A secure container is architecturally separate from the rest of the operating system — a locked vault inside the phone rather than just another app sitting alongside everything else. If the surrounding phone is compromised — through malware, a malicious app, or an exploited operating-system bug — an attacker who gains general access to the device still cannot open what's inside the container. Consumer messaging apps do not offer this separation: they rely on the same shared operating environment as every other app on the phone, so a single compromise anywhere on the device can potentially expose them too.

একটি সুরক্ষিত কনটেইনার (container) স্থাপত্যগতভাবে ফোনের বাকি অপারেটিং সিস্টেম থেকে আলাদা — এটি ফোনের ভেতরে একটি তালাবদ্ধ ভল্টের মতো, অন্য যেকোনো সাধারণ অ্যাপের মতো নয়। চারপাশের ফোনটি যদি ম্যালওয়্যার, কোনো ক্ষতিকর অ্যাপ, বা অপারেটিং সিস্টেমের কোনো দুর্বলতার মাধ্যমে আপোস হয়ে যায়, তাহলেও যে আক্রমণকারী ডিভাইসে সাধারণ প্রবেশাধিকার পেয়েছে, সে কনটেইনারের ভেতরের কিছু খুলতে পারবে না। সাধারণ মেসেজিং অ্যাপে এই পৃথকীকরণ নেই — এগুলো ফোনের অন্য সব অ্যাপের মতোই একই ভাগাভাগি করা পরিবেশের ওপর নির্ভর করে, ফলে ডিভাইসের যেকোনো একটি জায়গায় আপোস হলে এগুলোও উন্মুক্ত হয়ে যেতে পারে।

An encryption key is, in effect, the password to a person's private communications. In a certified sovereign deployment, the government holds and controls that key. In consumer messaging apps, the vendor generates, manages, or has the technical ability to access key material as part of running the service — meaning the company itself, not just an attacker, is a party that can technically read or hand over the underlying data. A government has no way to verify or audit how a foreign vendor manages that custody, and no contractual leverage to change it.

একটি এনক্রিপশন কী কার্যত একজন ব্যক্তির ব্যক্তিগত যোগাযোগের পাসওয়ার্ড। একটি সনদপ্রাপ্ত সার্বভৌম স্থাপনায়, সেই কী সরকার নিজে ধারণ ও নিয়ন্ত্রণ করে। সাধারণ মেসেজিং অ্যাপে, বিক্রেতা প্রতিষ্ঠান পরিষেবা পরিচালনার অংশ হিসেবে কী উপাদান তৈরি, পরিচালনা, বা প্রযুক্তিগতভাবে অ্যাক্সেস করার সক্ষমতা রাখে — অর্থাৎ শুধু একজন আক্রমণকারী নয়, প্রতিষ্ঠানটি নিজেই এমন একটি পক্ষ যে প্রযুক্তিগতভাবে অন্তর্নিহিত তথ্য পড়তে বা হস্তান্তর করতে সক্ষম। একটি সরকারের কাছে বিদেশি বিক্রেতা এই হেফাজত কীভাবে পরিচালনা করে তা যাচাই বা নিরীক্ষা করার কোনো উপায় নেই, এবং তা পরিবর্তনের কোনো চুক্তিগত ক্ষমতাও নেই।

A zero-click attack compromises a device without the victim clicking a link, opening a file, or making any error at all — the exploit fires simply because a malicious message arrived. This class of attack cannot be defended against through user training or vigilance; it can only be defended against architecturally. Container isolation is exactly that architectural defense: even if a zero-click exploit compromises the surrounding phone, a properly isolated secure container is designed to remain unreadable to the attacker. Reason Five below documents a real, independently confirmed zero-click case.

একটি জিরো-ক্লিক আক্রমণ ব্যবহারকারীর কোনো লিংকে ক্লিক করা, ফাইল খোলা, বা কোনো ভুল করা ছাড়াই একটি ডিভাইসকে আপোস করে ফেলে — একটি ক্ষতিকর বার্তা পৌঁছানোর সাথে সাথেই এক্সপ্লয়েটটি সক্রিয় হয়ে যায়। এই ধরনের আক্রমণ ব্যবহারকারীর প্রশিক্ষণ বা সতর্কতার মাধ্যমে প্রতিরোধ করা সম্ভব নয় — এটি কেবল স্থাপত্যগতভাবেই প্রতিরোধ করা যায়। কনটেইনার আইসোলেশন ঠিক এই স্থাপত্যগত প্রতিরক্ষা প্রদান করে: চারপাশের ফোনটি একটি জিরো-ক্লিক এক্সপ্লয়েটের মাধ্যমে আপোস হলেও, সঠিকভাবে বিচ্ছিন্ন একটি সুরক্ষিত কনটেইনার আক্রমণকারীর কাছে অপাঠযোগ্য থাকার জন্যই ডিজাইন করা। নিচের রিজন ফাইভ-এ একটি প্রকৃত, স্বাধীনভাবে নিশ্চিতকৃত জিরো-ক্লিক ঘটনা নথিভুক্ত করা হয়েছে।

A United Nations forensic analysis concluded, with medium-to-high confidence, that the phone of Amazon founder Jeff Bezos was compromised in May 2018 after a video file was sent from a WhatsApp account personally used by Saudi Arabia's Crown Prince. Within hours, data exfiltration from the phone reportedly increased by over 29,000%. UN human rights experts called for a formal investigation, and the case remains one of the most thoroughly documented examples of a consumer messaging app being used as the entry point for state-linked surveillance of a high-profile figure.

জাতিসংঘের একটি ফরেনসিক বিশ্লেষণে "মাঝারি থেকে উচ্চ মাত্রার আস্থা" সহকারে সিদ্ধান্তে আসা হয় যে, ২০১৮ সালের মে মাসে অ্যামাজনের প্রতিষ্ঠাতা জেফ বেজোসের ফোন আপোস হয়েছিল, যখন সৌদি আরবের ক্রাউন প্রিন্স ব্যক্তিগতভাবে ব্যবহৃত একটি হোয়াটসঅ্যাপ অ্যাকাউন্ট থেকে একটি ভিডিও ফাইল পাঠানো হয়েছিল। কয়েক ঘণ্টার মধ্যেই ফোন থেকে তথ্য বহির্গমন প্রতিবেদন অনুযায়ী ২৯,০০০ শতাংশেরও বেশি বেড়ে যায়। জাতিসংঘের মানবাধিকার বিশেষজ্ঞরা একটি আনুষ্ঠানিক তদন্তের আহ্বান জানান, এবং এই ঘটনাটি একটি সাধারণ মেসেজিং অ্যাপকে একজন উচ্চপ্রোফাইল ব্যক্তির ওপর রাষ্ট্র-সংশ্লিষ্ট নজরদারির প্রবেশপথ হিসেবে ব্যবহারের সবচেয়ে ভালোভাবে নথিভুক্ত উদাহরণগুলোর একটি হিসেবে রয়ে গেছে।

A vulnerability in WhatsApp's own infrastructure was exploited in 2019 to deliver spyware to more than 1,400 accounts across 51 countries, including journalists, human rights defenders, diplomats, and government officials. WhatsApp and its parent Meta sued the spyware maker, NSO Group, and after six years of litigation, a U.S. federal jury awarded Meta over $167 million in damages in 2025, with a permanent injunction issued against NSO in 2025–2026. The verdict confirmed the abuse occurred — but it could not undo the fact that the underlying platform vulnerability had already exposed well over a thousand people, including sitting officials, before it was fixed.

২০১৯ সালে হোয়াটসঅ্যাপের নিজস্ব অবকাঠামোর একটি দুর্বলতা কাজে লাগিয়ে ৫১টি দেশের ১,৪০০-এরও বেশি অ্যাকাউন্টে স্পাইওয়্যার প্রবেশ করানো হয়, যার মধ্যে সাংবাদিক, মানবাধিকারকর্মী, কূটনীতিক ও সরকারি কর্মকর্তারাও ছিলেন। হোয়াটসঅ্যাপ ও এর মূল প্রতিষ্ঠান মেটা স্পাইওয়্যার নির্মাতা এনএসও গ্রুপের বিরুদ্ধে মামলা করে, এবং ছয় বছরের আইনি লড়াইয়ের পর ২০২৫ সালে একটি মার্কিন ফেডারেল জুরি মেটাকে ১৬৭ মিলিয়ন ডলারেরও বেশি ক্ষতিপূরণ প্রদান করে, এবং ২০২৫-২৬ সালে এনএসও-র বিরুদ্ধে একটি স্থায়ী নিষেধাজ্ঞা জারি করা হয়। এই রায় প্রমাণ করে যে অপব্যবহারটি ঘটেছিল — কিন্তু এটি এই বাস্তবতা মুছে দিতে পারেনি যে প্ল্যাটফর্মের অন্তর্নিহিত দুর্বলতাটি ঠিক হওয়ার আগেই এক হাজারেরও বেশি মানুষ, এমনকি দায়িত্বরত কর্মকর্তাদেরও, ঝুঁকিতে ফেলে দিয়েছিল।

In March 2025, the most senior U.S. national security officials — including the Vice President, multiple cabinet secretaries, and intelligence agency directors — coordinated live military strike operations against Houthi targets in Yemen over the consumer app Signal. A journalist was inadvertently added to the group and subsequently published operational details, including strike timing and targeting information. Signal is a well-regarded encrypted app, but like WhatsApp and Telegram, it is not certified or approved for classified government communications — a distinction the incident made painfully public. This case matters for Bangladesh specifically because it shows that even a government with access to the most secure, purpose-built classified systems in the world can still expose itself the moment officials default to a convenient consumer app instead.

২০২৫ সালের মার্চে যুক্তরাষ্ট্রের সর্বোচ্চ পর্যায়ের জাতীয় নিরাপত্তা কর্মকর্তারা — যার মধ্যে ছিলেন ভাইস প্রেসিডেন্ট, একাধিক মন্ত্রিসভা সদস্য এবং গোয়েন্দা সংস্থার পরিচালকগণ — ইয়েমেনে হুথি লক্ষ্যবস্তুর বিরুদ্ধে সরাসরি সামরিক অভিযান পরিচালনার সমন্বয় করেছিলেন সাধারণ ভোক্তা-অ্যাপ সিগন্যালের মাধ্যমে। একজন সাংবাদিক অনিচ্ছাকৃতভাবে সেই গ্রুপে যুক্ত হয়ে যান এবং পরবর্তীতে অভিযানের সময়সূচি ও লক্ষ্যবস্তু সংক্রান্ত তথ্যসহ বিস্তারিত প্রকাশ করেন। সিগন্যাল একটি সুপরিচিত এনক্রিপ্টেড অ্যাপ, কিন্তু হোয়াটসঅ্যাপ ও টেলিগ্রামের মতোই, এটি শ্রেণীবদ্ধ (classified) সরকারি যোগাযোগের জন্য সনদপ্রাপ্ত বা অনুমোদিত নয় — একটি পার্থক্য যা এই ঘটনার মাধ্যমে বেদনাদায়কভাবে জনসমক্ষে চলে আসে। বাংলাদেশের জন্য এই ঘটনাটি গুরুত্বপূর্ণ, কারণ এটি দেখায় যে বিশ্বের সবচেয়ে সুরক্ষিত ও উদ্দেশ্য-নির্মিত শ্রেণীবদ্ধ ব্যবস্থার অধিকারী একটি সরকারও কর্মকর্তারা সুবিধাজনক একটি সাধারণ অ্যাপের দিকে ঝুঁকে গেলেই নিজেকে ঝুঁকিতে ফেলে দিতে পারে।

For years, Telegram publicly stated it would only share user data with law enforcement in terrorism-related cases — a policy the platform used to position itself as uniquely resistant to government pressure. In August 2024, French authorities arrested and indicted Telegram's CEO, Pavel Durov, at a Paris airport, citing the platform's failure to respond to legal data requests. Within about a month, Telegram reversed the policy entirely, agreeing to share IP addresses and phone numbers for a much wider range of offenses. No government that relied on Telegram's prior policy — including any government that assumed its officials' data was protected by that stance — was consulted before the reversal.

বছরের পর বছর ধরে টেলিগ্রাম প্রকাশ্যে বলে আসছিল যে তারা শুধুমাত্র সন্ত্রাসবাদ-সংক্রান্ত ক্ষেত্রেই আইন প্রয়োগকারী সংস্থার সাথে ব্যবহারকারীর তথ্য শেয়ার করবে — একটি নীতি, যা প্ল্যাটফর্মটি নিজেকে সরকারি চাপের বিরুদ্ধে অনন্যভাবে প্রতিরোধী হিসেবে তুলে ধরতে ব্যবহার করত। ২০২৪ সালের আগস্টে ফরাসি কর্তৃপক্ষ প্যারিসের একটি বিমানবন্দরে টেলিগ্রামের সিইও পাভেল দুরভকে গ্রেপ্তার ও অভিযুক্ত করে, আইনি তথ্য অনুরোধে সাড়া না দেওয়ার অভিযোগ তুলে। প্রায় এক মাসের মধ্যেই টেলিগ্রাম তাদের নীতি সম্পূর্ণরূপে পাল্টে ফেলে, এবং অনেক বিস্তৃত পরিসরের অপরাধের ক্ষেত্রে আইপি ঠিকানা ও ফোন নম্বর শেয়ার করতে সম্মত হয়। টেলিগ্রামের পূর্ববর্তী নীতির ওপর নির্ভর করা কোনো সরকারের সাথেই — এমনকি যেসব সরকার সেই নীতির কারণে তাদের কর্মকর্তাদের তথ্য সুরক্ষিত মনে করেছিল, তাদের সাথেও — এই পরিবর্তনের আগে কোনো পরামর্শ করা হয়নি।

In 2021, researchers at Citizen Lab discovered an iMessage exploit — later named FORCEDENTRY — that compromised iPhones with no user interaction whatsoever: no link clicked, no file opened, no mistake made by the target. Apple confirmed the vulnerability (CVE-2021-30860) and patched it, but not before it had been used against human rights activists in Bahrain, a French human rights lawyer, and an Indian journalist. The same class of attack — a zero-click WhatsApp calling vulnerability, CVE-2019-3568 — was the technical mechanism behind the 1,400-account compromise described in Reason Five, Case 2. Together, these confirm that container isolation, described in Reason Four, is not a theoretical safeguard: zero-click exploits against consumer apps and consumer messaging infrastructure are real, independently documented, and have already reached journalists, lawyers, and activists who had no way to see the attack coming.

২০২১ সালে সিটিজেন ল্যাবের গবেষকরা একটি আইমেসেজ এক্সপ্লয়েট আবিষ্কার করেন — পরবর্তীতে যার নাম দেওয়া হয় ফোর্সডএন্ট্রি — যা কোনো ব্যবহারকারীর মিথস্ক্রিয়া ছাড়াই আইফোন আপোস করত: কোনো লিংকে ক্লিক নেই, কোনো ফাইল খোলা নেই, লক্ষ্যবস্তুর কোনো ভুলও নেই। অ্যাপল নিজেই এই দুর্বলতা (CVE-2021-30860) নিশ্চিত করে এবং তা সমাধান করে, কিন্তু ততদিনে এটি বাহরাইনের মানবাধিকারকর্মী, একজন ফরাসি মানবাধিকার আইনজীবী এবং একজন ভারতীয় সাংবাদিকের বিরুদ্ধে ব্যবহৃত হয়ে গিয়েছিল। একই শ্রেণির আক্রমণ — হোয়াটসঅ্যাপ কলিং-এর একটি জিরো-ক্লিক দুর্বলতা, CVE-2019-3568 — রিজন ফাইভ, কেস ২-এ বর্ণিত ১,৪০০ অ্যাকাউন্ট আপোসের প্রযুক্তিগত পদ্ধতি ছিল। একসাথে এই দুটি ঘটনা নিশ্চিত করে যে রিজন ফোর-এ বর্ণিত কনটেইনার আইসোলেশন কোনো তাত্ত্বিক সুরক্ষা নয় — সাধারণ অ্যাপ ও সাধারণ মেসেজিং অবকাঠামোর বিরুদ্ধে জিরো-ক্লিক আক্রমণ বাস্তব, স্বাধীনভাবে নথিভুক্ত, এবং ইতিমধ্যে সাংবাদিক, আইনজীবী ও কর্মীদের কাছে পৌঁছে গেছে, যাদের সেই আক্রমণ আসতে দেখার কোনো উপায়ই ছিল না।