اگر آپ کو چیٹ جی پی ٹی کی مفت سبسکرپشن یا کسی اے آئی کمپنی کی خصوصی تقریب کی دعوت ملے تو لاگ اِن کرنے سے پہلے خود کمپنی کی آفیشل ویب سائٹ پر ایونٹ تلاش کریں۔ سکیورٹی کمپنی پُش سکیورٹی (Push Security) کے محققین نے ایسے جعلی رجسٹریشن صفحات کی نشاندہی کی ہے جو گوگل اور مائیکروسافٹ اکاؤنٹس تک رسائی حاصل کرنے کی کوشش کرتے ہیں۔
محققین کی 5 نومبر 2026 کی رپورٹ کے مطابق ان صفحات پر اوپن اے آئی، اسپیس ایکس اور اینتھراپک کے نام استعمال کیے گئے۔ یہ رپورٹ مشاہدہ کیے گئے مخصوص حملوں کے بارے میں ہے؛ اس کا مطلب یہ نہیں کہ ان کمپنیوں کے تمام ایونٹس یا دعوت نامے جعلی ہیں۔
دعوت سے اکاؤنٹ تک راستہ کیسے بنتا ہے؟
رپورٹ کے مطابق حملہ آور ای میل میں ایک ایونٹ کا لنک بھیجتے تھے۔ ایک مثال میں مفت چیٹ جی پی ٹی پرو کے 3 مہینے دینے کا وعدہ کیا گیا۔ صفحہ کھولنے پر صارف کو کام والا گوگل یا مائیکروسافٹ اکاؤنٹ استعمال کرکے لاگ اِن کرنے کو کہا جاتا تھا۔
ایسا صفحہ اصل دعوت یا سائن اِن اسکرین جیسا دکھ سکتا ہے۔ محققین نے بتایا کہ بعض صورتوں میں حملہ آور سائن اِن کا عمل آگے منتقل کرکے پاس ورڈ اور سیشن تک رسائی حاصل کرنے کی کوشش کرتے تھے۔ ایک اور طریقے میں صارف سے ڈیوائس کوڈ منظور کروایا جاتا تھا۔
اہم بات: دو مرحلوں کی تصدیق مفید ہے، لیکن اس رپورٹ میں بیان کردہ بعض حملے تصدیقی عمل کو بھی دھوکے سے استعمال کرنے کی کوشش کرتے ہیں۔ اس لیے صرف تصدیقی پیغام آنے کو دعوت کے اصلی ہونے کی دلیل نہ سمجھیں۔
دعوت اصلی ہے یا نہیں، کیسے جانچیں؟
پہلے ای میل کے لنک پر لاگ اِن کرنے کے بجائے اپنے براؤزر میں کمپنی کی آفیشل ویب سائٹ خود کھولیں اور اسی نام، تاریخ اور مقرر کے ساتھ تقریب تلاش کریں۔ اگر دعوت آپ کے دفتر کے نام پر آئی ہے تو اپنی آئی ٹی ٹیم یا منتظم سے کسی پہلے سے معلوم ذریعے پر رابطہ کریں۔
رجسٹریشن صفحے کے پتے کو غور سے پڑھیں۔ کمپنی کا نام کسی لمبے پتے میں لکھا ہونا اکیلا ثبوت نہیں کہ صفحہ اسی کمپنی کا ہے۔ مختصر لنک یا اصل نظر آنے والا دعوت نامہ بھی خود بخود محفوظ ہونے کی ضمانت نہیں دیتا؛ پُش سکیورٹی کے مطابق اس مہم میں لنک مختصر کرنے کی خدمات بھی استعمال ہوئیں۔
اگر صفحہ کسی کوڈ کو کاپی کرکے دوسری جگہ درج کرنے یا ایسی سائن اِن درخواست منظور کرنے کو کہے جسے آپ نے خود شروع نہیں کیا، تو رک جائیں اور منتظم یا اپنی آئی ٹی ٹیم سے تصدیق کریں۔ مفت انعام کی پیش کش جلدی فیصلہ کرنے کی وجہ نہیں ہونی چاہیے۔
اگر آپ لاگ اِن کر چکے ہیں تو کیا کریں؟
اگر آپ نے مشکوک صفحے پر پاس ورڈ درج کیا، سائن اِن کی درخواست منظور کی یا ڈیوائس کوڈ استعمال کیا ہے، تو فوراً متعلقہ اکاؤنٹ کی آفیشل سکیورٹی ہدایات کھولیں۔ اگر یہ کام کا اکاؤنٹ ہے تو اپنی آئی ٹی ٹیم کو فوراً اطلاع دیں؛ وہ سیشن اور رسائی کی جانچ میں مدد دے سکتی ہے۔
گوگل اکاؤنٹ کے لیے آفیشل ہدایات کے مطابق اپنا اکاؤنٹ کھولیں، Security & sign-in میں جائیں اور Recent security events اور Your devices → Manage devices دیکھیں۔ نامعلوم سرگرمی یا ڈیوائس ملے تو اسکرین پر دی گئی ہدایات سے اکاؤنٹ محفوظ کریں۔ پاس ورڈ تبدیل کریں اور جہاں یہی پاس ورڈ دوبارہ استعمال ہوا ہے وہاں بھی اسے بدلیں۔ اگر سائن اِن نہیں ہو رہا تو گوگل کے آفیشل بحالی کے عمل سے شروع کریں۔ گوگل کی اکاؤنٹ سکیورٹی گائیڈ
مائیکروسافٹ اکاؤنٹ تک رسائی نہ ملے تو اس کا آفیشل اکاؤنٹ بحالی فارم دیکھیں۔ اکاؤنٹ کی نوعیت اور موجودہ رسائی کے مطابق بحالی کے مراحل مختلف ہو سکتے ہیں۔
آئندہ کے لیے دو مرحلوں کی تصدیق فعال رکھیں، مگر کسی غیر متوقع درخواست یا کوڈ کو بغیر جانچے منظور نہ کریں۔ اگر کسی دعوت کے بارے میں شک ہے تو اصل کمپنی کی ویب سائٹ یا قابلِ اعتماد رابطے سے تصدیق ہی پہلا قدم ہے۔
سرورق ایک تصوراتی تصویر ہے۔
