अगर आपने हाल ही में कोई स्ट्रीमिंग स्टिक खरीदी है, तो आपने इन्हें ज़रूर देखा होगा: H96, T95 या X96 जैसे नामों वाले सामान्य Android TV बॉक्स, जो Roku या Chromecast की कीमत के एक-तिहाई में बिकते हैं और जिनके स्पेसिफिकेशन अक्सर कीमत के हिसाब से अविश्वसनीय रूप से अच्छे लगते हैं। खरीदने से पहले इस अंतर पर ठहरकर विचार करना उचित है, क्योंकि शोधकर्ताओं ने हाल ही में बिल्कुल दिखाया है कि इनमें से कुछ डिवाइस इस अंतर की भरपाई कैसे करते हैं — और यह कम मुनाफ़े के मार्जिन के ज़रिए नहीं होता।

सुरक्षा कंपनी Bitsight ने ऐसे ही एक डिवाइस परिवार, H96, की जाँच की, जब शोधकर्ता Pedro Falé ने एक ऐसे समाप्त हो चुके डोमेन का पंजीकरण किया, जिस पर ये बॉक्स अब भी संपर्क कर रहे थे। Krebs on Security की रिपोर्ट के अनुसार, उन्हें जो मिला वह एक बड़ा विज्ञापन-धोखाधड़ी नेटवर्क था: ये डिवाइस गुप्त रूप से खुद को पूरी तरह अलग फ़ोन के रूप में पेश कर रहे थे — झूठा दावा कर रहे थे कि वे Samsung, Vivo, Huawei और Xiaomi हैंडसेट हैं — और इस नकली पहचान का इस्तेमाल AI से बनाई गई वेबसाइटों पर विज्ञापनों पर क्लिक करने के लिए कर रहे थे। इसका असर उन विज्ञापनदाताओं और व्यापारियों को ठगना है, जो ऐसे विज्ञापन-प्रदर्शन और क्लिक के लिए भुगतान करते हैं जिन्हें किसी वास्तविक फ़ोन पर किसी वास्तविक व्यक्ति ने कभी नहीं किया। यह इस श्रेणी के डिवाइस से जुड़े पहले से ज्ञात जोखिम के अतिरिक्त है: कुछ डिवाइस मालिक के घरेलू इंटरनेट कनेक्शन को तीसरे पक्षों को चुपचाप किराये पर देने के लिए इस्तेमाल किए गए हैं, जिससे आपका आवासीय IP पता एक ऐसे प्रॉक्सी में बदल जाता है जिसके ज़रिए अजनबी अपना ट्रैफ़िक भेजते हैं — ऐसा ट्रैफ़िक जिसे आप देख नहीं सकते और जिसकी जाँच करने की आपके पास कोई क्षमता नहीं होती।

खास तौर पर सस्ते वाले क्यों

अर्थशास्त्र इस व्यवहार को समझाता है। एक वैध Android TV डिवाइस — Chromecast, Nvidia Shield, आधिकारिक Google TV या Fire TV बॉक्स — हार्डवेयर, ऐप स्टोर या सब्सक्रिप्शन इकोसिस्टम से कमाई करने के हिसाब से कीमत पर बेचा जाता है और बिक्री से पहले निर्माता की प्रमाणन प्रक्रिया से गुजरता है। उस कीमत के एक अंश में बिकने वाले ऐसे गुमनाम बॉक्स के पीछे कोई पहचानी जाने वाली कंपनी नहीं होती, इसलिए उसे अपना मुनाफ़ा कहीं और से कमाना पड़ता है। अगर बिक्री मूल्य में विनिर्माण, शिपिंग और मुनाफ़ा यथार्थ रूप से शामिल नहीं हो सकते, तो बिक्री के बाद किसी और चीज़ से कमाई की जा रही है — और आपके नेटवर्क की बैंडविड्थ तथा डिवाइस की पहचान इसके स्पष्ट उम्मीदवार हैं, क्योंकि दोनों आपके लिए अदृश्य और विज्ञापन-धोखाधड़ी तथा प्रॉक्सी-किराये के संचालकों के लिए मूल्यवान हैं।

खरीदने से पहले क्या जाँचें

  • किसी वास्तविक और जवाबदेह निर्माता को तलाशें। Google TV, Roku, Amazon Fire TV, Nvidia Shield और Chromecast डिवाइस ऐसी कंपनियों से जुड़े होते हैं जिनकी प्रमाणन प्रक्रिया और खोने के लिए प्रतिष्ठा होती है। किसी तीसरे पक्ष के मार्केटप्लेस पर केवल सामान्य मॉडल नंबर (H96, T95, MXQ, X96 और इसी तरह के) के नाम से बिकने वाले बॉक्स में इनमें से कुछ भी नहीं होता।
  • Google Play Protect प्रमाणन की जाँच करें। Google उन Android डिवाइसों की सूची रखता है जिन्होंने उसके Play Protect संगतता और सुरक्षा परीक्षण पास किए हैं — खरीदने से पहले आप मॉडल नंबर खोज सकते हैं। किसी अप्रमाणित डिवाइस की बिल्कुल जाँच नहीं की गई होती, और 24/7 आपके नेटवर्क से जुड़े रहने वाले उपकरण के लिए यह एक महत्वपूर्ण कमी है।
  • सही शिकायतों वाली समीक्षाएँ पढ़ें। शोधकर्ताओं द्वारा किसी डिवाइस को दुर्भावनापूर्ण काम करते हुए पकड़ने से पहले, मालिक अक्सर उसके दुष्प्रभावों पर ध्यान दे लेते हैं: बिना किसी स्पष्ट कारण के गर्म होना, ऐसा डिवाइस जो कभी सोता हुआ न लगे, या किसी ऐसी चीज़ के लिए असामान्य रूप से ज़्यादा डेटा इस्तेमाल होना जो “सिर्फ स्ट्रीमिंग” कर रही हो। खरीदने से पहले सटीक मॉडल नंबर के साथ “data usage,” “always on” या “proxy” जैसे शब्द खोजें, बाद में नहीं।

अगर आपके पास पहले से ऐसा कोई डिवाइस है तो क्या जाँचें

  • रातभर अपने राउटर की डिवाइस सूची देखें। ज़्यादातर घरेलू राउटर हर कनेक्टेड डिवाइस के लिए बैंडविड्थ दिखाते हैं। सुबह 3 बजे देखें कि जब कोई कुछ नहीं देख रहा हो, तब स्ट्रीमिंग बॉक्स क्या कर रहा है। ऐसे डिवाइस से लगातार अपलोड ट्रैफ़िक, या बिल्कुल कोई भी ट्रैफ़िक, जो निष्क्रिय होना चाहिए, जाँच के लायक ख़तरे का संकेत है।
  • देखें कि वह किससे संपर्क कर रहा है। अगर आपका राउटर कनेक्शन लॉग का समर्थन करता है, या आप Pi-hole अथवा इसी तरह के DNS-लॉगिंग टूल का इस्तेमाल करते हैं, तो देखें कि बॉक्स बार-बार अनजान या बदलते रहने वाले डोमेन से संपर्क तो नहीं कर रहा, जबकि आपको स्ट्रीमिंग सेवा के केवल कुछ गिने-चुने एंडपॉइंट की अपेक्षा होनी चाहिए।
  • इसे अलग नेटवर्क पर रखें। ज़्यादातर घरेलू राउटर गेस्ट नेटवर्क या, बेहतर हार्डवेयर में, VLAN का समर्थन करते हैं। स्ट्रीमिंग बॉक्स और अन्य IoT डिवाइसों को अपने फ़ोन, लैपटॉप और फ़ाइल शेयर से अलग रखने पर, अगर उनमें से कोई गलत व्यवहार करता हुआ निकले, तो नुकसान सीमित रहता है — वह उन डिवाइसों के ज़रिए ट्रैफ़िक को प्रॉक्सी नहीं कर सकता जिन्हें वह देख नहीं सकता, और उसमें सेंध लगने से आपका बाकी नेटवर्क उसके हाथ में नहीं जाता।

अगर आपको कुछ गड़बड़ मिले

जिस डिवाइस का फ़र्मवेयर जानबूझकर ऐसा कर रहा हो, उसे “साफ़” करने का कोई भरोसेमंद तरीका नहीं है — फ़ैक्टरी रीसेट फ़र्मवेयर इमेज में ही शामिल व्यवहार को नहीं हटाएगा, और इसे ठीक करने के लिए आम तौर पर कोई वैध अपडेट चैनल भी नहीं होता, क्योंकि निर्माता ने इसे जानबूझकर इसी तरह बनाया है। व्यावहारिक विकल्प हैं इसे अनप्लग करके इस्तेमाल बंद कर देना या किसी जवाबदेह निर्माता के प्रमाणित डिवाइस से बदल देना। अगर यह कुछ समय से आपके मुख्य नेटवर्क पर लगा हुआ है, तो बाद में अपना Wi-Fi पासवर्ड बदलना भी उचित होगा, इस संभावना को देखते हुए कि उसे उसी नेटवर्क पर मौजूद अन्य डिवाइसों को देखने या उनसे संपर्क करने के अवसर मिले हों।

व्यापक रूप से अपनाने लायक आदत यह है: हमेशा कनेक्टेड रहने वाले किसी भी डिवाइस की अविश्वसनीय रूप से कम कीमत को सौदा नहीं, बल्कि एक सवाल समझें — क्योंकि अगर आप यह नहीं बता सकते कि छूट की कीमत कौन चुका रहा है, तो अच्छी-खासी संभावना है कि वह आप ही हैं।

स्रोत: H96 Android TV बॉक्स पर Bitsight का शोध, जिसकी रिपोर्ट Krebs on Security ने की।