नई दिल्ली. भारतीय स्टेट बैंक (SBI) से जुड़े कथित डेटा लीक मामले में जांच जारी है. डार्क वेब पर बैंक के ग्राहकों से संबंधित बड़ी मात्रा में डेटा उपलब्ध होने के दावे के बीच बैंक ने 3,897 ग्राहकों के व्यक्तिगत विवरण वाले रिकॉर्ड के प्रसार की जानकारी दी है. हालांकि, सोशल मीडिया और साइबर निगरानी से जुड़े मंचों पर चर्चा में आए Siriusim नाम के कथित हैकर समूह की इस मामले में भूमिका की आधिकारिक पुष्टि नहीं हुई है.
16 अक्टूबर को सामने आए दावों के अनुसार, समूह ने BreachForums पर 3.75 लाख से अधिक रिकॉर्ड और 2,722 PDF फाइलें होने की बात कही थी. इन दस्तावेजों में ग्राहकों की व्यक्तिगत जानकारी, पते, केवाईसी विवरण और ऋण आवेदनों से संबंधित रिकॉर्ड होने का दावा किया गया है. अब सवाल सिर्फ डेटा की मात्रा का नहीं, बल्कि उसकी प्रामाणिकता, स्रोत और संभावित दुरुपयोग का भी है.
बैंक ने मामले की जांच के लिए CERT-In से संबद्ध एक स्वतंत्र साइबर सुरक्षा एजेंसी नियुक्त की है. फिलहाल यह स्पष्ट नहीं है कि ऑनलाइन प्रसारित सभी रिकॉर्ड वास्तविक, नवीनतम और एक ही घटना से संबंधित हैं या नहीं.
एसबीआई ने ताजा बयान में ग्राहकों का पैसा सुरक्षित बताया
डेटा लीक मामले में 21 अक्टूबर को सामने आए नए अपडेट के मुताबिक, एसबीआई ने ग्राहकों को आश्वस्त किया है कि उनके खाते में जमा रकम सुरक्षित है. बैंक का कहना है कि घटना से उसके आईटी सिस्टम, मुख्य बैंकिंग परिचालन, वित्तीय प्रदर्शन और कारोबार की निरंतरता पर कोई बड़ा असर नहीं पड़ा है.
बैंक का यह स्पष्टीकरण ऐसे समय आया है, जब डेटा के संभावित दुरुपयोग को लेकर ग्राहकों की चिंता बढ़ रही है. हालांकि, खाते में जमा राशि सुरक्षित होने का आश्वासन और व्यक्तिगत जानकारी के पूरी तरह सुरक्षित होने की पुष्टि दो अलग बातें हैं. जांच में अभी यह स्थापित किया जाना बाकी है कि डेटा कहां से आया, कितनी जानकारी वास्तविक है और उसका इस्तेमाल किसी साइबर अपराध में हुआ है या नहीं.
3.75 लाख रिकॉर्ड की चर्चा, लेकिन 3,897 में मिली व्यक्तिगत पहचान संबंधी जानकारी
एसबीआई की ओर से शेयर बाजार को दी गई जानकारी के अनुसार, डार्क वेब पर उपलब्ध लगभग 3.75 लाख रिकॉर्ड की प्रारंभिक जांच में 3,897 ग्राहक रिकॉर्ड ऐसे पाए गए, जिनमें व्यक्तिगत पहचान संबंधी जानकारी मौजूद थी.
यहां दोनों आंकड़ों के बीच अंतर समझना जरूरी है. 3.75 लाख रिकॉर्ड ऑनलाइन प्रसारित डेटा के बड़े संग्रह से संबंधित हैं, जबकि 3,897 ऐसे ग्राहक रिकॉर्ड हैं जिनमें प्रारंभिक विश्लेषण के दौरान व्यक्तिगत पहचान योग्य जानकारी मिली. इसका अर्थ यह नहीं है कि शेष सभी रिकॉर्ड भी एसबीआई के ग्राहकों के हैं या उन सभी की जानकारी लीक होने की पुष्टि हो गई है.
बैंक ने यह भी स्पष्ट नहीं किया है कि पूरे डेटा संग्रह में कितने रिकॉर्ड वास्तविक हैं, कितने पुराने हो सकते हैं और कितनी जानकारी किसी अन्य स्रोत से आई हो सकती है. इसलिए फिलहाल पूरी घटना को 3.75 लाख ग्राहकों की प्रमाणित डेटा चोरी बताना सही नहीं होगा.
कौन है साइरिसिम, जांच के केंद्र में क्यों आया नाम
Siriusim नाम का कथित हैकर समूह इस मामले में चर्चा में तब आया, जब साइबर सुरक्षा गतिविधियों पर नजर रखने वाले अकाउंट CyberPulse56 ने 16 अक्टूबर को उसके दावे को सामने रखा. रिपोर्टों के अनुसार, समूह ने BreachForums पर एसबीआई से संबंधित डेटा हासिल करने और उसे जारी करने का दावा किया था.
समूह ने कथित तौर पर 3.75 लाख से अधिक डेटा एंट्री वाली CSV फाइलों और 2,722 PDF दस्तावेजों तक पहुंच होने की बात कही. इन दस्तावेजों में खाता खोलने के फॉर्म, ऋण आवेदन और ग्राहकों के व्यक्तिगत विवरण होने का दावा है.
लेकिन Siriusim की पहचान, उसके सदस्यों, संचालन के स्थान और उसके पिछले साइबर हमलों का कोई विश्वसनीय सार्वजनिक रिकॉर्ड फिलहाल सामने नहीं आया है. यह भी साबित नहीं हुआ है कि समूह ने स्वयं बैंक के सिस्टम में सेंध लगाई या उसे डेटा किसी दूसरे स्रोत से मिला.
एसबीआई ने अपनी आधिकारिक जानकारी में Siriusim को जिम्मेदार नहीं ठहराया है. इसलिए इस समूह को डेटा लीक का दोषी घोषित करना अभी जल्दबाजी होगी. जांच के बाद ही यह स्पष्ट हो सकेगा कि दावा करने वाला समूह वास्तविक हमले में शामिल था या केवल पहले से उपलब्ध डेटा को अपने नाम से जारी करने का दावा कर रहा था.
ग्राहकों की कौन-कौन सी जानकारी जोखिम में
प्रारंभिक रिपोर्टों में सामने आए रिकॉर्ड में ग्राहकों के नाम, पंजीकृत मोबाइल नंबर, जन्मतिथि, लिंग, ईमेल आईडी और आवासीय पते शामिल बताए गए हैं. इसके अलावा बैंक शाखा से संबंधित जानकारी, CIF यानी Customer Information File पहचान संख्या, लीड आईडी और ऋण से जुड़े रिकॉर्ड का मेटाडेटा भी सामने आने की बात कही गई है.
कुछ नमूनों में केवाईसी से जुड़े दस्तावेज और आधार संख्या होने का भी दावा किया गया है. हालांकि, इन सभी जानकारियों के लीक होने की स्वतंत्र पुष्टि नहीं हुई है. बैंक की जांच का एक अहम हिस्सा यह पता लगाना है कि वास्तव में कौन-से दस्तावेज उजागर हुए और उनमें कितनी जानकारी प्रामाणिक है.
व्यक्तिगत जानकारी का इस तरह प्रसारित होना इसलिए गंभीर है, क्योंकि साइबर अपराधी इसका इस्तेमाल बैंक अधिकारी बनकर फोन करने, फर्जी संदेश भेजने और ग्राहकों को किसी लिंक पर क्लिक कराने के लिए कर सकते हैं. जब फोन करने वाले के पास ग्राहक का नाम, पता या ऋण से संबंधित कुछ सही विवरण हों, तो उसके झांसे में आने की आशंका बढ़ सकती है.
जांच के लिए बैंक ने क्या कदम उठाए
एसबीआई के मुताबिक, उसे 16 अक्टूबर को अपने थ्रेट इंटेलिजेंस सेवा प्रदाता, डिफेंस साइबर एजेंसी और भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल CERT-In से संभावित डेटा एक्सपोजर के बारे में अलर्ट मिले थे. इसके बाद बैंक ने साइबर घटना से निपटने के लिए अपने निर्धारित प्रोटोकॉल सक्रिय किए.
बैंक ने CERT-In से संबद्ध एक स्वतंत्र साइबर सुरक्षा एजेंसी को जांच की जिम्मेदारी सौंपी है. जांच में डेटा की प्रामाणिकता, उसकी उत्पत्ति, संभावित लीक का दायरा और घटना से जुड़े सुरक्षा जोखिमों का आकलन किया जाना है.
अभी सार्वजनिक जानकारी में यह स्पष्ट नहीं है कि डेटा किसी आंतरिक सिस्टम, बाहरी सेवा प्रदाता, एजेंट या किसी दूसरे माध्यम से बाहर आया. न ही शुरुआती प्रवेश का तरीका सामने आया है. इसलिए किसी कर्मचारी, ठेकेदार या तकनीकी खामी को जिम्मेदार बताने के लिए पर्याप्त आधार उपलब्ध नहीं है.
ग्राहकों को अब क्या सावधानी बरतनी चाहिए
बैंक ने खाते में जमा राशि सुरक्षित होने का भरोसा दिया है, लेकिन ग्राहकों को व्यक्तिगत जानकारी के संभावित दुरुपयोग को हल्के में नहीं लेना चाहिए. ऐसे मामलों में सतर्कता का उद्देश्य घबराहट फैलाना नहीं, बल्कि धोखाधड़ी की आशंका कम करना है.
ग्राहकों को इन बातों का ध्यान रखना चाहिए.
किसी भी व्यक्ति के साथ OTP, ATM PIN, इंटरनेट बैंकिंग पासवर्ड या UPI PIN साझा न करें.
बैंक अधिकारी बनकर फोन करने वाले व्यक्ति को केवल व्यक्तिगत जानकारी पता होने के आधार पर विश्वसनीय न मानें.
अनजान लिंक, संदिग्ध QR कोड और अज्ञात ऐप के माध्यम से बैंकिंग जानकारी साझा करने से बचें.
बैंक खाते का विवरण नियमित रूप से जांचें और किसी अनधिकृत लेनदेन पर तुरंत बैंक को सूचित करें.
आधार, पैन या अन्य पहचान दस्तावेजों की कॉपी मांगने वाले संदिग्ध संदेशों और कॉल से सावधान रहें.
यदि किसी ग्राहक के साथ वित्तीय साइबर धोखाधड़ी होती है, तो वह राष्ट्रीय साइबर अपराध हेल्पलाइन 1930 पर संपर्क कर सकता है या cybercrime.gov.in पर शिकायत दर्ज कर सकता है.
प्रभावित ग्राहकों को सूचना देने का सवाल भी अहम
इस घटना में डेटा की तकनीकी जांच के साथ यह सवाल भी महत्वपूर्ण है कि जिन ग्राहकों की व्यक्तिगत जानकारी उजागर हुई है, उन्हें इसकी जानकारी कैसे दी जाएगी. डिजिटल अधिकारों से जुड़े संगठन इंटरनेट फ्रीडम फाउंडेशन ने प्रभावित ग्राहकों को सीधे SMS, ईमेल और पत्र के माध्यम से सूचना देने की मांग उठाई है. संगठन ने यह भी कहा है कि ग्राहकों को यह पता लगाने की सुविधा मिलनी चाहिए कि उनकी जानकारी प्रभावित हुई है या नहीं.
हालांकि, 21 अक्टूबर तक उपलब्ध रिपोर्टों में सभी प्रभावित ग्राहकों को व्यक्तिगत रूप से सूचना दिए जाने की पुष्टि नहीं है. डेटा लीक से जुड़ी कानूनी जिम्मेदारियों और संबंधित प्रावधानों के लागू होने की समयसीमा पर भी चर्चा हो रही है. इसलिए इस मामले में बैंक की आगे की कार्रवाई और जांच के निष्कर्ष महत्वपूर्ण होंगे.
अब किन सवालों के जवाब का इंतजार
एसबीआई डेटा लीक मामले में फिलहाल तीन सवाल सबसे महत्वपूर्ण हैं. पहला, 3,897 ग्राहक रिकॉर्ड में मिली जानकारी किस स्रोत से आई. दूसरा, डार्क वेब पर मौजूद बाकी रिकॉर्ड में से कितने वास्तव में एसबीआई से संबंधित हैं. तीसरा, Siriusim का दावा वास्तविक है या नहीं और क्या उसका डेटा के स्रोत से कोई प्रत्यक्ष संबंध है.
बैंक ने परिचालन पर बड़े असर से इनकार किया है और ग्राहकों की जमा राशि सुरक्षित होने की बात कही है. लेकिन इससे व्यक्तिगत डेटा की सुरक्षा से जुड़े सवाल अपने आप समाप्त नहीं हो जाते. स्वतंत्र एजेंसी की जांच से ही घटना का वास्तविक दायरा और कारण सामने आने की उम्मीद है.
फिलहाल निष्कर्ष यही है कि एसबीआई से जुड़े 3,897 ग्राहक रिकॉर्ड में व्यक्तिगत पहचान संबंधी जानकारी मिलने की पुष्टि बैंक के प्रारंभिक विश्लेषण में हुई है, जबकि 3.75 लाख रिकॉर्ड और 2,722 PDF फाइलों से जुड़े व्यापक दावों की पूरी प्रामाणिकता अभी स्थापित नहीं हुई है. Siriusim की भूमिका भी जांच के दायरे में एक अपुष्ट दावा है, अंतिम निष्कर्ष नहीं.
