पासवर्ड नहीं ब्राउज़र सेशन चुरा रहे साइबर अपराधी, जानिए डार्क वेब के नए खतरे से खुद को कैसे बचाएं

ब्राउज़र सेशन कुकीज और उनकी वास्तविक कार्यप्रणाली

जब भी आप किसी वेब सेवा पर अपना यूज़रनेम और गुप्त कोड दर्ज करते हैं, तो सर्वर आपके ब्राउज़र को एक छोटी टेक्स्ट फाइल सौंपता है जिसे सेशन कुकी कहा जाता है। इस फाइल में एक खास सेशन आईडी दर्ज होती है। जब तक यह सेशन सक्रिय रहता है, तब तक आप उस वेबसाइट के किसी भी पेज पर जाएं, आपको दोबारा क्रेडेंशियल टाइप नहीं करने पड़ते। यह सुविधा उपयोगकर्ता के अनुभव को सुगम बनाने के लिए बनाई गई थी ताकि बार-बार लॉगिन फॉर्म न भरना पड़े।

प्रत्येक सेशन कुकी की एक समाप्ति अवधि होती है, जो सेवा प्रदाता की नीति के आधार पर कुछ घंटों से लेकर कई हफ्तों तक खिंच सकती है। जब यह समय सीमा समाप्त होती है, तभी यूजर अपने आप लॉगआउट होता है और उसे दोबारा लॉगिन विवरण भरने पड़ते हैं। सबसे बड़ा जोखिम यही है कि यदि कोई तीसरा व्यक्ति आपकी सक्रिय अवधि के दौरान उन कुकीज को अपने सिस्टम पर कॉपी कर ले, तो वह उस वेबसाइट के लिए पूरी तरह से आप ही बन जाता है। इस स्थिति में सर्वर किसी भी तरह की विसंगति को नहीं पहचान पाता क्योंकि उसके सामने वैध सेशन कुकी मौजूद होती है।

इन्फोस्टीलर मैलवेयर का जाल और डेटा चोरी

इन कुकीज को चुराने के लिए साइबर अपराधी इन्फोस्टीलर श्रेणी के खतरनाक मैलवेयर का उपयोग करते हैं। इस समूह में ल्यूमा, विदार, स्टीलसी, एक्रीड और एटॉमिक स्टीलर जैसे कुख्यात वायरस शामिल हैं। ये दुर्भावनापूर्ण सॉफ्टवेयर आमतौर पर असुरक्षित या पायरेटेड सॉफ्टवेयर डाउनलोड, नकली इंस्टॉलर, भ्रामक विज्ञापनों और संक्रमित वेबसाइटों के जरिए चुपके से उपयोगकर्ता के कंप्यूटर या स्मार्टफोन में प्रवेश कर जाते हैं।

एक बार डिवाइस में पैर जमाने के बाद, यह मैलवेयर बैकग्राउंड में छिपकर सभी ब्राउज़रों की फाइलों को खंगालता है। यह न केवल ब्राउज़र में सहेजे गए पासवर्ड, क्रेडिट कार्ड विवरण, ऑटो-फिल डेटा और सुरक्षा पिन निकालता है, बल्कि सक्रिय सेशन कुकीज को भी बटोर लेता है। इस पूरी चोरी की गई सामग्री को एक संरचित आर्काइव में बदल दिया जाता है, जिसे तकनीकी भाषा में स्टीलर लॉग कहा जाता है। यह लॉग फाइल तुरंत कमांड सर्वर के जरिए हैकर तक पहुंचा दी जाती है। नोर्डवीपीएन के शोधकर्ताओं ने जून 2025 से 2026 के बीच के इन्फोस्टीलर डेटा का अध्ययन करने पर पाया कि इस दौरान 52.4 अरब से अधिक कुकीज चुराई गई थीं।

डार्क वेब और टेलीग्राम पर स्टीलर लॉग्स की खुली बिक्री

चोरी किए गए इन स्टीलर लॉग्स का डार्क वेब पर एक बहुत ही व्यवस्थित बाज़ार खड़ा हो चुका है। जेनेसिस मार्केट के हटने के बाद अब रशियन मार्केट इस काले धंधे का सबसे प्रमुख केंद्र बनकर उभरा है। इसके अलावा एक बड़ा हिस्सा टेलीग्राम के निजी चैनलों और गुप्त समूहों पर स्थानांतरित हो चुका है। डार्कऑउल के सुरक्षा विश्लेषकों के अनुसार, अकेले 2025 की पहली छमाही में रशियन मार्केट पर लगभग 1,80,000 स्टीलर लॉग्स बेचे गए थे। चिंताजनक बात यह है कि रशियन मार्केट को सामान्य वेब ब्राउज़र से भी खोला जा सकता है, जिसके लिए टॉर नेटवर्क या विशेष प्याज लिंक की अनिवार्य आवश्यकता नहीं होती। इसका सीधा अर्थ यह है कि बुनियादी तकनीकी ज्ञान रखने वाला कोई भी व्यक्ति वहां से लॉग्स खरीदकर खाते हड़पने का प्रयास कर सकता है।

फ्लेयर रिसर्च के आकलनों से पता चलता है कि वास्तविक खतरा इससे कहीं अधिक विशाल है, क्योंकि लगभग 90 प्रतिशत स्टीलर लॉग्स अब टेलीग्राम पर निजी स्तर पर बेचे जा रहे हैं। वहां बॉट्स के जरिए एक स्वचालित ई-कॉमर्स जैसा मंच तैयार कर दिया गया है। खरीदार देश, लक्षित ऐप्लिकेशन, कॉर्पोरेट नेटवर्क पहुंच या प्रशासनिक विशेषाधिकारों के आधार पर फ़िल्टर लगाकर कुकीज चुन सकते हैं। एक लॉग की कीमत उस खाते की अनुमानित उपयोगिता के हिसाब से 5 डॉलर से लेकर 500 डॉलर तक हो सकती है। कॉर्पोरेट ईमेल या वित्तीय सेवाओं से जुड़े सत्रों की कीमत सबसे अधिक वसूली जाती है।

संदेह होने पर चोरी की जांच कैसे करें

वैश्विक स्तर पर ऐसा कोई एकल सार्वजनिक डेटाबेस नहीं है जहां हर चोरी हुई कुकी की सीधी पड़ताल की जा सके। बड़े कॉरपोरेट संस्थान तो हर महीने हजारों डॉलर खर्च करके डार्क वेब मॉनिटरिंग सेवाएं ले लेते हैं, परंतु सामान्य उपयोगकर्ताओं के लिए यह संभव नहीं है। फिर भी कुछ आसान तरीकों से स्थिति का आकलन किया जा सकता है। सबसे पहला और व्यावहारिक कदम यह है कि आप अपनी प्रमुख ऑनलाइन सेवाओं के सुरक्षा और खाता सेटिंग्स में जाकर एक्टिव डिवाइसेस या लॉगिन हिस्ट्री की समीक्षा करें।

यदि आपको किसी अज्ञात डिवाइस का नाम, अपरिचित ब्राउज़र या किसी ऐसे शहर अथवा देश की लोकेशन दिखाई दे जहां आप कभी नहीं गए, तो यह स्पष्ट संकेत है कि आपका खाता किसी अन्य व्यक्ति के नियंत्रण में है। हालांकि यदि आप वीपीएन या आईक्लाउड प्राइवेट रिले का उपयोग करते हैं, तो स्थान का विवरण भ्रमित कर सकता है। इसके अलावा हैव आई बीन पॉन्ड जैसी मुफ्त सेवा के माध्यम से यह जांचा जा सकता है कि आपका ईमेल पता या पासवर्ड किसी हालिया डेटा लीक में शामिल तो नहीं रहा है। यद्यपि यह प्लेटफॉर्म सीधे तौर पर कुकीज का रिकॉर्ड नहीं रखता, लेकिन यदि आपका लॉगिन क्रेडेंशियल लीक हुआ है, तो इसकी भारी संभावना है कि उसी समय आपकी सेशन कुकीज भी निकाली गई होंगी। इसके अतिरिक्त नोर्डवीपीएन के कम्प्लीट या प्राइम प्लान जैसी चुनिंदा उपभोक्ता सेवाएं भी सक्रिय सत्रों की डार्क वेब पर निगरानी की सुविधा प्रदान करती हैं।

खाता हैक होने पर उठाने वाले जरूरी कदम

यदि आपको यकीन हो जाए कि आपकी सेशन कुकीज चुरा ली गई हैं, तो आपको तत्काल सुधारात्मक कदम उठाने होंगे। यहां यह ध्यान रखना बेहद आवश्यक है कि सुरक्षा उपायों का क्रम सही होना चाहिए। यदि आप सही क्रम का पालन नहीं करेंगे, तो पासवर्ड बदलने के बाद भी हैकर आपके खाते में बना रह सकता है या नए विवरण भी चुरा सकता है।

• डिवाइस को वायरस मुक्त करें: सबसे पहले अपने सभी कंप्यूटरों और मोबाइल फोन पर एक संपूर्ण एंटीवायरस स्कैन चलाएं। हमलावर आपकी डिवाइस को संक्रमित किए बिना कुकीज तक नहीं पहुंच सकते। यदि एंटीवायरस किसी फाइल को संदिग्ध बताता है, तो उसे तुरंत हटा दें। यदि संभव हो, तो ऑपरेटिंग सिस्टम को पूरी तरह फॉर्मेट करके दोबारा इंस्टॉल करना सबसे सुरक्षित विकल्प है।
• ईमेल खाते को सुरक्षित करें: अपने प्राथमिक ईमेल इनबॉक्स का पासवर्ड तुरंत बदलें, क्योंकि सभी वेबसाइटें पासवर्ड रीसेट और वेरिफिकेशन कोड उसी पते पर भेजती हैं। ईमेल पर मजबूत टू-फैक्टर ऑथेंटिकेशन सक्रिय करें और उसके सभी सक्रिय सत्रों को लॉगआउट करें।
• सभी सक्रिय सत्र समाप्त करें: प्रत्येक सोशल मीडिया, क्लाउड और बैंकिंग खाते की सुरक्षा सेटिंग्स में जाकर 'साइन आउट ऑफ ऑल सेशंस' विकल्प चुनें। इससे चोरी की गई कुकी तुरंत अमान्य हो जाएगी और हैकर का कनेक्शन कट जाएगा।
• प्राथमिकता के अनुसार पासवर्ड बदलें: सभी खातों के पासवर्ड नए और जटिल बनाएं। शुरुआत हमेशा नेट बैंकिंग, पासवर्ड मैनेजर और क्लाउड स्टोरेज खातों से करें, उसके बाद सामान्य प्लेटफॉर्म्स पर जाएं।
• थर्ड-पार्टी ऐप्स और एपीआई की जांच करें: अपने खातों से जुड़ी थर्ड-पार्टी ऐप्लिकेशंस और अनुमतियों की सूची देखें। किसी भी अनजान ऐप की पहुंच तुरंत रद्द कर दें। यदि आप डेवलपर हैं या किसी सेवा की एपीआई कुंजी का उपयोग करते हैं, तो उन्हें तुरंत रोटेट करें।

डिवाइस बाउंड सेशन क्रेडेंशियल्स की नई तकनीक

वर्तमान समय में सामान्य कुकीज को किसी भी अन्य ब्राउज़र में आसानी से आयात करके चलाया जा सकता है, जो इस समस्या की मुख्य जड़ है। इस तकनीकी खामी को हमेशा के लिए समाप्त करने के लिए डिवाइस बाउंड सेशन क्रेडेंशियल्स यानी डीबीएससी नाम का एक नया ओपन-वेब मानक विकसित किया जा रहा है। इस तकनीक के तहत जब कोई यूजर लॉगिन करेगा, तो सेशन कुकी सीधे उस कंप्यूटर की हार्डवेयर सुरक्षा चिप से डिजिटल रूप से बंध जाएगी।

इसका लाभ यह होगा कि यदि कोई मैलवेयर आपके सिस्टम से कुकी चुरा भी लेता है और उसे किसी दूसरे कंप्यूटर पर चलाने की कोशिश करता है, तो वेबसाइट का सर्वर उस अनुरोध को अस्वीकार कर देगा क्योंकि निजी सुरक्षा कुंजी केवल आपके मूल हार्डवेयर में सुरक्षित रहेगी। गूगल ने इस तकनीक को अपने क्रोम ब्राउज़र में विंडोज़ ऑपरेटिंग सिस्टम और गूगल खातों के लिए लागू करना शुरू कर दिया है, जबकि मैकओएस उपयोगकर्ताओं को भी यह सुविधा चरणबद्ध तरीके से दी जा रही है। वर्तमान में डीबीएससी का दायरा मुख्य रूप से जीमेल, गूगल डॉक्स और उन वेबसाइटों तक सीमित है जो गूगल सिंगल साइन-ऑन का उपयोग करती हैं। जब तक अन्य सभी प्रमुख इंटरनेट कंपनियां और ब्राउज़र इसे पूर्ण रूप से नहीं अपना लेते, तब तक उपयोगकर्ताओं को खुद ही सतर्क रहकर अपनी कुकीज और सक्रिय सत्रों की निगरानी करनी होगी।