सरकार को हमारे फोन में उसका साइबर सुरक्षा ऐप चाहिए, पर क्या सरकार के पास हमारा डेटा सुरक्षित है?

मोदी सरकार ने नए मोबाइल फोन में संचार साथी ऐप अनिवार्य किया है, जिसे यूज़र्स हटा नहीं सकते. विशेषज्ञों और नागरिकों ने इसे निजता पर ख़तरा बताया है. साइबर सुरक्षा की बात ऐसे समय में हो रही है जब पिछले कुछ सालों में CoWIN, आईसीएमआर और अन्य सरकारी वेबसाइट या प्लेटफॉर्म से भारतीयों का डेटा चोरी हुआ है.

नई दिल्ली: नरेंद्र मोदी सरकार द्वारा मोबाइल फोन बनाने वाली और आयात करने वाली कंपनियों के लिए यह अनिवार्य करने की खबर कि वे सभी नए फोन में सरकार का साइबर सुरक्षा ऐप ‘संचार साथी’ पहले से इंस्टॉल करें और सबसे अहम, यह सुनिश्चित करें कि उपयोगकर्ता (यूज़र) इसे डिलीट न कर सकें, स्वाभाविक रूप से भारतीय नागरिकों की निजता को लेकर गंभीर चिंताएं पैदा कर रही है.

कई लोगों ने कहा कि यह ‘ऑरवेलियन सर्विलांस’ जैसा कदम है, क्योंकि सरकार इसके जरिए आपकी हर गतिविधि पर नज़र रख सकती है.

कुछ पुराने सरकार समर्थकों ने संचार साथी ऐप को अनिवार्य करने के फैसले का बचाव किया है. उनका कहना है कि जो भारतीय कानून का पालन करते हैं, उन्हें अपनी ही सरकार से कुछ छुपाने की ज़रूरत नहीं होनी चाहिए. लेकिन सुप्रीम कोर्ट के पुट्टास्वामी फैसले ने जब निजता को मौलिक अधिकार माना है, तो सवाल उठता है कि जिन मामलों में सरकार हमारे डेटा को लेती है, क्या वह उसे सम्मान के साथ सुरक्षित और संरक्षित रख पाई है?

औसत भारतीय का भरोसा इस मामले में इतना कम हो चुका है कि अब डेटा लीक होना लोगों के लिए चिंता का विषय भी नहीं रह गया है. लोकलसर्कल्स के एक सर्वे में 375 जिलों के 36,000 नागरिकों में से 87% ने कहा कि उनके व्यक्तिगत डेटा का कोई न कोई हिस्सा पहले से ही पब्लिक डोमेन में है या किसी न किसी असुरक्षित डेटाबेस में मौजूद है.

एक रिपोर्ट में पाया गया कि 2025 की पहली तिमाही में भारत रैनसमवेयर हमलों का निशाना बनने वाले शीर्ष पांच देशों में शामिल था, जहां साल-दर-साल हमलों में 126% की बढ़ोतरी दर्ज की गई. एक दूसरी रिपोर्ट में कहा गया कि 2024 में साइबर अपराध के मामलों में भारत दुनिया में दूसरा सबसे ज़्यादा निशाना बना देश रहा, अमेरिका पहले स्थान पर रहा. केंद्र सरकार ने खुद स्वीकार किया है कि भारत में साइबर सुरक्षा से जुड़ी घटनाएं 2022 के 10.29 लाख मामलों से बढ़कर 2024 में 22.68 लाख हो गईं.

सरकार से उम्मीदें वैसे भी कम हैं, लेकिन यहां कुछ महत्वपूर्ण उदाहरण दिए जा रहे हैं जहां भारतीयों का सरकार के पास रखा गया डेटा ब्रीच या लीक पाया गया.

2018: ‘500 रुपये में आधार विवरण’

2018 में द ट्रिब्यून ने एक रिपोर्ट में बताया कि उसकी एक पत्रकार ने वॉट्सऐप के ज़रिए एक एजेंट को पैसे देकर ऐसा गेटवे एक्सेस खरीदा, जिसके ज़रिए एक अरब से अधिक आधार नंबरों से जुड़े व्यक्तिगत विवरणों तक बिना किसी रोक-टोक पहुंच संभव थी. यह जानकारी मात्र 500 रुपये में बेची जा रही थी.

द ट्रिब्यून की पत्रकार आधार डेटाबेस तक पहुंच देने वाली लॉगिन जानकारी खरीदने में सफल रही, जिसके बाद वह अधिकांश भारतीयों के नाम, फोन नंबर और घर के पते जैसी जानकारी निकाल सकती थी. सिर्फ 300 रुपये अतिरिक्त देने पर ऐसा ‘सॉफ़्टवेयर’ भी मिल जाता था, जिसकी मदद से किसी भी आधार नंबर वाले व्यक्ति का आधार कार्ड प्रिंट किया जा सकता था.
रिपोर्ट प्रकाशित होने के दो दिन बाद, 5 जनवरी 2018 को, यूआईडीएआई के लॉजिस्टिक्स और शिकायत निवारण विभाग के कर्मचारी बीएम पटनायक ने पत्रकार रचना खैरा और रिपोर्ट में उल्लेखित दो अन्य व्यक्तियों- अनिल कुमार और सुनील कुमार के खिलाफ शिकायत दर्ज कराई. शिकायत में आरोप लगाया गया कि पत्रकार ने दोनों ‘एजेंटों’ से सेवा खरीदकर यूआईडीएआई के पास मौजूद एक अरब से अधिक लोगों के डेटा तक बिना किसी रोक-टोक पहुंच हासिल की.

दिल्ली क्राइम ब्रांच, जो इस मामले की जांच कर रही थी, ने 2021 में दिल्ली की एक अदालत में क्लोज़र रिपोर्ट दाखिल की और कहा कि मामले में आगे जांच करने के लिए पर्याप्त सबूत नहीं हैं.

2023: CoWIN डेटा लीक

2023 का CoWIN डेटा लीक भारत में हुए सबसे बड़े डेटा लीक में से एक था. ख़बरों के अनुसार, कोविड-19 का टीका लगवाने वाले भारतीयों का डेटा CoWIN ऐप और पोर्टल से लीक होकर टेलीग्राम पर उपलब्ध हो गया था.

कोविड-19 वैक्सीनेशन का रिकॉर्ड रखने और आसपास के संक्रमण के मामलों का पता लगाने में मदद के लिए मोदी सरकार ने CoWIN ऑनलाइन प्लेटफ़ॉर्म का व्यापक उपयोग किया था.

टेलीग्राम बॉट पर उपलब्ध कराई गई जानकारी में नाम, लिंग, जन्म तिथि, आधार नंबर, पैन नंबर, पासपोर्ट नंबर, वोटर आईडी नंबर और जिस वैक्सीनेशन सेंटर पर व्यक्ति ने टीका लगवाया था, उसकी जानकारी शामिल थी.

सरकार ने इन सभी रिपोर्टों को ‘निराधार और भ्रामक’ बताया. सरकार ने कहा कि स्वास्थ्य मंत्रालय का पोर्टल ‘पूरी तरह सुरक्षित है और डेटा गोपनीयता के लिए सभी आवश्यक सुरक्षा उपाय मौजूद हैं.’

सरकार ने कहा कि भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) की शुरुआती रिपोर्ट में बताया गया कि टेलीग्राम बॉट का बैकएंड डेटाबेस ‘सीधे CoWIN डेटाबेस की APIs तक एक्सेस नहीं कर रहा था.’

उसी साल बाद में, सांसद डीन कुरियाकोस के प्रश्न के जवाब में, केंद्रीय स्वास्थ्य राज्य मंत्री एसपी सिंह बघेल ने कहा कि CERT-In ने बताया है कि ‘CoWIN लाभार्थी डेटाबेस से कोई बड़ी मात्रा में डेटा डाउनलोड नहीं किया गया.’ बघेल ने वही सुरक्षा उपाय दोहराए जो सरकार ने छह महीने पहले अपने बयान में बताए थे.

इस जवाब में यह साफ़ नहीं किया गया कि क्या सचमुच कुछ या कोई डेटा लीक हुआ था, भले ही बड़े पैमाने पर डेटा डाउनलोड न किया गया हो.

एक डिजिटल थ्रेट एनालिसिस कंपनी के सीईओ ने स्क्रॉल.इन को बताया, ‘किसी विकसित देश की सरकार इतनी बड़े पैमाने के डेटा लीक के बाद टिक ही नहीं पाती. भारत में लोग अब भी इसे हल्के में ही ले रहे हैं.’

2023: आईसीएमआर डेटा लीक

2023 में, इंडियन काउंसिल ऑफ मेडिकल रिसर्च (आईसीएमआर) की वेबसाइट से 81 करोड़ से ज्यादा लोगों का व्यक्तिगत डेटा लीक हो गया और डार्क वेब पर 80,000 डॉलर में बिक्री के लिए डाल दिया गया. ये विवरण कोविड-19 टेस्ट के दौरान जुटाए गए डेटा से थे, जिन्हें नेशनल इंफॉर्मेटिक्स सेंटर (एनआईसी), आईसीएमआर और केंद्रीय स्वास्थ्य मंत्रालय के पास भेजा जाता है.
इकोनॉमिक टाइम्स ने रिपोर्ट किया था कि इस डेटा लीक का पता अमेरिका की साइबर सुरक्षा और इंटेलिजेंस फर्म रीसिक्योरिटी (Resecurity) ने लगाया. उनके अनुसार, ‘9 अक्टूबर को ‘pwn0001’ नाम के एक हैकर ने Breach Forums पर 81.5 करोड़ ‘भारतीय नागरिक आधार और पासपोर्ट’ रिकॉर्ड बेचने की पोस्ट डाली.’

इससे भी चिंताजनक यह था जो न्यूज़18 ने अपनी रिपोर्ट में बताया था कि उस साल फरवरी से ही आईसीएमआर पर कई साइबर हमले किए जा रहे थे और ‘केंद्र की एजेंसियां और आईसीएमआर दोनों ही इससे वाकिफ़ थे.’

रिपोर्ट में कहा गया, ‘पिछले साल आईसीएमआर के सर्वर को हैक करने की 6,000 से अधिक कोशिशें की गईं.’

इससे सवाल उठता है कि समय रहते पर्याप्त कदम क्यों नहीं उठाए गए. उस समय द वायर में श्रीनिवास कोडाली ने लिखा था:

वास्तविक सुरक्षा के लिए भारतीयों को निजता दी जानी चाहिए. इसके बजाय हमें केवल डेटा संरक्षण के नाम पर सुरक्षा दी जा रही है. लेकिन डेटा सुरक्षा का यह वादा भी खोखला है, क्योंकि साइबर सुरक्षा संचालन पर संसाधन खर्च ही नहीं किए जा रहे.

2024: वेबसाइटों पर संवेदनशील व्यक्तिगत जानकारी का खुलासा

पिछले साल सितंबर में इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय ने अपनी प्रेस विज्ञप्ति में कहा कि उसे पता चला है कि ‘कुछ वेबसाइटें भारतीय नागरिकों की संवेदनशील व्यक्तिगत पहचान योग्य जानकारी (PII), जिनमें आधार और पैन कार्ड विवरण शामिल हैं, को उजागर कर रही थीं.’

मंत्रालय ने यह नहीं बताया कि कितनी जानकारी उजागर हुई, कितने लोग प्रभावित हुए, और इसका दायरा कितना बड़ा था.

सरकार ने दावा किया कि उसने इस मामले को ‘गंभीरता से’ लिया है और साइबर सुरक्षा तथा व्यक्तिगत डेटा संरक्षण को ‘सबसे बड़ी प्राथमिकता’ देती है. प्रेस विज्ञप्ति में कहा गया कि ऐसी वेबसाइटों को ब्लॉक कर दिया गया है.

सरकार ने बताया कि CERT-In ने इन वेबसाइटों में ‘कुछ सुरक्षा खामियां’ पाई हैं, और उन्हें अपने सिस्टम को मजबूत करने और कमजोरियों को ठीक करने के लिए ‘दिशानिर्देश’ दिए गए हैं. हालांकि यह नहीं बताया कि कौन-सी वेबसाइटें थीं.

विज्ञप्ति में यह भी कहा गया कि CERT-In ने सभी आईटी एप्लिकेशन इस्तेमाल करने वाली संस्थाओं के लिए ‘सिक्योर एप्लिकेशन डिज़ाइन, डेवलपमेंट, इम्प्लीमेंटेशन और ऑपरेशंस’ संबंधी दिशानिर्देश जारी किए हैं. इसके अलावा सूचना प्रौद्योगिकी अधिनियम, 2000 के तहत सूचना सुरक्षा, रोकथाम, प्रतिक्रिया और साइबर घटनाओं की रिपोर्टिंग से जुड़े निर्देश भी जारी किए गए हैं.

सरकार ने प्रभावित व्यक्तियों को सलाह दी कि वे राज्य के आईटी सचिवों से संपर्क कर आईटी अधिनियम के तहत शिकायत दर्ज करें और मुआवज़ा मांगें.

हालांकि, गौर करने वाली बात यह है कि सरकार ने यह नहीं बताया कि यह डेटा कितने समय तक सार्वजनिक रूप से उपलब्ध रहा और किन वेबसाइटों पर था, जिससे उन लोगों को कोई जानकारी या मदद नहीं मिलती, जिन्हें पता भी नहीं था कि उनका डेटा उजागर हो रहा है.