एक क्लाइंट ने घबराहट में फोन किया क्योंकि उनका फोन दस मिनट तक लगातार वाइब्रेट होता रहा, और उन साइटों से चार सौ वेरिफिकेशन कोड आ रहे थे जिन्हें उन्होंने कभी देखा भी नहीं था। यह संदेशों की बाढ़ एक SMS-bombing हमला था - वैध टेक्स्ट संदेशों की एक समन्वित बाढ़ जो हैंडसेट को ओवरलोड कर देती है और अन्य दुर्भावनापूर्ण गतिविधियों को छिपा देती है।

यह हमला कैसे किया जाता है

हमलावर ऐसे स्क्रिप्ट लिखते हैं जो एक ही समय में सैकड़ों वेबसाइटों पर रजिस्ट्रेशन फॉर्म सबमिट करते हैं। प्रत्येक फॉर्म वेरिफिकेशन कोड भेजने के लिए एक फोन नंबर मांगता है; स्क्रिप्ट पीड़ित का नंबर हर फील्ड में डाल देती है। वेबसाइटें, किसी भी गलत गतिविधि से अनजान, दिए गए नंबर पर एक मानक SMS भेजती हैं। इसमें किसी कैरियर नेटवर्क में सेंध नहीं लगाई जाती; स्पैम सामान्य व्यावसायिक मैसेजिंग सेवाओं से आता है।

यह हमला क्यों खतरनाक है

संदेशों की यह बाढ़ दो उद्देश्यों को पूरा करती है। पहला, यह एक 'स्मोकस्क्रीन' (धुआं फैलाने वाली स्क्रीन) बनाती है। जब पीड़ित अपना इनबॉक्स खाली करने के लिए संघर्ष कर रहा होता है, तो हमलावर अन्य मोर्चों पर तेजी से काम कर सकता है - जैसे बैंक खातों को खाली करना या अनधिकृत खरीदारी करना। उपयोगकर्ता को ऐसी गतिविधियों के प्रति सचेत करने वाले वास्तविक अलर्ट इस शोर के नीचे दब जाते हैं।

दूसरा, यह हमला SIM-swap हमलों को छिपा देता है। जब कोई कैरियर उपयोगकर्ता को सूचित करता है कि उनका नंबर ट्रांसफर किया जा रहा है, तो संदेशों की यह बाढ़ उस सूचना को दबा देती है। जब तक बाढ़ शांत होती है, अपराधी पहले ही पीड़ित का फोन नंबर नियंत्रित कर चुका हो सकता है, जिससे उसे किसी भी ऐसी सेवा तक पहुंच मिल जाती है जो SMS-आधारित प्रमाणीकरण (authentication) पर निर्भर करती है।

उपयोगकर्ताओं के लिए तत्काल कदम

  • कैरियर से संपर्क करें – ऐसे स्पैम फिल्टर के बारे में पूछें जो अनवेरिफाइड शॉर्ट कोड से आने वाले संदेशों को ब्लॉक कर सकें।
  • इन-बिल्ट स्पैम प्रोटेक्शन सक्षम करें – अधिकांश स्मार्टफोन आपको अज्ञात प्रेषकों को एक अलग फोल्डर में ले जाने की सुविधा देते हैं।
  • एक भरोसेमंद डिवाइस से खातों की जांच करें – ऐसे लॉगिन या पासवर्ड परिवर्तन देखें जो आपने शुरू नहीं किए थे।
  • संदेशों को एक साथ डिलीट करें – संदेशों के अंदर दिए गए किसी भी लिंक पर क्लिक करने से बचें; वे अक्सर फिशिंग ट्रैप होते हैं।

एप्लिकेशन को सुरक्षित रखना

जो डेवलपर्स रजिस्ट्रेशन या पासवर्ड-रीसेट फ्लो में फोन नंबर के फील्ड रखते हैं, उन्हें यह मान लेना चाहिए कि उन्हें निशाना बनाया जाएगा। व्यावहारिक बचाव में शामिल हैं:

  • Rate limiting – प्रति घंटे एक IP एड्रेस द्वारा ट्रिगर किए जा सकने वाले SMS अनुरोधों की संख्या को सीमित करें।
  • Behavioral analysis – बॉट्स के विशिष्ट पैटर्न को चिह्नित करें, जैसे कि तेजी से फॉर्म सबमिट करना या कई अनुरोधों में एक जैसे पेलोड (payloads) होना।
  • Invisible honeypot fields – छिपे हुए फॉर्म इनपुट जोड़ें जिन्हें मानव उपयोगकर्ता कभी नहीं भरते; जो बॉट्स इन्हें भरते हैं, उन्हें तुरंत ब्लॉक किया जा सकता है।
  • Outbound log monitoring – संदेशों की मात्रा में अचानक वृद्धि के लिए अलर्ट सेट करें, जो अक्सर बिलिंग शॉक (billing shock) से पहले होती है।
  • Geographic restrictions – यदि आपकी सेवा किसी एक देश में काम करती है, तो सीमा पार प्रीमियम-रेट दुरुपयोग को समाप्त करने के लिए अन्य क्षेत्रों में जाने वाले आउटबाउंड SMS को ब्लॉक करें।

व्यवसायों के लिए छिपा हुआ नुकसान

एंड-यूजर्स के लिए परेशानी के अलावा, SMS बॉम्बिंग वित्तीय नुकसान का कारण भी बन सकती है। हमलावर कभी-कभी समझौता किए गए सिस्टम (compromised systems) को विदेशी देशों के प्रीमियम-रेट नंबरों पर संदेश भेजने के लिए मजबूर करते हैं। पीड़ित का टेलीकॉम बिल बढ़ जाता है, और हमलावर को उस शुल्क का एक हिस्सा मिलता है। स्टार्टअप्स ने रिपोर्ट किया है कि जब इस तरह के दुरुपयोग को रोका नहीं जाता है, तो एक ही सप्ताहांत में हजारों डॉलर का नुकसान हो सकता है।

आगे क्या ध्यान रखें

  • बिलिंग विसंगतियां (Billing anomalies) – अप्रत्याशित प्रीमियम-रेट शुल्क के लिए कैरियर स्टेटमेंट पर नज़र रखें।
  • मैसेज-वॉल्यूम डैशबोर्ड – आउटबाउंड लॉग की निगरानी करें और संदेशों की मात्रा में अचानक वृद्धि के लिए अलर्ट सेट करें।

निष्कर्ष

SMS बॉम्बिंग धोखाधड़ी को छिपाने के लिए साधारण वेरिफिकेशन टेक्स्ट का उपयोग करके एक विघटनकारी बाढ़ पैदा करती है, जो उपयोगकर्ताओं और व्यवसायों दोनों को पंगु बना सकती है। उपयोगकर्ताओं को कैरियर फिल्टर का सहारा लेना चाहिए और अपने इनबॉक्स को जल्दी से साफ करना चाहिए, जबकि डेवलपर्स को किसी भी ऐसे फ्लो में रेट लिमिट, बॉट डिटेक्शन और सतर्क लॉगिंग को शामिल करना चाहिए जो SMS भेजता है। इस खतरे को नजरअंदाज करने से न केवल परेशानी होती है, बल्कि वास्तविक वित्तीय और सुरक्षा संबंधी नुकसान भी हो सकता है।