ஐஃபோன் பயனர்களுக்கு ஆபத்து: கிளிக் செய்யாமலே வாட்ஸ்அப் ஹேக் செய்யும் ‘ஜீரோ-கிளிக்’ தாக்குதல் – இலங்கை CERT அவசர எச்சரிக்கை!
கொழும்பு (KVC Media): இலங்கையில் ஐஃபோன் (iPhone) கையடக்கத் தொலைபேசிகளைப் பயன்படுத்தும் வாட்ஸ்அப் பயனர்களை இலக்குவைத்து, மிகவும் அபாயகரமான மற்றும் நுட்பமான ‘ஜீரோ-கிளிக்’ (Zero-Click) இணையத் தாக்குதல் முன்னெடுக்கப்பட்டு வருவதாக இலங்கை கணினி அவசர உதவிப் பிரிவு (Sri Lanka CERT) அதிகாரப்பூர்வ எச்சரிக்கை விடுத்துள்ளது.
ஊடகவியலாளர்கள், தொழிலதிபர்கள் மற்றும் சமூகத்தின் முக்கிய பிரமுகர்கள் உட்பட பலர் தங்களது வாட்ஸ்அப் கணக்குகள் கட்டுப்பாட்டை இழந்துள்ளதாக அளித்த முறைப்பாடுகளைத் தொடர்ந்து, இந்த சைபர் அச்சுறுத்தல் தொடர்பான விசாரணைகளை ஸ்ரீலங்கா சேர்ட் (SLCERT) தீவிரப்படுத்தியுள்ளது.
என்ன இந்த ‘ஜீரோ-கிளிக்’ (Zero-Click) தாக்குதல்?
பொதுவாக, இணைய குற்றவாளிகள் அல்லது ஹேக்கர்கள் ஒருவரின் கணக்கைக் கைப்பற்ற வேண்டுமெனில், ஏதேனும் ஒரு சந்தேகத்திற்கிடமான லிங்க் (URL Link) அனுப்பியோ அல்லது போலியான QR கோட்களை ஸ்கேன் செய்ய வைத்தோ (Phishing) கணக்குகளை ஊடுருவுவர். ஆனால், இந்த புதிய ‘ஜீரோ-கிளிக்’ தொழில்நுட்பத் தாக்குதலில், பாதிக்கப்பட்ட பயனர் எந்தவொரு லிங்க்கையும் கிளிக் செய்யவோ, புகைப்படங்களை பதிவிறக்கம் செய்யவோ அல்லது அழைப்புகளை ஏற்கவோ தேவையில்லை.
பயனரின் எவ்விதத் தொழிற்பாடும் இன்றி, வாட்ஸ்அப்பிற்கு வரும் ஒரு ரகசிய சிக்னல் அல்லது தரவுப் பாக்கெட் மூலமாகவே ஹேக்கர்கள் தொலைபேசியின் பாதுகாப்பு வளையத்தை உடைத்து கணக்கை முழுமையாகக் கைப்பற்றுகின்றனர். இது வழமையான QR கோட் மோசடிகளை விடவும் மிகவும் ஆபத்தானதும், கண்டறிவதற்கு கடினமானதுமான ஒரு அதிநவீன தாக்குதல் முறையாகும்.
iOS 16 இயங்குதளங்களின் பாதுகாப்புக் குறைபாடே காரணம்
இத்தாலிய டிஜிட்டல் தடயவியல் மற்றும் சைபர் பாதுகாப்பு நிறுவனமான ‘ஃபோரன்சர்’ (Forenser) மேற்கொண்ட முதற்கட்ட புலனாய்வு விசாரணைகளின்படி, ஆப்பிள் நிறுவனத்தின் iOS 16 இயங்குதளப் பதிப்பில் அமைந்துள்ள பாதுகாப்புக் குறைபாடுகளையே (Vulnerabilities – CVE-2025-43300 மற்றும் CVE-2025-55177) ஹேக்கர்கள் தங்களுக்கு சாதகமாகப் பயன்படுத்திக் கொள்கின்றனர் என்பது தெரியவந்துள்ளது.
குறிப்பாக, iOS 16.7.12 க்கும் குறைவான பதிப்புகளில் (Versions) இயங்கும் ஐஃபோன்களில் உள்ள ImageIO கட்டமைப்பு மற்றும் வாட்ஸ்அப் கணக்குகளை பிற சாதனங்களுடன் இணைக்கும் ‘Linked Devices Synchronization’ முறையிலுள்ள குறைபாடுகளைப் பயன்படுத்தி ஹேக்கர்கள் பயனரின் வாட்ஸ்அப் கிரிப்டோகிராஃபிக் தரவுகளைத் திருடி, தங்களது சொந்த கணினிகளில் புதிய வாட்ஸ்அப் கிளையண்டாக அதனை மாற்றிக்கொள்கின்றனர்.
(ஆதாரம்: Italian Security Firm ‘Forenser’ Forensic Report / SC Media / Security Week)
பாதிக்கப்பட்ட பயனர்களுக்கு ஏற்பட்ட அதிர்ச்சி அனுபவங்கள்
இந்த சைபர் தாக்குதலுக்கு உள்ளான இலங்கை பயனர்கள் தங்களது கணக்குகள் மூலம் தங்களுக்குத் தெரியாமலேயே பிறருக்கு அவசர பண உதவி கோரி மெசேஜ்கள் அனுப்பப்பட்டதாகத் தெரிவித்துள்ளனர்.
- இணைக்கப்பட்ட சாதனங்கள் தெரியாமை: வழக்கமாக நமது வாட்ஸ்அப் கணக்கை யாராவது வேறு கணினியிலோ அல்லது போனிலோ இணைத்தால், வாட்ஸ்அப் அமைப்பில் உள்ள ‘Linked Devices’ பகுதியில் அது காட்டும். ஆனால், இந்த அதிநவீன தாக்குதலில் ஹேக்கர்களின் சாதனங்கள் ‘Linked Devices’ பட்டியலில் காட்டுவதில்லை.
- குரூப் நிர்வாக உரிமைகள் பறிபோதல்: பாதிக்கப்பட்ட பயனர்கள் நிர்வாகிகளாக (Admins) இருந்த வாட்ஸ்அப் குழுக்களின் (Groups) முழுமையான கட்டுப்பாட்டையும் ஹேக்கர்கள் தங்கள் வசப்படுத்தியுள்ளனர்.
- தொடர் அமர்வு மோதல் (Session Contention): சாதன பதிவுகளில் (Logs) தொடர்ச்சியான ‘Resync’ நிகழ்வுகள் இடம்பெறுவது கண்டறியப்பட்டுள்ளது. அதாவது உண்மையான பயனருக்கும் ஹேக்கருக்கும் இடையே ஒரே கணக்கைப் பயன்படுத்துவதில் தொடர் மோதல் நிலவுகிறது.
தற்காத்துக் கொள்ள இலங்கை CERT வழங்கும் முக்கிய பாதுகாப்பு ஆலோசனைகள்
நிதி ஆதாயத்தை மட்டுமே முதன்மை நோக்கமாகக் கொண்டு இயங்கும் இந்த சர்வதேச சைபர் குற்றவாளிகளிடமிருந்து தங்களது ஐஃபோன் மற்றும் வாட்ஸ்அப் கணக்குகளைப் பாதுகாத்துக் கொள்ள இலங்கை கணினி அவசர உதவிப் பிரிவு (SLCERT) பின்வரும் அவசர நடவடிக்கைகளை உடனடியாக மேற்கொள்ளுமாறு பொதுமக்களைக் கேட்டுக்கொண்டுள்ளது:
- இயங்குதளத்தை உடனடியாக அப்டேட் செய்யுங்கள் (iOS Update): உங்களது ஐஃபோனில் Settings > General > Software Update பகுதிக்குச் சென்று, ஆப்பிள் நிறுவனம் வெளியிட்டுள்ள சமீபத்திய iOS 18 அல்லது iOS 17 பாதுகாப்பு அப்டேட்களை உடனடியாகப் பதிவிறக்கம் செய்து இன்ஸ்டால் செய்யுங்கள். iOS 16 பதிப்பைப் பயன்படுத்துபவர்கள் குறைந்தபட்சம் iOS 16.7.12 அல்லது அதற்கு மேற்பட்ட சமீபத்திய பதிப்பிற்கு மாற வேண்டும்.
- வாட்ஸ்அப் செயலியை அப்டேட் செய்யுங்கள்: ஆப்பிள் ஆப் ஸ்டோர் (App Store) சென்று உங்களது வாட்ஸ்அப் (WhatsApp) மற்றும் வாட்ஸ்அப் பிசினஸ் (WhatsApp Business) செயலிகளை உடனடியாக அதன் அண்மைக்காலப் பதிப்பிற்கு (Latest Version) அப்டேட் செய்யுங்கள்.
- இருபடி சரிபார்ப்பை (Two-Step Verification) ஆன் செய்யுங்கள்: வாட்ஸ்அப் அமைப்பில் Settings > Account > Two-Step Verification பகுதிக்குச் சென்று 6 இலக்க PIN எண்ணை அமைத்துக் கொள்ளுங்கள். இது உங்களது கணக்கிற்கு கூடுதல் பாதுகாப்பை வழங்கும்.
- சாட் லாக் (Chat Lock) வசதியைப் பயன்படுத்துங்கள்: முக்கியமான உரையாடல்களை Face ID அல்லது Passcode மூலம் லாக் செய்து வைக்கும் ‘Chat Lock’ அம்சத்தை இயக்குங்கள்.
- பணக் கோரிக்கைகளை தொலைபேசி அழைப்பு மூலம் உறுதிப்படுத்துங்கள்: உங்களது நண்பர்கள், உறவினர்கள் அல்லது தொழில் கூட்டாளிகளிடமிருந்து வாட்ஸ்அப்பில் அவசரமாகப் பணம் கோரி மெசேஜ் வந்தால், அந்த மெசேஜிற்கு பதில் அனுப்பாமல், நேரடியாக அவர்களை சாதாரண தொலைபேசி அழைப்பு (Normal Call) மூலம் தொடர்புகொண்டு உண்மைத் தன்மையை உறுதிப்படுத்திக் கொள்ளுங்கள்.
இணையப் பாதுகாப்பு தொடர்பான சந்தேகங்கள் அல்லது முறைப்பாடுகள் இருப்பின், இலங்கை கணினி அவசர உதவிப் பிரிவின் அதிகாரப்பூர்வ இணையதளம் அல்லது தொலைபேசி இலக்கங்கள் ஊடாக தொடர்பு கொள்ள முடியும்.
