An encryption key is, in effect, the password to a person's private communications. In a certified sovereign deployment, the government holds and controls that key. In consumer messaging apps, the vendor generates, manages, or has the technical ability to access key material as part of running the service — meaning the company itself, not just an attacker, is a party that can technically read or hand over the underlying data. A government has no way to verify or audit how a foreign vendor manages that custody, and no contractual leverage to change it.

একটি এনক্রিপশন কী কার্যত একজন ব্যক্তির ব্যক্তিগত যোগাযোগের পাসওয়ার্ড। একটি সনদপ্রাপ্ত সার্বভৌম স্থাপনায়, সেই কী সরকার নিজে ধারণ ও নিয়ন্ত্রণ করে। সাধারণ মেসেজিং অ্যাপে, বিক্রেতা প্রতিষ্ঠান পরিষেবা পরিচালনার অংশ হিসেবে কী উপাদান তৈরি, পরিচালনা, বা প্রযুক্তিগতভাবে অ্যাক্সেস করার সক্ষমতা রাখে — অর্থাৎ শুধু একজন আক্রমণকারী নয়, প্রতিষ্ঠানটি নিজেই এমন একটি পক্ষ যে প্রযুক্তিগতভাবে অন্তর্নিহিত তথ্য পড়তে বা হস্তান্তর করতে সক্ষম। একটি সরকারের কাছে বিদেশি বিক্রেতা এই হেফাজত কীভাবে পরিচালনা করে তা যাচাই বা নিরীক্ষা করার কোনো উপায় নেই, এবং তা পরিবর্তনের কোনো চুক্তিগত ক্ষমতাও নেই।

A zero-click attack compromises a device without the victim clicking a link, opening a file, or making any error at all — the exploit fires simply because a malicious message arrived. This class of attack cannot be defended against through user training or vigilance; it can only be defended against architecturally. Container isolation is exactly that architectural defense: even if a zero-click exploit compromises the surrounding phone, a properly isolated secure container is designed to remain unreadable to the attacker. Reason Five below documents a real, independently confirmed zero-click case.

একটি জিরো-ক্লিক আক্রমণ ব্যবহারকারীর কোনো লিংকে ক্লিক করা, ফাইল খোলা, বা কোনো ভুল করা ছাড়াই একটি ডিভাইসকে আপোস করে ফেলে — একটি ক্ষতিকর বার্তা পৌঁছানোর সাথে সাথেই এক্সপ্লয়েটটি সক্রিয় হয়ে যায়। এই ধরনের আক্রমণ ব্যবহারকারীর প্রশিক্ষণ বা সতর্কতার মাধ্যমে প্রতিরোধ করা সম্ভব নয় — এটি কেবল স্থাপত্যগতভাবেই প্রতিরোধ করা যায়। কনটেইনার আইসোলেশন ঠিক এই স্থাপত্যগত প্রতিরক্ষা প্রদান করে: চারপাশের ফোনটি একটি জিরো-ক্লিক এক্সপ্লয়েটের মাধ্যমে আপোস হলেও, সঠিকভাবে বিচ্ছিন্ন একটি সুরক্ষিত কনটেইনার আক্রমণকারীর কাছে অপাঠযোগ্য থাকার জন্যই ডিজাইন করা। নিচের রিজন ফাইভ-এ একটি প্রকৃত, স্বাধীনভাবে নিশ্চিতকৃত জিরো-ক্লিক ঘটনা নথিভুক্ত করা হয়েছে।

A United Nations forensic analysis concluded, with medium-to-high confidence, that the phone of Amazon founder Jeff Bezos was compromised in May 2018 after a video file was sent from a WhatsApp account personally used by Saudi Arabia's Crown Prince. Within hours, data exfiltration from the phone reportedly increased by over 29,000%. UN human rights experts called for a formal investigation, and the case remains one of the most thoroughly documented examples of a consumer messaging app being used as the entry point for state-linked surveillance of a high-profile figure.

জাতিসংঘের একটি ফরেনসিক বিশ্লেষণে "মাঝারি থেকে উচ্চ মাত্রার আস্থা" সহকারে সিদ্ধান্তে আসা হয় যে, ২০১৮ সালের মে মাসে অ্যামাজনের প্রতিষ্ঠাতা জেফ বেজোসের ফোন আপোস হয়েছিল, যখন সৌদি আরবের ক্রাউন প্রিন্স ব্যক্তিগতভাবে ব্যবহৃত একটি হোয়াটসঅ্যাপ অ্যাকাউন্ট থেকে একটি ভিডিও ফাইল পাঠানো হয়েছিল। কয়েক ঘণ্টার মধ্যেই ফোন থেকে তথ্য বহির্গমন প্রতিবেদন অনুযায়ী ২৯,০০০ শতাংশেরও বেশি বেড়ে যায়। জাতিসংঘের মানবাধিকার বিশেষজ্ঞরা একটি আনুষ্ঠানিক তদন্তের আহ্বান জানান, এবং এই ঘটনাটি একটি সাধারণ মেসেজিং অ্যাপকে একজন উচ্চপ্রোফাইল ব্যক্তির ওপর রাষ্ট্র-সংশ্লিষ্ট নজরদারির প্রবেশপথ হিসেবে ব্যবহারের সবচেয়ে ভালোভাবে নথিভুক্ত উদাহরণগুলোর একটি হিসেবে রয়ে গেছে।

A vulnerability in WhatsApp's own infrastructure was exploited in 2019 to deliver spyware to more than 1,400 accounts across 51 countries, including journalists, human rights defenders, diplomats, and government officials. WhatsApp and its parent Meta sued the spyware maker, NSO Group, and after six years of litigation, a U.S. federal jury awarded Meta over $167 million in damages in 2025, with a permanent injunction issued against NSO in 2025–2026. The verdict confirmed the abuse occurred — but it could not undo the fact that the underlying platform vulnerability had already exposed well over a thousand people, including sitting officials, before it was fixed.

২০১৯ সালে হোয়াটসঅ্যাপের নিজস্ব অবকাঠামোর একটি দুর্বলতা কাজে লাগিয়ে ৫১টি দেশের ১,৪০০-এরও বেশি অ্যাকাউন্টে স্পাইওয়্যার প্রবেশ করানো হয়, যার মধ্যে সাংবাদিক, মানবাধিকারকর্মী, কূটনীতিক ও সরকারি কর্মকর্তারাও ছিলেন। হোয়াটসঅ্যাপ ও এর মূল প্রতিষ্ঠান মেটা স্পাইওয়্যার নির্মাতা এনএসও গ্রুপের বিরুদ্ধে মামলা করে, এবং ছয় বছরের আইনি লড়াইয়ের পর ২০২৫ সালে একটি মার্কিন ফেডারেল জুরি মেটাকে ১৬৭ মিলিয়ন ডলারেরও বেশি ক্ষতিপূরণ প্রদান করে, এবং ২০২৫-২৬ সালে এনএসও-র বিরুদ্ধে একটি স্থায়ী নিষেধাজ্ঞা জারি করা হয়। এই রায় প্রমাণ করে যে অপব্যবহারটি ঘটেছিল — কিন্তু এটি এই বাস্তবতা মুছে দিতে পারেনি যে প্ল্যাটফর্মের অন্তর্নিহিত দুর্বলতাটি ঠিক হওয়ার আগেই এক হাজারেরও বেশি মানুষ, এমনকি দায়িত্বরত কর্মকর্তাদেরও, ঝুঁকিতে ফেলে দিয়েছিল।

In March 2025, the most senior U.S. national security officials — including the Vice President, multiple cabinet secretaries, and intelligence agency directors — coordinated live military strike operations against Houthi targets in Yemen over the consumer app Signal. A journalist was inadvertently added to the group and subsequently published operational details, including strike timing and targeting information. Signal is a well-regarded encrypted app, but like WhatsApp and Telegram, it is not certified or approved for classified government communications — a distinction the incident made painfully public. This case matters for Bangladesh specifically because it shows that even a government with access to the most secure, purpose-built classified systems in the world can still expose itself the moment officials default to a convenient consumer app instead.

২০২৫ সালের মার্চে যুক্তরাষ্ট্রের সর্বোচ্চ পর্যায়ের জাতীয় নিরাপত্তা কর্মকর্তারা — যার মধ্যে ছিলেন ভাইস প্রেসিডেন্ট, একাধিক মন্ত্রিসভা সদস্য এবং গোয়েন্দা সংস্থার পরিচালকগণ — ইয়েমেনে হুথি লক্ষ্যবস্তুর বিরুদ্ধে সরাসরি সামরিক অভিযান পরিচালনার সমন্বয় করেছিলেন সাধারণ ভোক্তা-অ্যাপ সিগন্যালের মাধ্যমে। একজন সাংবাদিক অনিচ্ছাকৃতভাবে সেই গ্রুপে যুক্ত হয়ে যান এবং পরবর্তীতে অভিযানের সময়সূচি ও লক্ষ্যবস্তু সংক্রান্ত তথ্যসহ বিস্তারিত প্রকাশ করেন। সিগন্যাল একটি সুপরিচিত এনক্রিপ্টেড অ্যাপ, কিন্তু হোয়াটসঅ্যাপ ও টেলিগ্রামের মতোই, এটি শ্রেণীবদ্ধ (classified) সরকারি যোগাযোগের জন্য সনদপ্রাপ্ত বা অনুমোদিত নয় — একটি পার্থক্য যা এই ঘটনার মাধ্যমে বেদনাদায়কভাবে জনসমক্ষে চলে আসে। বাংলাদেশের জন্য এই ঘটনাটি গুরুত্বপূর্ণ, কারণ এটি দেখায় যে বিশ্বের সবচেয়ে সুরক্ষিত ও উদ্দেশ্য-নির্মিত শ্রেণীবদ্ধ ব্যবস্থার অধিকারী একটি সরকারও কর্মকর্তারা সুবিধাজনক একটি সাধারণ অ্যাপের দিকে ঝুঁকে গেলেই নিজেকে ঝুঁকিতে ফেলে দিতে পারে।

For years, Telegram publicly stated it would only share user data with law enforcement in terrorism-related cases — a policy the platform used to position itself as uniquely resistant to government pressure. In August 2024, French authorities arrested and indicted Telegram's CEO, Pavel Durov, at a Paris airport, citing the platform's failure to respond to legal data requests. Within about a month, Telegram reversed the policy entirely, agreeing to share IP addresses and phone numbers for a much wider range of offenses. No government that relied on Telegram's prior policy — including any government that assumed its officials' data was protected by that stance — was consulted before the reversal.

বছরের পর বছর ধরে টেলিগ্রাম প্রকাশ্যে বলে আসছিল যে তারা শুধুমাত্র সন্ত্রাসবাদ-সংক্রান্ত ক্ষেত্রেই আইন প্রয়োগকারী সংস্থার সাথে ব্যবহারকারীর তথ্য শেয়ার করবে — একটি নীতি, যা প্ল্যাটফর্মটি নিজেকে সরকারি চাপের বিরুদ্ধে অনন্যভাবে প্রতিরোধী হিসেবে তুলে ধরতে ব্যবহার করত। ২০২৪ সালের আগস্টে ফরাসি কর্তৃপক্ষ প্যারিসের একটি বিমানবন্দরে টেলিগ্রামের সিইও পাভেল দুরভকে গ্রেপ্তার ও অভিযুক্ত করে, আইনি তথ্য অনুরোধে সাড়া না দেওয়ার অভিযোগ তুলে। প্রায় এক মাসের মধ্যেই টেলিগ্রাম তাদের নীতি সম্পূর্ণরূপে পাল্টে ফেলে, এবং অনেক বিস্তৃত পরিসরের অপরাধের ক্ষেত্রে আইপি ঠিকানা ও ফোন নম্বর শেয়ার করতে সম্মত হয়। টেলিগ্রামের পূর্ববর্তী নীতির ওপর নির্ভর করা কোনো সরকারের সাথেই — এমনকি যেসব সরকার সেই নীতির কারণে তাদের কর্মকর্তাদের তথ্য সুরক্ষিত মনে করেছিল, তাদের সাথেও — এই পরিবর্তনের আগে কোনো পরামর্শ করা হয়নি।

In 2021, researchers at Citizen Lab discovered an iMessage exploit — later named FORCEDENTRY — that compromised iPhones with no user interaction whatsoever: no link clicked, no file opened, no mistake made by the target. Apple confirmed the vulnerability (CVE-2021-30860) and patched it, but not before it had been used against human rights activists in Bahrain, a French human rights lawyer, and an Indian journalist. The same class of attack — a zero-click WhatsApp calling vulnerability, CVE-2019-3568 — was the technical mechanism behind the 1,400-account compromise described in Reason Five, Case 2. Together, these confirm that container isolation, described in Reason Four, is not a theoretical safeguard: zero-click exploits against consumer apps and consumer messaging infrastructure are real, independently documented, and have already reached journalists, lawyers, and activists who had no way to see the attack coming.

২০২১ সালে সিটিজেন ল্যাবের গবেষকরা একটি আইমেসেজ এক্সপ্লয়েট আবিষ্কার করেন — পরবর্তীতে যার নাম দেওয়া হয় ফোর্সডএন্ট্রি — যা কোনো ব্যবহারকারীর মিথস্ক্রিয়া ছাড়াই আইফোন আপোস করত: কোনো লিংকে ক্লিক নেই, কোনো ফাইল খোলা নেই, লক্ষ্যবস্তুর কোনো ভুলও নেই। অ্যাপল নিজেই এই দুর্বলতা (CVE-2021-30860) নিশ্চিত করে এবং তা সমাধান করে, কিন্তু ততদিনে এটি বাহরাইনের মানবাধিকারকর্মী, একজন ফরাসি মানবাধিকার আইনজীবী এবং একজন ভারতীয় সাংবাদিকের বিরুদ্ধে ব্যবহৃত হয়ে গিয়েছিল। একই শ্রেণির আক্রমণ — হোয়াটসঅ্যাপ কলিং-এর একটি জিরো-ক্লিক দুর্বলতা, CVE-2019-3568 — রিজন ফাইভ, কেস ২-এ বর্ণিত ১,৪০০ অ্যাকাউন্ট আপোসের প্রযুক্তিগত পদ্ধতি ছিল। একসাথে এই দুটি ঘটনা নিশ্চিত করে যে রিজন ফোর-এ বর্ণিত কনটেইনার আইসোলেশন কোনো তাত্ত্বিক সুরক্ষা নয় — সাধারণ অ্যাপ ও সাধারণ মেসেজিং অবকাঠামোর বিরুদ্ধে জিরো-ক্লিক আক্রমণ বাস্তব, স্বাধীনভাবে নথিভুক্ত, এবং ইতিমধ্যে সাংবাদিক, আইনজীবী ও কর্মীদের কাছে পৌঁছে গেছে, যাদের সেই আক্রমণ আসতে দেখার কোনো উপায়ই ছিল না।

Right now, intelligence services with the resources to do it are not trying to break WhatsApp's or Telegram's encryption in real time. They don't need to. They are simply recording it — every intercepted call, every message, every file — and storing it, unread, waiting. The encryption protecting that traffic today relies on mathematical problems that a sufficiently powerful quantum computer will be able to solve, a milestone many cryptographers now expect within roughly a decade. When that day arrives, it will not matter that the conversation happened in 2026. Anything harvested today becomes readable then — retroactively, all at once, with no way to warn anyone it's happening. A conversation between Bangladesh's senior leadership held today on a consumer app could already be sitting in a foreign archive, waiting for a machine that doesn't exist yet to open it.

এখনই, যেসব গোয়েন্দা সংস্থার সেই সামর্থ্য আছে, তারা হোয়াটসঅ্যাপ বা টেলিগ্রামের এনক্রিপশন এখনই ভাঙার চেষ্টা করছে না। তাদের সেই প্রয়োজনও নেই। তারা কেবল রেকর্ড করে রাখছে — প্রতিটি আটকানো কল, প্রতিটি বার্তা, প্রতিটি ফাইল — এবং তা অপঠিত অবস্থায় সংরক্ষণ করে অপেক্ষা করছে। আজকের এই ট্র্যাফিক রক্ষাকারী এনক্রিপশন এমন গাণিতিক সমস্যার ওপর নির্ভরশীল, যা একটি যথেষ্ট শক্তিশালী কোয়ান্টাম কম্পিউটার সমাধান করতে সক্ষম হবে — অনেক ক্রিপ্টোগ্রাফার এখন যা প্রায় এক দশকের মধ্যে ঘটবে বলে ধারণা করছেন। সেই দিন এলে, কথোপকথনটি ২০২৬ সালে হয়েছিল কি না তাতে কিছুই যায়-আসবে না। আজ সংগ্রহ করা যেকোনো কিছুই তখন পঠনযোগ্য হয়ে উঠবে — পূর্ববর্তীভাবে, একসাথে, কাউকে সতর্ক করার কোনো উপায় ছাড়াই। বাংলাদেশের শীর্ষ নেতৃত্বের আজকের একটি সাধারণ অ্যাপে করা কথোপকথন হয়তো ইতিমধ্যে কোনো বিদেশি সংরক্ষণাগারে বসে আছে, এমন একটি যন্ত্রের অপেক্ষায় যা এখনও তৈরিই হয়নি।

This is not a problem that only happens to the Gulf, Washington, or Paris. Between 2016 and 2018, the independent research group Citizen Lab scanned the internet for infrastructure linked to NSO Group's Pegasus spyware and found suspected infections across 45 countries — Bangladesh among them. One identified operator, tracked under the codename GANGES, was found running politically themed infrastructure targeting devices in Bangladesh, India, and Pakistan simultaneously. Whatever the source or intent, the finding is the same either way: the networks Bangladesh's own officials use every day have already appeared inside this class of surveillance research, in the same investigation that also documented Pegasus infections used against sitting ministers, diplomats, and opposition figures elsewhere in the world.

এটি এমন কোনো সমস্যা নয় যা কেবল উপসাগরীয় অঞ্চল, ওয়াশিংটন, বা প্যারিসেই ঘটে। ২০১৬ থেকে ২০১৮ সালের মধ্যে, স্বাধীন গবেষণা সংস্থা সিটিজেন ল্যাব এনএসও গ্রুপের পেগাসাস স্পাইওয়্যারের সাথে সংশ্লিষ্ট অবকাঠামোর জন্য ইন্টারনেট স্ক্যান করে এবং ৪৫টি দেশজুড়ে সন্দেহভাজন সংক্রমণ খুঁজে পায় — যার মধ্যে বাংলাদেশও ছিল। GANGES কোডনামে চিহ্নিত একটি অপারেটর একই সাথে বাংলাদেশ, ভারত ও পাকিস্তানে ডিভাইস লক্ষ্য করে রাজনৈতিক-থিমযুক্ত অবকাঠামো পরিচালনা করছিল বলে পাওয়া যায়। উৎস বা উদ্দেশ্য যাই হোক না কেন, ফলাফলটি একই থাকে: বাংলাদেশের নিজস্ব কর্মকর্তারা প্রতিদিন যে নেটওয়ার্কগুলো ব্যবহার করেন, সেগুলো ইতিমধ্যে এই ধরনের নজরদারি গবেষণায় উঠে এসেছে — একই তদন্তে, যা বিশ্বের অন্যত্র দায়িত্বরত মন্ত্রী, কূটনীতিক ও বিরোধী দলীয় ব্যক্তিত্বদের বিরুদ্ধে ব্যবহৃত পেগাসাস সংক্রমণও নথিভুক্ত করেছিল।

In 2022, an internal investigation at Meta found that more than two dozen of its own employees and contractors — including third-party security guards stationed at company offices — had been improperly accessing and hijacking Facebook and Instagram accounts, in some documented cases in exchange for bribes paid by outside hackers. The tool they abused was an internal system built for legitimate account-recovery use. This is the uncomfortable part of trusting a foreign consumer platform: the danger isn't only a nation-state adversary or a spyware vendor outside the company. It is that the company's own staff — with no oversight from Bangladesh, no vetting Bangladesh performed, and no consequence Bangladesh can impose — already had the technical means and, in verified cases, the willingness to sell access from the inside.

২০২২ সালে, মেটার একটি অভ্যন্তরীণ তদন্তে দেখা যায় যে তাদের নিজস্ব দুই ডজনেরও বেশি কর্মী ও ঠিকাদার — কোম্পানির অফিসে নিযুক্ত তৃতীয় পক্ষের নিরাপত্তারক্ষীসহ — অনুচিতভাবে ফেসবুক ও ইনস্টাগ্রাম অ্যাকাউন্টে প্রবেশ ও দখল করছিল, এবং কিছু নথিভুক্ত ক্ষেত্রে বাইরের হ্যাকারদের কাছ থেকে ঘুষের বিনিময়ে তা করছিল। তারা যে টুলটির অপব্যবহার করেছিল, সেটি বৈধ অ্যাকাউন্ট-পুনরুদ্ধার ব্যবহারের জন্য তৈরি একটি অভ্যন্তরীণ ব্যবস্থা ছিল। একটি বিদেশি ভোক্তা-প্ল্যাটফর্মের ওপর আস্থা রাখার অস্বস্তিকর দিকটি এখানেই: বিপদ শুধু কোনো রাষ্ট্রীয় প্রতিপক্ষ বা কোম্পানির বাইরের কোনো স্পাইওয়্যার বিক্রেতার মধ্যেই সীমাবদ্ধ নয়। এটি এই যে, কোম্পানির নিজস্ব কর্মীদের — যাদের ওপর বাংলাদেশের কোনো তদারকি নেই, যাদের যাচাই বাংলাদেশ করেনি, এবং যাদের ওপর বাংলাদেশ কোনো শাস্তিমূলক ব্যবস্থা নিতে পারে না — তাদের প্রযুক্তিগত সামর্থ্য এবং যাচাইকৃত ক্ষেত্রে, ভেতর থেকে অ্যাক্সেস বিক্রি করার ইচ্ছাও আগে থেকেই ছিল।

WhatsApp's live messages are end-to-end encrypted by default — but the cloud backup of that entire chat history, stored on Google Drive or iCloud, is not encrypted end-to-end unless the user finds a buried setting and manually turns it on. Almost no one does. This means years of a minister's or general's "encrypted" conversations can sit, in plain readable form, inside a Google or Apple account — reachable through account compromise, legal process served on Google or Apple rather than on WhatsApp, or simple negligence by whoever set up the phone. The encryption the leadership was told to trust was real. It just never reached the copy sitting quietly in the cloud.

হোয়াটসঅ্যাপের লাইভ বার্তা ডিফল্টভাবে এন্ড-টু-এন্ড এনক্রিপ্টেড — কিন্তু গুগল ড্রাইভ বা আইক্লাউডে সংরক্ষিত সেই পুরো চ্যাট-ইতিহাসের ক্লাউড ব্যাকআপ এন্ড-টু-এন্ড এনক্রিপ্টেড নয়, যতক্ষণ না ব্যবহারকারী একটি লুকানো সেটিং খুঁজে বের করে নিজে হাতে তা চালু করেন। প্রায় কেউই তা করেন না। এর অর্থ হলো, একজন মন্ত্রী বা জেনারেলের বছরের পর বছরের "এনক্রিপ্টেড" কথোপকথন সহজ-পাঠযোগ্য অবস্থায় একটি গুগল বা অ্যাপল অ্যাকাউন্টের ভেতরে বসে থাকতে পারে — অ্যাকাউন্ট আপোস, হোয়াটসঅ্যাপের বদলে গুগল বা অ্যাপলের কাছে পাঠানো আইনি প্রক্রিয়া, অথবা ফোনটি যিনি সেট আপ করেছিলেন তার সাধারণ অবহেলার মাধ্যমেও তা নাগালযোগ্য। নেতৃত্বকে যে এনক্রিপশনে আস্থা রাখতে বলা হয়েছিল, তা সত্যিই ছিল। শুধু ক্লাউডে নীরবে বসে থাকা কপিটি পর্যন্ত তা কখনও পৌঁছায়নি।