क्या हुआ और यह क्यों मायने रखता है
दक्षिण कोरिया की सबसे बड़ी ऑनलाइन रिटेलर कंपनी कूपांग में बड़े पैमाने पर डेटा लीक से देश में हड़कंप मच गया है। इस घटना में करीब 3.37 करोड़ ग्राहक खातों से जुड़ी निजी जानकारी उजागर हुई। इसका दायरा असाधारण है और इससे देश की लगभग दो-तिहाई आबादी प्रभावित हुई है। राष्ट्रपति कार्यालय, नियामकों और कानून प्रवर्तन एजेंसियों ने व्यापक कार्रवाई शुरू कर दी है। तेजी से डिजिटल होती अर्थव्यवस्था में कंपनियां निजी डेटा की सुरक्षा कैसे करती हैं, इस पर नई बहस भी शुरू हो गई है।
विषय-सूची
- क्या हुआ और यह क्यों मायने रखता है
- डेटा लीक कैसे हुआ
- निष्क्रिय कुंजियां क्यों खतरनाक हैं
- सरकार की प्रतिक्रिया और कानूनी दांव
- कौन-सी जानकारी उजागर हुई और अपनी सुरक्षा कैसे करें
- कौन-सी जानकारी ली गई
- ग्राहकों के लिए व्यावहारिक कदम
- कूपांग और ऑनलाइन खरीदारी बाजार पर कारोबारी असर
- दक्षिण कोरिया में बड़े डेटा लीक बार-बार क्यों होते हैं
- कंपनियों पर कौन-से नियम लागू होते हैं और आगे क्या बदल सकता है
- एक नजर में
कूपांग का कहना है कि उसे 18 नवंबर को अनधिकृत पहुंच का पता चला और उसने अधिकारियों को इसकी सूचना दी। बाद की जांच से पता चला कि डेटा लीक संभवतः 24 जून को विदेश में स्थित सर्वरों के जरिए शुरू हुआ था और महीनों तक बिना किसी की नजर में आए जारी रहा। कंपनी ने माफी मांगी है और जांचकर्ताओं के साथ सहयोग कर रही है। कूपांग का कहना है कि भुगतान संबंधी जानकारी और पासवर्ड तक पहुंच नहीं बनाई गई, लेकिन नाम, ईमेल पते, फोन नंबर, डिलीवरी पते और कुछ ऑर्डर का इतिहास उजागर हुआ।
राष्ट्रपति ली जे म्युंग ने इस डेटा लीक को निजता सुरक्षा के लिए चेतावनी बताया है और अधिकारियों को सख्त दंड के प्रस्ताव तैयार करने का निर्देश दिया है। व्यक्तिगत सूचना संरक्षण अधिनियम के तहत पर्याप्त सुरक्षा उपाय लागू न करने वाली कंपनियों पर सालाना राजस्व के 3 प्रतिशत तक जुर्माना लगाया जा सकता है। कूपांग जैसी बड़ी कंपनी के लिए गणना में इस्तेमाल किए जाने वाले राजस्व के आधार पर यह सीमा करीब एक ट्रिलियन वॉन तक पहुंच सकती है या इससे अधिक हो सकती है। पुलिस, कोरिया इंटरनेट एवं सुरक्षा एजेंसी (KISA) और व्यक्तिगत सूचना संरक्षण आयोग (PIPC) ने जांच शुरू कर दी है। अधिकारियों ने लोगों को चेताया है कि वे लीक हुई संपर्क जानकारी का दुरुपयोग करने वाली फिशिंग और धोखाधड़ी की कोशिशों से सतर्क रहें।
डेटा लीक कैसे हुआ
अधिकारियों के मुताबिक, घुसपैठ जून के अंत में विदेश में स्थित ढांचे के जरिए शुरू हुई और नवंबर में इसका पता चलने तक जारी रही। जांचकर्ता नेटवर्क गतिविधियों का पता लगा रहे हैं और यह समीक्षा कर रहे हैं कि कूपांग के सिस्टम में आंतरिक पहुंच का प्रमाणीकरण कैसे किया जाता था। शुरुआती निष्कर्ष प्रमाणीकरण नियंत्रण में कमजोरियों की ओर इशारा करते हैं। मामले की जानकारी रखने वाले अधिकारियों के अनुसार, एक पूर्व कर्मचारी से जुड़ी प्रमाणीकरण कुंजी उसके कंपनी छोड़ने के बाद भी सक्रिय रही, जिससे ग्राहक जानकारी तक पहुंच का रास्ता खुल गया। पुलिस जांच कर रही है कि क्या एक पूर्व डेवलपर, जिसके बारे में बताया गया है कि वह चीनी नागरिक है और अब विदेश में है, ने उन पुराने लॉगिन क्रेडेंशियल या डिजिटल हस्ताक्षर कुंजियों का दुरुपयोग किया जिन्हें रद्द कर दिया जाना चाहिए था।
कूपांग का कहना है कि उसने तब से पहुंच का रास्ता बंद कर दिया है, निगरानी बढ़ाई है और स्वतंत्र सुरक्षा विशेषज्ञों को नियुक्त किया है। कंपनी ने KISA, PIPC और राष्ट्रीय पुलिस एजेंसी को भी सूचित किया है और प्रभावित उपयोगकर्ताओं को अलर्ट भेज रही है। इसी बीच, सरकारी मंत्रालयों ने घटनाक्रम की कड़ियां जोड़ने और यह पता लगाने के लिए संयुक्त दल बनाया है कि जरूरी सुरक्षा उपाय लागू थे या नहीं। जांच में निजी जानकारी की सुरक्षा से जुड़े नियमों के संभावित उल्लंघनों की समीक्षा भी शामिल है।
निष्क्रिय कुंजियां क्यों खतरनाक हैं
आधुनिक प्लेटफॉर्म उन कुंजियों और टोकन पर निर्भर करते हैं जो मशीनों और कर्मचारियों को खास काम करने के लिए सीमित अनुमतियां देते हैं। अगर किसी कर्मचारी की भूमिका बदलने या उसके कंपनी छोड़ने के बाद भी कुंजी वैध बनी रहती है, तो वह अनधिकृत पहुंच का तैयार रास्ता बन सकती है। सुरक्षा के मानकों के अनुसार, पहुंच न्यूनतम जरूरी अनुमति तक सीमित होनी चाहिए, भूमिका बदलने पर कुंजी तुरंत रद्द की जानी चाहिए और कुंजियों को नियमित रूप से बदलना चाहिए, ताकि उनका लंबे समय तक इस्तेमाल न हो सके। लंबे समय तक वैध रहने वाली कुंजियां जोखिम भरी हैं, क्योंकि उन्हें रद्द करने या उनकी निगरानी में एक चूक से बड़ी मात्रा में डेटा उजागर हो सकता है। इस मामले में जांचकर्ता देख रहे हैं कि क्या पुराने क्रेडेंशियल का इस्तेमाल कई महीनों तक सिस्टम में चुपचाप आगे बढ़ने के लिए किया गया।
सरकार की प्रतिक्रिया और कानूनी दांव
डेटा लीक तेजी से एक कंपनी की घटना से बढ़कर राष्ट्रीय चिंता बन गया है। राष्ट्रपति कार्यालय ने वरिष्ठ अधिकारियों की बैठक बुलाई और दंड बढ़ाने तथा उपभोक्ता संरक्षण मजबूत करने के प्रस्ताव देने का आदेश दिया। विज्ञान एवं सूचना और संचार प्रौद्योगिकी मंत्रालय, PIPC और पुलिस तकनीकी फॉरेंसिक जांच के साथ-साथ डेटा सुरक्षा कानूनों के अनुपालन की संयुक्त जांच कर रहे हैं। KISA ने सार्वजनिक चेतावनी जारी कर नागरिकों को आगाह किया है कि वे लीक हुई संपर्क जानकारी और डिलीवरी विवरण का फायदा उठाने वाली धोखाधड़ी से सतर्क रहें।
कैबिनेट की बैठक में राष्ट्रपति ली ने घुसपैठ शुरू होने और उसका पता चलने के बीच लंबे अंतराल की आलोचना की। उन्होंने जवाबदेही जल्दी तय करने और बड़ी कंपनियां उपयोगकर्ता डेटा की सुरक्षा को किस तरह प्राथमिकता देती हैं, उसमें बदलाव का आह्वान किया।
राष्ट्रपति ली ने कहा कि महीनों तक डेटा लीक का पता न चलना अस्वीकार्य है और डेटा सुरक्षा के मानदंड बदलने चाहिए। उन्होंने कड़े दंड और तेज जवाबदेही की मांग की। इसके बाद उन्होंने निजता को लेकर कॉर्पोरेट संस्कृति पर व्यापक चेतावनी दी।
यह हैरान करने वाली बात है कि घटना शुरू होने के बाद पूरे पांच महीने तक कूपांग को खुद डेटा लीक का पता तक नहीं चला। कृत्रिम बुद्धिमत्ता और डिजिटलाइजेशन के दौर में निजी डेटा एक अहम संपत्ति है। उसकी सुरक्षा के लिए जरूरी देखभाल न करने की गलत कार्यप्रणाली और सोच को पूरी तरह बदलना होगा।
कानूनी जोखिम काफी बड़ा हो सकता है। मौजूदा कानून के तहत, अगर नियामकों को लगता है कि पर्याप्त सुरक्षा उपाय लागू नहीं किए गए, तो अधिकतम प्रशासनिक जुर्माना राजस्व का 3 प्रतिशत हो सकता है। कूपांग की सालाना बिक्री अरबों डॉलर में है। इस आधार पर 3 प्रतिशत जुर्माना सैकड़ों अरब वॉन तक पहुंच सकता है और हाल की विनिमय दरों पर इसकी गणना करने पर एक ट्रिलियन वॉन से भी अधिक हो सकता है। नियामक दंडात्मक हर्जाने से जुड़े नियमों और बार-बार या बड़े पैमाने पर हुई चूकों के लिए जुर्माना और बढ़ाने की संभावना की भी समीक्षा कर रहे हैं।
घटना का दायरा स्पष्ट होने के साथ वित्तीय बाजारों में भी प्रतिक्रिया हुई। पुलिस द्वारा डेटा लीक के पैमाने की पुष्टि करने, आईपी पतों का पता लगाने और तकनीकी कमजोरियों की समीक्षा करने की बात कहने के बाद कूपांग के शेयर गिर गए। विश्लेषकों का मानना है कि बाजार में कंपनी की मजबूत स्थिति के चलते ग्राहक छोड़कर जाने वालों की संख्या सीमित रह सकती है। हालांकि, उन्होंने आगाह किया कि प्रभावित लोगों को मुआवजा और संभावित जुर्माने से एकमुश्त बड़ा खर्च हो सकता है।
कौन-सी जानकारी उजागर हुई और अपनी सुरक्षा कैसे करें
कूपांग का कहना है कि उजागर डेटा में बुनियादी संपर्क और डिलीवरी विवरण तथा कुछ ऑर्डर का इतिहास शामिल है। कंपनी के मुताबिक, क्रेडिट कार्ड नंबर, बैंक विवरण या पासवर्ड के साथ छेड़छाड़ का कोई सबूत नहीं है। इससे सीधे वित्तीय चोरी का तात्कालिक जोखिम कम होता है, लेकिन लीक हुए संपर्क और पते के विवरण उन धोखेबाजों के लिए मूल्यवान हैं जो किसी और का रूप धरने में माहिर होते हैं।
कौन-सी जानकारी ली गई
कंपनी की सूचनाओं और अधिकारियों की जानकारी के अनुसार, उजागर हुई जानकारी में शामिल हैं:
- पूरा नाम
- ईमेल पता
- मोबाइल और अन्य फोन नंबर
- डिलीवरी का पता
- ऑर्डर इतिहास के कुछ हिस्से
अपराधी इस जानकारी के मेल से ऐसे फिशिंग संदेश और फोन कॉल कर सकते हैं जो भरोसेमंद लगें। आपके नाम और सही पते वाला डिलीवरी का फर्जी संदेश लोगों को किसी दुर्भावनापूर्ण लिंक पर क्लिक करने या भुगतान संबंधी जानकारी साझा करने के लिए आसानी से बहका सकता है। KISA ने उपभोक्ताओं से कहा है कि वे कूपांग या कूरियर सेवाओं की ओर से आए लगने वाले फोन कॉल, टेक्स्ट संदेश और ईमेल के प्रति सतर्क रहें और अनचाहे संदेशों में दिए लिंक पर क्लिक न करें।
ग्राहकों के लिए व्यावहारिक कदम
- आपके ऑर्डर या डिलीवरी की समस्या का जिक्र करने वाले अनपेक्षित ईमेल, टेक्स्ट संदेश या फोन कॉल से सावधान रहें। लिंक पर क्लिक न करें। सीधे आधिकारिक ऐप या वेबसाइट पर जाएं और वहां सूचनाएं देखें।
- जहां उपलब्ध हो, अपने खातों पर दो-चरणीय सत्यापन चालू करें। मजबूत लॉगिन जांच से दूसरी जानकारी का दुरुपयोग होने पर नुकसान सीमित रहता है।
- हाल के ऑर्डर और खाते की गतिविधि में ऐसी किसी चीज की जांच करें जिसे आप नहीं पहचानते। कुछ संदिग्ध दिखे तो ग्राहक सहायता को इसकी सूचना दें।
- डिलीवरी की समस्या सुलझाने के लिए भुगतान मांगने वालों से सावधान रहें। प्रतिष्ठित प्लेटफॉर्म टेक्स्ट या फोन के जरिए कार्ड की जानकारी नहीं मांगते।
- पासवर्ड मैनेजर और हर सेवा के लिए अलग पासवर्ड इस्तेमाल करने पर विचार करें। इससे अलग-अलग साइटों पर एक ही पासवर्ड दोबारा इस्तेमाल करने का जोखिम घटता है।
- अगर आपको लगता है कि आपकी पहचान का दुरुपयोग हो रहा है, तो अधिकारियों के पास शिकायत दर्ज करें और जरूरी रिपोर्ट के लिए कंपनी से दस्तावेज मांगें।
कूपांग ने कहा है कि वह प्रभावित उपयोगकर्ताओं को सूचना दे रही है और घुसपैठ का रास्ता बंद कर दिया है। कंपनी ने आंतरिक निगरानी भी मजबूत की है और जवाबी कार्रवाई तथा सुधार में मदद के लिए स्वतंत्र विशेषज्ञों को नियुक्त किया है।
कूपांग और ऑनलाइन खरीदारी बाजार पर कारोबारी असर
कूपांग दक्षिण कोरिया के खुदरा बाजार की बड़ी कंपनी है और हाल की तिमाहियों में उसके करीब 2.5 करोड़ सक्रिय उपयोगकर्ता रहे हैं। कंपनी ने किराने के सामान की त्वरित डिलीवरी, लॉजिस्टिक्स और स्ट्रीमिंग सेवाओं तक विस्तार किया है। वह जापान और ताइवान में भी सेवाएं चलाती है। कंपनी का कहना है कि दक्षिण कोरिया के बाहर उसकी ताइवान इकाई या अन्य संबद्ध सेवाओं के डेटा पर असर पड़ने का कोई सबूत नहीं है। फिर भी, देश के भीतर इसका असर गंभीर है, क्योंकि डेटा लीक से इतने सारे परिवार प्रभावित हुए हैं।
डेटा लीक का पैमाना सार्वजनिक होने और पुलिस की औपचारिक जांच शुरू होने पर निवेशकों ने शुरुआत में कंपनी के शेयरों का मूल्य घटाया। अगर ज्यादातर ग्राहक कंपनी के साथ बने रहते हैं, तो राजस्व पर तत्काल असर सीमित हो सकता है। लेकिन घटना से निपटने की लागत, संभावित मुआवजा और कोई भी जुर्माना बड़ा हो सकता है। अगर नियामक अधिकतम दर लागू करते हैं, तो गणना में इस्तेमाल राजस्व के आधार पर अकेला जुर्माना करीब एक ट्रिलियन वॉन तक पहुंच सकता है।
यह घटना दक्षिण कोरिया में बड़े पैमाने पर हुए साइबर हमलों के एक साल के दौरान सामने आई है। एक अलग मामले में, लाखों ग्राहकों को प्रभावित करने वाले डेटा लीक के बाद एसके टेलीकॉम पर बड़ा जुर्माना लगाया गया था। लोटे कार्ड से जुड़े एक अन्य मामले ने दिखाया कि अपराधी उन कंपनियों को निशाना बनाते हैं जिनके पास पहचान और खरीदारी से जुड़ा विस्तृत डेटा होता है। कूपांग डेटा लीक से पहले हुए इन मामलों ने नियामक कार्रवाई के लिए सख्त माहौल तैयार किया है।
दक्षिण कोरिया में बड़े डेटा लीक बार-बार क्यों होते हैं
इसके पीछे एक ऐसा सिलसिला है जिसमें विशाल डेटा भंडार, जटिल आंतरिक सिस्टम और प्रतिस्पर्धी ऑनलाइन बाजारों में तेजी से काम करने का दबाव शामिल है। जब कोई कंपनी कई आंतरिक और बाहरी डेवलपर पर निर्भर करती है और आपस में संवाद करने वाली अनेक सेवाओं का इस्तेमाल करती है, तो निगरानी कमजोर पड़ सकती है। कुंजियां और टोकन जमा हो सकते हैं और तय समय पर निष्क्रिय नहीं हो पाते। पहुंच हमेशा न्यूनतम जरूरत तक सीमित नहीं रहती। ऐसे माहौल में रद्द न की गई एक कुंजी या गलत तरीके से कॉन्फिगर किया गया सर्वर हमलावर को साफ रास्ता दे सकता है।
अधिकारियों का कहना है कि 2021 से लगातार हुए बड़े डेटा लीक निजी जानकारी की सुरक्षा में व्यवस्थागत कमजोरियों की ओर इशारा करते हैं। हाल ही में PIPC ने एक दूरसंचार कंपनी पर रिकॉर्ड जुर्माना लगाया था, क्योंकि कई वर्षों तक डेटा लीक का पता नहीं चला। कूपांग मामले में जांचकर्ता यह आकलन कर रहे हैं कि सुरक्षा और आईटी पर भारी खर्च के बावजूद कंपनी का आंतरिक प्रशासन और पहुंच नियंत्रण कमजोर तो नहीं था। उद्योग जगत के कुछ लोगों का तर्क है कि केवल खर्च करने से मजबूत सुरक्षा सुनिश्चित नहीं होती, अगर कुंजियों को नियमित रूप से बदलने, ऑडिट में अनुशासन और क्रेडेंशियल के पूरे जीवनचक्र के प्रबंधन को रोजमर्रा में लागू न किया जाए।
सरकार ने दंडात्मक हर्जाने और जुर्मानों की समीक्षा का आदेश दिया है। इससे संकेत मिलता है कि बदलाव का दबाव किसी एक कंपनी तक सीमित नहीं रहेगा। अन्य प्लेटफॉर्म ने भी आंतरिक सुरक्षा जांच और ऑडिट शुरू कर दिए हैं। अब चर्चा का दायरा सीमा-पार इंजीनियरिंग टीमों, डेटा को देश के भीतर रखने और विदेश में विकास केंद्रों वाली कंपनियों के लिए घरेलू उपयोगकर्ताओं के डेटा के प्रबंधन पर सख्त नियंत्रण की जरूरत तक पहुंच गया है।
कंपनियों पर कौन-से नियम लागू होते हैं और आगे क्या बदल सकता है
व्यक्तिगत सूचना संरक्षण अधिनियम के तहत कंपनियों को उचित तकनीकी और प्रशासनिक उपायों के जरिए निजी डेटा सुरक्षित रखना होता है। डेटा लीक होने पर सुधार के आदेश, प्रशासनिक जुर्माना और हर्जाने के दावे हो सकते हैं। जुर्माने की अधिकतम सीमा राजस्व का 3 प्रतिशत है। नए प्रस्तावों के तहत गंभीर नुकसान या बार-बार लापरवाही के मामलों में देनदारी बढ़ाई जा सकती है। अधिकारी यह भी विचार कर रहे हैं कि रिपोर्ट देने की समय-सीमा सख्त की जाए, पहुंच नियंत्रण की अनिवार्य जांच बढ़ाई जाए और कर्मचारियों के कंपनी छोड़ने या भूमिका बदलने पर पहुंच रद्द करने तथा कुंजी प्रबंधन के ठोस सबूत देने की जरूरत हो।
बड़े प्लेटफॉर्म के लिए सबक सीधे हैं, भले ही उन्हें लागू करना मुश्किल हो। कुंजियों और टोकन की अवधि कम होनी चाहिए। पहुंच न्यूनतम जरूरी अनुमति तक सीमित होनी चाहिए। भूमिका बदलने पर पहुंच अपने आप और तुरंत रद्द होनी चाहिए। अलर्ट और पहचान प्रणालियों को उपयोगकर्ता डेटाबेस पर असामान्य खोजों का संकेत देना चाहिए। समय-समय पर आंतरिक रेड टीम परीक्षण और स्वतंत्र समीक्षा से कमजोरियों का पता लगाने में मदद मिल सकती है। नियामक संभवतः किसी भी सुधार योजना में इन बुनियादी उपायों पर स्पष्ट प्रगति की अपेक्षा करेंगे।
मौजूदा निष्कर्षों के आधार पर, उपयोगकर्ताओं के लिए तत्काल जोखिम भुगतान जानकारी की सीधी चोरी के बजाय निशाना बनाकर की जाने वाली धोखाधड़ी है। फिर भी इससे वास्तविक नुकसान हो सकता है, खासकर उन लोगों को जो रोजमर्रा में डिलीवरी संदेशों और मोबाइल सूचनाओं पर निर्भर रहते हैं। सही नाम, पता और हाल के ऑर्डर का विवरण मिलकर एक भरोसेमंद झांसा बना सकते हैं। उपभोक्ताओं को जागरूक करने और ऐप के भीतर पुष्टि के आसान विकल्प देने से ऐसे हमलों का असर कम हो सकता है, बशर्ते उपयोगकर्ता जानते हों कि किन बातों पर ध्यान देना है।
एक नजर में
- कूपांग के करीब 3.37 करोड़ ग्राहक खाते उजागर हुए। यह एक दशक से अधिक समय में दक्षिण कोरिया का सबसे बड़ा डेटा लीक है।
- लीक हुए डेटा में नाम, ईमेल पते, फोन नंबर, डिलीवरी पते और कुछ ऑर्डर का इतिहास शामिल है। कंपनी के अनुसार, भुगतान संबंधी जानकारी और पासवर्ड इसमें शामिल नहीं थे।
- माना जा रहा है कि अनधिकृत पहुंच 24 जून को शुरू हुई और 18 नवंबर को इसका पता चला।
- अधिकारी प्रमाणीकरण की कमजोरियों और इस बात की जांच कर रहे हैं कि क्या किसी पूर्व कर्मचारी ने पुरानी पहुंच कुंजियों का इस्तेमाल किया।
- राष्ट्रपति ली जे म्युंग ने कड़े दंड और तेज जवाबदेही का आदेश दिया। उन्होंने महीनों तक डेटा लीक का पता न चलने को हैरान करने वाला बताया।
- मौजूदा कानून के तहत नियामक राजस्व का 3 प्रतिशत तक जुर्माना लगा सकते हैं। यह सैकड़ों अरब वॉन या इससे अधिक हो सकता है।
- KISA ने लीक हुए संपर्क डेटा का फायदा उठाने वाली फिशिंग और धोखाधड़ी की कोशिशों को लेकर सार्वजनिक चेतावनी जारी की।
- पुलिस, KISA और PIPC ने संयुक्त जांच शुरू की है। कूपांग का कहना है कि उसने पहुंच का रास्ता बंद कर दिया है और बाहरी विशेषज्ञों को नियुक्त किया है।
- कानूनी फर्म सामूहिक मुकदमों की तैयारी कर रही हैं। विश्लेषकों को मुआवजे और संभावित जुर्मानों से एकमुश्त बड़ा खर्च होने की आशंका है।
- यह मामला दक्षिण कोरिया में बड़े डेटा लीक वाले साल में एक और घटना है और इससे डेटा सुरक्षा तथा आंतरिक पहुंच नियंत्रण से जुड़े नियमों में बदलाव तेज हो सकते हैं।
