Facebook বা WhatsApp অ্যাকাউন্ট দখল: একটি ঘটনার ভেতর দিয়ে উদ্ধারপথ

রাত ১১টা ১৭ মিনিটে তানভীরের বোন ফোন করে বলল, “তুমি আমার কাছে টাকা চাচ্ছ কেন?” তানভীর কোনো টাকা চায়নি। সে Facebook খুলতে গিয়ে দেখল password বদলে গেছে। WhatsApp তখনও চলছিল, কিন্তু Linked devices-এ একটি অচেনা browser দেখা গেল। Gmail-এর inbox-এ কোনো সতর্কবার্তা নেই। পরে Trash folder-এ পাওয়া গেল—password change-এর mail এসেছে, তারপর মুছে ফেলা হয়েছে।

তানভীর কাল্পনিক নাম; ঘটনাটি পরিচিত account-takeover pattern মিলিয়ে তৈরি। মূল শিক্ষা হলো: যে অ্যাকাউন্টে সমস্যা দেখা যাচ্ছে, সেটি সব সময় আক্রমণের প্রথম জায়গা নয়। Email, SIM, browser session বা দূরনিয়ন্ত্রণ অ্যাপ দখল করে আক্রমণকারী Facebook ও WhatsApp-এ ঢুকতে পারে। তাই উদ্ধার করতে হবে dependency অনুযায়ী, আতঙ্ক অনুযায়ী নয়।

প্রথম সিদ্ধান্ত: কোন হিসাব অন্যগুলোকে খুলে দেয়?

তানভীর যদি প্রথমেই শুধু Facebook password বদলানোর চেষ্টা করত, আক্রমণকারী Gmail থেকে আবার reset করতে পারত। তাই recovery order হলো:

1. মূল email;

2. মোবাইল নম্বর ও SIM;

3. device ও browser;

4. Facebook/Meta account;

5. WhatsApp;

6. একই password ব্যবহার করা অন্য হিসাব;

7. বন্ধু, পরিবার ও আর্থিক ক্ষতি।

একটি পরিষ্কার device ব্যবহার করুন। নিজের ফোনে সন্দেহজনক APK, screen-sharing app বা অস্বাভাবিক permission থাকলে সেই ফোন থেকে নতুন password বসাবেন না।

Email উদ্ধার: আসল দরজা এখানেই হতে পারে

Email-এ ঢুকতে পারলে প্রথমে password বদলান, তারপর কাজ শেষ হয়েছে ধরে নেবেন না। নিচের জায়গাগুলো পরীক্ষা করুন:

• recovery phone ও recovery email;

• recent security activity;

• signed-in devices ও active sessions;

• forwarding address;

• mail filter/rule, বিশেষ করে security alert মুছে ফেলা বা অন্যত্র পাঠানোর rule;

• third-party apps with account access;

• Trash, Spam ও Archive folder।

আক্রমণকারী প্রায়ই forwarding rule রেখে যায়। আপনি password বদলালেও নতুন reset link তার কাছে যেতে পারে। অচেনা app access ও app password থাকলে revoke করুন। এরপর MFA বা passkey চালু করুন এবং recovery codes offline নিরাপদ স্থানে রাখুন।

Email-এ ঢুকতে না পারলে provider-এর official recovery page ব্যবহার করুন। Search result-এর বিজ্ঞাপন বা YouTube “recovery expert” ব্যবহার করবেন না। আগে ব্যবহার করা device, location এবং browser থেকে চেষ্টা করলে provider পরিচয় যাচাই সহজ করতে পারে; তবে আক্রান্ত device নিরাপদ কি না বিবেচনা করুন।

Facebook: পরিচয় ফেরত পাওয়া এবং পেছনের দরজা বন্ধ করা

Meta-এর official recovery route facebook.com/hacked। অন্য কারও পাঠানো recovery link নয়, address নিজে লিখে খুলুন। Access ফেরত পাওয়ার পর:

1. password বদলান;

2. “Where you're logged in” থেকে অচেনা session বের করে দিন;

3. email ও phone তালিকা পরীক্ষা করুন;

4. two-factor authentication নতুন করে configure করুন;

5. অচেনা Page admin, Business Manager access, ad account user এবং connected app সরান;

6. payment method ও ad spend দেখুন;

7. নিজের profile থেকে পাঠানো message/post-এর প্রমাণ রেখে ক্ষতিগ্রস্তদের জানান।

শুধু personal profile দেখলে চলবে না। অনেক আক্রমণকারী Page বা advertising account-এর access রেখে যায়। Personal password বদলানোর পরও তারা business asset ব্যবহার করতে পারে। Admin list এবং business integrations আলাদা করে পরীক্ষা করুন।

অ্যাকাউন্টের email বদলে গেলে পুরোনো email inbox-এ Meta-এর reversal link থাকতে পারে। তবে mail সত্যি Meta থেকে এসেছে কি না domain ও context দেখে নিশ্চিত হন। সন্দেহ হলে mail-এর link ব্যবহার না করে official recovery page খুলুন।

WhatsApp: নম্বর ফেরত নিন, linked device ছেঁটে ফেলুন

WhatsApp account মূলত phone number-এর সঙ্গে যুক্ত। Official app-এ নিজের নম্বর দিয়ে আবার log in করুন এবং SMS/call code নিন। WhatsApp-এর current recovery flow অনুসরণ করুন। Two-step verification PIN আক্রমণকারী বসিয়ে থাকলে অপেক্ষা বা identity verification লাগতে পারে; app-এর নির্দেশনা ছাড়া কাউকে টাকা দেবেন না।

Access ফেরার পর Settings → Linked devices-এ যান। অচেনা সব device log out করুন। Two-step verification চালু করুন, recovery email যাচাই করুন এবং privacy settings পর্যালোচনা করুন।

বন্ধুদের জন্য একটি স্পষ্ট সতর্কতা দিন:

“গত [সময়]-এর পর আমার account থেকে টাকা, code বা link চাওয়া message আমার ছিল না। কিছু পাঠাবেন না। পাঠিয়ে থাকলে আপনার payment provider-কে এখনই জানান।”

“আমার আইডি হ্যাক হয়েছিল” লেখা যথেষ্ট নয়। সময়সীমা ও ঝুঁকি বলুন, যাতে মানুষ বুঝতে পারে কোন message অবিশ্বস্ত।

SIM পরীক্ষা: OTP পাচ্ছেন না কেন?

ফোনে network নেই, incoming call আসে না বা OTP হঠাৎ বন্ধ হলে operator-কে অন্য ফোন থেকে জানান। SIM বদল বা পুনঃইস্যুর history জানতে চান এবং প্রয়োজন হলে নম্বর সাময়িক block করুন। নম্বর ফিরে পেলে email ও social account-এর active sessions আবার পরীক্ষা করুন। আক্রমণকারী আগে থেকেই session ধরে রাখতে পারে।

শুধু SMS-ভিত্তিক login code-এর ওপর নির্ভর না করে উচ্চমূল্যের account-এ passkey, authenticator app বা hardware security key—যা support করে—ব্যবহার করুন।

ফোনে ম্যালওয়্যার ছিল কি না বোঝার সূত্র

নিচের যেকোনোটি থাকলে device compromise বিবেচনা করুন:

• WhatsApp/Telegram থেকে APK install করা;

• Accessibility বা Device admin access দেওয়া;

• “support” নামে screen-sharing app চালানো;

• browser-এ অচেনা extension;

• battery/data usage-এ অস্বাভাবিক app;

• security settings নিজে নিজে বদলে যাওয়া;

• অচেনা VPN বা notification access।

বিশেষ permission আগে বন্ধ করুন, তারপর app সরান। Play Protect scan, operating-system update এবং browser cleanup করুন। সন্দেহ গুরুতর হলে প্রয়োজনীয় clean backup নিয়ে factory reset বিবেচনা করুন।

Password বদলালেই কেন সব শেষ হয় না

Account takeover টিকে থাকার কয়েকটি পথ আছে: active session, linked device, recovery address, forwarding rule, connected app, business role এবং SIM access। Password কেবল একটি পথ বন্ধ করে। তাই recovery-কে “একটি নতুন password” না ভেবে “সব access route-এর তালিকা” হিসেবে দেখুন।

একই password অন্য কোথাও ব্যবহার করলে প্রতিটি account-এ আলাদা password বসান। Password manager ব্যবহার করতে পারেন। সবচেয়ে আগে email, cloud storage, payment, social media এবং work account ঠিক করুন।

আর্থিক ও সামাজিক ক্ষতি সীমিত করুন

আক্রমণকারী টাকা চাইলে affected contact-দের ব্যক্তিগতভাবে জানান। কেউ টাকা পাঠিয়ে থাকলে তাকে সংশ্লিষ্ট ব্যাংক/MFS-এ দ্রুত অভিযোগ করতে বলুন। Profile, message, recipient number এবং transaction receipt-এর screenshot সংরক্ষণ করুন। প্রতারকের সঙ্গে “ফাঁদ পাততে” গিয়ে নতুন তথ্য দেবেন না।

ব্যবসায়িক account হলে আরও পরীক্ষা করুন:

• ads চালানো হয়েছে কি না;

• customer message export হয়েছে কি না;

• page ownership বদলেছে কি না;

• company card charge হয়েছে কি না;

• colleague account-এ phishing পাঠানো হয়েছে কি না।

ঘটনার পরে একটি ছোট postmortem

উদ্ধার শেষ হলে পাঁচটি প্রশ্ন লিখে উত্তর দিন:

1. প্রথম compromise কোথায় হয়েছিল?

2. কোন recovery route আক্রমণকারী ব্যবহার করেছে?

3. কোন alert দেখা হয়নি বা উপেক্ষা করা হয়েছিল?

4. একই credential আর কোথায় ছিল?

5. পরের বার কোন control ঘটনাটি থামাতে বা দ্রুত ধরতে পারবে?

এটি দোষ খোঁজার কাজ নয়। একই ভুল পুনরাবৃত্তি ঠেকানোর কাজ। VigilantOne Mobile Security device-level risk শনাক্তকরণের একটি স্তর হতে পারে; এটি Meta, WhatsApp বা email provider-এর account recovery-এর বিকল্প নয়।

Sources

• Facebook, Hacked Account Recovery: https://www.facebook.com/hacked

• WhatsApp, How to Recover a Compromised Account: https://faq.whatsapp.com/1131652977717250

• WhatsApp, Check and Unlink Linked Devices: https://faq.whatsapp.com/1428782138011916

• Google Account Help, Secure a Hacked or Compromised Account: https://support.google.com/accounts/answer/6294825

• Google Play Help, Use Play Protect: https://support.google.com/googleplay/answer/2812853