হ্যাকারদের নতুন ফাঁদ: ভুয়া এক্সটেনশনের মাধ্যমে মেটা অ্যাকাউন্ট হ্যাক
Bug Mohol Cyber Desk | তারিখ: ১১ই সেপ্টেম্বর, ২০২৫
বর্তমান সময়ে অনলাইন দুনিয়ায় সাইবার অপরাধীদের দাপট ক্রমাগত বেড়েই চলেছে। বিশেষ করে, মেটা বিজনেস অ্যাকাউন্ট এবং ফেসবুকের বিজ্ঞাপনদাতারা তাদের নতুন টার্গেটে পরিণত হয়েছে। সম্প্রতি, সাইবার নিরাপত্তা গবেষকরা দুটি নতুন বিপজ্জনক ক্যাম্পেইনের ব্যাপারে সতর্ক করেছেন, যেখানে হ্যাকাররা ভুয়া ব্রাউজার এক্সটেনশন ব্যবহার করে সংবেদনশীল তথ্য হাতিয়ে নিচ্ছে। এর পেছনে রয়েছে সুকৌশলী বিজ্ঞাপনের প্রচারণা এবং নকল ওয়েবসাইট। এই প্রতারণার জাল এতটাই সূক্ষ্ম যে সাধারণ ব্যবহারকারীদের পক্ষে তা ধরা প্রায় অসম্ভব।
১. সোশ্যালমেট্রিক্স প্রো: নীল টিকের আড়ালে বিপদ
সাইবার নিরাপত্তা প্রতিষ্ঠান বিটডিফেন্ডার-এর গবেষকরা একটি ম্যালভার্টাইজিং ক্যাম্পেইনের সন্ধান পেয়েছেন, যা মূলত নকল "মেটা ভেরিফায়েড" ব্রাউজার এক্সটেনশন 'সোশ্যালমেট্রিক্স প্রো' ছদ্মবেশে ছড়ানো হচ্ছে। এই এক্সটেনশনটি ব্যবহারকারীদের আকর্ষণ করছে এই মিথ্যা প্রতিশ্রুতি দিয়ে যে, এটি তাদের ফেসবুক ও ইনস্টাগ্রাম প্রোফাইলে বিনামূল্যে নীল ভেরিফিকেশন ব্যাজ এনে দেবে। অন্তত ৩৭টি ক্ষতিকর বিজ্ঞাপনের মাধ্যমে এই এক্সটেনশনটি ছড়িয়ে দেওয়া হয়েছে।
বিজ্ঞাপনগুলোতে একটি ভিডিও টিউটোরিয়ালও দেওয়া থাকে, যেখানে ধাপে ধাপে দেখানো হয় কীভাবে এই তথাকথিত এক্সটেনশনটি ডাউনলোড ও ইনস্টল করতে হবে। এতে ব্যবহারকারীরা সহজেই বিশ্বাস করে ফেলে। কিন্তু বাস্তবে, এটি একটি প্রতারণার ফাঁদ। এক্সটেনশনটি একটি বৈধ ক্লাউড পরিষেবা, Box-এ হোস্ট করা আছে, যা এটিকে আরও বিশ্বাসযোগ্য করে তোলে।
একবার ইনস্টল হয়ে গেলে, এই এক্সটেনশনটি নীরবে ব্যবহারকারীর ফেসবুক সেশন কুকি চুরি করে নেয় এবং তা আক্রমণকারীদের একটি টেলিগ্রাম বটে পাঠিয়ে দেয়। সেশন কুকি হলো সেই ডেটা যা ব্রাউজারকে মনে রাখতে সাহায্য করে যে আপনি লগ ইন অবস্থায় আছেন। এটি চুরি হলে হ্যাকাররা আপনার পাসওয়ার্ড না জেনেও আপনার অ্যাকাউন্টের সম্পূর্ণ নিয়ন্ত্রণ নিতে পারে। শুধু তাই নয়, এটি ipinfo[.]io/json-এ একটি কোয়েরি পাঠিয়ে ব্যবহারকারীর আইপি অ্যাড্রেসও জেনে নেয়। কিছু উন্নত সংস্করণের ম্যালওয়্যার চুরি করা কুকি ব্যবহার করে ফেসবুক গ্রাফ এপিআই-এর মাধ্যমে অ্যাকাউন্টের অতিরিক্ত তথ্যও সংগ্রহ করে থাকে, যেমন অ্যাকাউন্টের বাজেট সংক্রান্ত বিস্তারিত।
এই ধরনের আক্রমণের মূল উদ্দেশ্য হলো মূল্যবান ফেসবুক বিজনেস ও অ্যাডস অ্যাকাউন্টগুলো ভূগর্ভস্থ ফোরামগুলোতে বিক্রি করা অথবা আরও ম্যালভার্টাইজিং ক্যাম্পেইনের জন্য ব্যবহার করা। এর ফলে একটি চক্রাকার প্রক্রিয়া তৈরি হয়, যেখানে চুরি হওয়া অ্যাকাউন্টগুলো দিয়েই নতুন নতুন অ্যাকাউন্ট হাইজ্যাক করা হয়।
বিটডিফেন্ডার-এর মতে, এই ক্যাম্পেইনের পেছনে ভিয়েতনামি ভাষাভাষী হ্যাকারদের একটি গ্রুপ জড়িত। টিউটোরিয়ালের বর্ণনায় এবং সোর্স কোডের কমেন্টে ভিয়েতনামি ভাষার ব্যবহার এই ধারণাকে আরও জোরালো করে। তারা নিয়মিতভাবে ফেসবুক অ্যাকাউন্ট হাইজ্যাক করার জন্য বিভিন্ন ধরনের ইনফো-স্টিলিং ম্যালওয়্যার ব্যবহার করে থাকে।
২. ম্যাডজিক্স প্লাস: এআই-এর মুখোশ পরা প্রতারণা
বিটডিফেন্ডারের এই সতর্কবার্তার পাশাপাশি সাইবারিসন নামের আরেকটি প্রতিষ্ঠান মেটার বিজ্ঞাপনদাতাদের লক্ষ্য করে আরেকটি প্রতারণার ক্যাম্পেইন উন্মোচন করেছে। এই আক্রমণকারীরা ভুয়া ওয়েবসাইট তৈরি করে, যা ফেসবুক ও ইনস্টাগ্রামের জন্য কৃত্রিম বুদ্ধিমত্তা (AI) চালিত অ্যাড অপটিমাইজেশন টুল হিসেবে নিজেদের পরিচয় দেয়। এই ভুয়া প্ল্যাটফর্মটির নাম 'ম্যাডজিক্স প্লাস'।
সাইবারিসন জানিয়েছে, "এই এক্সটেনশনগুলো বিজ্ঞাপন ব্যবস্থাপনার প্রক্রিয়াকে সহজ করার এবং এআই ব্যবহার করে আরও বেশি রিটার্ন অন ইনভেস্টমেন্ট (ROI) পাওয়ার টুল হিসেবে প্রচার করা হচ্ছে। কিন্তু বাস্তবে এটি একটি ক্ষতিকর সফটওয়্যার যা বিজনেস সেশন হাইজ্যাক, ক্রেডেনশিয়াল চুরি এবং মেটা বিজনেস অ্যাকাউন্ট কম্প্রোমাইজ করতে সক্ষম।"
এই ধরনের এক্সটেনশনগুলো নিজেদের প্রোডাক্টিভিটি টুল বা অ্যাড পারফরম্যান্স বুস্টার হিসেবে উপস্থাপন করে। কিন্তু এদের আসল উদ্দেশ্য হলো ব্যবহারকারীর তথ্য চুরি করা। নিচে কিছু ক্ষতিকর এক্সটেনশনের নাম ও আইডি দেওয়া হলো, যা এখনও ক্রোম ওয়েব স্টোরে পাওয়া যেতে পারে:
- Madgicx Plus - The SuperApp for Meta Advertisers (ID: eoalbaojjblgndkffciljmiddhgjdldh) - প্রকাশিত: ফেব্রুয়ারি, ২০২৫ (২৮ ইনস্টল)
- Meta Ads SuperTool (ID: cpigbbjhchinhpamicodkkcpihjjjlia) - প্রকাশিত: মার্চ, ২০২৫ (১১ ইনস্টল)
- Madgicx X Ads - The SuperApp for Meta Advertisers (ID: cpigbbjhchinhpamicodkkcpihjjjlia) - প্রকাশিত: মার্চ, ২০২৫ (৩ ইনস্টল)
একবার ইনস্টল হয়ে গেলে, এই এক্সটেনশন ব্যবহারকারীর ভিজিট করা সব ওয়েবসাইটের উপর সম্পূর্ণ নিয়ন্ত্রণ পেয়ে যায়। এর ফলে হ্যাকাররা যেকোনো স্ক্রিপ্ট ইনজেক্ট করতে, নেটওয়ার্ক ট্র্যাফিক ইন্টারসেপ্ট করতে, ব্রাউজিং কার্যকলাপ পর্যবেক্ষণ করতে এবং সংবেদনশীল ডেটা সংগ্রহ করতে পারে।
এগুলো ইনস্টল হলে ব্যবহারকারীকে তাদের ফেসবুক এবং গুগল অ্যাকাউন্ট লিঙ্ক করার জন্য প্রম্পট করে, যা তাদের পরিচয় সম্পর্কিত তথ্য গোপনে সংগ্রহ করে নেয়। এরপর এটি চুরি করা ফেসবুক ক্রেডেনশিয়াল ব্যবহার করে ফেসবুক গ্রাফ এপিআই-এর সাথে ইন্টারঅ্যাক্ট করে, ঠিক আগের উল্লিখিত ভুয়া মেটা ভেরিফায়েড এক্সটেনশনের মতোই।
সাইবারিসনের মতে, এই আক্রমণগুলো একটি সুপরিকল্পিত কৌশল প্রকাশ করে: প্রথমে গুগল আইডি ডেটা চুরি করা হয়, তারপর সেই ডেটা ব্যবহার করে ফেসবুকে প্রবেশ করা হয়, যাতে মূল্যবান বিজনেস বা অ্যাডভার্টাইজিং অ্যাসেটগুলো হাইজ্যাক করার সম্ভাবনা বেড়ে যায়।
নিরাপত্তার জন্য কিছু গুরুত্বপূর্ণ টিপস
সাইবার অপরাধীদের এই নতুন কৌশল থেকে নিজেদের রক্ষা করতে আপনাকে অবশ্যই সতর্ক থাকতে হবে। এখানে কিছু টিপস দেওয়া হলো যা আপনার অনলাইন নিরাপত্তা নিশ্চিত করতে সাহায্য করবে:
- অফিসিয়াল সোর্স ব্যবহার করুন: কখনোই কোনো বিজ্ঞাপন বা অজানা লিংক থেকে ব্রাউজার এক্সটেনশন ডাউনলোড করবেন না। সবসময় ক্রোম ওয়েব স্টোর বা মজিলা ফায়ারফক্স অ্যাড-অন স্টোরের মতো অফিসিয়াল উৎস থেকে এক্সটেনশন ইনস্টল করুন।
- অনুমতি যাচাই করুন: কোনো এক্সটেনশন ইনস্টল করার আগে তা কী কী অনুমতি চাচ্ছে তা মনোযোগ সহকারে দেখুন। যদি কোনো এক্সটেনশন তার কাজের জন্য অপ্রয়োজনীয় অনুমতি (যেমন: সব ওয়েবসাইটের ডেটা পড়ার অনুমতি) চায়, তবে তা ইনস্টল করা থেকে বিরত থাকুন।
- বিজ্ঞাপন থেকে সাবধান: যেসব বিজ্ঞাপন বিনামূল্যে ভেরিফিকেশন ব্যাজ বা অতিরিক্ত ফিচার দেওয়ার লোভ দেখায়, সেগুলো থেকে দূরে থাকুন। মেটা কখনোই কোনো ব্রাউজার এক্সটেনশনের মাধ্যমে নীল টিক দেয় না।
- সেশন কুকি সুরক্ষায় মনোযোগ দিন: আপনার ব্রাউজারের সেশন কুকি অত্যন্ত মূল্যবান। কোনো সন্দেহজনক ওয়েবসাইট বা অ্যাপে ক্লিক করবেন না যা এই ডেটা চুরি করতে পারে।
- টু-ফ্যাক্টর অথেনটিকেশন (2FA) চালু রাখুন: আপনার মেটা বিজনেস অ্যাকাউন্ট এবং ব্যক্তিগত অ্যাকাউন্টে অবশ্যই টু-ফ্যাক্টর অথেনটিকেশন চালু রাখুন। এটি আপনার সুরক্ষার একটি অতিরিক্ত স্তর হিসেবে কাজ করে।
- শিক্ষিত থাকুন: সাইবার নিরাপত্তা হুমকি সম্পর্কে নিয়মিত খোঁজখবর রাখুন এবং নতুন ধরনের আক্রমণ সম্পর্কে সচেতন থাকুন।
এই বিপদ সম্পর্কে সচেতনতা বৃদ্ধি করা এবং সঠিক নিরাপত্তা ব্যবস্থা গ্রহণ করা এখন সময়ের দাবি। আপনার অনলাইন অস্তিত্ব এবং ব্যবসায়িক সম্পদ সুরক্ষিত রাখতে এই সতর্কতাগুলো মেনে চলা অত্যন্ত জরুরি।
🔔 আমাদের সাথে থাকুন — Bug Mohol এ বাংলায় সাইবার দুনিয়ার গভীরতম বিশ্লেষণ পাবেন।
