বিজ্ঞাপনের আড়ালে ইসরায়েলি গুপ্তচরবৃত্তি, আল-জাজিরার ৪৫ ডিভাইস হ্যাক

অনলাইনে কোনো বিজ্ঞাপনে ক্লিক না করেও ইসরায়েলি স্পাইওয়্যারের শিকার হতে পারেন ব্যবহারকারীরা। ডিভাইসের নিয়ন্ত্রণ হারাতে সন্দেহজনক কোনো লিংকে প্রবেশ করা বা ফাইল ডাউনলোড করারও প্রয়োজন নেই। স্ক্রিনে বিজ্ঞাপন প্রদর্শিত হওয়া কিংবা পেছনে বিজ্ঞাপনটি লোড হওয়ার সময়টুকু ডিভাইসে নজরদারিমূলক সফটওয়্যার পৌঁছে দেওয়ার জন্য যথেষ্ট হতে পারে।

টরন্টো বিশ্ববিদ্যালয়ের গবেষণা প্রতিষ্ঠান ‘সিটিজেন ল্যাব’-এর অনুসন্ধানে এমন একটি কৌশলের সন্ধান পাওয়া গেছে। গবেষকেরা এর নাম দিয়েছেন ‘অ্যাডফেকশন’।

তাদের অনুসন্ধানে উঠে আসা তথ্য মতে , ইসরায়েলি বিজ্ঞাপনপ্রযুক্তি প্রতিষ্ঠান ‘ডিসকভার-টেক’-এর স্ট্রাকচার ব্যবহার করে ইসরায়েলি স্পাইওয়্যার নির্মাতা প্রতিষ্ঠান ক্যান্ডিরুর তৈরি স্পাইওয়্যার নির্দিষ্ট লক্ষ্যবস্তুর ডিভাইসে পৌঁছে দেওয়া হয়েছে।

২০ অক্টোবর প্রকাশিত প্রতিবেদনে বলা হয়েছে, ২০২৪ ও ২০২৫ সালে কাতারভিত্তিক সংবাদমাধ্যম আলজাজিরার অন্তত ৪৫টি ডিভাইস এ ধরনের হামলার লক্ষ্যবস্তু হয়েছিল। তবে, ৪৫টি ডিভাইস লক্ষ্যবস্তু হওয়ার অর্থ এই নয় যে সব কটিতে সফলভাবে স্পাইওয়্যার সংক্রমিত হয়েছিল। এসব তথ্য দিয়ে একটি বিশ্লেষণমূলক প্রতিবেদন প্রকাশ করেছে আনাদোলু এজেন্সি।

গবেষকেরা ২৪টি দেশের সরকারি পরিচালনাধীন নেটওয়ার্কে ডিসকভার-টেকের বিজ্ঞাপনের উপস্থিতি পেয়েছেন। এসব দেশের মধ্যে রয়েছে ইতালি, ডেনমার্ক, নরওয়ে, অস্ট্রেলিয়া, রাশিয়া, মেক্সিকো ও ইসরায়েল। যুক্তরাষ্ট্রের নিয়ন্ত্রিত অঞ্চল আমেরিকান সামোয়ার নেটওয়ার্কেও এসব বিজ্ঞাপন দেখা গেছে।

বিবিসি ও নিউইয়র্ক টাইমসের মতো সংবাদমাধ্যমের ওয়েবসাইট, ভাষা শেখার প্ল্যাটফর্ম ডুয়োলিঙ্গো এবং আবহাওয়ার তথ্যবিষয়ক ওয়েবসাইট অ্যাকুওয়েদারেও বিজ্ঞাপনগুলো পৌঁছেছিল।

গবেষকেরা বলছেন, এ ঘটনা অনলাইন বিজ্ঞাপন ব্যবস্থার নিরাপত্তাগত দুর্বলতা সামনে এনেছে। সরকারি নেটওয়ার্ক, সংবাদমাধ্যম এবং জনপ্রিয় ওয়েবসাইট ও অ্যাপেও এসব বিজ্ঞাপন পৌঁছেছিল। অনুসন্ধানের ফল প্রকাশের পর গুগলসহ একাধিক বড় প্রযুক্তি প্রতিষ্ঠান ডিসকভার-টেকের সঙ্গে সম্পর্ক ছিন্ন করেছে বা তাদের কার্যক্রম স্থগিত করেছে।

আল-জাজিরায় কী ঘটেছিল?

সিটিজেন ল্যাবের গবেষকেরা জানিয়েছেন, ২০২৪ ও ২০২৫ সালে আলজাজিরার অন্তত ৪৫টি ডিভাইসকে লক্ষ্য করে স্পাইওয়্যার হামলা চালানো হয়। এসব হামলার সঙ্গে ডিসকভার-টেকের বিজ্ঞাপনের মাধ্যমে ছড়ানো ক্যান্ডিরু স্পাইওয়্যারের সম্পর্ক থাকার বিষয়ে তারা নিশ্চয়তা পেয়েছেন।

আলজাজিরার সরবরাহ করা নেটওয়ার্ক লগ বিশ্লেষণ করে গবেষকেরা হামলার ঘটনাপ্রবাহ পুনঃনির্মান করেন।

প্রথমে কোনো ব্যবহারকারী এমন একটি ওয়েবসাইটে প্রবেশ করেন বা অ্যাপ ব্যবহার করেন যেখানে ডিসকভার-টেকের বিজ্ঞাপন প্রদর্শিত হচ্ছিল। ব্যবহারকারী বিজ্ঞাপনে ক্লিক না করলেও সেটি পর্দায় দেখা যেতে পারে, এমনকি পেছনে লোড হতে পারে।

অনলাইন বিজ্ঞাপনে দৃশ্যমান ছবি বা ভিডিওর পাশাপাশি সফটওয়্যার কোডও থাকতে পারে। এ ক্ষেত্রে বিজ্ঞাপনের কোড ডিসকভার-টেকের সার্ভারের সঙ্গে যোগাযোগ করে। এতে ডিভাইস শনাক্ত করতে সহায়ক তথ্য-যেমন বিজ্ঞাপনী শনাক্তকারী নম্বর ও ডিভাইসের প্রকাশ্য আইপি ঠিকানা পৌঁছে যেতে পারে।

এরপর সার্ভার যাচাই করে দেখে, ডিভাইসটি হামলাকারীর নির্ধারিত মানদণ্ডের সঙ্গে মেলে কি না। অধিকাংশ ব্যবহারকারীর ক্ষেত্রে সার্ভার অতিরিক্ত কোনো কোড পাঠাত না। কিন্তু নির্বাচিত লক্ষ্যবস্তুর ক্ষেত্রে এমন কোড পাঠানো হতো যা ডিভাইসটিকে ক্যান্ডিরুর অবকাঠামোর সঙ্গে যুক্ত করত।

ক্যান্ডিরুকে শনাক্ত করতে গবেষকেরা শুধু বিজ্ঞাপনপ্রযুক্তির অবকাঠামোর ওপর নির্ভর করেননি। তারা ক্যান্ডিরুর সঙ্গে সংশ্লিষ্ট প্রযুক্তিগত বৈশিষ্ট্য শনাক্ত করেন এবং সেই বৈশিষ্ট্যের সঙ্গে মিলে যায় এমন শত শত ডোমেইন ও আইপি ঠিকানা খুঁজে পান।

এ ছাড়া আক্রান্ত একটি উইন্ডোজ ডিভাইস থেকে উদ্ধার করা ক্ষতিকর সফটওয়্যার ফাইলও পরীক্ষা করা হয়। ফাইলটিতে এমন সার্ভারের ঠিকানা পাওয়া যায় যা গবেষকদের শনাক্ত করা ক্যান্ডিরুর অবকাঠামোর সঙ্গে মিলে যায়। ২০২১ সালে নথিবদ্ধ ক্যান্ডিরুর আরেকটি হামলার সঙ্গেও প্রযুক্তিগত মিল পাওয়া যায়।

সব তথ্য মিলিয়ে গবেষকেরা হামলাগুলোর সঙ্গে ক্যান্ডিরুর সম্পর্ক থাকার বিষয়ে উচ্চমাত্রার নিশ্চয়তায় পৌঁছান।

স্পাইওয়্যার কী কী করতে পারে?

স্পাইওয়্যার কেবল কারও অনলাইন কার্যক্রম অনুসরণেই সীমাবদ্ধ নয়। সিটিজেন ল্যাবের আগের এক অনুসন্ধানে বলা হয়েছিল, ক্যান্ডিরুর স্পাইওয়্যার দিয়ে পাসওয়ার্ড ও বার্তা চুরি, স্ক্রিনশট নেওয়া এবং ডিভাইসের মাইক্রোফোন ও ওয়েবক্যাম সক্রিয় করার মতো কাজ করা সম্ভব। এটি বাজারজাতকরণে এমন তথ্যই জানানো হয়েছিল।

সাংবাদিকদের ক্ষেত্রে এর পরিণতি বিশেষভাবে গুরুতর হতে পারে। এতে তাদের গোপন সূত্রের পরিচয়, ব্যক্তিগত কথোপকথন, অনুসন্ধানী প্রতিবেদনের নথি এবং ডিভাইসে সংরক্ষিত সংবেদনশীল তথ্য ফাঁস হওয়ার ঝুঁকি তৈরি হয়।

আলজাজিরা তাদের কর্মীদের লক্ষ্যবস্তু করার ঘটনায় নিন্দা জানিয়ে একে সংবাদমাধ্যমের স্বাধীনতার ওপর আঘাত বলে অভিহিত করেছে এবং জবাবদিহি নিশ্চিত করার দাবি জানিয়েছে।

বিশ্বজুড়ে কতটা বিজ্ঞাপন ছড়িয়েছিল ?

সিটিজেন ল্যাব ২০২৬ সালের মার্চ থেকে জুন পর্যন্ত প্রায় ৪০০ কোটি বিজ্ঞাপন-বিডিং রেকর্ড বিশ্লেষণ করে। এতে দেখা যায়, ডিসকভার-টেকের বিজ্ঞাপন বিশ্বের ১ লাখ ২০ হাজারের বেশি ওয়েবসাইট এবং ৭০ হাজারের বেশি মোবাইল অ্যাপে প্রদর্শিত হয়েছিল।

গবেষকদের মতে, ডিসকভার-টেকের বিজ্ঞাপন লাখ লাখ ডিভাইসকে ক্যান্ডিরু-সংশ্লিষ্ট সার্ভারের সঙ্গে যোগাযোগ করিয়েছে। এর মাধ্যমে ব্যাপক পরিসরে ডিভাইস শনাক্তকরণ, ব্যবহারকারীদের সম্পর্কে তথ্য সংগ্রহ এবং সম্ভাব্য লক্ষ্যবস্তু বাছাইয়ের সুযোগ তৈরি হয়েছিল।

তবে, এখানে একটি গুরুত্বপূর্ণ পার্থক্য রয়েছে; লাখ লাখ ডিভাইস বিজ্ঞাপনের মাধ্যমে ওই সার্ভারের সংস্পর্শে এসেছে বলেই সেগুলো সব স্পাইওয়্যারে আক্রান্ত হয়েছে, এমন নয়। ডিভাইসের তথ্য সংগ্রহ, হামলার জন্য লক্ষ্যবস্তু নির্বাচন এবং সফলভাবে স্পাইওয়্যার স্থাপনের মত বিষয়গুলো আলাদা ধাপ।

এদিকে বিজ্ঞাপনের নিরাপত্তা নিয়ে কাজ করা প্রতিষ্ঠান কনফিয়াঁর পৃথক বিশ্লেষণে জানিয়েছে, যুক্তরাষ্ট্রের প্রতিরক্ষা দপ্তর, আন্তর্জাতিক পরমাণু শক্তি সংস্থা (আইএইএ) এবং আন্তর্জাতিক অপরাধ আদালতের সঙ্গে সংশ্লিষ্ট নেটওয়ার্কেও এসব বিজ্ঞাপনের উপস্থিতির ইঙ্গিত পাওয়া যায়।

তবে, এসব নেটওয়ার্কে বিজ্ঞাপন পৌঁছানোর তথ্য থেকে সেখানে থাকা ব্যবহারকারীদের স্পাইওয়্যার হামলার লক্ষ্যবস্তু করা হয়েছিল বা তাদের ডিভাইসে সফলভাবে স্পাইওয়্যার স্থাপন করা হয়েছিল বলে প্রমাণ পাওয়া যায়নি।

বড় পরিসরে কীভাবে কাজ করে ডিসকভার-টেক?

সিটিজেন ল্যাব অনলাইন বিজ্ঞাপনের পুরো ব্যবস্থাকে অপব্যবহারের জন্য অত্যন্ত ঝুঁকিপূর্ণ বলে বর্ণনা করেছে।

আধুনিক অনলাইন বিজ্ঞাপনব্যবস্থা রিয়েল-টাইম বিডিং, বিজ্ঞাপনী শনাক্তকারী, তৃতীয় পক্ষের স্ক্রিপ্ট, নির্দিষ্ট শ্রোতাগোষ্ঠীকে লক্ষ্য করে বিজ্ঞাপন প্রদর্শন এবং স্বয়ংক্রিয় সিদ্ধান্ত গ্রহণের ওপর নির্ভরশীল।

এসব প্রযুক্তি বিজ্ঞাপনদাতাদের নির্দিষ্ট ব্যবহারকারীদের কাছে বিজ্ঞাপন পৌঁছে দিতে সাহায্য করে। একই সঙ্গে বিজ্ঞাপনের কোড ওয়েবসাইট ও অ্যাপের ভেতরে চলার সুযোগও তৈরি হয়।

সিটিজেন ল্যাবের অনুসন্ধান অনুযায়ী, ডিসকভার-টেক এই দুই সুবিধাই কাজে লাগিয়েছে।

বিজ্ঞাপন প্রদর্শনের ক্ষেত্রেও ছিল বাছাই করার ব্যবস্থা। বিজ্ঞাপন প্ল্যাটফর্ম এসকিমি সিটিজেন ল্যাবকে জানিয়েছে, বিজ্ঞাপনগুলো দর্শকের ডিভাইস, আইপি ঠিকানা ও অবস্থানের ওপর ভিত্তি করে ভিন্ন কোড লোড করত। ফলে স্বয়ংক্রিয় নিরাপত্তা পরীক্ষার চোখ এড়িয়ে যাওয়ার সুযোগ তৈরি হতো।

গবেষকেরা আরও জানিয়েছেন, ২০২০ থেকে ২০২৬ সালের মধ্যে গুগল ও ইউরোপের বিজ্ঞাপনশিল্পের সংগঠন আইএবি ইউরোপের সংরক্ষিত ‘সার্টিফায়েড’ বা ‘অনুমোদিত’ সরবরাহকারীর তালিকায় ডিসকভার-টেকের নাম ছিল।

প্রতিষ্ঠানটি গুগল, ইয়ানডেক্স, ভানগল এবং এসকিমিসহ বিভিন্ন বিজ্ঞাপন প্ল্যাটফর্ম ও নেটওয়ার্ক ব্যবহার করেছে। যুক্তরাষ্ট্রের কমকাস্টের মালিকানাধীন বিডসওয়্যাক্স প্ল্যাটফর্মও এর ব্যবহৃত ব্যবস্থার মধ্যে ছিল।

সিটিজেন ল্যাব অনুসন্ধানের ফল সংশ্লিষ্ট বিজ্ঞাপনপ্রতিষ্ঠান ও শিল্পসংগঠনগুলোকে জানানোর পর গুগল ও আইএবি ইউরোপ তাদের সংশ্লিষ্ট সরবরাহকারী তালিকা থেকে ডিসকভার-টেককে সরিয়ে দেয়। গুগল তাদের বিজ্ঞাপন বিনিময় প্ল্যাটফর্ম ব্যবহারের সুযোগও বন্ধ করে দেয়।

বিডসওয়্যাক্স প্রতিষ্ঠানটিকে তাদের বিজ্ঞাপন কেনার প্ল্যাটফর্ম থেকে সরিয়ে দেয়। ভানগল পর্যালোচনা চলাকালে তাদের প্রবেশাধিকার স্থগিত করে এবং এসকিমি ডিসকভার-টেকের অ্যাকাউন্ট ও ডোমেইনগুলো ব্লক করে।

ডিজিটাল নিরাপত্তার জন্য বার্তা কী?

সন্দেহজনক লিংকে ক্লিক না করা কিংবা অপরিচিত ফাইল ডাউনলোড না করা এখনো গুরুত্বপূর্ণ নিরাপত্তাব্যবস্থা। কিন্তু কোনো বিজ্ঞাপন লোড হওয়ার সঙ্গে সঙ্গে হামলা শুরু হলে এসব সতর্কতা যথেষ্ট নাও হতে পারে।

সিটিজেন ল্যাবের পরিচালক রন ডেইবার্ট কানাডার সম্প্রচারমাধ্যম সিবিসিকে বলেন, বিজ্ঞাপনটি প্রদর্শিত হওয়ার মুহূর্তেই ব্যবহারকারীর ডিভাইস হ্যাক হতে পারে। ফলে স্মার্টফোন ব্যবহার না করা বা ইন্টারনেটে সংযুক্ত না থাকা ছাড়া এ ধরনের হামলা থেকে রক্ষার কোনো উপায় নেই।

এটি তার বক্তব্যের একটি সতর্কতামূলক মূল্যায়ন; সব বিজ্ঞাপন বা সব ডিভাইসের ক্ষেত্রে এমন হামলা অনিবার্য নয়।

অনুসন্ধানে স্পাইওয়্যারের বাইরেও আরেকটি উদ্বেগজনক কার্যক্রমের তথ্য পাওয়া গেছে। সিটিজেন ল্যাব ‘ডার্ক কার্টোগ্রাফার’ নামে এক পক্ষকে শনাক্ত করেছে যারা ডিসকভার-টেকের অবকাঠামো এবং মোবাইল অপারেটরদের ব্যবস্থার দুর্বলতা কাজে লাগিয়ে বিজ্ঞাপনী শনাক্তকারী নম্বরের সঙ্গে টেলিফোন নম্বর যুক্ত করছিল বলে গবেষকেরা জানিয়েছেন।

এভাবে ইন্টারনেট ব্যবহারকারীদের পরিচয় গোপন রাখার সুযোগ নষ্ট করে তাদের শনাক্ত ও অনুসরণ করা সম্ভব হতে পারে। এ কার্যক্রম নিয়ে আলাদা প্রতিবেদন প্রকাশের কথা জানিয়েছে সিটিজেন ল্যাব।

গবেষকেরা বিজ্ঞাপনপ্রযুক্তি প্রতিষ্ঠানগুলোর ওপর আরও কঠোর নিয়ন্ত্রক নজরদারির সুপারিশ করেছেন। পাশাপাশি বিভিন্ন প্রতিষ্ঠানকে নিজেদের নেটওয়ার্কের প্রবেশপথেই লক্ষ্যভিত্তিক বিজ্ঞাপন ব্লক করার পরামর্শ দিয়েছেন।

ডেইবার্ট এই ঘটনাকে ‘দুঃস্বপ্নের মতো পরিস্থিতি’ হিসেবে বর্ণনা করেছেন। তার মতে, এতে লক্ষ্যভিত্তিক বিজ্ঞাপন ও বাণিজ্যিক স্পাইওয়্যার-দুটি দুর্বলভাবে নিয়ন্ত্রিত এবং ব্যাপক অপব্যবহারের শিকার শিল্প এক জায়গায় মিলেছে।

তিনি বলেন, এটি বিপর্যয় ডেকে আনার মতো পরিস্থিতি। আমরা ব্যাপক পরিসরে বৈশ্বিক গুপ্তচরবৃত্তির ঘটনা উন্মোচন করেছি।

কেএম