भारतीय साइबर सुरक्षा एजेंसी CERT-In ने व्हाट्सएप के “डिवाइस-लिंकिंग” फीचर में एक गंभीर खामी को चिह्नित किया है। यह शोषण हमलावरों को एक खाते पर “पूर्ण” नियंत्रण प्राप्त करने की अनुमति देता है, जिससे उन्हें वेब संस्करण के माध्यम से वास्तविक समय के संदेशों, फ़ोटो और वीडियो तक पहुंच मिलती है।

शुक्रवार को जारी एक सलाह में, एजेंसी ने अभियान को “घोस्टपेयरिंग” नाम दिया।

“यह बताया गया है कि दुर्भावनापूर्ण अभिनेता प्रमाणीकरण की आवश्यकता के बिना पेयरिंग कोड का उपयोग करके खातों को हाईजैक करने के लिए व्हाट्सएप की डिवाइस-लिंकिंग सुविधा का शोषण कर रहे हैं। यह नया पहचाना गया साइबर अभियान, ‘घोस्टपेयरिंग’, अपराधियों को पासवर्ड या सिम स्वैप की आवश्यकता के बिना खातों पर पूर्ण नियंत्रण लेने में सक्षम बनाता है, “सलाहकार में कहा गया है।

इन खुलासों के संबंध में व्हाट्सएप की ओर से औपचारिक प्रतिक्रिया का फिलहाल इंतजार किया जा रहा है। साइबर हमलों से निपटने के लिए राष्ट्रीय तकनीकी शाखा के रूप में, CERT-In (भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम) भारतीय इंटरनेट क्षेत्र की सुरक्षा के लिए जिम्मेदार है।

“घोस्टपेयरिंग” हमला कैसे काम करता है

सलाह के अनुसार, यह “उच्च” गंभीरता का हमला आम तौर पर तब शुरू होता है जब पीड़ित को एक संदेश मिलता है, अक्सर “विश्वसनीय” संपर्क से, कुछ ऐसा कहता है, “हाय, इस तस्वीर को जांचें”।

1. चारा: संदेश में फेसबुक-शैली पूर्वावलोकन वाला एक लिंक है।
2. धोखा: लिंक पर क्लिक करने से एक “नकली” फेसबुक व्यूअर बन जाता है जो उपयोगकर्ता को सामग्री देखने के लिए अपनी पहचान “सत्यापित” करने के लिए प्रेरित करता है।
3. शोषण: इस स्तर पर, हमलावर धोखाधड़ी वाली साइट पर उपयोगकर्ताओं को उनके फोन नंबर दर्ज करने के लिए बरगलाकर “फोन नंबर के माध्यम से डिवाइस को लिंक करें” सुविधा का फायदा उठाते हैं।
4. अधिग्रहण: ऐसा करने से, पीड़ित अनजाने में एक युग्मन कोड उत्पन्न करते हैं जो हमलावर के ब्राउज़र को एक छिपे हुए, “विश्वसनीय” डिवाइस के रूप में उनके खाते तक पूर्ण पहुंच प्रदान करता है।

अपहृत खाते का प्रभाव

एक बार जब हमलावर अपने डिवाइस को सफलतापूर्वक लिंक कर लेता है, तो उन्हें खाते तक लगभग उसी तरह की पहुंच प्राप्त हो जाती है जैसी उपयोगकर्ता को व्हाट्सएप वेब पर मिलती है। वे कर सकते हैं:

• सिंक किए गए संदेशों को पढ़ें और वास्तविक समय में नए संदेश प्राप्त करें।
• निजी फ़ोटो, वीडियो और वॉयस नोट्स देखें।
• पीड़ित के व्यक्तिगत संपर्कों और समूह चैट पर संदेश भेजें।

अनुशंसित प्रति-उपाय

सुरक्षित रहने के लिए, CERT-In निम्नलिखित सावधानियां सुझाता है:

• संदिग्ध लिंक से बचें: अप्रत्याशित लिंक पर क्लिक न करें, भले ही वे ज्ञात संपर्कों से आए हों।
• बाहरी साइटें सत्यापित करें: व्हाट्सएप या फेसबुक होने का दावा करने वाली बाहरी वेबसाइटों पर कभी भी अपना फ़ोन नंबर दर्ज न करें।
• लिंक किए गए डिवाइस की जांच करें: अपने व्हाट्सएप सेटिंग्स में “लिंक किए गए डिवाइस” अनुभाग की नियमित रूप से समीक्षा करें और किसी भी अपरिचित सत्र से लॉग आउट करें।

यह भी पढ़ें: Redmi Note 15 5G की कीमत लॉन्च से पहले लीक: कितनी होगी कीमत?