सावधान! नई फ़िशिंग तकनीक परिष्कृत वेब एप्लीकेशन के ज़रिए मोबाइल बैंकिंग उपयोगकर्ताओं को निशाना बना रही है
एक नई और चिंताजनक फ़िशिंग तकनीक सामने आई है, जो iOS और Android दोनों प्लेटफ़ॉर्म पर मोबाइल बैंकिंग उपयोगकर्ताओं के लिए एक गंभीर ख़तरा बन गई है। एंटी-मैलवेयर विक्रेता ESET की एक हालिया चेतावनी के अनुसार, साइबर अपराधी सुरक्षा उपायों को दरकिनार करने और संवेदनशील बैंकिंग क्रेडेंशियल्स चुराने के लिए प्रोग्रेसिव वेब एप्लिकेशन (PWA) और WebAPK का लाभ उठा रहे हैं।
विषयसूची
हमला कैसे काम करता है?
यह नया फ़िशिंग अभियान PWA की लचीलेपन का लाभ उठाता है, जो कि मूल ऐप की तरह दिखने और काम करने के लिए डिज़ाइन किए गए वेब एप्लिकेशन हैं। PWA के लिए उपयोगकर्ताओं को थर्ड-पार्टी ऐप इंस्टॉलेशन सक्षम करने की आवश्यकता नहीं होती है, जिससे वे कम संदिग्ध दिखाई देते हैं। साइबर अपराधी iOS उपयोगकर्ताओं को इन PWA को अपनी होम स्क्रीन पर जोड़ने का निर्देश दे रहे हैं, जबकि Android उपयोगकर्ताओं को अपने ब्राउज़र में कस्टम पॉप-अप की पुष्टि करने के लिए कहा जाता है, जिससे इन भ्रामक एप्लिकेशन की स्थापना होती है।
Android उपयोगकर्ताओं के लिए, WebAPK के उपयोग से खतरा बढ़ जाता है। ये अनिवार्य रूप से अपग्रेड किए गए PWA हैं जो वैध ऐप्स की उपस्थिति और व्यवहार की नकल करते हैं, अक्सर उपयोगकर्ताओं को यह विश्वास दिलाते हैं कि उन्होंने उन्हें Google Play से डाउनलोड किया है। ESET के शोध में बताया गया है कि ये WebAPK सामान्य सुरक्षा चेतावनियों को ट्रिगर नहीं करते हैं, भले ही उपयोगकर्ता ने अज्ञात स्रोतों से ऐप्स की स्थापना की अनुमति न दी हो। एक बार इंस्टॉल हो जाने के बाद, ये दुर्भावनापूर्ण एप्लिकेशन उपयोगकर्ता के डिवाइस में सहजता से घुलमिल जाते हैं, आइकन और जानकारी प्रदर्शित करते हैं जो बताते हैं कि वे आधिकारिक बैंकिंग ऐप हैं।
वितरण विधियां
इन फ़िशिंग एप्लिकेशन का वितरण स्वचालित वॉयस कॉल, सोशल मीडिया मालवर्टाइज़िंग और एसएमएस संदेशों के संयोजन के माध्यम से किया जाता है। उपयोगकर्ताओं को ऐसे लिंक पर क्लिक करने के लिए लुभाया जाता है जो उन्हें आधिकारिक ऐप स्टोर या लक्षित बैंक की वेबसाइट जैसी नकली वेबसाइटों पर ले जाते हैं। फिर उन्हें अपने मोबाइल बैंकिंग ऐप के लिए अपडेट जैसा कुछ इंस्टॉल करने के लिए कहा जाता है।
इंस्टॉल होने के बाद, ये ऐप बैंकिंग अकाउंट तक पहुँचने के नाम पर यूजर के लॉगिन क्रेडेंशियल मांगते हैं। यूजर को पता न चलने पर, यह संवेदनशील जानकारी तुरंत हमलावरों के कमांड-एंड-कंट्रोल (C&C) सर्वर पर भेज दी जाती है।
ख़तरे का परिदृश्य
ESET की जांच से पता चलता है कि यह फ़िशिंग अभियान संभवतः नवंबर 2023 में शुरू हुआ था, और C&C सर्वर मार्च 2024 तक सक्रिय हो गए थे। जबकि प्राथमिक ध्यान चेक गणराज्य में मोबाइल बैंकिंग उपयोगकर्ताओं पर रहा है, हमलों ने हंगरी और जॉर्जिया में व्यक्तियों को भी निशाना बनाया है। ESET ने इन हमलों के पीछे दो अलग-अलग ख़तरा पैदा करने वाले लोगों की पहचान की है, जिनमें से प्रत्येक उपयोगकर्ताओं को जोखिम में डालने के लिए समान तकनीकों का उपयोग करता है।
इसके अलावा, इस बात की चिंता बढ़ रही है कि ये हमलावर और अधिक नकल करने वाले एप्लिकेशन विकसित करके अपने शस्त्रागार का विस्तार करेंगे। इन PWA और WebAPK की परिष्कृतता उन्हें विशेष रूप से खतरनाक बनाती है, क्योंकि वे वैध बैंकिंग ऐप्स से लगभग अप्रभेद्य हो सकते हैं।
ख़तरे से खुद को बचाना
ऐसी उन्नत फ़िशिंग तकनीकों के उदय के साथ, उपयोगकर्ताओं के लिए सतर्क रहना पहले से कहीं ज़्यादा ज़रूरी हो गया है। यहाँ कुछ कदम दिए गए हैं जिन्हें आप अपनी सुरक्षा के लिए अपना सकते हैं:
- ऐप इंस्टॉल करते समय सावधान रहें : ऐसे ऐप इंस्टॉल करने से बचें जो सीधे आधिकारिक ऐप स्टोर से नहीं आते हैं। यदि किसी लिंक के माध्यम से ऐप या अपडेट इंस्टॉल करने के लिए कहा जाए, तो पहले उसकी वैधता सत्यापित करें।
- असामान्य अनुरोधों से सावधान रहें : किसी भी ऐप से सावधान रहें जो संवेदनशील जानकारी, जैसे लॉगिन क्रेडेंशियल या बैंकिंग विवरण मांगता है, खासकर यदि वह अपडेट होने का दावा करता है।
- सूचित रहें : नवीनतम सुरक्षा समाचारों से अवगत रहें और सुनिश्चित करें कि आपके डिवाइस का सुरक्षा सॉफ़्टवेयर इन प्रकार के खतरों का पता लगाने और उन्हें रोकने के लिए अद्यतन है।
यह नई फ़िशिंग तकनीक साइबर अपराधियों की विकसित होती रणनीति और उपयोगकर्ताओं के बीच बढ़ती जागरूकता की आवश्यकता को रेखांकित करती है। चूंकि वैध और धोखाधड़ी वाले अनुप्रयोगों के बीच की रेखा धुंधली होती जा रही है, इसलिए सूचित और सतर्क रहना ही आपका सबसे अच्छा बचाव है।