डार्क वेब पर डेटा लीक के बाद एसबीआई ने कहा, ग्राहकों का पैसा सुरक्षित

भारतीय स्टेट बैंक (एसबीआई) ने संदिग्ध डेटा लीक की चपेट में आए ग्राहकों से कहा है कि उनका पैसा सुरक्षित है। बैंक के मुताबिक डार्क वेब पर जिन ग्राहकों की निजी जानकारी मिली, उनमें से हर एक से उसने संपर्क किया है।

शुक्रवार को जारी बयान में देश के सबसे बड़े बैंक ने कहा कि प्रभावित ग्राहकों को सूचना दे दी गई है और उनके खाते का बैलेंस और पैसा सुरक्षित है। बैंक ने सभी ग्राहकों से अपील की कि वे कभी भी ओटीपी, पिन या बैंकिंग पासवर्ड साझा न करें और बिना मांगे आए कॉल, मैसेज और ईमेल से सावधान रहें।

यह बयान इस मामले पर एसबीआई के पहले सार्वजनिक बयान से आगे जाता है। बुधवार को स्टॉक एक्सचेंजों को दी गई फाइलिंग में बैंक ने मुख्य रूप से यह बताया था कि लीक का उसके कारोबार पर क्या असर है। उस फाइलिंग में कहा गया था कि इसका “एसबीआई के मुख्य कारोबारी संचालन, वित्तीय प्रदर्शन या कारोबार की निरंतरता पर कोई महत्वपूर्ण असर नहीं” है।

क्या लीक हुआ

एसबीआई ने बताया कि उसने 16 अक्टूबर को जांच शुरू की, जब उसके थ्रेट इंटेलिजेंस सेवा प्रदाता, डिफेंस साइबर एजेंसी और राष्ट्रीय साइबर सुरक्षा एजेंसी सर्ट-इन ने डार्क वेब पर ग्राहकों का डेटा दिखने को लेकर उसे अलर्ट किया।

करीब 3.75 लाख रिकॉर्ड के शुरुआती विश्लेषण में 3,897 ग्राहक रिकॉर्ड ऐसे मिले जिनमें व्यक्तिगत पहचान वाली जानकारी थी: नाम, मोबाइल नंबर, ईमेल पता, जन्मतिथि और घर का पता। बैंक ने अपने साइबर घटना प्रतिक्रिया और रोकथाम उपाय लागू कर दिए हैं और सेंधमारी की प्रकृति और दायरा पता करने के लिए सर्ट-इन के पैनल वाली एक स्वतंत्र साइबर सुरक्षा एजेंसी नियुक्त की है। बैंक के मुताबिक कोर बैंकिंग सेवाएं सामान्य रूप से चल रही हैं।

यह लीक तब सामने आया जब खुद को “सिरियसिम” कहने वाले एक हैकर ने हैकिंग फोरम ब्रीचफोरम्स पर दावा किया कि उसके पास एसबीआई ग्राहकों के डेटा की करीब 3.75 लाख पंक्तियां और 2,722 पीडीएफ दस्तावेज हैं, जिनमें कर्ज और खाता खोलने के आवेदन शामिल हैं। इस दावे की ओर 16 अक्टूबर को एक्स पर निगरानी करने वाले अकाउंट साइबरपल्स56 ने ध्यान दिलाया था। एसबीआई ने यह नहीं बताया है कि डेटा बैंक से बाहर कैसे गया या यह कितना पुराना है।

‘क्या एक भी ग्राहक को बताया गया?’

डिजिटल अधिकार संगठन इंटरनेट फ्रीडम फाउंडेशन ने बुधवार को बैंक के रवैये की आलोचना की थी। संगठन ने एक्सचेंज फाइलिंग के बारे में लिखा, “इसमें यह नहीं बताया गया कि प्रभावित किसी एक ग्राहक को भी सूचना दी गई है या नहीं।” उसने चेताया कि नाम, जन्मतिथि और शाखा जैसी लीक हुई जानकारी से धोखेबाज आसानी से बैंक अधिकारी बनकर ठगी कर सकते हैं। संगठन ने कहा, “लीक हुआ डेटा यह क्षमता कमजोर करता है, और सिर्फ बैंक की सूचना से ही ग्राहक को पता चलता है कि उसे सतर्क रहना है।”

फाउंडेशन ने यह भी कहा कि फाइलिंग करीब 3.75 लाख में से 3,897 रिकॉर्ड की ही बात करती है और हैकर के पास होने का दावा किए गए पीडीएफ दस्तावेजों का जिक्र नहीं करती, यानी प्रभावित लोगों की संख्या इससे ज्यादा हो सकती है।

एसबीआई के चेयरमैन को भेजे और भारतीय रिजर्व बैंक के गवर्नर व सर्ट-इन को कॉपी किए गए ज्ञापन में संगठन ने मांग की कि बैंक ग्राहकों को कई भाषाओं में सीधे सूचना दे, हेल्पलाइन और ऑनलाइन जांच की सुविधा शुरू करे, बताए कि डेटा कैसे लीक हुआ और पैसा गंवाने वाले ग्राहकों को मुआवजे की पुष्टि करे।

कानून में खाली जगह

भारत के डिजिटल पर्सनल डेटा प्रोटेक्शन कानून के तहत संस्थाओं को सेंधमारी की सूचना डेटा प्रोटेक्शन बोर्ड और हर प्रभावित व्यक्ति, दोनों को देनी होती है। लेकिन यह प्रावधान अभी लागू नहीं हुआ है और इसके मई 2027 में लागू होने की उम्मीद है। आरबीआई की मार्च में जारी एक एडवाइजरी में बैंकों को सलाह दी गई है कि वे प्रभावित ग्राहकों को एसएमएस, ईमेल, ऐप अलर्ट और कॉल से सूचित करें, लेकिन यह बाध्यकारी नहीं है।

शुक्रवार के बयान से लगता है कि एसबीआई ने अब वही किया है जो एडवाइजरी कहती है। लीक के स्रोत और दायरे की उसकी स्वतंत्र जांच अभी जारी है।