प्रमुख बिंदु-
नई दिल्ली: अगर आप जीमेल (Gmail) का इस्तेमाल करते हैं, तो यह खबर आपके लिए बेहद जरूरी है! गूगल ने अपने 2.5 अरब से ज्यादा जीमेल यूजर्स के लिए एक गंभीर चेतावनी जारी की है। एक नया और खतरनाक फिशिंग अटैक सामने आया है, जो इतना चालाकी भरा है कि यह गूगल की सिक्योरिटी जांच को भी धोखा दे रहा है।
यह हमला नकली लेकिन बिल्कुल असली दिखने वाले ईमेल के जरिए यूजर्स के अकाउंट क्रेडेंशियल्स चुरा रहा है। गूगल ने इस समस्या को स्वीकार किया है और जल्द ही इसका समाधान निकालने का दावा किया है। लेकिन तब तक, आपको बेहद सावधान रहने की जरूरत है। आइए जानते हैं कि यह अटैक कैसे काम करता है और आप इससे कैसे बच सकते हैं।
क्या है यह खतरनाक फिशिंग अटैक?
यह मामला तब सामने आया जब सॉफ्टवेयर डेवलपर निक जॉनसन ने सोशल मीडिया प्लेटफॉर्म X पर एक चौंकाने वाला खुलासा किया। उन्हें एक ईमेल मिला, जो दिखने में बिल्कुल गूगल के आधिकारिक ईमेल जैसा था और “no-reply@google.com” से आया था। इस ईमेल में दावा किया गया कि उनके गूगल अकाउंट डेटा के लिए एक सबपोना (कानूनी नोटिस) जारी किया गया है। ईमेल में एक लिंक दिया गया था, जो कथित तौर पर गूगल के सपोर्ट पेज पर ले जाता था। लेकिन असल में यह लिंक यूजर्स को गूगल के ही एक सबडोमेन, sites.google.com, पर बनी एक फर्जी वेबसाइट पर रीडायरेक्ट करता था।
Recently I was targeted by an extremely sophisticated phishing attack, and I want to highlight it here. It exploits a vulnerability in Google's infrastructure, and given their refusal to fix it, we're likely to see it a lot more. Here's the email I got: pic.twitter.com/tScmxj3um6
— nick.eth (@nicksdjohnson) April 16, 2025
इस ईमेल की विश्वसनीयता को और बढ़ाने के लिए, यह गूगल की सिक्योरिटी जांच, जैसे डोमेनकीज आइडेंटिफाइड मेल (DKIM), को पास कर गया। इतना ही नहीं, यह फिशिंग ईमेल गूगल के असली सिक्योरिटी अलर्ट्स के साथ उसी चैट थ्रेड में दिखाई दिया, जिससे यूजर्स को इसे असली मानने में कोई शक नहीं हुआ। इस लिंक पर क्लिक करने पर यूजर्स एक ऐसी वेबसाइट पर पहुंचे, जो बिल्कुल गूगल के लॉगिन पेज की नकल थी। यह पेज यूजर्स से उनके लॉगिन क्रेडेंशियल्स मांगता था, ताकि वे कथित सबपोना (कानूनी नोटिस) का विरोध कर सकें। जैसे ही यूजर्स अपनी जानकारी डालते, हैकर्स को उनके जीमेल अकाउंट और उससे जुड़े सारे डेटा तक पूरी पहुंच मिल जाती।
गूगल की सिक्योरिटी में कैसे हुई चूक?
गूगल ने इस फिशिंग हमले को स्वीकार किया है और बताया कि हमलावरों ने OAuth और DKIM मैकेनिज्म का चालाकी से इस्तेमाल किया। हमलावरों ने एक डोमेन रजिस्टर किया, उससे जुड़ा एक गूगल अकाउंट बनाया और फिर एक OAuth ऐप क्रिएट किया, जिसमें फिशिंग ईमेल का पूरा टेक्स्ट डाला गया। इस ऐप को गूगल अकाउंट से एक्सेस देने पर यह ईमेल गूगल द्वारा साइन किया गया और यूजर्स को फॉरवर्ड कर दिया गया। इससे ईमेल बिल्कुल असली लगने लगा। गूगल साइट्स का दुरुपयोग कर बनाए गए फर्जी सपोर्ट पेज ने इस हमले को और भी विश्वसनीय बना दिया।
गूगल का जवाब और सुझाव
गूगल ने कहा है कि वह इस खतरे से निपटने के लिए तुरंत कदम उठा रहा है। कंपनी का दावा है कि जल्द ही इस समस्या का समाधान पूरी तरह लागू कर दिया जाएगा। तब तक, गूगल ने यूजर्स को दो जरूरी सुझाव दिए हैं:
- टू-फैक्टर ऑथेंटिकेशन (2FA) चालू करें: इससे आपके अकाउंट में अतिरिक्त सिक्योरिटी लेयर जुड़ जाएगा।
- पासकी का इस्तेमाल करें: पासकी फिशिंग हमलों के खिलाफ सबसे मजबूत सुरक्षा प्रदान करती है।
खुद को कैसे सुरक्षित रखें?
जब तक गूगल इस बग को पूरी तरह ठीक नहीं कर लेता, आपको इन बातों का ध्यान रखना होगा:
- अनचाहे ईमेल के लिंक पर क्लिक न करें: भले ही ईमेल गूगल से आए, लिंक पर क्लिक करने से बचें।
- सीधे गूगल की वेबसाइट पर जाएं: किसी भी सिक्योरिटी अलर्ट को वेरिफाई करने के लिए हमेशा आधिकारिक गूगल वेबसाइट (accounts.google.com) पर लॉगिन करें।
- ईमेल हेडर चेक करें: अगर “mailed-by” फील्ड में कोई संदिग्ध डोमेन (जैसे privateemail.com) दिखे, तो सतर्क हो जाएं।
- स्पैम फिल्टर और सिक्योरिटी सॉफ्टवेयर अपडेट रखें: इससे फिशिंग ईमेल को ब्लॉक करने में मदद मिलेगी।
यह फिशिंग हमला इतना परिष्कृत है कि यह सिक्योरिटी विशेषज्ञों को भी चकमा दे सकता है। इसलिए, तुरंत अपने गूगल अकाउंट की सिक्योरिटी सेटिंग्स चेक करें और 2FA या पासकी को एक्टिवेट करें। साथ ही, किसी भी संदिग्ध ईमेल को तुरंत गूगल को रिपोर्ट करें। सावधानी ही इस समय आपका सबसे बड़ा हथियार है।
