فیس بک 2FA سکیمرز کی واپسی – اس بار صرف 21 منٹ میں

کیا آپ کبھی محض اتفاق سے فشنگ لنک پر کلک کرنے کے واقعی قریب آئے ہیں؟

ہمیں کچھ حیرت ہوئی ہے، جیسے کہ جب ہم نے چند سال پہلے کلک اینڈ کلیکٹ اسٹور سے موبائل فون خریدا تھا۔

اس سے پہلے کئی سالوں تک برطانیہ سے باہر رہنے کے بعد، یہ ایک دہائی سے زیادہ عرصے تک اس مخصوص کاروبار سے ہماری پہلی خریداری تھی…

…پھر بھی اگلی صبح ہمیں ایک ایس ایم ایس پیغام موصول ہوا جس میں دعویٰ کیا گیا تھا کہ ہم اسی اسٹور سے ہیں، ہمیں مشورہ دیا گیا کہ ہم نے زیادہ ادائیگی کی ہے اور رقم کی واپسی کا انتظار ہے۔

یہ نہ صرف برانڈ X کے ساتھ ہماری عمروں سے پہلی بات چیت تھی، بلکہ یہ پہلا ایس ایم ایس بھی تھا (حقیقی یا بصورت دیگر) ہمیں کبھی بھی مذکورہ برانڈ X موصول ہوا تھا۔

ایسا ہونے کا کیا امکان ہے؟

(اس کے بعد سے، ہم نے X سے کچھ اور خریداریاں کی ہیں، جس میں ستم ظریفی یہ ہے کہ اس دریافت کے بعد ایک اور موبائل فون بھی شامل ہے کہ فون ہمیشہ سائیکل پرنگ میں اچھا کام نہیں کرتے، اور ہمارے پاس X کو نشانہ بنانے والے کئی اور ایس ایم ایس اسکیم پیغامات آئے ہیں، لیکن وہ میں نے کبھی بھی اتنے قابل اعتماد طریقے سے قطار میں نہیں کھڑا کیا ہے۔)

آئیے ریاضی کرتے ہیں۔

اگر آپ ریاضی کرتے ہیں تو پریشان کن بات یہ ہے کہ گھوٹالے سے ملنے والے حقیقی زندگی کے اتفاقات کے امکانات حیرت انگیز طور پر اچھے ہیں۔

سب کے بعد، یو کے لاٹری میں جیتنے والے نمبروں کا اندازہ لگانے کا موقع (6 میں سے 59 نمبر والی گیندیں) تقریباً لامحدود طور پر 1 ملین میں 45-XNUMX-ملین ہے، جس کا شمار فارمولے کے ذریعے کیا جاتا ہے 59C6 or 59 choose 6ہے، جو 59!/6!(59-6)!، جو کے طور پر باہر آتا ہے 59x56x55x54x53x52/6x5x4x3x2x1 = 45,057,474.

اس لیے آپ ہیں جیک پاٹ کبھی نہیں جیتا…

…اگرچہ بہت کم لوگوں کے پاس ہے۔، کئی سالوں سے یہ چل رہا ہے۔

اسی طرح، فشنگ بدمعاشوں کو نشانہ بنانے یا چال چلانے کی ضرورت نہیں ہے۔ آپ، لیکن محض چال کے لیے کسی، اور ایک دن، شاید، شاید، کہ کوئی آپ ہو۔

ہمیں کل رات اس کی ایک عجیب سی یاد آئی، جب ہم صوفے پر بیٹھے، ٹیک پبلی کیشن میں ایک مضمون پڑھ رہے تھے۔ رجسٹر 2FA اسکیمنگ کے بارے میں۔

پہلی حیرت یہ تھی کہ اسی لمحے ہم نے سوچا، "ارے، ہم نے تقریباً دو ہفتے پہلے ایسا کچھ لکھا تھا،" ہم پیراگراف میں پہنچے ایل ریگ کہانی جو نہ صرف یہ کہتی ہے بلکہ براہ راست منسلک ہے۔ ہمارے اپنے مضمون میں!

ایسا ہونے کا کیا امکان ہے؟

بلاشبہ، کوئی بھی مصنف جو کہتا ہے کہ وہ اس بات کی فکر نہیں کرتے کہ دوسرے لوگ ان کے کام کو دیکھیں یا نہیں، تقریباً یقینی طور پر اس پر بھروسہ نہیں کیا جا سکتا، اور ہم یہ تسلیم کرنے کے لیے تیار ہیں کہ ہم نے متعلقہ پیراگراف کا اسکرین شاٹ لیا اور اسے ای میل کیا۔ اپنے آپ کو ("خالص طور پر PR دستاویزات کے مقاصد کے لیے" وہ وضاحت تھی جس پر ہم نے فیصلہ کیا تھا)۔

اب یہ عجیب ہو جاتا ہے

یہ ہے جہاں اتفاقات کا مزہ عجیب ہو جاتا ہے۔

اپنے فون سے اپنے لیپ ٹاپ پر ای میل بھیجنے کے بعد، ہم اپنے بائیں طرف دو میٹر سے بھی کم فاصلے پر چلے گئے، اور منسلک تصویر کو محفوظ کرنے کے لیے مذکورہ لیپ ٹاپ کے سامنے بیٹھ گئے، صرف اس کو تلاش کرنے کے لیے۔ چند سیکنڈ کے دوران ہم کھڑے تھے۔...

… بالکل اسی طرح کے بدمعاشوں نے جیسا کہ پہلے ہمیں ایک اور ای میل کیا تھا۔ فیس بک کے صفحات 2FA اسکینڈل، جس میں پچھلے سے تقریباً ایک جیسا متن ہے:

اس کے ہونے کا کیا امکان ہے، پچھلے اتفاق کے موقع کے ساتھ جو کہ ابھی اس وقت ہوا جب ہم مضمون پڑھ رہے تھے؟

افسوس کی بات یہ ہے کہ سائبر جرائم پیشہ افراد جس آسانی کے ساتھ نئے ڈومین ناموں کا اندراج کر سکتے ہیں، نئے سرور قائم کر سکتے ہیں، اور دنیا بھر میں لاکھوں ای میلز کو اڑا سکتے ہیں…

…اس بات کا امکان کافی زیادہ ہے کہ اگر اس قسم کا اتفاقی واقعہ کبھی پیش نہ آئے تو یہ زیادہ حیران کن ہوگا۔

اسکام میں چھوٹی تبدیلیاں

دلچسپ بات یہ ہے کہ ان بدمعاشوں نے اپنے گھوٹالے میں معمولی تبدیلیاں کی تھیں۔

پچھلی بار کی طرح، انہوں نے ایک کلک کے قابل لنک کے ساتھ ایک HTML ای میل بنایا جو بذات خود ایک URL کی طرح نظر آتا تھا، حالانکہ اصل URL جس سے اس نے لنک کیا تھا وہ نہیں تھا جو متن میں ظاہر ہوا تھا۔

تاہم، اس بار، جو لنک آپ نے دیکھا اگر آپ نے ای میل میں نیلے رنگ کے متن پر منڈلاتے ہیں (دی اصل یو آر ایل کا ہدف بظاہر کے بجائے) واقعی میں یو آر ایل کا لنک تھا۔ facebook.com ڈومین.

اس کے جعلی پاس ورڈ اور 2FA پرامپٹس کے ساتھ اپنے ای میل سے براہ راست ان کی اسکیم سائٹ سے لنک کرنے کے بجائے، مجرموں نے اپنے ہی فیس بک پیج سے لنک کیا، اس طرح انہیں facebook.com ای میل میں ہی استعمال کرنے کے لیے لنک:

یہ ایک اضافی کلک سے دور کی چال مجرموں کو تین چھوٹے فائدے دیتی ہے:

• حتمی ڈوجی لنک ای میل فلٹرنگ سافٹ ویئر کو براہ راست نظر نہیں آتا ہے، اور اگر آپ اپنے ای میل کلائنٹ میں لنک پر ہوور کرتے ہیں تو پاپ اپ نہیں ہوتا ہے۔
• گھوٹالے کا لنک ظاہری جواز کو کھینچتا ہے۔ فیس بک پر ہی ظاہر ہونے سے۔
• گھوٹالے کے لنک پر کلک کرنا کسی نہ کسی طرح کم خطرناک محسوس ہوتا ہے۔ کیونکہ آپ اسے براہ راست ای میل سے وہاں جانے کے بجائے اپنے براؤزر سے دیکھ رہے ہیں، جس کے بارے میں ہم سب کو محتاط رہنا سکھایا گیا ہے۔

ہم نے اس ستم ظریفی کو نہیں چھوڑا، جیسا کہ ہم امید کرتے ہیں کہ آپ بھی نہیں کریں گے، ایک مکمل طور پر جعلی فیس بک پیج کو خاص طور پر ہمارے اپنے Facebook پیج کے مبینہ طور پر خراب معیار کی وجہ سے ہماری مذمت کرنے کے لیے قائم کیا جا رہا ہے!

اس مقام سے، اسکام بالکل اسی ورک فلو کی پیروی کرتا ہے جیسا کہ ہم نے پچھلی بار لکھا تھا:

سب سے پہلے، آپ سے آپ کا نام اور ذاتی معلومات کی دیگر معقول مقدار کے بارے میں پوچھا جاتا ہے۔

دوسرا، آپ کو اپنا فیس بک پاس ورڈ درج کرکے اپنی اپیل کی تصدیق کرنی ہوگی۔

آخر میں، جیسا کہ آپ اپنا پاس ورڈ استعمال کرتے وقت توقع کر سکتے ہیں، آپ سے کہا جاتا ہے کہ وہ ون ٹائم 2FA کوڈ ڈالیں جو آپ کے موبائل فون ایپ نے ابھی تیار کیا ہے، یا جو SMS کے ذریعے آیا ہے۔

بلاشبہ، جیسے ہی آپ اس عمل میں ہر ڈیٹا آئٹم فراہم کرتے ہیں، بدمعاش حقیقی وقت میں لاگ ان کرنے کے لیے فش شدہ معلومات کا استعمال کر رہے ہیں جیسے کہ وہ آپ ہیں، لہذا وہ آپ کے بجائے آپ کے اکاؤنٹ تک رسائی حاصل کر لیتے ہیں۔

پچھلی بار، جعلی ڈومین بنانے والے بدمعاشوں کے درمیان صرف 28 منٹ گزرے جو انہوں نے اسکام میں استعمال کیا تھا (جو لنک انہوں نے خود ای میل میں ڈالا تھا)، جس کے بارے میں ہم نے سوچا کہ یہ بہت تیز تھا۔

اس بار، یہ صرف 21 منٹ کا تھا، حالانکہ، جیسا کہ ہم نے ذکر کیا ہے، جعلی ڈومین براہ راست ہمیں موصول ہونے والی بوگس ای میل میں استعمال نہیں کیا گیا تھا، بلکہ اسے ایک آن لائن ویب صفحہ پر رکھا گیا تھا، جس کی میزبانی کی گئی، ستم ظریفی یہ ہے کہ، ایک صفحہ کے طور پر facebook.com خود.

ہم نے جیسے ہی فیس بک کو جعلی صفحہ کی اطلاع دی؛ اچھی خبر یہ ہے کہ اب اسے آف لائن کر دیا گیا ہے، اس طرح اسکام ای میل اور جعلی فیس بک ڈومین کے درمیان تعلق ٹوٹ گیا:

کیا کیا جائے؟

اس طرح کے دھوکہ دہی میں نہ پڑیں۔

• سوشل میڈیا سائٹس پر آفیشل "اپیل" صفحات تک پہنچنے کے لیے ای میلز میں لنکس کا استعمال نہ کریں۔ خود جانیں کہ کہاں جانا ہے، اور مقامی ریکارڈ (کاغذ پر یا اپنے بُک مارکس میں) رکھیں، تاکہ آپ کو کبھی بھی ای میل ویب لنکس استعمال کرنے کی ضرورت نہ پڑے، چاہے وہ حقیقی ہوں یا نہ ہوں۔
• ای میل یو آر ایل کو احتیاط سے چیک کریں۔ متن کے ساتھ ایک لنک جو بذات خود ایک URL کی طرح لگتا ہے ضروری نہیں کہ وہ URL ہو جس کی طرف لنک آپ کو ہدایت کرتا ہے۔ اصل منزل کا لنک تلاش کرنے کے لیے، اپنے ماؤس کے ساتھ لنک پر ہوور کریں (یا اپنے موبائل فون پر لنک کو چھو کر دبائے رکھیں)۔
• یہ مت سمجھیں کہ معروف ڈومین والے تمام انٹرنیٹ پتے کسی نہ کسی طرح محفوظ ہیں۔ ڈومینز جیسے facebook.com, outlook.com or play.google.com جائز خدمات ہیں، لیکن ان خدمات کو استعمال کرنے والے ہر شخص پر بھروسہ نہیں کیا جا سکتا۔ ویب میل سرور پر انفرادی ای میل اکاؤنٹس، سوشل میڈیا پلیٹ فارم پر صفحات، یا آن لائن سافٹ ویئر اسٹور میں موجود ایپس سب کا اختتام بھروسہ مند ڈومین ناموں والے پلیٹ فارم کے ذریعے ہوتا ہے۔ لیکن انفرادی صارفین کی طرف سے فراہم کردہ مواد نہ تو اس پلیٹ فارم کے ذریعے تخلیق کیا جاتا ہے اور نہ ہی خاص طور پر اس کی تصدیق کی جاتی ہے (چاہے پلیٹ فارم کتنی ہی خودکار تصدیق کرنے کا دعویٰ کرے)۔
• ویب سائٹ کے ڈومین ناموں کو احتیاط سے چیک کریں۔ ہر کردار اہمیت رکھتا ہے، اور کسی بھی سرور نام کا کاروباری حصہ آخر میں ہوتا ہے (یورپی زبانوں میں دائیں طرف جو بائیں سے دائیں جاتا ہے)، شروع میں نہیں۔ اگر میں ڈومین کا مالک ہوں۔ dodgy.example پھر میں شروع میں اپنی پسند کا کوئی بھی برانڈ نام رکھ سکتا ہوں، جیسے visa.dodgy.example or whitehouse.gov.dodgy.example. یہ صرف میرے دھوکہ دہی والے ڈومین کے ذیلی ڈومینز ہیں، اور اس کے کسی دوسرے حصے کی طرح ناقابل اعتماد dodgy.example.
• اگر آپ کے موبائل فون پر ڈومین کا نام واضح طور پر نظر نہیں آ رہا ہے، اس وقت تک انتظار کرنے پر غور کریں جب تک کہ آپ ایک باقاعدہ ڈیسک ٹاپ براؤزر استعمال نہ کر سکیں، جس میں عام طور پر یو آر ایل کے حقیقی مقام کو ظاہر کرنے کے لیے اسکرین کی بہت زیادہ جگہ ہوتی ہے۔
• پاس ورڈ مینیجر پر غور کریں۔ پاس ورڈ مینیجر صارف نام اور لاگ ان پاس ورڈ کو مخصوص سروسز اور یو آر ایل کے ساتھ منسلک کرتے ہیں۔ اگر آپ کسی جعلی سائٹ پر پہنچتے ہیں، چاہے وہ کتنی ہی قائل کیوں نہ ہو، آپ کے پاس ورڈ مینیجر کو دھوکہ نہیں دیا جائے گا کیونکہ وہ سائٹ کو اس کے URL سے پہچانتا ہے، نہ کہ اس کی ظاہری شکل سے۔
• اپنا 2FA کوڈ ڈالنے میں جلدی نہ کریں۔ اپنے ورک فلو میں رکاوٹ کا استعمال کریں (مثلاً یہ حقیقت کہ آپ کو کوڈ جنریٹر ایپ تک رسائی حاصل کرنے کے لیے اپنے فون کو غیر مقفل کرنے کی ضرورت ہے) اس یو آر ایل کو دوسری بار چیک کرنے کی وجہ کے طور پر، صرف اس بات کا یقین کرنے کے لیے۔
• فیس بک کو گھوٹالے کے صفحات کی اطلاع دینے پر غور کریں۔ پریشان کن بات یہ ہے کہ ایسا کرنے کے لیے آپ کے پاس اپنا ایک فیس بک اکاؤنٹ ہونا ضروری ہے (غیر فیس بک صارفین زیادہ سے زیادہ کمیونٹی کی مدد کے لیے رپورٹس جمع کرنے سے قاصر ہیں، جو کہ افسوس کی بات ہے)، یا کوئی ایسا دوست ہونا چاہیے جو آپ کے لیے رپورٹ بھیجے۔ . لیکن اس معاملے میں ہمارا تجربہ یہ تھا کہ اس کی اطلاع دینے سے کام ہوا، کیونکہ فیس بک نے جلد ہی توہین آمیز صفحہ تک رسائی کو روک دیا۔

یاد رکھیں، جب بات ذاتی ڈیٹا کی ہو، خاص طور پر پاس ورڈز اور 2FA کوڈز…

...اگر شک ہو/ اسے نہ دیں۔.

---