সাবধান ! টাকা হাতাতে দুষ্কৃতীদের নতুন অস্ত্র QR কোড, TeamViewer

Image courtesy: Malwarebytes

দিন কয়েক আগে টেকনোবিটসের ফেসবুক পেজে একটি ভিডিয়ো শেয়ার করেছিলাম । সেখানে একজন তাঁর অভিজ্ঞতা শেয়ার করেছেন যে, কীভাবে এক সাইবার ক্রিমিনাল QR কোডের সাহায্যে ব্যাঙ্ক অ্যাকাউন্ট থেকে টাকা হাতানোর চেষ্টা করেছিল । ভিডিয়োটি পোস্ট করার পর অনেক পাঠক মেল করে অনুরোধ করেছেন, সাধারণ মানুষের সচেতনতায় বিষয়টি নিয়ে যেন ব্লগে বিস্তারিত লিখি । পাঠকদের অনুরোধে QR কোড ও রিমোট অ্যাকসেস অ্যাপগুলির সাহায্যে কীভাবে দুষ্কতীরা সাধারণ মানুষের সর্বনাশ করছে, এবার সেই বিষয়ে লিখছি । 

টেকনোবিটসের ব্লগ এখন ফেসবুক ছাড়াও পাবেন  টুইটার,  টেলিগ্রাম  ও  ইনস্টাগ্রামে । 

লকডাউনে অন্যান্য ব্যবসার ক্ষতি হলেও সরকারি সূত্র জানাচ্ছে, ভারতে সাইবার ক্রাইমের ব্যবসা বেড়েছে ৮৬ শতাংশ । কারণ, লকডাউনের জন্য আমাদের অনলাইনে জিনিসপত্র কেনা, বিলা মেটানো সহ আর্থিক লেনদেন সংক্রান্ত নানা কাজ করতে হচ্ছে, আর তার সুযোগ নিচ্ছে দুষ্কৃতীরা । আগে দুষ্কৃতীরা সাধারণত ফোন করে নিজেদের ব্যাঙ্কের ম্যানেজার পরিচয় দিত । তারপর এটিএম ডেবিট কার্ডের পিন জেনে সাধারণ মানুষকে বোকা বানিয়ে টাকা চুরি করত । কিন্তু বিষয়টি সম্পর্কে অধিকাংশ লোকজন এখন সচেতন হয়েছে । তাই দুষ্কৃতীরা এখন নতুন পদ্ধতিতে কাজ করছে । সেগুলি হল QR কোডের মাধ্যমে বিল মেটানোর বা অনলাইনে KYC আপডেট করার প্রস্তাব । 

কলকাতায় অনেক মহিলা লকডাউনে অনলাইনে শাড়ির ব্যবসা শুরু করেছেন । দুষ্কৃতীরা ক্রেতা হিসেবে পরিচয় দিয়ে তাঁদের সঙ্গে যোগাযোগ করে শাড়ি পছন্দ করছে । ধরা যাক দুষ্কৃতী জানাল, সে ১০,০০০ টাকার শাড়ি কিনবে । তারপর সে প্রস্তাব দেয় অনলাইনে দাম মেটাবে । এজন্য সে ওই মহিলা ব্যবসায়ীদের যে ফোন নাম্বার ব্যাঙ্ক অ্যাকাউন্ট ও UPI (Unified Payments Interface) -এর সঙ্গে যুক্ত সেটি জানাতে বলে । 

ঘরের মধ্যে বাঘ ! গুগলের নতুন ফিচার ট্রাই করেছেন ?

নাম্বার জানার পর দুষ্কৃতী সেই নাম্বারে একটি QR কোড পাঠায় এবং বলে কোডটি স্ক্যান করার পর টাকার পরিমাণ (₹ ১০,০০০) এবং UPI PIN টাইপ করলেই ওই ব্যবসায়ীদের অ্যাকাউন্টে টাকা ট্রান্সফার হবে । কিন্তু বাস্তবে সেটা করার পর ওই ব্যবসায়ীদের অ্যাকাউন্টে থেকেই টাকা গায়েব হয়েছে । গত কয়েক মাসে কলকাতায় শাড়ির ব্যবসা করেন এমন অনেক মহিলার কয়েক লাখ টাকা এভাবে চুরি করেছে দুষ্কৃতীরা । শুধু কলকাতা নয়, হায়দরাবাদের অনেক ব্যবসায়ীর অ্যাকাউন্ট থেকেও গত বছর এভাবে কয়েক কোটি টাকা চুরি করেছে দুষ্কৃতীরা । 

অনলাইন শপিংয়ে প্রতারণার নতুন ফাঁদ, আপনি সাবধান তো ?

আসলে বিষয়টি হল আমাদের দেশে UPI সিস্টেমে কাউকে টাকা পাঠানোর জন্যই শুধু QR কোডের ব্যবহার হয় । যেমন, দোকানে অনলাইনে Google Pay, PhonePe, Paytm, BHIM অ্যাপের মাধ্যমে যখন আমরা দাম মেটাই, তখন সেখানে কাউন্টারে রাখা QR কোডটি আমরা স্ক্যান করি । এই কোড হল সেই দোকানদারের ব্যাঙ্ক অ্যাকাউন্টে টাকা পাঠানোর লিঙ্ক বা URL । স্ক্যান করার পর টাকার পরিমাণ ও UPI PIN টাইপ করলেই আমাদের ব্যাঙ্ক অ্যাকাউন্ট থেকে দোকানদারের ব্যাঙ্ক অ্যাকাউন্টে টাকা ট্রান্সফার হবে । দুষ্কৃতীরাও যে QR কোড পাঠায় সেটিও আসলে তাদের ব্যাঙ্ক অ্যাকাউন্টে টাকা পাঠানোর লিঙ্ক অর্থাৎ পেমেন্ট ইউআরএল । তাই সেটি স্ক্যান করে টাকার পরিমাণ ও UPI PIN দিলে অ্যাকাউন্টে টাকা ঢোকার বদলে সেখান থেকে ট্রান্সফার হয় দু্ষ্কৃতীদের অ্যাকাউন্টে । 

ফাইল ডিলিট হলেও চিন্তা নেই, উইনডোজ নিয়ে এল রিকভারি অ্যাপ

এছাড়া Paytm সহ বিভিন্ন অনলাইন ওয়ালেটের KYC (Know Your Customer) আপডেট করার প্রস্তাব দিয়েও রিমোট অ্যাকসেস অ্যাপের (যেমন, TeamViewer QuickSupport বা AnyDesk) সাহায্যে দুষ্কৃতীরা সাধারণ মানুষের ব্যাঙ্ক অ্যাকাউন্ট থেকে টাকা তুলে নেয় ।  রিমোট অ্যাকসেস অ্যাপের সাহায্যে অন্যের মোবাইল ফোন বা কম্পিউটারকে দূর থেকেই নিজের কন্ট্রোলে নেওয়া যায় । 

Image courtesy: TeamViewer and AnyDesk

ধরুন, A  ও B দুই ব্যক্তি । একজনের ফোন বা কম্পিউটার যদি অন্যজন কন্ট্রোল করতে চায়, সেক্ষেত্রে তাদের দুইজনকেই রিমোট অ্যাকসেস অ্যাপ ফোনে বা কম্পিউটারে ইনস্টল করতে হবে । ধরা যাক A- র ফোন বা কম্পিউটারকে B নিজের কন্ট্রোলে নিতে চায় । কিন্তু সেক্ষেত্রে A-র পারমিশন প্রয়োজন । এই পারমিশন হল OTP ।  B  যদি  A - র ফোন বা কম্পিউটারের কন্ট্রোল অ্যাকসেস চায়, তবে A - র ফোনে একটি OTP আসবে । সেটি যদি A জানায় B - কে, একমাত্র তবেই A-র ফোন বা কম্পিউটারকে B অ্যাকসেস করতে পারবে ।  

এভাবে পাঠানো গোপন whatsapp মেসেজ নিজেই ডিলিট হবে

দুষ্কৃতীরা প্রথমে গ্রাহককে ফোন করে নিজেদের Paytm বা অন্য কোনও ই-ওয়ালেটের কর্মী হিসেবে পরিচয় দেয় । তারপর বলে,  KYC আপডেট না করলে গ্রাহকের Paytm অ্যাপটি বন্ধ করে দেওয়া হবে । গ্রাহক KYC আপডেট করতে রাজি হলে তাঁর মোবাইল ফোনে দুষ্কৃতী গুগল প্লে স্টোর থেকে কোনও রিমোট অ্যাকসেস অ্যাপ ডাউনলোড করার লিঙ্ক পাঠায় । দুষ্কৃতী গ্রাহককে বোঝায় যে, এই অ্যাপ ফোনে ডাউনলোড করে ইনস্টল করার পর তার সাহায্যে KYC আপডেট করতে হয় । 

গ্রাহক অ্যাপটি ইনস্টল করার পর তাঁর ফোনে OTP (One Time Password) আসে । দুষ্কৃতী গ্রাহককে বলে, KYC আপডেটের কনফার্মেশনের জন্য সেই OTP জানাতে হবে । গ্রাহক দুষ্কৃতীকে OTP জানালে তার সাহায্যে গ্রাহকের ফোনের সম্পূর্ণ অ্যাকসেস দুষ্কৃতীর নিয়ন্ত্রণে চলে যায় । এরপর দুষ্কৃতী গ্রাহকের ফোন থেকে তাঁর Paytm অ্যাপের সাহায্যে নিজের অ্যাকাউন্টে টাকা ট্রান্সফার করে । এই ট্রান্সফারের জন্য ব্যাঙ্কের তরফে গ্রাহকের ফোনে যে OTP পাঠানো হয় সেটিও দুষ্কৃতী রিমোট অ্যাকসেস অ্যাপের সাহায্যে জেনে যায় । 

এইভাবে KYC আপডেটের নাম করেও দুষ্কৃতীরা এখন অনেকের অ্যাকাউন্ট থেকে টাকা হাতিয়ে নিচ্ছে । মনে রাখবেন, Paytm  বা অন্য কোনও ই-ওয়ালেটের কর্মীরা বা ব্যাঙ্ককর্মীরা কখনও ফোন করে অনলাইনে KYC আপডেট করতে বলে না । আর QR কোড শুধু কাউকে টাকা পাঠানোর জন্য, তার সাহায্যে টাকা রিসিভ করা যায় না । পাঠকদের অনুরোধ করব মানুষকে সচেতন করতে ব্লগটি শেয়ার করুন ।  

টেকনোবিটসের এই ব্লগটি পড়ে যদি ভালো লাগে তবে ফেসবুক, হোয়াটসঅ্যাপে শেয়ার করুন। কমেন্ট করুন ব্লগের নীচে বা টেকনোবিটসের ফেসবুক পেজে। টেকনোবিটসের ব্লগগুলি যদি নিজের ফেসবুক নিউজ ফিডে পেতে চান, তবে টেকনোবিটসের ফেসবুক পেজে গিয়ে Follow বাটন ক্লিক করে তারপর See first অপশনটিতে ক্লিক করুন। ধন্য়বাদ।