Data breaches in India
ڈیجیٹل سیکیورٹی فرم جیمالٹو کی ایک رپورٹ کے مطابق، 2018 میں ہندوستان میں ڈیٹا کی خلاف ورزی کے واقعات عالمی سطح پر دوسرے نمبر پر تھے۔ 69 کروڑ سے زیادہ انٹرنیٹ صارفین اور بڑھتے ہوئے ہندوستان میں نجی اور سرکاری دونوں شعبوں میں ڈیٹا کی خلاف ورزیوں میں تیزی سے اضافہ دیکھا گیا ہے۔ یہ ملک میں ڈیٹا کی سب سے بڑی خلاف ورزیوں کی فہرست ہے۔ 2016 ڈیبٹ کارڈ ڈیٹا کی خلاف ورزی اکتوبر 2016 میں، یہ اطلاع ملی تھی کہ ہٹاچی پیمنٹ سروسز سسٹم میں میلویئر انجکشن کی وجہ سے بڑے ہندوستانی بینکوں کے 32 لاکھ ڈیبٹ کارڈز سے سمجھوتہ کیا گیا تھا۔ ہٹاچی ہندوستان میں اے ٹی ایم اور پوائنٹ آف سیل خدمات فراہم کرتا ہے اور میلویئر ہیکرز کو صارف کے کھاتوں سے رقم نکالنے کے قابل بناتا ہے۔ این پی سی آئی (نیشنل پیمنٹس کارپوریشن آف انڈیا) نے دھوکہ دہی کے لین دین میں تقریبا 1 کروڑ 30 لاکھ روپے (2016 میں 1 لاکھ 95 ہزار امریکی ڈالر) کے نقصان کی اطلاع دی۔ سب سے زیادہ متاثر ہونے والے بینکوں میں اسٹیٹ بینک آف انڈیا (ایس بی آئی)، آئی سی آئی سی آئی، ایچ ڈی ایف سی، یس بینک اور ایکسس بینک شامل ہیں۔ خلاف ورزی کا پتہ 6 ہفتوں تک نہیں چلا اور بینکوں کو صرف اس وقت الرٹ کیا گیا جب کئی بین الاقوامی بینکوں نے چین اور امریکہ میں کارڈ کے دھوکہ دہی کے استعمال کی اطلاع دی جب گاہک ہندوستان میں تھے۔ ایس بی آئی نے 600,000 ڈیبٹ کارڈز کو بلاک اور دوبارہ جاری کیا اور اسے ہندوستانی بینکنگ میں سب سے بڑے کارڈ متبادل میں سے ایک بتایا گیا۔ آدھار ڈیٹا کی خلاف ورزی 2018 کے اوائل میں، ہندوستانی حکومت کا شناختی ڈیٹا بیس آدھار (ایس ایس این کی طرح) ہر رجسٹرڈ ہندوستانی شہری کے نام، بینک کی تفصیلات اور بائیو میٹرک ڈیٹا جیسی دیگر نجی معلومات کے بارے میں معلومات لیک کرنے کی اطلاع ملی تھی۔ منفرد شناختی اتھارٹی آف انڈیا (یو آئی ڈی اے آئی) کے زیر انتظام، آدھار ایک منفرد شناختی نمبر ہے جو ہندوستان کے 1.1 ارب سے زیادہ باشندوں یا پاسپورٹ ہولڈرز کو ان کے بائیو میٹرک اور ڈیموگرافک ڈیٹا کی بنیاد پر حاصل کیا جاتا ہے۔ ڈیٹا لیک کا انکشاف سب سے پہلے اس وقت ہوا جب وٹس ایپ پر گمنام فروخت کنندگان نے برائے نام اخراجات کے لیے آدھار ڈیٹا بیس تک غیر محدود رسائی فراہم کی۔ ایک ہندوستانی اخبار دی ٹریبیون نے اطلاع دی ہے کہ وزارت الیکٹرانکس اور انفارمیشن ٹیکنالوجی کے 100,000 سے زیادہ سابق ملازمین کو یو آئی ڈی اے آئی کے نظام اور اس وجہ سے آدھار ڈیٹا بیس تک مفت رسائی حاصل ہے۔ ایک اور ڈیٹا لیک اگلے مہینوں میں پایا گیا جس میں ایک سرکاری یوٹیلیٹی کمپنی انڈین (ایل پی جی) کے غیر محفوظ نظام نے کسی کو بھی تمام آدھار ہولڈرز کی نجی معلومات تک رسائی حاصل کرنے کی اجازت دی۔ کمپنی کے پاس صارف اکاؤنٹس کی تصدیق کے لیے آدھار ڈیٹا بیس تک لامحدود رسائی تھی اور کمپنی کے سسٹم کے ذریعے ایک غیر محفوظ اے پی آئی اینڈ پوائنٹ نے ممکنہ طور پر تمام آدھار ہولڈرز کے لیے ڈیٹا بیس میں غیر مجاز سوالات کی اجازت دی۔ نہ صرف بالواسطہ طور پر، ریاستی حکومت کی ویب سائٹس کے ذریعے 130 ملین سے زیادہ شہریوں کی آدھار کی معلومات کی خلاف ورزی کی گئی کیونکہ 200 سے زیادہ سرکاری ویب سائٹس نے غلطی سے ڈیٹا بیس کو عام کر دیا۔ یو آئی ڈی اے آئی نے آدھار ڈیٹا بیس میں کسی بھی ڈیٹا کی خلاف ورزی کی تردید کی ہے حالانکہ بہت سے غیر محفوظ اختتامی نکات اور غیر مجاز ڈیٹا تک رسائی والی سرکاری ویب سائٹس کو رپورٹوں کے بعد آف لائن کر دیا گیا تھا۔ یو آئی ڈی اے آئی نے ٹریبیون کے خلاف ہندوستانی تعزیرات ہند (آئی پی سی) کی دفعہ 419، 420، 468 اور 471 کے تحت غلط رپورٹنگ کا الزام لگاتے ہوئے مقدمہ بھی درج کیا۔ ڈبلیو ای ایف گلوبل رسک رپورٹ نے آدھار کی خلاف ورزی کو دنیا کی سب سے بڑی ڈیٹا کی خلاف ورزی قرار دیا۔ ایس بی آئی ڈیٹا کی خلاف ورزی جنوری 2019 میں، ایس بی آئی نے اپنے ممبئی ڈیٹا سینٹر میں ایک غیر محفوظ سرور سے موبائل نمبر، جزوی اکاؤنٹ نمبر، بیلنس اور لین دین کی تفصیلات سمیت صارفین کے ڈیٹا کو بے نقاب کیا۔ سرور نے ایس بی آئی کی "ایس بی آئی کوئیک" سروس کی میزبانی کی، جو ایک ٹیکسٹ اور کال پر مبنی نظام ہے جو پوچھ گچھ کرنے والے صارفین کو اکاؤنٹ بیلنس، حالیہ لین دین اور کریڈٹ کی معلومات کے بارے میں اپ ڈیٹ فراہم کرتا ہے۔ سرور پاس ورڈ سے محفوظ نہیں تھا اور بیک اینڈ ٹیکسٹ میسجنگ سسٹم کے ذریعے گاہک کے مخصوص پیغامات کی بازیافت کی اجازت دیتا تھا۔ سسٹم سے باہر جانے والے پیغامات حقیقی وقت میں دستیاب تھے، ساتھ ہی دو ماہ سے زیادہ روزانہ آرکائیوز، لاکھوں صارفین کی مالی تفصیلات کو بے نقاب کرتے تھے۔ اگرچہ ایس بی آئی نے ٹیککرنچ کی ابتدائی تحقیقات کے بعد اس مسئلے کو حل کیا، لیکن بینک نے یہ کہتے ہوئے رپورٹوں کو مسترد کر دیا کہ صارفین کا ڈیٹا اور مالی ریکارڈ محفوظ ہیں۔ جسٹ ڈائل ڈیٹا کی خلاف ورزی اپریل 2019 میں، ممبئی میں مقیم مقامی سرچ انجن جسٹ ڈائل کو ڈیٹا کی خلاف ورزی کا سامنا کرنا پڑا جس سے تقریبا 10 کروڑ (100 ملین) صارفین کے نام، موبائل نمبر، ای میل آئی ڈی، پیشے اور پتے سمیت تفصیلات لیک ہوئیں۔ متعدد ذرائع نے تجویز کیا کہ یہ رساو کمپنی کی پرانی ویب سائٹ اور ایپ پر 2015 کے وسط سے قابل رسائی غیر محفوظ اے پی آئی اینڈ پوائنٹ کی وجہ سے تھا۔ اگرچہ جسٹ ڈائل نے ایپ کے پرانے ورژن پر کچھ صارف کی تفصیلات کی کمزوری کا اعتراف کیا، لیکن کمپنی نے بڑی حد تک ان رپورٹس کی تردید کرتے ہوئے کہا کہ صارف اور مالی معلومات کو سرچ پلیٹ فارم کے ذریعے او ٹی پی تصدیق کے نظام کے ذریعے محفوظ کیا گیا تھا۔ کڈانکولم نیوکلیئر پاور پلانٹ کے ڈیٹا کی خلاف ورزی ستمبر 2019 میں، نیوکلیئر پاور کارپوریشن آف انڈیا (این پی سی آئی) نے تصدیق کی کہ ہندوستان کے سب سے بڑے نیوکلیئر پلانٹ، کڈانکولم نیوکلیئر پاور پلانٹ پر ایک میلویئر نے حملہ کیا تھا جس نے پلانٹ کے آئی ٹی نیٹ ورک کے بارے میں معلومات اکٹھی کیں۔ ڈی ٹریک میلویئر کے نشانات والی ڈیٹا فائل کو سائبر سیکیورٹی فرم کی ویب سائٹ پر اپ لوڈ کرنے کے بعد اس خلاف ورزی کا پتہ چلا۔ سی ای آر ٹی-انڈیا نے انتظامی نیٹ ورک سے منسلک ایک متاثرہ پی سی میں میلویئر کا پتہ لگایا۔ این پی سی آئی نے دعوی کیا کہ میلویئر کو اندرونی، اہم پلانٹ سسٹمز کے لیے ذمہ دار او ٹی نیٹ ورک تک رسائی حاصل نہیں تھی۔ خاص طور پر پلانٹ کے لیے تیار کیے گئے، حملہ آوروں نے پہلے پلانٹ کے آئی ٹی نیٹ ورکس میں گھس کر ایڈمن کی اسناد چوری کیں اور میلویئر کے ذریعے پلانٹ کے نیٹ ورکس کے بارے میں مزید معلومات حاصل کرنے کے لیے ان کا استعمال کیا۔ متعدد رپورٹس نے تجویز کیا کہ میلویئر کو مکمل طور پر معلومات اکٹھا کرنے کے لیے تعینات کیا گیا تھا، بشمول متاثرہ پی سی پر نصب براؤزر سے انٹرنیٹ سرچ ہسٹری، مقامی آپریٹنگ سسٹم رجسٹری کی معلومات جیسے رجسٹرڈ مالک، رجسٹرڈ تنظیم اور موجودہ صارف اور پی سی پر فعال عمل کی فہرست۔ یہ معلومات حملہ آور کے ذریعے ریموٹ سرور سے نکالی گئی عارضی فائلوں میں لکھی گئی تھی۔ ڈی ٹریک میلویئر کا سراغ شمالی کوریا سے منسلک لازارس گروپ سے لگایا گیا ہے۔ 2019 کریڈٹ اور ڈیبٹ کارڈ ڈیٹا کی خلاف ورزی اکتوبر 2019 میں، 13 لاکھ سے زیادہ (13 لاکھ) کریڈٹ اور ڈیبٹ کارڈ کے ریکارڈ ڈارک ویب کارڈ کی دکان جوکرز اسٹیش کو فروخت کیے جا رہے تھے، یہ سائٹ سائبر مجرموں کے ذریعے کارڈ کی تفصیلات خریدنے اور فروخت کرنے کے لیے استعمال کی جاتی ہے۔ سنگاپور میں قائم کمپنی گروپ-آئی بی نے انکشاف کیا کہ ڈیٹا بیس میں موجود 98 فیصد سے زیادہ کارڈ متعدد ہندوستانی بینکوں کے ہیں، جن میں سے ہر کارڈ 100 ڈالر سے زیادہ میں فروخت ہوا۔ ڈیٹا کی خلاف ورزی سے سی وی وی کے ساتھ کارڈ نمبر، میعاد ختم ہونے کی تاریخوں کا انکشاف ہوا۔ مکمل طور پر ذاتی طور پر قابل شناخت معلومات بشمول کارڈ ہولڈرز کے نام، ای میلز، فون نمبر اور پتے بھی ڈیٹا بیس میں دستیاب تھے۔ کارڈ کی تفصیلات ممکنہ طور پر سکیمنگ ڈیوائسز کے ذریعے حاصل کی گئیں، جو یا تو اے ٹی ایم یا پوائنٹ آف سیل (پی او ایس) سسٹمز پر نصب ہیں یا میگی کارٹ حملوں کے ذریعے، جس میں ادائیگی کے ڈیٹا کو روکنے کے لیے جاوا اسکرپٹ کوڈ کو ای کامرس ویب سائٹس میں داخل کیا جاتا ہے۔ 460, 000 سے زیادہ کارڈز کا ایک اور بڑا ڈمپ فروری 2020 میں جوکرز اسٹیش پر اسی طرح کی مکمل ذاتی طور پر قابل شناخت معلومات کے ساتھ فروخت کے لیے رکھا گیا تھا، جو فی کارڈ 9 ڈالر میں فروخت ہوتا تھا۔ اس خلاف ورزی کو فی الحال انٹرنیٹ پر کارڈ کا سب سے بڑا ڈمپ سمجھا جاتا ہے۔ خلاف ورزی کی تحقیقات ابھی زیر التوا ہیں۔ بگ باسکٹ ڈیٹا کی خلاف ورزی نومبر 2020 میں، بنگلور میں مقیم آن لائن گروسر بگ باسکٹ کو ڈیٹا کی خلاف ورزی کا سامنا کرنا پڑا جس نے ان کے 2 کروڑ (2 کروڑ) سے زیادہ صارفین کی تفصیلات لیک کیں، جن میں ای میل آئی ڈی، پاس ورڈ ہیش، پن، فون نمبر، پتے، تاریخ پیدائش، مقامات اور آئی پی پتے شامل ہیں۔ ڈیٹا کی خلاف ورزی کا مشاہدہ اس وقت ہوا جب ڈیٹا کو ڈارک ویب پر تقریبا 30 لاکھ روپے (2020 میں 40000 امریکی ڈالر) میں فروخت کیا گیا۔ خلاف ورزی کی وجہ ایک غیر محفوظ ایس کیو ایل فائل تھی، جسے ممکنہ طور پر ایس کیو ایل انجکشن کا استعمال کرتے ہوئے ہیک کیا گیا تھا، جس میں 15 جی بی سے زیادہ صارف کا ڈیٹا موجود تھا۔ بگ باسکٹ نے خلاف ورزی کا اعتراف کیا ہے اور بنگلور سائبر کرائم سیل میں مقدمہ درج کیا ہے۔ اس خلاف ورزی کی فی الحال تحقیقات جاری ہیں۔ مئی 2020 میں، بنگلور میں مقیم آن لائن لرننگ پلیٹ فارم ان اکیڈمی نے 11 ملین سے زیادہ صارفین کے سمجھوتہ شدہ ای میل ڈیٹا کو پایا لیکن مالیاتی ڈیٹا، لوکیشن یا پاس ورڈ جیسی کسی حساس معلومات کی خلاف ورزی نہیں ہوئی۔ اس خلاف ورزی کا انکشاف اس وقت ہوا جب کمپنی کے 20 ملین صارف اکاؤنٹس کو ڈارک ویب پر تقریبا 1.5 لاکھ روپے (2,000 امریکی ڈالر) میں فروخت کیا جا رہا تھا۔ سائبر کرائم کی نگرانی کرنے والی کمپنی سائبل نے دعوی کیا کہ صارف کے اکاؤنٹس سے آگے، صارف کے ڈیٹا بشمول آئی ڈی، پاس ورڈ، شامل ہونے کی تاریخ، آخری لاگ ان کی تاریخ، ای میل آئی ڈی، نام اور صارف کی اسناد کی بھی خلاف ورزی کی گئی ہے۔ ان اکیڈمی نے ابھی تک اس بات کی تصدیق نہیں کی ہے کہ آیا پورا ڈیٹا بیس ایئر انڈیا کے ڈیٹا کی خلاف ورزی کا شکار تھا یا نہیں۔ 21 مئی 2021 کو، یہ اطلاع ملی تھی کہ ایئر انڈیا کو سائبرٹیک کا نشانہ بنایا گیا تھا جبکہ دنیا بھر میں تقریبا 45 لاکھ صارفین کی ذاتی تفصیلات سے سمجھوتہ کیا گیا تھا۔ خلاف ورزی میں 26 اگست 2011 اور 3 فروری 2021 کے درمیان رجسٹرڈ ذاتی ڈیٹا شامل تھا، جس کی تفصیلات میں نام، تاریخ پیدائش، رابطے کی معلومات، پاسپورٹ کی معلومات، ٹکٹ کی معلومات، اسٹار الائنس اور ایئر انڈیا فریکوینٹ فلائر ڈیٹا کے ساتھ ساتھ کریڈٹ کارڈ ڈیٹا ڈومینوس انڈیا ڈیٹا کی خلاف ورزی شامل تھی۔ 22 مئی 2021 کو، یہ اطلاع ملی تھی کہ ڈومینوس انڈیا، جو جوبلینٹ فوڈ ورکس کی ذیلی کمپنی ہے، نے سائبرٹیک دیکھا تھا اور 18 کروڑ آرڈرز کا ڈیٹا ڈارک ویب پر لیک ہوا تھا جس میں آرڈر کی تفصیلات، ای میل ایڈریس، فون نمبر اور کریڈٹ کارڈ کی تفصیلات شامل تھیں۔ جوبلینٹ فوڈ ورکس نے بتایا کہ انہوں نے انفارمیشن سیکیورٹی کے واقعے کا تجربہ کیا ہے اور ہیکرز کی طرف سے کسی بھی مالی معلومات تک رسائی کی تردید کی ہے۔ ۔