३.७५ लाख नोंदींच्या कथित डेटासंचातून ३,८९७ ग्राहकांची वैयक्तिक माहिती समोर; बँकेला १६ ऑक्टोबरला मिळाला इशारा, शेअर बाजाराला २१ ऑक्टोबरला माहिती — डेटा बाहेर गेलाच कसा, सुरक्षेतील त्रुटी कोणती?
मुंबई, दि. २२ ऑक्टोबर २०२६ | माय मराठी विशेष वृत्त :
देशातील सर्वांत मोठी सार्वजनिक क्षेत्रातील बँक असलेल्या स्टेट बँक ऑफ इंडियाच्या (SBI) ग्राहकांच्या वैयक्तिक माहितीच्या सुरक्षेवर गंभीर प्रश्नचिन्ह निर्माण झाले आहे. डार्क वेबवर उपलब्ध असलेल्या सुमारे ३ लाख ७५ हजार नोंदींची प्राथमिक तपासणी केल्यानंतर त्यातील ३,८९७ ग्राहकांच्या वैयक्तिक माहितीशी संबंधित नोंदी आढळल्याची माहिती स्वतः SBI ने शेअर बाजाराला दिली आहे.
मात्र या घटनेतील सर्वांत महत्त्वाचा प्रश्न आता पुढे आला आहे. ज्या ग्राहकांची नावे, मोबाईल क्रमांक, जन्मतारीख, पत्ता आणि कर्जाशी संबंधित माहिती उघड झाली, त्या ग्राहकांना बँकेने वैयक्तिकरीत्या सावध केले आहे का?
बँकेने शेअर बाजाराला दिलेल्या निवेदनात सायबर सुरक्षा तपासाची माहिती आहे; परंतु प्रभावित ग्राहकांना थेट सूचना दिल्याचा स्पष्ट उल्लेख नाही. त्यामुळे देशातील कोट्यवधी नागरिकांचा विश्वास असलेल्या बँकेच्या डेटा सुरक्षेची आणि ग्राहकांप्रती असलेल्या जबाबदारीची चर्चा सुरू झाली आहे.
बँकेला १६ ऑक्टोबरला माहिती; पाच दिवसांनी शेअर बाजाराला कळवले
SBI ने २१ ऑक्टोबर रोजी शेअर बाजाराला सादर केलेल्या निवेदनानुसार, १६ ऑक्टोबरला बँकेच्या थ्रेट इंटेलिजन्स सेवा पुरवठादाराकडून, संरक्षण सायबर यंत्रणेकडून आणि भारतीय संगणक आपत्कालीन प्रतिसाद पथकाकडून (CERT-In) ग्राहकांच्या माहितीच्या संभाव्य गळतीबाबत सूचना प्राप्त झाली.
त्यानंतर बँकेने प्राथमिक तपासणी सुरू केली.
मात्र बँकेला बाह्य यंत्रणांकडून संभाव्य डेटा गळतीची माहिती मिळेपर्यंत हा प्रकार तिच्या स्वतःच्या सुरक्षा यंत्रणांच्या लक्षात आला होता का? ग्राहकांची माहिती नेमकी कोणत्या दिवशी बाहेर गेली? संभाव्य गळती किती काळ सुरू होती?
या प्रश्नांची स्पष्ट उत्तरे अद्याप समोर आलेली नाहीत.
शेअर बाजाराला पाच दिवसांनी माहिती देण्यात आली, याचा अर्थ नियमानुसार माहिती देण्यास विलंब झाला, असा निष्कर्ष काढता येत नाही. मात्र या कालावधीत प्रभावित ग्राहकांच्या संरक्षणासाठी कोणती पावले उचलली गेली, हे स्पष्ट होणे आवश्यक आहे.
ग्राहकांची नेमकी कोणती माहिती समोर आली?
बँकेच्या प्राथमिक विश्लेषणानुसार उपलब्ध नोंदींमध्ये ग्राहकांशी संबंधित पुढील प्रकारची माहिती असल्याचे आढळले आहे.
- ग्राहकांची नावे, जन्मतारीख आणि लिंग
- नोंदणीकृत मोबाईल क्रमांक आणि ईमेल पत्ते
- निवासी पत्ते
- बँक शाखा आणि ग्राहक ओळख क्रमांक (CIF)
- कर्जविषयक चौकशीचे क्रमांक आणि संबंधित नोंदी
ही माहिती गुन्हेगारांच्या हाती पडल्यास तिचा वापर बनावट बँक अधिकारी बनून संपर्क साधणे, विश्वासार्ह वाटणारे फसवे संदेश पाठवणे किंवा ग्राहकांची ओळख वापरून फसवणुकीचे प्रयत्न करणे यासाठी होऊ शकतो.
मात्र उपलब्ध माहितीनुसार ग्राहकांचे पासवर्ड, इंटरनेट बँकिंगचे प्रवेश तपशील किंवा खात्यातील रक्कम चोरीला गेल्याची पुष्टी झालेली नाही.
३.७५ लाख ग्राहकांचा डेटा चोरीला गेला का?
या घटनेत सुमारे ३.७५ लाख नोंदींचा उल्लेख होत असला, तरी तेवढ्याच ग्राहकांची माहिती चोरीला गेली, असे म्हणणे अचूक ठरणार नाही.
बँकेच्या प्राथमिक तपासणीत या मोठ्या डेटासंचातील ३,८९७ नोंदींमध्ये ग्राहकांची वैयक्तिक माहिती ओळखण्यात आली आहे.
उर्वरित नोंदी नेमक्या कोणत्या स्वरूपाच्या आहेत, किती व्यक्ती त्यांच्याशी संबंधित आहेत आणि कथित डेटासंच पूर्णपणे अस्सल आहे का, याबाबत तपास सुरू आहे.
त्यामुळे सध्या ३,८९७ ग्राहकांच्या माहितीशी संबंधित नोंदी ओळखल्या गेल्या आहेत, हीच बँकेच्या निवेदनातून समोर आलेली निश्चित आकडेवारी आहे.
शेअर बाजाराला माहिती दिली; ग्राहकांना का नाही?
या घटनेवरून डिजिटल हक्कांसाठी काम करणाऱ्या इंटरनेट फ्रीडम फाउंडेशनने (IFF) महत्त्वाचे प्रश्न उपस्थित केले आहेत.
बँकेने शेअर बाजाराला डेटा गळतीची माहिती दिली, मात्र प्रभावित ग्राहकांना वैयक्तिकरीत्या सूचना दिल्याचा सार्वजनिक पुरावा उपलब्ध नसल्याचे संस्थेने निदर्शनास आणले आहे.
प्रभावित ग्राहकांना एसएमएस, ईमेल किंवा पत्राद्वारे माहिती दिली पाहिजे. त्यांच्या माहितीचा गैरवापर टाळण्यासाठी आवश्यक मार्गदर्शन केले पाहिजे, अशी मागणीही संस्थेने केली आहे.
तसेच कोणत्या ग्राहकांची माहिती प्रभावित झाली आहे हे तपासण्यासाठी स्वतंत्र सुविधा आणि मदतीसाठी हेल्पलाइन उपलब्ध करून देण्याची मागणी करण्यात आली आहे.
ग्राहकांच्या वैयक्तिक माहितीबाबत धोका निर्माण झाल्याचे बँकेला समजले, तर संबंधित ग्राहकांना सर्वप्रथम सावध करणे आवश्यक नाही का? हा आता सार्वजनिक हिताचा महत्त्वाचा प्रश्न ठरला आहे.
देशातील सर्वांत मोठ्या बँकेत माहिती बाहेर गेलीच कशी?
SBI सारख्या देशातील सर्वांत मोठ्या बँकेत ग्राहकांच्या माहितीच्या संरक्षणासाठी अनेक स्तरांवरील सुरक्षा व्यवस्था असणे अपेक्षित आहे.
तरीही ग्राहकांची वैयक्तिक माहिती डार्क वेबवर कशी पोहोचली, याचा तपास करणे आवश्यक बनले आहे.
ही माहिती बँकेच्या मुख्य प्रणालीतून बाहेर पडली, एखाद्या बाह्य सेवा पुरवठादाराच्या प्रणालीतून गळती झाली, कर्जविषयक प्रक्रिया हाताळणाऱ्या मध्यस्थामार्फत बाहेर गेली की अन्य कोणत्या माध्यमातून प्राप्त झाली, याचा अंतिम निष्कर्ष अद्याप समोर आलेला नाही.
त्यामुळे बँकेवर थेट सायबर हल्ला यशस्वी झाला किंवा तिची संपूर्ण मुख्य बँकिंग यंत्रणा हॅक झाली, असे सध्या म्हणता येत नाही.
मात्र ग्राहकांच्या माहितीच्या सुरक्षेतील संभाव्य त्रुटी आणि बाह्य संस्थांमार्फत हाताळल्या जाणाऱ्या डेटाच्या संरक्षणाचा प्रश्न यामुळे उपस्थित झाला आहे.
स्वतंत्र सायबर सुरक्षा संस्थेकडून चौकशी
बँकेने दिलेल्या माहितीनुसार संशयित डेटा गळतीची सूचना मिळाल्यानंतर सायबर घटना प्रतिसाद आणि प्रतिबंधात्मक उपाययोजना सुरू करण्यात आल्या आहेत.
तसेच CERT-In मान्यताप्राप्त स्वतंत्र सायबर सुरक्षा संस्थेला या प्रकरणाचा सखोल तपास करण्याची जबाबदारी देण्यात आली आहे.
डेटा अस्सल आहे का, माहिती कोणत्या स्रोतामधून बाहेर आली, संभाव्य गळतीचे प्रमाण किती आहे आणि ग्राहकांना कोणता धोका संभवतो, याचा तपास सुरू आहे.
चौकशीनंतर आवश्यक दुरुस्ती आणि प्रतिबंधात्मक उपाययोजना करण्यात येणार असल्याचे बँकेने म्हटले आहे.
‘ग्राहकांच्या खात्यातील रक्कम सुरक्षित’ — SBI
या घटनेनंतर SBI ने ग्राहकांच्या खात्यातील शिल्लक सुरक्षित असल्याचे स्पष्ट केले आहे.
बँकेच्या मुख्य व्यवसायावर, आर्थिक कामगिरीवर आणि नियमित बँकिंग सेवांवर महत्त्वपूर्ण परिणाम झालेला नसल्याचेही निवेदनात नमूद करण्यात आले आहे.
मात्र खात्यातील पैसे सुरक्षित असणे आणि ग्राहकांची वैयक्तिक माहिती सुरक्षित असणे या दोन स्वतंत्र बाबी आहेत.
माहितीच्या संभाव्य गळतीमुळे भविष्यात फसवणुकीचा धोका निर्माण होऊ शकतो. त्यामुळे खात्यातील शिल्लक सुरक्षित असल्याचे आश्वासन देण्याबरोबरच प्रभावित ग्राहकांना त्यांच्या माहितीबाबत काय धोका आहे, हे स्पष्ट करणेही महत्त्वाचे आहे.
SBI प्रशासनाने या प्रश्नांची उत्तरे द्यावीत
देशातील सर्वांत मोठ्या बँकेशी संबंधित या घटनेनंतर काही महत्त्वाचे प्रश्न अनुत्तरित आहेत.
१. ३,८९७ ग्राहकांची माहिती ओळखल्यानंतर त्या सर्व ग्राहकांना वैयक्तिक सूचना पाठवण्यात आल्या आहेत का?
२. ग्राहकांची माहिती डार्क वेबवर नेमकी कोणत्या मार्गाने पोहोचली?
३. बँकेच्या स्वतःच्या सुरक्षा यंत्रणांना संभाव्य गळतीची माहिती प्रथम कधी मिळाली?
४. कथित ३.७५ लाख नोंदींपैकी उर्वरित नोंदींची तपासणी कितपत पूर्ण झाली?
५. ग्राहकांच्या आधार, पॅन किंवा कर्ज अर्जाशी संबंधित कागदपत्रांचा या घटनेत समावेश आहे का?
६. प्रभावित ग्राहकांसाठी स्वतंत्र हेल्पलाइन आणि संभाव्य फसवणुकीपासून संरक्षणाची कोणती व्यवस्था करण्यात आली आहे?
७. तपास पूर्ण झाल्यानंतर बँक निष्कर्ष आणि केलेल्या प्रतिबंधात्मक उपाययोजनांचा तपशील सार्वजनिक करणार का?
विश्वासाचा प्रश्न; ग्राहकांना अंधारात ठेवू नका!
स्टेट बँक ऑफ इंडिया ही देशातील कोट्यवधी नागरिकांच्या आर्थिक व्यवहारांशी जोडलेली संस्था आहे. सामान्य ठेवीदार, निवृत्त कर्मचारी, शेतकरी, व्यावसायिक आणि कर्जदार आपली वैयक्तिक माहिती बँकेकडे विश्वासाने सुपूर्द करतात.
अशा परिस्थितीत त्यांच्या माहितीच्या संभाव्य गळतीबाबत पारदर्शकता राखणे आणि आवश्यक ती सूचना देणे ही अत्यंत महत्त्वाची जबाबदारी आहे.
बँकेने घटनेची दखल घेऊन सायबर सुरक्षा तपास सुरू केला आहे, ही महत्त्वाची बाब असली तरी प्रभावित ग्राहकांना नेमकी कोणती माहिती देण्यात आली आणि त्यांना कोणत्या प्रकारचे संरक्षण उपलब्ध करून दिले, याचा तपशीलही समोर यायला हवा.
देशातील नंबर वन बँकेच्या ग्राहकांची माहिती डार्क वेबवर कशी पोहोचली? आणि ज्या ग्राहकांची माहिती समोर आली, त्यांना स्वतःच्या डेटाबाबत निर्माण झालेल्या धोक्याची कल्पना दिली आहे का?
या दोन प्रश्नांची स्पष्ट उत्तरे SBI प्रशासनाने जनतेसमोर ठेवण्याची गरज आहे.
