डेटा एक्सपोजर की जानकारी मिलने के बाद SBI ने साइबर घटना से निपटने की प्रक्रियाएं सक्रिय कीं और स्वतंत्र साइबर सुरक्षा एजेंसी की मदद ली। जानें बैंक की जांच का उद्देश्य क्या है और डेटा लीक के स्रोत का पता कैसे लगाया जा सकता है।
नई दिल्ली: स्टेट बैंक ऑफ इंडिया (SBI) के ग्राहकों के निजी डेटा की सुरक्षा को लेकर गंभीर सवाल खड़े हुए हैं। देश के सबसे बड़े सार्वजनिक क्षेत्र के बैंक ने बुधवार, 21 अक्टूबर को बताया कि डार्क वेब पर उपलब्ध लगभग 3.75 लाख रिकॉर्ड की शुरुआती जांच में 3,897 ऐसे रिकॉर्ड मिले हैं, जिनमें ग्राहकों की व्यक्तिगत पहचान से जुड़ी जानकारियां शामिल हैं।
इनमें नाम, मोबाइल नंबर, जन्मतिथि, ईमेल आईडी, घर का पता और लोन से जुड़े रिकॉर्ड जैसी जानकारियां होने की बात सामने आई है। बैंक ने मामले की जांच के लिए स्वतंत्र साइबर सुरक्षा एजेंसी की मदद ली है। हालांकि, SBI का कहना है कि इस घटना का उसके मुख्य बैंकिंग परिचालन, वित्तीय प्रदर्शन या कारोबारी निरंतरता पर कोई महत्वपूर्ण असर पड़ने की आशंका नहीं है।
इस मामले में सबसे अहम सवाल यह है कि ग्राहकों का डेटा डार्क वेब तक कैसे पहुंचा, क्या सभी संदिग्ध रिकॉर्ड वास्तव में SBI से संबंधित हैं और क्या इस जानकारी का इस्तेमाल लोगों को निशाना बनाकर वित्तीय धोखाधड़ी करने के लिए किया जा सकता है।
SBI डेटा लीक मामला क्या है?
SBI ने 21 अक्टूबर को स्टॉक एक्सचेंज को दी गई जानकारी में डार्क वेब पर संभावित रूप से उजागर ग्राहक डेटा से जुड़े मामले का उल्लेख किया। बैंक के अनुसार, उसे 16 अक्टूबर को अपने थ्रेट इंटेलिजेंस सेवा प्रदाता, डिफेंस साइबर एजेंसी और भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (CERT-In) की ओर से इस संभावित डेटा एक्सपोजर के बारे में जानकारी मिली थी। इसके बाद बैंक ने साइबर घटना से निपटने और संभावित नुकसान को सीमित करने के लिए निर्धारित प्रक्रियाएं सक्रिय कीं।
बैंक की ओर से बताई गई शुरुआती जांच में डार्क वेब पर मौजूद करीब 3,75,000 रिकॉर्ड की पड़ताल की गई। इनमें से 3,897 रिकॉर्ड ऐसे पहचाने गए जिनमें व्यक्तिगत पहचान योग्य जानकारी (Personally Identifiable Information या PII) मौजूद थी।
SBI ने मामले की विस्तृत जांच के लिए CERT-In के पैनल में शामिल एक स्वतंत्र साइबर सुरक्षा एजेंसी को नियुक्त किया है। इस जांच का उद्देश्य सामने आए डेटा की प्रामाणिकता और पूर्णता की पुष्टि करना, यह पता लगाना है कि जानकारी किस स्रोत से बाहर पहुंची और संभावित रूप से कितने ग्राहकों पर इसका असर पड़ा।
डेटा लीक में ग्राहकों की कौन-सी जानकारियां उजागर हुईं?
SBI की शुरुआती जांच के अनुसार, उजागर रिकॉर्ड में ग्राहकों की पहचान और बैंकिंग सेवाओं से संबंधित कई तरह की जानकारियां शामिल हो सकती हैं।
- नाम और मोबाइल नंबर: ग्राहकों की पहचान करने और उनसे संपर्क करने में इस्तेमाल होने वाली जानकारी।
- जन्मतिथि और लिंग: व्यक्तिगत पहचान से जुड़े विवरण, जिनका दुरुपयोग अन्य जानकारियों के साथ किया जा सकता है।
- ईमेल आईडी और आवासीय पता: ग्राहकों से संपर्क करने या उनके नाम पर फर्जी संदेश और पत्राचार तैयार करने में इस्तेमाल की जा सकने वाली जानकारी।
- बैंक शाखा और CIF नंबर: संबंधित बैंक शाखा और ग्राहक के बैंकिंग रिकॉर्ड की पहचान से जुड़ी जानकारी।
- लीड आईडी और संबंधित मेटाडेटा: संभावित ग्राहकों, बैंकिंग सेवाओं या लोन से जुड़ी प्रक्रियाओं का संदर्भ देने वाली जानकारियां।
- लोन और लीड रिकॉर्ड: कर्ज संबंधी आवेदन या अन्य संबंधित प्रक्रियाओं से जुड़े विवरण।
इन जानकारियों का सामने आना इसलिए महत्वपूर्ण है क्योंकि साइबर अपराधी कई बार अलग-अलग स्रोतों से मिली सूचनाओं को जोड़कर किसी व्यक्ति की विस्तृत प्रोफाइल तैयार करते हैं। उदाहरण के लिए, किसी ग्राहक का नाम, मोबाइल नंबर, बैंक से संबंध और लोन आवेदन से जुड़ी जानकारी एक साथ उपलब्ध होने पर अपराधी अधिक विश्वसनीय दिखने वाला फोन कॉल, ईमेल या संदेश भेज सकते हैं।
क्या ग्राहकों के खातों से रकम भी निकाली गई है?
फिलहाल उपलब्ध रिपोर्टों में डेटा लीक की पुष्टि और ग्राहकों के बैंक खातों से रकम चोरी होने के बीच अंतर करना जरूरी है। SBI ने कहा है कि इस घटना का उसके मुख्य परिचालन, वित्तीय प्रदर्शन या कारोबारी निरंतरता पर कोई महत्वपूर्ण प्रभाव पड़ने की आशंका नहीं है। हालांकि, इसका अर्थ यह नहीं है कि उजागर जानकारी के दुरुपयोग का जोखिम पूरी तरह समाप्त हो गया है।
व्यक्तिगत डेटा का लीक होना और किसी बैंक खाते से अनधिकृत लेनदेन होना दो अलग-अलग घटनाएं हैं। पहली स्थिति में ग्राहकों की निजी जानकारी दूसरों तक पहुंच सकती है, जबकि दूसरी में किसी खाते से बिना अनुमति पैसे निकाले या ट्रांसफर किए जा सकते हैं। उपलब्ध जानकारी के आधार पर यह दावा नहीं किया जा सकता कि इस मामले में सभी प्रभावित ग्राहकों के खातों से पैसे निकाले गए हैं।
फिर भी, नाम, मोबाइल नंबर और लोन संबंधी जानकारी का इस्तेमाल करके धोखेबाज ग्राहकों को निशाना बना सकते हैं। वे खुद को बैंक कर्मचारी, लोन अधिकारी या साइबर सुरक्षा विशेषज्ञ बताकर फोन कर सकते हैं। यदि उनके पास ग्राहक के वास्तविक विवरण मौजूद हों, तो उनकी बात अधिक विश्वसनीय लग सकती है।
SBI ने मामले में क्या कदम उठाए?
बैंक की ओर से उपलब्ध जानकारी के अनुसार, संभावित डेटा एक्सपोजर की सूचना मिलने के बाद साइबर घटना से निपटने की प्रक्रियाएं सक्रिय की गईं। साथ ही, विस्तृत आकलन के लिए स्वतंत्र साइबर सुरक्षा एजेंसी की सहायता ली गई है। जांच के प्रमुख उद्देश्य हैं कि सामने आए डेटा की वास्तविकता की पुष्टि हो, लीक के संभावित स्रोत का पता चले और घटना के दायरे तथा जोखिमों का आकलन किया जा सके।
इस तरह की जांच में आमतौर पर सिस्टम लॉग, एक्सेस रिकॉर्ड, डेटाबेस गतिविधियों, सुरक्षा अलर्ट और संबंधित डिजिटल साक्ष्यों की पड़ताल की जाती है।
जांच पूरी होने के बाद यह स्पष्ट करना भी महत्वपूर्ण होगा कि किन ग्राहकों को सीधे जोखिम का सामना करना पड़ सकता है और उन्हें किस तरह की सावधानियां बरतनी चाहिए। यदि किसी ग्राहक की जानकारी के दुरुपयोग की आशंका सामने आती है, तो समय पर सूचना और उचित सुरक्षा कदम नुकसान कम करने में मदद कर सकते हैं।
ये भी पढ़ें :- Jio IPO: ₹30,213 करोड़ का देश का सबसे बड़ा IPO, जानें प्राइस बैंड, निवेश की रकम और शेयरों की लिस्टिंग से जुड़ी जरूरी बातें
बैंकों में डेटा लीक की घटनाएं क्यों होती हैं?
डेटा लीक के कुछ प्रमुख कारण हैं :
1. साइबर हमले और सुरक्षा खामियां: हैकर सॉफ्टवेयर की कमजोरियों, गलत तरीके से कॉन्फिगर किए गए सर्वर या असुरक्षित एप्लिकेशन के जरिए सिस्टम तक पहुंचने की कोशिश कर सकते हैं।
2. कर्मचारियों की एक्सेस में लापरवाही: यदि किसी कर्मचारी को उसकी भूमिका से ज्यादा डेटा देखने या डाउनलोड करने की अनुमति है, तो जानकारी के दुरुपयोग का जोखिम बढ़ जाता है। कर्मचारियों के अकाउंट की जानकारी चोरी होने पर भी हमलावर सिस्टम तक पहुंच सकते हैं।
3. थर्ड पार्टी कंपनियों की कमजोर सुरक्षा: बैंक कई सेवाओं के लिए बाहरी तकनीकी कंपनियों, क्लाउड सेवाओं और अन्य साझेदारों पर निर्भर रहते हैं। यदि इन संस्थाओं के सिस्टम में सुरक्षा की कमी हो, तो ग्राहक डेटा जोखिम में पड़ सकता है।
4. फिशिंग और पासवर्ड चोरी: फर्जी ईमेल, संदेश या वेबसाइट के जरिए कर्मचारियों से लॉगिन जानकारी हासिल की जा सकती है। मजबूत सुरक्षा व्यवस्था के अभाव में चोरी किए गए क्रेडेंशियल का इस्तेमाल संवेदनशील सिस्टम तक पहुंचने के लिए हो सकता है।
5. पुराना सॉफ्टवेयर और गलत कॉन्फिगरेशन: सुरक्षा अपडेट समय पर नहीं लगाने, पुराने सिस्टम को चालू रखने या डेटाबेस को गलत तरीके से कॉन्फिगर करने से अनधिकृत पहुंच का खतरा पैदा हो सकता है।
भारतीय रिजर्व बैंक के साइबर सुरक्षा और आईटी संबंधी दिशानिर्देशों में जोखिम आकलन, सुरक्षा परीक्षण, एक्सेस कंट्रोल और साइबर घटनाओं से निपटने की व्यवस्था पर जोर दिया गया है।
डेटा लीक रोकने के लिए बैंकों को कौन-से उपाय अपनाने चाहिए?
1. मल्टी-फैक्टर ऑथेंटिकेशन लागू करना: बैंक के कर्मचारियों, एडमिनिस्ट्रेटर और संवेदनशील डेटाबेस तक पहुंच रखने वाले लोगों के लिए मल्टी-फैक्टर ऑथेंटिकेशन (MFA) अनिवार्य होना चाहिए। इसमें पासवर्ड के साथ अतिरिक्त सत्यापन की जरूरत होती है। इससे केवल पासवर्ड चोरी होने पर भी किसी हमलावर के लिए सिस्टम में प्रवेश करना कठिन हो सकता है।
2. ग्राहक डेटा को एन्क्रिप्ट करना: संवेदनशील जानकारी को स्टोर करते समय और नेटवर्क के जरिए भेजते समय एन्क्रिप्शन का इस्तेमाल किया जाना चाहिए। इससे डेटा अनधिकृत व्यक्ति के हाथ लगने पर भी उसे पढ़ना मुश्किल हो सकता है। एन्क्रिप्शन के साथ सुरक्षा कुंजियों का सुरक्षित प्रबंधन भी जरूरी है।
3. सीमित एक्सेस की नीति अपनाना: प्रत्येक कर्मचारी को केवल उतनी ही जानकारी देखने की अनुमति मिलनी चाहिए, जितनी उसके काम के लिए जरूरी है। ग्राहकों के डेटा को एक साथ बड़ी मात्रा में डाउनलोड करने, असामान्य तरीके से खोजने या दूसरे सिस्टम में भेजने जैसी गतिविधियों पर निगरानी रखी जानी चाहिए।
4. नियमित सुरक्षा ऑडिट और पेनिट्रेशन टेस्टिंग: बैंकों को अपने सर्वर, मोबाइल एप्लिकेशन, इंटरनेट बैंकिंग प्लेटफॉर्म और API की नियमित जांच करानी चाहिए। स्वतंत्र विशेषज्ञों की मदद से कमजोरियों का पता लगाकर उन्हें समयबद्ध तरीके से दूर करना जरूरी है। RBI के आईटी संबंधी दिशानिर्देश भी महत्वपूर्ण प्रणालियों के लिए नियमित भेद्यता आकलन और पेनिट्रेशन टेस्टिंग पर जोर देते हैं।
SBI ग्राहकों को क्या सावधानियां बरतनी चाहिए?
डेटा लीक की खबर के बाद ग्राहकों को घबराने की जरूरत नहीं है, लेकिन उन्हें सतर्क रहने की जरूरत है। खासकर यदि किसी व्यक्ति की व्यक्तिगत जानकारी उजागर हुई हो, तो उसके नाम पर धोखाधड़ी के प्रयास किए जा सकते हैं।
- OTP, PIN और पासवर्ड साझा न करें: बैंक अधिकारी होने का दावा करने वाला कोई व्यक्ति फोन या संदेश के जरिए OTP, ATM PIN, CVV या इंटरनेट बैंकिंग पासवर्ड मांगे, तो ये जानकारियां न दें।
- संदिग्ध कॉल और लिंक से सावधान रहें: किसी अनजान लिंक पर क्लिक करके बैंकिंग विवरण दर्ज न करें। केवल आधिकारिक बैंकिंग ऐप या वेबसाइट का इस्तेमाल करें।
- बैंक खाते के लेनदेन पर नजर रखें: अपने खाते के स्टेटमेंट और SMS या ईमेल अलर्ट नियमित रूप से जांचें। कोई अनधिकृत लेनदेन दिखे तो तुरंत बैंक को सूचित करें।
- पासवर्ड सुरक्षित रखें: इंटरनेट बैंकिंग और ईमेल के लिए अलग-अलग मजबूत पासवर्ड रखें। जहां उपलब्ध हो, अतिरिक्त प्रमाणीकरण सुविधा चालू करें।
- रिमोट एक्सेस ऐप इंस्टॉल न करें: किसी अनजान कॉलर के कहने पर स्क्रीन शेयरिंग या रिमोट कंट्रोल ऐप डाउनलोड न करें। ऐसे ऐप का इस्तेमाल धोखाधड़ी के लिए किया जा सकता है।
- संदिग्ध गतिविधि की तुरंत रिपोर्ट करें: वित्तीय साइबर धोखाधड़ी होने पर भारत की साइबर अपराध हेल्पलाइन 1930 पर संपर्क करें और आधिकारिक पोर्टल cybercrime.gov.in पर शिकायत दर्ज करें। अपने बैंक को भी तुरंत जानकारी दें।
