सेशन हाईजैकिंग घोटाले: सक्रिय लॉगिन चुराना
सेशन हाईजैकिंग तब होती है जब कोई स्कैमर आपके प्रमाणीकृत ऑनलाइन सेशन को इंटरसेप्ट कर उसका नियंत्रण ले लेता है, जिससे उसे आपका पासवर्ड चोरी करने की जरूरत नहीं पड़ती। जब आप किसी वेबसाइट या एप्लिकेशन में लॉगिन करते हैं, तो आपका ब्राउज़र एक सेशन टोकन या कुकी प्राप्त करता है जो आपको प्रमाणीकृत रखता है। हमलावर विभिन्न तरीकों का उपयोग करते हैं—जैसे सार्वजनिक वाईफाई पर मैन-इन-द-मिडल अटैक, मैलवेयर इंजेक्शन, या समझौता किए गए नेटवर्क—इन टोकनों को पकड़ने और आपकी पहचान बनकर कार्य करने के लिए। पारंपरिक क्रेडेंशियल चोरी के विपरीत, सेशन हाईजैकिंग चुपचाप हो सकता है; आप लॉग इन रहते हैं जबकि हमलावर एक ही समय में आपके खाते तक दूसरी जगह से पहुंचता है, जिससे पता लगाना मुश्किल हो जाता है। एफबीआई के इंटरनेट क्राइम कंप्लेंट सेंटर के अनुसार, 2023 में सेशन-आधारित हमलों ने 3,00,000 से अधिक लोगों को प्रभावित किया, जिनमें प्रति पीड़ित औसत नुकसान ₹3,75,000 था। खतरा तब बढ़ जाता है जब हमलावर वित्तीय सेवाओं, ईमेल खातों या सोशल मीडिया को निशाना बनाते हैं—जहां वे धन हस्तांतरित कर सकते हैं, पासवर्ड रीसेट कर सकते हैं, या आगे के हमले शुरू कर सकते हैं इससे पहले कि आपको कुछ गलत लगे।
सामान्य रणनीतियाँ
- •मैलवेयर या ब्राउज़र एक्सटेंशन्स तैनात करना जो चुपचाप आपके ब्राउज़र से HTTP कुकीज़ और सेशन टोकन लॉग करते हैं और इन्हें हमलावर के नियंत्रित सर्वरों को रीयल-टाइम में भेजते हैं, बिना आपकी जानकारी के।
- •असुरक्षित सार्वजनिक वाईफाई नेटवर्क पर मैन-इन-द-मिडल (MITM) हमले करना, Wireshark या Ettercap जैसे टूल्स का उपयोग करके आपके डिवाइस और वेबसाइट के सर्वर के बीच बिना एन्क्रिप्टेड सेशन ट्रैफिक को इंटरसेप्ट करना।
- •समझौता किए गए वेबसाइटों या विज्ञापन नेटवर्क में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट करना जो विज़िटर्स के ब्राउज़र से सेशन कुकीज़ चुराता है और उन्हें हमलावर के इंफ्रास्ट्रक्चर को भेजता है।
- •क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) कमजोरियों का फायदा उठाकर आपके प्रमाणीकृत सेशन का उपयोग करके अनधिकृत क्रियाएं करना, जैसे ईमेल पते बदलना या हमलावर के नियंत्रित साइटों से पासवर्ड रीसेट शुरू करना।
- •DNS सर्वरों या ISP इंफ्रास्ट्रक्चर के खिलाफ नेटवर्क-स्तरीय हमले करना ताकि आपको नकली लॉगिन पेज पर रीडायरेक्ट किया जा सके, फिर जब आप नकली साइट पर लॉगिन करने का प्रयास करते हैं तो आपका सेशन टोकन पकड़ लेना।
- •डेटा उल्लंघनों, डार्क वेब मार्केटप्लेस, या अंदरूनी खतरों से लीक हुए सेशन टोकन खरीदना या प्राप्त करना, और फिर उन्हें तुरंत उपयोग करना ताकि खाते तक पहुंच बनाई जा सके इससे पहले कि मूल सेशन समाप्त हो (आमतौर पर 15 मिनट से 24 घंटे तक)।
कैसे पहचानें
- अपने खाते से एक ही समय में विभिन्न भौगोलिक स्थानों या अपरिचित डिवाइसेज से एक साथ लॉगिन नोटिफिकेशन देखना, जो दर्शाता है कि हमलावर आपके सेशन का उपयोग उसी समय कर रहा है जब आप भी कर रहे हैं।
- असामान्य खाता गतिविधि देखना जैसे कि भेजे गए ईमेल जो आपने नहीं लिखे, बदली हुई सेटिंग्स, या शुरू किए गए लेन-देन, लेकिन आपका पासवर्ड कभी बदला नहीं गया और आपको लॉक आउट भी नहीं किया गया।
- यह देखना कि आप अचानक किसी खाते से लॉग आउट हो जाते हैं जबकि आप अभी भी सक्रिय रूप से उसका उपयोग कर रहे हैं, या आपका सेशन असंगत स्थिति में है जिसमें अजीब कैश्ड डेटा दिख रहा हो।
- संदिग्ध ब्राउज़र एक्सटेंशन्स या टूलबार्स का पता लगाना जो आपकी स्थापना के बिना प्रकट हुए हों, खासकर वे जो डेटा एक्सेस या कुकी प्रबंधन से संबंधित अत्यधिक अनुमतियां मांगते हों।
- यह पता लगाना कि आपके 2FA कोड का उपयोग खाते तक पहुंच प्रयासों के लिए किया गया है, लेकिन आपने लॉगिन शुरू नहीं किया और आपका पासवर्ड अपरिवर्तित है, जो क्रेडेंशियल चोरी की बजाय सेशन नियंत्रण का संकेत देता है।
- वेबसाइटों या ऐप्स से 'नए डिवाइस' लॉगिन, 'असामान्य स्थान' पहुंच प्रयास, या आपके सेशन के बारे में सुरक्षा चेतावनियां प्राप्त करना, जबकि आपने कोई नया लॉगिन शुरू नहीं किया हो।
खुद को कैसे सुरक्षित रखें
- हमेशा HTTPS-केवल वेबसाइटों का उपयोग करें (URL में पैडलॉक आइकन और https:// की पुष्टि करें) और संवेदनशील जानकारी गैर-एन्क्रिप्टेड कनेक्शनों पर न डालें, खासकर सार्वजनिक वाईफाई नेटवर्क पर।
- स्वचालित वाईफाई कनेक्शन को बंद करें और बैंकिंग, ईमेल या संवेदनशील खाते तक पहुंच के लिए कभी भी सार्वजनिक वाईफाई का उपयोग न करें; यदि सार्वजनिक नेटवर्क पर खाते एक्सेस करना आवश्यक हो तो VPN सेवा का उपयोग करें।
- खाते की सेटिंग्स में सक्रिय सेशन्स की नियमित समीक्षा करें (Google, Microsoft, Apple, Facebook और अधिकांश बैंकों पर उपलब्ध) और किसी भी अनजान सेशन को तुरंत समाप्त करें।
- अपने ब्राउज़र की कुकीज़, कैश और ब्राउज़िंग इतिहास साप्ताहिक रूप से साफ करें, और संवेदनशील साइटों के लिए प्राइवेट/इन्कॉग्निटो ब्राउज़िंग मोड का उपयोग करने पर विचार करें ताकि सेशन टोकन का स्थायी भंडारण रोका जा सके।
- विश्वसनीय एंटीवायरस और एंटी-मैलवेयर सॉफ़्टवेयर (जैसे Malwarebytes या Windows Defender) इंस्टॉल करें और इसे अपडेट रखें ताकि ब्राउज़र-आधारित सेशन हाईजैकिंग मैलवेयर का पता लगाया और हटाया जा सके।
- सभी महत्वपूर्ण खातों पर टू-फैक्टर ऑथेंटिकेशन सक्षम करें और लॉगिन नोटिफिकेशन पर बारीकी से नजर रखें; यदि आपको अपरिचित लॉगिन प्रयास दिखें तो तुरंत अपना पासवर्ड बदलें और खाता गतिविधि की समीक्षा करें।
वास्तविक उदाहरण
एक व्यवसायिक पेशेवर कॉफी शॉप में सार्वजनिक वाईफाई नेटवर्क पर अपने कॉर्पोरेट ईमेल में लॉगिन करता है। पास में एक हमलावर वाईफाई पैकेट स्निफर का उपयोग करके सेशन कुकी पकड़ लेता है इससे पहले कि HTTPS कनेक्शन पूरी तरह से ट्रैफिक को एन्क्रिप्ट कर सके। कुछ घंटों के भीतर, हमलावर ईमेल खाते तक पहुंच बनाता है, संवेदनशील कंपनी दस्तावेज़ खुद को फॉरवर्ड करता है, और पासवर्ड रीसेट शुरू करता है। कर्मचारी को तब तक पता नहीं चलता जब तक आईटी अगले दिन असामान्य ईमेल फॉरवर्डिंग नियमों के बारे में सूचित नहीं करता। हमलावर को पकड़ने से पहले 18 घंटे की पहुंच मिली।
एक फ्रीलांसर एक उपयोगी लगने वाला प्रोडक्टिविटी ब्राउज़र एक्सटेंशन इंस्टॉल करता है जो फॉर्म ऑटो-फिल और पासवर्ड प्रबंधन का वादा करता है। उपयोगकर्ता को पता नहीं होता कि यह एक्सटेंशन उनके बैंक की वेबसाइट या क्लाइंट पोर्टल पर जाने पर उनके सेशन कुकीज़ लॉग करता है। हमलावर इन सेशन्स की निगरानी करता है और जब फ्रीलांसर अपने बैंकिंग ऐप में लॉगिन करता है, तो तुरंत पकड़ी गई सेशन का उपयोग करके ₹6,00,000 ट्रांसफर कर देता है इससे पहले कि बैंक का फ्रॉड डिटेक्शन सिस्टम इसे फ्लैग करे। फ्रीलांसर को यह लेन-देन 3 दिन बाद अपने स्टेटमेंट की समीक्षा करते समय पता चलता है।
एक छोटे व्यवसाय के मालिक को उनके पेमेंट प्रोसेसर से आया हुआ दिखने वाला एक ईमेल मिलता है, जिसमें उन्हें 'अपने सेशन को सत्यापित' करने के लिए एक लिंक पर क्लिक करने को कहा जाता है। लिंक एक नकली लॉगिन पेज पर ले जाता है जिसे स्कैमर नियंत्रित करते हैं। जब मालिक अपनी क्रेडेंशियल्स दर्ज करता है, तो स्कैमर्स न केवल पासवर्ड बल्कि ट्रैफिक को रीडायरेक्ट करके वैध सेशन टोकन भी प्राप्त कर लेते हैं। वे चोरी किए गए सेशन का उपयोग करके असली पेमेंट प्रोसेसर खाते तक पहुंच बनाते हैं और ₹9,00,000 के अनधिकृत लेन-देन शुरू करते हैं इससे पहले कि व्यवसाय एक सप्ताह बाद इसका पता लगाता है।
अक्सर पूछे जाने वाले प्रश्न
मैं कैसे पता लगा सकता हूँ कि कोई मेरे सत्र को जब्त कर चुका है जबकि मैं अभी भी लॉग इन हूँ?
पासवर्ड चोरी की तुलना में सत्र जब्ती का पता लगाना क्यों कठिन होता है?
यदि मुझे संदेह हो कि मेरा सत्र जब्त कर लिया गया है, तो मुझे तुरंत क्या करना चाहिए?
मैं सार्वजनिक वाईफाई पर सत्र जब्ती से खुद को कैसे सुरक्षित रख सकता हूँ?
क्या मैं सत्र जब्ती से खोए हुए पैसे वापस पा सकता हूँ, और क्या नुकसान स्थायी है?
रिपोर्ट कहाँ करें — भारत
आपके क्षेत्र में इस घोटाले की रिपोर्ट के लिए आधिकारिक चैनल।
राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल
साइबर अपराधगृह मंत्रालय का साइबर अपराध हेल्पलाइन (1930) और रिपोर्टिंग पोर्टल।
राष्ट्रीय उपभोक्ता हेल्पलाइन
उपभोक्ता संरक्षणउपभोक्ता मामलों के विभाग द्वारा संचालित शिकायत हेल्पलाइन।
RBI Sachet (वित्तीय धोखाधड़ी)
वित्तीय नियामकभारतीय रिजर्व बैंक का अनधिकृत संस्थाओं की रिपोर्ट के लिए पोर्टल।
क्या आपको लगता है कि आप इस घोटाले के संपर्क में आए?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), सेशन हाईजैकिंग घोटाले: सक्रिय लॉगिन चुराना is described at https://scamlens.org/hi/encyclopedia/session-hijacking.