අවසන් වරට යාවත්කාලීන කලේ 2026/07/31
බොහෝ දෙනා ‘ෆිෂිං (phishing)’ නැත්නම් රවටා තොරතුරු ගැනීමේ වංචා ගැන දන්නවා. ව්යාජ (Fake) ඊමේල්, සැක සහිත ලින්ක්, හෝ ව්යාජ වෙබ්අඩවියක් හරහා ඔයාගේ පරිශීලක නාම (Username) හා පාස්වර්ඩ් සොරකම් කිරීම මේ වංචා වල සාමාන්ය විදිහයි.
ඒත් දැන් සයිබර් අපරාධකරුවන් පාවිච්චි කරන අලුත් ක්රමවේද වලින් පාස්වර්ඩ් නැතුවම ඔයාගේ ගිණුම් වලට ලොග් වෙන්න පුළුවන්.
Device Code Phishing (සමහර අවස්ථාවල EvilTokens වගේ මෙවලම් භාවිත කරන ප්රහාර ලෙසද හැඳින්වේ) කියන්නේ, පරිශීලකයා නොදැනීම ඔහුගේ හෝ ඇයගේ ගිණුමට ලොග් වීමට සයිබර් අපරාධකරුවන්ට අවසර ලබාදෙන වංචනික ප්රහාරයකි.
EvilTokens ප්රහාරය වෙනස් වෙන්නේ කොහොමද?
සාමාන්ය ෆිෂිං ප්රහාරවලදී වංචාකරුවන් පාවිච්චි කරන්නේ ව්යාජ වෙබ් අඩවි.
ඒ නිසා අපි හැමවෙලේම දැනුවත් වෙලා ඉන්නේ,
- අමුතු වෙබ් ලිපිනය තියෙනවද?
- අක්ෂර වල වැරදි තියෙනවද?
- ලොගින් පිටුව සැක සහිතද?
වගේ දේවල් පරීක්ෂා කරන්න විතරයි.
නමුත් මේ ප්රහාරය ඊට වඩා සම්පූර්ණයෙන්ම වෙනස්..
- ඔයා යන වෙබ් අඩවිය ඇත්තම වෙබ් අඩවියක් වෙන්න පුළුවන්.
- ලොගින් ක්රියාවලියත් ඇත්තම එකක් වෙන්න පුළුවන්.
- තහවුරු කරන විදියත් නීත්යානුකූලවම වෙනවා.
හැබැයි මේවා කොහොම වුණත් ඔයා අවසර දීලා තියෙන්නේ ඔයාගේ ලොගින් එකට නෙවෙයි සයිබර් අපරාධකරුවෙක්ගේ ලොගින් එකකටයි.
මෙම වංචාව ක්රියාත්මක වෙන්නේ කොහොමද ?
මෙම ප්රහාරය, ස්මාර්ට් ටීවි, Gaming Console සහ ප්රින්ටර් වැනි උපාංග සඳහා භාවිත කරන විශේෂ ලොගින් ක්රමයක් වැරදි විදියට පාවිච්චි කරනවා.
සාමාන්යයෙන්, එම උපාංගය කෙටි කේතයක් (Code) පෙන්වන අතර, පරිශීලකයා එම කේතය තම විශ්වාසදායක වෙනත් උපාංගයකින් ඇතුළත් කර ලොගින් වීම සම්පූර්ණ කරයි.
සයිබර් අපරාධකරුවන් මේ විදියට ලොග් වෙන්න උත්සහ කරනවා වගේම පරිශීලකයාට විශ්වාසය ඇතිවෙන විදියේ පණිවුඩයක් යවනවා.
ඔවුන් මේ වගේ පණිවුඩ එවන්න පුළුවන්,
- ලේඛනයක් (Shared Document) බෙදාගැනීමේ ඉල්ලීමක්
- බිල්පතක් විදිහට
- රැස්වීමකට (Meeting) ආරාධනාවක්
- ඔයාගේ ගිණුම තහවුරු (Verify) කරන ලෙස ඉල්ලන පණිවිඩයක්
ඊටපස්සේ ඔයාව ඇත්තම ලොගින් පිටුවට යොමුකරලා එහි කේතයක් (Code) ඇතුළත් කරන්න කියලා ඉල්ලනවා.
හැබැයි ඒ කේතය අරගන්නේ ඇත්තම ලොගින් පිටුවෙන් නෙවෙයි සයිබර් අපරාධකරුවා ළඟ තියෙන ලොගින් එකෙනුයි.
ඔයා කේතය ඇතුළත් කළාට පස්සේ ඔයාටත් නොදැනීම සයිබර් අපරාධකරුවාට ඔයාගේ ගිණුමට ලොග් වෙන්න අවසර දෙනවා.
බොහෝ දෙනා විශ්වාස කරන්නේ Two-Factor Authentication (2FA) තිබේ නම් හැකර්වරුන්ට ගිණුමට ඇතුළු විය නොහැකි බවයි.
නමුත් මෙම ප්රහාරයේදී, සයිබර් අපරාධකරුවන් 2FA ආරක්ෂාව බිඳ නොදමයි. ඒ වෙනුවට, පරිශීලකයාම තමන් වෙනුවෙන් එම ආරක්ෂක පියවර සම්පූර්ණ කරන ලෙස රවටයි.
මෙය හරියට, ඔබේම නිවසේ දොර ඔබෙන්ම ඇරවාගෙන, පසුව ඔවුන්ට නිවස තුළට ඇතුළු වීමට ඉඩ දීමක් වැනිය.
ඔබ ආරක්ෂිතව ඉන්නේ කොහොමද?
- ඔබම පිවිසුම් (Login) ක්රියාවලිය ආරම්භ කළේ නැත්නම්, කිසිවිටෙකත් පිවිසුම් කේතයක් (Login Code) ඇතුළත් නොකරන්න.
- අනපේක්ෂිත පිවිසුම් (Sign-in) ඉල්ලීම් අනුමත නොකරන්න.
- ඔබගේ ගිණුම තහවුරු (verify) කරන ලෙස හදිසි ලෙස ඉල්ලා සිටින පණිවිඩ පිළිබඳ සැලකිලිමත් වන්න.
- අසාමාන්ය ඉල්ලීම් ලැබුණහොත්, වෙනත් විශ්වාසදායක ක්රමයක් මඟින් ඒවා තහවුරු කරන්න.
- ශක්තිමත් මුරපද (Passwords) සහ සුදුසු ආරක්ෂක සැකසුම් (Security Settings) භාවිතයෙන් ඔබගේ ගිණුම් ආරක්ෂිතව තබාගන්න..
මූලාශ්ර:
https://www.welivesecurity.com/en/cybercrime/eviltokens-phishing-doesnt-steal-password/
https://www.kiplinger.com/personal-finance/gadgets/new-microsoft-scam-targets-outlook-and-microsoft-365-users