Evilginx: 2FA सुरक्षा को चुनौती देने वाला नया खतरा

नई दिल्ली में ऑनलाइन सुरक्षा का संकट

नई दिल्ली: आजकल ऑनलाइन अकाउंट चुराने वाले हैकर्स अत्यधिक चालाक हो गए हैं। पहले लोग केवल पासवर्ड से अपने अकाउंट की सुरक्षा करते थे, लेकिन फिर टू-फैक्टर ऑथेंटिकेशन (2FA) का उपयोग शुरू हुआ, जिसे सुरक्षित माना जाता था। हालाँकि, अब हैकर्स ने इस सुरक्षा प्रणाली को भी भेदने के तरीके खोज लिए हैं। यदि आप 2FA के बारे में अधिक नहीं जानते हैं, तो हम यहां आपको इसकी जानकारी देंगे और बताएंगे कि Evilginx नामक टूल कैसे काम करता है और इससे कैसे बचा जा सकता है।

2FA की आवश्यकता और महत्व

2FA का अर्थ है दो तरीकों से पहचान की पुष्टि करना। उदाहरण के लिए, आपका पासवर्ड पहला तरीका है, जबकि दूसरा तरीका फोन पर आने वाला कोड, ईमेल पर संदेश, फिंगरप्रिंट या चेहरे की स्कैनिंग हो सकता है। जब आप किसी वेबसाइट या ऐप में लॉगिन करते हैं, तो पहले पासवर्ड डालते हैं और फिर दूसरा कोड या स्कैन भी देना होता है।

पासवर्ड को अनुमानित किया जा सकता है या चुराया जा सकता है, लेकिन फोन पर आने वाला कोड तुरंत बदल जाता है और केवल आपके पास होता है। इसलिए, 2FA को ऑनलाइन सुरक्षा का एक मजबूत उपाय माना जाता था। बैंक, सोशल मीडिया, ईमेल और शॉपिंग साइट्स सभी इसका उपयोग करते हैं। हालांकि, कई लोग मानते हैं कि 2FA चालू करने से उनका अकाउंट पूरी तरह सुरक्षित है, लेकिन यह धारणा अब गलत साबित हो रही है।

Evilginx टूल का खतरा

रिपोर्टों के अनुसार, हैकर्स Evilginx नामक एक टूल का उपयोग कर रहे हैं, जो विशेष रूप से 2FA को धोखा देने के लिए विकसित किया गया है। असल में, Evilginx एक ओपन-सोर्स सॉफ्टवेयर है, जिसे पहले साइबर सुरक्षा विशेषज्ञों ने 2FA की कमजोरियों की पहचान करने के लिए बनाया था। लेकिन अब हैकर्स ने इसे अपने गलत इरादों के लिए इस्तेमाल करना शुरू कर दिया है।

यह टूल मैन-इन-द-मिडल के सिद्धांत पर काम करता है। इसका मतलब है कि हैकर आपके और असली वेबसाइट के बीच में बैठ जाता है। जब आप लॉगिन करते हैं, तो सारी जानकारी पहले हैकर के पास जाती है और फिर असली साइट पर। इससे हैकर न केवल आपका पासवर्ड और कोड चुरा लेता है, बल्कि सेशन कुकीज भी प्राप्त कर लेता है।

सेशन कुकीज की जानकारी

जब आप किसी वेबसाइट में लॉगिन करते हैं, तो आपके ब्राउज़र में छोटी फाइलें बनती हैं, जिन्हें कुकीज कहा जाता है। इनमें आपकी लॉगिन जानकारी और सेशन आईडी होती है। इन कुकीज के माध्यम से वेबसाइट जानती है कि आप वही यूजर हैं जो अभी लॉगिन हुए हैं। यदि हैकर्स इन कुकीज को चुरा लेते हैं, तो उन्हें बार-बार पासवर्ड या 2FA कोड डालने की आवश्यकता नहीं होती। वे सीधे आपके अकाउंट में घुस सकते हैं।

Evilginx का कार्यप्रणाली

साधारण फिशिंग में, हैकर नकली वेबसाइट बनाते हैं जो असली जैसी दिखती हैं। जब आप उस पर पासवर्ड डालते हैं, तो वह उनके पास चला जाता है। लेकिन 2FA कोड आपके फोन पर आता है, इसलिए वे आगे नहीं बढ़ पाते। अब हैकर्स Evilginx का उपयोग करते हैं। वे एक नकली लॉगिन पेज बनाते हैं और बीच में यह टूल लगा देते हैं। जब आप नकली पेज पर अपना यूजरनेम और पासवर्ड डालते हैं, तो Evilginx उसे असली वेबसाइट पर भेज देता है। असली वेबसाइट 2FA कोड मांगती है। आप कोड डालते हैं, और सही होने पर असली साइट लॉगिन मंजूर कर देती है और सेशन कुकीज बनाती है। Evilginx इन कुकीज को चुराकर हैकर को दे देता है।

अब हैकर उन कुकीज के सहारे सीधे आपके अकाउंट में घुस जाता है। आपको लगता है कि आपने सही साइट पर लॉगिन किया है, लेकिन असल में आपकी जानकारी हैकर के पास पहुंच चुकी होती है। यह तरीका बैंकिंग साइट्स, जीमेल, फेसबुक, इंस्टाग्राम, क्लाउड स्टोरेज और शॉपिंग साइट्स पर काम कर सकता है।

खतरे का बढ़ता स्तर

पहले हैकर्स को 2FA कोड का इंतजार करना पड़ता था, लेकिन अब वे रियल टाइम में कुकीज चुरा लेते हैं। एक बार कुकीज मिल जाने के बाद, वे घंटों या दिनों तक आपके अकाउंट का उपयोग कर सकते हैं। व्यक्तिगत जानकारी, पैसे, फोटो, और संदेश सभी खतरे में पड़ सकते हैं। कई कंपनियों और आम लोगों के अकाउंट इसी तरीके से हैक हो चुके हैं।

बचाव के उपाय

साइबर सुरक्षा विशेषज्ञ अब पासकी का सुझाव दे रहे हैं। पासकी एक नया और मजबूत तरीका है, जिसमें पासवर्ड की आवश्यकता नहीं होती। आपका फोन या कंप्यूटर खुद पहचान करता है। फिंगरप्रिंट, चेहरे की स्कैन या डिवाइस की सुरक्षा कुंजी से लॉगिन होता है।

पासकी का सबसे बड़ा लाभ यह है कि यह फिशिंग से बचाती है। हैकर चाहे कितना भी स्मार्ट टूल लगा ले, पासकी उसके काम नहीं आती क्योंकि यह आपके डिवाइस से जुड़ी होती है। कई बड़ी कंपनियां जैसे गूगल, एप्पल, और माइक्रोसॉफ्ट अब पासकी का समर्थन कर रही हैं। जहां भी पासकी का विकल्प दिखे, उसे चालू कर लें।

सुरक्षा के लिए महत्वपूर्ण सुझाव

• किसी भी लिंक पर क्लिक करने से पहले यूआरएल ध्यान से देखें।
• संदिग्ध संदेश या ईमेल से आए लिंक न खोलें।
• महत्वपूर्ण अकाउंट पर जहां संभव हो, वहां पासकी या हार्डवेयर सुरक्षा चालू करें।
• ब्राउज़र और ऐप्स को अपडेट रखें।
• पब्लिक वाई-फाई पर महत्वपूर्ण लॉगिन न करें।