বিক্রেতা মূল্যায়ন ইমেল কেলেঙ্কারি

অপ্রত্যাশিত ইমেল, যা জরুরি অবস্থার অনুভূতি তৈরি করে, সেগুলোকে সর্বদা সতর্কতার সাথে বিবেচনা করা উচিত, বিশেষ করে যখন সেগুলোতে সংবেদনশীল তথ্য চাওয়া হয় বা ব্যবহারকারীদের লিঙ্কে ক্লিক করতে উৎসাহিত করা হয়। সাইবার অপরাধীরা প্রায়শই প্রাপকদের প্রতারিত করে গোপনীয় তথ্য হাতিয়ে নেওয়ার চেষ্টায় ফিশিং ক্যাম্পেইনকে বৈধ ব্যবসায়িক যোগাযোগের ছদ্মবেশে পাঠায়। এখানে আলোচিত তথাকথিত 'ভেন্ডর ইভ্যালুয়েশন' ইমেলগুলো কোনো প্রকৃত কোম্পানি, সংস্থা, ঠিকাদার বা ক্রয়কারী প্রতিষ্ঠানের সাথে সংযুক্ত নয়। বরং, এগুলো ক্রেডেনশিয়াল চুরির একটি ফিশিং অপারেশনের অংশ, যা ইমেল অ্যাকাউন্ট হ্যাক করতে এবং আরও জালিয়াতির সুযোগ করে দেওয়ার জন্য ডিজাইন করা হয়েছে।

'ভেন্ডর ইভ্যালুয়েশন' কেলেঙ্কারির ব্যাখ্যা

এই প্রতারণামূলক ইমেলগুলো সাধারণত 'ডকুমেন্ট রেডি ফর রিভিউ' শিরোনামে আসে এবং ২০২৬ সালের দ্বিতীয় ত্রৈমাসিকের শুরুতে পরিকল্পিত একটি অবকাঠামো উদ্যোগ সম্পর্কিত পেশাদার দরপত্র আমন্ত্রণপত্র হিসেবে নিজেকে উপস্থাপন করে। প্রাপকদের জানানো হয় যে, একটি কথিত বিক্রেতা মূল্যায়ন সুযোগের অংশ হিসেবে তাদেরকে একটি কোটেশনের জন্য অনুরোধ (RFQ) নথি পর্যালোচনা করার জন্য নির্বাচিত করা হয়েছে।

বার্তাটিকে বিশ্বাসযোগ্য করে তোলার জন্য, ইমেইলটিতে 'Bid_Invitation_RFQ_2026_Q2.pdf' নামের একটি সংযুক্ত পিডিএফ ফাইলের পাশাপাশি একটি 'Review RFQ Securely' বাটন রয়েছে। তবে, এগুলোর কোনোটিই বৈধ সংযুক্তি নয়। দুটিই কেবল ক্লিকযোগ্য লিঙ্ক, যা ব্যবহারকারীদের একই ক্ষতিকারক ওয়েবসাইটে নিয়ে যায়।

বার্তাটিতে একটি জমা দেওয়ার শেষ তারিখের উল্লেখ করে এবং 'লিঙ্কটির মেয়াদ ২০ দিনে শেষ হয়ে যাবে'-এর মতো বিজ্ঞপ্তি প্রদর্শন করে প্রাপকদের দ্রুত পদক্ষেপ নিতে চাপ দেওয়ার চেষ্টা করা হয়। এই ধরনের জরুরি অবস্থা তৈরির কৌশলগুলো সাধারণত ফিশিং আক্রমণে ব্যবহার করা হয়, যাতে লক্ষ্যবস্তুরা ক্লিক করার আগে ইমেলটি ভালোভাবে খতিয়ে দেখার সম্ভাবনা কমে যায়।

ক্রেডেনশিয়াল চুরি কীভাবে কাজ করে

প্রাপক একবার নকল অ্যাটাচমেন্ট বা রিভিউ বোতামে ক্লিক করলে, তাকে একটি প্রতারণামূলক লগইন পৃষ্ঠায় পুনঃনির্দেশিত করা হয়, যা একটি বিশ্বস্ত ইমেল পরিষেবা প্রদানকারীর অনুকরণে তৈরি করা হয়। এই ফিশিং পৃষ্ঠাগুলি প্রায়শই অত্যন্ত উন্নতমানের হয় এবং একটি পরিচিত চেহারার সাইন-ইন পোর্টাল দেখানোর জন্য স্বয়ংক্রিয়ভাবে শিকারের ইমেল ডোমেইন শনাক্ত করতে পারে।

উদাহরণস্বরূপ, জিমেইল ব্যবহারকারীরা গুগল-থিমের একটি লগইন স্ক্রিন দেখতে পারেন, অন্যদিকে আউটলুক ব্যবহারকারীদের সামনে মাইক্রোসফট-ধাঁচের একটি ইন্টারফেস উপস্থাপন করা হতে পারে। এই ব্যক্তিগতকরণ ভুক্তভোগীদের কাছে পৃষ্ঠাটিকে আসল বলে বিশ্বাস করার সম্ভাবনা বাড়িয়ে দেয়।

প্রতারণামূলক ফর্মে প্রবেশ করানো যেকোনো পরিচয়পত্র সরাসরি আক্রমণকারীদের কাছে চলে যায়। যেহেতু ইমেল অ্যাকাউন্টগুলো প্রায়শই অন্যান্য অনলাইন পরিষেবার জন্য তথ্য পুনরুদ্ধারের মাধ্যম হিসেবে কাজ করে, তাই চুরি হওয়া লগইন তথ্যের কারণে ব্যাপকভাবে অ্যাকাউন্ট ঝুঁকির মুখে পড়তে পারে।

চুরি করা ইমেইল ক্রেডেনশিয়াল কেন বিপজ্জনক

হ্যাক হওয়া ইমেল অ্যাকাউন্ট সাইবার অপরাধীদেরকে ভুক্তভোগীর ডিজিটাল জীবনে ব্যাপক প্রবেশাধিকার দিতে পারে। একবার আক্রমণকারীরা ইনবক্সের নিয়ন্ত্রণ পেয়ে গেলে, তারা যা করতে পারে:

ব্যবহারকারীরা যখন একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড পুনরায় ব্যবহার করেন, তখন ঝুঁকি আরও বেড়ে যায়। চুরি হওয়া একটিমাত্র পরিচয়পত্রের মাধ্যমে সম্ভাব্যভাবে অসংখ্য সংযুক্ত পরিষেবা আনলক করা যেতে পারে।

ইমেইলটি প্রতারণামূলক হওয়ার লক্ষণ

বেশ কিছু লক্ষণ এই ফিশিং ক্যাম্পেইনটির ক্ষতিকর প্রকৃতি প্রকাশ করে। কথিত প্রেরক সংস্থা এবং যোগাযোগের বিবরণ মনগড়া, এবং তাৎক্ষণিক পদক্ষেপ নিতে প্ররোচিত করার জন্য বার্তাটিতে জরুরি অবস্থার ওপর ব্যাপকভাবে নির্ভর করা হয়েছে। এছাড়াও, নকল পিডিএফ সংযুক্তিটি কোনো আসল ফাইল নয়, বরং এটি কেবল একটি ছদ্মবেশী হাইপারলিঙ্ক।

আরেকটি বড় সতর্ক সংকেত হলো কোনো বাহ্যিক পৃষ্ঠার মাধ্যমে লগ ইন করার অনুরোধ। বৈধ ক্রয় বা বিক্রেতা মূল্যায়ন প্রক্রিয়ায় প্রাপকদেরকে অযাচিত ইমেইলে পাঠানো সম্পর্কহীন তৃতীয় পক্ষের লিঙ্কের মাধ্যমে তাদের ইমেইল পরিচয়পত্র যাচাই করতে খুব কমই বলা হয়।

সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, ফিশিং পেজটি যে ইমেল প্রদানকারীকে অনুকরণ করার চেষ্টা করে, সেই প্রতারণাটির সাথে তার কোনো সম্পর্কই নেই।

ম্যালওয়্যারের সম্ভাব্য ঝুঁকি

যদিও এই নির্দিষ্ট ক্যাম্পেইনটির মূল লক্ষ্য হলো ক্রেডেনশিয়াল চুরি, প্রায়শই ম্যালওয়্যার ছড়ানোর জন্য একই ধরনের ফিশিং টেমপ্লেটগুলোকে নতুনভাবে ব্যবহার করা হয়। সাইবার অপরাধীরা সাধারণত অ্যাটাচমেন্ট বা লিঙ্কের ভেতরে ক্ষতিকারক কন্টেন্ট ঢুকিয়ে দিয়ে ক্ষতিকর সফটওয়্যার পাঠানোর মাধ্যম হিসেবে ইমেল ব্যবহার করে।

আক্রমণকারীরা সংক্রামিত মাইক্রোসফট অফিস ডকুমেন্ট, পিডিএফ ফাইল, জিপ বা র‍্যার আর্কাইভ, জাভাস্ক্রিপ্ট ফাইল, বা এক্সিকিউটেবল প্রোগ্রাম ছড়াতে পারে। অনেক ক্ষেত্রে, সংক্রমণ প্রক্রিয়াটি তখনই শুরু হয় যখন ভুক্তভোগী ফাইলটি খোলে, ম্যাক্রো সক্রিয় করে, বা ডাউনলোড করা সফটওয়্যারটি নিজে থেকে চালায়।

কিছু ফিশিং ক্যাম্পেইন অ্যাটাচমেন্ট একেবারেই এড়িয়ে চলে এবং এর পরিবর্তে ভুক্তভোগীদের এমন ক্ষতিকর ওয়েবসাইটে নিয়ে যায়, যেগুলো স্বয়ংক্রিয়ভাবে ম্যালওয়্যার ডাউনলোড শুরু করতে অথবা ব্যবহারকারীদের প্রতারিত করে নকল সফটওয়্যার আপডেট ও ইনস্টলার ইনস্টল করিয়ে নিতে সক্ষম।

শেষ কথা

'ভেন্ডর ইভ্যালুয়েশন' ইমেল ক্যাম্পেইনটি একটি ফিশিং স্ক্যাম, যা একটি বৈধ ব্যবসায়িক দরপত্রের আমন্ত্রণপত্রের ছদ্মবেশে পরিচালিত হয়। এর প্রধান উদ্দেশ্য হলো একটি বিশ্বাসযোগ্য কিন্তু প্রতারণামূলক লগইন পেজের মাধ্যমে ইমেল অ্যাকাউন্টের তথ্য চুরি করা। এই ইমেলগুলো কোনো প্রকৃত সংস্থা, ভেন্ডর ম্যানেজমেন্ট প্রোগ্রাম বা ক্রয় প্রক্রিয়ার সাথে সংযুক্ত নয়।

প্রাপকদের উচিত বার্তাটির সাথে কোনো রকম মিথস্ক্রিয়া করা থেকে বিরত থাকা, এতে থাকা কোনো লিঙ্ক বা বোতামে ক্লিক করা থেকে বিরত থাকা এবং অবিলম্বে ইমেলটি মুছে ফেলা। ক্রমবর্ধমান অত্যাধুনিক সাইবার হুমকি থেকে ব্যক্তিগত তথ্য, কর্পোরেট অ্যাকাউন্ট এবং আর্থিক নিরাপত্তা রক্ষার জন্য অনাকাঙ্ক্ষিত ব্যবসায়িক যোগাযোগের ক্ষেত্রে সতর্ক থাকা অপরিহার্য।