साइबर सुरक्षा की दुनिया में एक खतरनाक बदलाव देखा जा रहा है। पारंपरिक रूप से, यदि किसी का अकाउंट हैक होता था, तो पासवर्ड बदलना सबसे पहला और प्रभावी समाधान माना जाता था। लेकिन आधुनिक हमलावर अब इस पुराने तरीके को छोड़ चुके हैं। वे अब 'सेशन और टोकन चोरी' (Session and Token Theft) की ओर बढ़ रहे हैं, जिससे पासवर्ड बदलना पूरी तरह से निरर्थक हो जाता है।

हाल के दिनों में 'डिवाइस-कोड फिशिंग' जैसे हमलों में भारी उछाल आया है। इसमें हमलावर उपयोगकर्ताओं को स्मार्ट टीवी या IoT उपकरणों के लिए डिज़ाइन किए गए वैध साइन-इन प्रक्रिया में फंसाते हैं। उपयोगकर्ता अनजाने में एक कोड दर्ज कर देता है, जिससे हमलावर को सीधे एक वैध 'एक्सेस टोकन' मिल जाता है। एक बार टोकन हाथ लग जाने के बाद, हमलावर को पासवर्ड या MFA की आवश्यकता नहीं होती; वह सीधे उपयोगकर्ता की पहचान के साथ सिस्टम में प्रवेश कर जाता है।

यह क्यों मायने रखता है

BozokMedia विश्लेषण से पता चलता है कि हमलावर अब 'फ्रंट डोर' (लॉगिन गेट) को तोड़ने के बजाय 'खिड़की' (सक्रिय सत्र) से अंदर घुस रहे हैं। जब हमलावर के पास वैध टोकन होता है, तो सुरक्षा प्रणालियों के लिए असली उपयोगकर्ता और घुसपैठिए के बीच अंतर करना लगभग असंभव हो जाता है।

"सुरक्षा कार्यक्रमों को केवल प्रवेश द्वार (पासवर्ड, MFA) पर केंद्रित करना पर्याप्त नहीं है, क्योंकि हमलावर उस चेकपॉइंट को पहले ही पार कर चुका होता है," - जॉन लैलीबर्ट, CEO, ClearVector.

विशेषज्ञों का कहना है कि जैसे-जैसे पासवर्ड सुरक्षा और MFA का चलन बढ़ रहा है, हमलावर अधिक लचीले और कॉपी करने योग्य 'क्रेडेंशियल्स' जैसे कि OAuth टोकन और ब्राउज़र कुकीज़ की ओर रुख कर रहे हैं। यह उन्हें लंबे समय तक सिस्टम में बिना किसी संदेह के बने रहने की अनुमति देता है।

सुरक्षा के नए मानक

अब सुरक्षा रणनीति को 'लॉगिन' से बदलकर 'निरंतर सत्यापन' की ओर ले जाने की आवश्यकता है। संगठनों को FIDO2 सुरक्षा कुंजियों और पासकी (Passkeys) जैसे फिशिंग-प्रतिरोधी तरीकों को अपनाना चाहिए। इसके अलावा, सत्र के दौरान असामान्य व्यवहार की निगरानी करना और संदिग्ध होने पर टोकन को तुरंत रद्द करने की क्षमता रखना अनिवार्य है।

अक्सर पूछे जाने वाले प्रश्न

1. सेशन टोकन चोरी क्या है?
यह एक ऐसी प्रक्रिया है जहाँ हमलावर आपके लॉगिन के बाद मिलने वाले डिजिटल 'पास' (Token) को चुरा लेता है, जिससे वे बिना पासवर्ड के आपके अकाउंट में घुस सकते हैं।

2. क्या MFA (Multi-Factor Authentication) सुरक्षित नहीं है?
MFA बहुत महत्वपूर्ण है, लेकिन यदि हमलावर 'सेशन हाइजैकिंग' करता है, तो वे MFA के बाद मिलने वाले सत्र का उपयोग करते हैं, जिससे MFA बेअसर हो जाता है।