একটি ওয়েবপেজ খুললেই কিংবা অ্যাপ রিফ্রেশ করলেই আপনার ফোন বা কম্পিউটারে ঢুকে পড়তে পারে ক্ষতিকর সফটওয়্যার। এর জন্য কোনো লিংকে ক্লিক করা, ফাইল ডাউনলোড করা কিংবা সন্দেহজনক বার্তা খোলার প্রয়োজন নেই। ‘জিরো-ক্লিক’ নামে পরিচিত এই সাইবার আক্রমণের মাধ্যমে ব্যক্তিগত তথ্য চুরি করে দূরবর্তী সার্ভারে পাঠানো সম্ভব।

কানাডাভিত্তিক গবেষণা প্রতিষ্ঠান সিটিজেন ল্যাবের এক অনুসন্ধানে এমনই একটি আক্রমণের পেছনে ইসরাইলি স্পাইওয়্যার প্রতিষ্ঠান ক্যান্ডিরুর সংশ্লিষ্টতা পাওয়া গেছে। অনলাইন বিজ্ঞাপনকে সংক্রমণের মাধ্যম হিসেবে ব্যবহার করে চালানো এই আক্রমণে আল জাজিরার সাংবাদিকদেরও লক্ষ্যবস্তু করা হয়েছিল।

গবেষণা অনুযায়ী, ২০২৫ সালের জুনে আল জাজিরার কর্মীদের ব্যবহৃত ৪৫টি ডিভাইসকে স্পাইওয়্যারের মাধ্যমে লক্ষ্যবস্তু করা হয়। আক্রান্ত হওয়ার ঝুঁকিতে থাকা সাংবাদিকদের মধ্যে কয়েকজন সংবেদনশীল বিষয় নিয়ে প্রতিবেদন করতেন। এ ধরনের আক্রমণে ব্যবহারকারীকে কোনো ফাইল খুলতে বা ডাউনলোড করতে হয় না।

আল জাজিরার অভ্যন্তরীণ তদন্তের সূত্র ধরে সিটিজেন ল্যাব নেটওয়ার্কের তথ্য বিশ্লেষণ করে আক্রমণের ধরন শনাক্ত করে। গবেষকদের মতে, এ ঘটনা বিশ্বজুড়ে সাইবার নিরাপত্তার জন্য নতুন উদ্বেগ তৈরি করেছে।

যুক্তরাষ্ট্রের ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, লস অ্যাঞ্জেলেসের তথ্য অধ্যয়ন বিভাগের অধ্যাপক রমেশ শ্রীনিবাসন আল জাজিরাকে বলেন, ‘আমরা জানতাম, আমরা এই দিকেই এগোচ্ছি। এখন বিষয়টি জনসমক্ষে চলে এসেছে।’

তিনি বলেন, ‘এটি নজরদারির পরবর্তী ধাপ, যেখানে মানুষকে অত্যন্ত সুনির্দিষ্টভাবে লক্ষ্যবস্তু করা হচ্ছে।’

যেভাবে কাজ করে ‘জিরো-ক্লিক’ আক্রমণ
আল জাজিরার প্রযুক্তি দল ২০২৪ সালে কয়েকজন সাংবাদিকের ডিভাইসে অস্বাভাবিক কার্যক্রম শনাক্ত করে। পরবর্তী সময়ে ২০২৫ সালে সিটিজেন ল্যাবকে দেয়া নেটওয়ার্ক লগ বিশ্লেষণ করে আক্রমণের সময় ও পদ্ধতি সম্পর্কে গুরুত্বপূর্ণ তথ্য পাওয়া যায়।

গবেষকদের অনুসন্ধানে উঠে আসে, ডিসকভার-টেক নামের একটি ইসরাইলি প্রতিষ্ঠান অনলাইন বিজ্ঞাপনের মাধ্যমে লক্ষ্যবস্তু শনাক্ত করতে সহায়তা করেছিল। প্রতিষ্ঠানটি বৈধ বিজ্ঞাপন সংস্থা হিসেবে কাজ করলেও গবেষকদের মতে, এটি ভাড়াটে স্পাইওয়্যার কার্যক্রমের সাথে যুক্ত ছিল।

বিজ্ঞাপন নেটওয়ার্কের মাধ্যমে নির্দিষ্ট ব্যবহারকারীদের শনাক্ত করার পর তাদের ডিভাইসকে গোপনে ক্যান্ডিরুর নিয়ন্ত্রিত একটি সংক্রমিত সার্ভারের দিকে পরিচালিত করা হয় বলে প্রতিবেদনে উল্লেখ করা হয়েছে।

২০২১ সালে যুক্তরাষ্ট্র সরকার ক্যান্ডিরুকে কালো তালিকাভুক্ত করে। সিটিজেন ল্যাবের আগের এক অনুসন্ধানে প্রতিষ্ঠানটির বিরুদ্ধে ১০টি দেশে অন্তত ১০০ জন অধিকারকর্মী, সাংবাদিক ও রাজনৈতিক কর্মীকে অবৈধভাবে হ্যাকিং ও নজরদারির লক্ষ্যবস্তু করার অভিযোগ উঠে আসে।

আল জাজিরা মিডিয়া নেটওয়ার্ক তাদের কর্মীদের ডিভাইস লক্ষ্যবস্তু করার ঘটনার নিন্দা জানিয়েছে এবং এর জন্য দায়ীদের জবাবদিহির আওতায় আনার আহ্বান জানিয়েছে।

সাইবার নিরাপত্তা বিশ্লেষক ও লেখক এডি উইলেম্স বলেন, ক্ষতিকর বিজ্ঞাপন প্রদর্শনের সময়ই ডিভাইসে আক্রমণের প্রক্রিয়া শুরু হতে পারে। তবে ব্রাউজারে কোড চালানো আর পুরো কম্পিউটারের নিয়ন্ত্রণ নেয়া এক বিষয় নয়।

তার ব্যাখ্যা অনুযায়ী, ব্রাউজারের ‘স্যান্ডবক্স’ নামে পরিচিত নিরাপত্তাবেষ্টনী অতিক্রম করতে আক্রমণকারীদের আরো একটি দুর্বলতার সুযোগ নিতে হতে পারে। উন্নত স্পাইওয়্যার আক্রমণে একাধিক নিরাপত্তাত্রুটির সমন্বয় ঘটানো সম্ভব। এ কারণেই এ ধরনের আক্রমণ শনাক্ত করা ও প্রতিরোধ করা কঠিন।

ডিভাইস সংক্রমিত হলে স্পাইওয়্যারটি ফাইল, নথি, ব্রাউজারের কুকি, বুকমার্ক ও সংরক্ষিত লগইন তথ্যসহ সংবেদনশীল উপাত্ত সংগ্রহ করতে পারে। এ ছাড়া কী-বোর্ডে টাইপ করা তথ্য ধারণ, স্ক্রিনশট নেয়া, মাইক্রোফোন ও ক্যামেরার মাধ্যমে তথ্য সংগ্রহ এবং বিভিন্ন যোগাযোগমাধ্যমের বার্তা ও ইমেইল হাতিয়ে নেয়ার সক্ষমতাও থাকতে পারে।

চুরি করা তথ্য গোপনে পাঠাতে এ ধরনের স্পাইওয়্যার এনক্রিপ্ট করা যোগাযোগব্যবস্থা ব্যবহার করতে পারে। অনেক ক্ষেত্রে তথ্য ছোট ছোট অংশে ভাগ করে বিভিন্ন সময়ে পাঠানো হয়, যাতে নিরাপত্তাব্যবস্থার নজর এড়ানো যায়।

বিজ্ঞাপনই যখন সাইবার আক্রমণের মাধ্যম
সিটিজেন ল্যাবের অনুসন্ধান অনলাইন বিজ্ঞাপনব্যবস্থার একটি গুরুত্বপূর্ণ দুর্বলতা তুলে ধরেছে। বিজ্ঞাপন প্রদর্শনের অবকাঠামো ব্যবহার করে কীভাবে নির্দিষ্ট ব্যক্তিকে শনাক্ত এবং তার ডিভাইসে ক্ষতিকর কনটেন্ট পৌঁছে দেয়া সম্ভব, তা এ ঘটনায় স্পষ্ট হয়েছে।

আয়ারল্যান্ডের টিইউ ডাবলিনের ব্ল্যানচার্ডসটাউন ক্যাম্পাসের সাইবার নিরাপত্তাবিষয়ক প্রভাষক স্টিফেন ও'শাগনেসি বলেন, কোনো ব্যবহারকারী ওয়েবসাইট বা অ্যাপ খুললে বিজ্ঞাপনের জায়গা বিক্রির জন্য স্বয়ংক্রিয় নিলাম হয়। এক সেকেন্ডেরও কম সময়ে সম্পন্ন হওয়া এ প্রক্রিয়ায় ব্যবহারকারীর ডিভাইসের পরিচিতি, আইপি ঠিকানা, আনুমানিক অবস্থান এবং ব্যবহৃত ওয়েবসাইট বা অ্যাপের তথ্য বিজ্ঞাপনদাতাদের কাছে পৌঁছাতে পারে।

ও'শাগনেসির ভাষ্য অনুযায়ী, ডিসকভার-টেক সাধারণ বিজ্ঞাপনদাতার পরিচয় ব্যবহার করে এসব তথ্যের সাহায্যে নির্দিষ্ট ব্যক্তিকে শনাক্ত করতে এবং তার ডিভাইসে বিজ্ঞাপন প্রদর্শনের সুযোগ পেতে পারে। এতে লক্ষ্যবস্তুর ফোন নম্বর বা ইমেইল ঠিকানা জানার প্রয়োজন হয় না।

তিনি বলেন, ‘যেহেতু এতে কোনো বার্তা বা লিংক জড়িত থাকে না, তাই ভুক্তভোগীর পক্ষে সন্দেহজনক কিছু শনাক্ত করার সুযোগও খুব কম।’

প্রতিবেদনে বলা হয়েছে, ডিসকভার-টেক গুগল ও বিজ্ঞাপনশিল্পের সংগঠন আইএবি ইউরোপের অনুমোদিত বা প্রত্যয়িত বিক্রেতাদের তালিকায় ছিল। প্রতিষ্ঠানটি গুগল, ইয়ানডেক্স ও বিসওয়াক্সের মতো বিজ্ঞাপন নেটওয়ার্কের মাধ্যমেও বিজ্ঞাপন পরিবেশন করেছে বলে গবেষণায় উঠে এসেছে।

সিটিজেন ল্যাবের মতে, বিজ্ঞাপনব্যবস্থার কাঠামোগত দুর্বলতার কারণে এ ধরনের অপব্যবহার শনাক্ত ও প্রতিরোধ করা কঠিন হয়ে পড়েছে।

গবেষকেরা আরো জানিয়েছেন, বিশ্বের বিভিন্ন দেশের জাতীয় নিরাপত্তাসংশ্লিষ্ট নেটওয়ার্কে কর্মরত ব্যক্তিদের ডিভাইসেও ডিসকভার-টেকের বিজ্ঞাপন দেখা গেছে। এসব নেটওয়ার্কের মধ্যে প্রতিরক্ষা মন্ত্রণালয়, সশস্ত্র বাহিনী, জাতীয় সাইবার নিরাপত্তা সংস্থা, আন্তসরকারি প্রতিষ্ঠান ও সংবাদমাধ্যমের নেটওয়ার্ক রয়েছে।

জাতিসংঘ, ন্যাটো, ইউরোপীয় পার্লামেন্ট, ইউরোপীয় কমিশন এবং ইউরোপীয় ইউনিয়নের কাউন্সিলের ব্যবহৃত নেটওয়ার্কেও এসব বিজ্ঞাপন দেখা গেছে বলে সিটিজেন ল্যাবের প্রতিবেদনে উল্লেখ করা হয়েছে।

২৪টি দেশের সরকারি নেটওয়ার্ক লক্ষ্যবস্তু
সিটিজেন ল্যাবের অনুসন্ধান অনুযায়ী, যুক্তরাষ্ট্র, ইতালি, ডেনমার্ক, নরওয়ে, অস্ট্রেলিয়া, রাশিয়া, মেক্সিকো ও ইসরায়েলসহ অন্তত ২৪টি দেশের সরকারি নেটওয়ার্কে এসব বিজ্ঞাপন প্রদর্শিত হয়েছে। অস্ট্রেলিয়া, ডেনমার্ক ও সুইডেনের বিভিন্ন সংবাদমাধ্যমের নেটওয়ার্কও লক্ষ্যবস্তু হয়েছিল।

নিউইয়র্কভিত্তিক বিজ্ঞাপন নিরাপত্তা প্রতিষ্ঠান কনফিয়্যান্টের পৃথক এক প্রতিবেদনেও বলা হয়েছে, তাদের অনুসন্ধানে পেন্টাগন, আন্তর্জাতিক পরমাণু শক্তি সংস্থা এবং আন্তর্জাতিক অপরাধ আদালতের ব্যবহৃত গুরুত্বপূর্ণ নেটওয়ার্কে ডিসকভার-টেকের কিছু বিজ্ঞাপনের উপস্থিতি পাওয়া গেছে।

তবে এসব নেটওয়ার্কে বিজ্ঞাপন প্রদর্শিত হওয়া মানেই সংশ্লিষ্ট সব ডিভাইস স্পাইওয়্যারে আক্রান্ত হয়েছে, এমন নয়। ও'শাগনেসি বলেন, কিছু ক্ষেত্রে ব্যবহারকারীদের প্রোফাইলিংয়ের প্রমাণ পাওয়া গেলেও সংক্রমণ নিশ্চিত করা যায়নি।

তিনি বলেন, ‘শুধু এ বিষয়টিই উদ্বেগজনক। বিজ্ঞাপনব্যবস্থাটি এমনভাবে তৈরি, যাতে অজানা বিজ্ঞাপনদাতাদের কোড নির্দিষ্ট লক্ষ্যবস্তু নির্বাচন করে কোটি কোটি স্ক্রিনে পৌঁছাতে পারে। অথচ নিরাপত্তার দিক থেকে পুরো প্রক্রিয়াটি খুব কমই পর্যবেক্ষণ করা হচ্ছিল।’

কীভাবে নিরাপদ থাকবেন
বিশ্লেষকদের মতে, এ ধরনের আক্রমণ পরিচালনা ব্যয়বহুল এবং সাধারণত নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো হয়। তাই সাধারণ ব্যবহারকারীদের তুলনায় সাংবাদিক, সরকারি কর্মকর্তা, অধিকারকর্মী ও জাতীয় নিরাপত্তাসংশ্লিষ্ট ব্যক্তিদের ঝুঁকি বেশি হতে পারে।

ঝুঁকি কমাতে বিশেষজ্ঞরা কয়েকটি পদক্ষেপের পরামর্শ দিয়েছেন:

বিজ্ঞাপন প্রতিরোধক ব্যবহার: নির্ভরযোগ্য অ্যাড ব্লকার ব্যবহার করলে ক্ষতিকর বিজ্ঞাপনের সংস্পর্শ কমানো সম্ভব।
ডিভাইস ও অ্যাপ হালনাগাদ রাখা: অপারেটিং সিস্টেম, ব্রাউজার ও অ্যাপের নিরাপত্তা হালনাগাদ নিয়মিত ইনস্টল করা জরুরি।
গোপনীয়তা সেটিংস নিয়ন্ত্রণ: ফোনের বিজ্ঞাপন শনাক্তকারী বা অ্যাডভার্টাইজিং আইডি বন্ধ বা সীমিত রাখুন।
উন্নত নিরাপত্তা সুবিধা চালু রাখা: ঝুঁকিপূর্ণ ব্যক্তিরা সমর্থিত ডিভাইসে লকডাউন মোড বা অ্যান্ড্রয়েডের অ্যাডভান্সড প্রোটেকশনের মতো সুবিধা ব্যবহার করতে পারেন।
ব্যক্তিগত সতর্কতার পাশাপাশি বিজ্ঞাপনশিল্প ও নিয়ন্ত্রক সংস্থাগুলোরও দায়িত্ব রয়েছে বলে মনে করেন ও'শাগনেসি। তাঁর মতে, বিজ্ঞাপনদাতাদের পরিচয় ও কার্যক্রম যাচাই আরও কঠোর করতে হবে। একই সঙ্গে বিজ্ঞাপনের স্বয়ংক্রিয় নিলামব্যবস্থায় বিপুলসংখ্যক অজানা প্রতিষ্ঠানের কাছে ব্যক্তিগত তথ্য ছড়িয়ে পড়া সীমিত করতে কার্যকর নীতিমালা প্রয়োজন।

গবেষকদের মতে, অনলাইন বিজ্ঞাপন শুধু বিপণনের মাধ্যম নয়—যথাযথ নজরদারি ও নিরাপত্তা যাচাইয়ের অভাব থাকলে এটি লক্ষ্যভিত্তিক সাইবার আক্রমণের পথও হয়ে উঠতে পারে।