Tweet
হোয়াটসঅ্যাপ এন্ড-টু-এন্ড এনক্রিপশন ব্যবহার করে বলে অনেকেই একে সবচেয়ে নিরাপদ যোগাযোগ মাধ্যম মনে করেন।
কিন্তু Citizen Lab, WhatsApp নিজেই এবং একাধিক আন্তর্জাতিক আদালতের নথিতে প্রমাণিত হয়েছে,
রাষ্ট্র-সমর্থিত স্পাইওয়্যার এই এনক্রিপশনকে সম্পূর্ণ পাশ কাটিয়ে যেতে সক্ষম।
২০১৯ সালের WhatsApp জিরো-ক্লিক দুর্বলতা — সবচেয়ে আলোচিত ঘটনা
২০১৯ সালের মে মাসে Meta-র নিরাপত্তা প্রকৌশলীরা আবিষ্কার করেন,
ইসরায়েলি প্রতিষ্ঠান NSO Group একটি মারাত্মক দুর্বলতা (CVE-2019-3568, যার তীব্রতা স্কোর ছিল ১০-এর মধ্যে ৯.৮) কাজে লাগিয়ে হোয়াটসঅ্যাপের ভয়েস কল ফিচারের মাধ্যমে স্পাইওয়্যার ইনস্টল করছিল।
সবচেয়ে ভয়ংকর দিক হলো, এই আক্রমণে টার্গেটকে ফোন ধরার প্রয়োজনও হতো না
— শুধু একটি মিসড কলই যথেষ্ট ছিল ফোনে Pegasus ইনস্টল করার জন্য।
আদালতের নথি অনুযায়ী,
এই একক অভিযানে ১,৪০০-এরও বেশি ডিভাইস লক্ষ্যবস্তু হয়েছিল বিশ্বব্যাপী ৫১টি দেশে, যার মধ্যে ছিলেন সাংবাদিক, মানবাধিকার কর্মী, রাজনৈতিক ভিন্নমতাবলম্বী এবং কূটনীতিক।
আদালতে প্রকাশিত নথিতে আরও উঠে এসেছে,
প্রাথমিক দুর্বলতা বন্ধ হওয়ার পরও NSO "Erised" নামে আরেকটি পদ্ধতি তৈরি করে হোয়াটসঅ্যাপ সার্ভারের মাধ্যমে স্পাইওয়্যার ইনস্টল অব্যাহত রাখে, এমনকি মামলা দায়েরের পরও।
প্রযুক্তি কীভাবে কাজ করে ?
Citizen Lab-এর গবেষণা অনুযায়ী, একবার Pegasus ইনস্টল হয়ে গেলে এটি নিজস্ব কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভারের সঙ্গে যোগাযোগ স্থাপন করে এবং পাসওয়ার্ড, কন্টাক্ট তালিকা, ক্যালেন্ডার তথ্য, টেক্সট মেসেজ এবং জনপ্রিয় মেসেজিং অ্যাপ থেকে লাইভ ভয়েস কলও ফেরত পাঠাতে সক্ষম হয়।
আদালতে প্রকাশিত ডিপোজিশন অনুযায়ী,
NSO নিজেই স্বীকার করেছে তাদের স্পাইওয়্যার ব্যবহারকারীকে "টার্গেট ডিভাইসে ঠিক সেই তথ্যই অ্যাক্সেস করতে দেয়, যা পাসওয়ার্ড থাকলে দেওয়া যেত" — অর্থাৎ এনক্রিপশন থাকা সত্ত্বেও সম্পূর্ণ প্রবেশাধিকার।
কী কী তথ্য শনাক্ত করা যায় ?
Amnesty International-এর ফরেনসিক পদ্ধতি প্রতিবেদন অনুযায়ী, সংক্রমিত ডিভাইস থেকে যা সংগ্রহ করা যায় তার মধ্যে রয়েছে টেক্সট মেসেজ (এনক্রিপ্টেড অবস্থাতেও, কারণ ডিভাইসেই ডিক্রিপ্টেড হয়ে যায়), কল রেকর্ড, পাসওয়ার্ড, লোকেশন ডেটা, এবং ক্যামেরা-মাইক্রোফোনের রিমোট অ্যাক্সেস
— যা আশপাশের কথোপকথন গোপনে রেকর্ড করতে সক্ষম।
বিকল্প সংক্রমণ পদ্ধতি — শুধু জিরো-ক্লিক নয় ?
Citizen Lab-এর প্রতিবেদন স্মরণ করিয়ে দেয়, ২০১৭ সালে এক মেক্সিকান সাংবাদিকের নিহত হওয়ার পর তার স্ত্রীকে উদ্বেগজনক টেক্সট মেসেজ পাঠিয়ে একটি লিংকে ক্লিক করানোর চেষ্টা হয়েছিল
— এটি সামাজিক প্রকৌশলের মাধ্যমে সংক্রমণের একটি উদাহরণ, যা জিরো-ক্লিক আক্রমণের পাশাপাশি এখনো ব্যবহৃত হয়।
সাম্প্রতিক ঘটনা — এটি অতীতের বিষয় নয়
২০২৫ সালের জানুয়ারিতে হোয়াটসঅ্যাপ প্রায় ৯০ জন ব্যবহারকারীকে জানায় তারা Paragon Solutions নামে আরেকটি ইসরায়েলি স্পাইওয়্যার প্রতিষ্ঠানের লক্ষ্যবস্তু হয়েছিলেন, যাদের মধ্যে ছিলেন সাংবাদিক ও সুশীল সমাজের সদস্যরা।
সোর্স ও তথ্যসূত্র ;
Citizen Lab — NSO Group ও Pegasus গবেষণা
The Record — WhatsApp মামলার নথি ও প্রযুক্তিগত বিবরণ
Infosecurity Magazine — NSO-এর বিরুদ্ধে আদালতের রায়
Amnesty International — Pegasus শনাক্তকরণে ফরেনসিক পদ্ধতি
NBC News — Paragon Solutions ২০২৫ সালের ঘটনা
_____________________________
কিন্তু Citizen Lab, WhatsApp নিজেই এবং একাধিক আন্তর্জাতিক আদালতের নথিতে প্রমাণিত হয়েছে,
রাষ্ট্র-সমর্থিত স্পাইওয়্যার এই এনক্রিপশনকে সম্পূর্ণ পাশ কাটিয়ে যেতে সক্ষম।
২০১৯ সালের WhatsApp জিরো-ক্লিক দুর্বলতা — সবচেয়ে আলোচিত ঘটনা
২০১৯ সালের মে মাসে Meta-র নিরাপত্তা প্রকৌশলীরা আবিষ্কার করেন,
ইসরায়েলি প্রতিষ্ঠান NSO Group একটি মারাত্মক দুর্বলতা (CVE-2019-3568, যার তীব্রতা স্কোর ছিল ১০-এর মধ্যে ৯.৮) কাজে লাগিয়ে হোয়াটসঅ্যাপের ভয়েস কল ফিচারের মাধ্যমে স্পাইওয়্যার ইনস্টল করছিল।
সবচেয়ে ভয়ংকর দিক হলো, এই আক্রমণে টার্গেটকে ফোন ধরার প্রয়োজনও হতো না
— শুধু একটি মিসড কলই যথেষ্ট ছিল ফোনে Pegasus ইনস্টল করার জন্য।
আদালতের নথি অনুযায়ী,
এই একক অভিযানে ১,৪০০-এরও বেশি ডিভাইস লক্ষ্যবস্তু হয়েছিল বিশ্বব্যাপী ৫১টি দেশে, যার মধ্যে ছিলেন সাংবাদিক, মানবাধিকার কর্মী, রাজনৈতিক ভিন্নমতাবলম্বী এবং কূটনীতিক।
আদালতে প্রকাশিত নথিতে আরও উঠে এসেছে,
প্রাথমিক দুর্বলতা বন্ধ হওয়ার পরও NSO "Erised" নামে আরেকটি পদ্ধতি তৈরি করে হোয়াটসঅ্যাপ সার্ভারের মাধ্যমে স্পাইওয়্যার ইনস্টল অব্যাহত রাখে, এমনকি মামলা দায়েরের পরও।
প্রযুক্তি কীভাবে কাজ করে ?
Citizen Lab-এর গবেষণা অনুযায়ী, একবার Pegasus ইনস্টল হয়ে গেলে এটি নিজস্ব কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভারের সঙ্গে যোগাযোগ স্থাপন করে এবং পাসওয়ার্ড, কন্টাক্ট তালিকা, ক্যালেন্ডার তথ্য, টেক্সট মেসেজ এবং জনপ্রিয় মেসেজিং অ্যাপ থেকে লাইভ ভয়েস কলও ফেরত পাঠাতে সক্ষম হয়।
আদালতে প্রকাশিত ডিপোজিশন অনুযায়ী,
NSO নিজেই স্বীকার করেছে তাদের স্পাইওয়্যার ব্যবহারকারীকে "টার্গেট ডিভাইসে ঠিক সেই তথ্যই অ্যাক্সেস করতে দেয়, যা পাসওয়ার্ড থাকলে দেওয়া যেত" — অর্থাৎ এনক্রিপশন থাকা সত্ত্বেও সম্পূর্ণ প্রবেশাধিকার।
কী কী তথ্য শনাক্ত করা যায় ?
Amnesty International-এর ফরেনসিক পদ্ধতি প্রতিবেদন অনুযায়ী, সংক্রমিত ডিভাইস থেকে যা সংগ্রহ করা যায় তার মধ্যে রয়েছে টেক্সট মেসেজ (এনক্রিপ্টেড অবস্থাতেও, কারণ ডিভাইসেই ডিক্রিপ্টেড হয়ে যায়), কল রেকর্ড, পাসওয়ার্ড, লোকেশন ডেটা, এবং ক্যামেরা-মাইক্রোফোনের রিমোট অ্যাক্সেস
— যা আশপাশের কথোপকথন গোপনে রেকর্ড করতে সক্ষম।
বিকল্প সংক্রমণ পদ্ধতি — শুধু জিরো-ক্লিক নয় ?
Citizen Lab-এর প্রতিবেদন স্মরণ করিয়ে দেয়, ২০১৭ সালে এক মেক্সিকান সাংবাদিকের নিহত হওয়ার পর তার স্ত্রীকে উদ্বেগজনক টেক্সট মেসেজ পাঠিয়ে একটি লিংকে ক্লিক করানোর চেষ্টা হয়েছিল
— এটি সামাজিক প্রকৌশলের মাধ্যমে সংক্রমণের একটি উদাহরণ, যা জিরো-ক্লিক আক্রমণের পাশাপাশি এখনো ব্যবহৃত হয়।
সাম্প্রতিক ঘটনা — এটি অতীতের বিষয় নয়
২০২৫ সালের জানুয়ারিতে হোয়াটসঅ্যাপ প্রায় ৯০ জন ব্যবহারকারীকে জানায় তারা Paragon Solutions নামে আরেকটি ইসরায়েলি স্পাইওয়্যার প্রতিষ্ঠানের লক্ষ্যবস্তু হয়েছিলেন, যাদের মধ্যে ছিলেন সাংবাদিক ও সুশীল সমাজের সদস্যরা।
সোর্স ও তথ্যসূত্র ;
Citizen Lab — NSO Group ও Pegasus গবেষণা
The Record — WhatsApp মামলার নথি ও প্রযুক্তিগত বিবরণ
Infosecurity Magazine — NSO-এর বিরুদ্ধে আদালতের রায়
Amnesty International — Pegasus শনাক্তকরণে ফরেনসিক পদ্ধতি
NBC News — Paragon Solutions ২০২৫ সালের ঘটনা
_____________________________