एंड-टू-एंड एन्क्रिप्शन संदेश पहुँचने के रास्ते की रक्षा करता है; पढ़े जा सकने वाले संदेशों को संभालने वाले डिवाइसों को भी सुरक्षा चाहिए।
एंड-टू-एंड एन्क्रिप्शन डिवाइसों के बीच संदेशों की रक्षा करता है। यह किसी भी डिवाइस को स्पाइवेयर से अभेद्य नहीं बनाता। Pegasus और Paragon का Graphite इस अंतर को दिखाते हैं: हमलावर पहले मैसेजिंग प्रोटोकॉल का एन्क्रिप्शन तोड़े बिना फ़ोन में सेंध लगाकर वहाँ उपलब्ध डेटा इकट्ठा कर सकते हैं।
फ़ोन में सेंध लगने के बाद, स्पाइवेयर को ज़रूरी नहीं कि आपके स्क्रीन अनलॉक करने या चैट खोलने का इंतज़ार करना पड़े। कोई इम्प्लांट क्या निकाल सकता है, यह उसके अधिकारों, ऑपरेटिंग सिस्टम, ऐप और डिवाइस की सुरक्षा स्थिति पर निर्भर करता है। स्पाइवेयर को केवल स्क्रीन पढ़ने वाला बताना ख़तरे को कम करके आँकना है।
Pegasus और Paragon की जाँचों में वास्तव में क्या मिला
12 जून 2025 को प्रकाशित Graphite Caught में Citizen Lab ने दो पत्रकारों से जुड़े फ़ॉरेंसिक निष्कर्ष बताए, जिन्हें 29 अप्रैल को Apple की ख़तरे संबंधी सूचनाएँ मिली थीं। जाँचकर्ताओं ने उच्च विश्वास के साथ निष्कर्ष निकाला कि एक पत्रकार के डिवाइस में Graphite ने सेंध लगाई थी, और Ciro Pellegrino को निशाना बनाने के एक संबंधित ज़ीरो-क्लिक प्रयास की पहचान की। रिपोर्ट ने इन मामलों को iMessage के ज़रिए हुए हमले से जोड़ा और कहा कि Apple ने iOS 18.3.1 में उस कमज़ोरी का निवारण कर दिया था। ये ख़ास डिवाइसों और हमलों के बारे में निष्कर्ष हैं, इस बात का प्रमाण नहीं कि हर फ़ोन या मैसेजिंग ऐप एक ही तरह से असुरक्षित है। Citizen Lab की जाँच पढ़ें।
Amnesty International के 16 जुलाई 2026 के Pegasus विश्लेषण में फ़ॉरेंसिक साक्ष्यों और मुक़दमे के दौरान सामने आई NSO Group की सामग्री की जाँच की गई। इसमें सेंध लगे डिवाइसों से संदेशों, कॉल, फ़ाइलों और फ़ोटो सहित कई श्रेणियों का डेटा इकट्ठा करने का वर्णन है। यह उस समय स्क्रीन पर दिख रही किसी चैट को कैप्चर करने से कहीं व्यापक क्षमता है। Amnesty का तकनीकी विश्लेषण पढ़ें।
व्यावहारिक निष्कर्ष “एन्क्रिप्शन विफल हो गया” से अधिक सीमित है: पढ़े जा सकने वाले संदेशों को संभालने वाला डिवाइस स्वयं एक महत्वपूर्ण सुरक्षा सीमा है।
स्पाइवेयर एन्क्रिप्ट की गई बातचीत कैसे पढ़ सकता है
मैसेजिंग ऐप को भेजने और प्राप्त करने वाले, दोनों सिरों पर पढ़े जा सकने वाले कंटेंट की ज़रूरत होती है। एंड-टू-एंड एन्क्रिप्शन उस कंटेंट को इन दोनों सिरों के बीच एन्क्रिप्ट रखता है; उसे संसाधित करने वाले सॉफ़्टवेयर और हार्डवेयर पर भरोसे की ज़रूरत ख़त्म नहीं करता। संचार के दौरान एन्क्रिप्शन और डिवाइस में सहेजे गए डेटा का एन्क्रिप्शन अलग-अलग समस्याएँ हल करते हैं। EFF की एन्क्रिप्शन संबंधी व्याख्या इन अंतरों को समझाती है।
अक्सर एक साथ रख दिए जाने वाले ख़तरों को अलग समझने के लिए यह तालिका देखें:
| स्थिति | क्या उजागर हो सकता है | संबंधित सुरक्षा |
|---|---|---|
| कोई नेटवर्क ट्रैफ़िक देखता है | एन्क्रिप्ट किया गया ट्रैफ़िक और कनेक्शन की कुछ जानकारी | सही ढंग से लागू किया गया, प्रमाणीकृत E2EE संदेश के कंटेंट की रक्षा करता है |
| किसी को अनलॉक फ़ोन मिल जाता है | चैट और वह अन्य जानकारी, जिस तक डिवाइस उसे पहुँच देता है | डिवाइस लॉक, पहुँच नियंत्रण और अकाउंट/सेशन प्रबंधन |
| स्पाइवेयर डिवाइस में सेंध लगा देता है | इम्प्लांट के अधिकारों से सुलभ डेटा | OS और ऐप की सुरक्षा, समय पर पैच और विशेषज्ञों की घटना-प्रतिक्रिया सहायता |
| किसी ऐप के पास नोटिफ़िकेशन तक पहुँच है | OS और सेटिंग्स द्वारा अनुमत नोटिफ़िकेशन कंटेंट | नोटिफ़िकेशन तक पहुँच और संदेशों के प्रीव्यू सीमित करें |
| कोई प्राप्तकर्ता बातचीत की कॉपी बना लेता है | उसे प्राप्त हुआ कंटेंट | प्राप्तकर्ता पर भरोसा और सावधानी से साझा करना; एन्क्रिप्शन उसकी कॉपी वापस नहीं ले सकता |
सिर्फ़ साइफ़र बदलने से मैलवेयर नहीं हट सकता। इसी तरह, डिवाइस वाले सिरे का जोखिम E2EE छोड़ने का कारण नहीं है: संदेश पहुँचने के रास्ते की सुरक्षा अब भी महत्वपूर्ण है।
नोटिफ़िकेशन से जानकारी का लीक होना अलग और अधिक सीमित मुद्दा है
Android में नोटिफ़िकेशन तक पहुँच, Pegasus-स्तर की कमज़ोरी का फ़ायदा उठाने जैसी बात नहीं है। नोटिफ़िकेशन लिसनर को अनुमतियों और प्लेटफ़ॉर्म की पाबंदियों के अधीन नोटिफ़िकेशन सिस्टम से इवेंट मिलते हैं। मैसेजिंग ऐप की प्रीव्यू सेटिंग्स यह प्रभावित करती हैं कि कौन-सा कंटेंट उपलब्ध होगा। Android के दस्तावेज़ों में नोटिफ़िकेशन-लिसनर API का विवरण है।
यह दावा न करें कि हर नोटिफ़िकेशन लिसनर हमेशा हर वन-टाइम कोड पढ़ सकता है। Android 15 ने अविश्वसनीय लिसनर ऐप्स के लिए पहचाने गए OTP नोटिफ़िकेशन का संवेदनशील कंटेंट छिपाने की व्यवस्था शुरू की, जिसके कुछ निर्धारित अपवाद हैं। ऐसी सुरक्षा सेंध लगे फ़ोन को भरोसेमंद डिवाइस नहीं बना देती। Android के सुरक्षा बदलाव देखें।
रोज़मर्रा की निजता के लिए, नोटिफ़िकेशन तक पहुँच वाले ऐप्स की समीक्षा करें, अनावश्यक पहुँच हटाएँ और लॉक स्क्रीन पर संवेदनशील संदेशों के प्रीव्यू छिपाएँ। यह मान लेने के बजाय कि सेटिंग काम कर गई है, एक सामान्य, गैर-संवेदनशील संदेश भेजकर नतीजा जाँचें।
स्पाइवेयर की चिंता हो तो क्या करें
जोखिम के अनुपात में बचाव से शुरू करें
ऑपरेटिंग सिस्टम और ऐप्स अपडेट रखें, डिवाइस के लिए मज़बूत पासकोड इस्तेमाल करें और महत्वपूर्ण अकाउंट की सुरक्षा मज़बूत प्रमाणीकरण से करें। Apple के अनुसार, भाड़े के स्पाइवेयर का इस्तेमाल कुछ चुनिंदा लोगों को निशाना बनाने के लिए होता है, अक्सर उनके काम या पहचान के कारण। आम अकाउंट चोरी, दुर्भावनापूर्ण ऐप्स और डिवाइस तक भौतिक पहुँच के जोखिमों पर भी ध्यान देना ज़रूरी है। Apple का ख़तरे संबंधी सूचनाओं पर मार्गदर्शन।
बेहद लक्षित हमलों का सामना करने वालों के लिए Apple का Lockdown Mode कुछ सुविधाओं पर पाबंदी लगाकर हमले के संभावित रास्ते कम करता है। इससे ऐप्स और वेबसाइटों के काम करने का तरीक़ा बदलता है, और यह हर हमले के ख़िलाफ़ गारंटी नहीं है। फ़ायदे और सीमाएँ समझें, और अगर यह आपके जोखिम के अनुरूप हो तो संबंधित समर्थित डिवाइसों पर इसे चालू करें। Apple की Lockdown Mode मार्गदर्शिका।
विश्वसनीय चेतावनी को सुरक्षा घटना मानें
अगर आपको Apple की ख़तरे संबंधी सूचना मिले, तो किसी अप्रत्याशित संदेश के लिंक पर जाने के बजाय सीधे अपने Apple Account में साइन इन करके उसकी पुष्टि करें। Apple विशेषज्ञ सहायता लेने की सलाह देता है, जिसमें Access Now की Digital Security Helpline भी शामिल है। असली सूचना आपको प्रोफ़ाइल इंस्टॉल करने या ईमेल अथवा फ़ोन पर अपना पासवर्ड बताने के लिए नहीं कहती। Apple की सूचनाएँ कैसे काम करती हैं।
साफ़-सुथरा दिखता फ़ोन फ़ॉरेंसिक जाँच का नतीजा नहीं है। Mobile Verification Toolkit (MVT) प्रशिक्षित जाँचकर्ताओं के लिए बनाया गया है, अंतिम उपयोगकर्ताओं के स्वयं आकलन करने के लिए नहीं। इसके दस्तावेज़ चेतावनी देते हैं कि केवल सार्वजनिक संकेतकों के आधार पर यह साबित नहीं किया जा सकता कि डिवाइस में सेंध नहीं लगी है। स्कैन में कुछ न मिलने को सुरक्षित होने का प्रमाण मानने के बजाय योग्य विशेषज्ञ की मदद लें। MVT का दायरा और सीमाएँ।
किसी मैसेंजर के स्पाइवेयर संबंधी दावों को कैसे परखें
तीन अलग सवाल पूछें: क्या एन्क्रिप्ट किया जाता है? कुंजियाँ किसके पास रहती हैं? किसी सिरे के डिवाइस में सेंध लगने पर क्या होता है? उपयोगी सुरक्षा विवरण “स्पाइवेयर-प्रूफ़” चैट का वादा करने के बजाय इन तीनों का जवाब देता है।
Livara की प्रकाशित सुरक्षा सीमाएँ और ख़तरा मॉडल उसके एन्क्रिप्शन का वर्णन करते हैं और स्वीकार करते हैं कि मैलवेयर, अनलॉक डिवाइस या प्राप्तकर्ता के कारण पढ़े जा सकने वाले मूल संदेश उजागर हो सकते हैं। ये उत्पाद के दस्तावेज़ों में किए गए दावे हैं, स्वतंत्र ऑडिट या इस बात का वादा नहीं कि Livara, Pegasus या Graphite के संक्रमण को रोकता है।
Proof Lab विशिष्ट क्रिप्टोग्राफ़िक प्रदर्शनों की जाँच करने और किसी APK की तुलना भरोसेमंद चेकसम से करने में मदद कर सकता है। हैश का मेल केवल यह साबित करता है कि वह उस डाइजेस्ट से मेल खाता है; इससे न तो यह साबित होता है कि कोड कमज़ोरियों से मुक्त है, न फ़ोन में कहीं और मौजूद स्पाइवेयर का पता चलता है। यह एक निश्चित दायरे वाली उपयोगी जाँच है, डिवाइस सुरक्षा का विकल्प नहीं।
अक्सर पूछे जाने वाले सवाल
क्या इन जाँचों ने दिखाया कि E2EE को गणितीय रूप से तोड़ दिया गया था?
यहाँ उद्धृत रिपोर्टों में ऐसा कोई प्रमाण नहीं दिया गया है। वे डिवाइसों को निशाना बनाने और उनमें सेंध लगने का वर्णन करती हैं। हर जाँच में दिए गए विशिष्ट साक्ष्यों से आगे बढ़कर सामान्य निष्कर्ष न निकालें।
क्या संदेशों के प्रीव्यू छिपाना स्पाइवेयर रोकने के लिए काफ़ी है?
नहीं। इससे नोटिफ़िकेशन का कंटेंट उजागर होने का एक रास्ता कम होता है। डिवाइस में अधिक गहरी पहुँच रखने वाले इम्प्लांट के पास डेटा इकट्ठा करने के दूसरे तरीक़े हो सकते हैं।
क्या ऐप लॉक सेंध लगे फ़ोन को सुरक्षित बना देता है?
नहीं। ऐप लॉक सामान्य ताक-झाँक को रोक सकता है, लेकिन उसकी सुरक्षा उसे लागू करने वाले डिवाइस की अखंडता पर निर्भर करती है। यह ऑपरेटिंग सिस्टम के भरोसेमंद होने का प्रमाण नहीं है।
निष्कर्ष: E2EE बनाए रखें, लेकिन उसका आकलन डिवाइस सुरक्षा, नोटिफ़िकेशन सेटिंग्स और व्यावहारिक प्रतिक्रिया योजना के साथ करें। मज़बूत एन्क्रिप्टेड चैनल और भरोसेमंद डिवाइस एक-दूसरे के पूरक सुरक्षा उपाय हैं।
