নকল অ্যাফিলিয়েট ওয়েবসাইট কীভাবে চিহ্নিত করবেন এবং এড়াবেন: আপনার ট্রাফিক ও ক্রেডেনশিয়াল সুরক্ষা

ক্যাটাগরি: অ্যাফিলিয়েট অ্যাকাউন্ট ও নিরাপত্তা
প্রাইমারি কীওয়ার্ড: fake affiliate website
টার্গেট অডিয়েন্স: B2B পারফরম্যান্স পাবলিশার, SEO পেশাদার, iGaming অ্যাফিলিয়েট

১. ক্লোন ও ফিশিং অ্যাফিলিয়েট পোর্টালের হুমকি-দৃশ্যপট

iGaming অ্যাফিলিয়েট সাপ্লাই চেইন ক্রেডেনশিয়াল-হারভেস্টিং অবকাঠামোর প্রতি অনন্যভাবে উন্মোচিত, কারণ একটি একক আপসকৃত প্রকাশক (publisher) অ্যাকাউন্টের মূল্য-ঘনত্ব অসাধারণভাবে উচ্চ। মাসিক ৫,০০০ FTD-সহ একটি মিড-টিয়ার অ্যাফিলিয়েট অ্যাকাউন্টের আজীবন কমিশন-প্রবাহ একজন আক্রমণকারী ২৪–৭২ ঘণ্টার মধ্যে ট্যাগ প্রতিস্থাপন, পেমেন্ট-বিবরণ পরিবর্তন এবং নেগেটিভ-ক্যারি ম্যানিপুলেশনের মাধ্যমে নিষ্কাশন করতে পারে। এই পৃষ্ঠতল লক্ষ্য করে তৈরি ক্লোন ও ফিশিং পোর্টাল সুবিধাবাদী নয়; এগুলো আন্ডারগ্রাউন্ড মার্কেটে কিট হিসেবে বিক্রীত প্রকৌশলী পণ্য — ব্র্যান্ড-নিখুঁত CSS, কার্যকর লগইন প্রবাহ এবং ব্যাকএন্ড এক্সফিলট্রেশন পাইপলাইনসহ সম্পূর্ণ।

১.১ ক্লোন পোর্টালের গঠন-প্রকৃতি

একটি ক্লোন পোর্টাল একটি বৈধ অ্যাফিলিয়েট ড্যাশবোর্ডের (Affilka, NetRefer, Cellxpert, MyAffiliates, Income Access) ভিজ্যুয়াল ও কার্যকরী স্তর প্রতিলিপি করে, একই সঙ্গে সমস্ত প্রমাণীকরণ পেলোড আক্রমণকারী-নিয়ন্ত্রিত কালেক্টরের কাছে রুট করে। সাধারণ কিল চেইন:

রেকনায়েন্স পাবলিক অ্যাফিলিয়েট ডিরেক্টরি, LinkedIn প্রকাশ এবং ফাঁস হওয়া পার্টনার তালিকার উপর নির্ভর করে। অ্যাসেট হারভেস্টিং সরাসরি লক্ষ্যের CDN থেকে লোগো, ফ্যাভিকন হ্যাশ এবং CSS বান্ডল টেনে নেয়। স্থাপন সাধারণত ধীরগতির অ্যাবিউজ টেকডাউনযুক্ত এখতিয়ারে বুলেটপ্রুফ হোস্টিং ব্যবহার করে (RU, VN, PA-এর ASN)। ক্লোনটি প্রায়শই প্রমাণীকরণ-পরবর্তী প্রকৃত লগইন এন্ডপয়েন্ট প্রক্সি করে, যাতে ভিকটিম একটি কার্যকর ড্যাশবোর্ড দেখতে পায় — এই “পাস-থ্রু” নকশা সাধারণ পরিদর্শনকে ব্যর্থ করে, কারণ প্রকাশকের প্রকৃত পরিসংখ্যান সঠিকভাবে রেন্ডার হয়।

১.২ ডোমেইন আক্রমণ ভেক্টর

টাইপো-স্কোয়াটিং একক-অক্ষরের ত্রুটি কাজে লাগায়: bet365affiliates.com বনাম bet365affilates.com, অক্ষর বিনিময়, বা দ্বিগুণ ব্যঞ্জনবর্ণ। নিবন্ধন খরচ নগণ্য; ভুল টাইপ করা সরাসরি নেভিগেশনে কনভার্শন হার পরিমাপযোগ্য।

কম্বোট-স্কোয়াটিং বিশ্বাসযোগ্যতা তৈরি করতে ব্র্যান্ড স্ট্রিংয়ে বৈধ-শোনানো টোকেন যোগ করে: brand-affiliates-login.com, brand-partners-portal.net, brand-affiliate-dashboard.io। এই ডোমেইনগুলো মানুষের বিশ্বাসযোগ্যতা যাচাই পাস করে, কারণ এগুলো প্রকৃত প্রোগ্রামের ব্যবহৃত নামকরণ রীতি অনুকরণ করে।

হোমোগ্রাফ আক্রমণ দৃশ্যত অভিন্ন ইউনিকোড গ্লিফ প্রতিস্থাপন করে — ল্যাটিন a-এর জন্য সিরিলিক а (U+0430), o-এর জন্য গ্রিক ο (U+03BF), বা সম্পূর্ণ IDN পুনিকোড ডোমেইন। аffiliаte-brаnd.com-এর মতো একটি ডোমেইন অধিকাংশ ব্রাউজার অ্যাড্রেস বারে অভিন্নভাবে রেন্ডার হয় কিন্তু আক্রমণকারী অবকাঠামোতে রিজলভ করে। পুনিকোড (xn--...) DNS স্তরে একমাত্র নির্ভরযোগ্য শনাক্তকরণ ভেক্টর।

১.৩ সার্চ ইঞ্জিন বিজ্ঞাপন ক্লোকিং

প্রতারকরা ব্র্যান্ডেড অ্যাফিলিয়েট-প্রোগ্রাম কীওয়ার্ডে ([brand] affiliate login, [brand] partners sign up) বিড করে এবং এমন বিজ্ঞাপন চালায় যার ডিসপ্লে URL বৈধ ডোমেইন দেখায় কিন্তু ক্লিক-থ্রু URL ক্লোনে রিজলভ করে। Google Ads ডিসপ্লে-URL স্পুফিং (২০১৯-পূর্ব নীতি-ফাঁক কিছু আঞ্চলিক বিজ্ঞাপন নেটওয়ার্কে টিকে আছে) এবং ক্লোকিং — বিজ্ঞাপন-পর্যালোচনা ক্রলারকে নিরীহ কন্টেন্ট এবং মানুষের ট্রাফিককে ইউজার-এজেন্ট, IP সুনাম বা রেফারারের ভিত্তিতে ফিশিং পেজ পরিবেশন — এই ক্যাম্পেইনগুলোকে সপ্তাহব্যাপী টিকিয়ে রাখে। অর্থনৈতিক যুক্তি সরাসরি: যে প্রকাশক তার প্রোগ্রামের লগইন খুঁজছেন তিনিই সর্বোচ্চ-উদ্দেশ্যপ্রণোদিত, সর্বনিম্ন-ঘর্ষণযুক্ত ভিকটিম।

১.৪ ট্রাফিক ইন্টারসেপশন মডেল

পাস-থ্রু প্রকরণটি সবচেয়ে বিপজ্জনক, কারণ ভিকটিমের লগইন-পরবর্তী অভিজ্ঞতা প্রামাণিক। তাই শনাক্তকরণ অবশ্যই ক্রেডেনশিয়াল জমা দেওয়ার আগে — ডোমেইন, সার্টিফিকেট এবং DNS স্তরে — ঘটতে হবে, পরে নয়। পরবর্তী অংশ ২-এ সেই যাচাইকরণ প্রোটোকল বিস্তারিত যা এই প্রি-অথেনটিকেশন গেটকে কার্যকর করে।

২. ডোমেইন অথেনটিকেশন: SSL সার্টিফিকেট, WHOIS ডেটা এবং অফিসিয়াল নেমসার্ভার যাচাই

যেকোনো অ্যাফিলিয়েট অনবোর্ডিং ওয়ার্কফ্লোতে ডোমেইন অথেনটিকেশন হলো প্রথম কঠোর গেট। ব্রাউজার ক্রোমে থাকা প্যাডলক আইকন কেবল প্রমাণ করে যে কোনো একটি সার্টিফিকেটের বিপরীতে একটি TLS হ্যান্ডশেক সফল হয়েছে — এটি ডোমেইনের পেছনের প্রতিষ্ঠানটি বৈধ অপারেটর কিনা সে সম্পর্কে কিছুই বলে না। টাইপোসকোয়াটাররা bet365-partners[.]com বা 1xbet-affiliates[.]net রেজিস্টার করার কয়েক মিনিটের মধ্যেই Let’s Encrypt-এর মাধ্যমে বিনামূল্যে DV সার্টিফিকেট প্রোভিশন করে, আর সেই সবুজ প্যাডলকই হয়ে ওঠে সোশ্যাল-ইঞ্জিনিয়ারিং পেলোড। তাই পাবলিশার্সদের অবশ্যই সার্টিফিকেট ইন্সপেকশন, WHOIS জিজ্ঞাসাবাদ এবং DNS পলিসি ভ্যালিডেশনকে তিনটি স্বতন্ত্র, অপরিবর্তনীয় চেক হিসেবে বিবেচনা করতে হবে। যেকোনো একটি অক্ষে ব্যর্থতা অযোগ্যতার কারণ।

২.১ X.509 সার্টিফিকেট ফরেনসিকস এবং সার্টিফিকেট ট্রান্সপারেন্সি

ব্রাউজার UI নয়, শুরু করুন লিফ সার্টিফিকেট দিয়ে। OpenSSL-এর মাধ্যমে সম্পূর্ণ চেইন এক্সট্রাক্ট করুন এবং Subject Common Name (CN) এবং সবচেয়ে গুরুত্বপূর্ণভাবে Subject Alternative Name (SAN) এক্সটেনশন পরিদর্শন করুন। বৈধ এন্টারপ্রাইজ অ্যাফিলিয়েট পোর্টাল এমন সার্টিফিকেট ইস্যু করে যার CN অ্যাপেক্স ডোমেইনের সাথে মেলে এবং SAN তালিকা সংকীর্ণভাবে সীমাবদ্ধ থাকে (যেমন, partners.bet365.com, affiliates.bet365.com)। ক্লোন সাইটগুলোতে প্রায়শই SAN স্প্রল দেখা যায় — একটি একক সার্টিফিকেটে ডজনখানেক সম্পর্কহীন জুয়া ব্র্যান্ড কভার করা একটি শেয়ার্ড হোস্টিং ক্লাস্টার জুড়ে ডিপ্লয় করা ফিশিং কিটের বৈশিষ্ট্য।

openssl s_client -connect partners.example-affiliate.com:443 -servername partners.example-affiliate.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName
openssl s_client -showcerts -connect partners.example-affiliate.com:443 </dev/null 2>/dev/null

সার্টিফিকেটটি Certificate Transparency (CT) লগ-এর বিপরীতে ক্রস-রেফারেন্স করুন। প্রতিটি পাবলিকলি ট্রাস্টেড সার্টিফিকেট লগ করা হয়; অ্যাপেক্স ডোমেইনের জন্য crt.sh-এ কোয়েরি করলে সম্পূর্ণ ইস্যুয়েন্স হিস্ট্রি প্রকাশ পায়। একটি বৈধ অপারেটর সাবডোমেইন জুড়ে একটি সুসংগত, বছরের পর বছর ধরে চলা ইস্যুয়েন্স ক্যাডেন্স দেখায়। একটি ক্লোন দেখায় কয়েক দিন আগে ইস্যু করা একটি একক সার্টিফিকেট, প্রায়শই একটি DV-শুধু CA দ্বারা, কোনো ঐতিহাসিক ধারাবাহিকতা ছাড়াই। issuer O/CN-এ মনোযোগ দিন: এন্টারপ্রাইজ পোর্টাল সাধারণত DigiCert, Sectigo বা GlobalSign থেকে OV বা EV সার্টিফিকেট ব্যবহার করে, যেখানে Organization ফিল্ড পূরণ করা এবং ভ্যালিডেট করা থাকে। একটি “পার্টনার পোর্টাল”-এ খালি O ফিল্ড একটি রেড ফ্ল্যাগ।

২.২ অথরিটেটিভ WHOIS এবং রেজিস্ট্রার মেটাডেটা

WHOIS কোনো একক সত্যের উৎস নয় — এটি একটি হায়ারার্কি। প্রথমে TLD-এর জন্য রেজিস্ট্রি (থিন) WHOIS কোয়েরি করে স্পনসরিং রেজিস্ট্রার শনাক্ত করুন, তারপর রেজিস্ট্র্যান্টের বিস্তারিত তথ্যের জন্য রেজিস্ট্রার (থিক) WHOIS কোয়েরি করুন। নির্ণায়ক ফিল্ড হলো Creation Date, এক্সপায়ারেশন নয়। ক্ষতিকর ক্লোনগুলো প্রায় সবসময়ই যে ক্যাম্পেইনের ছদ্মবেশ ধারণ করে তার ৯০ দিনের মধ্যে রেজিস্টার করা হয়। যে ডোমেইন “অফিসিয়াল Bet365 অ্যাফিলিয়েট প্রোগ্রাম” বলে দাবি করে অথচ তার creation date তিন সপ্তাহ আগের, তা সংজ্ঞা অনুযায়ী প্রতারণামূলক।

whois -h whois.verisign-grs.com example-affiliate.com | grep -Ei 'creation|registrar:|name server'
whois example-affiliate.com | grep -Ei 'registrant|creation|updated|admin'

রেজিস্ট্র্যান্ট রিড্যাকশন পজিশন মূল্যায়ন করুন। GDPR-পরবর্তী সময়েও বৈধ অপারেটররা রেজিস্ট্রারের ভ্যালিডেটেড ফিল্ডের মাধ্যমে বা কর্পোরেট WHOIS প্রক্সির (যেমন, MarkMonitor, CSC Corporate Domains) মাধ্যমে সাংগঠনিক পরিচয় প্রকাশ করে। ক্লোনগুলো WithheldforPrivacy বা Njalla-র মতো প্রাইভেসি সার্ভিসের আড়ালে লুকায় — যা ব্যক্তিগত ব্লগের জন্য গ্রহণযোগ্য, কিন্তু লাইসেন্সপ্রাপ্ত অপারেটরের পার্টনার পোর্টালের জন্য অস্বাভাবিক। রেজিস্ট্রার সুনাম-ও পরিদর্শন করুন: এন্টারপ্রাইজ ব্র্যান্ডগুলো কর্পোরেট রেজিস্ট্রারে একত্রিত হয়; ক্লোনগুলো উচ্চ অপব্যবহার অনুপাতযুক্ত বাজেট রেজিস্ট্রারে (Namecheap, Hostinger, Alibaba Cloud) ক্লাস্টার করে।

২.৩ DNS পলিসি: CAA, DNSSEC এবং নেমসার্ভার সামঞ্জস্য

CAA রেকর্ড ঘোষণা করে কোন CA-গুলো একটি ডোমেইনের জন্য ইস্যু করার অনুমোদনপ্রাপ্ত। একটি বৈধ অপারেটর একটি সীমাবদ্ধ CAA সেট প্রকাশ করে; একটি ক্লোন সাধারণত কোনোটি প্রকাশ করে না, যেকোনো CA-কে ইস্যু করার অনুমতি দেয়। সরাসরি কোয়েরি করুন:

dig +short CAA example-affiliate.com
dig +short DS example-affiliate.com
dig +dnssec +short A partners.example-affiliate.com

DNSSEC ভ্যালিডেশন নিশ্চিত করে যে DNS উত্তরটি ট্রানজিটে স্পুফ করা হয়নি। প্যারেন্ট জোনে DS রেকর্ডের অনুপস্থিতি স্বয়ংক্রিয়ভাবে অযোগ্যকারী নয় (অনেক বৈধ অপারেটর পিছিয়ে আছে), কিন্তু একটি ভাঙা চেইন — DS উপস্থিত, RRSIG অবৈধ — সক্রিয় ট্যাম্পারিং বা হাইজ্যাক করা জোনের সাথে সামঞ্জস্যপূর্ণ মিসকনফিগারেশন নির্দেশ করে।

নেমসার্ভার সামঞ্জস্য হলো সবচেয়ে শক্তিশালী কাঠামোগত সংকেত। বৈধ এন্টারপ্রাইজ পোর্টাল ব্র্যান্ডেড বা এন্টারপ্রাইজ DNS প্রোভাইডারে (Cloudflare Enterprise, Akamai, AWS Route 53, UltraDNS) ডেলিগেট করে যার নেমসার্ভার প্যারেন্ট ব্র্যান্ডের ডেলিগেশনের সাথে মেলে। ক্লোনগুলো রেজিস্ট্রারের ডিফল্ট নেমসার্ভারে (dns1.registrar-servers.com) বা ডজনখানেক স্ক্যাম ডোমেইন জুড়ে পুনঃব্যবহৃত শেয়ার্ড হোস্টিং NS পেয়ারে ডেলিগেট করে। সন্দেহভাজন ডোমেইনের NS সেটকে জানা-ভালো অ্যাপেক্স ডোমেইনের NS সেটের সাথে তুলনা করুন — বিচ্যুতিই নির্ণায়ক।

২.৪ তুলনামূলক অথেনটিকেশন ম্যাট্রিক্স

HTTP হেডার ফিঙ্গারপ্রিন্টিং DNS প্রমাণের পরিপূরক। বৈধ পোর্টাল একটি CDN/WAF-এ (Cloudflare, Akamai, Imperva) টার্মিনেট করে এবং হার্ডেনড সিকিউরিটি হেডার নির্গত করে — preload সহ Strict-Transport-Security, একটি কঠোর Content-Security-Policy, এবং X-Frame-Options: DENY। ক্লোনগুলো অরিজিন ইনফ্রাস্ট্রাকচার ফাঁস করে: খালি Server ব্যানার, X-Powered-By PHP ভার্সন, এবং অনুপস্থিত HSTS। curl -sI https://suspect-domain দিয়ে হেডার ক্যাপচার করুন এবং জানা-ভালো অ্যাপেক্সের সাথে ডিফ করুন। উপরের চারটি অক্ষ জুড়ে যেকোনো বিচ্যুতি — সার্টিফিকেট প্রোভেন্যান্স, ডোমেইন বয়স, নেমসার্ভার ডেলিগেশন এবং হেডার পজিশন — ক্রেডেনশিয়াল এন্ট্রি বা ট্রাফিক রিডাইরেকশনের আগে একটি কঠোর স্টপ বাধ্যতামূলক করে।

৩. ক্রেডেনশিয়াল হারভেস্টিং মেকানিক্স: ভুয়া লগইন প্রম্পট ও ইন্টারসেপ্টেড ওয়েবহুক

অ্যাফিলিয়েট ফিশিং স্ট্যাটিক HTML ক্লোনের সীমা ছাড়িয়ে অনেক দূর এগিয়েছে। পাবলিশার ড্যাশবোর্ড, অ্যাফিলিয়েট নেটওয়ার্ক এবং ট্র্যাকিং প্ল্যাটফর্মের বিরুদ্ধে আধুনিক ক্রেডেনশিয়াল হারভেস্টিং নির্ভর করে অ্যাডভার্সারি-ইন-দ্য-মিডল (AiTM) রিভার্স প্রক্সি এবং ওয়েবহুক স্পুফিং-এর উপর — এমন কৌশল যা TOTP/SMS OTP-কে পরাজিত করে এবং নীরবে পোস্টব্যাক অ্যাট্রিবিউশন নষ্ট করে। এই অংশে সেই মেকানিক্সগুলো বিশদভাবে বিশ্লেষণ করা হয়েছে।

৩.১ Evilginx-স্টাইল রিভার্স-প্রক্সি সেশন হাইজ্যাকিং

Evilginx2/3, Modlishka এবং Muraena-র মতো টুলগুলো ট্রান্সপারেন্ট রিভার্স প্রক্সি হিসেবে কাজ করে। ভিকটিম আসল আপস্ট্রিমের (যেমন affiliate-network.com) বিরুদ্ধে অথেনটিকেট করে, তাই প্রক্সি আসল TLS ট্রাফিক রিলে করে এবং একই সাথে ফলস্বরূপ সেশন কুকি ক্যাপচার করে — যা আসল বহনযোগ্য ক্রেডেনশিয়াল, পাসওয়ার্ড নয়।

কেন SMS/TOTP ব্যর্থ হয়: OTP আসল সার্ভার দ্বারা আপস্ট্রিমে ভ্যালিডেট হয়। প্রক্সি শুধু OTP চ্যালেঞ্জ এবং ভিকটিমের সঠিক উত্তর রিলে করে, তারপর MFA-পরবর্তী সেশন টোকেন ক্যাপচার করে। অ্যাটাকারের OTP-এর প্রয়োজনই হয় না — শুধু সফল MFA-র পরে তৈরি হওয়া কুকি দরকার। সেশন কুকি সাধারণত ৭–৩০ দিন বৈধ থাকে এবং প্ল্যাটফর্ম বাইন্ডিং প্রয়োগ না করলে IP-নিরপেক্ষ হয়।

ডিটেকশন সিগন্যাল: লগইন সাবডোমেইনে TLS সার্টিফিকেট ইস্যুয়ার মিসম্যাচ, লুকঅ্যালাইক অ্যাপেক্স ডোমেইনে পয়েন্ট করা Set-Cookie-এর Domain অ্যাট্রিবিউট, অপ্রত্যাশিত __cf_bm/XSRF কুকি ডুপ্লিকেশন, এবং নন-ক্যানোনিক্যাল হোস্টনেম থেকে সার্ভ করা লগইন পেজ (যেমন affiliate-network-login.com বনাম affiliate-network.com)।

৩.২ ভুয়া পাসওয়ার্ড রিসেট ট্র্যাপ

রিসেট ফ্লো টার্গেট করা হয় কারণ এগুলো প্রায়ই ম্যাজিক লিংক বা সেশন মিন্টের মাধ্যমে রিসেট-পরবর্তী ইউজারকে স্বয়ংক্রিয়ভাবে অথেনটিকেট করে। অ্যাটাকাররা লুকঅ্যালাইক ডোমেইন রেজিস্টার করে (affiliate-netw0rk.com, সিরিলিক а ব্যবহার করে IDN হোমোগ্রাফ аffiliate-network.com) এবং ভিকটিমকে আসল রিসেট ইমেইল পাঠায়, তারপর ক্লিক ইন্টারসেপ্ট করে। রিসেট টোকেন (?token=...) প্রক্সি লগে ক্যাপচার হয় এবং এর স্বল্প TTL-এর (প্রায়শই ১৫–৬০ মিনিট) মধ্যে রিপ্লে করা হয়। যেহেতু রিসেট এন্ডপয়েন্ট প্রায়ই নতুন সেশন কুকি ইস্যু করে, এটি একটি একক-রিকোয়েস্ট অ্যাকাউন্ট টেকওভার যা পাসওয়ার্ড জানার প্রয়োজন নেই।

৩.৩ ইন্টারসেপ্টেড ট্র্যাকিং ওয়েবহুক (পোস্টব্যাক স্পুফিং)

অ্যাফিলিয়েট পোস্টব্যাক (/postback?clickid={click_id}&payout={payout}&status={status}) প্রায়শই আনঅথেনটিকেটেড থাকে বা শুধু একটি স্ট্যাটিক secret কোয়েরি প্যারাম দিয়ে সুরক্ষিত থাকে। যে অ্যাটাকাররা সিক্রেট পায় — লিক হওয়া JS, উন্মুক্ত .env, বা কম্প্রোমাইজড সাব-অ্যাকাউন্টের মাধ্যমে — তারা কনভার্সন জাল করতে বা বৈধ কনভার্সন দমন করতে পারে:

প্রতিরোধ: সার্ভার-সাইড সিক্রেট দিয়ে সম্পূর্ণ প্যারামিটার সেটের উপর HMAC-SHA256 সিগনেচার প্রয়োগ করুন, ইস্যু করা ID-র অ্যালাউলিস্টের বিরুদ্ধে clickid ভ্যালিডেট করুন, নন্স + টাইমস্ট্যাম্প উইন্ডো (±৩০০ সেকেন্ড) দিয়ে রিপ্লে প্রত্যাখ্যান করুন, এবং পোস্টব্যাক ইগ্রেস পরিচিত IP রেঞ্জে পিন করুন।

৩.৪ কাঠামোগত সমাধান হিসেবে হার্ডওয়্যার-ব্যাকড FIDO2/WebAuthn

AiTM প্রক্সি সফল হয় কারণ সেশন কুকি বহনযোগ্য টোকেন — দখল মানেই অ্যাক্সেস। FIDO2/WebAuthn এই শ্রেণির অ্যাটাক দূর করে কারণ ক্রেডেনশিয়াল অরিজিন-বাউন্ড এবং হার্ডওয়্যার দ্বারা ক্রিপ্টোগ্রাফিকভাবে সাইন করা (YubiKey, প্ল্যাটফর্ম TPM, Secure Enclave):

• অথেনটিকেটর RP ID (affiliate-network.com) সম্বলিত একটি চ্যালেঞ্জ সাইন করে। evil.example-এ থাকা প্রক্সি বৈধ অ্যাসারশন পেতে পারে না — ব্রাউজার নন-ম্যাচিং অরিজিনে ক্রেডেনশিয়াল প্রকাশ করতে অস্বীকার করে।
• প্রাইভেট কী কখনো সিকিউর এলিমেন্ট ছাড়ে না; ফিশ বা রিপ্লে করার মতো কোনো শেয়ার্ড সিক্রেট নেই।
• পাসকি সেশনকে হার্ডওয়্যারে বাইন্ড করে, তাই সংবেদনশীল অ্যাকশনে (পেআউট পরিবর্তন, API কী রোটেশন) প্ল্যাটফর্ম স্টেপ-আপ রি-অথেনটিকেশন প্রয়োগ করলে ক্যাপচার করা কুকিও নতুন WebAuthn অ্যাসারশন ছাড়া রিপ্লে করা যায় না।

ডিপ্লয়মেন্ট চেকলিস্ট: userVerification: "required" প্রয়োগ করুন, পাসকির জন্য residentKey: "required" সেট করুন, যেখানে সম্ভব ডিভাইস অ্যাটেস্টেশনে সেশন বাইন্ড করুন, এবং যেকোনো পোস্টব্যাক-সিক্রেট বা পেআউট-ডেস্টিনেশন পরিবর্তনের জন্য WebAuthn স্টেপ-আপ বাধ্যতামূলক করুন। পাবলিশারদের উচিত প্রতিটি অ্যাফিলিয়েট/নেটওয়ার্ক লগইনে WebAuthn সাপোর্ট অডিট করা এবং ট্রাফিক বা রেভিনিউ ডেটা ধারণকারী অ্যাকাউন্টের জন্য শুধু-SMS MFA-কে নন-কমপ্লায়েন্ট হিসেবে গণ্য করা।

৪. ট্র্যাকিং রিডাইরেক্ট অডিটিং: সাব-অ্যাফিলিয়েট কুকি হাইজ্যাকিং এবং ট্রাফিক চুরি প্রতিরোধ

অ্যাফিলিয়েট ট্র্যাকিং লিংকগুলো ডিজাইনগতভাবেই ওপেন রিডাইরেক্টর। একটি মাত্র https://track.brand.tld/click?aff=123&sub=abc URL থেকে প্রত্যাশিত হয় যে এটি HTTP 301/302/307 হপের একটি চেইন পার হবে, ফার্স্ট-পার্টি ও থার্ড-পার্টি কুকি সেট করবে, সাব-অ্যাফিলিয়েট প্যারামিটার যুক্ত করবে এবং সবশেষে মার্চেন্টের ল্যান্ডিং পেজে পৌঁছাবে। সেই চেইনের প্রতিটি হপই একটি অ্যাটাক সারফেস। একটি নকল অ্যাফিলিয়েট ওয়েবসাইট-কে রাজস্ব চুরি করতে মার্চেন্টের ক্রিয়েটিভ ক্লোন করার প্রয়োজন নেই — মার্চেন্টের অ্যাট্রিবিউশন ইঞ্জিন ট্র্যাকিং টোকেন পড়ার আগেই কেবল সেটি ইন্টারসেপ্ট, রিরাইট বা পুনরায় অ্যাট্রিবিউট করলেই যথেষ্ট। এই সেকশনে চারটি প্রধান হাইজ্যাক ভেক্টর সংজ্ঞায়িত করা হয়েছে, ক্ষতির পরিমাণ নির্ধারণ করা হয়েছে এবং একটি পুনরুৎপাদনযোগ্য অডিট পদ্ধতি প্রদান করা হয়েছে।

৪.১ হাইজ্যাক ভেক্টর

সাব-অ্যাফিলিয়েট কোড ওভাররাইট। অধিকাংশ নেটওয়ার্ক চূড়ান্ত হপে একটি sub_id/s1–s5/clickid প্যারামিটার যুক্ত করে। যে কোনো হপ নিয়ন্ত্রণকারী একটি দুষ্টু ইন্টারমিডিয়ারি এই প্যারামিটারগুলোতে নিজের পাবলিশার ID যুক্ত বা প্রতিস্থাপন করতে পারে। যেহেতু অধিকাংশ অ্যাট্রিবিউশন ইঞ্জিন সর্বশেষ লেখা সাব-ID-কে গ্রহণ করে, তাই বৈধ পাবলিশারের কমিশন নীরবে পুনরায় বরাদ্দ হয়ে যায়। এই ওভাররাইট এন্ড ইউজারের কাছে অদৃশ্য থাকে এবং প্রায়শই টিকে যায় কারণ পাবলিশাররা কেবল এন্ট্রি URL অডিট করে, টার্মিনাল ল্যান্ডিং URL নয়।

অননুমোদিত 302/307 রিডাইরেক্ট চেইনিং। একজন দুষ্টু অভিনেতা একটি অতিরিক্ত হপ সন্নিবেশ করায় — প্রায়শই একটি 307 (যা 302-এর বিপরীতে রিকোয়েস্ট মেথড ও বডি সংরক্ষণ করে) — যা কোয়েরি স্ট্রিং ক্লোন করে, অ্যাফিলিয়েট টোকেন পরিবর্তন করে, তারপর আসল ট্র্যাকারে ফরোয়ার্ড করে। ইউজার সঠিক ল্যান্ডিং পেজ দেখে; মার্চেন্ট ভুল পাবলিশার রেকর্ড করে। চেইনড রিডাইরেক্ট ক্লোকিং-ও সক্রিয় করে, যেখানে ইন্টারমিডিয়ারি ক্রলার ও আসল ইউজারের কাছে ভিন্ন ভিন্ন হপ পরিবেশন করে।

HTTP Referer স্ট্রিপিং। যে অ্যাট্রিবিউশন ইঞ্জিন Referer-ভিত্তিক ম্যাচিংয়ে ফলব্যাক করে, সেটিকে একটি Referrer-Policy: no-referrer হেডার বা ইন্টারমিডিয়ারি পেজে ইনজেক্ট করা <meta name="referrer" content="no-referrer"> দিয়ে পরাজিত করা যায়। রেফারার স্ট্রিপ করলে মার্চেন্ট কুকি-অনলি অ্যাট্রিবিউশনে বাধ্য হয়, যা তখন অ্যাটাকার নিয়ন্ত্রণ করে।

ব্রাউজার এক্সটেনশন কুকি ইনজেকশন। cookies ও webRequest পারমিশনযুক্ত দুষ্টু বা ক্ষতিগ্রস্ত এক্সটেনশন সরাসরি মার্চেন্টের ফার্স্ট-পার্টি ডোমেইনে অ্যাফিলিয়েট কুকি (aff_id, click_id, ref) লিখতে পারে, সম্পূর্ণ রিডাইরেক্ট চেইন বাইপাস করে। সার্ভার-সাইডে এটি শনাক্ত করা সবচেয়ে কঠিন ভেক্টর, কারণ ট্র্যাকার লগে কোনো অস্বাভাবিক HTTP ট্রাফিক দেখা যায় না।

৪.২ ডাইভার্টেড রাজস্ব ক্ষতির পরিমাণ নির্ধারণ

হাইজ্যাক করা সাব-অ্যাফিলিয়েট সেগমেন্ট থেকে মাসিক ক্ষতি L মডেল করুন:

L = T × C_sub × V_ftd × P_rate

কার্যপ্রণালী উদাহরণ: L = ২৫০,০০০ × ০.৪০ × ০.০১৮ × ২২০ = $৩৯৬,০০০/মাস। একটি একক সাব-ID-এ ৪০% হাইজ্যাক মাসে প্রায় $৪০০K মুছে ফেলতে পারে। যেহেতু C_sub প্রতিটি ডাউনস্ট্রিম পাবলিশার জুড়ে যৌগিকভাবে বৃদ্ধি পায়, তাই উচ্চ-ভলিউম লিংকে মাত্র ৫% ওভাররাইট রেটও গুরুত্বপূর্ণ — স্পেন্ড স্কেল করার আগে অডিট করুন।

৪.৩ রিডাইরেক্ট অডিট চেকলিস্ট

টার্মিনাল — curl দিয়ে প্রতিটি হপ ট্রেস করুন:

curl -sIL -A "Mozilla/5.0" "https://track.brand.tld/click?aff=123&sub=abc" | grep -Ei "^(HTTP/|location:|set-cookie:|referrer-policy:)"

যে কোনো হপ ফ্ল্যাগ করুন যা (ক) অপ্রত্যাশিতভাবে 307 রিটার্ন করে, (খ) aff/sub/clickid রিরাইট করে, অথবা (গ) আপনার নিয়ন্ত্রণে নেই এমন ডোমেইনে কুকি সেট করে।

ব্রাউজার DevTools — ক্লায়েন্ট-সাইড মিউটেশন পরীক্ষা করুন:

1. Network প্যানেল → Preserve log, Doc ফিল্টার করুন। প্রতিটি 3xx এবং প্রতি হপে Location হেডার রেকর্ড করুন।
2. Application → Cookies: যাচাই করুন aff_id/click_id মার্চেন্ট ফার্স্ট-পার্টি ডোমেইনে সেট হয়েছে, কোনো ইন্টারমিডিয়ারিতে নয়।
3. Network → Response Headers: নিশ্চিত করুন চেইনের মাঝখানে কোনো Referrer-Policy: no-referrer ইনজেক্ট হয়নি।
4. Sources → Snippets: JS-চালিত রিডাইরেক্ট ও এক্সটেনশন-ইনজেক্টেড কুকি ধরতে document.cookie এবং performance.getEntriesByType('navigation') চালান।
5. Extensions পেজ: মার্চেন্ট ডোমেইনে cookies/webRequest পারমিশনের জন্য ইনস্টল করা এক্সটেনশন অডিট করুন; ইনজেকশন আলাদা করতে একটি ক্লিন প্রোফাইলে পরীক্ষা করুন।

লঞ্চের আগে প্রতিটি নতুন ট্র্যাকিং লিংকে curl ট্রেস এবং একটি ক্লিন-প্রোফাইল DevTools পাস চালান, এবং মাসিকভাবে বা যখনই C_sub ড্রিফট করে তখন পুনরায় অডিট করুন।

৫. রিপোর্টিং ও ব্ল্যাকলিস্টিং প্রক্রিয়া: ডিসঅ্যাভো, ব্র্যান্ড প্রোটেকশন এবং হোস্ট টেকডাউন

শুধু শনাক্তকরণ, প্রয়োগ ছাড়া একটি খরচের কেন্দ্র। একবার একটি নকল অ্যাফিলিয়েট ওয়েবসাইট নিশ্চিত হলে—WHOIS/রেজিস্ট্রার ফরেনসিক, ক্লোন করা অ্যাসেট হ্যাশ, বা অপারেটরের পোস্টব্যাক লগের সাথে অ্যাফিলিয়েট-ID মিসম্যাচের মাধ্যমে—প্রতিক্রিয়া অবশ্যই একটি বহুস্তরীয় ইনসিডেন্ট রেসপন্স (IR) হিসেবে সমান্তরাল ওয়ার্কস্ট্রিমসহ কার্যকর করতে হবে: লিগ্যাল (DMCA/ট্রেডমার্ক), ইনফ্রাস্ট্রাকচার (হোস্ট/CDN/রেজিস্ট্রার), রেপুটেশন (Safe Browsing/SmartScreen), SEO (ডিসঅ্যাভো), এবং কমার্শিয়াল (অপারেটর অ্যাফিলিয়েট ম্যানেজমেন্ট)। প্রতিটি স্তরের আলাদা SLA ও প্রমাণের প্রয়োজনীয়তা রয়েছে; ভুল ক্রমে সেগুলো সম্পাদন করলে (যেমন, লিংক ইকুইটি প্রমাণ সংগ্রহ করার আগেই ডিসঅ্যাভো করা) আপনার নিজের কেস ফাইলই নষ্ট হয়ে যায়।

৫.১ স্তর ১ — লিগ্যাল টেকডাউন: DMCA §512 এবং ট্রেডমার্ক লঙ্ঘন

নকল অ্যাফিলিয়েট পোর্টাল সাধারণত দুটি ভেক্টরে লঙ্ঘন করে: কপিরাইট (ক্লোন করা ল্যান্ডিং পেজ, চুরি করা ক্রিয়েটিভ, স্ক্র্যাপ করা রিভিউ কপি) এবং ট্রেডমার্ক (অপারেটর ব্র্যান্ড, লোগো, বা বিভ্রান্তিকরভাবে অনুরূপ ডোমেইন)। উভয়ই দাখিল করুন, কারণ DMCA §512(c) সেফ-হারবার অপসারণ দ্রুত কিন্তু সংকীর্ণ, অন্যদিকে ট্রেডমার্ক দাবি (Lanham Act §1114/§1125, বা EU সমতুল্য) এখতিয়ারগত প্রতিরোধ মোকাবিলা করে টিকে থাকে।

প্রমাণ প্যাকেজ (দাখিলের আগে প্রস্তুত করুন):

• সম্পূর্ণ URL বার + HTTP হেডারসহ টাইমস্ট্যাম্পযুক্ত স্ক্রিনশট (curl -I আউটপুট যা সার্ভার, x-powered-by, CDN হেডার দেখায়)।
• মূল অ্যাসেটের প্রমাণ: CMS প্রকাশের টাইমস্ট্যাম্প, ইমেজ EXIF, ক্লোনের পূর্ববর্তী Wayback Machine ক্যাপচার।
• WHOIS/RDAP রেকর্ড, হোস্টিং ASN, এবং CDN এজ IP (dig +short, whois -h whois.radb.net)।
• অপারেটরের ট্র্যাকিং প্ল্যাটফর্ম থেকে অ্যাফিলিয়েট-ID মিসম্যাচ রিপোর্ট।

হোস্টের মনোনীত এজেন্টের কাছে DMCA §512(c) নোটিশে অবশ্যই থাকতে হবে: লঙ্ঘিত কাজের শনাক্তকরণ, URLসহ লঙ্ঘনকারী উপাদানের শনাক্তকরণ, যোগাযোগের তথ্য, সদ্বিশ্বাসের বিবৃতি, শপথভঙ্গের শাস্তির অধীনে নির্ভুলতার বিবৃতি, এবং স্বাক্ষর। শুধু রিসেলারের কাছে নয়, আপস্ট্রিম হোস্টিং প্রোভাইডারের কাছে পাঠান—রিসেলাররা প্রায়ই নোটিশ উপেক্ষা করে। সাইটটি যদি Cloudflare-এর পেছনে থাকে, লক্ষ্য রাখুন Cloudflare একটি পাস-থ্রু CDN এবং এটি অ্যাবিউজ রিপোর্ট অরিজিন হোস্টের কাছে ফরওয়ার্ড করবে; একইসাথে abuse@cloudflare.com এবং অরিজিন ASN অ্যাবিউজ কন্ট্যাক্টে দাখিল করুন।

৫.২ স্তর ২ — রেপুটেশন ব্ল্যাকলিস্টিং: Safe Browsing এবং SmartScreen

পোর্টালটি যদি ক্রেডেনশিয়াল সংগ্রহ করে বা ফিশিং ফানেলে রিডাইরেক্ট করে (নকল লগইন, নকল KYC আপলোড), তাহলে Google Safe Browsing (safebrowsing.google.com/safebrowsing/report_phish/) এবং Microsoft SmartScreen (feedback.smartscreen.microsoft.com)-এ রিপোর্ট করুন। এই ফিডগুলো Safe Browsing API-এর মাধ্যমে Chrome, Edge, Firefox, এবং Safari-তে ছড়িয়ে পড়ে, ২৪–৭২ ঘণ্টার মধ্যে সাইটের ট্রাফিক ধসিয়ে দেয়। ফিশিং URL, ক্রেডেনশিয়াল-হারভেস্ট এন্ডপয়েন্ট, এবং রিডাইরেক্ট চেইন অন্তর্ভুক্ত করুন। বিশেষভাবে ক্রেডেনশিয়াল চুরির ক্ষেত্রে, বিতরণ প্রশস্ত করতে PhishTank এবং APWG eCrime Exchange-এও দাখিল করুন।

৫.৩ স্তর ৩ — SEO কন্টেইনমেন্ট: Google Search Console ডিসঅ্যাভো

স্ক্র্যাপার এবং নকল পোর্টাল প্রায়ই অথরিটি ধার বা একটি “রিভিউ” সম্পর্ক তৈরি করতে আপনার বৈধ প্রপার্টিতে লিংক করে। প্রতিবর্তীভাবে ডিসঅ্যাভো করবেন না—প্রথমে GSC থেকে Links রিপোর্ট এক্সপোর্ট করুন, টক্সিক রেফারিং ডোমেইনগুলো আলাদা করুন, এবং নিশ্চিত করুন সেগুলো বৈধ অ্যাফিলিয়েট নয়। URL স্তরের পরিবর্তে ডোমেইন স্তরে (domain:fake-affiliate.example) একটি ডিসঅ্যাভো ফাইল তৈরি করুন, Disavow Tool-এর মাধ্যমে আপলোড করুন, এবং জমাদানের তারিখ নথিভুক্ত করুন। নকল পোর্টালের জন্য একটি Google স্প্যাম রিপোর্ট (search.google.com/search-console/report-spam)-এর সাথে এটি যুক্ত করুন।

৫.৪ স্তর ৪ — অপারেটর অ্যাফিলিয়েট ম্যানেজমেন্ট সমন্বয়

অ্যাফিলিয়েট-ID মিসম্যাচ এবং ক্লোন করা ক্রিয়েটিভের প্রমাণ অপারেটরের অ্যাফিলিয়েট ম্যানেজমেন্ট টিমের কাছে পাঠান: (ক) অ্যাফিলিয়েট অ্যাকাউন্ট ফ্রিজ এবং কমিশন ক্লব্যাক, (খ) পোস্টব্যাক/ক্লিক-ফ্রড অডিট, (গ) তাদের লিগ্যাল কাউন্সেলের কাছে ব্র্যান্ড-প্রোটেকশন এস্কেলেশন, এবং (ঘ) অপারেটরের অভ্যন্তরীণ নেগেটিভ অ্যাফিলিয়েট লিস্টে সংযোজন। আপনার ইনসিডেন্ট ফাইলের জন্য লিখিত নিশ্চিতকরণের অনুরোধ করুন।

৫.৫ অপারেশনাল চেকলিস্ট

উপসংহার

একটি নকল অ্যাফিলিয়েট ওয়েবসাইট শুধু ফ্ল্যাগ করে ভুলে যাওয়ার মতো উপদ্রব নয়—এটি ট্রাফিক ইন্টিগ্রিটি, ব্র্যান্ড ইকুইটি, এবং প্লেয়ার ক্রেডেনশিয়ালের জন্য একটি সক্রিয় হুমকি। যে প্রতিরক্ষামূলক ভঙ্গি কাজ করে তা হলো অ্যাফিলিয়েট-ID স্তরে শনাক্তকরণ, অ্যাসেট-হ্যাশ স্তরে যাচাইকরণ, এবং চারটি সমান্তরাল স্তরে প্রয়োগ: লিগ্যাল টেকডাউন, রেপুটেশন ব্ল্যাকলিস্টিং, SEO কন্টেইনমেন্ট, এবং অপারেটর সমন্বয়। প্রতিটি নিশ্চিত ইনসিডেন্টকে টাইমস্ট্যাম্প, হেডার, এবং লিখিত নিশ্চিতকরণসহ একটি কেস ফাইল হিসেবে গণ্য করুন; আজ যে প্রমাণ একটি পোর্টাল অপসারণ করে, কাল সেটিই পরবর্তী ক্লোন শনাক্ত করার প্যাটার্ন লাইব্রেরি হয়ে ওঠে। যে পাবলিশাররা এই IR লুপকে প্রাতিষ্ঠানিক রূপ দেয়, তারা ব্র্যান্ড প্রোটেকশনকে একটি প্রতিক্রিয়াশীল খরচ থেকে একটি টেকসই প্রতিযোগিতামূলক দুর্গে রূপান্তরিত করে।