30 सेकेंड्स में जानें बड़ी बातें: भारतीय व्हाट्सऐप यूजर्स पर Ghostpairing नाम का एक नया अटैक साइबरक्रिमिनल्स द्वारा किया जा रहा है। इस साइबरअटैक में Linked Devices के जरिए यूजर के अकाउंट का एक्सेस हासिल कर लिया जाता है। अब तक के सबसे खतरनाक व्हाट्सऐप अटैक में मैसेज में किसी फोटो, वीडियो के बहाने यूजर के फोन का रिमोट एक्सेस लेकर व्हाट्सऐप हैक किया जाता है।
व्हाट्सऐप यूजर्स के लिए एक नया खतरा आ गया है। जी हां, Meta के मालिकाना हक वाले इंस्टेंट मैसेजिंग ऐप पर एक नए तरह का अटैक साइबरक्रिमिनल्स द्वारा किया जा रहा है। GhostPairing नाम के इस अटैक को लेकर सरकारी एजेंसी (CERT-In) ने अलर्ट जारी किया है। भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने GhostPairing नामक एक खतरनाक नए साइबर हमले के तरीके को लेकर हाई-प्रायोरिटी एडवाइजरी जारी की है। नाम जितना खतरनाक लगता है, यह साइबर हमला उतना ही गंभीर है। इस तकनीक के जरिए साइबर अपराधी ट्रेडिशनल हैकिंग के तरीकों के बिना (जैसे SIM स्वैपिंग या पासवर्ड क्रैक करना) पीड़ित के WhatsApp अकाउंट का परमानेंट और पूरा एक्सेस पा लेते हैं।
अभी तक मेटा की तरफ से भारत में अपने लाखों यूजर्स को इस स्कैम से बचाने में मदद करने के लिए कोई समाधान नहीं दिया गया है। लेकिन भारतीय सरकारी एजेंसी ने लोगों इस खामी को लेकर चेतावनी जारी की है। इसके साथ ही यूजर्स से अपील की गई है कि वे कुछ जरूरी सिक्यॉरिटी प्रोटोकॉल का पालन करें ताकि उनके व्हाट्सैप अकाउंट को मैलिशियस एक्टर्स द्वारा हैक करने से बचाया जा सके।
गौर करने वाली बात है कि भारत में लाखों लोगों के लिए व्हाट्सऐप प्राइमरी कमयुनिकेशन टूल की तरह काम करता है। सरकारी एजेंसी ने हैक किए गए (कंप्रोमाइज़्ड) अकाउंट्स की व्यापक गतिविधि को रोकने के लिए तत्काल सतर्कता बरतने की अपील की है।
WhatsApp GhostPairing attack कैसे करता है काम?
व्हाट्सऐप गोस्टपेयरिंग अटैक एक तरह से सोशल इंजीनियरिंग का एक उदाहण है। इस साइबरअटैक में क्रिमिनल्स व्हाट्सऐप के मल्टीडिवाइस फीचर में सेंध लगा लेते हैं और उन्हें बिना कोई संकेत या निशान छोड़े ही पीड़ित के अकाउंट का एक्सेस मिल जाता है।
स्टेप 1
इस अटैक में आमतौर पर उस दोस्त या फैमिली मेंबर से एक मैसेज आता है जिसका अकाउंट पहले ही हाइजैक किया जा चुका है। इस मैसेज में एक नॉर्मल मैसेज लिखा होता है जैसे – “Hi, check this photo!” या “Did you see yourself in this video?” इसके साथ एक यूआरएल अटैच रहता है जो देखने में असली फेसबुक या इंस्टाग्राम प्रिव्यू की तरह दिखता है।
स्टेप 2
जब पीड़ित इस लिंक पर क्लिक करता है तो उन्हें एकदम असली जैसी दिखने वाली वेबसाइट पर डायरेक्ट कर दिया जाता है। इस मीडिया को अनलॉक करने के लिए वेबसाइट यूजर से ‘व्हाट्सऐप के जरिए आइडेंटिटी वेरिफाई’ करने के लिए कहती है। इस स्टेज पर यूजर से मोबाइल नंबर मांगा जाता है।
स्टेप 3
जब तक यूजर फोटो लोड होने का इंतजार करता है, तब तक रियल-टाइम में साइट को मॉनिटर करने वाले अटैकर पीड़ित के मोबाइल नंबर में ‘Link with Phone Number’ सेक्शन में जाकर अपने सर्वर पर एक नया व्हाट्सऐप इंस्टॉल कर लेते हैं।
इसके बाद पीड़ित को व्हाट्सऐप से एक वैध सिस्टम नोटिफिकेशन मिलता है जिसमें पेयरिंग कोड होता है। इसके बाद काउंटरफिट वेबसाइट यूजर को प्रॉम्प्ट देती है, ‘Enter the code shown on your screen to verify।’ वेबसाइट पर इस कोड को एंटर करके पीड़ित अनजाने में अटैकर की डिवाइस को ‘Linked Device’ के तौर पर ऑथराइज़ कर देता है।
पुराने तरीकों की तुलना में ज्यादा खतरनाक है WhatsApp GhostPairing अटैक
पूरी तरह अकाउंट अपने कब्ज़े में लेने की स्थिति में जहां यूज़र को उनके फोन से लॉग आउट कर दिया जाता है और उन्हें तुरंत पता चल जाता है। इससे अलग GhostPairing एक गुपचुप होने वाला हमला है।
– हमलावर बिना यूजर को भनक लगे हर आने-जाने वाले मैसेज को पढ़ सकता है। ‘View Once’ मीडिया देख सकता है और वॉइस नोट्स भी सुन सकता है।
– हमलावर ‘Ghost’ सेशन का इस्तेमाल करके पीड़ित के कॉन्टैक्ट्स को मैसेज भेजते हैं। अक्सर वे इमरजेंसी दिखाकर वित्तीय मदद मांगते हैं या फिर मैलवेयर को और फैलाने की कोशिश करते हैं।
– क्योंकि हमलावर के पास ‘Linked Devices’ पोर्टल का एक्सेस होता है। वे कुछ ही मिनटों में सालों की चैट हिस्ट्री को अपने सिस्टम पर सिंक कर सकते हैं।
CERT-In की चेतावनी: GhostPairing से व्हाट्सऐप को कैसे रखें सुरक्षित
WhatsApp GhostPairing के जोखिम को कम करने के लिए CERT-In ने कुछ सुरक्षा गाइडलाइंस रिलीज किए हैं:
हर सप्ताह अपनी ‘Linked Devices’ को चेक करें
‘Linked Devices’ को चेक करने के लिए नीचे दिए गए स्टेप्स को फॉलो करें
सबसे पहले WhatsApp की Settings में जाएं। और फिर Linked Devices पर टैप करें
अगर आपको कोई ऐसा ब्राउज़र (Chrome, Linux) या डिवाइस दिखे जिसे आप पहचानते ना हों तो इस पर टैप करें और तुरंत ‘Log Out’ कर दें।
कभी भी कोड शेयर ना करें
व्हाट्सऐप पर आया पेयरिंग कोड किसी वेबसाइट पर कभी एंटर ना करें। चाहें यह दावा किया जा रहा हो कि यह कोड ‘verification’ या ‘age-gating’ के लिए है। ध्यान रहे कि सिर्फ व्हाट्सऐप वेब पोर्टल पर आपको कोड टाइप करने या QR कोड स्कैन करने की जरूरत होती है।
ऑफलाइन वेरिफिकेशन
अगर कोई दोस्त आपको कोई संदिग्ध लिंक भेजता है तो यह पुष्टि करने के लिए उन्हें कॉल करें ताकि यह पता चल सके कि असल में लिंक उन्होंने भेजा है या नहीं।
2-step वेरिफिकेशन इनेबल करें
GhostPairing आपके लॉगइन की प्रक्रिया को बायपास कर देता है लेकिन अकाउंट पर PIN इनेबल होने से एक एक्सट्रा सिक्यॉरिटी लेयर जुड़ जाती है जो ऐप के कुछ वर्जन में पेयरिंग प्रक्रिया को कभी-कभी बाधित कर सकता है।