चीनी ई-कॉमर्स दिग्गज पिनडुओडुओ पर एंड्रॉयड उपकरणों का फायदा उठाने वाले परिष्कृत मैलवेयर के आरोप में कार्रवाई

Global - इख़बारी समाचार एजेंसी

चीनी ई-कॉमर्स दिग्गज पिनडुओडुओ पर एंड्रॉयड उपकरणों का फायदा उठाने वाले परिष्कृत मैलवेयर के आरोप में कार्रवाई

डिजिटल गोपनीयता और साइबर सुरक्षा के लिए एक बेहद परेशान करने वाले खुलासे में, पिनडुओडुओ (Pinduoduo), चीन के सबसे लोकप्रिय शॉपिंग अनुप्रयोगों में से एक है, जिसके मासिक उपयोगकर्ता 750 मिलियन से अधिक हैं, पर मोबाइल फोन सुरक्षा को दरकिनार करने के लिए परिष्कृत मैलवेयर तैनात करने का आरोप लगाया गया है। एक व्यापक जाँच से पता चलता है कि ऐप ने कथित तौर पर अन्य अनुप्रयोगों पर उपयोगकर्ता गतिविधियों की निगरानी की, निजी संदेशों तक पहुँच बनाई, सूचनाओं की जाँच की और यहाँ तक कि उपयोगकर्ता की सहमति के बिना डिवाइस सेटिंग्स को भी बदल दिया, जिससे विश्व स्तर पर साइबर सुरक्षा विशेषज्ञों के बीच महत्वपूर्ण अलार्म बज गया।

ये गंभीर निष्कर्ष सीएनएन द्वारा की गई एक व्यापक जाँच से सामने आए, जिसमें एशिया, यूरोप और संयुक्त राज्य अमेरिका की आधा दर्जन साइबर सुरक्षा टीमों के साथ-साथ वर्तमान और पूर्व पिनडुओडुओ कर्मचारियों की अंतर्दृष्टि शामिल थी। विदसिक्योर (WithSecure), चेक पॉइंट रिसर्च (Check Point Research) और ओवरसिक्योर्ड (Oversecured) जैसी प्रमुख फर्मों के विशेषज्ञों ने पिनडुओडुओ ऐप के भीतर दुर्भावनापूर्ण कोड की उपस्थिति की स्वतंत्र रूप से पुष्टि की, विशेष रूप से संस्करण 6.49.0 में, जिसे फरवरी के अंत में चीनी ऐप स्टोर पर वितरित किया गया था।

फ़िनिश साइबर सुरक्षा फर्म विदसिक्योर के मुख्य अनुसंधान अधिकारी मिक्को हिप्पोनेन ने स्थिति को "अत्यंत असामान्य" और "काफ़ी निंदनीय" बताया। उन्होंने कहा, "हमने किसी मुख्यधारा के ऐप को इस तरह से अपनी विशेषाधिकारों को बढ़ाने की कोशिश करते हुए नहीं देखा है ताकि उन चीज़ों तक पहुँच प्राप्त कर सके जहाँ उसे पहुँच नहीं मिलनी चाहिए।" यह "विशेषाधिकार वृद्धि" कथित मैलवेयर का एक प्रमुख तत्व है, जो ऐप को डिवाइस डेटा तक उच्च स्तर की पहुँच प्राप्त करने में सक्षम बनाता है, जिससे एंड्रॉयड की अंतर्निहित सुरक्षा सुविधाओं को प्रभावी ढंग से दरकिनार किया जा सके। कथित तौर पर ऐप को पृष्ठभूमि में लगातार संचालित करने, स्थापना रद्द करने के प्रयासों का विरोध करने और यहाँ तक कि प्रतिस्पर्धी ऐप के उपयोग को ट्रैक करके और उनसे डेटा निकालकर उन पर नज़र रखने के लिए डिज़ाइन किया गया था।

प्रतिशोध के डर से नाम न छापने की शर्त पर कंपनी के अंदरूनी सूत्रों ने खुलासा किया कि पिनडुओडुओ ने कथित तौर पर 2020 में लगभग 100 इंजीनियरों और उत्पाद प्रबंधकों की एक विशेष टीम बनाई थी। उनका कथित मिशन एंड्रॉयड फोन में कमजोरियों की पहचान करना और उनका फायदा उठाना था, इन कारनामों का उपयोग प्रतिस्पर्धात्मक लाभ और लाभ के लिए करना था। शुरुआत में, इस टीम ने कथित तौर पर ग्रामीण क्षेत्रों और छोटे शहरों के उपयोगकर्ताओं पर ध्यान केंद्रित किया, जानबूझकर बीजिंग और शंघाई जैसे बड़े शहरी केंद्रों से परहेज किया ताकि शुरुआती पहचान के जोखिम को कम किया जा सके। आदतों, रुचियों और वरीयताओं के संबंध में बड़ी मात्रा में उपयोगकर्ता डेटा जमा करके, कंपनी का लक्ष्य अपने मशीन लर्निंग मॉडल को परिष्कृत करना था, जिससे उच्च व्यक्तिगत पुश सूचनाएँ और विज्ञापन सक्षम हो सकें ताकि जुड़ाव और बिक्री को बढ़ावा मिल सके। कथित तौर पर आंतरिक जाँच के बाद मार्च की शुरुआत में इस विवादास्पद टीम को भंग कर दिया गया था।

डेलावेयर स्थित ऐप सुरक्षा स्टार्टअप ओवरसिक्योर्ड के संस्थापक सर्गेई तोशिन ने पिनडुओडुओ के मैलवेयर को "सबसे खतरनाक मैलवेयर" के रूप में लेबल किया जिसे उन्होंने कभी किसी मुख्यधारा के एप्लिकेशन में देखा था, इसे "अत्यंत व्यापक" बताया। तोशिन के व्यापक शोध से पता चला है कि ऐप ने लगभग 50 एंड्रॉयड सिस्टम कमजोरियों का फायदा उठाया। इनमें से कई कारनामे विशेष रूप से ओरिजिनल इक्विपमेंट मैन्युफैक्चरर (OEM) कोड के लिए तैयार किए गए थे, जिसे अक्सर कोर एंड्रॉयड ओपन सोर्स प्रोजेक्ट (AOSP) कोड की तुलना में कम गहनता से ऑडिट किया जाता है, जिससे यह कमजोरियों के प्रति अधिक संवेदनशील हो जाता है। पिनडुओडुओ ने कथित तौर पर कई AOSP कमजोरियों का भी फायदा उठाया, जिसमें एक तोशिन ने फरवरी 2022 में गूगल के ध्यान में लाया था, जिसे गूगल ने बाद में मार्च में पैच किया था।

पता लगाने की चुनौती को बढ़ाते हुए, चेक पॉइंट रिसर्च ने ऐप द्वारा जाँच से बचने के लिए उपयोग की जाने वाली परिष्कृत विधियों की पहचान की। इनमें मानक ऐप स्टोर समीक्षा प्रक्रिया से गुजरे बिना अपडेट पुश करने की क्षमता शामिल थी, जिसे दुर्भावनापूर्ण अनुप्रयोगों की पहचान करने और उन्हें ब्लॉक करने के लिए डिज़ाइन किया गया है। इसके अलावा, कुछ प्लग-इन ने कथित तौर पर संभावित रूप से हानिकारक घटकों को वैध फ़ाइल नामों के तहत छिपाकर छुपाया, जो उन्नत मैलवेयर डेवलपर्स द्वारा प्रतीत होने वाले सौम्य अनुप्रयोगों में दुर्भावनापूर्ण कोड डालने के लिए उपयोग की जाने वाली एक सामान्य रणनीति है।

ये खुलासे चीनी-विकसित अनुप्रयोगों, विशेष रूप से टिकटॉक (TikTok) की गहन वैश्विक जाँच के बीच आते हैं, जो डेटा सुरक्षा और चीनी सरकार के साथ संभावित संबंधों के बारे में लगातार चिंताओं से प्रेरित है। जबकि पिनडुओडुओ ने बीजिंग के साथ डेटा साझा किया है, इसका कोई सीधा सबूत नहीं है, चीनी सरकार का घरेलू व्यवसायों पर महत्वपूर्ण प्रभाव ने अमेरिकी सांसदों के बीच चिंताओं को हवा दी है। उन्हें डर है कि चीन में काम करने वाली किसी भी कंपनी को राष्ट्रीय सुरक्षा निर्देशों के साथ सहयोग करने के लिए मजबूर किया जा सकता है, जो इस मुद्दे के एक जटिल भू-राजनीतिक आयाम को उजागर करता है।

गूगल के मार्च में पिनडुओडुओ को अपने प्ले स्टोर से निलंबित करने के फैसले ने, ऐप के ऑफ-प्ले संस्करणों में पाए गए मैलवेयर का हवाला देते हुए, स्थिति की गंभीरता को रेखांकित किया। ब्लूमबर्ग की एक बाद की रिपोर्ट ने इन चिंताओं की पुष्टि की, जिसमें कहा गया था कि एक रूसी साइबर सुरक्षा फर्म ने भी संभावित मैलवेयर की पहचान की थी। पिनडुओडुओ की मूल कंपनी, पीडीडी (PDD) ने सीएनएन के बार-बार टिप्पणी के अनुरोधों का जवाब नहीं दिया है, हालांकि पिनडुओडुओ ने पहले "यह अटकल और आरोप कि पिनडुओडुओ ऐप दुर्भावनापूर्ण है" का खंडन किया था।

यह विवाद अनिवार्य रूप से टेमू (Temu), पिनडुओडुओ के तेजी से विस्तार करने वाले अंतरराष्ट्रीय सिस्टर ऐप पर एक लंबी छाया डालता है, जिसने हाल ही में पश्चिमी बाजारों, जिसमें अमेरिका भी शामिल है, में शीर्ष डाउनलोड रैंकिंग हासिल की है। दोनों एप्लिकेशन नास्डैक-सूचीबद्ध पीडीडी के स्वामित्व में हैं। जबकि टेमू इन विशिष्ट मैलवेयर आरोपों में सीधे तौर पर शामिल नहीं है, पिनडुओडुओ को जिम्मेदार ठहराए गए कार्यों से वैश्विक उपयोगकर्ता विश्वास कम होने और चीनी डेवलपर्स के सभी अनुप्रयोगों की नियामक जाँच तेज होने का खतरा है। यह संभावित रूप से टेमू की महत्वाकांक्षी वैश्विक विस्तार योजनाओं को बाधित कर सकता है और विकसित हो रहे खतरों से डिजिटल पारिस्थितिकी तंत्र की सुरक्षा में लगातार चुनौतियों और प्रौद्योगिकी, गोपनीयता और अंतरराष्ट्रीय नीति के बीच जटिल संबंध की एक कठोर याद दिलाता है।

इख़बारी समाचार एजेंसी