एक वास्तविक दिखने वाले माइक्रोसॉफ्ट ईमेल पर क्लिक करने की कल्पना करें जिसमें परिचित लोगो, लेआउट और URL हो, केवल अंत में आपके अकाउंट क्रेडेंशियल खोने के लिए। फिशिंग ईमेल होशियार हो रहे हैं क्योंकि खतरे के अभिनेता अब आपको अपने लॉगिन विवरण सौंपने के लिए धोखा देने के लिए एक टाइपोग्राफिक भ्रम का फायदा उठा रहे हैं।
इस प्रकार के अटैक को टाइपोस्क्वैटिंग कहा जाता है, और यह धोखे से सूक्ष्म है। पहली नज़र में, प्रेषक का पता वैध दिखता है। ईमेल डिज़ाइन उससे मेल खाता है जो आप माइक्रोसॉफ्ट से उम्मीद करेंगे। यहां तक कि ईमेल में लिंक भी सही लगता है। लेकिन करीब से देखें, और आप देखेंगे कि कुछ गड़बड़ है: एक अकेला कैरेक्टर जो आपके अकाउंट को हैक करने के लिए पर्याप्त है।
टाइपोस्क्वैटिंग क्या है और यह कैसे काम करता है
एक दृश्य चाल जो हमारे पढ़ने के तरीके का फायदा उठाती है
इस उदाहरण में, खतरे के अभिनेताओं ने rnicrosoft.com जैसा डोमेन रजिस्टर किया और उससे ईमेल भेजे जैसे वे आधिकारिक माइक्रोसॉफ्ट सपोर्ट हों। पहली नज़र में, और विशेष रूप से फोन पर, आपका दिमाग इसे "r-nicrosoft" के बजाय microsoft.com के रूप में देख सकता है। यह क्लासिक टाइपोस्क्वैटिंग (उर्फ URL हाईजैकिंग) है।
टाइपोस्क्वैटिंग में लोकप्रिय वेबसाइटों के लगभग समान दिखने वाले नकली डोमेन बनाना शामिल है। हमलावर गलत वर्तनी, स्वैप्ड कैरेक्टर, अलग टॉप-लेवल डोमेन (.com के बजाय .co), या बदले हुए सबडोमेन का उपयोग करके लोगों को पकड़ने की कोशिश करते हैं।
लक्ष्य आपको एक लिंक पर क्लिक करने या एक URL टाइप करने के लिए धोखा देना है जो एक लुकअलाइक डोमेन की ओर ले जाता है। एक बार वहां, पीड़ित अक्सर मिलान ब्रांडिंग और डिज़ाइन के साथ एक क्लोन वेबसाइट का सामना करते हैं। आप लॉग इन करते हैं, भुगतान विवरण दर्ज करते हैं, या फाइलें डाउनलोड करते हैं और हमलावरों को वह दे देते हैं जो उन्हें चाहिए।
टाइपोस्क्वैटिंग काम करता है क्योंकि हमारा दिमाग परिचित शब्दों को पैटर्न के रूप में प्रोसेस करता है बजाय प्रत्येक अक्षर को व्यक्तिगत रूप से पढ़ने के। जब आप "माइक्रोसॉफ्ट" को सैकड़ों बार देखते हैं, तो आपका दिमाग प्रत्येक कैरेक्टर को सत्यापित करने के बजाय आकार को पहचानना शुरू कर देता है। स्कैमर्स इसका फायदा "rn" को "m" के लिए, "vv" को "w" के लिए, या "1" को "l" के लिए उपयोग करके उठाते हैं।
समस्या मोबाइल डिवाइस पर बदतर है। छोटी स्क्रीन, डिफ़ॉल्ट फॉन्ट, और त्वरित स्क्रॉलिंग इन सूक्ष्म अंतरों को लगभग अदृश्य बना देती हैं। आप दोपहर के भोजन के दौरान अपने फोन पर ईमेल चेक कर रहे हैं, आपको जो माइक्रोसॉफ्ट जैसा दिखता है उससे एक संदेश दिखाई देता है, और आप बिना दूसरे विचार के टैप करके आगे बढ़ जाते हैं।
टाइपोस्क्वैटिंग को इतना प्रभावी बनाने वाली बात फिशिंग ईमेल में इसका उपयोग है। एक स्कैमर एक टाइपो डोमेन रजिस्टर कर सकता है, उचित ईमेल ऑथेंटिकेशन (SPF, DKIM, DMARC) सेट अप कर सकता है, और ऐसे संदेश भेज सकता है जो पूरी तरह से वैध दिखते हैं। ईमेल स्पैम फिल्टर पास करता है, आपके इनबॉक्स में आता है, और आपके क्लिक करने का इंतजार करता है।
ब्राउज़र और ईमेल फिल्टर इन्हें हमेशा क्यों नहीं पकड़ते
वैध दिखने वाले डोमेन ऑटोमेटेड चेक से निकल जाते हैं
आप सोच सकते हैं कि आपका ईमेल प्रोवाइडर या ब्राउज़र स्पष्ट नकली या गलत वर्तनी वाले URL को पकड़ लेगा, और अक्सर वे करते हैं। एज और क्रोम URL में टाइपो का पता लगा सकते हैं। दुर्भाग्य से, टाइपोस्क्वैटिंग उन अंतरालों का फायदा उठाता है जिन्हें ये ऑटोमेटेड सिस्टम चूक जाते हैं।
टाइपोस्क्वैटेड डोमेन अक्सर वैध SSL सर्टिफिकेट और सौम्य दिखने वाली सामग्री के साथ ठीक से रजिस्टर होते हैं। ईमेल गेटवे स्पैम पैटर्न और ज्ञात खराब प्रेषकों पर ध्यान केंद्रित करते हैं, लेकिन उचित ऑथेंटिकेशन के साथ सही ढंग से कॉन्फिगर किया गया एक टाइपो डोमेन से ईमेल वैध ट्रैफिक के सांख्यिकीय रूप से समान दिख सकता है। जब तक फिल्टर विशेष रूप से ब्रांड समानता की जांच नहीं करता या लुकअलाइक डोमेन के लिए ट्यून किए गए मशीन लर्निंग का उपयोग नहीं करता, यह संदेश को संदिग्ध के रूप में फ्लैग नहीं करेगा।
ब्राउज़र सुरक्षा की समान सीमाएं हैं। नए टाइपो डोमेन लगातार दिखाई देते हैं और नए इंफ्रास्ट्रक्चर पर रोटेट होने से पहले केवल संक्षिप्त रूप से उपयोग किए जा सकते हैं। ब्लॉकलिस्ट और टाइपो सुरक्षा सुविधाएं पीछे रह सकती हैं या कम-वॉल्यूम, लक्षित अटैक को पूरी तरह से चूक सकती हैं। जब तक एक डोमेन फ्लैग होता है, नुकसान अक्सर पहले ही हो चुका होता है।
टाइपोस्क्वैटिंग से बचाव आसान है, लेकिन केवल अगर आप जानते हैं कैसे
सरल आदतें और उपकरण जो आपको सुरक्षित रखते हैं
गूगल, माइक्रोसॉफ्ट, अमेज़न और अन्य जैसी प्रमुख टेक कंपनियां सक्रिय रूप से टाइपोस्क्वैटिंग के खिलाफ लड़ती हैं और नियमित रूप से अपने डोमेन के सामान्य गलत वर्तनी वाले संस्करण खरीदती हैं और उन्हें अपनी आधिकारिक साइटों पर रीडायरेक्ट करती हैं। उदाहरण के लिए, यदि आप gooogle.com टाइप करते हैं (एक अतिरिक्त "o" के साथ), तो आपको सही URL, Google.com पर रीडायरेक्ट किया जाएगा। यह स्कैमर्स को सामान्य टाइपो रजिस्टर करने से रोकता है। लेकिन वे हर संभव विविधता नहीं खरीद सकते, जिसका अर्थ है कि आपको अभी भी सतर्क रहने की आवश्यकता है।
सबसे सरल रक्षा क्लिक करने से पहले रुकना है। ईमेल में लिंक पर होवर करके वास्तविक URL देखने से पहले क्लिक करें। एड्रेस बार को ध्यान से देखें, विशेष रूप से मोबाइल पर, जहां छोटी स्क्रीन सूक्ष्म अंतरों को पहचानना कठिन बना देती हैं। अगर लॉगिन पेज के बारे में कुछ गलत लगता है, जिसमें गलत फॉन्ट, गायब तत्व, या कुछ भी शामिल है जो बिल्कुल सही नहीं दिखता, तो टैब बंद करें और URL खुद टाइप करके या बुकमार्क का उपयोग करके सीधे साइट पर नेविगेट करें।
पासवर्ड मैनेजर यहां बिल्ट-इन सुरक्षा प्रदान करते हैं। यदि आपका पासवर्ड मैनेजर लॉगिन पेज पर ऑटो-फिल नहीं करता है, तो यह एक मजबूत संकेत है कि डोमेन वह नहीं है जिसका आप आमतौर पर उपयोग करते हैं। पासवर्ड मैनेजर विजुअल अपीयरेंस नहीं, सटीक डोमेन चेक करते हैं, इसलिए टाइपोस्क्वैटेड साइट्स ऑटो-फिल ट्रिगर नहीं करेंगे।
और भी मजबूत सुरक्षा के लिए, पासवर्ड के बजाय पासकी (passkeys) पर स्विच करने पर विचार करें। पासकी डिज़ाइन द्वारा फिशिंग-प्रतिरोधी हैं क्योंकि वे विशिष्ट डोमेन से जुड़ी होती हैं और लुकअलाइक साइट्स पर काम नहीं करेंगी। आप उन अकाउंट्स के लिए हार्डवेयर सिक्योरिटी की का भी उपयोग कर सकते हैं जो पासकी का समर्थन करते हैं। ये भौतिक उपकरण प्रमाणित करने से पहले वेबसाइट की प्रामाणिकता को सत्यापित करते हैं, जिससे टाइपोस्क्वैटिंग अटैक अनिवार्य रूप से बेकार हो जाते हैं।
ईमेल लिंक के प्रति हमेशा संदेहशील रहें
टाइपोस्क्वैटिंग काम करता है क्योंकि यह हमारे दिमाग के परिचित जानकारी को प्रोसेस करने के तरीके का फायदा उठाता है। हम वही देखते हैं जो हम देखने की उम्मीद करते हैं, न कि जो वास्तव में वहां है। स्कैमर्स इस पर भरोसा करते हैं, ऐसे डोमेन और ईमेल बनाते हैं जो क्विक ग्लांस टेस्ट पास करते हैं।
हालांकि, एक बार जब आप जान जाते हैं कि यह चाल कैसे काम करती है, तो आप उन सूक्ष्म कैरेक्टर स्वैप को अधिक आसानी से नोटिस करना शुरू कर देंगे। प्रेषक पतों और URL को सत्यापित करने के लिए एक अतिरिक्त सेकंड लें, विशेष रूप से लॉगिन पेज और वित्तीय लेनदेन के लिए। जिन साइट्स पर आप अक्सर जाते हैं उनके लिए बुकमार्क का उपयोग करें और अपने पासवर्ड मैनेजर को आपके लिए डोमेन वेरिफिकेशन करने दें। वह संक्षिप्त विराम आपको अपने क्रेडेंशियल्स को किसी ऐसे व्यक्ति को सौंपने से बचा सकता है जिसने एक डोमेन रजिस्टर किया जो लगभग—लेकिन पूरी तरह से नहीं—सही दिखता है।
