বিজনেস ইমেইল কম্প্রোমাইজ (BEC) কী?

বিজনেস ইমেইল কম্প্রোমাইজ হলো একটি সাইবার আক্রমণ, যেখানে অপরাধীরা আপনার বিশ্বাসভাজন কারও ছদ্মবেশ ধারণ করে আপনাকে টাকা পাঠাতে বা সংবেদনশীল তথ্য দিতে প্রতারিত করে। আক্রমণকারীরা সপ্তাহের পর সপ্তাহ ধরে শেখে একটি কোম্পানি কীভাবে যোগাযোগ করে, কার হাতে কর্তৃত্ব থাকে, এবং কখন আঘাত হানতে হবে। ইমেইলটি আপনার কাছে পৌঁছানোর সময়, এটি আপনার পরিচিত কারও কাছ থেকে আসা স্বাভাবিক একটি ইমেইলের মতোই দেখায়।

একটি BEC আক্রমণ কীভাবে কাজ করে?

এই আক্রমণগুলোর জন্য একটি পরীক্ষিত ও নির্ভরযোগ্য কৌশলপুস্তক আছে, এবং প্রতারকেরা প্রতিবারই সেটাই অনুসরণ করে।

ধাপ ১ – টার্গেট খুঁজে বের করুন

একটি বিজনেস ইমেইল কম্প্রোমাইজ আক্রমণের পুরো উদ্দেশ্যই হলো এটিকে বিশ্বাসযোগ্য হতে হবে। সৌভাগ্যবশত আক্রমণকারীদের জন্য, সম্ভাব্য টার্গেটদের সম্পর্কে তথ্যের এক স্বর্ণখনি হলো ইন্টারনেট। আপনার সোশ্যাল মিডিয়া প্রোফাইলে একবার চোখ বুলালেই আপনার কাজ, ঘনিষ্ঠ বন্ধু, এমনকি আপনার কথার ভঙ্গিও জানা যেতে পারে। এর সঙ্গে আপনার কোম্পানির ভবিষ্যৎ পদক্ষেপ নিয়ে প্রেস রিলিজ এবং কোম্পানির ওয়েবসাইটের বায়ো জুড়ে দিলে, বিষয়টি বিশ্বাসযোগ্য দেখাতে শুরু করে।

আক্রমণকারীরা সেই সব তথ্য সংগ্রহ করে কয়েক সেকেন্ডের মধ্যেই এমন একটি ইমেইল তৈরি করতে পারে, যা দেখতে ও শুনতে একেবারে আসলের মতো।

ধাপ ২ – ইনবক্সের ভেতরে ঢুকুন

ইমেইলের বিষয়বস্তু বাস্তব মনে করাতে, আক্রমণকারীদের এটিকে আকর্ষণীয় ও বিশ্বাসযোগ্য একটি মোড়কে উপস্থাপন করতে হয়। যদি ইমেইল ঠিকানাটি কোনো বিশ্বস্ত উৎস থেকে এসেছে বলে মনে না হয়, তাহলে পুরো প্রতারণাটাই ভেস্তে যাবে।

আক্রমণকারীরা acmecorp.com-এর বদলে acme-corp.com-এর মতো একটি নাম নিবন্ধন করে ডোমেইন স্পুফ করতে পারে। অথবা, তারা যদি যথেষ্ট চতুর হয়, তাহলে আসল ইনবক্সই হ্যাক করতে পারে, ফলে এটিকে প্রকৃত বার্তা থেকে আলাদা করা প্রায় অসম্ভব হয়ে যায়।

শেষ পর্যন্ত, যদি এটি হাঁসের মতো দেখায় এবং হাঁসের মতো ডাক দেয়, তাহলে বেশিরভাগ মানুষই ভাববে এটি হাঁস।

ধাপ ৩ – বিশ্বাস তৈরি করুন

এই ধরনের আক্রমণে ধৈর্যই মূল বিষয়। আক্রমণকারীরা হ্যাক করা ইনবক্সে সপ্তাহের পর সপ্তাহ লুকিয়ে থাকতে পারে, ইমেইল থ্রেড পড়ে এবং যোগাযোগের ধরন শিখে। যখন শেষ পর্যন্ত ইমেইলটি আসে, তখন এটি আগের ইমেইলগুলোর সঙ্গে মিশে যায়, কথোপকথনের সুর ও প্রবাহ অনুকরণ করে।

ধাপ ৪ – অনুরোধটি করুন

আক্রমণকারীরা যখন আপনাকে পুরোপুরি জেনে ফেলে — আপনার কথার ভঙ্গি, আপনার সহকর্মীদের নাম ও পদবি, এবং আপনার কোম্পানিতে কী চলছে — এবং তারা সফলভাবে আপনার ইমেইলে ঢুকে পড়ে, তখন অনুরোধটি পাঠানো হয়।

সাধারণত এটি এমন কিছু হয় যা সহজে ফিরিয়ে নেওয়া যায় না। এর মধ্যে কোনো ব্যাংক অ্যাকাউন্টে টাকা পাঠানো বা ব্যক্তিগত তথ্য শেয়ার করা থাকতে পারে। মূল বিষয় হলো, এটি অবশ্যই অপরিবর্তনীয় হতে হবে। 

টার্গেট যখন বুঝতে পারে কিছু ভুল হয়েছে, তখন আক্রমণকারীর দরকার হয় যেন ক্ষতিটা ইতোমধ্যেই হয়ে গেছে। তারা যদি আরও বেশি ধূর্ত হয়, তাহলে উৎসবের সময়ও এটি পাঠাতে পারে, যখন সবার সতর্কতা কম থাকে এবং সফলতার সম্ভাবনা বেশি থাকে।

ধাপ ৫ – কোনো চিহ্ন না রেখে অদৃশ্য হয়ে যান

টাকা পাঠানোর পর, তা দ্রুত একের পর এক মধ্যবর্তী অ্যাকাউন্টের মাধ্যমে সরিয়ে ফেলা হয়। এগুলো সাধারণত বিদেশে অবস্থিত থাকে, ফলে আইন প্রয়োগকারী সংস্থার জন্যও টাকার গতিপথ অনুসরণ করা খুব কঠিন হয়ে যায়।

বিজনেস ইমেইল কম্প্রোমাইজের উদাহরণ

বিজনেস ইমেইল কম্প্রোমাইজ হলো ডিজিটাল আক্রমণের চূড়ান্ত বস। এতে সাধারণত জড়িত থাকে বড় বড় কোম্পানি এবং চোখ কপালে তোলার মতো অঙ্কের টাকা।

Toyota Boshoku ($37M)

২০১৯ সালে, Toyota-এর অন্যতম বড় এক সরবরাহকারী একবারের ট্রান্সফারেই কয়েক কোটি ডলার হারায়। আক্রমণকারী Toyota Boshoku-এর ইমেইল সিস্টেমে ঢুকে পড়ে। তারা বার্তাগুলো পড়ে এবং কোম্পানিটি কীভাবে যোগাযোগ করে তা শিখে। যখন বড় অঙ্কের টাকা ট্রান্সফারের বিষয়টি আলোচনায় আসে, তখন তারা কোম্পানির এমন একজনকে, যার টাকা সরানোর ক্ষমতা ছিল, ট্রান্সফারের জন্য ব্যাংক অ্যাকাউন্টের তথ্য আপডেট করতে বলে। এটি বৈধ বলেই মনে হয়েছিল, এবং টাকা পাঠিয়ে দেওয়া হয়। 

এভাবেই, $37 million, উধাও।

Google and Facebook ($120M)

২০১৩ থেকে ২০১৫ সালের মধ্যে, Google এবং Facebook চূড়ান্ত ভুয়া ভেন্ডর প্রতারণার শিকার হয়। এক অপরাধী একটি ভুয়া ব্যবসা নিবন্ধন করে, যেখানে সেই বৈধ হার্ডওয়্যার নির্মাতার হুবহু নাম ব্যবহার করা হয়েছিল, যাকে দুই কোম্পানিই ব্যবহার করত। সে জাল চুক্তি তৈরি করে এবং তাদের অ্যাকাউন্টিং বিভাগে সরাসরি নিয়মিত দেখায় এমন ইনভয়েস পাঠায়। যেহেতু সরবরাহকারীটি আগেই যাচাই করা ও বিশ্বস্ত ছিল, তাই দ্বিতীয়বার না ভেবেই পেমেন্ট অনুমোদন করা হয়। দুই বছরে, $120 million-এরও বেশি সরাসরি প্রতারকের ব্যাংক অ্যাকাউন্টে চলে যায়।

Ubiquiti Networks ($46.7M)

২০১৫ সালে, নেটওয়ার্কিং জায়ান্ট Ubiquiti একই ধরনের প্রতারণার শিকার হয়। আক্রমণকারী ভুয়া ব্যবসা খোলা বা তৃতীয় পক্ষের সরবরাহকারী হ্যাক করার ঝামেলায় যায়নি। বরং তারা ভেতরে ঢুকে, কোম্পানির শীর্ষ নির্বাহীদের ছদ্মবেশ ধারণ করে, এবং জরুরি ট্রান্সফারের অনুরোধ সরাসরি অভ্যন্তরীণ ফাইন্যান্স বিভাগে পাঠায়। ভুয়া নির্বাহীর নামের কর্তৃত্বের ওপর পুরোপুরি নির্ভর করে, কর্মীটি নির্দেশ মেনে টাকা বিদেশে পাঠিয়ে দেয়। কেউ দ্বিতীয়বার যাচাই করার জন্য থামার আগেই, $46.7 million পাঠানো হয়ে গিয়েছিল।

বিজনেস ইমেইল কম্প্রোমাইজ আক্রমণের ধরন

সব বিজনেস ইমেইল কম্প্রোমাইজের উদাহরণ একরকম দেখায় না। অবশ্যই, লক্ষ্য সবসময়ই মানুষকে যতটা সম্ভব বেশি টাকা দিতে প্রতারিত করা, কিন্তু পদ্ধতি খুব ভিন্ন হতে পারে।

CEO Fraud (নির্বাহী ছদ্মবেশ ধারণ)

এটি BEC-এর সবচেয়ে পরিচিত রূপ। একজন আক্রমণকারী কোনো জ্যেষ্ঠ নির্বাহীর, সাধারণত CEO বা CFO-এর, ছদ্মবেশ ধারণ করে এবং ফাইন্যান্স বিভাগের কাউকে টাকা সরাতে চাপ দেয়। এটি কাজ করে ক্ষমতার গতিশীলতার কারণে। বস যখন কিছু চান, বেশিরভাগ মানুষ কেন তা জানতে থেমে যায় না। এর সঙ্গে যদি বিশ্বাসযোগ্য একটি পেছনের গল্পও যোগ হয়, তাহলে কাউকে দ্বিতীয়বার না ভেবেই কাজ করাতে সেটাই যথেষ্ট।

ভেন্ডর ইমেইল কম্প্রোমাইজ

আক্রমণকারীরা কোম্পানির ভেতরের কারও ভান করার বদলে কোম্পানির বাইরের সম্পর্কগুলোকে টার্গেট করে। তারা বিশ্বস্ত সরবরাহকারী ও ভেন্ডরদের টার্গেট করে, চলমান ইমেইল কথোপকথনে ঢুকে পড়ে এবং আসল পেমেন্টের তথ্য বদলে নিজেদের তথ্য বসিয়ে দেয়। ভুক্তভোগীর দিক থেকে দেখলে, এটি বহু বছর ধরে কাজ করা কোনো সরবরাহকারীর কাছ থেকে আসা নিয়মিত ইনভয়েস আপডেটের মতোই মনে হয়।

অ্যাকাউন্ট টেকওভার

এটি সবচেয়ে বিপজ্জনক ধরন, কারণ এতে কোনো স্পুফিং জড়িত নেই। আক্রমণকারী আসল অ্যাকাউন্টই ব্যবহার করছে। ইমেইলটি একটি আসল ঠিকানা থেকে আসে এবং সঠিক সুর ব্যবহার করে। বার্তাটি পুরোপুরি স্বাভাবিক দেখায়, কারণ প্রযুক্তিগতভাবে সেটি তাই।

পেরোল ডাইভারশন

এটি কোম্পানির টাকা টার্গেট করে না। বরং এটি কর্মীদের টার্গেট করে। আক্রমণকারীরা HR বা কোনো কর্মীর ছদ্মবেশ ধারণ করে পেরোল আপডেটের অনুরোধ জানায়, এবং নিঃশব্দে বেতন এমন একটি অ্যাকাউন্টে ঘুরিয়ে দেয় যা তাদের নিয়ন্ত্রণে থাকে। 

ভুক্তভোগী বেতন পাওয়ার দিন পর্যন্ত কিছুই জানতে পারে না, আর যেহেতু অঙ্কগুলো ছোট হয় এবং অনুরোধটি স্বাভাবিক দেখায়, তাই এটি খুব কমই প্রতারণা সতর্কতা চালু করে। এটি BEC-এর ধীর সংস্করণ, কিন্তু যথেষ্ট কর্মীকে আঘাত করতে পারলে, অঙ্কটা দ্রুত বেড়ে যায়।

BEC বনাম Phishing – পার্থক্য কী?

Phishing ইমেইল অনেক দিন ধরেই আছে, এবং বেশিরভাগ মানুষ জানে এগুলো দেখতে কেমন। এটাই সেই ইমেইল যা আপনাকে বলে যে আপনি পুরস্কার জিতেছেন, অথবা কোনো নাইজেরিয়ান প্রিন্স আপনার সাহায্য চায়। এগুলো একসঙ্গে অনেকের কাছে পাঠানো হয় এবং কাউকে অপ্রস্তুত অবস্থায় ধরতে সংখ্যার জোরের ওপর নির্ভর করে।

যেখানে phishing হলো একটি জাল, সেখানে BEC হলো একজন স্নাইপার। আক্রমণকারীরা একটি কোম্পানি, কখনও কখনও একজন নির্দিষ্ট ব্যক্তিকে নিয়ে, সপ্তাহের পর সপ্তাহ গবেষণা করে। ইমেইলটি যখন এসে পৌঁছায়, তখন এটি আপনার পরিচিত কারও কাছ থেকে মঙ্গলবার সকালের একটি বার্তার মতো দেখায়।

Phishing সাধারণত আপনার লগইন তথ্যের পেছনে লাগে, কিন্তু BEC সেই ধাপ পুরোপুরি এড়িয়ে সরাসরি টাকা বা ডেটার দিকে যায়।

কীভাবে একটি বিজনেস ইমেইল কম্প্রোমাইজ আক্রমণ শনাক্ত করবেন

BEC আক্রমণগুলোকে স্বাভাবিক দেখানোর জন্যই তৈরি করা হয়। কিন্তু আপনি যদি জানেন কী খুঁজতে হবে, তাহলে লক্ষণগুলো আছে।

• তাড়াহুড়ো— এমন একটি ইমেইল যা আপনাকে দ্রুত টাকা সরাতে চাপ দেয়, থেমে যাচাই করার কোনো সুযোগ না দিয়ে।

• হঠাৎ পরিবর্তন — কোনো সরবরাহকারী বা সহকর্মী হঠাৎ করেই তাদের পেমেন্ট তথ্য আপডেট করেছে।

• প্রায়-সঠিক ঠিকানা — প্রেরকের ইমেইলটি আসলটির থেকে মাত্র একটি অক্ষর ভিন্ন।

• সুরটা ঠিক মিলছে না— কিছু একটা অস্বাভাবিক লাগে, খুব বেশি আনুষ্ঠানিক, খুব বেশি অনানুষ্ঠানিক, বা অদ্ভুতভাবে গোপনীয়।

• হঠাৎ আসা অনুরোধ — আপনাকে এমন কিছু করতে বলা হচ্ছে যা সাধারণত অন্য একটি চ্যানেলের মাধ্যমে করা হতো।
  

কীভাবে একটি বিজনেস ইমেইল কম্প্রোমাইজ আক্রমণ প্রতিরোধ করবেন

এই আক্রমণগুলো কীভাবে কাজ করে তা জানা যুদ্ধের অর্ধেক। বাকি অর্ধেক হলো নিশ্চিত করা যে আপনার ব্যবসা সহজ টার্গেট নয়।

ফোন করুন

যদি কোনো ইমেইল আপনাকে টাকা ট্রান্সফার করতে বা পেমেন্টের তথ্য আপডেট করতে বলে, তাহলে তার জবাব দেবেন না। ইমেইলে দেওয়া নম্বর নয়, আপনার কাছে আগে থেকেই থাকা নম্বর ব্যবহার করে সরাসরি সেই ব্যক্তিকে ফোন করুন। এতে ত্রিশ সেকেন্ড লাগে, এবং আপনি যা করতে পারেন তার মধ্যে এটিই সবচেয়ে কার্যকর।

দুই-স্তরের প্রমাণীকরণ চালু করুন

যদি কোনো আক্রমণকারী কারও লগইন তথ্য পেয়ে যায়, 2FA একটি সম্পূর্ণ ইনবক্স টেকওভার ঠেকাতে পারে। এটি সবকিছু থামাতে পারবে না, কিন্তু অ্যাকাউন্ট কম্প্রোমাইজকে উল্লেখযোগ্যভাবে কঠিন করে তোলে।

আপনার টিমকে শেখান ভালোটা দেখতে কেমন

BEC কী, এটি কীভাবে কাজ করে, এবং সতর্কতার লক্ষণগুলো কেমন দেখায়—এসব বিষয়ে নিয়মিত প্রশিক্ষণ আপনার কর্মীদের প্রতিরক্ষার একটি সারিতে পরিণত করতে পারে।

আপনার টুলগুলোকে কিছু কঠিন কাজ করতে দিন

স্প্যাম ফিল্টার এবং ডোমেইন অথেনটিকেশন টুল যেমন SPF, DKIM, and DMARC আপনার টিমের কাছে পৌঁছানোর আগেই BEC প্রচেষ্টা ফিল্টার করে দিতে পারে। AI-ভিত্তিক শনাক্তকরণ আরও এক ধাপ এগিয়ে যায়। এটি আপনার প্রতিষ্ঠানের ভেতরে স্বাভাবিক ইমেইল আচরণ কেমন তা শিখে এবং সন্দেহজনক কিছু হলে তা চিহ্নিত করে।