नई दिल्ली: 15 अक्टूबर को भारत की राष्ट्रीय साइबर सुरक्षा एजेंसी सीईआरटी-इन ने ऐसी सेंधमारी को लेकर एक सलाह जारी की, जिसकी जानकारी किसी भी पीड़ित ने नहीं दी थी. तकनीकी कंपनियों द्वारा बनाए गए और खुले इंटरनेट पर जांचे जा रहे एआई एजेंट्स अपने तय काम से आगे बढ़ गए और भारत के कुछ अज्ञात संगठनों के चल रहे कंप्यूटर सिस्टम तक पहुंच गए.
उन्होंने ऐसे कारोबारी रिकॉर्ड पढ़े, जिनमें निजी और गोपनीय डेटा था. किसी भी संगठन को इसका पता नहीं चला. भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (सीईआरटी-इन) के अनुसार, इन सेंधमारी का पता तभी चला जब एआई मॉडल बनाने वाली कंपनियों ने अपनी अंदरूनी जांच के बाद खुद इसकी जानकारी दी.
इसके बाद अगले दो हफ्तों में भी कुछ ऐसा ही देखने को मिला. सीईआरटी-इन, डिफेंस साइबर एजेंसी और एक निजी खुफिया कंपनी ने 16 अक्टूबर को भारतीय स्टेट बैंक (एसबीआई) को बताया कि ग्राहक डेटा डार्क वेब पर बिक्री के लिए रखा गया है. देश के सबसे बड़े बैंक ने पांच दिन बाद स्टॉक एक्सचेंजों को इसकी जानकारी दी.
अगले दिन एक शोधकर्ता ने गूगल, मोजिला, एप्पल और माइक्रोसॉफ्ट को बताया कि बेंगलुरु की डिजिटल सर्टिफिकेशन अथॉरिटी ई-मुद्रा के पास मौजूद निजी चाबियों (गोपनीय गुप्त क्रिप्टोग्राफिक नंबर या वैल्यू, जिनका इस्तेमाल डिजिटल दस्तावेजों पर हस्ताक्षर करने के लिए किया जाता है) का आसानी से गलत इस्तेमाल किया जा सकता है. आठ इंटरमीडिएट निजी चाबियों में से एक की वैल्यू 4 थी.
20 अक्टूबर को पीएचपी में मौजूद दो खामियों की जानकारी लीक हुई. पीएचपी एक ओपन सोर्स प्रोग्रामिंग भाषा है, जिसका इस्तेमाल दुनिया भर की करीब हर 10 में से 7 वेबसाइटों में होता है. इन खामियों की मदद से कोई भी व्यक्ति बिना पासवर्ड के वेब सर्वर पर कब्जा कर सकता था.
और 29 अक्टूबर को एक हैकर समूह ने दावा किया कि उसने एयू स्मॉल फाइनेंस बैंक से ग्राहकों का डेटा चुरा लिया है.
अमेरिका की कंप्यूटर सिस्टम की निगरानी के लिए सॉफ्टवेयर बेचने वाली कंपनी डेटाडॉग में भारत के सॉल्यूशंस इंजीनियरिंग प्रमुख अनुपम कुमार झा ने दिप्रिंट को बताया, “कमियां पुरानी थीं. जो चीज नहीं थी, वह यह देखने की क्षमता थी कि इनका इस्तेमाल हो रहा है. अगर पहली चेतावनी किसी वेंडर या रेगुलेटर से आती है, तो आपके पास अपने सिस्टम की जानकारी नहीं होती.”
पुरानी कमियां, तेज हुए घुसपैठिए
सीईआरटी-इन के अनुसार, एआई एजेंट्स कोड और कॉन्फिगरेशन फाइलों में छोड़े गए पासवर्ड और एक्सेस चाबियों के जरिए अंदर पहुंचे. वे भूले हुए एप्लिकेशन इंटरफेस के जरिए और ऐसे क्लाउड अकाउंट्स के जरिए भी अंदर गए, जिन्हें जरूरत से ज्यादा एक्सेस दिया गया था.
राष्ट्रीय साइबर सुरक्षा एजेंसी ने कहा कि अपराधी भारतीय संगठनों के खिलाफ मुफ्त में उपलब्ध एआई टूल्स का इस्तेमाल कर रहे थे. सेंधमारी करने से लेकर नुकसान पहुंचाने तक का समय कई दिनों से घटकर कुछ घंटों का रह गया है.
सरकारी अधिकारियों ने इस सलाह को शुरुआती चेतावनी बताया है. उन्होंने कहा कि जल्द आने वाले एआई रेगुलेशन पर एक कंसल्टेशन पेपर में स्वायत्त एजेंट्स पर कुछ सीमाओं पर विचार किया जा सकता है.
उद्योग से जुड़े लोगों ने कहा कि ये ऐसी समस्याएं हैं, जिनके बारे में सुरक्षा टीमें पिछले एक दशक से चेतावनी देती आ रही हैं.
दूरसंचार उपकरण बनाने वाली कंपनी एसटीएल की आईटी सर्विसेज शाखा एसटीएल डिजिटल के ग्लोबल चीफ इंफॉर्मेशन ऑफिसर चेतनकुमार त्रिवेदी ने दिप्रिंट को बताया, “एआई ने नई कमियां पैदा नहीं की हैं. इसने पुरानी कमियों को ढूंढना सस्ता और तेज़ कर दिया है.”
उन्होंने कहा कि ये कमियां इसलिए बनी हुई हैं क्योंकि सिस्टम इतनी तेजी से बनाए जाते हैं कि कोई भी उनका पूरा हिसाब नहीं रखता. “किसी सिस्टम को शुरू करने की तारीख तय होने पर परमिशन जरूरत से ज्यादा दे दी जाती हैं और बाद में उन्हें वापस लेने का काम कोई अपने जिम्मे नहीं लेता. कोई चाबी लीक हो जाए तो उसे बदल दिया जाता है, लेकिन पुरानी चाबी कोड के इतिहास में बनी रहती है.”
उन्होंने कहा कि ज्यादातर निगरानी व्यवस्था संदिग्ध लोगों को पकड़ने के लिए बनाई गई है, “न कि ऐसे सही क्रेडेंशियल को पकड़ने के लिए जो किसी एपीआई के जरिए चुपचाप डेटा पढ़ रहा हो.”
झा ने डेटाडॉग की 2025 स्टेट ऑफ क्लाउड सिक्योरिटी स्टडी का जिक्र किया. इसमें पाया गया कि अमेजन के क्लाउड के 59 प्रतिशत यूजर्स के पास एक साल से ज्यादा पुरानी एक्सेस चाबी थी. इनमें से आधे से ज्यादा चाबियों का 90 दिनों से इस्तेमाल नहीं हुआ था. उन्होंने कहा, “किसी एजेंट के लिए भी पुरानी पड़ी चाबी उतनी ही काम करती है, जितनी किसी हमलावर के लिए.”
झा ने कहा कि कई कंपनियों को यह भी नहीं पता कि उनके सिस्टम में कितने एआई एजेंट चल रहे हैं. जब कोई एजेंट किसी कर्मचारी के लॉगिन का इस्तेमाल करके काम करता है, तो रिकॉर्ड यह नहीं बता पाते कि वह काम किसी इंसान ने किया था या एआई एजेंट ने.
उन्होंने कहा, “गलत तरीके से काम करने वाला एजेंट आमतौर पर सिस्टम को बंद नहीं करता. वह काम करता रहता है, जबकि डैशबोर्ड पर सब कुछ सामान्य दिखाई देता रहता है.”
आराम का समय नहीं
PHP की दो खामियों, जिन्हें PHP2Shell कहा गया, ने दिखाया कि सुरक्षा करने वालों के पास कितना कम समय है. कैलिफ में शोधकर्ताओं ने, जो ओपनएआई के एक कार्यक्रम के तहत काम करने वाली सुरक्षा कंपनी है, और गूगल के स्वामित्व वाली विज में शोधकर्ताओं ने अगस्त में एआई मॉडल की मदद से इन खामियों का पता लगाया और PHP के डेवलपर्स को इसकी जानकारी दी. इनमें से ज्यादातर डेवलपर्स स्वयंसेवक हैं.
योजना थी कि इन्हें 22 अक्टूबर को सार्वजनिक किया जाएगा, जब तक इनके लिए सुधार तैयार हो जाए.
लेकिन पता चला कि कोई पहले से ही PHP की इन खामियों का इस्तेमाल कर रहा था. अमेजन ने कहा कि उसके नकली सर्वरों के नेटवर्क ने 17 अक्टूबर को इन खामियों का फायदा उठाने की कोशिश दर्ज की थी, यानी सुधार जारी होने से चार दिन पहले. कंपनी ने यह नहीं बताया कि इसके पीछे कौन था या उसे इन खामियों के बारे में कैसे पता चला. कंपनी ने लिखा, “किसी खामी को सार्वजनिक करने में रोक (एम्बार्गो) सुरक्षा करने वालों को तभी तक बचाती है, जब तक कोई और उसी खामी को नहीं खोज लेता.”
PHP की खामियों की जानकारी समय से पहले 20 अक्टूबर को लीक हो गई, यानी PHP फाउंडेशन के इन्हें जारी करने से एक दिन पहले.
वेब इंफ्रास्ट्रक्चर और सुरक्षा कंपनी क्लाउडफ्लेयर ने पैच जारी होने से पहले ही हमले का ट्रैफिक देखा. पैच यानी ऐसा लक्षित कोड अपडेट, जो बग को ठीक करता है, सुरक्षा खामियों को बंद करता है या प्रदर्शन बेहतर करता है, और इसके लिए पूरे सॉफ्टवेयर को दोबारा इंस्टॉल करने की जरूरत नहीं होती. इसके मुख्य कार्यकारी अधिकारी मैथ्यू प्रिंस ने कहा कि एक दिन के अंदर हमले की कोशिशें लाखों तक पहुंच गई थीं.
सावधानी के तौर पर नीदरलैंड्स, फ्रांस, फिनलैंड और डेनमार्क की सरकारों ने 21 अक्टूबर को वेबसाइटों को ऑफलाइन कर दिया. उसी दिन सीईआरटी-इन ने गंभीर स्तर की चेतावनी जारी की. अब तक किसी भारतीय संगठन ने सेंधमारी की जानकारी नहीं दी है और यह भी पता नहीं है कि भारत की कितनी वेबसाइटें अभी भी खतरे में हैं.
इस बीच, अमेरिका की साइबर सिक्योरिटी एंड इंफ्रास्ट्रक्चर सिक्योरिटी एजेंसी ने 26 अक्टूबर को हमलों की पुष्टि की. इंटरनेट सर्वे कंपनी सेंसिस का अनुमान है कि 3.2 करोड़ से ज्यादा PHP सेवाएं अभी भी ऐसे वर्जन पर चल रही हैं, जिनमें सुधार नहीं किया गया है.
साइबर खतरे की जानकारी देने वाली कंपनी साइफर्मा ने कई देशों में ऐसे सिस्टम की स्कैनिंग की जानकारी दी, जिनमें सुधार नहीं किया गया था. इनमें भारत भी शामिल था. कंपनी ने इसे मध्यम स्तर के भरोसे के साथ उत्तर कोरिया से जोड़ा.
त्रिवेदी ने कहा कि हर महीने पैच करने का सामान्य चक्र अब इंटरनेट से जुड़े किसी भी सिस्टम के लिए काम नहीं करता. पैचिंग चक्र यानी वह प्रक्रिया जिसमें कोई संगठन अपडेट की जांच करता है, उसका परीक्षण करता है, उसे मंजूरी देता है और फिर लागू करता है.
उन्होंने कहा कि कंपनियों को खामी सार्वजनिक होने से पहले के समय में हमले के संकेतों के लिए अपने रिकॉर्ड की जांच करनी चाहिए, “सिर्फ पैच जारी होने वाले दिन से नहीं.”
झा भी इससे सहमत थे. उन्होंने कहा, “जवाब देने के लिए मिलने वाला समय लगभग खत्म हो गया है.”
बड़ी सेंध
जिस घटना ने बड़ी परेशानी पैदा की, वह यह थी कि ई-मुद्रा के आठ डिजिटल सुरक्षा सर्टिफिकेट में कमजोर एन्क्रिप्शन चाबियां पाई गईं. ये चाबियां अप्रैल 2025 में बनाई गई थीं. कंपनी के अपने शब्दों में, “यह समस्या करीब 18 महीने तक पता नहीं चली, इस दौरान दो अलग-अलग ऑडिट भी हुए.”
इसके बाद इसके गंभीर असर सामने आए: माइक्रोसॉफ्ट ने 26 और 27 अक्टूबर को विंडोज और अपने एज ब्राउजर से ई-मुद्रा से जुड़े सात सर्टिफिकेट हटा दिए. ई-मुद्रा ने घोषणा की कि वह वैश्विक वेबसाइट सर्टिफिकेट कारोबार से बाहर हो जाएगी. कंपनी ने स्टॉक एक्सचेंजों को यह भी बताया कि अकाउंटिंग कंपनी केपीएमजी यह जांच करेगी कि क्या गलत हुआ.
इसके बाद बाहरी शोधकर्ताओं ने एक दूसरी घटना की जानकारी दी. इसे मोजिला के सार्वजनिक ट्रैकर में अलग से दर्ज किया गया. इसमें ई-मुद्रा के सर्वर सामान्य सॉफ्टवेयर को उन सूचियों को डाउनलोड करने से रोक रहे थे, जिनमें रद्द किए गए सर्टिफिकेट की जानकारी होती है. इसमें उन आठ सर्टिफिकेट की जानकारी भी शामिल थी, जिनकी चाबियां प्रभावित हुई थीं.
उपभोक्ता प्लेटफॉर्म कैशलेसकंज्यूमर की ओर से बैंक वेबसाइटों की गई एक स्कैन के अनुसार, कम से कम सात भारतीय बैंक एक दूसरे रूट के तहत ई-मुद्रा सर्टिफिकेट का इस्तेमाल करते हैं. गूगल और माइक्रोसॉफ्ट इस रूट की भी जांच कर रहे हैं.
इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (मेइटी), जिसने जांच के लिए एक टीम बनाई है, ने कहा है कि ई-मुद्रा की घरेलू डिजिटल सिग्नेचर सेवाएं प्रभावित नहीं हुई हैं. गैर-लाभकारी डिजिटल अधिकार संगठन इंटरनेट फ्रीडम फाउंडेशन (आईएफएफ) ने मंत्रालय से इस दावे की स्वतंत्र रूप से जांच करने की मांग की है.
त्रिवेदी ने कहा कि ज्यादातर संगठन वेबसाइट सुरक्षा सर्टिफिकेट को नवीनीकृत कर सकते हैं, लेकिन बहुत कम संगठन यह जल्दी बता सकते हैं कि उनका हर सर्टिफिकेट कहां इस्तेमाल हो रहा है और किसी खास सर्टिफिकेट अथॉरिटी पर कौन से सिस्टम भरोसा करते हैं. उन्होंने कहा कि ब्राउजर को कुछ घंटों में सुधार मिल गया, लेकिन सर्वर, कंटेनर और एम्बेडेड डिवाइस को नहीं मिला.
उन्होंने कहा कि नेशनल पेमेंट्स कॉरपोरेशन ऑफ इंडिया (एनपीसीआई), जो यूपीआई पेमेंट, भारत बिल पे, फास्टैग, एनएसीएच जैसी सेवाओं को चलाने में मदद करता है, ने अपने भागीदारों से एक ही सर्टिफिकेट अथॉरिटी पर निर्भर रहने के जोखिम का आकलन करने को कहा था.
त्रिवेदी ने कहा, “आप किसी सेवा का काम किसी और को दे सकते हैं, लेकिन अपने सिस्टम के खतरे की जिम्मेदारी किसी और को नहीं दे सकते.”
सबसे पहले किसे बताया जाता है
एसबीआई और एयू स्मॉल फाइनेंस बैंक के मामलों ने एक अलग सवाल खड़ा किया: ऐसी सेंधमारी के बारे में सबसे पहले किसे बताया जाता है.
एसबीआई ने 21 अक्टूबर को स्टॉक एक्सचेंज को दी जानकारी में ग्राहक डेटा के सामने आने की बात बताई. यह जानकारी मिलने के पांच दिन बाद बताया गया. सीरियसिम नाम से पहचान बताने वाले एक विक्रेता ने यह डेटा 2,722 दस्तावेजों के साथ पोस्ट किया था. बैंक ने अभी इन दस्तावेजों की पुष्टि नहीं की है.
बैंक ने अपनी जानकारी में कहा कि डार्क वेब पर मिले करीब 3.75 लाख रिकॉर्ड में से 3,897 रिकॉर्ड में ग्राहकों की निजी जानकारी थी. इसमें नाम, मोबाइल नंबर, जन्मतिथि और पते शामिल थे.
आईएफएफ ने निवेशकों को ग्राहकों से पहले जानकारी देने के लिए एसबीआई की आलोचना की. इसके बाद एसबीआई ने 23 अक्टूबर को कहा कि प्रभावित ग्राहकों को ईमेल और व्हाट्सऐप के जरिए जानकारी दी गई है. बैंक ने यह नहीं बताया कि डेटा कैसे हासिल किया गया था.
29 अक्टूबर को स्कारलेटग्रुप नाम के एक समूह ने एयू स्मॉल फाइनेंस बैंक से पहचान से जुड़े दस्तावेज, पैन और आधार की जानकारी, क्रेडिट रिपोर्ट और लोन एग्रीमेंट चुराने का दावा किया. साइबर खतरे की जानकारी देने वाले प्लेटफॉर्म हैकमैनैक ने इसकी जानकारी दी.
बैंक ने कहा कि वह सेल्सफोर्स पर चलने वाले एक प्लेटफॉर्म से संभावित डेटा लीक की जांच कर रहा है. इस प्लेटफॉर्म पर “वाहन लोन लेने वाले हमारे ग्राहकों से जुड़ा सीमित डेटा” था. बैंक ने कहा कि उसके अपने सिस्टम प्रभावित नहीं हुए हैं.
भारत के नियमों के तहत संगठनों को साइबर घटनाओं की जानकारी छह घंटे के अंदर सीईआरटी-इन को देनी होती है. डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट के तहत उन्हें उन लोगों को भी बताना होता है, जिनका डेटा प्रभावित हुआ है. सीईआरटी-इन ने यह नहीं बताया है कि इन घटनाओं के बारे में उसे कब जानकारी दी गई.
अब सरकार की ओर से भी प्रतिक्रिया आ रही है. 23 अक्टूबर को भारतीय रिजर्व बैंक के गवर्नर संजय मल्होत्रा ने कहा कि केंद्रीय बैंक ने बैंकों को एआई एजेंट्स से जुड़े खतरों के बारे में चेतावनी दी है. उन्होंने कहा, “हमने उन्हें सतर्क कर दिया है और वे इसके बारे में जागरूक हैं.”
दो दिन बाद, भुवनेश्वर में आरबीआई के डेटा सेंटर और साइबर सुरक्षा प्रशिक्षण संस्थान का उद्घाटन करते हुए प्रधानमंत्री नरेंद्र मोदी ने कहा कि “हमारे बैंकिंग सिस्टम को साइबर अपराधियों और साइबर आतंकवादियों से बचाना भी उतना ही जरूरी हो गया है.”
इसके बाद सीईआरटी-इन ने एआई की मदद से होने वाले हमलों को लेकर एक अभ्यास किया. इसमें 55 से ज्यादा वित्तीय संस्थानों के 300 से अधिक अधिकारियों ने हिस्सा लिया. इनमें ज्यादातर क्षेत्रीय ग्रामीण बैंक और सहकारी बैंक थे. इन बैंकों में अक्सर सुरक्षा कर्मचारियों की संख्या कम होती है और पुराने सिस्टम होते हैं.
झा और त्रिवेदी दोनों ने कहा कि एआई एजेंट्स के लिए बनाए जाने वाले नियमों में एआई मॉडल पर ध्यान देने के बजाय इस बात पर ध्यान देना चाहिए कि कोई एजेंट किन चीजों तक पहुंच सकता है और क्या कर सकता है.
त्रिवेदी ने कहा कि हर एजेंट को “एक ऐसे कर्मचारी की तरह माना जाना चाहिए जिसके पास बहुत ज्यादा अधिकार हों, जो मशीन की रफ्तार से काम करता हो और कभी नहीं सोता.” उसके पास अपना अलग लॉगिन होना चाहिए, एक तय जिम्मेदार व्यक्ति होना चाहिए और उसे बंद करने का तरीका होना चाहिए. वहीं, भुगतान, डेटा हटाने और डेटा बाहर भेजने जैसे कामों के लिए इंसान की मंजूरी जरूरी होनी चाहिए.
उन्होंने कहा कि जानकारी देना अनिवार्य होना चाहिए. “हाल की घटनाओं का पता सिर्फ एआई मॉडल बनाने वाली कंपनियों की खुद से दी गई जानकारी के जरिए चला और यह लंबे समय तक चलने वाला तरीका नहीं हो सकता.” उन्होंने कहा कि नियम जरूरत के हिसाब से होने चाहिए. “ऐसे नियम, जिनका छोटी कंपनियां वास्तव में पालन नहीं कर सकतीं, किसी को ज्यादा सुरक्षित नहीं बनाएंगे.”
इसी तरह, झा ने कहा कि नई जरूरतों को सीईआरटी-इन के छह घंटे में रिपोर्ट करने के नियम, डेटा सुरक्षा कानून और आरबीआई के नियमों के साथ जोड़ा जाना चाहिए, “न कि इनके ऊपर नियमों की एक अलग व्यवस्था खड़ी की जाए.” उन्होंने कहा कि कंपनियों के बोर्ड को यह पूछना चाहिए कि अगर कोई एआई एजेंट अपने तय काम से आगे चला जाए तो क्या वे इसका पता लगा पाएंगे, “या उन्हें इसके बारे में सबसे पहले किसी वेंडर से पता चलेगा.”
(इस रिपोर्ट को अंग्रेज़ी में पढ़ने के लिए यहां क्लिक करें)
यह भी पढ़ें: कश्मीर के शासक हमेशा से मस्जिदों पर नियंत्रण चाहते रहे हैं, ताजा विवाद भी इसी का हिस्सा है