2FA के बावजूद अकाउंट हैक? Session Hijacking और Cookie Theft से बचने के 6 सुरक्षा नियम

अगर आप मानते हैं कि अपने सोशल मीडिया या गूगल अकाउंट पर टू-फैक्टर ऑथेंटिकेशन (2FA) ऑन करके आप पूरी तरह सुरक्षित हो चुके हैं, तो साइबर अपराधियों का एक नया तरीका आपकी सोच बदल सकता है। हाल के दिनों में कई बड़े यूट्यूबर्स, गेमर्स और टेक प्रोफेशनल्स के अकाउंट बिना किसी OTP या पासवर्ड अलर्ट के रातों-रात हैक हो गए। हैकर्स ने न तो पासवर्ड क्रैक किया और न ही सिम स्वाइप; उन्होंने सीधा निशाना बनाया आपके ब्राउज़र में स्टोर होने वाली 'डिजिटल चाबियों' यानी सेशन कुकीज़ (Session Cookies) पर।

साइबर सुरक्षा की दुनिया में इस हमले को Session Hijacking या Cookie Theft कहा जाता है। आइए समझते हैं कि यह उन्नत हैकिंग तकनीक कैसे काम करती है, इसके लक्षण क्या हैं और इससे अपने डिजिटल जीवन को कैसे बचाया जाए।

Session Hijacking क्या है और यह 2FA को कैसे बाइपास करता है?

जब आप किसी वेबसाइट (जैसे Google, Facebook या नेटफ्लिक्स) पर अपना ईमेल, पासवर्ड और OTP दर्ज करते हैं, तो सर्वर आपको प्रमाणित (Authenticate) मान लेता है। सर्वर आपको बार-बार हर क्लिक पर पासवर्ड डालने से बचाने के लिए आपके ब्राउज़र में एक छोटी सी फाइल भेजता है, जिसे Session Cookie या Auth Token कहते हैं।

इसे एक अम्यूजमेंट पार्क के 'एंट्री रिस्टबैंड' (कलाई पर बंधने वाले बैंड) की तरह समझें। टिकट काउंटर (लॉगिन पेज) पर आपने पहचान पत्र दिखाकर टिकट ले ली और कलाई पर बैंड बांध लिया। अब पार्क के अंदर किसी भी झूले पर जाने के लिए आपको बार-बार टिकट नहीं दिखाना पड़ता, बस कलाई का बैंड दिखाना काफी होता है।

लेकिन अगर कोई जेबकतरा आपकी कलाई से वह बैंड चुपके से काटकर अपनी कलाई पर बांध ले, तो पार्क का गार्ड उसे ही वैध ग्राहक समझ लेगा। हैकिंग में ठीक यही काम Session Hijacking के जरिए होता है। हैकर आपके ब्राउज़र से वह 'सेशन टोकन' चुरा लेता है और अपने कंप्यूटर के ब्राउज़र में चिपका (Inject) देता है। वेबसाइट का सर्वर समझता है कि यह वही यूजर है जिसने पहले 2FA से लॉगिन किया था, और हैकर को पासवर्ड या OTP के बिना सीधा एक्सेस मिल जाता है।

हैकर आपके कंप्यूटर से सेशन कुकीज़ कैसे चुराते हैं?

साइबर अपराधी साधारण स्पैम से आगे बढ़कर अब एडवांस मैलवेयर और सोशल इंजीनियरिंग का सहारा लेते हैं:

• Infostealer Malware (इन्फोस्टीलर वायरस): RedLine, Lumma, और Raccoon जैसे खतरनाक ट्रोजन मैलवेयर क्रोम, एज, या फायरफॉक्स ब्राउज़र के लोकल स्टोरेज (SQLite डेटाबेस) को स्कैन करते हैं और सभी एक्टिव कुकीज़ को चुराकर हैकर के टेलीग्राम बॉट या डार्क वेब सर्वर पर भेज देते हैं।
• क्रैक्ड सॉफ्टवेयर और गेम्स: पायरेटेड फोटोशॉप, फिल्मोरा या टॉरेंट गेम्स के साथ ये स्टीलर फाइलें छिपी होती हैं। जैसे ही आप 'Run as Administrator' करते हैं, सेकंडों में आपका सारा डेटा कॉम्प्रोमाइज हो जाता है।
• रिवर्स प्रॉक्सी फिशिंग (Evilginx): हैकर असली वेबसाइट जैसा दिखने वाला फिशिंग लिंक भेजते हैं। जब आप उस पर 2FA कोड डालते हैं, तो बीच में बैठा प्रॉक्सी सर्वर असली वेबसाइट से सेशन कुकी हासिल कर हैकर को सौंप देता है।
• फर्जी ब्राउज़र एक्सटेंशन्स: ऐसे एक्सटेंशन्स जो खुद को एड-ब्लॉकर या कूपन-फाइंडर बताते हैं, लेकिन बैकग्राउंड में आपके टैब्स का पूरा कुकी डेटा मॉनिटर करते हैं।

सावधान! ये 4 संकेत बताते हैं कि आपका सेशन हाइजैक हो चुका है

यदि आपका सेशन टोकन चोरी हो जाता है, तो आपका सिस्टम कुछ ऐसे संकेत देता है जिन्हें कभी नजरअंदाज नहीं करना चाहिए:

1. अचानक सभी अकाउंट्स से अपने-आप लॉगआउट हो जाना

यदि ब्राउज़िंग के दौरान गूगल, इंस्टाग्राम या ट्विटर आपको बिना किसी कारण अचानक 'Session Expired' कहकर लॉगआउट कर दे, तो हो सकता है कि किसी अन्य लोकेशन पर नया टोकन जनरेट हुआ हो या सर्वर ने टकराव के कारण सेशन रीसेट किया हो।

2. Active Sessions में अनजानी लोकेशन या अनजाना डिवाइस दिखना

अकाउंट सेटिंग्स में जाकर 'Where you are logged in' देखने पर यदि कोई ऐसा ब्राउज़र या देश दिखे जिसका आपने कभी इस्तेमाल नहीं किया (उदाहरण के लिए: Russia या अज्ञात Linux डिवाइस), तो यह 100% पुष्टि करता है कि सेशन चुराया गया है।

3. बिना आपकी जानकारी के नए ब्राउज़र एक्सटेंशन

ब्राउज़र की सेटिंग्स में अगर ऐसे एक्सटेंशन्स दिखाई दें जिन्हें आपने कभी इंस्टॉल नहीं किया था, या जिन्हें अनइंस्टॉल करने का विकल्प ग्रे-आउट (Disable) हो चुका है, तो सिस्टम इन्फोस्टीलर से प्रभावित है।

4. बैकग्राउंड में असामान्य CPU यूटिलिटी या डेटा सिंक

सिस्टम बूट होते ही अगर 2-3 मिनट के लिए सीपीयू फैन तेज चलने लगे या इंटरनेट डेटा अचानक अपलोड होना शुरू हो जाए, तो मैलवेयर आपकी फाइल्स और कुकीज सर्वर पर एक्सफिल्ट्रेट (अपलोड) कर रहा हो सकता है।

रियल केस स्टडी: एक क्रैक्ड प्लगइन और 10 लाख सब्सक्राइबर्स का नुकसान

सुरेश (बदला हुआ नाम) एक उभरते हुए वीडियो एडिटर थे। उन्होंने एक फोरम से लोकप्रिय वीडियो एडिटिंग सॉफ्टवेयर का क्रैक्ड ट्रांजिशन पैक डाउनलोड किया। फाइल में एक छुपा हुआ .exe पेलोड था। सुरेश ने जैसे ही उसे रन किया, कुछ सेकंड के लिए ब्लैक स्क्रीन आई और गायब हो गई।

अगले 15 मिनट के अंदर, उनके यूट्यूब चैनल का नाम बदलकर एक फर्जी क्रिप्टो कंपनी रख दिया गया और उस पर लाइव स्ट्रीम शुरू हो गई। सुरेश के पास कोई 2FA प्रॉम्प्ट नहीं आया, क्योंकि हैकर्स ने उनके ब्राउज़र का 'Google Session Token' चुरा लिया था। यूट्यूब की सपोर्ट टीम से चैनल रिकवर कराने में उन्हें 3 हफ़्ते लग गए और कई स्पॉन्सरशिप्स गंवानी पड़ीं।

Session Hijacking से बचने के लिए 6 कड़े सुरक्षा नियम

इस प्रकार के आधुनिक साइबर हमलों को पारंपरिक सुरक्षा तरीकों से नहीं रोका जा सकता। इसके लिए आपको इन 6 नियमों को अपनी आदत बनाना होगा:

1. 'Remember Me' और पासवर्ड ऑटो-सेव का अंधाधुंध इस्तेमाल बंद करें

अविश्वसनीय या ऑफिस के कंप्यूटर्स पर कभी भी 'Keep me signed in' या 'Remember me' पर टिक न करें। बैंकिंग, क्रिप्टो और प्राइमरी ईमेल अकाउंट्स के लिए हमेशा काम पूरा होने के बाद मैन्युअली Log Out करें। जब आप लॉगआउट करते हैं, तो सर्वर साइड से वह सेशन टोकन हमेशा के लिए नष्ट हो जाता है।

2. पायरेटेड सॉफ्टवेयर, की-जेन (Keygen) और टॉरेंट से पूरी तरह बचें

इंटरनेट पर 'फ्री' मिलने वाला पेड सॉफ्टवेयर कभी मुफ्त नहीं होता। उसकी कीमत आपके प्राइवेट डेटा और अकाउंट्स से वसूली जाती है। हमेशा ऑफिशियल वेबसाइट या ओपन-सोर्स अल्टरनेटिव्स का ही उपयोग करें।

3. ब्राउज़र एक्सटेंशन्स की नियमित छंटनी करें

ब्राउज़र में केवल उन्हीं एक्सटेंशन्स को रखें जो अत्यंत आवश्यक हों और किसी वेरिफाइड डेवलपर द्वारा बनाए गए हों। ओपन-सोर्स एक्सटेंशन्स भी कई बार बिक जाते हैं और नए मालिक उनमें मैलवेयर कोड पुश कर देते हैं।

4. समय-समय पर 'Revoke All Sessions' करें

महीने में कम से कम एक बार अपने Google, Meta और Microsoft अकाउंट के सिक्योरिटी डैशबोर्ड में जाएं और 'Sign out of all other sessions' पर क्लिक करें। इससे जितने भी डिवाइस पर आपकी कुकीज एक्टिव होंगी, वे सब तुरंत अमान्य हो जाएंगी।

5. FIDO2 / Passkeys और हार्डवेयर सिक्योरिटी कीज अपनाएं

हार्डवेयर टोकन्स जैसे YubiKey या मॉडर्न Passkeys में 'क्रिप्टोग्राफिक बाइंडिंग' होती है। रिवर्स प्रॉक्सी फिशिंग के मामलों में भी हार्डवेयर की चोरी को रोकती है क्योंकि यह केवल उसी डोमेन के साथ कम्युनिकेट करती है जो ओरिजिनल हो।

6. संवेदनशील कामों के लिए अलग ब्राउज़र प्रोफाइल का उपयोग करें

रोजमर्रा की सामान्य ब्राउज़िंग (मूवीज, सर्फिंग, ब्लॉग्स) के लिए एक अलग ब्राउज़र या प्रोफाइल का उपयोग करें, और फाइनेंशियल या जरूरी वर्क अकाउंट्स के लिए एक पूरी तरह 'क्लीन' ब्राउज़र रखें, जिसमें कोई थर्ड-पार्टी एक्सटेंशन न हो।

अगर अकाउंट का सेशन हाइजैक हो जाए, तो तुरंत क्या करें?

1. डिवाइस को इंटरनेट से अलग करें: तुरंत वाई-फाई बंद करें या ईथरनेट केबल निकालें ताकि मैलवेयर और डेटा न भेज सके।
2. दूसरे साफ डिवाइस से सभी सेशन्स लॉगआउट करें: अपने फोन से तुरंत उस अकाउंट में लॉगिन करें और 'Log out of all devices' चुनें।
3. पासवर्ड तुरंत बदलें: पासवर्ड बदलते ही अधिकांश प्लेटफॉर्म्स पुराने सभी एक्टिव सेशन टोकन्स को एक्सपायर कर देते हैं।
4. सिस्टम को ऑफलाइन स्कैन करें: एक सुरक्षित पेनड्राइव से रेस्क्यू डिस्क या पोर्टेबल एंटी-मैलवेयर (जैसे Malwarebytes) चलाकर पूरे सिस्टम को डीप स्कैन करें।

अक्सर पूछे जाने वाले सवाल (FAQ)

1. क्या पासवर्ड बदलने से चोरी हुई कुकी अमान्य (Invalid) हो जाती है?

हाँ, अधिकांश आधुनिक प्लेटफॉर्म्स (जैसे Google, Microsoft और Meta) पर पासवर्ड बदलते ही सर्वर साइड पर सभी पुराने सेशन टोकन्स को अमान्य (Revoke) कर दिया जाता है। इसलिए टोकन चोरी का शक होते ही पासवर्ड बदलना सबसे पहला कदम होना चाहिए।

2. क्या इनकॉग्निटो मोड (Incognito Mode) मुझे सेशन हाइजैकिंग से बचाता है?

सिर्फ आंशिक रूप से। इनकॉग्निटो मोड विंडो बंद करते ही कुकीज डिलीट कर देता है, जो पब्लिक पीसी पर उपयोगी है। लेकिन अगर आपके सिस्टम में पहले से इन्फोस्टीलर मैलवेयर सक्रिय है, तो वह इनकॉग्निटो सेशन के दौरान भी एक्टिव कुकीज और की-स्ट्रोक्स को मॉनिटर कर सकता है।

3. क्या केवल एंटीवायरस मुझे इन्फोस्टीलर मैलवेयर से बचा सकता है?

हमेशा नहीं। नए इन्फोस्टीलर्स अक्सर 'FUD' (Fully Undetectable) एन्क्रिप्शन और कोड ऑबफस्केशन का इस्तेमाल करते हैं, जिससे वे पारंपरिक सिग्नेचर-बेस्ड एंटीवायरस को आसानी से चकमा दे देते हैं। आपकी जागरूकता और अनजान फाइल्स को रन न करना ही सबसे मजबूत ढाल है।

4. क्या स्मार्टफोन में भी सेशन हाइजैकिंग संभव है?

हाँ, यदि आप थर्ड-पार्टी साइट्स से पायरेटेड APK फाइलें इंस्टॉल करते हैं, तो वे ऐप्स एंड्रॉयड के इंटरनल स्टोरेज से ब्राउज़र टोकन्स या वॉट्सऐप सेशन्स को एक्सेस करके हैकर्स तक पहुंचा सकते हैं। केवल गूगल प्ले स्टोर या भरोसेमंद सोर्स से ही ऐप्स डाउनलोड करें।