பயனரின் எந்தவொரு நடவடிக்கையும் இன்றி தொலைபேசிகளை ஹெக் செய்யும் புதிய WhatsApp ‘Zero-Click’ தாக்குதல்! 

இலங்கையில் iPhone பயனர்களை இலக்கு வைத்து மிகவும் சிக்கலானதும் ஆபத்தானதுமான இணையத் தாக்குதல் ஒன்று பரவி வருவதாக இலங்கை கணினி அவசர தயார் நிலைப் பிரிவு(Sri Lanka CERT) அதிகாரப்பூர்வமாக அறிவித்துள்ளது. 

Facebook 

இந்தத் தாக்குதல் “Zero-Click” வகையைச் சேர்ந்ததாகும். இதன் சிறப்பம்சமும் ஆபத்தான தன்மையும் என்னவென்றால், வழக்கமான மோசடிகளைப் போல பயனர் எந்தவொரு இணைப்பையும் (Link) கிளிக் செய்யவோ அல்லது OTP (Verification Code) குறியீடுகளை வழங்கவோ இங்கு தேவையில்லை என்பதாகும். 

நீங்கள் எந்தவொரு நடவடிக்கையும் எடுக்காமல் இருந்தால்கூட, இணையக் மோசடிக்காரர்களினால் உங்கள் WhatsApp கணக்கின் முழுமையான கட்டுப்பாட்டை தங்களது வசப்படுத்திக்கொள்ள இதன் மூலம் முடியும். 

தாக்குதல் எவ்வாறு நடைபெறுகிறது?

இந்தத் தாக்குதலில், ஹேக்கர்கள் WhatsApp-இல் உள்ள “சாதனங்களை இணைக்கும் வசதி” (Linked Devices) தொடர்பான பாதுகாப்புக் குறைபாட்டைப் பயன்படுத்திக் கொள்கின்றனர். அவர்கள் மிகவும் ரகசியமான தகவல் தொடர்பு சமிக்ஞையை (Background Communication) உங்கள் தொலைபேசிக்கு அனுப்பி, உங்களுக்குத் தெரியாமலேயே தங்களது கணினி அல்லது வேறு சாதனமொன்றை உங்கள் WhatsApp கணக்குடன் இணைத்துக் கொள்கின்றனர்.

இதில் மிகவும் ஆபத்தான சில விடயங்கள் கீழே குறிப்பிடப்பட்டுள்ளன:

ஹேக் செய்யப்பட்ட சாதனங்களை மறைத்தல்:

உங்கள் தொலைபேசியில் உள்ள WhatsApp Settings இன் “Linked Devices” பகுதியில், ஹேக்கர்கள் இணைத்துள்ள போலியான சாதனங்கள் வழக்கமாகக் காண்பிக்கப்படாது. இதனால், உங்கள் WhatsApp கணக்கு ஹேக் செய்யப்பட்டுள்ளதை கண்டறிவது எளிதாக இருக்காது.

நண்பர்களிடமிருந்து பணம் மோசடி செய்தல்:

உங்கள் கணக்கிற்குள் நுழையும் ஹேக்கர்கள், உங்கள் தொடர்புகளில் உள்ளவர்கள் (Contacts) மற்றும் குடும்ப உறுப்பினர்களுக்கு குறுஞ்செய்திகளை அனுப்பி, மிகவும் அவசரமான பிரச்சினை அல்லது தேவை ஏற்பட்டுள்ளதாகக் கூறி, அவர்களிடமிருந்து பணத்தை வங்கிக் கணக்குகளில் வைப்பிலிடுமாறு கோருகின்றனர்.

WhatsApp குழுக்களை கைப்பற்றுதல்:

நீங்கள் நிர்வாகியாக (Admin) செயல்படும் WhatsApp குழுக்கள் இருந்தால், அந்தக் குழுக்களின் நிர்வாக அதிகாரங்களை (Admin Privileges) ஹேக்கர்கள் தங்களது கட்டுப்பாட்டுக்குள் கொண்டு வந்துவிடுவார்கள்.

பாதிக்கப்படக்கூடிய குறிப்பிட்ட பதிப்புகள் குறித்து பாதுகாப்பு நிபுணர்கள் தெரிவிக்கும் தகவல்

சர்வதேச இணையப் பாதுகாப்பு நிபுணர்களும், அம்னஸ்டி இன்டர்நேஷனலின் (Amnesty International) பாதுகாப்பு ஆய்வகமும் சுட்டிக்காட்டுவதன்படி, இந்தத் தாக்குதல் இரண்டு கணினி அமைப்புகளின் பாதுகாப்புக் குறைபாடுகளை ஒன்றுடன் ஒன்று தொடர்ச்சியாக இணைத்து (Exploit Chain) பயன்படுத்துவதன் மூலம் மேற்கொள்ளப்படுகிறது.

WhatsApp சாதன ஒத்திசைவு பாதுகாப்புக் குறைபாடு (CVE-2025-55177): இதன் மூலம், ஹேக்கர்கள் விசேடமாக உருவாக்கப்பட்ட போலியான செய்தியொன்றின் ஊடாக தொலைபேசியைத் தொலைவிலிருந்து கட்டுப்படுத்துகின்றனர். 

Apple இயங்குதளத்தின் ImageIO பாதுகாப்புக் குறைபாடு (CVE-2025-43300):

WhatsApp மூலம் அனுப்பப்படும் மாற்றியமைக்கப்பட்ட படக் கோப்பொன்றை தொலைபேசி செயலாக்கும் (Process) போது, இந்தப் பாதுகாப்புக் குறைபாட்டைப் பயன்படுத்தி முழு சாதனத்தையும் ஹேக்கர்களின் கட்டுப்பாட்டுக்குள் கொண்டு வர முடியும். 

நிபுணர்களின் கூற்றுப்படி, பாதிப்புக்கு உள்ளாகக்கூடிய குறிப்பிட்ட மென்பொருள் பதிப்புகள்:

Apple iOS இயங்குதளம்: Apple iOS 16 இயங்குதளத்தில் இயங்கும் அனைத்து iPhone சாதனங்களும் (குறிப்பாக iOS 16.7.12 அல்லது அதற்கு முந்தைய பழைய பதிப்புகள்).

WhatsApp Messenger (iOS): v2.25.21.73 அல்லது அதற்கு முந்தைய பதிப்புகள்.

WhatsApp Business (iOS): v2.25.21.78 அல்லது அதற்கு முந்தைய பதிப்புகள்.

WhatsApp for Mac: v2.25.21.78 அல்லது அதற்கு முந்தைய Mac கணினிப் பதிப்புகள்.

உங்களை உடனடியாகப் பாதுகாத்துக்கொள்ள வேண்டிய 5 நடவடிக்கைகள்

இந்த இணையத் தாக்குதலில் இருந்து உங்கள் தனிப்பட்ட தரவுகளையும் பணத்தையும் பாதுகாத்துக்கொள்ள, உடனடியாகப் பின்வரும் நடவடிக்கைகளை மேற்கொள்ளுங்கள்:

1. iOS மென்பொருளை புதுப்பிக்கவும்: உடனடியாக உங்கள் iPhone இல் Settings > General > Software Update பகுதிக்குச் சென்று, தொலைபேசியின் இயங்குதளத்தை சமீபத்திய மென்பொருள் பதிப்பிற்கு புதுப்பிக்கவும்.
2. WhatsApp செயலியைப் புதுப்பிக்கவும்: Apple App Store-க்குச் சென்று, உங்கள் WhatsApp செயலிக்கு புதிய புதுப்பிப்பு (Update) வெளியாகியுள்ளதா என்பதைச் சரிபார்த்து, அதனைப் புதுப்பிக்கவும்.
3. Two-Step Verification (இரண்டு-படி சரிபார்ப்பு) அம்சத்தைச் செயல்படுத்தவும்: WhatsApp இல் Settings > Account > Two-Step Verification பகுதிக்குச் சென்று, உங்கள் கணக்கிற்கு கூடுதல் பாதுகாப்பை வழங்கும் PIN இலக்கத்தையும் மின்னஞ்சல் முகவரியையும் (Email) உள்ளிடவும். இதன் பின்னர், வேறு எந்தச் சாதனத்திலும் உங்கள் கணக்கை இணைக்க இந்த PIN அவசியமாகும்.
4. Media Auto-Download வசதியை முடக்கவும்: WhatsApp மூலம் தீங்கிழைக்கும் கோப்புகள் (Malicious Payloads) தானாகப் பதிவிறக்கம் செய்யப்படுவதைத் தடுப்பதற்காக, WhatsApp Settings இல் உள்ள Media Auto-Download வசதியைத் தற்காலிகமாக முடக்க நடவடிக்கை எடுக்கவும்.
5. பணக் கோரிக்கைகளை தொலைபேசி அழைப்பு மூலம் உறுதிப்படுத்திக்கொள்ளவும்: உங்களுக்குத் தெரிந்த நண்பர் அல்லது உறவினர் ஒருவர் WhatsApp செய்தி மூலம் திடீரென பணம் கோரினால், ஒருபோதும் உடனடியாக பணத்தை வைப்பிலிட வேண்டாம். உடனடியாக அவருக்கு வழக்கமான தொலைபேசி அழைப்பொன்றை மேற்கொண்டு, அந்தக் கோரிக்கை உண்மையானதா என்பதை உறுதிப்படுத்திக்கொள்ளவும்.

உங்கள் WhatsApp கணக்கு ஏற்கனவே அசாதாரணமாகச் செயல்படுகிறதென்றால் அல்லது அது ஹேக் செய்யப்பட்டிருக்கலாம் எனத் தீவிரமாகச் சந்தேகித்தால், செயலியைப் புதுப்பிப்பதுடன், உங்கள் தொலைபேசியை முழுமையாக Factory Reset செய்யுமாறு சர்வதேச பாதுகாப்பு ஆய்வாளர்கள் பரிந்துரைக்கின்றனர். 

மூலம் – Link | Link | Link

முறைபாடு செய்தல் மற்றும் உதவியைப் பெறுதல்

உங்கள் WhatsApp கணக்கு ஹேக் செய்யப்பட்டிருக்கலாம் எனச் சந்தேகித்தால், உடனடியாக இலங்கை கணினி அவசர தயார்நிலைப் பிரிவிற்கு  (Sri Lanka CERT) அறிவிக்கவும்:

• அதிகாரப்பூர்வ அவசர தொலைபேசி இலக்கம்: 101 (காலை 9.00 மணி முதல் இரவு 8.00 மணி வரை செயல்படும்)
  
• மின்னஞ்சல்: report@cert.gov.lk
  
• அதிகாரப்பூர்வ இணையதளங்கள்: www.cert.gov.lk | www.onlinesafety.lk

சைபர் பாதுகாப்பு நிபுணர் அசேல வைத்தியாலங்கார

இது தொடர்பாக அசேல வைத்தியாலங்கார அவர்களிடம் நாம் வினவியிருந்தோம். இதன்போது அவர் எமக்கு மேலும் விளக்கமளித்ததாவது:

இலங்கை CERT வெளியிட்டுள்ள அண்மைய எச்சரிக்கையை தீவிரமாகக் கருத்தில் கொள்ள வேண்டும். குறிப்பாக, இது நாம் வழக்கமாகக் காணும் WhatsApp மோசடி அல்ல என்பதால் இது முக்கியத்துவம் பெறுகிறது. வழக்கமான WhatsApp மோசடியில், பயனர் சந்தேகத்திற்கிடமான இணைப்பைக் கிளிக் செய்யவோ, OTP குறியீட்டை வழங்கவோ அல்லது QR குறியீட்டை ஸ்கேன் செய்யவோ வேண்டியிருக்கும். ஆனால், “Zero-Click” தாக்குதல் அடிப்படையில் வேறுபட்டது. ஏனெனில், பயனர் தன்னிச்சையாக எந்தவொரு நடவடிக்கையும் எடுக்காத நிலையில்கூட அவரது கணக்கு ஆபத்துக்குள்ளாகக்கூடும்.

இந்தச் சம்பவத்தில், WhatsApp மற்றும் iPhone இடையே இணைக்கப்பட்டுள்ள சாதனங்களின் (Linked Devices) ஒத்திசைவு செயல்முறையில் காணப்படும் பாதுகாப்புக் குறைபாட்டுடன் இந்தப் பிரச்சினை தொடர்புடையதாகத் தெரிகிறது. தாக்குதலாளி அந்தப் பாதுகாப்புக் குறைபாட்டைப் பயன்படுத்தி, பாதிக்கப்பட்டவருக்குச் சந்தேகத்திற்கிடமான உள்நுழைவு அல்லது புதிய இணைக்கப்பட்ட சாதனம் தோன்றாத வகையில் WhatsApp கணக்கிற்குள் நுழையக்கூடும். இலங்கையிலிருந்து கிடைத்த தகவல்களின்படி, இவ்வாறு ஆபத்துக்குள்ளான கணக்குகள் பின்னர் மோசடியான முறையில் பணம் கோரி செய்திகளை அனுப்பவும், சில சந்தர்ப்பங்களில் அந்தக் கணக்கின் உரிமையாளர் நிர்வாகியாகச் செயல்படும் WhatsApp குழுக்களின் கட்டுப்பாட்டைப் பெறவும் பயன்படுத்தப்பட்டுள்ளன.

இங்கு முக்கியமான விடயம் என்னவென்றால், WhatsApp பயனர்கள் தேவையற்ற அச்சத்திற்கு உள்ளாக வேண்டியதில்லை. அறிக்கையிடப்பட்டுள்ள இந்தப் பாதுகாப்புக் குறைபாடு குறிப்பாக பழைய iOS பதிப்புகளுடன் தொடர்புடையதாகும். iOS 16.7.12-ஐ விட பழைய பதிப்புகள் இதற்கு உட்படுகின்றன. எனவே, இந்த நிலையில் மிகவும் பயனுள்ள பாதுகாப்பு நடவடிக்கை, iPhone இயங்குதளத்தையும் WhatsApp செயலியையும் சமீபத்திய பதிப்புகளுக்கு உடனடியாகப் புதுப்பித்து வைத்திருப்பதாகும்.

எவ்வாறாயினும், இந்தச் சம்பவம் முக்கியத்துவம் பெறுவதற்கான காரணம், சைபர் அச்சுறுத்தல் சூழல் எவ்வாறு மாறிவருகிறது என்பதை இது எடுத்துக்காட்டுவதாலாகும். பல ஆண்டுகளாக சைபர் பாதுகாப்பு தொடர்பான விழிப்புணர்வில் பயனரின் நடவடிக்கைகள் குறித்தே அதிக கவனம் செலுத்தப்பட்டது. அதாவது, சந்தேகத்திற்கிடமான இணைப்புகளைக் கிளிக் செய்யாமல் இருப்பது, OTP குறியீடுகளை வழங்காமல் இருப்பது மற்றும் தெரியாத QR குறியீடுகளை ஸ்கேன் செய்யாமல் இருப்பது போன்ற விடயங்களாகும். அந்த முன்னெச்சரிக்கை நடவடிக்கைகள் இன்றும் மிகவும் முக்கியமானவை. ஆனால், Zero-Click பாதுகாப்புக் குறைபாடுகள், மிகவும் எச்சரிக்கையுடன் செயல்படும் பயனருக்குக்கூட சரியான முடிவொன்றை எடுப்பதற்கான வாய்ப்பை வழங்காத வகையிலான தாக்குதல்கள் இடம்பெறக்கூடும் என்பதை எடுத்துக்காட்டுகின்றன.

இலங்கையில் WhatsApp பயன்படுத்துபவர்களுக்கு எனது ஆலோசனை என்னவென்றால், உங்கள் iPhone மற்றும் WhatsApp செயலியை உடனடியாகப் புதுப்பித்து, WhatsApp Two-Step Verification வசதியைச் செயல்படுத்துங்கள். அத்துடன், Chat Lock போன்ற வழங்கப்பட்டுள்ள பாதுகாப்பு அம்சங்களையும் பயன்படுத்துங்கள். மேலும், உங்களுக்குத் தெரிந்த ஒருவரிடமிருந்து வந்ததாகத் தோன்றும் செய்தியாக இருந்தாலும், திடீரென பணம் அல்லது முக்கியமான தகவல்களைக் கோரும் சந்தர்ப்பங்களில் எச்சரிக்கையுடன் செயற்பட்டு, வேறு தொடர்பாடல் வழியொன்றின் மூலம் அந்தக் கோரிக்கை உண்மையானதா என்பதைச் சுயாதீனமாக உறுதிப்படுத்திக்கொள்ளுங்கள்.

மிகவும் முக்கியமான விடயம் என்னவென்றால், சைபர் பாதுகாப்பு என்பது ஒரு சம்பவம் பதிவாகும்போது மட்டுமே கவனம் செலுத்த வேண்டிய விடயமாகக் கருதக்கூடாது. இயங்குதளம் மற்றும் செயலிகளை சமீபத்திய பாதுகாப்பு புதுப்பிப்புகளுடன் தொடர்ந்து புதுப்பித்து வைத்திருப்பது, ஒருவர் மேற்கொள்ளக்கூடிய எளிமையானதும் மிகவும் பயனுள்ளதுமான சைபர் பாதுகாப்பு நடவடிக்கைகளில் ஒன்றாகும். இந்தக் குறிப்பிட்ட சம்பவத்தில், ஒரு மென்பொருள் புதுப்பிப்பு, சிக்கலான தாக்குதலுக்கு உள்ளாவதற்கும் அதே பாதுகாப்புக் குறைபாட்டால் தொடர்ந்து ஆபத்துக்குள்ளாகாமல் இருப்பதற்கும் இடையிலான முக்கியமான வேறுபாட்டை ஏற்படுத்தக்கூடும்.

எங்களது சமூகவலைதளபக்கங்களை பின்தொடர….

Facebook Page I Twitter Page I Instagram |  Google News Channel  |TikTok | Youtube