अगर कोई अनजान व्यक्ति आपके मोबाइल पर कॉल करे और सीधे आपका नाम, जन्मतिथि, घर का पता और यह बता दे कि आपके बैंक में कितने लाख का लोन चल रहा है तो किसी का भी चौंकना स्वाभाविक है. ज्यादातर लोग ऐसे फोन को बैंक का असली कॉल मान बैठते हैं. साइबर ठग इसी भरोसे का फायदा उठाकर कभी केवाईसी अपडेट तो कभी 'डिजिटल अरेस्ट' के नाम पर बैंक खाते खाली कर देते हैं.
देश में 16 से 21 अक्टूबर 2026 के बीच यानी महज छह दिनों के भीतर डिजिटल इंफ्रास्ट्रक्चर से जुड़े चार बड़े साइबर अलर्ट सामने आए. देश के सबसे बड़े सरकारी बैंक SBI से लेकर राजस्थान पुलिस, वेबसाइट्स को सुरक्षा देने वाली कंपनी eMudhra और इंटरनेट का एक बड़ा हिस्सा चलाने वाले PHP सॉफ्टवेयर तक, हर जगह सुरक्षा की कमजोर कड़ियां दिखीं. विपक्षी दल कांग्रेस और पवन खेड़ा ने भी इसे लेकर केंद्र सरकार और SBI की जवाबदेही पर सीधे सवाल दागे. वहीं दूसरी तरफ सोशल मीडिया पर इसे 'ग्लोबल साइबर इमरजेंसी' बताकर कई दावे किए जाने लगे.
छह दिन और चार बड़े अलर्ट: घटनाक्रम की पूरी कड़ी
यह पूरा घटनाक्रम 16 अक्टूबर 2026 को शुरू हुआ जब साइबर इंटेलिजेंस मॉनिटरिंग अकाउंट CyberPulse56 ने एक्स पर जानकारी दी कि 'Siriusim' नाम का हैकर SBI के डेटा को डार्क वेब पर बेचने का दावा कर रहा है. इसी दिन SBI को डिफेंस साइबर एजेंसी (DCA), CERT-In और अपनी थ्रेट इंटेलिजेंस यूनिट से खतरे के आधिकारिक अलर्ट मिले.
अगले ही दिन 17 अक्टूबर को एक स्वतंत्र साइबर सिक्योरिटी रिसर्चर ने अंतरराष्ट्रीय ब्राउजर कंपनियों को आगाह किया कि भारतीय सर्टिफाइंग कंपनी eMudhra के आठ डिजिटल सर्टिफिकेट की प्राइवेट कीज यानी सुरक्षा चाबियों में भारी तकनीकी खामी है. स्थिति की गंभीरता को देखते हुए 18 अक्टूबर को CERT-In की निगरानी में eMudhra ने प्रभावित सभी आठों सर्टिफिकेट तुरंत रद्द कर दिए.
इसके बाद 20 अक्टूबर को दुनिया भर के वेब सर्वरों को चलाने वाले बैकएंड सॉफ्टवेयर PHP की दो क्रिटिकल सुरक्षा खामियों की जानकारी तय समय से पहले ही सार्वजनिक हो गई. 21 अक्टूबर को SBI ने शेयर बाजार को औपचारिक जानकारी देते हुए माना कि 3,897 ग्राहकों के निजी रिकॉर्ड में सेंध लगी है. इसी दिन राजस्थान पुलिस के डेटा को लेकर 'Scarlettgroup' नाम के हैकर ग्रुप का दावा सामने आया जबकि दूसरी ओर PHP ने सिक्योरिटी पैच जारी किए और CERT-In ने भारत के सभी सिस्टम एडमिनिस्ट्रेटर के लिए क्रिटिकल अलर्ट जारी कर दिया.
SBI डेटा लीक: 3,897 ग्राहकों का डेटा डार्क वेब पर और खड़े होते सवाल
डार्क वेब पर हैकर ने दावा किया था कि उसके पास SBI से जुड़े करीब 3.75 लाख रिकॉर्ड्स हैं. बैंक ने CERT-In के पैनल वाली एक स्वतंत्र साइबर एजेंसी से फॉरेंसिक जांच कराई जिसमें 3,897 ग्राहकों के व्यक्तिगत पहचान योग्य रिकॉर्ड्स (PII) लीक होने की पुष्टि हुई. इन रिकॉर्ड्स में ग्राहकों के नाम, मोबाइल नंबर, ईमेल, जन्मतिथि, जेंडर, पता, शाखा, ग्राहक पहचान नंबर और लोन से जुड़ा बेहद संवेदनशील डेटा शामिल था.
पवन खेड़ा और विपक्ष के तीखे सवाल: जवाबदेही किसकी?
मामला तूल पकड़ते ही कांग्रेस नेता पवन खेड़ा ने सोशल मीडिया पर पोस्ट कर बैंक और केंद्र सरकार की जवाबदेही पर सीधे सवाल दागे. उन्होंने पूछा कि देश के सबसे बड़े वित्तीय संस्थान को अपने ग्राहकों के डेटा लीक होने की भनक इंटरनल ऑडिट से क्यों नहीं लगी और इसके लिए बाहरी सुरक्षा एजेंसियों के अलर्ट का इंतजार क्यों करना पड़ा.
इसके साथ ही विपक्ष ने यह मुद्दा भी उठाया कि जिन 3,897 ग्राहकों का निजी डेटा सार्वजनिक हुआ - क्या बैंक ने उन्हें फोन या ईमेल भेजकर व्यक्तिगत तौर पर आगाह किया ताकि वे सतर्क रह सकें. ग्राहक के नजरिए से यह सवाल बेहद गंभीर है क्योंकि जब तक पीड़ित व्यक्ति को यह पता ही नहीं होगा कि उसकी निजी जानकारी खतरे में है तब तक वह खुद को वित्तीय ठगी से सुरक्षित रखने के कदम नहीं उठा पाएगा.
राजस्थान पुलिस: 70 हजार रिकॉर्ड चोरी का दावा और उसकी जमीनी पड़ताल
इसी दौरान 'Scarlettgroup' नाम के एक हैकर ग्रुप ने दावा किया कि उसने राजस्थान पुलिस के डेटाबेस में सेंधमारी कर 6.63 जीबी डेटा चुरा लिया है. हैकर के मुताबिक इस डेटा में 70 हजार पहचान रिकॉर्ड, करीब 59,460 मोबाइल नंबर, वरिष्ठ पुलिस अफसरों के ईमेल, एफआईआर की डिजिटल कॉपियां, ई-केवाईसी रिकॉर्ड और मुकदमों से जुड़े गवाहों के बयान शामिल हैं.
साइबर क्राइम ट्रैकर Ransomware.live ने इस दावे को अपने रिकॉर्ड में दर्ज किया है. हालांकि तकनीकी रूप से जब तक राजस्थान पुलिस या कोई स्वतंत्र जांच एजेंसी इसकी आधिकारिक पुष्टि नहीं करती, तब तक इसे 'कथित दावा' ही माना जाएगा. अलग-अलग ट्रैकर्स पर घटनाओं की तारीखों में भी अंतर देखा गया है. यदि यह दावा सच साबित होता है तो यह केवल सामान्य डेटा चोरी नहीं बल्कि जांच की गोपनीयता और गवाहों की सुरक्षा से जुड़ा एक बड़ा संवेदनशील मामला बन जाएगा.
eMudhra मामला: डिजिटल पहचान key में चूक और DSC की हकीकत
जब कोई यूजर इंटरनेट पर किसी सरकारी पोर्टल या बैंक की वेबसाइट पर जाता है तो ब्राउजर में दिखने वाला ताला (HTTPS) और डिजिटल सर्टिफिकेट यह साबित करता है कि वेबसाइट असली और सुरक्षित है. eMudhra यही सर्टिफिकेट जारी करने वाली भारत की प्रमुख सर्टिफाइंग अथॉरिटी है. एक सुरक्षा शोधकर्ता ने पाया कि eMudhra द्वारा जारी आठ सर्टिफिकेट्स की प्राइवेट कीज बेहद कमजोर क्रिप्टोग्राफिक प्रोसेस से बनी थीं जिन्हें डिकोड करना आसान था. इससे नकली वेबसाइट को असली दिखाकर लोगों को धोखा दिए जाने का जोखिम था.
खामी सामने आते ही CERT-In ने इन आठों सर्टिफिकेट्स को तुरंत रद्द कराया. गूगल की सुरक्षा टीम ने भी कदम उठाते हुए eMudhra के एक रूट सर्टिफिकेट को 27 अक्टूबर 2026 से क्रोम ब्राउजर से हटाने का फैसला किया. इस घटना के बाद आम लोगों के बीच यह डर फैल गया कि क्या उनके डिजिटल सिग्नेचर भी खतरे में हैं. इलेक्ट्रॉनिक्स एवं आईटी मंत्रालय (MeitY) और eMudhra ने स्थिति स्पष्ट करते हुए बताया कि यह तकनीकी समस्या सिर्फ अंतरराष्ट्रीय वेबसाइट्स को दिए जाने वाले टीएलएस/एसएसएल सर्टिफिकेट्स तक सीमित थी. भारत में टैक्स, टेंडर और कॉरपोरेट कंप्लायंस के लिए इस्तेमाल होने वाले डिजिटल सिग्नेचर सर्टिफिकेट (DSC) और ई-साइन का पूरा ढांचा अलग सर्वर और अलग सुरक्षा व्यवस्था पर चलता है इसलिए वे पूरी तरह सुरक्षित हैं.
ग्लोबल स्तर पर खलबली: PHP, जापान और दुनिया भर में अलर्ट
यह साइबर हलचल सिर्फ भारत की सीमाओं तक सीमित नहीं थी बल्कि इसी दौरान दुनिया भर के सॉफ्टवेयर इंफ्रास्ट्रक्चर में कई बड़ी खामियां एक साथ उजागर हुईं. दुनिया की करीब 69 प्रतिशत वेबसाइट्स के बैकएंड पर चलने वाले PHP कोड में दो बेहद गंभीर सुरक्षा खामियां पाई गईं जिनका गंभीरता स्कोर 9.2 आंका गया.
अमेरिका की सीआईएसए (CISA), ब्रिटेन और जापान की राष्ट्रीय साइबर सुरक्षा एजेंसियों ने वेबसाइट संचालकों को सख्त हिदायत दी कि वे तुरंत सुरक्षा पैच लगाएं या अपनी वेबसाइट्स को ऑफलाइन कर दें. टेक मैगजीन WIRED ने भी रिपोर्ट किया कि इन खामियों का फायदा उठाकर हैकर्स ने सिस्टम्स को बड़े पैमाने पर निशाना बनाना शुरू कर दिया है. जापान में हालात इतने संवेदनशील हो गए कि वहां के वित्त और स्वास्थ्य मंत्रालयों ने एहतियातन अपने कुछ जरूरी वेब पेज हटा लिए जबकि एमयूएफजी (MUFG) बैंक और जेआर वेस्ट (JR West) जैसी दिग्गज संस्थाओं को आपातकालीन मेंटेनेंस मोड में जाना पड़ा.
क्लाउड सर्विस प्रदाता Onamae को भी मैलवेयर अलर्ट मिलने के बाद अपने हजारों कस्टमर सर्वर्स के लिए आपातकालीन कदम उठाने पड़े. इसी बीच सॉफ्टवेयर डेवलपर्स के सबसे बड़े प्लेटफॉर्म GitLab ने खुलासा किया कि 2014 के बाद के सभी वर्जनों में एक बड़ी खामी मौजूद थी. वही एआई डेवलपर्स द्वारा हर हफ्ते करोड़ों बार डाउनलोड किए जाने वाले टूल LiteLLM के पाइथन पैकेज (PyPI) में हैकर्स ने चुपके से पासवर्ड चुराने वाला वायरस जोड़ दिया जो करीब दो घंटे तक डेवलपर्स के लिए उपलब्ध रहा.
सोशल मीडिया के सनसनीखेज दावे बनाम हकीकत की पड़ताल - ABP
इन बैक-टू-बैक घटनाओं के बाद सोशल मीडिया प्लेटफॉर्म एक्स पर टेक इन्फ्लुएंसर Taegun Lee (@TGletter) जैसे अकाउंट्स से कई सनसनीखेज दावे किए गए जिसमें कहा गया कि पिछले 48 घंटों में पूरी दुनिया एक बड़े ग्लोबल साइबर अटैक की चपेट में आ चुकी है. इन दावों की बारीकी से जांच करने पर कई भ्रामक बातें सामने आती हैं.
सोशल मीडिया पर पहला बड़ा दावा यह किया गया कि eMudhra की प्राइवेट चाबी 'नंबर 4' जितनी आसान थी और उसके 6 करोड़ से ज्यादा जारी किए गए सर्टिफिकेट बेकार हो गए. पड़ताल में यह दावा पूरी तरह भ्रामक निकला. भले ही की-जनरेशन में गणितीय रैंडमनेस की बड़ी चूक थी लेकिन यह खामी सिर्फ 8 अंतरराष्ट्रीय वेब सर्टिफिकेट्स में थी जिन्हें रद्द किया जा चुका है. भारत के सामान्य नागरिकों द्वारा इस्तेमाल होने वाले करोड़ों डिजिटल सिग्नेचर इससे पूरी तरह अप्रभावित हैं.
दूसरा दावा यह था कि PHP की वजह से दुनिया की 69 प्रतिशत वेबसाइट्स हैक हो चुकी हैं और इंटरनेट ठप होने की कगार पर है. यह दावा अत्यधिक बढ़ा-चढ़ाकर पेश किया गया है. PHP में गंभीर खामी जरूर मिली और सुरक्षा एजेंसियों ने अलर्ट भी जारी किया लेकिन इसका मतलब यह कतई नहीं है कि सभी साइट्स हैक हो गईं. खतरा केवल उन पुराने सर्वर्स पर है जिन्होंने ताजा सुरक्षा अपडेट लागू नहीं किए हैं.
यह भी पढ़ें: सोनिया गांधी का Insta डेब्यू, गांधी परिवार में कौन-किसे करता है फॉलो?
तीसरा दावा यह था कि 48 घंटों के भीतर दुनिया भर पर किसी सुनियोजित 'ग्लोबल एआई साइबर अटैक' के तहत हमला हुआ है. तकनीकी रूप से यह दावा गलत साबित होता है. एसबीआई डेटा लीक, राजस्थान पुलिस का दावा, eMudhra की चूक, GitLab बग और LiteLLM पैकेज की घटनाएं अलग-अलग समय और अलग-अलग तकनीकी चूकों का परिणाम हैं. किसी भी अंतरराष्ट्रीय जांच एजेंसी को ऐसा कोई सबूत नहीं मिला है जो इन्हें एक ही हमले की कड़ी साबित करता हो.
AI की भूमिका: सुरक्षा का नया पहरेदार या हैकर्स का हथियार?
इन सभी घटनाओं के केंद्र में आर्टिफिशियल इंटेलिजेंस यानी एआई का पहलू भी बेहद चर्चा में रहा. PHP की जटिल सुरक्षा खामी को किसी इंसान ने नहीं बल्कि Calif और Wiz जैसी साइबर सुरक्षा कंपनियों के एआई टूल्स ने स्कैन करके पकड़ा था. इसमें ओपनएआई के 'पैच द प्लैनेट' कार्यक्रम से जुड़े सुरक्षा मॉडल्स ने मदद की जिसे सॉफ्टवेयर कोड में छिपे सुरक्षा छेदों को तेजी से खोजने के लिए डिजाइन किया गया है, लेकिन सिक्के का दूसरा पहलू यह भी है कि साइबर अपराधी भी अब ऑटोमेटेड एआई टूल्स का इस्तेमाल करके बड़ी कंपनियों के सर्वर्स को लगातार स्कैन कर रहे हैं.
रिपोर्टों के अनुसार, हैकर्स ने एआई पावर्ड टूल्स की मदद से 1,200 से अधिक वेबसाइट्स और जॉन डीयर व कमिंस जैसी 100 से ज्यादा वैश्विक कंपनियों के सिस्टम्स में कमजोरियां तलाशने की कोशिश की है. इससे यह साबित होता है कि एआई जहां सुरक्षा शोधकर्ताओं के लिए समय बचाने वाला ढाल बन रहा है, वहीं हमलावरों के हाथ में यह एक तेज हथियार की तरह भी काम कर रहा है.
DPDP कानून और आम नागरिकों की सुरक्षा: क्या कहते हैं नियम?
भारत के डिजिटल व्यक्तिगत डेटा संरक्षण कानून (DPDP Act) के तहत किसी भी बैंक, कंपनी या सरकारी संस्था के लिए डेटा लीक होने पर प्रभावित नागरिकों और डेटा प्रोटेक्शन बोर्ड को तत्काल सूचना देना कानूनी रूप से अनिवार्य बनाया गया है. नियमों के उल्लंघन पर ₹200 करोड़ तक के भारी जुर्माने का प्रावधान है. हालांकि इस कानून के तहत विस्तृत नियमों को पूरी तरह लागू करने की समयसीमा 13 मई 2027 निर्धारित की गई है.
यही वजह है कि इंटरनेट फ्रीडम फाउंडेशन (IFF) जैसी डिजिटल अधिकार संस्थाओं ने यह मांग उठाई है कि कानूनी बाध्यता लागू होने का इंतजार किए बिना संस्थानों को प्रभावित ग्राहकों को तुरंत सच बताना चाहिए. ऐसी स्थिति में आम नागरिकों को पैनिक में आने के बजाय अपनी डिजिटल आदतों को सतर्क बनाना होगा
अगर कोई अनजान कॉलर फोन पर आपका पूरा नाम, पता और लोन की सही किस्त भी बता दे, तो भी उस पर तुरंत भरोसा न करें और सीधे कहें कि आप खुद अपनी बैंक शाखा जाकर बात करेंगे. इसके अलावा, रिवॉर्ड पॉइंट्स भुनाने या पैन कार्ड और केवाईसी अपडेट करने के नाम पर आने वाले एसएमएस लिंक पर कभी क्लिक न करें. याद रखें कि किसी भी व्यक्ति से ओटीपी, यूपीआई पिन या नेट बैंकिंग का पासवर्ड साझा न करें, क्योंकि यूपीआई पर पैसे प्राप्त करने के लिए कभी भी पिन डालने की आवश्यकता नहीं होती.
अपने बैंक खाते के मैसेज और ईमेल पर नियमित नजर रखें और किसी भी संदिग्ध लेनदेन की स्थिति में तुरंत कार्ड ब्लॉक कराएं. किसी भी प्रकार की साइबर ठगी की आशंका होने पर तुरंत राष्ट्रीय हेल्पलाइन नंबर 1930 पर कॉल करें या गृह मंत्रालय के पोर्टल cybercrime.gov.in पर अपनी शिकायत दर्ज कराएं. छह दिनों के भीतर चार बड़े साइबर सुरक्षा मामलों का सामने आना देश में किसी युद्ध स्तर के साइबर हमले या औपचारिक साइबर इमरजेंसी का संकेत नहीं देतालेकिन यह घटनाक्रम भारत के पूरे डिजिटल सिस्टम के लिए एक बेहद गंभीर अलार्म जरूर है.
बैंकिंग, स्वास्थ्य, पुलिस और पहचान जैसी बुनियादी सेवाएं जब डिजिटल नेटवर्क पर निर्भर हों, तो सिर्फ नए सर्वर लगाना काफी नहीं है बल्कि सिस्टम का लगातार सुरक्षा ऑडिट करना, बाहरी वेंडर्स पर कड़ी निगरानी रखना और डेटा लीक होने पर आम नागरिक के प्रति पूरी पारदर्शिता बरतना सबसे बड़ी जरूरत बन चुका है
यह भी पढ़ें: भारत में आया स्टारलिंक तो कैसे होगा सुरक्षा को खतरा? यूक्रेन से समझिए