কুইশিং বা কিউআর কোড স্ক্যাম প্রতিরোধ করার উপায়

কিউআর কোড স্ক্যান করলে কি হ্যাক হতে পারেন?

সম্পূর্ণ QR কোড হুমকির পরিপ্রেক্ষিত বোঝা আপনাকে শিকার হওয়ার আগে হুমকিগুলো সনাক্ত করতে সাহায্য করে। এখানে ২০২৫ সালের সবচেয়ে সাধারণ আক্রমণ প্যাটার্নগুলো দেওয়া হল।

নকল স্টিকারের কৌশল

সবচেয়ে ব্যাপক ভৌত পদ্ধতি হল বৈধ কোডের উপরে সরাসরি জাল QR কোড স্টিকার লাগানো—পার্কিং মিটার, রেস্তোরাঁর টেবিল, পরিবহন সাইন বা খুচরা ডিসপ্লেতে। আপনি ভাবেন আপনি ম্যাপ লিঙ্ক খুলছেন বা পেমেন্ট টার্মিনালে পেমেন্ট করছেন। বাস্তবে, আপনার কার্ডের তথ্য সরাসরি একজন প্রতারকের জাল পোর্টালে চলে যাচ্ছে। দ্রুত একটি ভৌত পরিদর্শন—কোডটি সমতল আছে কিনা বা স্তরবদ্ধ দেখায় কিনা পরীক্ষা করা—আপনাকে এ থেকে সম্পূর্ণরূপে বাঁচাতে পারে।

ইমেইল ও অফিস টুলসের মাধ্যমে কুশিং

যেহেতু মানুষ সাধারণত তাদের ফোনে কিউআর কোড স্ক্যান করে, এমবেড করা ইউআরএলগুলো ফায়ারওয়াল এবং এন্ডপয়েন্ট ইউআরএল ব্লকারের মতো ডেস্কটপ নিরাপত্তা সরঞ্জামগুলো এড়িয়ে যায়। এটি ইমেইলের মাধ্যমে কিউআর কোড হ্যাকিংকে বিশেষভাবে কার্যকর করে তোলে। বার্তাটি মাইক্রোসফট, আপনার ব্যাংক বা আপনার কোম্পানির আইটি বিভাগের কাছ থেকে এসেছে বলে মনে হয় – লোগো এবং পেশাদার ফরম্যাটিংসহ।

এই কুশিং আক্রমণের প্রায় ২৭% জাল মাল্টি-ফ্যাক্টর অথেন্টিকেশন সতর্কবার্তা ব্যবহার করে: "আপনার সেশন মেয়াদোত্তীর্ণ – পুনরায় যাচাই করতে স্ক্যান করুন।" সেই তাড়া আপনাকে দ্বিতীয়বার ভাবতে বাধা দেয়।

ডকুমেন্ট এবং ভৌত মেইলে লুকানো QR কোড

QR কোড স্ক্যান করার এটি অন্যতম বেশি উপেক্ষিত বিপদ: শুধুমাত্র ২০২৪ সালের মাঝামাঝি সময়ে PDF সংযুক্তিতে QR কোড এম্বেড করা পাঁচ লাখ ফিশিং ইমেইল সনাক্ত করা হয়েছে। ডকুমেন্টটি বৈধ মনে হয় – একটি চালান, একটি সুবিধা বিবৃতি, একটি ডেলিভারি নোটিশ – এবং ভিতরের QR কোডটি একটি সুবিধাজনক শর্টকাট হিসেবে দেখা যায়। FTC শারীরিক মেইল প্রতারণায় একটি উল্লম্ফনও চিহ্নিত করেছে, যেখানে QR কোড ম্যালওয়্যার লিঙ্কগুলো নকল প্যাকেজ স্লিপ বা ইউটিলিটি বিলের উপর মুদ্রিত হয়ে আসে।

এআই-চালিত কুশিং প্রচারণা

কুইশিং সাইবার হুমকির সর্বশেষ এবং সবচেয়ে উদ্বেগজনক বিবর্তন হল এআই-উত্পাদিত ফিশিং পৃষ্ঠা, যা বাস্তব পৃষ্ঠা থেকে প্রায় অবিচ্ছিন্ন। আক্রমণকারীরা এখন কয়েক মিনিটের মধ্যেই একটি বিশ্বাসযোগ্য ভুয়া বুকিং বা পেপ্যাল লগইন পৃষ্ঠা তৈরি করতে পারে, যা একটি নির্দিষ্ট লক্ষ্যমাত্রার জন্য বাস্তবসম্মত ব্র্যান্ডিং এবং ব্যক্তিগতকৃত কপির মাধ্যমে তৈরি করা হয়। এটি ব্যক্তি এবং সংস্থা উভয়ের জন্যই কিউআর কোড জালিয়াতি প্রতিরোধকে উল্লেখযোগ্যভাবে কঠিন করে তুলেছে।

কিন্তু হুমকি শুধুমাত্র ভুয়া লগইন পৃষ্ঠার মধ্যেই সীমাবদ্ধ নয়। আক্রমণের প্রতিটি ধাপে এখন AI ব্যবহার করা হচ্ছে – লক্ষ্য নির্বাচন থেকে ডেলিভারি এবং এড়ানো পর্যন্ত।

• অতি-ব্যক্তিগত প্রলোভন। প্রচলিত ফিশিং সাধারণ প্রলোভনের ওপর নির্ভর করত – "আপনার অ্যাকাউন্ট স্থগিত করা হয়েছে।" এআই-চালিত প্রচারণাগুলো সর্বজনীনভাবে উপলব্ধ তথ্য থেকে তথ্য সংগ্রহ করে: আপনার নিয়োগকর্তা, আপনার শহর, আপনার সাম্প্রতিক কেনাকাটা। ফলাফল হল এমন একটি QR কোড প্রতারণা যা মনে হয় বিশেষভাবে আপনার জন্য লেখা হয়েছে, কারণ এক অর্থে, তাই হয়েছে। আপনি যে বিক্রেতার নাম চেনেন তার কাছ থেকে একটি ভুয়া চালান। আপনার প্রকৃত ঠিকানার সাথে মিলিত একটি "ডেলিভারি মিস" স্লিপ। সেই স্তরের বিশেষত্বই আধুনিক কুশিং ফিশিংকে এক নজরে উপেক্ষা করা এত কঠিন করে তোলে।
• ভয়েস এবং ডিপফেক শক্তিশালীকরণ। উচ্চ-মূল্যের আক্রমণে – সাধারণত ফাইন্যান্স বা এইচআর-এর কর্মচারীদের লক্ষ্য করে – এআই-উৎপন্ন ভয়েস কল বা ডিপফেক ভিডিও বার্তা এখন ক্ষতিকর QR কোডের আগে পাঠানো হয়। কলটি বিশ্বাস স্থাপন করে ("হ্যালো, আমি আইটি সাপোর্ট – আপনি শীঘ্রই একটি যাচাইকরণ কোড পাবেন"), এবং কয়েক মুহূর্ত পরই ইমেইল বা এসএমএস QR কোডটি আসে। টার্গেট যখন এটি স্ক্যান করে, তখন তারা ইতিমধ্যেই সম্মতি জানাতে প্রস্তুত হয়ে যায়।
• ব্যাপক পরিসরে স্বয়ংক্রিয় অবকাঠামো। যা একসময় সেটআপ করতে প্রযুক্তিগত দক্ষতার প্রয়োজন হত – ভুয়া ডোমেইন, SSL সার্টিফিকেট, অনুরূপ ওয়েবসাইট – তা এখন স্বয়ংক্রিয়ভাবে তৈরি ও পরিবর্তন করা যায়। আক্রমণকারীরা একযোগে শত শত স্বল্পস্থায়ী ফিশিং পৃষ্ঠা মোতায়েন করে, ব্লকলিস্টের চেয়ে দ্রুত ডোমেইন পরিবর্তন করে। এ কারণেই প্রচলিত URL-ভিত্তিক নিরাপত্তা সরঞ্জামগুলো হিমশিম খায়: একটি ডোমেইন চিহ্নিত হওয়ার আগেই তা প্রতিস্থাপিত হয়ে যায়।
• ডিজাইনেই এড়ানোর ব্যবস্থা। নিরাপত্তা সনাক্তকরণ প্যাটার্নে প্রশিক্ষিত এআই মডেলগুলো এখন বিশেষভাবে ফিল্টার এড়ানোর জন্য তৈরি QR কোড এবং ল্যান্ডিং পেজ তৈরি করতে পারে। এগুলো বৈধ পেজের ভিজ্যুয়াল কাঠামো উচ্চমাত্রার বিশ্বস্ততার সঙ্গে অনুকরণ করে – সঠিক ফন্ট ওয়েট, আসল মতো ফর্ম ফিল্ড, ভুল তথ্য দিলে বাস্তবসম্মত ত্রুটি বার্তা (অনেকবার পাসওয়ার্ড সংগ্রহের একটি ক্লাসিক কৌশল)।

ব্যবহারিক অর্থ সরল: যে ভিজ্যুয়াল এবং প্রাসঙ্গিক সংকেতগুলো একসময় মানুষকে প্রতারণা শনাক্ত করতে সাহায্য করত, সেগুলো এখন অবিশ্বাস্য হয়ে উঠছে। শুধুমাত্র চেহারা নয়, উৎসের প্রতি সংশয়ই এখন আরও গুরুত্বপূর্ণ ফিল্টার।