অচেনা ফোন ধরলেই কি হ্যাক হবে স্মার্টফোন? জানুন আসল বিপদ

নয়াদিল্লি: অচেনা নম্বর থেকে ফোন এল। ধরতেই ওপার থেকে রোবটের মতো আওয়াজ কিংবা ব্যাঙ্কের প্রতিনিধি পরিচয় দেওয়া কারও কথা শুনে ফোন কেটে দিলেন। কিন্তু মনে প্রশ্ন থেকেই গেল, শুধু ফোন ধরার কারণেই কি আপনার স্মার্টফোন হ্যাক হয়ে যেতে পারে? ব্যক্তিগত ছবি, WhatsApp চ্যাট কিংবা ব্যাঙ্কের অ্যাপ কি চলে যেতে পারে অন্য কারও নিয়ন্ত্রণে?

এর সরাসরি উত্তর হল, সাধারণ ফোন কল রিসিভ করলেই স্মার্টফোন হ্যাক হয়ে যায় না। তবে প্রযুক্তিগতভাবে ফোন কল বা কলিং অ্যাপের সফটওয়্যারের দুর্বলতা কাজে লাগিয়ে কোনও ডিভাইসে আক্রমণ করা সম্ভব। এমনকী কিছু ক্ষেত্রে ব্যবহারকারীর কোনও পদক্ষেপ ছাড়াই ফোনে স্পাইওয়্যার ঢুকিয়ে দেওয়ার ঘটনাও ঘটেছে।

সাইবার নিরাপত্তার ভাষায় এই ধরনের আক্রমণকে বলা হয় Zero-click Attack। তবে এগুলি সাধারণ স্প্যাম কলের মতো নয়। অত্যন্ত জটিল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে এমন আক্রমণ চালানো হয়। সাধারণ ব্যবহারকারীদের জন্য বেশি বড় বিপদ হল ফোনে প্রতারণা করে OTP, UPI PIN বা পাসওয়ার্ড হাতিয়ে নেওয়া।

কীভাবে ফোন কলের মাধ্যমে প্রযুক্তিগত আক্রমণ সম্ভব?

ফোনে একটি কল আসার অর্থ শুধু এক ফোন থেকে অন্য ফোনে কথা পৌঁছে যাওয়া নয়। কল সংযোগ তৈরি এবং চালু রাখার জন্য স্মার্টফোনের সফটওয়্যারকে নেটওয়ার্ক ডেটা, অডিও এবং বিভিন্ন সিগন্যালিং নির্দেশ প্রক্রিয়াকরণ করতে হয়।

এই প্রক্রিয়ায় ব্যবহৃত সফটওয়্যারে কোনও নিরাপত্তাজনিত দুর্বলতা থাকলে আক্রমণকারী সেটিকে কাজে লাগিয়ে ফোনে ক্ষতিকর কোড চালানোর চেষ্টা করতে পারে। এটাই Zero-click Exploit-এর মূল ধারণা। ব্যবহারকারীকে কোনও লিঙ্কে ক্লিক করতে হয় না, ফাইল ডাউনলোড করতে হয় না, এমনকী অনেক ক্ষেত্রে কল ধরারও প্রয়োজন হয় না।

Google-এর Project Zero-র গবেষকেরা Apple ডিভাইসের ক্ষেত্রে এমন দুর্বলতার কথা প্রকাশ করেছিলেন। তাঁদের গবেষণায় দেখানো হয়েছিল, বিশেষভাবে তৈরি iMessage পাঠিয়ে কোনও ব্যবহারকারী মেসেজ না খুললেও iPhone-এ আক্রমণ চালানো সম্ভব হতে পারে।

অর্থাৎ, শুধু কল ধরা বা না ধরাই মূল বিষয় নয়। ফোনে আসা ডেটা প্রক্রিয়াকরণের সময় সফটওয়্যার কীভাবে কাজ করছে, সেটিই আসল ঝুঁকি।

২০১৯ সালের WhatsApp-এ স্পাইওয়্যার হামলার ঘটনা

২০১৯ সালের মে মাসে WhatsApp তাদের Voice Calling ফিচারে একটি গুরুতর নিরাপত্তাজনিত ত্রুটির কথা প্রকাশ্যে আনে। এই দুর্বলতা কাজে লাগিয়ে নির্দিষ্ট কিছু স্মার্টফোনে স্পাইওয়্যার ইনস্টল করার সুযোগ পেয়েছিল আক্রমণকারীরা।

ত্রুটিটি CVE-2019-3568 নামে নথিভুক্ত হয়েছিল। WhatsApp-এর VoIP Stack-এ Buffer Overflow সংক্রান্ত সমস্যার কারণে বিশেষভাবে তৈরি নেটওয়ার্ক প্যাকেট পাঠিয়ে দূর থেকেই ক্ষতিকর কোড চালানো সম্ভব ছিল।

সবচেয়ে উদ্বেগের বিষয় ছিল, আক্রান্ত হওয়ার জন্য ব্যবহারকারীকে WhatsApp কল রিসিভ করতে হত না। Hong Kong Computer Emergency Response Team-এর সতর্কবার্তাতেও জানানো হয়েছিল, কল না ধরলেও এই দুর্বলতা কাজে লাগিয়ে ডিভাইসে ক্ষতিকর কোড ইনস্টল করা সম্ভব হতে পারে।

ভারতের CERT-In-ও ২০১৯ সালের ১৭ মে এই বিষয়ে সতর্কতা জারি করেছিল। সংস্থার সতর্কবার্তা অনুযায়ী, সফল আক্রমণের ফলে কল লগ, মেসেজ এবং ছবি প্রকাশ হয়ে যাওয়ার আশঙ্কা ছিল। Android, iOS, Windows Phone এবং Tizen-এর পুরনো WhatsApp সংস্করণগুলি প্রভাবিত হয়েছিল। পরবর্তী আপডেটে সমস্যাটি ঠিক করা হয়।

তবে এই ঘটনা থেকে এমন সিদ্ধান্তে আসা ঠিক নয় যে, প্রতিটি WhatsApp কলই বিপজ্জনক। এটি ছিল সফটওয়্যারের একটি নির্দিষ্ট দুর্বলতা, যা পুরনো সংস্করণে সমস্যা তৈরি করেছিল।

সাধারণ SIM নম্বরে ফোন ধরলে কি তথ্য চুরি হতে পারে?

সাধারণ পরিস্থিতিতে উত্তর হল, না। কোনও অচেনা ব্যক্তি আপনাকে সাধারণ মোবাইল নম্বরে ফোন করলেই আপনার ক্যামেরা, মাইক্রোফোন, গ্যালারি, কনট্যাক্ট বা ব্যাঙ্কিং অ্যাপে প্রবেশাধিকার পেয়ে যায় না।

শুধু ‘হ্যালো’ বলার কারণে কেউ আপনার ফোনে অ্যাপ ইনস্টল করতে বা ব্যক্তিগত মেসেজ পড়তে পারে না।

তবে দুটি বিষয় মাথায় রাখা জরুরি।

প্রথমত, প্রযুক্তিগত ঝুঁকি। স্মার্টফোনের Operating System, Network Component বা Calling Software-এ গুরুতর দুর্বলতা থাকলে দূর থেকেই আক্রমণের চেষ্টা করা সম্ভব। এই ধরনের আক্রমণ জটিল এবং সাধারণত নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো হয়।

দ্বিতীয়ত, Social Engineering বা কথার মাধ্যমে প্রতারণা। সাধারণ মানুষের ক্ষেত্রে এটাই বেশি দেখা যায়। যেমন, ফোন করে কেউ বলল, আপনার ব্যাঙ্ক অ্যাকাউন্ট আজই বন্ধ হয়ে যাবে। অ্যাকাউন্ট চালু রাখতে OTP, UPI PIN, পাসওয়ার্ড বা কার্ডের তথ্য দিতে হবে।

কেউ আবার ফোনে Remote Access App ইনস্টল করতে বলতে পারে, স্ক্রিন শেয়ার করতে বলতে পারে কিংবা বিশেষ কোনও কোড ডায়াল করতে নির্দেশ দিতে পারে। এই কাজগুলি করলেই বিপদ বাড়তে পারে।

CERT-In এই ধরনের ফোনভিত্তিক প্রতারণাকে Vishing বা Voice Phishing বলে। এখানে প্রতারক ব্যাঙ্ক, সরকারি দফতর বা অন্য কোনও বিশ্বস্ত প্রতিষ্ঠানের প্রতিনিধি পরিচয় দিয়ে ফোনে গোপন তথ্য হাতিয়ে নেওয়ার চেষ্টা করে।

Zero-click Attack কেন এত বিপজ্জনক?

সাধারণ Phishing আক্রমণে ব্যবহারকারীকে কোনও লিঙ্কে ক্লিক করতে, ফাইল খুলতে বা অ্যাপ ইনস্টল করতে হয়। কিন্তু Zero-click Attack-এ ব্যবহারকারীর কোনও পদক্ষেপের প্রয়োজন হয় না। সফটওয়্যারের দুর্বলতাই আক্রমণের পথ তৈরি করে দেয়।

ধরা যাক, কোনও Messaging App-এ কল আসার আগেই ফোনের সফটওয়্যার কল সংযোগ তৈরির জন্য কিছু ডেটা প্রক্রিয়াকরণ শুরু করে। সেই পর্যায়ে কোনও ত্রুটি থাকলে আক্রমণকারী সেটিকে কাজে লাগাতে পারে।

WhatsApp ২০২৩ সালের নভেম্বরের একটি নিরাপত্তা আপডেটে জানিয়েছিল, Calling Software আক্রমণকারীদের কাছে আকর্ষণীয় লক্ষ্য হতে পারে। কারণ, কল সংযোগ তৈরি করার জন্য ফোন স্বয়ংক্রিয়ভাবে কলারের পাঠানো ডেটা প্রক্রিয়া করে।

এই ঝুঁকি কমানোর জন্য WhatsApp-এ Silence Unknown Callers ফিচার রয়েছে। এতে সেভ করা নেই এমন নম্বর থেকে আসা কল ফোনে রিং করে না। তবে কলগুলি Call List-এ দেখা যায়।

এখানে মনে রাখতে হবে, কল রিজেক্ট করলেই সব Zero-click Attack থেকে সুরক্ষা পাওয়া যায় না। বরং ফোনের Operating System এবং অ্যাপ নিয়মিত আপডেট করাই বেশি কার্যকর।

ফোন হ্যাক হওয়া থেকে বাঁচতে কী করবেন?

অচেনা নম্বর থেকে আসা সব ফোন এড়িয়ে চলার প্রয়োজন নেই। তবে কয়েকটি সতর্কতা মেনে চললে ঝুঁকি অনেকটাই কমানো যায়।

১. ফোন ও অ্যাপ আপডেট রাখুন

Android বা iOS-এর সর্বশেষ Security Update ইনস্টল করুন। WhatsApp, Telegram-সহ অন্যান্য Messaging App-ও Google Play Store বা Apple App Store থেকে নিয়মিত আপডেট করুন। নিরাপত্তার দুর্বলতা বন্ধ করতেই অনেক আপডেট প্রকাশ করা হয়।

২. WhatsApp-এ Silence Unknown Callers চালু করুন

এই ফিচার চালু করলে সেভ করা নেই এমন নম্বর থেকে আসা কল রিং করবে না। সেটিংস চালু করতে:

• WhatsApp খুলুন।
• Settings-এ যান।
• Privacy নির্বাচন করুন।
• Calls-এ গিয়ে Silence Unknown Callers চালু করুন।

৩. OTP বা UPI PIN কাউকে দেবেন না

ব্যাঙ্কের নাম করে ফোন করলেও OTP, UPI PIN বা পাসওয়ার্ড জানাবেন না। কোনও সরকারি দফতরের প্রতিনিধি পরিচয় দিলেও এই তথ্য শেয়ার করবেন না। আপনার অ্যাকাউন্ট যাচাই করার জন্য ব্যাঙ্ক ফোনে UPI PIN জানতে চাইবে না।

৪. অচেনা ব্যক্তির কথায় কোনও অ্যাপ ইনস্টল করবেন না

ফোনে কেউ Remote Access বা Screen Sharing App ইনস্টল করতে বললে সতর্ক থাকুন। ব্যাঙ্কিং বা পেমেন্ট অ্যাপ খোলা অবস্থায় কখনও স্ক্রিন শেয়ার করবেন না।

৫. অচেনা USSD কোড ডায়াল করবেন না

২০২৪ সালের জানুয়ারিতে ভারতের Department of Telecommunications বা DoT একটি বিশেষ প্রতারণা সম্পর্কে সতর্ক করেছিল। প্রতারকেরা টেলিকম সংস্থার কর্মী পরিচয় দিয়ে সিম বা নেটওয়ার্কের সমস্যা ঠিক করার অজুহাতে *401#-এর পরে একটি অচেনা মোবাইল নম্বর ডায়াল করতে বলে।

এই কোডের মাধ্যমে Unconditional Call Forwarding চালু হয়ে যেতে পারে। ফলে আপনার ফোনে আসা কল অন্য নম্বরে চলে যেতে পারে। DoT স্পষ্ট জানিয়েছে, নেটওয়ার্কের সমস্যা সমাধানের জন্য টেলিকম অপারেটররা গ্রাহকদের *401# ডায়াল করতে বলে না।

৬. ফোনে বাড়তি নিরাপত্তা রাখুন

• শক্তিশালী Screen Lock ব্যবহার করুন।
• গুরুত্বপূর্ণ অ্যাকাউন্টে Two-factor Authentication চালু করুন।
• শুধুমাত্র বিশ্বস্ত উৎস থেকে অ্যাপ ইনস্টল করুন।
• অ্যাপের Camera, Microphone ও Contacts Permission পরীক্ষা করুন।

যাঁরা সত্যিই অত্যন্ত লক্ষ্যভিত্তিক স্পাইওয়্যার হামলার ঝুঁকিতে রয়েছেন, তাঁদের জন্য Apple-এর Lockdown Mode রয়েছে। এটি কিছু ফিচার সীমিত করে সম্ভাব্য আক্রমণের পথ কমায়। তবে Apple-এর বক্তব্য অনুযায়ী, এটি বিশেষভাবে ঝুঁকিতে থাকা অল্প কিছু মানুষের জন্য তৈরি। সাধারণ ব্যবহারকারীদের অধিকাংশের এই মোড প্রয়োজন হয় না।

ফোন হ্যাক হয়েছে বলে সন্দেহ হলে কী করবেন?

একটি অদ্ভুত ফোন কল এলেই আপনার ফোন হ্যাক হয়েছে, এমনটা ভাবার কারণ নেই। তবে ফোনের আচরণে অস্বাভাবিক কিছু দেখলে কয়েকটি পদক্ষেপ নিতে পারেন।

• ফোনের Operating System এবং সব অ্যাপ আপডেট করুন।
• সম্প্রতি ইনস্টল করা অ্যাপের তালিকা দেখুন। অচেনা অ্যাপ থাকলে সরিয়ে দিন।
• Microphone, Camera, Contacts এবং Accessibility Services-এর Permission পরীক্ষা করুন।
• WhatsApp-এর Linked Devices তালিকা দেখুন। অচেনা কোনও ডিভাইস যুক্ত থাকলে Log Out করুন।
• ব্যাঙ্কের তথ্য ফাঁস হয়েছে বলে সন্দেহ হলে দ্রুত ব্যাঙ্কের সঙ্গে যোগাযোগ করে সন্দেহজনক লেনদেন বা পেমেন্ট অ্যাক্সেস বন্ধ করার অনুরোধ জানান।

ইতিমধ্যেই আর্থিক প্রতারণার শিকার হলে যত দ্রুত সম্ভব জাতীয় সাইবার অপরাধ হেল্পলাইন ১৯৩০ নম্বরে ফোন করুন। পাশাপাশি cybercrime.gov.in ওয়েবসাইটে অভিযোগ জানান।

সরকারি আধিকারিক বা অন্য কোনও প্রতিষ্ঠানের পরিচয় দিয়ে প্রতারণামূলক ফোন বা মেসেজ এলে DoT-এর Sanchar Saathi পোর্টালের Chakshu পরিষেবার মাধ্যমেও রিপোর্ট করা যায়।

সবচেয়ে গুরুত্বপূর্ণ কথা: শুধু অচেনা নম্বর থেকে ফোন রিসিভ করলেই আপনার স্মার্টফোন হ্যাক হয়ে যায় না। কিন্তু ফোনে কাউকে OTP, UPI PIN বা পাসওয়ার্ড দেওয়া কিংবা অচেনা অ্যাপ ইনস্টল করার মতো ভুল করলে বড় বিপদ হতে পারে। তাই আতঙ্কিত না হয়ে সতর্ক থাকুন এবং ফোনের সফটওয়্যার নিয়মিত আপডেট করুন।

Get your daily dose of tech news and insight.  Follow us on X, Facebook, WhatsApp and Google News for instant updates. Catch all the action on our YouTube channel