অনলাইন ব্যাংকিং অ্যাপ্লিকেশনে এক কালীন পাস কোড (One-time passcode) নিরাপত্তার দৃষ্টিকোণ থেকে খুব গুরুত্বপূর্ণ ভূমিকা পালন করে থাকে। কিন্তু এসব এক কালীন পাস কোডও ঝুঁকিমুক্ত নয় বলে জানা গেছে। Symantec পরিচালিত সাম্প্রতিক এক গবেষণা প্রতিবেদনে এ কথা জানানো হয়েছে। অ্যানড্রয়েড এর এই অ্যাপ্লিকেশনটি ম্যালওয়্যার প্রোগ্রামের (malware program) শিকার হচ্ছে।
Android.Bankosy নামের এই ম্যালওয়ারটি পাস কোড intercept করার জন্য আপডেট করা করা হয়েছে। এটা করা হয়েছে তথাকথিত (so-called) দ্বৈত নিরাপত্তার নামে।
অনেক ব্যাংকেরই অপারেশন এক্সেস করার ক্ষেত্রে তাদের অনলাইন অ্যাপ্লিকেশনে নিরাপত্তার জন্য লগিন, পাসওয়ার্ড এবং টাইম সেন্সেটিভ কোড ব্যবহার করা হয়। এই এক কালীন পাস কোডটি এস এম এস-এর মাধ্যমে পাঠানো হয়। কিন্তু তা স্বয়ংক্রিয় ফোন কলের মাধ্যমেও পাঠানো যায়।
কিছু ব্যাংক এই স্বয়ংক্রিয় ফোন কল ভিত্তিক সিস্টেমে ইতোমধ্যেই কাজ করছে। অভিমত দেয়া হয় যে, এই সিস্টেম অধিকতর নিরাপত্তা নিশ্চিত করে, যেহেতু এস এম এস কোনো ম্যালওয়্যারের মাধ্যমে ঝুঁকিতে পড়তে পারে। Symantec এর Dinesh Venkatesan তাঁর ব্লগ পোস্টে এই মত দেন।
কিন্তু Android.Bankosy আপডেট করা হয়েছে এই সকল কল এটাকারদের (Atackers) কাছে ফরওয়ার্ড করার জন্য। Venkatesan এ তথ্য জানান। এশিয়া-প্যাসিফিক অঞ্চলে অনেক অপারেটরগণ কল ফরওয়ার্ডের জন্য সার্ভিস কোড ফর্মেট *21*[destination number]# ব্যবহার করে থাকেন এবং Bankosy এই সুযোগটি নিয়েছে।
Venkatesan একথাও জানান যে, ম্যালওয়্যারটি সাইলেন্ট মোড (silent mode) একটিভ ও ডিএকটিভ করার ক্ষমতা রাখে। তাই ভিক্টিম ইনকামিং কলের মাধ্যমে সতর্ক হবার সুযোগ পায় না।
এক কালীন পাস কোড যা লগিন ক্রেডেনশ্যাল হিসেবে ব্যবহার করা হয়- অনুমান করা হচ্ছে যে, তা ইতোমধ্যে এটাকারদের হাতে চলে গেছে।
Symantec এই Bankosy উদঘাটন করেছে ২০১৪ সালে। সেই সময়ের এক টেকনিক্যাল রিপোর্টে দেখা যায় ম্যালওয়্যারটি ভিক্টিমের পেমেন্ট কার্ড তথ্য নিতে তৎপর ছিলো।
http://www.cio.com/article/3021926/android-malware-steals-one-time-passcodes.html
