भारत के डिजिटल स्पेस में एक के बाद एक सामने आई दो बड़ी घटनाओं ने साइबर सुरक्षा और आम लोगों की डेटा प्राइवेसी पर गंभीर सवाल खड़े कर दिए हैं। एक तरफ देश के सबसे बड़े सरकारी बैंक, भारतीय स्टेट बैंक (SBI) ने अपनी शुरुआती जांच में करीब 3,897 ग्राहकों का निजी डेटा डार्क वेब पर लीक होने की पुष्टि की है। वहीं दूसरी तरफ, डिजिटल सिग्नेचर सर्टिफिकेट जारी करने वाली प्रमुख कंपनी ई-मुद्रा (eMudhra) के सिस्टम में कमजोर क्रिप्टोग्राफिक की (Cryptographic Keys) मिलने से डिजिटल लेनदेन और वेबसाइटों की सुरक्षा को लेकर चिंता बढ़ गई है।
साइबर एक्सपर्ट्स का कहना है कि ये महज तकनीकी खामी या सामान्य डेटा लीक का मामला नहीं है, यह पूरे देश के बैंकिंग सिस्टम, राष्ट्रीय सुरक्षा और आम नागरिक की प्राइवेसी के लिए एक बड़ी चेतावनी है।
वैश्विक SSL/TLS सर्टिफिकेट कारोबार से हटेगी ई-मुद्रा
ई-मुद्रा ने गुरुवार, 22 अक्टूबर को घोषणा की कि वह वैश्विक SSL/TLS सर्टिफिकेट कारोबार बंद कर रही है। बेंगलुरु स्थित कंपनी ने इस फैसले के पीछे डेटा संप्रभुता और नियमों के पालन से जुड़ी बढ़ती जरूरतों, कामकाज की जटिलताओं और बढ़ती लागत को वजह बताया है।
चेयरमैन वी. श्रीनिवासन ने कहा कि कंपनी ने सुरक्षा चूक की जानकारी मिलते ही तुरंत कार्रवाई की। उन्होंने बताया कि समस्या का पता चलने के महज 14 घंटे के भीतर प्रभावित सर्टिफिकेट अथॉरिटीज को रद्द कर दिया गया था।
समाचार एजेंसी ANI से बात करते हुए कंपनी के को-फाउंडर कौशिक श्रीनिवासन ने भी साफ किया कि इस मामले में किसी ग्राहक का डेटा लीक नहीं हुआ है और न ही कोई साइबर हमला हुआ है। उन्होंने बताया कि बहुत ही सीमित संख्या में ग्राहक इससे सीधे तौर पर प्रभावित हुए हैं।
उन्होंने तकनीकी पहलू स्पष्ट करते हुए बताया कि जिन आठ प्रभावित इश्यूअर्स (Certificate Issuers) की बात हो रही है, उन्होंने एंड-यूजर्स के लिए कोई सर्टिफिकेट जारी नहीं किया था। इनमें से सात कभी प्रोडक्शन में आए ही नहीं, जबकि जो एक प्रोडक्शन में आया था, उसने भी कोई आइडेंटिटी सर्टिफिकेट जारी नहीं किया था।
ई-मुद्रा के मुताबिक, उसके सभी फिजिकल और लॉजिकल सुरक्षा तंत्र पूरी तरह सुरक्षित और इंटैक्ट रहे हैं।
ई-मुद्रा में सुरक्षा चूक कैसे हुई?
डिजिटल सिग्नेचर सर्टिफिकेट किसी भी ऑनलाइन सिस्टम, वेबसाइट और डिजिटल लेनदेन में पहचान और प्रामाणिकता की रीढ़ माने जाते हैं। जानकारी के अनुसार, अप्रैल 2025 में सिस्टम में आई एक तकनीकी गड़बड़ी के कारण कमजोर क्रिप्टोग्राफिक की (Keys) तैयार हो गई थीं। एक स्वतंत्र सुरक्षा शोधकर्ता ने इस कमजोरी की पहचान की। इसके बाद चिंता बढ़ गई कि इन कमजोर सर्टिफिकेट्स पर चलने वाले सिस्टम और वेबसाइटों पर साइबर हमलावर अनधिकृत पहुंच बना सकते हैं।
इसे आसान भाषा में ऐसे समझ सकते हैं। मान लीजिए कि आपने कीमती सामान रखने के लिए एक हाई-टेक लॉकर रखा है। इस लॉकर को खोलने के लिए एक ऐसा सीक्रेट कोड चाहिए, जो इतना बड़ा और अनोखा हो कि दुनिया में कोई भी उसका अंदाजा न लगा सके।
इसी तरह जब आप इंटरनेट पर किसी बैंक की वेबसाइट खोलते हैं या कोई सरकारी फॉर्म डिजिटल रूप से साइन करते हैं, तो कंप्यूटर को कैसे पता चलता है कि वह असली वेबसाइट है या असली व्यक्ति है?
इसके लिए डिजिटल सिग्नेचर सर्टिफिकेट की जरूरत होती है। ई-मुद्रा वेबसाइटों और सिस्टम्स को यह सर्टिफिकेट और उसे सुरक्षित रखने वाली एक Cryptographic Key जारी करती है।
लेकिन ई-मुद्रा की ओर से जारी आठ सीक्रेट की उतनी सुरक्षित और जटिल नहीं थीं, जितनी होनी चाहिए थीं। सुरक्षा मानकों के अनुसार, इनमें से प्रत्येक की लगभग 116 अंकों की एक बेहद पेचीदा संख्या होनी चाहिए थी। लेकिन सिस्टम की गड़बड़ी के कारण ये सिर्फ 4, 56, 66, 115, 155, 156, 230 और 237 जैसी मामूली संख्याएं निकलीं। इनमें सबसे बड़ा अंक 237 था, जिसका अनुमान लगना बेहद आसान था।
मामले की जांच के लिए टीम गठित
मामले की गंभीरता को देखते हुए इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) ने एक उच्चस्तरीय टीम बनाई है। यह टीम जांच कर रही है कि सिस्टम में गड़बड़ी कैसे हुई, कंपनी को इसका पता चलने पर उसने नुकसान रोकने के लिए क्या कदम उठाए और क्या समय रहते सर्ट-इन को इसकी जानकारी दी गई थी।
साइबरपीस के संस्थापक और ग्लोबल प्रेसिडेंट विनीत कुमार ने इस पर चिंता जताते हुए कहा, “कागजों पर बने नियम और कानून हमेशा वास्तविक सुरक्षा में तब्दील नहीं होते। हमें सिर्फ कंप्लायंस सर्टिफिकेट के बजाय स्वतंत्र तकनीकी वेरिफिकेशन की जरूरत है।” उन्होंने आगे कहा,
पवन दुग्गल ने लोगों को ऑनलाइन निजी जानकारी साझा करते समय सावधानी बरतने की सलाह दी। उन्होंने कहा कि लोग अपनी निजी जानकारी तभी साझा करें, जब ऐसा करना जरूरी हो। साथ ही, किसी भी इलेक्ट्रॉनिक जानकारी पर भरोसा करने से पहले उसकी स्वतंत्र रूप से जांच कर लेनी चाहिए।
उन्होंने डिजिटल दुनिया में निजी डेटा किस तरह साझा किया जाता है और उसका इस्तेमाल कैसे होता है, इसे लेकर लोगों में जागरूकता बढ़ाने की जरूरत पर भी जोर दिया।
UPI पर कोई सीधा असर नहीं
ई-मुद्रा मामले में आम लोगों की चिंताओं को दूर करते हुए दुग्गल ने स्पष्ट किया कि यूनिफाइड पेमेंट्स इंटरफेस (UPI) पर इसका कोई सीधा या तत्काल असर नहीं दिखता, क्योंकि UPI एक अलग प्लेटफॉर्म और सुरक्षा ढांचे पर काम करता है। हालांकि, इसका यह मतलब बिल्कुल नहीं है कि बाकी डिजिटल प्लेटफॉर्म्स को लेकर बेपरवाह हो जाएं।
SBI में ग्राहकों का डेटा लीक
SBI ने बुधवार को बताया था कि 16 अक्टूबर को को उसे अपने थ्रेट इंटेलिजेंस सर्विस प्रोवाइडर, डिफेंस साइबर एजेंसी और देश की नोडल साइबर एजेंसी सर्ट-इन (CERT-In) से एक अलर्ट मिला था। इसमें डार्क वेब पर बैंक के डेटा की संभावित मौजूदगी की जानकारी दी गई थी। इसके बाद डार्क वेब पर मौजूद करीब 3,75,000 रिकॉर्ड्स की शुरुआती जांच की गई। इसमें बैंक ने पाया कि 3,897 ग्राहकों की निजी पहचान से जुड़ी जानकारियां (PII) वहां मौजूद थीं।
SBI ने स्पष्ट किया कि डेटा लीक की खबर के बावजूद सभी ग्राहकों का बैंक बैलेंस पूरी तरह सुरक्षित है। अलर्ट मिलते ही बैंक ने अपने साइबर इंसीडेंट रिस्पॉन्स प्रोटोकॉल को सक्रिय कर दिया। साथ ही, मामले की गहराई से जांच के लिए सर्ट-इन की एक स्वतंत्र साइबर एजेंसी को लगाया गया है।
एसबीआई डेटा लीक मामले को लेकर इंटरनेशनल कमीशन ऑन साइबर सिक्योरिटी लॉ के चेयरमैन पवन दुग्गल ने गंभीर चिंता जताते हुए कहा कि लीक हुए डेटा का इस्तेमाल देश विरोधी ताकतें भारत की संप्रभुता, अखंडता और सुरक्षा को नुकसान पहुंचाने के लिए भी कर सकती हैं।
दुग्गल ने मामले में तत्काल FIR दर्ज करने की मांग करते हुए कहा कि आईटी एक्ट की धाराओं के साथ-साथ भारतीय न्याय संहिता (BNS) और साइबर टेररिज्म के पहलू से भी जांच जरूरी है। उन्होंने कहा कि जब देश के सबसे बड़े बैंक का डेटा चोरी होता है, तो हैकर्स यह संदेश देना चाहते हैं कि वे कुछ भी कर सकते हैं।
आम लोग कैसे सुरक्षित रखें अपना डेटा?
लगातार बढ़ते साइबर हमलों के बीच विशेषज्ञों ने आम नागरिकों को अपनी सुरक्षा खुद करने की सलाह दी है। पवन दुग्गल ने लोगों से अपनी डिजिटल आदतें बदलने की अपील की है। विशेषज्ञों ने आम उपभोक्ताओं को चार बुनियादी नियम अपनाने की सलाह दी है:
1. संदेह करना सीखें: इंटरनेट पर मिलने वाली हर जानकारी और लिंक को पहले संदेह की नजर से देखें। जब तक पूरी तरह संतुष्ट न हों, किसी अनजान लिंक पर क्लिक न करें।
2. डेटा शेयर करने में कंजूसी बरतें: अपनी निजी जानकारी केवल जरूरत के आधार पर (Need-to-Know Basis) साझा करें।
3. फोन में निजी डेटा सेव न करें: बहुत से लोग क्रेडिट या डेबिट कार्ड के नंबर, पासवर्ड और बैंकिंग दस्तावेज फोन के नोट्स या व्हाट्सएप चैट में सहेजकर रखते हैं। ऐसा करना बेहद खतरनाक है।
4. साइबर रेजिलिएंट बनें: यह मानकर चलें कि इंटरनेट पर खतरे मौजूद हैं इसलिए सोशल मीडिया पर अपनी निजी जिंदगी, पते और बैंकिंग विवरणों को सार्वजनिक करने से बचें।
'कमजोर कानून से बढ़ा हैकर्स का हौसला'
पवन दुग्गल ने देश के मौजूदा साइबर कानूनों की खामियों पर बात करते हुए याद दिलाया कि 2003 में उन्होंने देश में पहली साइबर क्राइम कन्विक्शन (सजा) कराई थी। हालांकि, बाद में आईटी एक्ट में किए गए संशोधनों ने ज्यादातर साइबर अपराधों को जमानती (Bailable) बना दिया।
दुग्गल ने कहा, “आज हैकिंग एक जमानती अपराध बन चुका है। अपराधियों के मन से कानून का डर खत्म हो गया है। उन्हें पता है कि पकड़े जाएंगे तो थाने या कोर्ट से फौरन जमानत मिल जाएगी। इसके बाद वे बाहर आकर सबूत मिटा देते हैं।”
उन्होंने कहा कि जब तक कानून में सख्त सजा का डर नहीं होगा, साइबर अपराधियों पर लगाम नहीं कसी जा सकती। इसके अलावा, भारत में अब तक साइबर सुरक्षा को लेकर कोई अलग राष्ट्रीय कानून नहीं है और न ही आर्टिफिशियल इंटेलिजेंस (AI) को नियंत्रित करने के लिए कोई ठोस कानून बना है।
यह भी पढ़ें- वॉट्सऐप पर बॉस का ‘OK’ रिप्लाई, मतलब छुट्टी मंजूर? ट्रिब्यूनल पहुंचा मामला तो क्या हुआ