खाता अधिग्रहण (एटीओ) धोखाधड़ी व्यक्तिगत, कॉर्पोरेट और संस्थागत वातावरण में एक बढ़ता हुआ और गंभीर खतरा है। चौंका देने वाले वित्तीय घाटे के अलावा – अकेले 2023 में $13 बिलियन तक पहुँचने – एटीओ संगठनात्मक प्रतिष्ठा को भी नुकसान पहुँचाता है और संचालन को बाधित करता है, इसकी आवश्यकता पर बल देता है खाता अधिग्रहण सुरक्षा. रिपोर्ट किए गए मामलों में 354% की तीव्र वृद्धि के साथ, यह स्पष्ट है कि मजबूत सुरक्षात्मक उपाय महत्वपूर्ण हैं।
यह आलेख बताता है कि खाता अधिग्रहण क्या हैं, वे कैसे होते हैं, कौन से समूह सबसे अधिक जोखिम में हैं, और उन्हें प्रभावी ढंग से कैसे रोका जाए।
अकाउंट टेकओवर क्या है?
खाता अधिग्रहण (एटीओ) तब होता है जब कोई साइबर अपराधी किसी वैध उपयोगकर्ता के खाते तक अनधिकृत पहुंच प्राप्त कर लेता है। क्रूर-बल के हमलों के विपरीत, एटीओ सुरक्षा सुरक्षा को दरकिनार करने के लिए धोखे और चोरी की गई साख पर निर्भर करता है। हमलावर अक्सर खातों में घुसपैठ करने के लिए डेटा उल्लंघनों, फ़िशिंग और अन्य तरीकों का उपयोग करते हैं, उनकी गतिविधियों पर अक्सर तब तक ध्यान नहीं दिया जाता जब तक कि महत्वपूर्ण क्षति नहीं हो जाती।
अकाउंट टेकओवर कैसे होता है?
खाता अधिग्रहण आम तौर पर दो चरणों में होता है: सूचना एकत्र करना और पहुंच का शोषण।
जानकारी एकट्टा करना
हमलावर कई युक्तियों का उपयोग करके संवेदनशील डेटा प्राप्त करते हैं:
-
डेटा उल्लंघन: हैकर्स व्यापक उपयोगकर्ता प्रोफ़ाइल बनाने के लिए कई उल्लंघनों को क्रॉस-रेफरेंस करके, लीक हुए उपयोगकर्ता नाम, पासवर्ड और व्यक्तिगत जानकारी को समझौता खातों से खरीदते हैं या उनका शोषण करते हैं।
-
सोशल इंजीनियरिंग: फ़िशिंग, विशिंग (वॉयस फ़िशिंग), और एसएमआईशिंग (एसएमएस फ़िशिंग) का उपयोग व्यक्तियों को उनके संवेदनशील डेटा का खुलासा करने के लिए धोखा देने के लिए किया जाता है।
-
डेटा स्क्रैपिंग: विस्तृत प्रोफ़ाइल बनाने के लिए हमलावर सार्वजनिक रूप से उपलब्ध स्रोतों, जैसे सोशल मीडिया या अन्य खुले प्लेटफ़ॉर्म से जानकारी इकट्ठा करते हैं।
-
मैलवेयर: कीलॉगर्स और स्पाइवेयर गुप्त रूप से लॉगिन क्रेडेंशियल और अन्य निजी डेटा कैप्चर करते हैं।
पहुँच शोषण
एक बार जब हमलावरों के पास पर्याप्त जानकारी हो जाती है, तो वे पहुंच हासिल करने के लिए इसका फायदा उठाने के लिए आगे बढ़ते हैं:
-
क्रेडेंशियल स्टफिंग: पहुंच प्राप्त करने के लिए चोरी हुए उपयोगकर्ता नाम और पासवर्ड के संयोजन का प्रयास करने के लिए स्वचालित टूल का उपयोग किया जाता है।
-
पासवर्ड स्प्रेइंग: कमजोरियों का परीक्षण करने के लिए कई खातों में एक सामान्य पासवर्ड का उपयोग किया जाता है।
-
सत्र अपहरण: हमलावर वैध उपयोगकर्ताओं का रूप धारण करने और सुरक्षा उपायों को दरकिनार करने के लिए सत्र टोकन चुराते हैं।
-
सिम स्वैपिंग: पीड़ित के मोबाइल नंबर को अपने सिम कार्ड में स्थानांतरित करके, हमलावर एसएमएस-आधारित दो-कारक प्रमाणीकरण को बायपास कर सकते हैं।
खाता अधिग्रहण के प्रति सर्वाधिक संवेदनशील कौन है?
कुछ उद्योग और प्रकार के खाते उनके मूल्य या ढीली सुरक्षा प्रथाओं के कारण अधिक संवेदनशील हैं:
-
वित्तीय संस्थान: वित्तीय खाते, विशेष रूप से क्रिप्टोकरेंसी एक्सचेंज या “अभी खरीदें, बाद में भुगतान करें” सेवाओं जैसे क्षेत्रों में, मौद्रिक चोरी से सीधे जुड़े होने के कारण प्रमुख लक्ष्य हैं।
-
खुदरा और ई-कॉमर्स: हैकर्स धोखाधड़ी वाली खरीदारी के लिए या लॉयल्टी पुरस्कार चुराने के लिए संग्रहीत भुगतान विवरण का उपयोग करते हैं। उच्च-यातायात मौसम और परस्पर जुड़ी प्रणालियाँ भेद्यता बढ़ाती हैं।
-
स्वास्थ्य देखभाल संस्थान: मेडिकल रिकॉर्ड, जिसमें मूल्यवान व्यक्तिगत और वित्तीय डेटा होता है, अक्सर लक्षित होते हैं। रोगी पोर्टल और रैंसमवेयर हमले आम जोखिम हैं।
-
प्रौद्योगिकी और SaaS प्रदाता: कमजोर एपीआई सुरक्षा और उच्च-मूल्य वाले व्यवस्थापक खाते तकनीकी कंपनियों को विशेष रूप से आकर्षक लक्ष्य बनाते हैं।
-
शैक्षणिक संस्थान: अक्सर अनदेखी की जाती है, विश्वविद्यालय और स्कूल अनुसंधान, वित्त और व्यक्तिगत विवरण से संबंधित संवेदनशील डेटा रखते हैं, जिससे वे शोषण के लिए तैयार हो जाते हैं।
अकाउंट टेकओवर को कैसे रोकें
खाता अधिग्रहण को रोकने के लिए बहुआयामी दृष्टिकोण की आवश्यकता है:
-
बहु-कारक प्रमाणीकरण (एमएफए)
एमएफए लागू करें जो केवल एसएमएस-आधारित सत्यापन से परे हो। समय-आधारित वन-टाइम पासवर्ड (टीओटीपी), हार्डवेयर टोकन या प्रासंगिक प्रमाणीकरण पर विचार करें, जो लॉगिन व्यवहार का मूल्यांकन करता है। -
सर्वोत्तम पासवर्ड प्रथाएँ
उपयोगकर्ताओं को इसके लिए प्रोत्साहित करें:
-
प्रत्येक खाते के लिए मजबूत, अद्वितीय पासवर्ड का उपयोग करें।
-
पूर्वानुमेय पैटर्न से बचते हुए नियमित रूप से पासवर्ड बदलें।
-
सुरक्षित पासवर्ड बनाने और संग्रहीत करने के लिए पासवर्ड प्रबंधकों का उपयोग करें।
-
विफल लॉगिन प्रयासों की एक निर्धारित संख्या के बाद खाते लॉक करें।
-
शून्य विश्वास सिद्धांत अपनाएं
सभी उपयोगकर्ताओं और उपकरणों को लगातार प्रमाणित और मॉनिटर करें। उल्लंघनों से संभावित क्षति को सीमित करने के लिए नेटवर्क सूक्ष्म-विभाजन और कम से कम विशेषाधिकार के सिद्धांत जैसी तकनीकों का उपयोग करें। -
बायोमेट्रिक सत्यापन और जीवंतता का पता लगाना
बायोमेट्रिक तकनीकें, जैसे चेहरे की पहचान, उपयोगकर्ता की भौतिक उपस्थिति की पुष्टि करके उपयोगकर्ता प्रमाणीकरण को बढ़ा सकती हैं। उपकरण जैसे रेगुला फेस एसडीके चोरी की छवियों या डीपफेक से जुड़े धोखाधड़ी के प्रयासों के खिलाफ सुरक्षा सुनिश्चित करते हुए, उन्नत बायोमेट्रिक मिलान और जीवंतता का पता लगाने की पेशकश करें। -
अतिरिक्त सुरक्षा उपाय
-
असामान्य गतिविधि पर नज़र रखें और ज़रूरत पड़ने पर खाता लॉकआउट को स्वचालित करें।
-
उपयोगकर्ताओं को फ़िशिंग और सोशल इंजीनियरिंग के खतरों के बारे में शिक्षित करें।
-
नई कमजोरियों को कम करने के लिए सॉफ़्टवेयर और सुरक्षा प्रोटोकॉल को नियमित रूप से अपडेट करें।
निष्कर्ष
खाता अधिग्रहण धोखाधड़ी एक लगातार बढ़ता खतरा है जो सतर्कता और मजबूत निवारक उपायों की मांग करता है। इसमें शामिल रणनीति को समझकर, जोखिमों की पहचान करके और उन्नत सुरक्षा प्रोटोकॉल को लागू करके, व्यक्ति और संगठन अपने खातों और सिस्टम को इन तेजी से परिष्कृत हमलों से बचा सकते हैं। सुरक्षित रहने के लिए सक्रिय रहें।
