इज़रायली spyware कंपनी ने अनजाने में खुद को उजागर कर दिया

• इज़रायली surveillance कंपनी Paragon Solutions ने LinkedIn पर अपने spyware dashboard की इमेज पोस्ट कर दी, जिससे उसकी आंतरिक surveillance system architecture उजागर हो गई
• लीक हुई स्क्रीन में चेक फोन नंबर, interception logs, encrypted service data classification आदि शामिल थे, जिससे वास्तविक रूप से चल रहे surveillance interface का पता चला
• Paragon का प्रमुख प्रोडक्ट Graphite spyware zero-click exploit chain का उपयोग करके बिना किसी user interaction के डिवाइस में घुसपैठ करता है
• यह तकनीक पत्रकारों, कार्यकर्ताओं और आम लोगों को निशाना बनाने वाली वैश्विक surveillance capitalism की वास्तविकता दिखाती है
• यह घटना surveillance industry की गोपनीयता और power structure को उजागर करती है और digital human rights के उल्लंघन की गंभीरता सामने लाती है

---

Paragon Solutions के एक्सपोज़र की घटना

• Paragon Solutions ने LinkedIn पर अपने spyware control panel की फोटो पोस्ट करके अपना आंतरिक सिस्टम सार्वजनिक कर दिया
  • फोटो में चेक नंबर “Valentina”, “Completed” के रूप में चिह्नित interception log, और encrypted app data items शामिल थे
  • यह वास्तव में उपयोग में चल रहा surveillance dashboard था, जो दुनिया भर के लक्ष्यों के communications और data एकत्र करने वाली संरचना दिखाता है
• टोरंटो विश्वविद्यालय की Citizen Lab के शोधकर्ता John Scott-Railton ने इसे “अब तक की सबसे खराब OPSEC विफलता” बताया
  • उनका कहना था कि Paragon की Graphite spyware capabilities उजागर हो गईं

Graphite spyware कैसे काम करता है

• Graphite राज्य एजेंसियों के लिए बना precision intrusion spyware है, जो बिना किसी user interaction के डिवाइस को संक्रमित करने वाली zero-click exploit chain का उपयोग करता है
• इंस्टॉल होने के बाद यह operating system स्तर पर काम करता है और निम्न क्षमताएँ देता है
  • stored data और communications तक access
  • microphone और camera को activate करना
  • apps और services के अंदरूनी हिस्सों तक access
  • encryption से पहले और बाद के messages देखना
• एक बार डिवाइस ही compromise हो जाए तो encryption और security apps की सुरक्षा सीमाएँ निष्प्रभावी हो जाती हैं
• Paragon इसे “कानूनी access” बताता है, लेकिन बिना सहमति किसी के पूरे digital जीवन तक पहुँचना अवैध कृत्य माना जाता है

“ethical alternative” का दावा और उसका भ्रम

• NSO Group के Pegasus विवाद के बाद Paragon ने खुद को “ethical spyware company” बताकर दावा किया कि वह केवल “app के अंदर access” करती है
• लेकिन Citizen Lab के शोधकर्ताओं ने बार-बार साबित किया है कि यह भेद झूठा है
  • डिवाइस में घुसपैठ के बाद access path पूरे system में फैल जाता है
• कानूनी रूप से पूरे डिवाइस से समझौता करना गंभीर privacy violation माना जाता है, लेकिन Paragon इसे “selective access” कहकर regulatory scrutiny से बचने की कोशिश करता है

encrypted communications का भ्रम

• WhatsApp जैसे end-to-end encrypted apps को लंबे समय से सुरक्षित communication tool माना जाता रहा है
• 2025 की शुरुआत में Meta ने लगभग 90 WhatsApp users को सूचित किया कि वे Paragon-संबंधित spyware attack का शिकार हुए
  • पीड़ितों में पत्रकार और civil society से जुड़े लोग शामिल थे
• संक्रमण बिना user interaction के हुआ, यानी न लिंक क्लिक करना पड़ा न कोई फाइल डाउनलोड करनी पड़ी
• शोधकर्ताओं ने ज़ोर देकर कहा कि “अगर डिवाइस संक्रमित हो जाए, तो encryption भी बेअसर हो जाती है”

surveillance industry की आर्थिक संरचना

• Paragon का 900 million dollar valuation surveillance capitalism की लाभप्रदता दिखाता है
  • सरकारी मांग और private equity investment मिलकर इस उद्योग का आकार बढ़ाते हैं
• पूर्व intelligence agency अधिकारियों की मौजूदगी management में है, जिससे national security technology का commercialization होता है
• संस्थापकों में पूर्व इज़रायली प्रधानमंत्री Ehud Barak और पूर्व Unit 8200 commander Ehud Schneorson शामिल हैं
  • फ़िलिस्तीनी निगरानी का अनुभव वैश्विक सरकारी surveillance products में बदल दिया गया
• NSO का Pegasus 45 से अधिक देशों में बेचा गया और एक वैश्विक surveillance infrastructure में फैल गया

कब्ज़े वाले इलाकों से दुनिया भर में फैली surveillance technology

• पिछले 20 वर्षों में इज़रायल surveillance technology की Silicon Valley के रूप में उभरा है
  • सेना, intelligence agencies और private companies के बीच घनिष्ठ संबंध हैं
• फ़िलिस्तीनी कब्ज़े वाले इलाकों में facial recognition, predictive analytics, और device surveillance रोज़मर्रा का हिस्सा बन चुके हैं
• यही तकनीक अमेरिका की immigration enforcement agency (ICE) जैसी संस्थाओं तक फैल गई
  • biometrics, location tracking, risk scoring, spyware जैसी control algorithms पर आधारित सिस्टम बनाए गए
• फ़िलिस्तीनी नियंत्रण तकनीकों का पुनः उपयोग अमेरिकी आप्रवासी निगरानी में हुआ और इन्हें authoritarian regimes को भी निर्यात किया गया

अमेरिकी सरकार से संबंध

• सार्वजनिक procurement records के अनुसार अमेरिकी DHS और ICE ने Paragon की Graphite technology के लिए contract किया
  • विस्तृत प्रक्रिया अस्पष्ट है, लेकिन Trump प्रशासन के दौरान इसका उपयोग आप्रवासियों की निगरानी में हुआ
• इससे संकेत मिलता है कि इज़रायली surveillance technology का उपयोग अमेरिका के भीतर अल्पसंख्यकों पर नियंत्रण के लिए किया गया

surveillance industry का संरचनात्मक पाखंड

• spyware कंपनियाँ crime prevention और national security को अपना औचित्य बताती हैं
• लेकिन व्यवहार में सरकारी खरीद मांग और investment returns ही इस उद्योग को बनाए रखते हैं
• surveillance का तर्क कब्ज़े वाले इलाकों के नियंत्रण से digital जीवन के नियंत्रण तक फैल चुका है
• Paragon का एक्सपोज़र surveillance capitalism की वास्तविकता दिखाने वाली घटना है
  • surveillance state बनाने वाले लोग अब उन्हीं tools को बेचकर मुनाफ़ा कमाने वाली संरचना का हिस्सा हैं
• यह उद्योग privacy और human dignity के क्षरण पर खड़ा कई अरब डॉलर का साम्राज्य है

निष्कर्ष: digital colonialism का विस्तार

• इज़रायल में विकसित surveillance technology अमेरिका, authoritarian states और कंपनियों तक फैल चुकी है
• यह सैन्य कब्ज़े के बजाय algorithms और exploits के जरिए लागू किया गया नया उपनिवेशवाद है
• पूर्व intelligence प्रमुख और राजनेता corporate boards में बैठकर surveillance industry से संपत्ति अर्जित कर रहे हैं
• पत्रकार, कार्यकर्ता और नागरिक दुनिया भर में एक ही surveillance framework के अधीन आ गए हैं
• surveillance industry को केवल डिवाइस हैक करने वाला क्षेत्र नहीं, बल्कि मानवता को ही नुकसान पहुँचाने वाली व्यवस्था के रूप में देखा गया है

[GN⁺]

Hacker News की राय

• मेरी नज़र जिस बात पर गई, वह इज़राइल की pipeline संरचना है
  सैन्य इंटेलिजेंस, निजी startup, और global market बहुत करीबी तौर पर जुड़े हुए हैं
  जब यह ecosystem अंतरराष्ट्रीय स्तर पर फैलता है, तो सवाल उठता है कि साझेदार तकनीक खरीद रहे हैं या इज़राइल का एकतरफ़ा प्रभाव आयात कर रहे हैं

  • हाल की कई घटनाओं के बाद हर चीज़ पर फिर से शक होने लगा है
    इसलिए अब लगता है कि EU digital infrastructure को बाहरी traffic के बिना सिर्फ EU के भीतर ही चलना चाहिए
  • दुश्मनों से घिरे माहौल में जीवित रहने के लिए शायद व्यावहारिक सोच और सतर्कता स्वभाव का हिस्सा बन जाती है
    इसलिए उनकी सूचना जुटाने की क्षमता बहुत मज़बूत लगती है। मैंने पहले अपने बॉस से सुना था कि सबसे ऊँचे अंक पाने वाले लोग इंटेलिजेंस एजेंसियों में जाते हैं
  • क्या अमेरिका भी कुछ ऐसा ही नहीं है?
    बड़ी tech companies में से आधी की शुरुआत अक्सर 3-अक्षरी एजेंसियों (जैसे: CIA, NSA) की परियोजनाओं से हुई होती है
  • Paragon की सह-स्थापना पूर्व Unit-8200 कमांडर Ehud Schneorson और पूर्व प्रधानमंत्री Ehud Barak ने की थी
    कहा जाता है कि Barak ने अपने मित्र Jeffrey Epstein के ज़रिये अमेरिका और दुनिया भर में ग्राहक ढूँढे
    यह सचमुच बहुत करीबी नेटवर्क का एक उदाहरण है
    संबंधित लेख
  • एक करोड़ से कम आबादी वाले देश में ऐसा tech ecosystem बन जाना, जहाँ सब एक-दूसरे को जानते हों, कोई बहुत आश्चर्य की बात नहीं है

• मुझे ऐसा आभास होता है कि इज़राइली startup का 90% हिस्सा security·spyware से जुड़ा है
  वे यह कहकर शेख़ी भी बघारते हैं कि इसे फ़िलिस्तीन में ‘field-tested’ किया गया, और शायद इसी वजह से अमेरिकी police वहाँ training लेती है

  • यह सही नहीं है। बस इज़राइल के security startup ज़्यादा खुले तौर पर काम करते हैं
    असल में कहीं ज़्यादा अनजान custom exploit कंपनियाँ मौजूद हैं
  • मेरी नज़र में इज़राइल UK और US के कानूनी दायरे से बचने के लिए एक चौकी की तरह काम करता है
    वहीं defence technology और विचारधारा विकसित की जाती है
  • क्या आपको लगता है कि आतंकवाद का पता लगाने और उसे रोकने के लिए तकनीक का इस्तेमाल बुरा है?
  • इज़राइल का tech ecosystem इससे कहीं ज़्यादा विविध है
    software development tools, wireless infrastructure, consumer technology जैसी चीज़ें भी बहुत हैं
    बिना आधार के आरोप उल्टा समस्या सुलझाना और कठिन बना देते हैं
  • अगर news source राजनीतिक रूप से पक्षपाती हो, तो सिर्फ security startup ही नज़र आएँगे
    वास्तव में ज़्यादातर कंपनियाँ दैनिक उपयोग की तकनीक बनाती हैं

• मेरा एक दोस्त cyber security उद्योग में है, और मैंने सुना है कि इज़राइल की facial recognition technology में लगभग कोई गलती नहीं होती
  कहा जाता है कि यह दशकों तक फ़िलिस्तीनियों के आवाजाही डेटा पर training की वजह से है
  यह भी कहा गया कि सिर्फ international flight लेने पर भी biometric जानकारी दुनिया भर की एजेंसियों के साथ साझा हो जाती है
  अंततः आपको कहीं भी कैमरे की एक नज़र से पहचाना जा सकता है

  • “लगभग कोई गलती नहीं” कहना बढ़ा-चढ़ाकर बोलना लगता है
    machine learning में पूर्ण सटीकता जैसी कोई चीज़ नहीं होती, यह राज्य-प्रचार भी हो सकता है
  • मेरा नहीं मानना कि वे चीन की Hikvision जैसी कंपनी से बेहतर होंगे, जिसने 1.4 अरब लोगों के डेटा पर training की है
    उल्टा यह तकनीक शायद बढ़ा-चढ़ाकर बेची गई है
    TeleMessage hacking incident की तरह इसमें security flaws भी काफ़ी हैं
  • इसमें से ज़्यादातर सच हो सकता है, लेकिन मुझे नहीं लगता कि वैश्विक tracking इतनी कुशल होती है
    अमेरिकी एजेंसियाँ भी अब तक गिरफ़्तारी में संघर्ष करती रहती हैं
  • आपने कहा कि international flight में सवार होते ही biometric जानकारी जुटाई जाती है, तो यह जानना दिलचस्प होगा कि यह कब से हो रहा है
  • “क्या वह facial recognition system अभी हमारे कमरे में भी है?” जैसे मज़ाक से संशय जताया गया

• यह surveillance technology सबको बेचैन कर देने वाली समस्या है
  regulation की ज़रूरत है, लेकिन सरकारें और बड़ी कंपनियाँ इसे इतना सुविधाजनक पाती हैं कि इसे लागू करना मुश्किल लगता है

  • लोग पहले से ही spyware लगे smartphone अपनी मर्ज़ी से इस्तेमाल कर रहे हैं
    उदाहरण के लिए Samsung का AppCloud ऐप सुझाव देने के लिए बताया जाता है, लेकिन वह काफ़ी डेटा भी इकट्ठा करता है
    संबंधित लेख
    ऐसे apps जितने ज़्यादा होंगे, attack vectors उतने बढ़ेंगे, और सरकार के दुरुपयोग की गुंजाइश भी उतनी होगी
  • मूल समस्या यह है कि memory-safe न होने वाली भाषाओं में security-critical code लिखा जाता है
    डिवाइस की संरचना उपयोगकर्ता के बजाय निर्माता के हित में बनी हुई है
  • regulation आख़िरकार “सरकार को भी data का हिस्सा चाहिए” जैसी चीज़ बनकर रह जाती है
    यह सिर्फ निगरानी-अधिकारों का बँटवारा है
  • जब हर सरकार spyware इस्तेमाल कर रही हो, तब “regulation” का कोई अर्थ नहीं बचता
    अगर सचमुच सुरक्षा चाहिए, तो GrapheneOS जैसे विकल्प इस्तेमाल करने चाहिए

• यह अजीब है कि WeChat का ज़िक्र नहीं हुआ
  चीनी सरकार संदेश पढ़ सकती है, लेकिन शायद पश्चिमी दुनिया में इसका उपयोग कम होता है, इसलिए ऐसा है
  सरकारों को हमारे संदेशों से प्यार करना सिखाने के लिए आख़िरकार tech industry ही ज़िम्मेदार है

  • अगर चीनी सरकार WeChat पढ़ सकती है, तो मज़ाक में कहा जाए तो शायद वह ज़्यादा बेहतर है
    जब तक EU या US सरकार मेरी messages तक नहीं पहुँचती, तब तक ठीक है
  • यह चेक उपयोगकर्ता का मामला है, इसलिए WeChat इस्तेमाल होने की संभावना कम है
  • अमेरिका लोकतांत्रिक रूप से बनाए गए क़ानूनों से transparency लागू कर सकता है
    लेकिन चीन में यथास्थिति पर चर्चा करना भी अवैध है
    “चीन के साथ काम कर लेते हैं” जैसा कहना कितना वास्तविकता से कटा हुआ है, यह बताया गया

• ज़्यादातर लोग ख़ुद ही ऑनलाइन बहुत ज़्यादा निजी जानकारी डाल देते हैं
  जासूसी एजेंसियाँ कोई ख़ास तकनीक नहीं चला रहीं, वे बस सार्वजनिक डेटा को जोड़ती हैं

  • मैंने वास्तव में ऐसे मामले देखे हैं जहाँ सिर्फ नाम और कुछ username के आधार पर लोगों को ट्रैक किया गया
    तकनीक से ज़्यादा बड़ी समस्या इंसानी लापरवाही है

• डिवाइस को हमेशा up to date रखना चाहिए, और apps की संख्या घटाकर attack surface को कम करना चाहिए
  संदिग्ध apps को किसी अलग डिवाइस पर चलाना बेहतर है

  • अगर आप iPhone उपयोगकर्ता हैं, तो Lockdown Mode पर विचार कर सकते हैं
    आधिकारिक मार्गदर्शन
  • मज़ाक में “कहीं बम तो नहीं लगाया गया?” जैसा कहा गया
    संबंधित लेख का हवाला दिया गया
    पूर्व Mossad प्रमुख ने कहा था कि दुनिया भर में उपकरण तैनात हैं
  • superapps (WhatsApp, Chrome, TikTok आदि) पहले ही बहुत बड़ा attack surface बना चुके हैं
    defence तकनीक आगे बढ़ने के साथ exploit की लागत बढ़ती जा रही है
    अलग डिवाइस इस्तेमाल करना अच्छा है, लेकिन पूरी isolation बनाए रखने के लिए OS-स्तर का समर्थन चाहिए

• Paragon के संस्थापकों में Ehud Barak और Unit 8200 के पूर्व सदस्य Ehud Schneorson शामिल हैं
  Barak, Epstein के साथ अपने संबंधों के लिए भी जाने जाते हैं
  Wikipedia देखें

• यह सवाल उठाया गया कि “क्या यह कंपनी Jia Tan हो सकती है?”

  • Jia Tan public code के भीतर छिपकर काम करना पसंद करता है, इसलिए ऐसी गुप्त कंपनी में उसकी दिलचस्पी नहीं होगी
  • पहले से ही बहुत सारे 0-day exploits मौजूद हैं, इसलिए ऐसी कंपनी की ख़ास ज़रूरत नहीं है

• यह दरअसल एक प्रचारात्मक लेख जैसा है
  ऐसी कंपनियाँ तकनीकी क्षमता से ज़्यादा धन के प्रवाह पर केंद्रित होती हैं
  वे zero-day खरीदकर उन्हें अस्थिर dashboard में पैक कर देती हैं
  PE पूँजी के growth pressure की वजह से ऐसी “गलती जैसी publicity” सामने आती है

  • दिलचस्प marketing strategy तो है
    लेकिन exploit खरीदकर पैकेज करना कोई नई बात नहीं है
    लेख खुद शायद इस वास्तविकता पर व्यंग्य करता है कि ऐसी कंपनियाँ खुलेआम मौजूद रह सकती हैं