नई दिल्ली। भारत में WhatsApp यूज़र्स के लिए एक नया और गंभीर साइबर खतरा सामने आया है। इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने एक हाई-सीवेरिटी एडवाइज़री जारी करते हुए ‘घोस्टपेयरिंग’ नामक नए स्कैम को लेकर चेताया है। इस स्कैम की सबसे खतरनाक बात यह है कि इसमें न तो पासवर्ड चोरी किया जाता है और न ही सिम स्वैप की ज़रूरत पड़ती है, फिर भी हमलावर पीड़ित के WhatsApp अकाउंट पर पूरा नियंत्रण हासिल कर लेते हैं।
CERT-In के मुताबिक, यह साइबर कैंपेन WhatsApp के “डिवाइस-लिंकिंग” फीचर का दुरुपयोग करता है। सामान्य तौर पर यह फीचर यूज़र्स को एक ही अकाउंट को कई डिवाइस, जैसे मोबाइल और WhatsApp Web, पर इस्तेमाल करने की सुविधा देता है। लेकिन ‘घोस्टपेयरिंग’ में इसी सुविधा को हथियार बनाकर हमलावर खुद को एक भरोसेमंद डिवाइस की तरह अकाउंट से जोड़ लेते हैं, और यूज़र को इसकी भनक तक नहीं लगती।
एडवाइज़री में बताया गया है कि हमला अक्सर एक साधारण से दिखने वाले मैसेज से शुरू होता है। पीड़ित को किसी जाने-पहचाने या भरोसेमंद कॉन्टैक्ट से “हाय, यह फोटो देखो” जैसे शब्दों वाला मैसेज मिलता है। इस मैसेज में एक लिंक होता है, जो देखने में फेसबुक या किसी सोशल मीडिया प्लेटफॉर्म के प्रीव्यू जैसा लगता है। जैसे ही यूज़र उस लिंक पर क्लिक करता है, वह एक नकली फेसबुक व्यूअर या वेब पेज पर पहुंच जाता है।
यह नकली पेज यूज़र से कंटेंट देखने के लिए अपनी पहचान “वेरिफाई” करने को कहता है। इसी चरण में असली धोखाधड़ी होती है। हमलावर यूज़र से उसका फोन नंबर डालने के लिए कहते हैं और WhatsApp के “फोन नंबर के ज़रिए डिवाइस लिंक करें” फीचर का गलत इस्तेमाल करते हैं। कुछ आसान और दिखने में बिल्कुल सामान्य स्टेप्स पूरे करते ही पीड़ित अनजाने में हमलावर के डिवाइस को अपने WhatsApp अकाउंट से लिंक कर देता है।
CERT-In ने स्पष्ट किया है कि इस पूरे हमले में न तो किसी तरह का पासवर्ड हैक होता है और न ही सिम कार्ड बदला जाता है। यही वजह है कि यूज़र्स को अकसर तब तक कुछ पता नहीं चलता, जब तक नुकसान हो चुका होता है।
व्यक्तिगत गोपनीयता को खतरा
एक बार अकाउंट से डिवाइस लिंक हो जाने के बाद हमलावर को लगभग वही एक्सेस मिल जाता है, जो WhatsApp Web पर मिलता है। वह पीड़ित के मैसेज पढ़ सकता है, नए मैसेज रियल-टाइम में प्राप्त कर सकता है, फोटो, वीडियो और वॉइस नोट्स देख सकता है और पीड़ित बनकर उसके कॉन्टैक्ट्स को मैसेज भी भेज सकता है। इससे न सिर्फ व्यक्तिगत गोपनीयता को खतरा होता है, बल्कि फ्रॉड और ठगी की घटनाओं की आशंका भी कई गुना बढ़ जाती है।
CERT-In ने यूज़र्स को इस खतरे से बचने के लिए कुछ अहम सावधानियां बरतने की सलाह दी है। एडवाइज़री के अनुसार, किसी भी संदिग्ध लिंक पर क्लिक न करें, भले ही वह किसी जाने-पहचाने व्यक्ति से आया हो। WhatsApp या Facebook से जुड़े होने का दावा करने वाली किसी भी बाहरी वेबसाइट पर अपना फोन नंबर डालने से बचें। इसके अलावा, WhatsApp की सेटिंग्स में जाकर ‘लिंक्ड डिवाइसेज़’ को नियमित रूप से जांचते रहें। अगर वहां कोई ऐसा डिवाइस दिखे जिसे आप पहचान नहीं पा रहे हों, तो तुरंत उसे लॉग आउट करें।
CERT-In ने खास सिफारिशें की
संगठनों और संस्थानों के लिए भी CERT-In ने खास सिफारिशें की हैं। मैसेजिंग ऐप्स को निशाना बनाने वाले हमलों पर केंद्रित साइबर सिक्योरिटी अवेयरनेस ट्रेनिंग दी जानी चाहिए। जहां ज़रूरी हो, मोबाइल डिवाइस मैनेजमेंट सिस्टम लागू किए जाएं और फ़िशिंग व सोशल इंजीनियरिंग के संकेतों पर लगातार नज़र रखी जाए। साथ ही, किसी भी साइबर घटना का जल्दी पता लगाने और उससे निपटने के लिए मजबूत इंसिडेंट रिस्पॉन्स प्रोटोकॉल तैयार रखने पर ज़ोर दिया गया है।
कुल मिलाकर, ‘घोस्टपेयरिंग’ स्कैम यह याद दिलाता है कि साइबर अपराधी अब तकनीकी खामियों से ज़्यादा इंसानी भरोसे और लापरवाही को निशाना बना रहे हैं। ऐसे में थोड़ी-सी सतर्कता और सही जानकारी ही WhatsApp यूज़र्स की सबसे बड़ी सुरक्षा बन सकती है।
