আপনি বহু বছর ধরে চেনেন—এমন একজন সত্যিকারের বন্ধুর কাছ থেকে একটি WhatsApp বার্তা পান। বার্তাটিতে আপনাকে একটি লিঙ্কে ক্লিক করে নাচের প্রতিযোগিতায় তার সন্তানকে, ছবি প্রতিযোগিতায় তার কুকুরকে, অথবা কোনো তহবিল সংগ্রহে তার স্কুলকে ভোট দিতে বলা হয়। এতে প্রতারণার স্পষ্ট কোনো লক্ষণ নেই—এটি আপনার ব্যাংকের পাসওয়ার্ড চাইছে না, আর বার্তাটি এসেছে এমন এক পরিচিতির কাছ থেকে, যাকে আপনি বিশ্বাস করেন এবং যার সঙ্গে বহু বছর ধরে আপনার কথোপকথন চলছে।

এটাই আসল বিষয়। Malwarebytes-এর নিরাপত্তা গবেষকেরা 2026 সালের আগস্টের শুরুতে এই ধরনটি নথিভুক্ত করেছেন: বার্তাটি কোনো নকল নম্বর থেকে আসে না। এটি আসে আপনার বন্ধুর আসল, দখল হয়ে যাওয়া WhatsApp অ্যাকাউন্ট থেকে। আক্রমণকারী আপনার বন্ধুর ছদ্মবেশ ধারণ করছে না—তারা তার অ্যাকাউন্টের ভেতরেই আছে এবং তার পরিচয়ে তার পরিচিতির তালিকার সবাইকে, আপনাকেও, বার্তা পাঠাচ্ছে।

পাসওয়ার্ড ছাড়াই কীভাবে অ্যাকাউন্ট দখল হয়ে যায়

WhatsApp একটি অ্যাকাউন্টকে একসঙ্গে আরও চারটি ডিভাইসে লগ ইন অবস্থায় থাকতে দেয়—আপনার ফোনের পাশাপাশি একটি ব্রাউজারে WhatsApp Web, একটি ডেস্কটপ অ্যাপ ইত্যাদিতে—লিঙ্কড ডিভাইস নামের একটি ফিচারের মাধ্যমে। নতুন ডিভাইস লিঙ্ক করতে সাধারণত আপনার ফোনে WhatsApp খুলে Settings-এ যেতে হয় এবং নতুন ডিভাইসে দেখানো একটি QR কোড স্ক্যান করতে হয়। কোনো পাসওয়ার্ডের দরকার হয় না, কারণ আপনার ফোনে ইতিমধ্যেই লগ ইন করা আছে এবং সেটিই নতুন সেশনের অনুমোদন দেয়।

প্রতারণাটি লগইন প্রক্রিয়াটিকে নয়, এই প্রবাহটিকেই দখল করে। ভুক্তভোগী একটি লিঙ্কে ক্লিক করেন—কখনও কখনও আসল wa.me ডোমেইনেও—যা তাকে দেখতে "WhatsApp Web setup"-এর মতো একটি ধাপপদ্ধতির মধ্যে নিয়ে যায়, অথবা নিজের linked-devices স্ক্রিনে একটি কোড টাইপ করতে বলে। এই ধাপগুলো অনুসরণ করলে ঠিক একটিই কাজ হয়: ভুক্তভোগীর অ্যাকাউন্টে আক্রমণকারীর ডিভাইসকে নতুন একটি লিঙ্কড সেশন হিসেবে অনুমোদন করা। এরপর থেকে আক্রমণকারী এমন একটি ডিভাইস থেকে, যা ভুক্তভোগী কখনও দেখেন না, অ্যাকাউন্টের মালিকের মতো করে বার্তা পড়তে ও পাঠাতে পারে।

এই কারণেই এটি মানুষকে যে সতর্কসংকেতগুলো খুঁজতে শেখানো হয়, সেগুলোর কোনোটি সক্রিয় করে না। পাসওয়ার্ড বদলানো হয় না, তাই "আপনার পাসওয়ার্ড বদলে গেছে"—এমন কোনো ইমেলও আসে না। ব্যর্থ লগইন চেষ্টাও হয় না, তাই কোনো নিরাপত্তা সতর্কতাও আসে না। অ্যাকাউন্ট মালিকের নিজের ফোনও সম্পূর্ণ স্বাভাবিকভাবেই কাজ করে। একমাত্র চিহ্ন হলো linked-devices তালিকায় নীরবে থাকা একটি অতিরিক্ত, অপরিচিত এন্ট্রি—আর কীভাবে দেখতে হয় তা জানা না থাকলে প্রায় কেউই সেই তালিকা পরীক্ষা করেন না।

এই মুহূর্তে নিজের linked devices পরীক্ষা করুন

এই বার্তাগুলোর কোনোটি পেয়ে থাকুন বা না থাকুন, এটি করুন—কারণ এতে দুই মিনিটেরও কম সময় লাগে এবং কোনো খরচ নেই:

  • iPhone বা Android-এ: WhatsApp খুলুন → Settings-এ ট্যাপ করুন (অথবা Android-এ তিন-বিন্দুর মেনু) → Linked Devices।
  • প্রতিটি এন্ট্রি পর্যালোচনা করুন। প্রতিটিতে একটি ডিভাইসের ধরন (Chrome, Windows, Mac, অন্য ফোন) এবং শেষবার কখন সক্রিয় ছিল তা দেখানো হয়। আপনি যদি নিজের ফোনেই কেবল WhatsApp ব্যবহার করেন, তাহলে এই তালিকা খালি থাকা উচিত। আপনি যদি বাড়ি বা কাজের কম্পিউটারে WhatsApp Web ব্যবহার করেন, তাহলে প্রতিটি এন্ট্রিই আপনার পরিচিত হওয়া উচিত।
  • যে কোনো অপরিচিত ডিভাইস—তাৎক্ষণিকভাবে সরিয়ে দিন। ডিভাইসটিতে ট্যাপ করে "Log out" নির্বাচন করুন, অথবা কোন এন্ট্রিটি সমস্যার তা নিশ্চিত না হলে "Log out from all devices" ব্যবহার করুন। এতে সঙ্গে সঙ্গেই আক্রমণকারীর প্রবেশাধিকার কেটে যায়; আপনার পাসওয়ার্ড বা ফোন নম্বর বদলানোর প্রয়োজন হয় না।

এরপর দরজায় তালা লাগিয়ে দিন

অননুমোদিত ডিভাইসটি সরিয়ে ফেললে তাৎক্ষণিক প্রবেশাধিকার বন্ধ হয়, কিন্তু একইভাবে নতুন একটি ডিভাইস লিঙ্ক করা থেকে কাউকে আটকায় না। এরপরের দুটি পদক্ষেপ গুরুত্বপূর্ণ:

  • টু-স্টেপ ভেরিফিকেশন চালু করুন। Settings → Account → Two-step verification → Enable। এতে একটি 6-সংখ্যার PIN যোগ হয়, যা কিছু সংবেদনশীল কাজের জন্য প্রয়োজন হয় এবং আপনি আবার প্রতারিত হলেও কারও পক্ষে নিয়ন্ত্রণ পুনঃপ্রতিষ্ঠা করা কঠিন করে তোলে।
  • কোনো বার্তা আপনাকে বলেছে বলে নিজের WhatsApp সেটিংসে কখনও কোনো কোড লিখবেন না। এই প্রতারণার আসল কৌশল এটাই। বৈধ ডিভাইস লিঙ্কিং সবসময় শুরু হয় আপনার নিজের হাতে WhatsApp Web বা Desktop খোলা এবং ফোনের ক্যামেরা দিয়ে একটি QR কোড স্ক্যান করার মাধ্যমে—চ্যাট, টেক্সট বা লিঙ্কে আসা কোনো কোড টাইপ করে এটি কখনও শুরু হয় না। কোনো পেজ আপনাকে তা করতে বললে সেটি বন্ধ করে দিন।

বার্তাটি যদি আপনার কাছ থেকে নয়, কোনো বন্ধুর কাছ থেকে এসে থাকে

লিঙ্কে ক্লিক করবেন না, আর কথোপকথনটি যদি টাকা চাওয়ার দিকে গড়ায়, তাহলে টাকা পাঠাবেন না—আক্রমণকারী প্রবেশাধিকার পাওয়ার পর এটি প্রায়ই পরের ধাপ হয়, কারণ সত্যিকারের বন্ধুর অ্যাকাউন্ট থেকে জরুরি টাকা চাওয়া বার্তা অপরিচিত কারও কাছ থেকে আসা একই বার্তার তুলনায় অনেক বেশি বিশ্বাসযোগ্য। বরং সম্পূর্ণ ভিন্ন কোনো মাধ্যমে সেই বন্ধুর সঙ্গে যোগাযোগ করুন—ফোন কল, টেক্সট, ইমেল, এমন যেকোনো কিছু যা নিজস্ব WhatsApp থ্রেড নয়, কারণ ওই থ্রেডে আসলে আপনার বন্ধু নাও থাকতে পারেন। আপনি কী পেয়েছেন তা তাকে জানান এবং নিজের linked-devices তালিকা পরীক্ষা করতে বলুন। যদি দেখা যায় তার অ্যাকাউন্ট দখল হয়ে গিয়েছিল, তাহলে তাকেও একইভাবে তার অন্যান্য পরিচিতিকে সতর্ক করা উচিত, কারণ আক্রমণকারীর পুরো কৌশল নির্ভর করে বার্তাটি এখন যেমন বিশ্বাসযোগ্য দেখাচ্ছে, ঠিক তেমনই দেখানোর ওপর।

এর কোনোটির জন্য অ্যান্টিভাইরাস সফটওয়্যার, পাসওয়ার্ড ম্যানেজার বা WhatsApp-এর নিজস্ব সেটিংস মেনুর বাইরে কোনো সরঞ্জামের প্রয়োজন নেই। দরকার শুধু জানা যে "linked devices" এমন একটি তালিকা, যা পরীক্ষা করা উচিত—এবং সত্যিকারের কারও কাছ থেকে আসা সাহায্যের অনুরোধ প্রমাণ করে না যে অনুরোধটি সত্যিই সেই ব্যক্তিই করেছেন।