ভুয়া casino site, clone domain, phishing link ও APK যাচাই

Address bar-সহ প্রথম capture নিন

Message বা বিজ্ঞাপনের link tap করার আগে long-press বা copy করে destination লিখুন। Shortener, tracking URL, redirect এবং final hostname আলাদা রাখুন। Mobile browser address bar লুকালে scroll করে দেখান বা share-sheet থেকে full URL নিন। Screenshot-এর বাইরে text file-এ URL রাখুন যাতে search, comparison ও authority submission করা যায়। Unicode lookalike, extra hyphen, swapped letter, unfamiliar subdomain এবং misleading path লক্ষ্য করুন।

Domain registration age বা TLS padlock safety verdict নয়। HTTPS শুধু connection encryption বোঝাতে পারে; controller identity, licence বা clean software প্রমাণ করে না। WHOIS privacy-ও scam verdict নয়। Stronger evidence হলো authority advisory, confirmed brand ownership, registrar or hosting action, malware analysis এবং reproducible redirect. প্রতিটি source-এর date ও exact domain scope লিখুন।

একটি official advisory-কে তার named scope-এর মধ্যে রাখুন

BGD e-GOV CIRT ১৭ মে ২০২৬-এর advisory-তে Bangladesh-targeting AsyncRAT campaign, fraudulent gambling infrastructure, স্থানীয় payment lure এবং ck44jili[.]com-কে command-and-control node হিসেবে বর্ণনা করেছে। Advisory malicious executable, scheduled-task persistence এবং credential/financial risk-এর mitigation দেয়। এটি official technical finding, user allegation নয়।

কিন্তু ওই finding অন্য jili-like name, mirror, affiliate page বা unrelated casino-তে automatic ভাবে লাগানো যাবে না। Indicator exact match, date এবং authority wording preserve করতে হবে। Domain defang করে লিখুন যাতে accidental click না হয়। Page-এ operator link clickable নয়; official advisory clickable citation হতে পারে।

প্রমাণ নিতে গিয়ে malware চালু রাখবেন না

File execute করা বা infected device দিয়ে আরও login করা evidence collection নয়; এতে ক্ষতি বাড়তে পারে। Network disconnect, sensitive session review এবং clean device থেকে password reset অগ্রাধিকার পেতে পারে। Suspicious app uninstall-এর আগে app name, package, permissions, installation source ও time লিখুন। Enterprise বা high-value account হলে professional incident response নিন।

CIRT report form affected domain/IP, logs or evidence archive, incident type, discovery, attack vector, ongoing status, impact এবং steps taken-এর fields দেখায়। শুধু screenshot নয়, concise chronology দিন। Evidence archive-এ malware রাখলে authority instruction অনুসরণ করুন; email বা এই site-এর contact form-এ executable attach করবেন না।

Clone-এর কাজ আসল brand-কে আরোপ করবেন না

একটি site আসল brand-এর logo নকল করলে brand victim-ও হতে পারে। Domain control, shared infrastructure, official acknowledgement বা other relationship evidence ছাড়া clone-এর payment, malware বা support conduct আসল entity-র বলে লিখবেন না। একইভাবে brand denial একা decisive নয়; authority or technical evidence দিয়ে মিলান।

User report-এ ‘আমি এই URL দেখেছি’, ‘এই file download হয়েছে’ ও ‘device alert এসেছে’ fact হিসেবে লেখা যায়। ‘Brand আমার phone hack করেছে’ attribution claim; controller evidence ছাড়া publish blocked। এই distinction complaint-কে দুর্বল করে না—বরং authority-কে actual indicators দেয়।

Dangerous link পুনরায় খুলে evidence নেবেন না

Original message, exported chat, browser history ও security alert থেকে URL পাওয়া গেলে infected page আবার visit করা প্রয়োজন নেই। Screenshot missing হলেও contemporaneous message ও device log useful হতে পারে। Authority safe collection চাইলে তাদের instruction follow করুন; নিজে malware analysis করবেন না।

Link report করার পরে social platform remove করলে removal time লিখুন। Content unavailable হওয়া prior observation মুছে দেয় না, আবার malicious findingও নিজে প্রমাণ করে না।

Link কোথা থেকে এসেছে সেটিও evidence

Facebook page, SMS sender, group post, search advertisement বা referral message-এর নাম, সময় ও ad library identifier পাওয়া গেলে লিখুন। Landing domain পরে বদলালেও referral source campaign relationship খুঁজতে সাহায্য করতে পারে। Public report-এ innocent group member বা contact-এর personal data ঢেকে দিন।

Advertisement report accepted বা removed হলে platform reference রাখুন। Removal technical malware finding নয়; এটি moderation event।

বিশেষজ্ঞকে reproducible indicator দিন

CIRT বা security team-কে report করার সময় domain, path, first and last seen time, redirect destination, download filename, hash যদি নিরাপদে পাওয়া যায়, device warning এবং impact দিন। Password, OTP, wallet PIN বা full identity image attachment করবেন না। Harmless screenshot ও raw suspicious file এক attachment হিসেবে মেশাবেন না। Team malware sample চাইলে তাদের approved secure transfer instruction নিন। DNS বা hosting coincidence public attribution-এর জন্য যথেষ্ট নয়। Takedown হলে who acted, timestamp ও reference লিখুন; এটি controller identity বা criminal intent-এর final proof নয়।