স্মিশিং কী? SMS ফিশিং আক্রমণ যেভাবে চিনবেন ও ঠেকাবেন

ফোনটা ভাইব্রেট করে ওঠে। একটি টেক্সট মেসেজে লেখা: আপনার পার্সেল ডেলিভারি দেওয়া যায়নি, আপনার ব্যাংক অ্যাকাউন্ট লক হয়ে গেছে, কিংবা আপনার কর বকেয়া আছে। সমস্যা মেটানোর জন্য সঙ্গে একটি লিংকও দেওয়া আছে। এটাই স্মিশিং — আর ঠিক ওই লিংকে আপনার ক্লিক করাটাই আক্রমণকারীর চাওয়া।

স্মিশিং (SMS ফিশিং) এখন সবচেয়ে দ্রুত বাড়তে থাকা সাইবার অপরাধগুলোর একটি। ইমেইল ফিশিংয়ের তুলনায় টেক্সট মেসেজকে বেশি ব্যক্তিগত ও জরুরি মনে হয়, আর সে কারণেই এগুলো ভয়ংকর রকমের কার্যকর।

স্মিশিং আসলে কী

স্মিশিং শব্দটি এসেছে "SMS" আর "ফিশিং" মিলিয়ে। এটি টেক্সট মেসেজের মাধ্যমে চালানো একধরনের সোশ্যাল ইঞ্জিনিয়ারিং আক্রমণ। আক্রমণকারী কোনো বিশ্বস্ত প্রতিষ্ঠান — ব্যাংক, ডেলিভারি কোম্পানি বা সরকারি সংস্থা — সেজে আপনাকে ধোঁকা দেয়, যাতে আপনি কোনো ক্ষতিকর লিংকে ক্লিক করেন, ভুয়া নম্বরে কল করেন বা ব্যক্তিগত তথ্য পাঠিয়ে দেন।

লক্ষ্য সবসময় একই: আপনার লগইন তথ্য বা আর্থিক তথ্য চুরি করা, কিংবা আপনার ডিভাইসে ম্যালওয়্যার ইনস্টল করা।

স্মিশিংয়ের সবচেয়ে প্রচলিত ধরন

ভুয়া ডেলিভারি নোটিফিকেশন

"আপনার পার্সেল ডেলিভারি দেওয়া যায়নি। এখানে আপনার ঠিকানা নিশ্চিত করুন: [লিংক]"

অনলাইন কেনাকাটা এখন রেকর্ড পর্যায়ে, তাই ভুয়া ডেলিভারি মেসেজই সবচেয়ে বেশি ছড়ানো স্মিশিং কৌশল। এগুলো UPS, FedEx, USPS ও Amazon-এর মতো ডেলিভারি প্রতিষ্ঠানের ছদ্মবেশ নেয়।

ব্যাংক ও আর্থিক সতর্কবার্তা

"আপনার অ্যাকাউন্টে অস্বাভাবিক কার্যকলাপ ধরা পড়েছে। এখনই যাচাই করুন, নইলে আপনার অ্যাকাউন্ট স্থগিত করা হবে: [লিংক]"

এই মেসেজগুলো ভয়কে কাজে লাগায়। এগুলো ব্যাংক, ক্রেডিট কার্ড কোম্পানি কিংবা PayPal ও Venmo-র মতো পেমেন্ট সেবার ছদ্মবেশ নেয়।

কর ফেরত ও সরকারি মেসেজ

"আপনি $১,২০০ কর ফেরত পাওয়ার যোগ্য। মেয়াদ শেষ হওয়ার আগেই দাবি করুন: [লিংক]"

সরকারি সংস্থা লিংকসহ টেক্সট মেসেজ পাঠায় না। এর কোনো ব্যতিক্রম নেই। IRS, সোশ্যাল সিকিউরিটি অ্যাডমিনিস্ট্রেশন এবং এ ধরনের সংস্থাগুলো অফিসিয়াল ডাকযোগে যোগাযোগ করে।

পুরস্কার ও রিওয়ার্ড স্ক্যাম

"অভিনন্দন! আপনি $৫০০-এর একটি গিফট কার্ড জিতেছেন। ২৪ ঘণ্টার মধ্যে দাবি করুন: [লিংক]"

কোনো প্রতিযোগিতায় অংশই না নিলে আপনি কিছু জেতেননি।

অ্যাকাউন্ট যাচাইয়ের অনুরোধ

"আপনার iMessage অ্যাকাউন্ট এখনই যাচাই করা প্রয়োজন। এখানে ট্যাপ করুন: [লিংক]"

Apple, Google বা আপনার ব্যাংকের মতো বৈধ সেবাগুলো কখনোই হুট করে আসা কোনো টেক্সট মেসেজের লিংকের মাধ্যমে আপনাকে অ্যাকাউন্ট যাচাই করতে বলবে না।

স্মিশিং মেসেজ চিনবেন কীভাবে

প্রেরকের নম্বর দেখুন

স্মিশিং মেসেজ প্রায়ই আসে সাধারণ ফোন নম্বর, শর্ট কোড বা ইমেইল-টু-SMS গেটওয়ে থেকে। অচেনা কোনো ১০ অঙ্কের নম্বর থেকে নিজেকে আপনার ব্যাংক বলে দাবি করে মেসেজ এলে, সেটি আপনার ব্যাংক নয়।

তাড়াহুড়োর ভাষা খেয়াল করুন

"এখনই পদক্ষেপ নিন", "২৪ ঘণ্টার মধ্যে", "অবিলম্বে" বা "আপনার অ্যাকাউন্ট স্থগিত করা হবে" — এ ধরনের কথাগুলো আসলে আপনাকে ঠান্ডা মাথায় ভাবতে না দেওয়ার জন্য সাজানো কৌশল।

লিংকটি ভালো করে দেখুন

বিপদসংকেত	উদাহরণ
ভুল বানানের ডোমেইন	fedex.com-এর বদলে fed-ex-delivery.com
সন্দেহজনক TLD	usps-tracking.xyz
ডোমেইনের বদলে IP অ্যাড্রেস	http://192.168.1.1/verify
বাড়তি সাবডোমেইন	secure.bankofamerica.com.verify-now.net

গৎবাঁধা সম্বোধনে সতর্ক থাকুন

আপনার আসল নামের বদলে "প্রিয় গ্রাহক" বা "প্রিয় ব্যবহারকারী" লেখা থাকা একটি প্রচলিত লক্ষণ। যেসব বৈধ প্রতিষ্ঠানের কাছে আপনার ফোন নম্বর আছে, সাধারণত তাদের কাছে আপনার নামও থাকে।

ব্যাকরণ ও লেখার ধরন

পেশাদার প্রতিষ্ঠানগুলো কপিরাইটার রাখে। বেখাপ্পা বাক্যগঠন, অদ্ভুত ফাঁকা জায়গা বা এলোমেলোভাবে বড় হাতের অক্ষর থাকলে মেসেজটি সন্দেহজনক।

স্মিশিং মেসেজ পেলে কী করবেন

1. কোনো লিংকে ক্লিক করবেন না। "দেখি তো কোথায় নিয়ে যায়" ভেবেও না।
2. উত্তর দেবেন না। উত্তর দিলে নিশ্চিত হয়ে যায় যে আপনার নম্বরটি সক্রিয়।
3. মেসেজটি রিপোর্ট করুন। যুক্তরাষ্ট্রে টেক্সটটি 7726 (SPAM)-এ ফরোয়ার্ড করুন। বেশিরভাগ অপারেটর এটি সমর্থন করে।
4. প্রেরককে ব্লক করুন। ফোনের বিল্ট-ইন ব্লকিং সুবিধা ব্যবহার করুন।
5. আসল প্রতিষ্ঠানের সঙ্গে সরাসরি যোগাযোগ করুন। মেসেজটি সত্যি হতে পারে মনে হলে প্রতিষ্ঠানের অ্যাপ খুলুন অথবা ব্রাউজারে নিজে হাতে তাদের URL টাইপ করুন।

ইতিমধ্যে ক্লিক করে ফেললে কী করবেন

স্মিশিং লিংকে ক্লিক করে ফেললে বা কোনো তথ্য দিয়ে ফেললে:

1. সঙ্গে সঙ্গে পাসওয়ার্ড বদলান — বিশেষ করে মেসেজটির সঙ্গে সম্পর্কিত অ্যাকাউন্টগুলোর।
2. টু-ফ্যাক্টর অথেন্টিকেশন চালু করুন — যেসব অ্যাকাউন্টে এই সুবিধা আছে, তার প্রতিটিতে।
3. ব্যাংকে যোগাযোগ করুন — যদি আর্থিক তথ্য দিয়ে থাকেন।
4. অ্যাকাউন্টগুলোর দিকে নজর রাখুন — পরের কয়েক সপ্তাহ ধরে কোনো অননুমোদিত লেনদেন হচ্ছে কি না।
5. ডিভাইসে সিকিউরিটি স্ক্যান চালান।
6. ক্রেডিট ফ্রিজের কথা ভাবুন — যদি সংবেদনশীল ব্যক্তিগত তথ্য ফাঁস হয়ে থাকে।

স্মিশিং প্রতিরোধের চেকলিস্ট

• অপ্রত্যাশিত টেক্সট মেসেজের লিংকে কখনো ক্লিক করবেন না
• প্রতিষ্ঠানের অফিসিয়াল অ্যাপ বা ওয়েবসাইটের মাধ্যমে সরাসরি যোগাযোগ করে মেসেজ যাচাই করুন
• ফোনে স্প্যাম ফিল্টার চালু করুন (iOS ও Android — দুটোতেই বিল্ট-ইন অপশন আছে)
• পাসওয়ার্ড ম্যানেজার ব্যবহার করুন — এটি ভুয়া সাইটে লগইন তথ্য অটোফিল করবে না
• ফোনের অপারেটিং সিস্টেম হালনাগাদ রাখুন
• Do Not Call Registry-তে আপনার নম্বর নিবন্ধন করুন (এতে বৈধ মার্কেটিং মেসেজ কমে, ফলে স্ক্যাম মেসেজ চেনা সহজ হয়)
• সব গুরুত্বপূর্ণ অ্যাকাউন্টে টু-ফ্যাক্টর অথেন্টিকেশন ব্যবহার করুন

স্মিশিং কেন আরও ভয়ংকর হয়ে উঠছে

আক্রমণকারীরা এখন AI ব্যবহার করে বিপুল পরিমাণে বিশ্বাসযোগ্য, ব্যাকরণগতভাবে নিখুঁত মেসেজ তৈরি করছে। আগের ডেটা ফাঁস থেকে পাওয়া তথ্য দিয়ে তারা মেসেজগুলো আপনার জন্য আলাদাভাবে সাজিয়ে নিতে পারে — আপনার নাম ধরে সম্বোধন করে, আপনার আসল ব্যাংকের নাম উল্লেখ করে, এমনকি আপনার সাম্প্রতিক কেনাকাটার কথাও তুলে।

এ কারণেই যাচাই করা এখন আগের যেকোনো সময়ের চেয়ে বেশি গুরুত্বপূর্ণ। কেউ আপনাকে লিংক পাঠালে, ক্লিক করার আগে সেটি বৈধ কি না নিশ্চিত হওয়ার একটা উপায় আপনার হাতে থাকা দরকার।

এমন লিংক শেয়ার করুন, যাতে মানুষ ভরসা করতে পারে

যখন সংবেদনশীল তথ্য — একটি পাসওয়ার্ড, একটি প্রাইভেট লিংক, একটি গোপনীয় মেমো — শেয়ার করতে হয়, তখন নিরাপদ শেয়ারিংয়ের জন্যই তৈরি কোনো সেবা ব্যবহার করুন। LOCK.PUB দিয়ে আপনি পাসওয়ার্ড-সুরক্ষিত লিংক তৈরি করতে পারেন, যেখানে প্রাপক আগে থেকেই জানেন ঠিক কী পেতে যাচ্ছেন: একটি লিংক, একটি মেমো বা একটি চ্যাট রুম — সবই খোলা হয় একটি যাচাইকৃত ডোমেইনের মাধ্যমে।

যেসব স্মিশিং লিংক নিজের আসল উদ্দেশ্য লুকিয়ে রাখে, সেগুলোর বিপরীতে LOCK.PUB লিংক স্বচ্ছ: প্রাপক আপনার শেয়ার করা পাসওয়ার্ডটি দেন, আর আপনি যা শেয়ার করতে চেয়েছেন, শুধু সেটুকুই দেখতে পান।

সুরক্ষিত লিংক তৈরি করুন -->