ভুয়া স্টকিং অ্যাপগুলো লক্ষ লক্ষ ডাউনলোড পেয়েছে। এটি গুগলের নিরাপত্তা এবং আমাদের সম্পর্কে অনেক কিছু বলে দেয়।

এমন কোনো অ্যাপ নেই যা দিয়ে অন্য কারো কল হিস্ট্রি দেখা যায়। অতীতেও এমন কোনো অ্যাপ ছিল না, এবং প্রায় নিশ্চিতভাবেই ভবিষ্যতেও থাকবে না — কারণ টেলিকম সংস্থাগুলো এই ডেটা প্রকাশ করে না, এবং কোনো থার্ড-পার্টি ডেভেলপারের কাছেও এটি সংগ্রহ করার জন্য প্রয়োজনীয় অ্যাক্সেস নেই। এটি কোনো অস্পষ্ট বিষয় নয়; এটি করা একেবারেই সম্ভব নয়। তবুও, welivesecurity-এর মতে , ৭৩ লক্ষ মানুষ এমন অ্যাপ ডাউনলোড করেছে যা ঠিক এই কাজটি করার দাবি করে।

ESET-এর নিরাপত্তা গবেষকরা কয়েক মাস ধরে ২৮টি প্রতারণামূলক অ্যান্ড্রয়েড অ্যাপের একটি বিশাল পরিবারের রহস্য উন্মোচন করেছেন, যেগুলোকে তারা সম্মিলিতভাবে 'কলফ্যান্টম' (CallPhantom) নাম দিয়েছিলেন। এই অ্যাপগুলো ব্যবহারকারীদের যেকোনো ব্যক্তির ফোনের কার্যকলাপের একটি জানালা খুলে দেওয়ার প্রতিশ্রুতি দিত: কল লগ, এসএমএস রেকর্ড, এমনকি হোয়াটসঅ্যাপ হিস্ট্রি। একটি নম্বর প্রবেশ করিয়ে সামান্য ফি দিলেই, আপনি যার খোঁজ করছিলেন তার গোপনীয় তথ্য বেরিয়ে আসবে বলে দাবি করা হতো। কিন্তু বাস্তবে যা বেরিয়ে আসত তা ছিল সম্পূর্ণ মিথ্যা—অ্যাপটি নিজেই কিছু এলোমেলো ফোন নম্বর তৈরি করত, যেগুলোকে হার্ডকোডেড নাম এবং টাইমস্ট্যাম্প দিয়ে সাজানো থাকত এবং এতটাই বিশ্বাসযোগ্য করে ডিজাইন করা হতো যাতে সেগুলোকে আসল বলে মনে হয়। এর সুবিধা হলো, ব্যবহারকারীরা টাকা পরিশোধ করার পরেই কেবল এই নকল তথ্য দেখতে পেত। এই ক্রমবিন্যাসটি আকস্মিক ছিল না।

গুগল প্লে স্টোরের এখানে একটি গুরুতর দুর্বলতা ছিল।

২৮টি অ্যাপই গুগল প্লে স্টোরে এত দিন ছিল যে লক্ষ লক্ষ ডাউনলোড জমা হয়ে যায়। সেগুলোর মধ্যে একটি “Indian gov.in” নামে প্রকাশিত হয়েছিল, যা ছিল ডেভেলপারের একটি হ্যান্ডেল এবং এর মাধ্যমে এমন এক সরকারি বৈধতার ইঙ্গিত দেওয়া হয়েছিল, যা দাবি করার কোনো অধিকারই অ্যাপটির ছিল না। বেশ কয়েকটির রিভিউ বিভাগে ব্যবহারকারীরা স্পষ্টভাবে লিখেছিলেন যে তারা প্রতারিত হয়েছেন, এবং এই সতর্কবার্তাগুলোর পাশাপাশি সন্দেহজনকভাবে উৎসাহব্যঞ্জক পাঁচ-তারা রিভিউয়ের গুচ্ছও ছিল, যা রেটিংগুলোকে সম্মানজনক দেখাতো।

২০২৫ সালের ডিসেম্বরে ESET সম্পূর্ণ সেটটি সম্পর্কে গুগলকে অবহিত করে এবং অ্যাপগুলো সরিয়ে ফেলা হয়। কিন্তু এই অপসারণটি একটি বাহ্যিক প্রতিবেদনের ভিত্তিতে হয়েছিল, গুগল নিজে কিছু শনাক্ত করার ফলে নয়। যে প্ল্যাটফর্মটি স্বয়ংক্রিয় হুমকি শনাক্তকরণ এবং অ্যাপ ডিফেন্স অ্যালায়েন্স ফ্রেমওয়ার্কে প্রচুর বিনিয়োগ করেছে, তাদের জন্য একই ধরনের প্রতারণার ২৮টি সংস্করণকে—যেগুলোর সবগুলোই প্রযুক্তিগতভাবে অসম্ভব একই ফিচারের প্রতিশ্রুতি দেয়—লক্ষ লক্ষ ডাউনলোড পেতে দেওয়াটা একটি গুরুতর ত্রুটি।

কিছু অ্যাপ গুগলের পেমেন্ট পরিকাঠামোকে পুরোপুরি এড়িয়ে গিয়ে পরিস্থিতি আরও খারাপ করে তুলেছে। তারা ব্যবহারকারীদের তৃতীয় পক্ষের ইউপিআই লেনদেন ব্যবস্থায় অথবা অ্যাপের মধ্যেই থাকা সরাসরি কার্ড এন্ট্রির ফিল্ডে পাঠিয়ে দিচ্ছে। এটি প্লে স্টোরের নীতির লঙ্ঘন, কিন্তু এর ফলে গুগল সেই ব্যবহারকারীদের টাকা ফেরতও দিতে পারে না। যারা আনুষ্ঠানিক বিলিং ব্যবস্থার বাইরে অর্থ প্রদান করেছেন, তাদের নিজেদেরই পেমেন্ট প্রদানকারী বা ডেভেলপারদের সাথে যোগাযোগ করতে হচ্ছে, যারা সাহায্য করতে খুব একটা আগ্রহী নন, এটা বলাই বাহুল্য।

অ্যাপগুলো কাজ করেছিল কারণ প্রস্তাবটি ছিল অপ্রতিরোধ্য।

এই গল্পের সবচেয়ে অস্বস্তিকর অংশটি হলো, ঠিক কী কারণে অ্যাপগুলো প্রথম থেকেই ৭৩ লক্ষ বার ডাউনলোড হয়েছিল। এই অ্যাপগুলো ক্লাউড স্টোরেজ বা ছবি সম্পাদনার কোনো নতুন উপায় দিত না। এগুলো এমন কিছু দিত, যার জন্য মানুষ এতটাই মরিয়া ছিল যে টাকা দিতেও রাজি ছিল: কারও ওপর নজরদারি করার ক্ষমতা—সেটা হতে পারে সঙ্গী, প্রাক্তন সঙ্গী, কিশোর-কিশোরী বা ব্যবসায়িক কোনো পরিচিত ব্যক্তি। কারণ যাই হোক না কেন, এটা স্পষ্ট যে এই ধারণার জন্য একটি বিশাল এবং আগ্রহী দর্শকগোষ্ঠী ছিল।

অ্যাপগুলো অত্যন্ত নির্মমভাবে সেই আকাঙ্ক্ষাকে কাজে লাগিয়েছিল। তারা ডিফল্ট হিসেবে ভারতের +91 কান্ট্রি কোড আগে থেকেই বেছে রাখত এবং ইউপিআই পেমেন্ট সমর্থন করত, যা থেকে বোঝা যায় যে প্রতারকরা তাদের লক্ষ্যবস্তু জনগোষ্ঠীকে ভালোভাবে চিনত। সাবস্ক্রিপশনের স্তরগুলো প্রতি সপ্তাহে কয়েক ইউরো থেকে শুরু করে বছরে ৮০ ডলার পর্যন্ত ছিল, যা ব্যবহারকারীদের এমন সব বিকল্প দিত যা একটি বৈধ পরিষেবার মতো মনে হতো এবং বিভিন্ন চাহিদা পূরণ করত। একটি অ্যাপে, যখন কোনো ব্যবহারকারী টাকা না দিয়ে বেরিয়ে যাওয়ার চেষ্টা করত, তখন ফলাফলসহ একটি ইমেল এসেছে এমনভাবে সাজানো একটি নকল পুশ নোটিফিকেশন পাঠানো হতো — এটি ছিল শেষ মুহূর্তের একটি তাগিদ যা সরাসরি পেওয়ালে ফিরিয়ে নিয়ে যেত।

এটা কাজ করেছিল কারণ কৌতূহল একটি শক্তিশালী জিনিস, এবং অ্যাপগুলো এমন মানুষেরা ডিজাইন করেছিলেন যারা তা বুঝতেন। প্রযুক্তিগত কাঠামোটি সরিয়ে ফেললে যা দাঁড়ায় তা হলো একটি অতি পুরোনো প্রতারণা: কেউ যা পাওয়ার জন্য মরিয়া, তার কাছ থেকে সেই জিনিসের জন্য টাকা নেওয়া, তাকে বিশ্বাসযোগ্য মনে হয় এমন কিছু না দেওয়া, এবং লজ্জার সুযোগ নিয়ে তাকে খুব বেশি অভিযোগ করা থেকে বিরত রাখা।

যারা এই সমস্যায় পড়েছেন, তারা গুগল প্লে-র অফিশিয়াল সিস্টেমের মাধ্যমে করা সাবস্ক্রিপশনগুলো প্লে স্টোরের পেমেন্ট সেটিংস থেকে বাতিল করতে পারেন এবং প্রয়োজনে টাকা ফেরতও পেতে পারেন। বাকি সবকিছুর ক্ষেত্রে, যিনি পেমেন্টটি প্রসেস করেছেন, তার সাথে আলোচনা করাটা বেশ কঠিন।