नया लाइसेंस लीक हुई जानकारी मिटा नहीं सकता
जापान की टाइम्स कार सेवा पर हुए साइबर हमले में करीब 16 लाख सदस्य रिकॉर्ड में पहचान दस्तावेज़ उजागर हो गए। इसके बाद लोगों ने ड्राइविंग लाइसेंस दोबारा जारी कराने के अनुरोध किए, हालांकि पुलिस ने चेताया है कि नए कार्ड जारी कराने से धोखाधड़ी के खिलाफ सीमित सुरक्षा ही मिलती है। कंपनी के खुलासों पर आधारित खबरों के अनुसार, इस बड़े डेटा उल्लंघन से मौजूदा और पूर्व सदस्यों के करीब 66 लाख खाते प्रभावित हुए।
विषय-सूची
- नया लाइसेंस लीक हुई जानकारी मिटा नहीं सकता
- कितनी बड़ी थी जानकारी का खुलासा?
- कार्रवाई से जुड़ी तारीखें
- लाइसेंस दोबारा जारी कराने के अनुरोध क्यों बढ़ रहे हैं
- लाइसेंस दोबारा जारी कराने से वास्तव में क्या बदलता है
- बैंकों से कार्ड चिप पढ़ने का आग्रह क्यों किया जा रहा है
- हमलों की व्यापक लहर, लेकिन किसी साझा जिम्मेदार का सबूत नहीं
- हमले के तरीकों के बारे में क्या पता है?
- प्रभावित लोगों को किन बातों पर नजर रखनी चाहिए
- मुख्य बातें
तत्काल समस्या यह है कि नया लाइसेंस किन चीज़ों को नहीं बदल सकता। जापानी ड्राइविंग लाइसेंस दोबारा जारी होने पर उसकी तस्वीर और 12 अंकों की संख्या का केवल आखिरी अंक बदलता है, जो यह दर्ज करता है कि लाइसेंस कितनी बार दोबारा जारी किया गया है। अपराधियों द्वारा पहले ही कॉपी किए जा चुके नाम, पते और जन्मतिथियां उजागर ही रहती हैं। चोरी की गई तस्वीर की जांच करने वाले कारोबारों के पास यह पता लगाने का कोई भरोसेमंद तरीका नहीं है कि लाइसेंस बाद में दोबारा जारी हुआ है या नहीं।
राष्ट्रीय पुलिस एजेंसी वित्तीय संस्थानों और अन्य कारोबारों से पहचान जांच मजबूत करने का आग्रह कर रही है। साथ ही, लोगों से कहा गया है कि उन्हें अपनी जानकारी के दुरुपयोग का संदेह हो तो तुरंत पुलिस से संपर्क करें। अलग से, वित्तीय सेवा एजेंसी ने 9 अक्टूबर को संस्थानों से कहा कि वे अपलोड किए गए पहचान दस्तावेज़ों की तस्वीरों के बजाय असली कार्ड के भीतर लगी इलेक्ट्रॉनिक चिप पढ़कर जांच करने की व्यवस्था जल्द अपनाएं।
यह बदलाव अपराध से अर्जित आय के हस्तांतरण की रोकथाम अधिनियम को लागू करने वाले संशोधित नियमों के तहत पहले से निर्धारित है। 1 अप्रैल, 2027 से, जिन नियमों पर यह लागू होगा, उनके तहत ग्राहक से व्यक्तिगत रूप से मिले बिना पहचान सत्यापित करने के लिए पहचान दस्तावेज़ों की तस्वीरें भेजना स्वीकार्य तरीका नहीं रहेगा। चिप पढ़ना मानक तरीका बन जाएगा, जबकि उपयुक्त दस्तावेज़ या स्मार्टफोन न रखने वाले लोगों के लिए दूसरे विकल्प उपलब्ध रहेंगे।
कितनी बड़ी थी जानकारी का खुलासा?
टाइम्स कार का संचालन पार्क24 कंपनी की एक सहयोगी कंपनी करती है। सेवा को 25 सितंबर को सेंधमारी का पता चला। खबरों में करीब 66 लाख प्रभावित खाते या लीक हुए रिकॉर्ड बताए गए हैं, जिनमें लगभग 16 लाख रिकॉर्ड में पहचान दस्तावेज़, जैसे ड्राइविंग लाइसेंस की तस्वीरें, शामिल थीं।
ये आंकड़े डेटा उल्लंघन के अलग-अलग हिस्सों को दर्शाते हैं, न कि एक ही कुल संख्या के परस्पर विरोधी अनुमान। खबरों में दी गई खातों की संख्या के आधार पर, प्रभावित रिकॉर्ड में करीब 24% में पहचान दस्तावेज़ मौजूद थे, यानी लगभग हर चार में से एक रिकॉर्ड में। इनमें से कोई भी आंकड़ा विशिष्ट व्यक्तियों की सटीक संख्या नहीं बताता और जांच के बाद कुल संख्या में बदलाव हो सकता है।
उजागर हुई जानकारी में नाम, घर के पते, जन्मतिथियां, टेलीफोन नंबर, ईमेल पते और लाइसेंस का विवरण शामिल हो सकता है। फुकुओका शहर के टाइम्स कार के एक उपयोगकर्ता को सूचना मिली, जिसमें बताया गया कि उनकी उजागर हुई जानकारी में पता, जन्मतिथि, टेलीफोन नंबर, ईमेल पता और लाइसेंस की तस्वीर शामिल थी।
पूर्व ग्राहक भी प्रभावित हुए। खबरों के मुताबिक, उनका डेटा करीब सात साल तक रखा गया था। इससे यह सवाल उठा है कि मूल उद्देश्य पूरा होने के बाद भी कंपनियां संवेदनशील दस्तावेज़ क्यों संग्रहीत करती रहती हैं। जापान के व्यक्तिगत सूचना संरक्षण आयोग ने कारोबारों से आग्रह किया है कि वे ऐसी व्यक्तिगत जानकारी मिटा दें जिसकी अब उन्हें जरूरत नहीं है।
कार्रवाई से जुड़ी तारीखें
पहचान जांच मजबूत करने की मांग टाइम्स कार पर हुए हमले से पहले किए गए नियामकीय बदलाव के बाद उठी है। इस डेटा उल्लंघन ने कानूनी रूप से लागू होने की तारीख से पहले ही उस बदलाव को अमल में लाने का दबाव बढ़ा दिया है।
- जून 2025: पहचान सत्यापन नियमों में संशोधन जारी किए गए। इनमें दस्तावेज़ों की अपलोड की गई तस्वीरों पर आधारित प्रभावित तरीकों को भविष्य में समाप्त करने की तारीख तय की गई।
- 25 सितंबर, 2026: टाइम्स कार को सेंधमारी का पता चला।
- 29 सितंबर: कानाज़ावा में प्रभावित एक ग्राहक को ईमेल मिला, जिसमें पुष्टि की गई कि उनकी व्यक्तिगत जानकारी लीक हुई थी।
- 8 अक्टूबर: राष्ट्रीय पुलिस एजेंसी के आयुक्त योशिनोबु कुसुनोकी ने एक समाचार सम्मेलन में साइबर सुरक्षा और धोखाधड़ी की रोकथाम पर बात की।
- 9 अक्टूबर: वित्तीय सेवा एजेंसी ने कार्ड चिप का इस्तेमाल कर पहचान जांच जल्द अपनाने का अनुरोध किया।
- 11 अक्टूबर: खबरों में पूरे जापान में लाइसेंस दोबारा जारी कराने से जुड़ी पूछताछ और आवेदनों में बढ़ोतरी बताई गई।
- 1 अप्रैल, 2027: संशोधित पहचान सत्यापन नियम लागू होने निर्धारित हैं।
9 अक्टूबर का अनुरोध जल्द अमल में लाने की अपील है, न कि मौजूदा सत्यापन तरीकों पर तत्काल नया प्रतिबंध। जिन संस्थानों में अब भी तस्वीरों का इस्तेमाल हो रहा है, उनसे कहा गया है कि वे दस्तावेज़ों और चेहरे की तस्वीरों की सावधानी से जांच करें और साथ ही बदलाव की तैयारी करें।
लाइसेंस दोबारा जारी कराने के अनुरोध क्यों बढ़ रहे हैं
डेटा उल्लंघन सार्वजनिक होने के बाद से पुलिस थानों और ड्राइविंग लाइसेंस केंद्रों को कई पूछताछ मिली हैं। लोगों ने अपने लाइसेंस दोबारा जारी कराने और दर्ज जानकारी बदलने के बारे में पूछा है। इससे उनकी यह चिंता जाहिर होती है कि उजागर पहचान दस्तावेज़ का इस्तेमाल उनकी नकल करने के लिए किया जा सकता है।
आमतौर पर लाइसेंस की वैधता अवधि के दौरान उसके खो जाने, चोरी होने, क्षतिग्रस्त होने या दर्ज विवरण में बदलाव जैसे कारणों से उसे दोबारा जारी किया जाता है। प्रीफेक्चर की सार्वजनिक सुरक्षा समितियां अन्य गंभीर कारणों से भी नए लाइसेंस को मंजूरी दे सकती हैं। टाइम्स कार डेटा लीक के बाद, खबरों के मुताबिक, लगभग सभी कार्यालय आवेदन स्वीकार कर रहे हैं और दुरुपयोग के जोखिम को लाइसेंस दोबारा जारी करने का आधार मान रहे हैं।
इशिकावा प्रीफेक्चर में ड्राइविंग लाइसेंस केंद्र को हर दिन कई पूछताछ मिल रही हैं। आवेदन कानाज़ावा स्थित प्रीफेक्चर के लाइसेंस केंद्र और वाजिमा तथा सुज़ु पुलिस थानों में स्वीकार किए जा रहे हैं। खबरों के मुताबिक, सामान्य लाइसेंस के लिए शुल्क 2,600 येन और माई नंबर लाइसेंस के लिए 1,500 येन है। माई नंबर लाइसेंस में ड्राइविंग लाइसेंस की जानकारी माई नंबर कार्ड के साथ जुड़ी होती है।
तीस के दशक के कानाज़ावा निवासी एक व्यक्ति, जो दो साल से टाइम्स कार का इस्तेमाल कर रहे थे, ने 29 सितंबर की सूचना मिलने के बाद लाइसेंस दोबारा जारी कराने पर विचार किया। स्थानीय खबर में बताए गए समय तक, उन्होंने कहा कि उन्हें इस बारे में कोई विस्तृत जानकारी नहीं मिली थी। कानाज़ावा की एक अन्य कंपनी, जिसका टाइम्स कार के साथ कॉरपोरेट अनुबंध है, ने सभी कर्मचारियों को ईमेल से चेतावनी दी, लेकिन सेवा का इस्तेमाल जारी रखा।
लाइसेंस दोबारा जारी कराने से वास्तव में क्या बदलता है
नया लाइसेंस किसी व्यक्ति की उजागर हुई पहचान को रीसेट नहीं करता। उसकी तस्वीर और आखिरी अंक बदलने के बावजूद, कॉपी किए गए दस्तावेज़ में बाकी विवरणों के आधार पर किसी की नकल करने की कोशिश की जा सकती है। नया लाइसेंस जारी होने से कंपनी के सिस्टम से पहले ही निकाली गई तस्वीरें वापस नहीं आतीं और न ही मिटती हैं।
यह फर्क इसलिए अहम है क्योंकि किसी तस्वीर का होना इस बात का सबूत नहीं कि उसे जमा करने वाले व्यक्ति के पास असली कार्ड भी है। अगर कोई कारोबार पर्याप्त अतिरिक्त जांच किए बिना तस्वीर स्वीकार कर ले, तो असली कार्डधारक को नया कार्ड जारी होने से पुरानी तस्वीर दिखाने वाले व्यक्ति को रोकने में शायद ही मदद मिले।
व्यक्तिगत सूचना संरक्षण आयोग ने चेताया है कि लीक हुई लाइसेंस तस्वीरों का दुरुपयोग क्रेडिट कार्ड हासिल करने, बैंक खाते खोलने या मोबाइल फोन अनुबंध कराने के लिए किया जा सकता है। ये दुरुपयोग के संभावित तरीके हैं, इस बात का सबूत नहीं कि उजागर हुए हर दस्तावेज़ का पहले ही धोखाधड़ी में इस्तेमाल हो चुका है।
खबरों में टाइम्स कार डेटा उल्लंघन से जुड़ी पूरी हो चुकी लाइसेंस पुनः जारी करने की कोई देशव्यापी कुल संख्या या पुष्टि की गई धोखाधड़ी का आंकड़ा नहीं दिया गया है। उपलब्ध जानकारी व्यापक चिंता और स्थानीय स्तर पर आवेदन की गतिविधि की पुष्टि करती है, लेकिन यह अभी नहीं बताती कि कितने लोगों को आर्थिक नुकसान हुआ है।
बैंकों से कार्ड चिप पढ़ने का आग्रह क्यों किया जा रहा है
चिप सत्यापन में आवेदक द्वारा अपलोड की गई तस्वीर पर ही निर्भर रहने के बजाय, ड्राइविंग लाइसेंस या माई नंबर कार्ड जैसे भौतिक पहचान दस्तावेज़ की इलेक्ट्रॉनिक जानकारी पढ़ी जाती है। इससे केवल चोरी की गई तस्वीर के आधार पर चिप पढ़ने की प्रक्रिया पूरी करना संभव नहीं होता।
वित्तीय सेवा मंत्री सात्सुकी कातायामा ने संस्थानों से ग्राहक की पहचान की पुष्टि करते समय मजबूत जांच अपनाने का आग्रह किया:
एकीकृत सर्किट चिप के डेटा को पढ़ने सहित पहचान सत्यापन प्रक्रियाओं को उचित रूप से लागू करें।
वित्तीय सेवा एजेंसी की 9 अक्टूबर की सूचना में संस्थानों से ठेकेदारों की निगरानी समेत साइबर सुरक्षा उपायों की समीक्षा करने को भी कहा गया। अनुरोध में किसी खास डेटा उल्लंघन का नाम नहीं लिया गया, हालांकि यह टाइम्स कार पर हुए हमले और पहचान दस्तावेज़ों से जुड़ी अन्य घटनाओं के खुलासे के बाद आया।
संशोधित नियमों में उन लोगों के लिए विकल्प बनाए रखे गए हैं जिनके पास चिप वाला पहचान दस्तावेज़ या नियर फील्ड कम्युनिकेशन (एनएफसी) का समर्थन करने वाला स्मार्टफोन नहीं है। एनएफसी की मदद से संगत फोन पास रखे कार्ड से संपर्क कर सकता है। अन्य विकल्पों में जालसाजी से बचाव के उपायों के साथ असली पहचान दस्तावेज़ डाक से भेजना शामिल है।
चिप पढ़ने से किसी की नकल करने का एक रास्ता बंद होता है। इससे लीक हुए पते, जन्मतिथियां या टेलीफोन नंबर अनुपयोगी नहीं हो जाते और न ही संस्थानों के लिए संदिग्ध आवेदनों की जांच की जरूरत खत्म होती है।
हमलों की व्यापक लहर, लेकिन किसी साझा जिम्मेदार का सबूत नहीं
टाइम्स कार डेटा उल्लंघन का खुलासा परिवहन, खुदरा और रेस्तरां सेवाओं को प्रभावित करने वाली घटनाओं के साथ हुआ। खबरों में याकिनिकु किंग रेस्तरां श्रृंखला के आरक्षण और रिवॉर्ड ऐप से कॉपी किए गए एक करोड़ से अधिक ग्राहक रिकॉर्ड और जेआर ईस्ट की एकी-नेट बुकिंग प्रणाली से उजागर हुए करीब 16.7 लाख ईमेल पते शामिल हैं।
खबरों में टोक्यो मेट्रो, लॉसन और निक्केई से जुड़ी घटनाओं का भी जिक्र है। फुकुओका में खुदरा विक्रेता मिस्टरमैक्स और निमोका ट्रांसपोर्ट कार्ड सेवा से जुड़ी जानकारी उजागर हुई, जबकि जेआर क्यूशू ने कहा कि वेब सदस्यों के ईमेल पते लीक हुए हो सकते हैं। इन घटनाओं में उजागर हुई जानकारी अलग-अलग है और इन्हें ऐसे डेटा उल्लंघन के बराबर नहीं मानना चाहिए जिसमें पहचान दस्तावेज़ों की तस्वीरें शामिल हों।
डिजिटल मंत्री मासाआकि ताइरा ने संकट बैठक बुलाई और स्थिति का वर्णन इन शब्दों में किया:
साइबरस्पेस में आपात स्थिति
साइबर सुरक्षा मंत्री तोशिहारु फुरुकावा ने भी स्थिति की गंभीरता पर बात की:
बेहद गंभीर
उद्योग मंत्रालय ने करीब 1,000 उद्योग समूहों से संचार उपकरणों और प्रणालियों की कमजोरियों की जांच करने को कहा है। व्यापक हमलों के लिए किसी समूह ने जिम्मेदारी नहीं ली है और जांचकर्ताओं ने किसी एक साझा जिम्मेदार की पहचान नहीं की है।
हमले के तरीकों के बारे में क्या पता है?
जापान की कंप्यूटर आपातकालीन प्रतिक्रिया टीम, जेपीसीईआरटी/सीसी, ने हाल के हमलों में देखी गई तकनीकों का विवरण दिया है। इनमें ऐसे सॉफ्टवेयर की खामियां तलाशना जिन्हें ठीक करने वाले अपडेट जारी नहीं किए गए हैं, मोबाइल ऐप के जरिए पता चले आंतरिक इंटरफेस का दुरुपयोग और मेटाबेस विश्लेषण टूल में एसक्यूएल इंजेक्शन की ज्ञात कमजोरी का फायदा उठाना शामिल है।
एसक्यूएल इंजेक्शन में डेटाबेस अनुरोध को इस तरह बदला जाता है कि कमजोर ऐप्लिकेशन ऐसे काम करे जिनकी अपेक्षा नहीं थी और इससे संग्रहीत जानकारी उजागर हो सकती है। बताई गई तकनीकें व्यापक हमलों की पृष्ठभूमि समझाती हैं, लेकिन इनसे यह पता नहीं चलता कि टाइम्स कार पर हमले के लिए कौन-सा तरीका इस्तेमाल किया गया था।
फुकुओका इंस्टीट्यूट ऑफ टेक्नोलॉजी के सूचना अवसंरचना केंद्र ने कथित तौर पर 30 मिनट की अवधि में हमले की करीब 9,000 कोशिशों को रोका। यह आंकड़ा दिखाता है कि किसी एक संस्थान को कितनी बड़ी मात्रा में दुर्भावनापूर्ण गतिविधि का सामना करना पड़ सकता है। यह सफल डेटा उल्लंघनों की संख्या या देशभर में चोरी हुए रिकॉर्ड का आंकड़ा नहीं है।
सुरक्षा विशेषज्ञों का कहना है कि कृत्रिम बुद्धिमत्ता से हमलों के लिए लक्ष्य तलाशने में लगने वाला प्रयास कम हो सकता है। सुरक्षा कंपनी ब्लैकपांडा के मासाकी हिराओका ने आगाह किया कि इन हमलों को स्पष्ट रूप से एआई से नहीं जोड़ा गया है। यह संभावना या नेटवर्क ट्रैफिक की दिखने वाली भौगोलिक उत्पत्ति, इनमें से कोई भी बात जिम्मेदार लोगों की पहचान स्थापित नहीं करती।
प्रभावित लोगों को किन बातों पर नजर रखनी चाहिए
राष्ट्रीय पुलिस एजेंसी को आशंका है कि जिन कारोबारों में डेटा उल्लंघन हुए हैं, उनके नाम पर धोखाधड़ी वाली कॉल और फर्जी ईमेल भेजे जा सकते हैं। उजागर हुए संपर्क विवरण ऐसे संदेशों को अधिक विश्वसनीय बना सकते हैं, खासकर तब जब कॉल करने वाले को किसी व्यक्ति का नाम, पता या सेवा की सदस्यता की जानकारी हो।
8 अक्टूबर को समाचार सम्मेलन में आयुक्त योशिनोबु कुसुनोकी ने कहा कि एजेंसी जांच और रोकथाम, दोनों पर काम करेगी। उन्होंने बुनियादी सावधानियां बरतने को कहा, जैसे धोखाधड़ी वाली कॉल रोकने वाले ऐप इस्तेमाल करना, पासवर्ड बदलना और संदिग्ध ईमेल से बचना।
अधिकारियों ने लोगों से आग्रह किया है कि धोखाधड़ी या जानकारी के दुरुपयोग का संदेह होने पर तुरंत पुलिस से संपर्क करें। अगर कोई अनजान अनुबंध या खाता सामने आता है, तो व्यक्तिगत सूचना संरक्षण आयोग संबंधित क्रेडिट कार्ड कंपनी या बैंक से सलाह लेने की भी सिफारिश करता है। डेटा उल्लंघन की सूचना यह बताती है कि जानकारी उजागर हुई है; किसी अनजान खाते, अनुबंध या लेनदेन के लिए अलग से कार्रवाई जरूरी है।
अगली तय समयसीमा 1 अप्रैल, 2027 है। पासकी, सेंधमारी का पता लगाने और गैरजरूरी डेटा मिटाने जैसे उपायों को शामिल करने वाले संशोधित निजता दिशानिर्देश भी अगले अप्रैल में आने की उम्मीद है। तब तक जिम्मेदारी साझा है: कारोबारों को पहचान सत्यापन और डेटा सुरक्षा मजबूत करनी होगी, जबकि प्रभावित लोगों को ऐसे दुरुपयोग के प्रति सतर्क रहना होगा जिन्हें लाइसेंस दोबारा जारी कराने से रोका नहीं जा सकता।
मुख्य बातें
- टाइम्स कार के करीब 66 लाख खाते प्रभावित हुए, जिनमें लगभग 16 लाख रिकॉर्ड में पहचान दस्तावेज़ शामिल थे।
- दोबारा जारी लाइसेंस में तस्वीर और आखिरी अंक बदलते हैं, लेकिन उजागर हुई व्यक्तिगत जानकारी का बड़ा हिस्सा नहीं बदलता।
- इशिकावा में लाइसेंस दोबारा जारी कराने के आवेदन स्वीकार किए जा रहे हैं। खबरों के मुताबिक, सामान्य लाइसेंस का शुल्क 2,600 येन और माई नंबर लाइसेंस का 1,500 येन है।
- वित्तीय संस्थानों से कहा गया है कि 1 अप्रैल, 2027 को नए नियम लागू होने से पहले वे कार्ड चिप के जरिए सत्यापन अपनाएं।
- अधिकारी किसी की नकल कर धोखाधड़ी करने, फर्जी अनुबंधों, धोखाधड़ी वाली कॉल और फर्जी ईमेल को लेकर चेतावनी दे रहे हैं। दुरुपयोग का संदेह होने पर तुरंत संपर्क करने का आग्रह किया गया है।
- खबरों में बताई गई हमलों की लहर को किसी एक जिम्मेदार से नहीं जोड़ा गया है और टाइम्स कार डेटा उल्लंघन से हुई धोखाधड़ी का देशव्यापी कुल आंकड़ा तय नहीं हुआ है।
