လွယ်လွယ်ပြောရရင် Typosquatting ဆိုတာ လူတွေက Website နာမည် မှားရိုက်မိတာကို အသုံးချပြီး အတု Website ဖွင့်ထားတဲ့ လိမ်နည်းပါ။ သင်က google.com ကို သွားချင်ပေမယ့် လက်ချော်ပြီး googel.com လို့ ရိုက်မိလိုက်တယ် ဆိုပါစို့။ အဲဒီအမှားလေးကို စောင့်နေတဲ့ လူတွေက googel.com ကို ကြိုဝယ်ထားပြီး အဲဒီမှာ အတု Website ဖွင့်ထားပါတယ်။
ကျွန်တော် ဒါကို လမ်းနာမည်တူ အိမ်နံပါတ်မှားသွားသလို ဥပမာပေးချင်တယ်။ သင်က သူငယ်ချင်းအိမ်ကို သွားချင်တယ်။ လမ်းနာမည်က မှန်တယ်၊ အိမ်နံပါတ်က တစ်လုံးမှားသွားတယ်။ တံခါးခေါက်လိုက်တော့ တခြားသူတစ်ယောက် ထွက်လာတယ်။ “ဒီအိမ်က ငါ့အိမ် မဟုတ်ဘူး” လို့ ပြောမယ့်အစား အဲဒီလူက “ဟုတ်တယ်၊ ဝင်ပါ” လို့ ပြောပြီး သင့်ပစ္စည်းတွေကို ခိုးသွားတယ် ဆိုပါစို့။ Typosquatting လည်း အတူတူပါပဲ။ စာလုံးတစ်လုံး မှားရိုက်မိတာနဲ့ အတုဆီ ရောက်သွားပြီး ကိုယ့်အချက်အလက်တွေ ပါသွားနိုင်ပါတယ်။
Typosquatting က ဘယ်လိုအလုပ်လုပ်တာလဲ?
တိုက်ခိုက်သမားက နာမည်ကြီး Website တွေရဲ့ နာမည်နဲ့ ဆင်တူတဲ့ Domain တွေကို ကြိုဝယ်ထားပါတယ်။ မှားရိုက်လို့ ဖြစ်နိုင်တဲ့ ပုံစံတွေ အများကြီး ရှိပါတယ်။
စာလုံးနေရာ လွဲတာ — google.com အစား googel.com၊ facebook.com အစား faceboook.com
စာလုံးတစ်လုံး လွဲတာ — paypal.com အစား paypa1.com (l အစား 1)
စာလုံးတစ်လုံး ထပ်တာ — amazon.com အစား amazoon.com
စာလုံး ချန်တာ — microsoft.com အစား microsft.com
နောက်ဆက်တွဲ မှားတာ — youtube.com အစား youtube.co
ဒီ Domain အတုတွေမှာ ဘာတွေ ထားထားလဲဆိုတော့ အဓိက သုံးမျိုး ရှိပါတယ်။ ပထမတစ်ခုက ကြော်ငြာတွေ။ သင်ဝင်လာတာနဲ့ ကြော်ငြာတွေ ပေါ်လာပြီး Click လိုက်တိုင်း သူတို့ ပိုက်ဆံရပါတယ်။ ဒုတိယတစ်ခုက အတု Login Page။ Facebook, Gmail နဲ့ တူတဲ့ Login Page အတု ပြပြီး သင့်ရဲ့ Email နဲ့ Password ကို ခိုးယူပါတယ်။ တတိယတစ်ခုက Malware။ “ဒီ File ကို Download လုပ်ပါ” ဆိုပြီး Virus ထည့်ပေးလိုက်တာပါ။
တကယ်ဖြစ်ခဲ့တဲ့ ဥပမာတွေ
Typosquatting က စာအုပ်ထဲက သီအိုရီမဟုတ်ပါဘူး။ တကယ်ဖြစ်နေတဲ့ ပြဿနာပါ။ ဥပမာ တစ်ချိန်က google.com နဲ့ ဆင်တဲ့ goggle.com ဆိုတဲ့ Domain မှာ ကြော်ငြာတွေနဲ့ ပြည့်နေတဲ့ အတု Website ရှိခဲ့ပါတယ်။ လူတွေက ရိုက်မှားတိုင်း အဲဒီဆီ ရောက်သွားပါတယ်။
Programmer တွေအကြားမှာလည်း ဖြစ်ပါတယ်။ npm, PyPI လို Package Store တွေမှာ နာမည်ကြီး Library နဲ့ ဆင်တူတဲ့ နာမည်နဲ့ အတု Package တွေ တင်ထားပြီး Developer တွေ မှား Install မိတာကို စောင့်ပါတယ်။ ဥပမာ requests အစား reqeusts ဆိုတာမျိုး။ တစ်လုံးမှားတာနဲ့ Malware ပါတဲ့ Package ကို Install မိသွားနိုင်ပါတယ်။ ဒါကို Supply Chain Attack ဆောင်းပါးမှာ ပြောပြီးသားပါ။
Typosquatting ကနေ ဘယ်လိုကာကွယ်မလဲ?
သတင်းကောင်းက ကာကွယ်ရတာ မခက်ပါဘူး။ ဒီအချက်လေးတွေ လိုက်နာရုံနဲ့ လုံခြုံပါတယ်။
Bookmark သုံးပါ — မကြာခဏဝင်တဲ့ Website တွေကို Bookmark လုပ်ထားပါ။ URL ကို လက်နဲ့ ရိုက်စရာမလိုတော့ပါဘူး။ မှားရိုက်စရာ မရှိတော့ပါဘူး။
Password Manager သုံးပါ — Bitwarden လို Password Manager က Website အစစ်မှာပဲ Password ကို အလိုလို ဖြည့်ပေးပါတယ်။ အတု Website မှာ ဖြည့်မပေးပါဘူး။ ဒါက အတုနဲ့အစစ်ကို ခွဲခြားပေးတဲ့ အကောင်းဆုံးနည်းလမ်းတွေထဲက တစ်ခုပါ။
URL ကို သေချာဖတ်ပါ — Login မဝင်ခင် Address Bar ကို တစ်ချက်ကြည့်ပါ။ စာလုံးပေါင်း မှန်ရဲ့လား၊ .com လား .co လား၊ နောက်ဆက်တွဲ မှားနေလား စစ်ပါ။
Search Engine ကနေ ဝင်ပါ — URL ကို ကိုယ်တိုင်ရိုက်မယ့်အစား Google မှာ ရှာပြီး အဲဒီကနေဝင်တာ ပိုလုံခြုံပါတယ်။
HTTPS ရှိတိုင်းမယုံနဲ့ — သော့ခလောက် Icon ရှိတာက ဆက်သွယ်မှုကို ကုဒ်နဲ့ ဖုံးထားတာပဲ ပြောတာပါ။ Website အစစ်ဖြစ်ကြောင်း အာမမခံပါဘူး။ အတု Website တွေမှာလည်း HTTPS ရှိနိုင်ပါတယ်။
ဖုန်းမှာရော ဖြစ်နိုင်လား?
ဖြစ်နိုင်ပါတယ်။ App Store တွေမှာလည်း Typosquatting ရှိပါတယ်။ နာမည်ကြီး App နဲ့ ဆင်တူတဲ့ နာမည်နဲ့ အတု App တွေ တင်ထားပါတယ်။ ဥပမာ “WhatsApp” အစား “Whatsapp” လို့ ရေးတာမျိုး၊ Icon ကို ဆင်တူအောင် လုပ်ထားတာမျိုး။ Download မလုပ်ခင် Developer နာမည်၊ Download အရေအတွက်၊ Review တွေကို စစ်ပါ။ နာမည်ကြီး App ဆိုရင် Download သန်းချီရှိရပါမယ်။ Download နည်းနည်းပဲ ရှိတဲ့ App ကို သတိထားပါ။
ရိုက်မှားမိရင် ဘာလုပ်ရမလဲ?
စိတ်မပူပါနဲ့။ ရိုက်မှားရုံနဲ့ ဘာမှ မဖြစ်ပါဘူး။ အရေးကြီးတာက အဲဒီအတု Website မှာ ဘာမှ မလုပ်မိဖို့ပါ။
Password, OTP, ဘဏ်အချက်အလက် ဘာမှ မရိုက်ထည့်နဲ့
File တစ်ခုမှ Download မလုပ်နဲ့
“Allow” “Download” ဆိုတဲ့ Button တွေ မနှိပ်နဲ့
Browser Tab ကို ချက်ချင်းပိတ်ပြီး အစစ် Website ကို Bookmark ဒါမှမဟုတ် Search ကနေ ပြန်ဝင်ပါ
မှားရိုက်မိတာက လူတိုင်းဖြစ်တတ်တဲ့ အမှားပါ။ တိုက်ခိုက်သမားတွေက ဒီအမှားလေးကိုပဲ စောင့်နေတာပါ။ URL ကို တစ်ချက်ကြည့်တဲ့ အကျင့်လေးတစ်ခုက သင့်ရဲ့ Password နဲ့ ပိုက်ဆံကို ကာကွယ်ပေးနိုင်ပါတယ်။ 🙂
—
