सावधान: हैकर्स ने लगाई Google की सिक्योरिटी में सेंध, चुरा रहे सबसे ‘कीमती’ चीज

हैकर्स अब इतने एडवांस हो गए हैं कि उन्होंने गूगल की सिक्योरिटी में भी सेंध लगा दी है और गूगल की Passkeys ही चुरा ली है, जिसे कंपनी सबसे सुरक्षित मान रही थी। दरअसल, Google ने पासकीज (Passkeys) पेश किए थे और सोचा था कि पासवर्ड चोरी होने की समस्या पर रोक लग जाएगी। हालांकि, अब रिसर्चर्स ने पता लगाया है कि मैलवेयर के जरिए गूगल पासवर्ड मैनेजर से पासकी-प्रोटेक्टेड अकाउंट्स को हाईजैक किया जा सकता है। इससे एक अहम बात सामने आई है: पासकीज बहुत सुरक्षित हो सकते हैं, लेकिन उनसे जुड़े सॉफ्टवेयर में अभी भी कुछ कमजोरियां हैं।

सबसे सुरक्षित पासकीज भी सेफ नहीं

पासकीज पब्लिक-की क्रिप्टोग्राफी पर बेस्ड पासवर्ड का विकल्प हैं। इसमें किसी सीक्रेट कोड के बजाय, लोगों को एक ‘की-पेयर’ (key pair) मिलता है, जिसमें प्राइवेट की कभी भी उनके डिवाइस से बाहर नहीं जाती है, और वेबसाइट को सिर्फ पब्लिक की और साइन किए गए चैलेंज ही दिखाई देते हैं। चूंकि इसमें ऐसी कोई चीज नहीं होती जिसे फिशिंग के जरिए चुराया जा सके या किसी दूसरी साइट पर दोबारा इस्तेमाल किया जा सके, इसलिए पासकी को “फिशिंग-रेजिस्टेंट” (यानी फिशिंग से सुरक्षित) और ब्राउजर या पासवर्ड मैनेजर में सेव किए गए पासवर्ड से ज्यादा सुरक्षित बताया जाता है।

हैकर्स ने ऐसे लगाई गूगल की सुरक्षा में सेंध

Malwarebytes की रिसर्च के अनुसार, मैलवेयर ने विंडोज कंप्यूटर को संक्रमित किया और गूगल-सिंक्रोनाइज्ड पासकीज चुराने के लिए हमले के तीन संभावित तरीके अपनाए। गूगल पासवर्ड मैनेजर अलग-अलग डिवाइस के बीच पासकीज को सिंक्रोनाइज कर सकता है, जो सुविधाजनक है क्योंकि हर बार नया कंप्यूटर खरीदने पर कोई नया पासकी रजिस्टर नहीं करना चाहता।

अब, “Pass-Ta-Key” तीन तरह के होते हैं। रेगुलर तरीके में, पीड़ित के कंप्यूटर पर मौजूद मैलवेयर चुपचाप क्रोम और गूगल के क्लाउड से एक वैलिड पासकी लॉगिन बनाने के लिए कहता है, जिसके लिए किसी बायोमेट्रिक या PIN प्रॉम्प्ट की जरूरत नहीं होती।

एक और मैलवेयर है ‘सिल्वर पास-टा-की’ (Silver Pass-Ta-Key), जो डिवाइस के री-एनरोलमेंट का गलत इस्तेमाल करके अपनी खुद की यूजर वेरिफिकेशन की (key) रजिस्टर करता है। इसके बाद, यह डिवाइस को छुए बिना ही अटैकर की मशीन से विक्टिम के तौर पर लॉग-इन कर लेता है। आखिर में है ‘गोल्डन पास-टा-की’ (Golden Pass-Ta-Key); इसमें मैलवेयर गूगल के सिक्योरिटी डोमेन सीक्रेट (मास्टर एन्क्रिप्शन की) को निकालता है, सभी सिंक किए गए पासकीज को डिक्रिप्ट करता है और उन्हें कहीं भी दोबारा इस्तेमाल कर सकता है, भले ही ओरिजिनल डिवाइस का एक्सेस खो गया हो।

एक्सपर्ट्स ने कहा सेफ रहने के लिए करें यह काम

सुरक्षित रहने के लिए, रिसर्चर्स ने कहा है कि सभी यूजर्स को यह सुनिश्चित करना चाहिए कि उनके सिस्टम और सॉफ्टवेयर जितनी जल्दी हो सके, पैच कर लिए जाएं। इसके अलावा, यूजर्स को अप-टू-डेट रियल-टाइम एंटी-मैलवेयर प्रोटेक्शन इस्तेमाल करने की सलाह भी दी गई है। आखिर में, संदिग्ध सोर्स से आने वाले अटैचमेंट या लिंक के साथ कोई छेड़छाड़ न करें।