ইসরায়েলি ‘জিরো-ক্লিক’ ম্যালওয়্যার যেভাবে তৈরি করছে বৈশ্বিক নিরাপত্তা ঝুঁকি

কোনো ওয়েবপেজে প্রবেশ করা কিংবা অ্যাপ রিফ্রেশ করাই যথেষ্ট হতে পারে ম্যালওয়্যার হামলার শিকার হওয়ার জন্য। এতে ব্যবহারকারীর ল্যাপটপ বা ফোন থেকে ব্যক্তিগত তথ্য চুরি করে নেয়া সম্ভব। এমনকি কোনো কিছুতে ক্লিক করারও প্রয়োজন হয় না বলে জানিয়েছেন গবেষকেরা।

শুক্রবার (১৬ অক্টোবর) প্রকাশিত আল জাজিরার প্রতিবেদনে বলা হয়, ইসরায়েলি একটি স্পাইওয়্যার প্রতিষ্ঠানের বিরুদ্ধে ‘জিরো-ক্লিক’ লক্ষ্যভিত্তিক বিজ্ঞাপনের মাধ্যমে হামলার প্রথম পরিচিত ঘটনার সঙ্গে জড়িত থাকার অভিযোগ উঠেছে। এ পদ্ধতিতে প্রতারক বা গুপ্তচররা ব্যক্তিগত তথ্য চুরি করে বাইরের সার্ভারে পাঠাতে পারে। এ ধরনের হামলার শিকার হয়েছেন আল-জাজিরার সাংবাদিকেরাও।

২০২৫ সালের জুনে আল-জাজিরার কর্মীদের ব্যবহৃত ৪৫টি ডিভাইস স্পাইওয়্যারের লক্ষ্যবস্তু হয়। তাদের মধ্যে কয়েকজন সংবেদনশীল বিষয় নিয়ে প্রতিবেদন করতেন। কোনো ফাইল খোলা বা ডাউনলোড না করেই ডিভাইসগুলোতে স্পাইওয়্যার প্রবেশ করানো হয়েছিল।

আল-জাজিরার প্রাথমিক অভ্যন্তরীণ তদন্তের সূত্র ধরে কানাডাভিত্তিক একাডেমিক গবেষণা প্রতিষ্ঠান সিটিজেন ল্যাব এ বিষয়ে অনুসন্ধান চালায়। তাদের তদন্তে হামলার পেছনে ইসরায়েলি প্রতিষ্ঠান ‘ক্যান্ডিরুর’ সংশ্লিষ্টতা পাওয়া যায়। বিশ্লেষকেরা এ অনুসন্ধানের ফলাফলকে ‘অত্যন্ত উদ্বেগজনক’ বলে উল্লেখ করেছেন। তাদের মতে, এর মাধ্যমে নতুন এক বৈশ্বিক নিরাপত্তাঝুঁকির অস্তিত্ব সামনে এসেছে।

যুক্তরাষ্ট্রের ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, লস অ্যাঞ্জেলেসের তথ্যবিষয়ক অধ্যাপক রমেশ শ্রীনিবাসন আল-জাজিরাকে বলেন, ‘আমরা জানতাম, পরিস্থিতি এ দিকেই এগোচ্ছে। এখন বিষয়টি সবার সামনে চলে এসেছে। এটি নজরদারির পরবর্তী স্তর, কারণ এখন মানুষকে অত্যন্ত নির্দিষ্টভাবে লক্ষ্যবস্তু করা হচ্ছে।’

যেভাবে কাজ করে ‘জিরো-ক্লিক’ ম্যালওয়্যার
২০২৪ সালে আল-জাজিরার নিজস্ব প্রযুক্তি দল কয়েকজন সাংবাদিকের ব্যবহৃত ডিভাইসে অস্বাভাবিক কার্যক্রম শনাক্ত করে। ২০২৫ সালে আল-জাজিরার দেয়া নেটওয়ার্ক লগ বিশ্লেষণ করে সিটিজেন ল্যাব হামলাটি কীভাবে চালানো হয়েছিল, তার একটি স্পষ্ট সময়ভিত্তিক চিত্র পায়।

ডিসকভার-টেক নামে ইসরায়েলি একটি প্রতিষ্ঠান ক্ষতিকর বিজ্ঞাপন কিনেছিল। প্রতিষ্ঠানটি নিজেদের বৈধ বিজ্ঞাপনী সংস্থা হিসেবে পরিচয় দিলেও প্রকৃতপক্ষে ভাড়াটে স্পাইওয়্যার সরবরাহকারীদের সহযোগী হিসেবে কাজ করে।

ডিসকভার-টেকের বিজ্ঞাপন নেটওয়ার্ক আল-জাজিরার কর্মীদের শনাক্ত করে গোপনে তাদের ক্যান্ডিরুর নিয়ন্ত্রণাধীন সংক্রমিত সার্ভারে পাঠিয়ে দেয়। ২০২১ সালে যুক্তরাষ্ট্র সরকার ক্যান্ডিরুকে কালো তালিকাভুক্ত করে। সে সময় সিটিজেন ল্যাব জানিয়েছিল, ১০টি দেশে অন্তত ১০০ জন অধিকারকর্মী, সাংবাদিক ও রাজনৈতিক কর্মীকে অবৈধভাবে হ্যাক করা এবং তাদের ওপর নজরদারি চালানোর জন্য প্রতিষ্ঠানটি দায়ী।

আল-জাজিরা মিডিয়া নেটওয়ার্ক তাদের কর্মীদের ডিভাইস লক্ষ্যবস্তু করার নিন্দা জানিয়েছে এবং এর জন্য দায়ীদের জবাবদিহির আওতায় আনার আহ্বান জানিয়েছে। সাইবার নিরাপত্তা বিশ্লেষক ও লেখক এডি উইলেমস বলেন, পর্দায় ভেসে ওঠার সঙ্গে সঙ্গেই এসব বিজ্ঞাপন স্বয়ংক্রিয়ভাবে ডিভাইসে সংক্রমণ ঘটাতে পারে। তবে এ ক্ষেত্রে একটি গুরুত্বপূর্ণ প্রযুক্তিগত বিষয় রয়েছে।

আল-জাজিরাকে উইলেমস বলেন, ‘ব্রাউজারের ভেতরে কোড চালানো গেলেই আক্রমণকারী স্বয়ংক্রিয়ভাবে কম্পিউটারের পূর্ণ নিয়ন্ত্রণ পেয়ে যায় না। ব্রাউজারের বিচ্ছিন্ন পরিবেশ থেকে বেরিয়ে আসতে আক্রমণকারীর দ্বিতীয় একটি দুর্বলতার প্রয়োজন হতে পারে।’ তার মতে, উন্নত স্পাইওয়্যার কার্যক্রমে একাধিক দুর্বলতাকে একসঙ্গে কাজে লাগানো সম্ভব।

উইলেমস বলেন, ‘আক্রমণকারী নিরাপত্তার সীমাবদ্ধতা এড়িয়ে যেতে বিভিন্ন দুর্বলতা কাজে লাগানোর চেষ্টা করে। এ কারণেই এ ধরনের হামলা এত বিপজ্জনক।’ ডিভাইসে সংক্রমণ ঘটার পর ম্যালওয়্যারটি বিভিন্ন ধরনের সংবেদনশীল তথ্য সংগ্রহের জন্য তৈরি করা হয়েছে। এর মধ্যে রয়েছে ফাইল, নথি এবং ব্রাউজারের কুকি, বুকমার্ক ও সংরক্ষিত পরিচয়-সংক্রান্ত তথ্য।

এ ছাড়া এটি কিবোর্ডে টাইপ করা তথ্য ধারণ করতে, স্ক্রিনশট নিতে, মাইক্রোফোন ও ওয়েবক্যামের ইনপুট রেকর্ড করতে এবং জনপ্রিয় যোগাযোগমাধ্যমের ইমেইল ও বার্তা সংগ্রহ করতে পারে। নিরাপত্তাব্যবস্থার নজর এড়াতে স্পাইওয়্যারটি প্রায়ই এনক্রিপ্ট করা যোগাযোগপথ ব্যবহার করে এবং চুরি করা তথ্য ছোট ছোট অংশে ভাগ করে বিভিন্ন সময়ে পাঠায়।

বিজ্ঞাপন থেকেই বৈশ্বিক নিরাপত্তাঝুঁকি?
বিশ্লেষকদের মতে, সিটিজেন ল্যাবের অনুসন্ধানে আগে থেকেই বিদ্যমান একটি হুমকির আরও বিস্তৃত রূপ সামনে এসেছে। এর ফলে প্রচলিত সাইবার হামলার পরিসর ও নাগাল বাড়ছে এবং সেগুলো শনাক্ত করাও কঠিন হয়ে পড়ছে। ‘জিরো-ক্লিক’ হামলা একেবারে নতুন নয়। তবে সিটিজেন ল্যাবের অনুসন্ধানে অনলাইন বিজ্ঞাপনকে সংক্রমণের মাধ্যম হিসেবে ব্যবহারের একটি নতুন কৌশল উঠে এসেছে।

আয়ারল্যান্ডের টিইউ ডাবলিন ব্ল্যানচার্ডসটাউন ক্যাম্পাসের সাইবার নিরাপত্তাবিষয়ক প্রভাষক স্টিফেন ও’শগনেসি ব্যাখ্যা করেন, কোনো ব্যবহারকারী ওয়েবসাইট বা অ্যাপ খুললে এক সেকেন্ডের ভগ্নাংশের মধ্যেই স্বয়ংক্রিয় নিলামের মাধ্যমে বিজ্ঞাপনের জায়গা বিক্রি হয়। ওই নিলামে সম্ভাব্য ব্যবহারকারীর ডিভাইসের পরিচিতি নম্বর, আইপি ঠিকানা, আনুমানিক অবস্থান এবং তিনি কোন অ্যাপ বা ওয়েবসাইট ব্যবহার করছেন—এমন তথ্য শেয়ার করা হয়।

ও’শগনেসি আল-জাজিরাকে বলেন, ‘ডিসকভার-টেক সাধারণ বিজ্ঞাপনদাতা হিসেবে নিজেদের উপস্থাপন করেছিল। তারা ওই তথ্য ব্যবহার করে লক্ষ্যবস্তু শনাক্ত করে এবং সেই ব্যক্তির পর্দায় বিজ্ঞাপন দেখানোর নিলামে জয়ী হয়। বিজ্ঞাপন দেখায় এমন ফোন বা ব্রাউজার ব্যবহারকারী যে কেউ তাদের নাগালের মধ্যে আসতে পারেন। এ জন্য আক্রমণকারীর ব্যবহারকারীর ফোন নম্বর বা ইমেইল ঠিকানা জানার প্রয়োজন হয় না।’

তিনি আরও বলেন, ‘কোনো বার্তা বা লিংক ব্যবহার করা হয় না বলে ভুক্তভোগীর পক্ষে বিষয়টি বুঝতে পারার মতো প্রায় কিছুই থাকে না।’ গুগল এবং বিজ্ঞাপনশিল্পের সংগঠন আইএবি ইউরোপের ‘সনদপ্রাপ্ত’ ও ‘অনুমোদিত’ সরবরাহকারীদের তালিকায় ডিসকভার-টেকের নাম ছিল। প্রতিষ্ঠানটি গুগল, ইয়ানডেক্স ও বিসওয়াক্সের মতো বড় নেটওয়ার্কের মাধ্যমেও বিজ্ঞাপন প্রচার করেছে।

সিটিজেন ল্যাবের প্রতিবেদনে বলা হয়েছে, এ ঘটনা অনলাইন বিজ্ঞাপনব্যবস্থার কাঠামোগত দুর্বলতা তুলে ধরে। মূলত এ ব্যবস্থাই বিজ্ঞাপনী নেটওয়ার্কের অপব্যবহার শনাক্ত করতে বা প্রতিরোধ করতে ব্যর্থ হয়েছে।

গবেষণা প্রতিষ্ঠানটি জানিয়েছে, বিশ্বের বিভিন্ন দেশের জাতীয় নিরাপত্তার জন্য সংবেদনশীল নেটওয়ার্কে কর্মরত ব্যক্তিদের ডিভাইসেও ডিসকভার-টেকের বিজ্ঞাপন দেখা গেছে। এসব নেটওয়ার্কের মধ্যে রয়েছে বিভিন্ন প্রতিরক্ষা মন্ত্রণালয়, সশস্ত্র বাহিনী, জাতীয় সাইবার সংস্থা, আন্তঃসরকারি প্রতিষ্ঠান ও সংবাদমাধ্যম।

জাতিসংঘ, ন্যাটো, ইউরোপীয় পার্লামেন্ট, ইউরোপীয় কমিশন এবং ইউরোপীয় ইউনিয়নের কাউন্সিলের জেনারেল সেক্রেটারিয়েটের ব্যবহৃত নেটওয়ার্কেও এসব বিজ্ঞাপন দেখা গেছে বলে জানিয়েছে সিটিজেন ল্যাব।

‘প্রায় কেউই নিরাপত্তার দিকটি দেখছিল না’
সিটিজেন ল্যাবের তথ্য অনুযায়ী, যুক্তরাষ্ট্র, ইতালি, ডেনমার্ক, নরওয়ে, অস্ট্রেলিয়া, রাশিয়া, মেক্সিকো ও ইসরায়েলসহ অন্তত ২৪টি দেশের সরকারি নেটওয়ার্কও লক্ষ্যবস্তু হয়েছে। এ ছাড়া অস্ট্রেলিয়া, ডেনমার্ক ও সুইডেনের সংবাদমাধ্যমগুলোর নেটওয়ার্কেও এসব বিজ্ঞাপন দেখা গেছে।

নিউইয়র্কভিত্তিক বিজ্ঞাপন নিরাপত্তা প্রতিষ্ঠান কনফিয়েন্টের পৃথক এক প্রতিবেদনে বলা হয়েছে, তাদের নিজস্ব অনুসন্ধানেও পেন্টাগন, জাতিসংঘের আন্তর্জাতিক আণবিক শক্তি সংস্থা এবং আন্তর্জাতিক অপরাধ আদালতের ব্যবহৃত গুরুত্বপূর্ণ নেটওয়ার্কে ডিসকভার-টেকের কিছু বিজ্ঞাপনের উপস্থিতি পাওয়া গেছে।

ও’শগনেসি বলেন, ওই নেটওয়ার্কগুলোতে ডিভাইস সংক্রমণের বিষয়টি নিশ্চিত হয়নি; সেখানে শুধু ব্যবহারকারীদের সম্পর্কে তথ্য সংগ্রহ ও তাদের লক্ষ্যবস্তু হিসেবে চিহ্নিত করার প্রমাণ পাওয়া গেছে।

তবে তিনি বলেন, ‘এটুকুই উদ্বেগের কারণ। বিজ্ঞাপনব্যবস্থা এমনভাবে তৈরি করা হয়েছে, যাতে অপরিচিত ব্যক্তিদের কাছ থেকে কোড পাঠানো যায় কোটি কোটি পর্দায় এবং নির্দিষ্টভাবে ব্যবহারকারীদের লক্ষ্য করা যায়। নিরাপত্তার দৃষ্টিকোণ থেকে বিষয়টি পর্যবেক্ষণ করছিলেন- এমন মানুষ প্রায় কেউই ছিলেন না।’ বিশ্লেষকের মতে, অধিকাংশ মানুষের জন্য এ ধরনের হামলার ঝুঁকি কম। কারণ এসব হামলা ব্যয়বহুল এবং নির্দিষ্ট লক্ষ্যবস্তুতে পরিচালিত হয়।

তবে সাংবাদিক ও সরকারি কর্মকর্তাদের মতো উচ্চঝুঁকিতে থাকা ব্যক্তিদের জন্য তিনি কয়েকটি সতর্কতামূলক পদক্ষেপের পরামর্শ দিয়েছেন। এর মধ্যে রয়েছে বিজ্ঞাপন বন্ধ করার সফটওয়্যার ব্যবহার, ফোনের গোপনীয়তা সেটিংস থেকে বিজ্ঞাপন শনাক্তকারী বন্ধ করা, সব সফটওয়্যার হালনাগাদ রাখা এবং আইফোনের ‘লকডাউন মোড’ অথবা অ্যান্ড্রয়েডের ‘অ্যাডভান্সড প্রোটেকশন’ চালু করা।

শুধু ব্যক্তিগত পর্যায়ে নয়, বিজ্ঞাপনশিল্প ও সরকারি পর্যায়েও পদক্ষেপ নেয়া প্রয়োজন বলে মনে করেন ও’শগনেসি। তার ভাষায়, ‘এটি মোকাবিলায় বিজ্ঞাপনশিল্পকে কারা বিজ্ঞাপন কিনছে, তা যথাযথভাবে যাচাই করতে হবে।’ একই সঙ্গে নিয়ন্ত্রক সংস্থাগুলোকে প্রতিটি নিলামে হাজারো অজানা দরদাতার কাছে ব্যক্তিগত তথ্য ছড়িয়ে পড়া বন্ধ করতে হবে।