অনলাইনে কোনো বিজ্ঞাপনে ক্লিক না করেও স্মার্টফোন বা কম্পিউটারে স্পাইওয়্যার ঢুকে যেতে পারে। এমনকি সন্দেহজনক লিংকে প্রবেশ করা কিংবা কোনো ফাইল ডাউনলোড করারও প্রয়োজন নেই। শুধু একটি বিজ্ঞাপন লোড হওয়ার মাধ্যমেই শুরু হতে পারে নজরদারির প্রক্রিয়া। ইসরায়েলি দুটি প্রতিষ্ঠানের সংশ্লিষ্টতা নিয়ে এক অনুসন্ধানে এমন তথ্য উঠে এসেছে।
কানাডার টরন্টো বিশ্ববিদ্যালয়ের গবেষণাপ্রতিষ্ঠান সিটিজেন ল্যাবের অনুসন্ধানে দেখা গেছে, অনলাইন বিজ্ঞাপন দেখানোর প্রযুক্তি ব্যবহার করে নির্দিষ্ট ব্যক্তিদের ডিভাইসে স্পাইওয়্যার পৌঁছে দেওয়া হয়েছে। এভাবে সাংবাদিকদেরও লক্ষ্যবস্তু করা হয়েছে। গবেষকেরা এই কৌশলের নাম দিয়েছেন ‘অ্যাডফেকশন’। তাঁদের দাবি, ব্যবহারকারীর কোনো সক্রিয় অংশগ্রহণ ছাড়াই বিজ্ঞাপনের মাধ্যমে ভাড়াটে স্পাইওয়্যার সরবরাহের এমন প্রযুক্তিগত প্রমাণ প্রথমবারের মতো প্রকাশ্যে এসেছে।
অনুসন্ধানে ইসরায়েলি বিজ্ঞাপনপ্রযুক্তি প্রতিষ্ঠান ডিসকভার-টেক এবং স্পাইওয়্যার নির্মাতা ক্যান্ডিরুর নাম উঠে এসেছে। ক্যান্ডিরু বর্তমানে ইন্টেগ্রিটি ল্যাবস নামে পরিচিত। ২০২১ সালের নভেম্বরে যুক্তরাষ্ট্রের বাণিজ্য বিভাগ প্রতিষ্ঠানটিকে নিষেধাজ্ঞার তালিকায় অন্তর্ভুক্ত করে। বিভাগটির অভিযোগ ছিল, ক্যান্ডিরু বিভিন্ন দেশের সরকারকে এমন স্পাইওয়্যার সরবরাহ করত, যা সাংবাদিক, অধিকারকর্মী, সরকারি কর্মকর্তা ও অন্য ব্যক্তিদের লক্ষ্যবস্তু করতে ব্যবহৃত হয়েছে। একই বছর মাইক্রোসফট ও সিটিজেন ল্যাব প্রতিষ্ঠানটির সঙ্গে সংশ্লিষ্ট স্পাইওয়্যারের শিকার ১০০ জনের বেশি ব্যক্তিকে শনাক্ত করেছিল।
বিজ্ঞাপন থেকে যেভাবে শুরু হয় হামলা
সিটিজেন ল্যাবের তথ্য অনুযায়ী, ডিসকভার-টেক এমন বিজ্ঞাপনব্যবস্থা ব্যবহার করত, যার মাধ্যমে ইন্টারনেটজুড়ে নির্দিষ্ট ব্যবহারকারীদের শনাক্ত করা সম্ভব হতো। সাধারণত সম্ভাব্য ক্রেতার কাছে পণ্য বা সেবার বিজ্ঞাপন পৌঁছাতে এ ধরনের প্রযুক্তি ব্যবহৃত হয়। কিন্তু একই ব্যবস্থা কাজে লাগিয়ে নজরদারির লক্ষ্যবস্তুর ডিভাইসে ক্ষতিকর কোডও পাঠানো সম্ভব।
কোনো ব্যবহারকারী এমন ওয়েবসাইটে প্রবেশ করলে বা অ্যাপ ব্যবহার করলে, যেখানে ডিসকভার-টেকের বিজ্ঞাপন রয়েছে, তখন বিজ্ঞাপনটি স্ক্রিনে দেখা যেতে পারে কিংবা ব্যবহারকারীর অজান্তেই পেছনে লোড হতে পারে। বিজ্ঞাপনের সঙ্গে থাকা কোড ডিসকভার-টেকের সার্ভারের সঙ্গে যোগাযোগ করে। এ সময় ডিভাইসের আইপি ঠিকানা ও বিজ্ঞাপন শনাক্তকারীর মতো তথ্য ব্যবহার করে ডিভাইসটি চিহ্নিত করা হতে পারে।
এরপর সার্ভার যাচাই করে, ডিভাইসটি হামলাকারীর নির্ধারিত লক্ষ্য কি না। সাধারণ ব্যবহারকারীদের ক্ষেত্রে অতিরিক্ত কোড পাঠানো হয় না। কিন্তু নির্দিষ্ট লক্ষ্যবস্তুর ডিভাইস শনাক্ত হলে সেখানে আরও কোড পাঠানো হয়, যা ডিভাইসটিকে স্পাইওয়্যারের অবকাঠামোর সঙ্গে যুক্ত করতে পারে। ফলে কোনো লিংকে ক্লিক না করেও হামলার প্রক্রিয়া শুরু হওয়ার ঝুঁকি থাকে।
আল জাজিরার ৪৫টি ডিভাইস লক্ষ্যবস্তু
সিটিজেন ল্যাব জানিয়েছে, ২০২৪ ও ২০২৫ সালে আল জাজিরার অন্তত ৪৫টি ডিভাইসকে লক্ষ্য করে হামলা চালানো হয়। এসব হামলার সঙ্গে ডিসকভার-টেকের বিজ্ঞাপনের মাধ্যমে সরবরাহ করা ক্যান্ডিরুর স্পাইওয়্যারের যোগসূত্র পাওয়া গেছে।
তবে ৪৫টি ডিভাইস লক্ষ্যবস্তু হওয়ার অর্থ এই নয় যে সব কটিতে সফলভাবে স্পাইওয়্যার প্রবেশ করেছিল। গবেষকেরা সংক্রমণের প্রমাণ পেয়েছেন, কিন্তু মোট কতটি ডিভাইস সফলভাবে আক্রান্ত হয়েছিল, তা নিশ্চিত করেননি।
আল জাজিরার সরবরাহ করা নেটওয়ার্কের তথ্য বিশ্লেষণ করে গবেষকেরা হামলার পদ্ধতি পুনর্গঠন করেন। পাশাপাশি, একটি আক্রান্ত উইন্ডোজ কম্পিউটার থেকে উদ্ধার করা ক্ষতিকর সফটওয়্যারের সঙ্গে ক্যান্ডিরুর অবকাঠামোর মিল খুঁজে পান। এসব প্রযুক্তিগত প্রমাণের ভিত্তিতে তাঁরা উচ্চ মাত্রার নিশ্চয়তার সঙ্গে হামলাগুলোকে ক্যান্ডিরুর সঙ্গে যুক্ত করেন।
স্পাইওয়্যার কোনো ডিভাইসে প্রবেশ করতে পারলে ব্যক্তিগত তথ্য, বার্তা ও পাসওয়ার্ড চুরি, স্ক্রিনশট নেওয়া এবং মাইক্রোফোন ও ক্যামেরা ব্যবহারের মতো কাজ করা সম্ভব হতে পারে। সাংবাদিকদের ক্ষেত্রে এতে তাঁদের গোপন সূত্র, ব্যক্তিগত কথোপকথন ও গুরুত্বপূর্ণ নথিপত্র ঝুঁকিতে পড়তে পারে।
বিশ্বজুড়ে বিজ্ঞাপনের বিস্তার
সিটিজেন ল্যাব ২০২৬ সালের মার্চ থেকে জুন পর্যন্ত প্রায় ৪০০ কোটি বিজ্ঞাপন-নিলামের রেকর্ড বিশ্লেষণ করে। এতে দেখা যায়, ডিসকভার-টেকের বিজ্ঞাপন বিশ্বের ১ লাখ ২০ হাজারের বেশি ওয়েবসাইট এবং ৭০ হাজারেরও বেশি মোবাইল অ্যাপে পৌঁছেছিল।
গবেষকদের মতে, এসব বিজ্ঞাপন লাখ লাখ ডিভাইসকে ক্যান্ডিরু-সংশ্লিষ্ট সার্ভারের সঙ্গে যোগাযোগ করিয়েছে। এর ফলে ব্যবহারকারীদের তথ্য সংগ্রহ এবং সম্ভাব্য লক্ষ্যবস্তু শনাক্ত করার সুযোগ তৈরি হয়েছিল। তবে বিজ্ঞাপন দেখা বা সার্ভারের সঙ্গে যোগাযোগ হওয়া মানেই স্পাইওয়্যার সংক্রমণ নয়।
ইতালি, ডেনমার্ক, নরওয়ে, অস্ট্রেলিয়া, রাশিয়া, মেক্সিকো ও ইসরায়েলসহ ২৪টি দেশের সরকারি নেটওয়ার্কে এসব বিজ্ঞাপন দেখা গেছে। যুক্তরাষ্ট্রের অধীনস্থ আমেরিকান সামোয়াতেও বিজ্ঞাপনগুলোর উপস্থিতি পাওয়া যায়। বিবিসি, দ্য নিউইয়র্ক টাইমস, ডুয়োলিঙ্গো ও অ্যাকুওয়েদারের মতো জনপ্রিয় ওয়েবসাইট ও অ্যাপেও ডিসকভার-টেকের বিজ্ঞাপন দেখা গেছে।
বিজ্ঞাপন নিরাপত্তা প্রতিষ্ঠান কনফিয়ান্টের অনুসন্ধানে যুক্তরাষ্ট্রের প্রতিরক্ষা বিভাগের সঙ্গে সংশ্লিষ্ট নেটওয়ার্ক, আন্তর্জাতিক আণবিক শক্তি সংস্থা এবং আন্তর্জাতিক অপরাধ আদালতের সঙ্গে সংশ্লিষ্ট নেটওয়ার্কেও এসব বিজ্ঞাপন পৌঁছানোর ইঙ্গিত পাওয়া গেছে। তবে এসব নেটওয়ার্কে বিজ্ঞাপন দেখা যাওয়া মানেই সেখানকার ব্যবহারকারীরা স্পাইওয়্যারে আক্রান্ত হয়েছেন, এমন নয়।
শুধু লিংক এড়িয়ে চলাই যথেষ্ট নয়
সাইবার হামলা থেকে বাঁচতে অপরিচিত লিংকে ক্লিক না করা এবং সন্দেহজনক ফাইল ডাউনলোড না করার পরামর্শ দেওয়া হয়। কিন্তু বিজ্ঞাপনের মাধ্যমেই হামলা শুরু হলে এসব সতর্কতা যথেষ্ট নাও হতে পারে।
সিটিজেন ল্যাবের পরিচালক রন ডিবার্ট কানাডার সম্প্রচারমাধ্যম সিবিসিকে বলেন, বিজ্ঞাপনটি ডিভাইসে লোড হওয়ার মুহূর্তেই সেটি হ্যাক হওয়ার ঝুঁকি তৈরি হতে পারে। তাঁর মতে, এ ধরনের হামলা থেকে সুরক্ষিত থাকা কঠিন।
অনুসন্ধানে ‘ডার্ক কার্টোগ্রাফার’ নামে আরেকটি পক্ষের কার্যক্রমও উঠে এসেছে। সিটিজেন ল্যাবের তথ্য অনুযায়ী, তারা ডিসকভার-টেকের অবকাঠামো এবং মোবাইল অপারেটরদের ব্যবস্থার দুর্বলতা কাজে লাগিয়ে বিজ্ঞাপন শনাক্তকারীকে ফোন নম্বরের সঙ্গে যুক্ত করত। এর ফলে ইন্টারনেট ব্যবহারকারীদের পরিচয় শনাক্ত ও তাঁদের ওপর নজরদারির ঝুঁকি তৈরি হতে পারে। এ বিষয়ে বিস্তারিত তথ্য নিয়ে আলাদা প্রতিবেদন প্রকাশের কথা জানিয়েছে সংস্থাটি।
গবেষকেরা বিজ্ঞাপনপ্রযুক্তি প্রতিষ্ঠানগুলোর ওপর কঠোর নিয়ন্ত্রণের সুপারিশ করেছেন। পাশাপাশি, বিভিন্ন প্রতিষ্ঠানকে তাদের নেটওয়ার্কের প্রবেশপথে লক্ষ্যভিত্তিক বিজ্ঞাপন বন্ধ করার পরামর্শ দিয়েছেন।
রন ডিবার্টের মতে, যথাযথ নিয়ন্ত্রণের অভাবে অনলাইন বিজ্ঞাপন ও ভাড়াটে স্পাইওয়্যার একসঙ্গে ব্যবহার করে বিশ্বজুড়ে মানুষের ওপর নজরদারি চালানোর সুযোগ তৈরি হয়েছে। তিনি এ ঘটনাকে ব্যাপক পরিসরে পরিচালিত বৈশ্বিক গুপ্তচরবৃত্তি হিসেবে বর্ণনা করেছেন।
সূত্র: আনাদোলু এজেন্সি
