পেলোড ছাড়ার স্ক্যাম: কেন 'হাই, তুমি ফ্রি আছো?' পুরো কৌশল

আপনার বস যে সবচেয়ে বিপজ্জনক ইমেইল কখনও পাঠাননি তাতে কোনো লিংক নেই, কোনো সংযুক্তি নেই, এবং কোনো ভুল-বানানো ব্যাংক সতর্কতা নেই। এতে চারটি শব্দ রয়েছে: "হাই, তুমি ফ্রি আছো?"

সেটাই জালিয়াতি। পুরো জিনিসটা। এবং এটি কাজ করে কারণ এটি আপনার কাছে থাকা প্রতিটি প্রতিরক্ষার পাশ কাটিয়ে যাওয়ার জন্য তৈরি — আপনার নিজের প্রবৃত্তি সহ।

এখানে কার্যপ্রণালী রয়েছে। একটি ঐতিহ্যবাহী ফিশিং ইমেইল একটি হাতিয়ার বহন করে: একটি ক্ষতিকর লিংক, একটি বিষাক্ত পিডিএফ, একটি নকল লগইন পৃষ্ঠা। আপনার স্প্যাম ফিল্টার, আপনার ইমেইল গেটওয়ে, এবং ক্রমবর্ধমানভাবে আপনার এআই স্ক্রীনিং স্তর সবাই সেগুলি শুঁকে বের করার জন্য প্রশিক্ষিত। তারা প্রেরকদের এসপিএফ, ডিকিম, এবং ডিমার্ক রেকর্ডের বিরুদ্ধে পরীক্ষা করে। তারা সংযুক্তি স্ক্যান করে। তারা জরুরীতা এবং একটি অর্থ প্রদানের অনুরোধকে ফ্ল্যাগ করে। একটি বার্তা যা বলে "হাই, তুমি ফ্রি আছো?" এর কোনোটাই ট্রিগার করে না, কারণ ট্রিগার করার মতো কিছু নেই। এটি একটি মঙ্গলবারের মতো পড়ে।

পেলোড ইমেইলে নেই। পেলোড আপনার উত্তর।

একবার আপনি লিখে ফেরত পাঠিয়েছেন — "নিশ্চিত, কি হবে?" — আপনি দুটি জিনিস করেছেন যা আক্রমণকারীর প্রয়োজন ছিল। আপনি নিশ্চিত করেছেন যে অ্যাকাউন্টটি সক্রিয় এবং পর্যবেক্ষণ করা হচ্ছে, এবং আপনি একটি থ্রেড খুলেছেন যেখানে আপনি এখন বিশ্বাস সরবরাহ করছেন। পরবর্তী বার্তা হল যেখানে এটি অবতরণ করে। এটি প্রায় সর্বদা ছোট, বিশ্বাসযোগ্য, এবং সময়সীমাবদ্ধ: আমি একটি মিটিংয়ে আটকে আছি, আপনি কি একটি ক্লায়েন্টের জন্য কিছু গিফট কার্ড কিনতে পারেন, আমি আপনাকে ফেরত দেব, শুধু আমাকে পিছনের দিকের কোডগুলি পাঠান। কখনও কখনও এটি একটি "নতুন বিক্রেতার" কাছে একটি স্থানান্তর। গিফট-কার্ড সংস্করণ জনপ্রিয় ঠিক কারণ গিফট কার্ডগুলি একটি সাধারণ কর্মচারী একটি সিভিএস-এ কিনতে পারে এমন সবচেয়ে কাছাকাছি জিনিস যা অনুসরণহীন নগদ।

এটি ব্যবসায়িক ইমেইল সমঝোতা, এবং এটি একটি প্রান্তিক সমস্যা নয়। এফবিআই-এর ইন্টারনেট ক্রাইম কমপ্লেইন্ট সেন্টার ২০২৩ সালে একা রিপোর্ট করা বিইসি ক্ষতিতে $২.९ বিলিয়ন লগ করেছে — একটি বিভাগ সম্পূর্ণভাবে সাদা-পাঠ্য বার্তা দিয়ে তৈরি যা স্ক্যানারের জন্য পরীক্ষা করার জন্য কিছুই বহন করে না — কোনো সংযুক্তি নেই, কোনো লিংক নেই, কোনো ম্যালওয়্যার নেই। এফটিসি, আলাদাভাবে, গিফট কার্ডগুলি স্ক্যামারদের যে শীর্ষ অর্থ প্রদানের পদ্ধতিগুলি চায় তার মধ্যে একটি হিসাবে ট্র্যাক করেছে, বছরের পর বছর শত শত মিলিয়ন সেই উপায়ে হারিয়ে গেছে। এরা মানুষ যারা কার্টুন নাইজেরিয়ান-প্রিন্স ইমেইলের জন্য পড়ছে তা নয়। তারা সক্ষম কর্মচারী যারা একটি নাম থেকে যা দেখায় সেরকম একটি সাধারণ পিংয়ের উত্তর দিচ্ছে যা তারা স্বীকার করে।

এবং নাম কৌশলের দ্বিতীয় অংশ। প্রকৃত পাঠানোর ঠিকানা দেখুন, প্রদর্শন নাম নয়। আক্রমণকারীরা সাদৃশ্যপূর্ণ ডোমেইন নিবন্ধন করে — একটি rn একটি m এর জন্য অদলবদল করুন, একটি হাইফেন যোগ করুন, একটি বিনামূল্যে জিমেইল ব্যবহার করুন আপনার সিইও-এর নাম "থেকে" ক্ষেত্রে টাইপ করা। প্রদর্শন নাম বিনামূল্যে জাল করা যায়; @ পিছনের ডোমেইন নয়। সেটাই আপনার বলা। যদি "ডেভ মর্গান, সিইও" dave.morgan.exec@gmail.com থেকে লিখছেন, ডেভ একটি নতুন ইমেইল ঠিকানা পাননি। ডেভ বিদ্যমান নেই।

বোরিং ওপেনার চকচকেটি বজায় রাখে তার কারণ মনোবৈজ্ঞানিক, প্রযুক্তিগত নয়। অর্থের জন্য একটি ঠান্ডা দাবি সন্দেহ ট্রিগার করে। একটি উষ্ণ, কম-স্টেক প্রশ্ন প্রথমে একটি সম্পর্ক তৈরি করে, যাতে অর্থ কথায় আসার সময়, আপনি ইতিমধ্যে সিদ্ধান্ত নিয়েছেন এই ব্যক্তি যে তারা বলে সে। স্ক্যাম আপনার নিজের সামঞ্জস্যকে আপনার বিরুদ্ধে ধার করে।

তাই প্রতিরক্ষা একটি খারাপ লিংক স্পট করা নয়, কারণ কোনো থাকবে না। এটি অনুরোধ সম্পর্কে একটি নিয়ম, বার্তা নয়: গিফট কার্ড, ওয়্যার স্থানান্তর, বা আপনার সাধারণ প্রক্রিয়ার বাইরে একটি চ্যানেলের মাধ্যমে রুট করা একটি অর্থ প্রদানের জন্য যে কোনো অনুরোধ ব্যান্ড-এর বাইরে যাচাই করা হয়। ব্যক্তিকে কল করুন। ইমেইল স্বাক্ষর সংখ্যা নয় — আপনার ফোনে যে একটি। তাদের ডেস্কে যান।

স্ক্যামার আপনার জন্য উত্তর দেওয়ার জন্য যথেষ্ট বিনয়ী এবং যাচাই না করার জন্য যথেষ্ট ব্যস্ত হওয়ার উপর নির্ভর করছে। দ্বিতীয় অংশে তাদের ভুল প্রমাণ করুন, এবং প্রথম অংশ গুরুত্বপূর্ণ হওয়া বন্ধ করে।

সংশোধন, ২১ অক্টোবর ২০२६। একটি আগের সংস্করণ বলেছিল যে এই বার্তাগুলি যা "কোনো ফিল্টার ফ্ল্যাগ করেনি" — বিদ্যমানের প্রতিটি ফিল্টার সম্পর্কে একটি দাবি, যা এই নিবন্ধ সমর্থন করতে পারে না। এফবিআই-এর পরিসংখ্যান কী বর্ণনা করে, এবং যুক্তি প্রকৃতপক্ষে যা প্রয়োজন, হল যে বার্তা স্ক্যানারের জন্য পরীক্ষা করার জন্য কিছুই বহন করে না।