WhatsApp GhostPairing हैक अलर्ट

GhostPairing क्या है?

• GhostPairing Hack एक नई और खतरनाक साइबर तकनीक है, जिसके जरिए किसी व्यक्ति का WhatsApp अकाउंट बिना पासवर्ड, बिना OTP, बिना SIM स्वैप और बिना किसी पारंपरिक लॉगिन प्रक्रिया के अपने कब्जे में लिया जा सकता है। 
• WhatsApp का मल्टी-डिवाइस लिंकिंग सिस्टम सामान्य रूप से लैपटॉप या ब्राउज़र से अकाउंट जोड़ने के लिए बनाया गया है। GhostPairing में इसी प्रक्रिया को हथियार बना लिया जाता है। हमलावर यूज़र को इस तरह भ्रमित करता है कि वह अनजाने में किसी अज्ञात डिवाइस को अपने अकाउंट से लिंक करने की अनुमति दे देता है। एक बार अनुमति मिलते ही हमलावर को बिना किसी अलर्ट के पूरा एक्सेस मिल जाता है।
• दिसंबर 2025 में भारत की Indian Computer Emergency Response Team (CERT-In) ने GhostPairing को लेकर एक हाई-सीवेरिटी अलर्ट जारी किया। इस चेतावनी में कहा गया कि यह एक संगठित साइबर अभियान है, जो WhatsApp यूज़र्स को चुपचाप निशाना बना रहा है। 
• सरकार के अनुसार GhostPairing किसी सॉफ्टवेयर त्रुटि पर आधारित हमला नहीं है। यह पूरी तरह सोशल इंजीनियरिंग पर निर्भर करता है। हमलावर झूठे संदेश, फर्जी कॉल या भ्रमित करने वाले निर्देशों के जरिए यूज़र से कुछ स्टेप्स पूरा करवा लेता है। यूज़र को लगता है कि वह अपने ही डिवाइस को जोड़ रहा है, जबकि असल में वह हमलावर के सिस्टम को अनुमति दे देता है।
• जैसे ही GhostPairing सफल होता है, हमलावर को WhatsApp अकाउंट पर गहरा नियंत्रण मिल जाता है। वह पुराने और नए संदेश पढ़ सकता है, फोटो, वीडियो, वॉयस नोट्स डाउनलोड कर सकता है, यूज़र के नाम से मैसेज भेज सकता है, रियल टाइम में नोटिफिकेशन प्राप्त कर सकता है।

GhostPairing Hack कैसे WhatsApp अकाउंट को अपने कब्ज़े में लेता है?

• भ्रामक संदेश से शुरुआत: GhostPairing हमला आमतौर पर एक ऐसे संदेश से शुरू होता है, संदेश साधारण होता है, जैसे कोई फोटो देखने का अनुरोध। इसके साथ एक ऐसा लिंक होता है जो WhatsApp के भीतर ही Facebook जैसी प्रीव्यू झलक दिखाता है। जिससे व्यक्ति बिना ज़्यादा सोचे लिंक पर टैप कर देता है।
• नकली वेबपेज का जाल: लिंक खोलते ही ब्राउज़र में एक फर्जी वेबपेज खुलता है। यह पेज किसी असली प्लेटफॉर्म की नकल है। कभी यह Facebook फोटो व्यूअर जैसा लगता है, तो कभी WhatsApp Web लॉगिन स्क्रीन जैसा। पेज पर लिखा होता है कि सामग्री देखने से पहले “वेरिफिकेशन” जरूरी है। 
• फोन नंबर मांगने की चाल: जैसे ही यूज़र आगे बढ़ता है, नकली पेज मोबाइल नंबर दर्ज करने को कहता है। नंबर डालते ही प्रक्रिया असली WhatsApp सिस्टम से जुड़ जाती है। WhatsApp इसे सामान्य डिवाइस लिंकिंग रिक्वेस्ट मान लेता है और एक पेयरिंग कोड जेनरेट करता है। फर्जी पेज यूज़र को निर्देश देता है कि वह यह कोड अपने WhatsApp ऐप में डाल दे।
• अनजाने में दी गई अनुमति: यह वही क्षण होता है जहां GhostPairing सफल हो जाता है। यूज़र सोचता है कि वह कोई साधारण सत्यापन पूरा कर रहा है। असल में वह अपने अकाउंट को एक अनजान डिवाइस से जोड़ने की अनुमति दे रहा होता है। वह डिवाइस हमलावर के नियंत्रण में होता है। WhatsApp इसे वैध लिंकिंग मानता है, इसलिए कोई चेतावनी नहीं देता।
• चुपचाप मिलने वाला पूरा एक्सेस: एक बार लिंक बनने के बाद हमलावर को लगभग वही अधिकार मिल जाते हैं जो WhatsApp Web पर मिलते हैं। वह मैसेज पढ़ सकता है, मीडिया फाइल्स देख सकता है और संपर्कों को संदेश भेज सकता है। यूज़र को लंबे समय तक पता भी नहीं चलता कि उसका अकाउंट किसी और के पास सक्रिय है।

भारत की साइबर सुरक्षा व्यवस्था में CERT-In की भूमिका

• भारत में साइबर सुरक्षा से जुड़ी घटनाओं से निपटने के लिए भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (CERT-In) को केंद्रीय संस्था के रूप में कार्य करने का अधिकार दिया गया है। इसकी औपचारिक स्थापना 19 जनवरी 2004 को सूचना प्रौद्योगिकी अधिनियम, 2000 की धारा 70B के तहत की गई। इस प्रावधान ने CERT-In को राष्ट्रीय स्तर पर डिजिटल खतरों से निपटने वाली नोडल एजेंसी का दर्जा दिया।
• CERT-In, भारत सरकार के इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) के अधीन कार्य करता है। इसका मुख्य उद्देश्य देश की सूचना एवं संचार प्रौद्योगिकी अवसंरचना को सुरक्षित रखना है। यह संस्था सरकारी प्रणालियों से लेकर निजी नेटवर्क तक, सभी क्षेत्रों में साइबर सुरक्षा सुनिश्चित करने में महत्वपूर्ण भूमिका निभाती है।
• CERT-In को साइबर घटनाओं से संबंधित जानकारी एकत्र करने, उसका विश्लेषण करने और आवश्यक जानकारी को साझा करने का वैधानिक अधिकार प्राप्त है। यह संस्था विभिन्न क्षेत्रों के लिए साइबर सुरक्षा दिशानिर्देश जारी करती है और बड़े डिजिटल खतरों के समय समन्वित प्रतिक्रिया सुनिश्चित करती है। इसके तहत मैलवेयर, फिशिंग, रैनसमवेयर और डेटा उल्लंघन जैसी घटनाओं की निगरानी की जाती है।
• CERT-In एक 24×7 साइबर सुरक्षा संचालन केंद्र (CSOC) का संचालन करता है। यह केंद्र वास्तविक समय में खतरों की पहचान करता है। जैसे ही किसी हमले के संकेत मिलते हैं, तुरंत संबंधित एजेंसियों और संगठनों को सतर्क किया जाता है। इससे नुकसान को सीमित करने और त्वरित समाधान संभव होता है।
• CERT-In का कार्य राष्ट्रीय साइबर सुरक्षा नीति 2013 और डिजिटल पर्सनल डेटा प्रोटेक्शन अधिनियम 2023 जैसे आधुनिक कानूनी ढांचों से जुड़ा हुआ है। यह संस्था आईटी अधिनियम के तहत जारी नियमों को लागू कराने में भी सक्रिय भूमिका निभाती है।
• CERT-In, राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र (NCIIPC) और विभिन्न सेक्टोरल CERTs के साथ मिलकर काम करता है। यह सहयोग देश की आवश्यक सेवाओं पर होने वाले साइबर हमलों से निपटने और तेजी से पुनर्प्राप्ति सुनिश्चित करने में सहायक होता है।

नागरिकों और संस्थानों के लिए निवारक उपाय

• आज के डिजिटल दौर में साइबर सुरक्षा केवल तकनीक का विषय नहीं रही, बल्कि यह रोज़मर्रा की आदतों से जुड़ गई है। नागरिकों और संस्थानों को यह आदत बनानी चाहिए कि वे समय-समय पर अपने मैसेजिंग और ईमेल प्लेटफॉर्म पर जुड़े उपकरणों की जांच करें। कई आधुनिक ऐप एक ही खाते को कई डिवाइस से जोड़ने की सुविधा देते हैं। यदि यह जांच नहीं की जाती, तो किसी अनजान डिवाइस की चुपचाप पहुंच बनी रह सकती है। 
• नागरिकों को चाहिए कि वे किसी भी अज्ञात लिंक पर क्लिक न करें, भले ही वह किसी परिचित संपर्क से आया हो। साइबर अपराधी अक्सर भरोसे का फायदा उठाते हैं। संस्थानों में कर्मचारियों को यह सिखाना जरूरी है कि किसी भी संदेश का जवाब देने से पहले उसकी सत्यता की पुष्टि करें। प्रशिक्षण में नकली प्रीव्यू, असामान्य सत्यापन अनुरोध और अचानक आने वाले डिवाइस-पेयरिंग संकेतों की पहचान पर विशेष ध्यान देना चाहिए।
• हर उपयोगकर्ता को अपने सभी संचार प्लेटफॉर्म पर सुरक्षा सूचनाएं चालू रखनी चाहिए। अधिकांश ऐप्स नया डिवाइस जुड़ने पर अलर्ट भेजते हैं। संस्थानों के लिए यह आवश्यक है कि वे आधिकारिक खातों पर अलर्ट मॉनिटरिंग को अनिवार्य बनाएं। किसी भी अनपेक्षित सूचना को हल्के में न लें। 
• संस्थानों के लिए पैच मैनेजमेंट एक महत्वपूर्ण जिम्मेदारी है। स्पष्ट समय-सीमा के साथ सिस्टम अपडेट की नीति अपनानी चाहिए। 2021 के बाद भारत में लागू साइबर ऑडिट ढांचे सरकारी और महत्वपूर्ण क्षेत्रों को नियमित अपडेट के लिए बाध्य करते हैं। यदि अपडेट में देरी होती है, तो सिस्टम की कमजोरियां बढ़ जाती हैं और हमले का खतरा भी अधिक हो जाता है।
• हर संस्था को संचार उपकरणों के लिए स्पष्ट साइबर सुरक्षा नीतियां बनानी चाहिए। पहुंच केवल उतनी ही दी जाए जितनी काम के लिए जरूरी हो। इसे न्यूनतम विशेषाधिकार का सिद्धांत कहा जाता है। खातों से केवल आवश्यक डिवाइस ही जुड़े हों। साथ ही, जीरो ट्रस्ट मॉडल अपनाना जरूरी है, जिसमें हर एक्सेस अनुरोध को संभावित जोखिम मानकर जांचा जाता है।