রাত দুইটায় মেসেজটা এসেছিল এক ফ্রিল্যান্সার ক্লায়েন্টের কাছ থেকে: তাঁর ফেসবুক বিজনেস পেজ থেকে হঠাৎ অচেনা ভাষায় বিজ্ঞাপন চলছে, অ্যাড অ্যাকাউন্টে যোগ হয়েছে একটা অচেনা কার্ড, আর তাঁর নিজের অ্যাডমিন অ্যাক্সেস নেই। পাসওয়ার্ড বদলেও লাভ হয়নি। তিনি বারবার একটা কথাই বলছিলেন — “আমি তো কোথাও পাসওয়ার্ড দিইনি!”
কথাটা সত্যি। তিনি কোথাও পাসওয়ার্ড দেননি। তিন সপ্তাহ আগে তিনি একটা “ক্র্যাকড” ভিডিও এডিটিং সফটওয়্যার নামিয়েছিলেন, যেটার সাথে চুপচাপ ইনস্টল হয়েছিল একটা ইনফো-স্টিলার। সেটা পাসওয়ার্ড চায়নি — সরাসরি ব্রাউজারের সেভ করা লগইন আর সেশন কুকি তুলে নিয়েছে। কুকি থাকলে পাসওয়ার্ড লাগে না, টু-ফ্যাক্টরও লাগে না, কারণ সিস্টেম ধরে নেয় আপনি আগেই লগইন করা আছেন।
ম্যালওয়্যার সুরক্ষা নিয়ে যাঁরা এখনও কিছু শুরু করেননি, তাঁদের জন্য এই লেখাটা। কোনো ভয় দেখানো নয়, কোনো দামি সফটওয়্যার বিক্রির চেষ্টা নয় — একটা সাত দিনের বাস্তব প্ল্যান, যেটা বেশিরভাগ ক্ষেত্রে সম্পূর্ণ ফ্রি টুল দিয়েই করা যায়।
আজকের ম্যালওয়্যার আপনার পিসি নষ্ট করতে আসেনি
নব্বইয়ের দশকের ভাইরাস ফাইল মুছে দিত, স্ক্রিনে মজার লেখা দেখাত। এখনকার ম্যালওয়্যার ব্যবসা করতে আসে, তাই সে চায় আপনি টেরই না পান। সে খোঁজে তিনটা জিনিস: আপনার লগইন সেশন (ফেসবুক, জিমেইল, পেপাল, পেওনিয়ার), আপনার ব্যবসার অ্যাক্সেস (অ্যাড অ্যাকাউন্ট, ক্লায়েন্টের হোস্টিং প্যানেল), আর আপনার পরিচিতজনদের তালিকা — যাতে আপনার নামেই পরের জনকে ধরা যায়।
ফলে “আমার পিসি তো ঠিকঠাক চলছে, স্লো হয়নি” — এই যুক্তিটা আজ আর কাজ করে না। ভালোভাবে চলা পিসিতেই বরং স্টিলার সবচেয়ে খুশি।
বাংলাদেশে সংক্রমণ ঢোকার আসল পথগুলো
আমাদের দেশে যাঁরা আক্রান্ত হন, তাঁদের গল্প প্রায় একই কয়েকটা দরজা দিয়ে শুরু হয়। এগুলো চিনে রাখলেই অর্ধেক কাজ শেষ।
- ক্র্যাক, প্যাচ আর অ্যাক্টিভেটর। উইন্ডোজ অ্যাক্টিভেটর, ক্র্যাকড অ্যাডোবি, নাল্ড প্লাগইন — সবচেয়ে বড় দরজা। অ্যান্টিভাইরাস এগুলো ধরে বলে অনেকে উল্টো অ্যান্টিভাইরাস বন্ধ করে ইনস্টল করেন, আর ঠিক তখনই সব শেষ।
- পেনড্রাইভ। দোকানে গিয়ে প্রিন্ট, সিভি কপি, বন্ধুর কাছ থেকে মুভি — কম্পিউটার দোকানের পেনড্রাইভ আজও ওয়ার্ম ছড়ানোর অন্যতম মাধ্যম।
- ভুয়া এসএমএস ও লিংক। “আপনার bKash অ্যাকাউন্ট সাসপেন্ড হয়েছে, এখানে ক্লিক করুন” কিংবা “আপনার পার্সেল আটকে আছে, ঠিকানা নিশ্চিত করুন” — লিংকে গিয়ে পিন দেওয়ার আগে দুই সেকেন্ড থামলেই বেঁচে যেতেন।
- ব্রাউজার এক্সটেনশন। ফ্রি VPN বা “PDF কনভার্টার” এক্সটেনশন আপনার প্রতিটা ট্যাব পড়তে পারে। যেটার দরকার নেই, সেটা রাখবেন না।
মনে রাখার মতো একটা কথা: bKash, নগদ, ব্যাংক বা ফেসবুক কখনও ফোনে বা লিংকে আপনার পিন, পাসওয়ার্ড বা OTP চাইবে না। যে চাইছে, সে যেই হোক, প্রতারক।
দিন ১: পুরোনো লগইনগুলোর দখল ফিরিয়ে নিন
আগে থামান, তারপর সাজান। যে ডিভাইসটা নিয়ে সন্দেহ, সেটা থেকে নয় — অন্য একটা বিশ্বস্ত ফোন বা কম্পিউটার থেকে জিমেইল আর ফেসবুকে ঢুকে “সিকিউরিটি” সেকশনে যান। সব ডিভাইস থেকে লগ আউট করুন (এতে চুরি যাওয়া সেশন কুকিও বাতিল হয়), তারপর পাসওয়ার্ড বদলান। ক্রমটা উল্টে দিলে কোনো লাভ হয় না — আগে পাসওয়ার্ড বদলে পরে লগআউট করলে চোর তার সেশন নিয়ে বসেই থাকে।
দিন ২: ডিফেন্ডারই যথেষ্ট, শুধু চালু রাখুন
অনেকে ভাবেন নিরাপত্তা মানে টাকা খরচ। বাস্তবে উইন্ডোজের নিজস্ব Microsoft Defender আজকের দিনে যথেষ্ট শক্তিশালী — শর্ত একটাই, সেটা বন্ধ করা যাবে না। সেটিংসে গিয়ে দেখুন real-time protection চালু আছে কি না, আর “Controlled folder access” অন করুন যাতে র্যানসমওয়্যার আপনার ডকুমেন্ট ফোল্ডারে হাত দিতে না পারে।
সাথে Malwarebytes-এর ফ্রি ভার্সন রাখতে পারেন — এটা সবসময় চালু থাকে না, কিন্তু মাসে একবার স্ক্যান দিলে ডিফেন্ডারের চোখ এড়ানো অ্যাডওয়্যার বা স্টিলারের অবশিষ্টাংশ ধরা পড়ে। দুটো ফ্রি টুল, শূন্য টাকা, তবুও বেশিরভাগ পেইড প্যাকেজের চেয়ে ভালো কাজ করে — কারণ পেইড অ্যান্টিভাইরাস কিনেও যদি ক্র্যাকড সফটওয়্যার চালান, তাহলে দরজা খোলাই থাকল।
দিন ৩: আপডেট বাকি রাখবেন না
“পরে করব” বলে যে উইন্ডোজ আপডেটটা তিন মাস ধরে পিছিয়ে যাচ্ছে, সেটার ভেতরে সাধারণত এমন দুর্বলতার প্যাচ থাকে যা ইতিমধ্যেই প্রকাশ্যে চলে এসেছে। উইন্ডোজ, ব্রাউজার আর অফিস — এই তিনটা আপডেট রাখলে বাস্তব ঝুঁকির বড় অংশ এমনিতেই কমে যায়। রাতে ঘুমানোর আগে রিস্টার্ট দিয়ে যান, সকালে কাজ শুরু করার সময় সব প্রস্তুত থাকবে।
দিন ৪: পাসওয়ার্ডের অভ্যাসটা বদলান
একই পাসওয়ার্ড দশ জায়গায় ব্যবহার করলে একটা সাইট ফাঁস হলেই দশটা অ্যাকাউন্ট যায়। মুখস্থ রাখার চেষ্টা বাদ দিন — Bitwarden-এর ফ্রি প্ল্যান ব্যবহার করুন, যেটা সব ডিভাইসে সিঙ্ক হয় এবং প্রতিটা সাইটের জন্য আলাদা লম্বা পাসওয়ার্ড বানিয়ে দেয়। ব্রাউজারে পাসওয়ার্ড সেভ করার অভ্যাসটা এবার ছাড়ুন, কারণ স্টিলার সবার আগে ওখানেই হাত দেয়।
দিন ৫: টু-ফ্যাক্টর, তবে ঠিক ধরনেরটা
এসএমএস দিয়ে টু-ফ্যাক্টর নেই-এর চেয়ে ভালো, কিন্তু সিম রিপ্লেসমেন্ট জালিয়াতিতে সেটা ভেঙে পড়ে। বরং একটা অথেনটিকেটর অ্যাপ ব্যবহার করুন — Google Authenticator, Microsoft Authenticator বা Aegis। জিমেইল, ফেসবুক, পেওনিয়ার, হোস্টিং প্যানেল আর ডোমেইন রেজিস্ট্রার — এই পাঁচটায় আজই চালু করুন। রিকভারি কোডগুলো প্রিন্ট করে বা লিখে এমন জায়গায় রাখুন যেটা ইন্টারনেটে নেই।
দিন ৬: ব্যাকআপ, কারণ কোনো সুরক্ষাই শতভাগ নয়
র্যানসমওয়্যারের বিরুদ্ধে একমাত্র নিশ্চিত জবাব ব্যাকআপ। ক্লায়েন্টের ফাইল, ইনভয়েস, পোর্টফোলিও — যা হারালে ব্যবসা থেমে যাবে, সেগুলো অন্তত দুই জায়গায় রাখুন: একটা ক্লাউডে (Google Drive-এর ১৫ জিবি ফ্রি, বা ১০০ জিবি মাসে খুব কম টাকায়), আরেকটা একটা এক্সটার্নাল হার্ডডিস্কে যেটা কাজ শেষে খুলে রাখা হয়। যে ড্রাইভ সবসময় পিসিতে লাগানো থাকে, র্যানসমওয়্যার সেটাকেও এনক্রিপ্ট করে ফেলে।
দিন ৭: ফোনটাও একটা কম্পিউটার
বাংলাদেশে ব্যবসার বড় অংশ চলে ফোনে — bKash, ব্যাংক অ্যাপ, ফেসবুক পেজ, হোয়াটসঅ্যাপে ক্লায়েন্ট। অথচ ফোনের নিরাপত্তা নিয়ে কেউ ভাবে না। শুধু প্লে স্টোর বা অ্যাপ স্টোর থেকে অ্যাপ নামান, APK ফাইল সাইড-লোড করা বন্ধ করুন, আর সেটিংসে গিয়ে দেখুন কোন অ্যাপ অ্যাক্সেসিবিলিটি বা এসএমএস পড়ার অনুমতি নিয়ে বসে আছে — ব্যাংকিং ট্রোজান ঠিক এই দুটো অনুমতি দিয়েই OTP চুরি করে।
সচরাচর জিজ্ঞাসা
পেইড অ্যান্টিভাইরাস কি কিনতেই হবে? ব্যক্তিগত ও ফ্রিল্যান্স কাজের জন্য না। Defender + মাসিক Malwarebytes স্ক্যান + বৈধ সফটওয়্যার — এই তিনটা মিললে পেইড প্যাকেজের বাড়তি সুবিধা সামান্যই।
ফোন ফরম্যাট বা উইন্ডোজ রিসেট দিলেই কি সব ঠিক? সংক্রমণ চলে যাবে, কিন্তু চুরি যাওয়া পাসওয়ার্ড আর সেশন চোরের হাতেই থেকে যাবে। রিসেটের পাশাপাশি সব পাসওয়ার্ড বদলানো বাধ্যতামূলক।
সন্দেহ হলে বুঝব কীভাবে? ব্রাউজারে না-চাওয়া এক্সটেনশন, হোমপেজ বদলে যাওয়া, অচেনা লোকেশন থেকে লগইন অ্যালার্ট, বা বন্ধুরা বলছেন আপনার আইডি থেকে অদ্ভুত লিংক যাচ্ছে — যেকোনো একটাই যথেষ্ট।
হ্যাক হওয়া ফেসবুক অ্যাড অ্যাকাউন্ট ফেরত পাওয়া যায়? যায়, তবে সময় লাগে এবং আগে ডিভাইস পরিষ্কার করতে হয়। ডিভাইস সংক্রমিত রেখে অ্যাকাউন্ট ফেরত নিলে দুদিনের মধ্যে আবার হাতছাড়া হবে।
শুরু করার চেকলিস্ট
- ক্র্যাকড সফটওয়্যার ও অ্যাক্টিভেটর ডিভাইস থেকে বিদায়
- Defender চালু, মাসে একবার Malwarebytes স্ক্যান
- উইন্ডোজ ও ব্রাউজার অটো-আপডেট চালু
- Bitwarden-এ সব পাসওয়ার্ড, ব্রাউজারে সেভ করা বন্ধ
- গুরুত্বপূর্ণ পাঁচ অ্যাকাউন্টে অথেনটিকেটর-ভিত্তিক টু-ফ্যাক্টর
- ক্লাউড + এক্সটার্নাল ড্রাইভে ব্যাকআপ
- ফোনে অপ্রয়োজনীয় পারমিশন ও সাইড-লোড করা অ্যাপ বাতিল
এই সাত দিনের কাজটা একবার করে ফেললে বাকি বছর কেবল অভ্যাস ধরে রাখা। আপনার ব্যবসার ওয়েবসাইট, হোস্টিং বা ক্লায়েন্ট ডেটা নিয়ে যদি একই রকম দুশ্চিন্তা থাকে, স্ট্যাক অ্যালিক্সের টিমের সাথে কথা বলতে পারেন — আমরা সেটআপটা এমনভাবে সাজিয়ে দিই যাতে রাত দুইটার মেসেজটা কখনও আসতেই না হয়।