्रेडेंशियल्स मांगे बिना पहुंच की अनुमति देता है।
फिर, हमलावर अपने हाथों में क्या प्राप्त कर सकता है, इसका उत्तर वास्तव में लक्षित अकाउंट पर निर्भर करता है। उदाहरण के लिए, यदि आपका आउटलुक अकाउंट लक्षित है, तो एक हमलावर आपके ईमेल तक पहुंच प्राप्त कर सकता है, फिर विस्तार से, पते से जुड़ी अन्य सेवाओं तक (पासवर्ड रीसेट करके, 2FA कोड एक्सेस करके, आदि)।
लेकिन अगर आपका टीम्स लॉगिन लक्षित है, तो एक हमलावर आपकी कंपनी के टीम्स अकाउंट के अंदर समाप्त हो सकता है, वहां रखे डेटा तक पहुंच के साथ।
तो, आप डिवाइस कोड फिशिंग से कैसे बचाव करते हैं?
लगातार, कभी न खत्म होने वाली सतर्कता
अंततः, कोड डिवाइस लॉगिन अटैक के खिलाफ सबसे अच्छी रक्षा यह समझने की वास्तव में कोशिश करना है कि डिवाइस लॉगिन वास्तव में कैसे काम करता है। डिवाइस लॉगिन प्रक्रियाओं की एक बुनियादी समझ भी आपको इस फिशिंग अटैक से बचाएगी।
संक्षेप में, डिवाइस लॉगिन कोड केवल तभी दिखाई देने चाहिए जब आप स्वयं किसी अन्य डिवाइस पर लॉगिन शुरू करते हैं। माइक्रोसॉफ्ट बेतरतीब ढंग से आपको अपना अकाउंट सुरक्षित करने के लिए कोड नहीं भेजेगा, इसी तरह यह कभी भी आपसे आपका पासवर्ड मांगने के लिए मैसेज नहीं करेगा, 2FA कोड की पुष्टि करने के लिए, और इसी तरह।
यह सिर्फ माइक्रोसॉफ्ट नहीं है, ध्यान रहे। कोई भी कंपनी, टेक या नहीं, को कभी भी आपसे इस जानकारी के लिए नहीं पूछना चाहिए। यह निजी है और सिर्फ आपके लिए है।
ज्यादातर मामलों में, आप फिशिंग स्कैम को पहचानने के लिए सामान्य सुरक्षा नियमों का पालन कर सकते हैं:
- ईमेल, चैट, या टेक्स्ट मैसेज के माध्यम से भेजे गए लॉगिन कोड को कभी दर्ज न करें।
- अप्रत्याशित ऑथेंटिकेशन अनुरोधों के साथ वैसा ही व्यवहार करें जैसा आप पासवर्ड अनुरोध के साथ करेंगे।
- यदि आपको MFA प्रॉम्प्ट मिलता है जिसे आपने ट्रिगर नहीं किया, तो तुरंत इनकार करें।
- अपरिचित एप्लिकेशन या सेशन के लिए नियमित रूप से माइक्रोसॉफ्ट साइन-इन गतिविधि की समीक्षा करें।
याद रखें, ऑथेंटिकेशन कोड परमिशन हैं, वेरिफिकेशन स्टेप नहीं। अगर आपने प्रक्रिया शुरू नहीं की, तो किसी और ने की।
