SBI ಡೇಟಾ ಸೋರಿಕೆ: ಸುಮಾರು 4,000 ಜನರ ವೈಯಕ್ತಿಕ ಮಾಹಿತಿ ಬಹಿರಂಗ, ಈ ಘಟನೆಯ ಗಂಭೀರತೆ ಎಷ್ಟಿದೆ?

ಭಾರತದ ಅತಿ ದೊಡ್ಡ ಸಾಲದಾತ ಸಂಸ್ಥೆಯಾದ ಸ್ಟೇಟ್ ಬ್ಯಾಂಕ್ ಆಫ್ ಇಂಡಿಯಾ (ಎಸ್‌ಬಿಐ), ತನ್ನ ಕೆಲವು ಗ್ರಾಹಕರ ಮೊಬೈಲ್ ಸಂಖ್ಯೆಗಳು, ವಿಳಾಸಗಳು ಮತ್ತು ಸಾಲದ ವಿವರಗಳಂತಹ ವೈಯಕ್ತಿಕ ಮಾಹಿತಿ ಡಾರ್ಕ್ ವೆಬ್‌ನಲ್ಲಿ ಬಹಿರಂಗಗೊಂಡಿರುವುದನ್ನು ದೃಢಪಡಿಸಿದೆ. ‘ಬ್ಯಾಂಕ್‌ನಲ್ಲಿ ನಿರ್ದಿಷ್ಟ ಡೇಟಾ ನಷ್ಟಕ್ಕೆ ಸಂಬಂಧಿಸಿದ ಘಟನೆ ನಡೆದಿದೆ’ ಎಂದು ಬ್ಯಾಂಕ್ ಬುಧವಾರ ಷೇರು ಮಾರುಕಟ್ಟೆಗೆ ಸಲ್ಲಿಸಿದ ಮಾಹಿತಿಯಲ್ಲಿ ತಿಳಿಸಿದೆ.

ಬ್ಯಾಂಕ್ ನೀಡಿರುವ ಮಾಹಿತಿಯ ಪ್ರಕಾರ, ಸೋರಿಕೆಯಾಗಿರುವ ದತ್ತಾಂಶದಲ್ಲಿ ಗ್ರಾಹಕರ ನೋಂದಾಯಿತ ಮೊಬೈಲ್ ಸಂಖ್ಯೆಗಳು, ಜನ್ಮ ದಿನಾಂಕಗಳು, ಹೆಸರುಗಳು, ಲಿಂಗ, ಇಮೇಲ್ ವಿಳಾಸಗಳು, ಮನೆ ವಿಳಾಸಗಳು, ಶಾಖೆ ಮತ್ತು ಗ್ರಾಹಕ ಮಾಹಿತಿ ಕಡತದ (CIF) ಗುರುತಿನ ಸಂಖ್ಯೆಗಳು, ಲೀಡ್ ಐಡಿಗಳು ಹಾಗೂ ಸಾಲ ಅಥವಾ ಲೀಡ್ ದಾಖಲೆಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ ಮೆಟಡೇಟಾ ಮತ್ತು ಇತರ ಸಂಬಂಧಿತ ಕಡತಗಳು ಸೇರಿವೆ.

ಪ್ರಮುಖ ವಲಯಗಳಲ್ಲಿರುವ ಸಂಸ್ಥೆಗಳು ಹೆಚ್ಚುತ್ತಿರುವ ಸೈಬರ್ ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಎದುರಿಸುತ್ತಿರುವ ಸಂದರ್ಭದಲ್ಲೇ ಈ ಮಾಹಿತಿ ಸೋರಿಕೆಯಾಗಿದೆ. ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆ (AI) ವ್ಯವಸ್ಥೆಗಳು ಭದ್ರತಾ ಲೋಪಗಳನ್ನು ಮತ್ತಷ್ಟು ದುರ್ಬಳಕೆ ಮಾಡಿಕೊಳ್ಳುವ ಸಾಮರ್ಥ್ಯ ಹೊಂದಿರುವುದು ಆತಂಕವನ್ನು ಹೆಚ್ಚಿಸಿದೆ.

ಕಳೆದ ವಾರ, ಐಟಿ ಸಚಿವಾಲಯದ ಅಡಿಯಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಭಾರತೀಯ ಕಂಪ್ಯೂಟರ್ ತುರ್ತು ಪ್ರತಿಕ್ರಿಯಾ ತಂಡ (CERT-In), ಕೆಲವು ಭಾರತೀಯ ಸಂಸ್ಥೆಗಳ ಗೌಪ್ಯ ಮಾಹಿತಿಗೆ ಎಐ ಮಾದರಿಗಳು ಅನಧಿಕೃತವಾಗಿ ಪ್ರವೇಶ ಪಡೆದಿರುವುದನ್ನು ಬಹಿರಂಗಪಡಿಸಿತ್ತು. ಸಂಸ್ಥೆಯು ಯಾವುದೇ ಕಂಪೆನಿಯ ಹೆಸರನ್ನು ನೇರವಾಗಿ ಉಲ್ಲೇಖಿಸದಿದ್ದರೂ, ಗುರಿಯಾಗಿದ್ದವು ಮುಖ್ಯವಾಗಿ ಹಣಕಾಸು ವಲಯದ ಸಂಸ್ಥೆಗಳು ಎಂದು ತಿಳಿದುಬಂದಿದೆ.

ಎಸ್‌ಬಿಐ ಡೇಟಾ ಸೋರಿಕೆ ಪ್ರಕರಣ

ಬ್ಯಾಂಕ್‌ನ ಅಧಿಸೂಚನೆಯ ಪ್ರಕಾರ, ಅಕ್ಟೋಬರ್ 16ರಂದು ತನ್ನ ಬೆದರಿಕೆ ಗುಪ್ತಚರ ಸೇವಾ ಪೂರೈಕೆದಾರರು (Threat Intelligence Service Provider), ರಕ್ಷಣಾ ಸೈಬರ್ ಏಜೆನ್ಸಿ ಮತ್ತು CERT-In ಕಡೆಯಿಂದ ಗ್ರಾಹಕರ ಮಾಹಿತಿ ಡಾರ್ಕ್ ವೆಬ್‌ನಲ್ಲಿ ಸೋರಿಕೆಯಾಗಿರುವ ಶಂಕೆಯ ಕುರಿತು ಎಚ್ಚರಿಕೆಗಳು ಬಂದಿದ್ದವು.

ಡಾರ್ಕ್ ವೆಬ್‌ನಲ್ಲಿ ಲಭ್ಯವಿದ್ದ ಸುಮಾರು 3,75,000 ದಾಖಲೆಗಳನ್ನು ಪ್ರಾಥಮಿಕವಾಗಿ ಪರಿಶೀಲಿಸಿದಾಗ, ವೈಯಕ್ತಿಕ ಗುರುತಿನ ಮಾಹಿತಿಯನ್ನು ಹೊಂದಿರುವ 3,897 ಗ್ರಾಹಕರ ದಾಖಲೆಗಳನ್ನು ಗುರುತಿಸಲಾಗಿದೆ ಎಂದು ಎಸ್‌ಬಿಐ ತಿಳಿಸಿದೆ. ಈ ಸೋರಿಕೆಯಿಂದ ಬಾಧಿತರಾಗಿರುವ ಗ್ರಾಹಕರಿಗೆ ಬ್ಯಾಂಕ್ ಮಾಹಿತಿ ನೀಡಿದೆಯೇ ಎಂಬುದು ಸ್ಪಷ್ಟವಾಗಿಲ್ಲ. ಈ ಕುರಿತು ಪ್ರತಿಕ್ರಿಯಿಸಲು ಎಸ್‌ಬಿಐ ತಕ್ಷಣಕ್ಕೆ ಲಭ್ಯವಾಗಿರಲಿಲ್ಲ.

ಸೋರಿಕೆಯಾದ ದತ್ತಾಂಶದ ಅಧಿಕೃತತೆ ಮತ್ತು ಸಂಪೂರ್ಣತೆಯನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು, ಸೋರಿಕೆಯ ಮೂಲ ಮತ್ತು ವ್ಯಾಪ್ತಿಯನ್ನು ಪತ್ತೆಹಚ್ಚಲು ಹಾಗೂ ಗ್ರಾಹಕರು ಮತ್ತು ಬ್ಯಾಂಕ್ ಎದುರಿಸಬಹುದಾದ ಅಪಾಯಗಳನ್ನು ಅಂದಾಜಿಸಲು ವಿವರವಾದ ತನಿಖೆಯ ಅಗತ್ಯವಿದೆ ಎಂದು ಬ್ಯಾಂಕ್ ಹೇಳಿದೆ.

‘ಪ್ರಸ್ತುತ ವಿವರವಾದ ಪರಿಶೀಲನೆ ನಡೆಯುತ್ತಿದ್ದು, ನಿಯಮಾನುಸಾರ ಸೂಕ್ತ ತಡೆಗಟ್ಟುವ ಮತ್ತು ಪರಿಹಾರ ಕ್ರಮಗಳನ್ನು ಕೈಗೊಳ್ಳಲಾಗುತ್ತಿದೆ’ ಎಂದು ಅದು ತಿಳಿಸಿದೆ.

‘ಬ್ಯಾಂಕ್ ತಕ್ಷಣವೇ ತನ್ನ ಸೈಬರ್ ಘಟನೆ ಪ್ರತಿಕ್ರಿಯೆ ಮತ್ತು ನಿಯಂತ್ರಣ ಶಿಷ್ಟಾಚಾರಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿದೆ. ಇದರ ಜತೆಗೆ, ಸಮಗ್ರ ಮೌಲ್ಯಮಾಪನ ನಡೆಸಲು ಮತ್ತು ಸೋರಿಕೆಯ ಸ್ವರೂಪ ಹಾಗೂ ವ್ಯಾಪ್ತಿಯನ್ನು ತನಿಖೆ ಮಾಡಲು CERT-In ಮಾನ್ಯತೆ ಪಡೆದ ಸ್ವತಂತ್ರ ಸೈಬರ್ ಭದ್ರತಾ ಏಜೆನ್ಸಿಯನ್ನು ನಿಯೋಜಿಸಲಾಗಿದೆ’ ಎಂದು ಎಸ್‌ಬಿಐ ಹೇಳಿದೆ.

ಈ ಘಟನೆಯಿಂದ ತನ್ನ ಪ್ರಮುಖ ವ್ಯವಹಾರ ಕಾರ್ಯಾಚರಣೆಗಳು, ಆರ್ಥಿಕ ಕಾರ್ಯಕ್ಷಮತೆ ಅಥವಾ ವ್ಯವಹಾರದ ನಿರಂತರತೆಯ ಮೇಲೆ ‘ಯಾವುದೇ ದೊಡ್ಡ ಪರಿಣಾಮ ಬೀರಿಲ್ಲ’ ಎಂದು ಬ್ಯಾಂಕ್ ಸ್ಪಷ್ಟಪಡಿಸಿದೆ.

ಎಸ್‌ಬಿಐಗೆ ಸಂಬಂಧಿಸಿದ CSV ಮಾದರಿಯ 3,75,000 ನಮೂದುಗಳು ಮತ್ತು 2,722 PDF ದಾಖಲೆಗಳು ತಮ್ಮ ಬಳಿ ಇವೆ ಎಂದು ‘ಎಕ್ಸ್’ ಸಾಮಾಜಿಕ ಮಾಧ್ಯಮ ವೇದಿಕೆಯ ಖಾತೆಯೊಂದು ಹೇಳಿಕೊಂಡ ಬಳಿಕ ಈ ಘಟನೆ ಬೆಳಕಿಗೆ ಬಂದಿತ್ತು.

ಭಾರತದ ಡಿಜಿಟಲ್ ವೈಯಕ್ತಿಕ ದತ್ತಾಂಶ ಸಂರಕ್ಷಣಾ ಕಾಯ್ದೆ, 2023ರ (DPDP Act) ಅಡಿಯಲ್ಲಿ, ಡೇಟಾ ಸೋರಿಕೆಗೆ ಕಾರಣವಾಗುವ ರೀತಿಯಲ್ಲಿ ಸಮಂಜಸವಾದ ಭದ್ರತಾ ಮಾನದಂಡಗಳನ್ನು ಕಾಯ್ದುಕೊಳ್ಳುವಲ್ಲಿ ವಿಫಲವಾದರೆ ಎಸ್‌ಬಿಐ ದಂಡವನ್ನು ಎದುರಿಸಬೇಕಾಗಬಹುದು. ಆದರೆ, ಈ ಕಾನೂನಿನ ಪ್ರಮುಖ ನಿಬಂಧನೆಗಳು ಇನ್ನೂ ಜಾರಿಗೆ ಬರಬೇಕಿದೆ.

ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯಿಂದ ಆತಂಕ

ಇಂಟರ್‌ನೆಟ್‌ನಲ್ಲಿ ಸಂಶೋಧನೆ ಮತ್ತು ಮೌಲ್ಯಮಾಪನ ನಡೆಸುವ ಜವಾಬ್ದಾರಿ ಹೊತ್ತಿದ್ದ ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆ (AI) ಏಜೆಂಟ್‌ಗಳು ಭದ್ರತಾ ನಿಯಮಗಳನ್ನು ಉಲ್ಲಂಘಿಸಿ, ಭಾರತೀಯ ಸಂಸ್ಥೆಗಳ ಲೈವ್ ಸಿಸ್ಟಮ್‌ಗಳಿಗೆ ಅನಧಿಕೃತವಾಗಿ ಪ್ರವೇಶಿಸಿ ಸೂಕ್ಷ್ಮ ವ್ಯವಹಾರ ದಾಖಲೆಗಳು, ವೈಯಕ್ತಿಕ ದತ್ತಾಂಶ ಹಾಗೂ ಗೌಪ್ಯ ಮಾಹಿತಿಯನ್ನು ಪಡೆದುಕೊಂಡಿವೆ ಎಂದು CERT-In ಕಳೆದ ವಾರ ಬಿಡುಗಡೆ ಮಾಡಿದ ಎಚ್ಚರಿಕೆಯಲ್ಲಿ ತಿಳಿಸಿತ್ತು. ಎಸ್‌ಬಿಐ ಡೇಟಾ ಸೋರಿಕೆ ಪ್ರಕರಣವೂ ಇದೇ ಹಿನ್ನೆಲೆಯಲ್ಲಿ ಗಮನ ಸೆಳೆದಿದೆ.

ಭಾರತ ಮೂಲದ ಸಂಸ್ಥೆಗಳ ಸೈಬರ್ ಮೂಲಸೌಕರ್ಯದ ಭದ್ರತಾ ಮಿತಿಗಳನ್ನು ಎಐ ಏಜೆಂಟ್‌ಗಳು ಮೀರಿ ಒಳನುಗ್ಗಿರುವ ಮೊದಲ ಪ್ರಕರಣಗಳು ಎಂದು ಹೇಳಲಾಗುತ್ತಿರುವ ಈ ಘಟನೆಗಳನ್ನು ಬಾಧಿತ ಸಂಸ್ಥೆಗಳೇ ಪತ್ತೆಹಚ್ಚಿರಲಿಲ್ಲ ಎಂದು CERT-In ತಿಳಿಸಿದೆ. ಬದಲಾಗಿ, ಎಐ ಮಾದರಿಗಳನ್ನು ಒದಗಿಸಿದ ಕಂಪೆನಿಗಳು ತಮ್ಮ ಆಂತರಿಕ ಪರಿಶೀಲನೆಯ ಬಳಿಕ ಸ್ವಯಂಪ್ರೇರಿತವಾಗಿ ಈ ವಿಷಯವನ್ನು ಬಹಿರಂಗಪಡಿಸಿದ್ದವು.

CERT-In ಪ್ರಕಾರ, ಎಐ ಮಾದರಿಗಳು ತಮಗೆ ವಹಿಸಲಾಗಿದ್ದ ಕೆಲಸಕ್ಕಾಗಿ ನೀಡಿದ್ದ ಅಧಿಕಾರದ ಮಿತಿಯನ್ನು ಮೀರಿ ವರ್ತಿಸಿವೆ. ವೈಯಕ್ತಿಕ ಮಾಹಿತಿ ಮತ್ತು ಗೌಪ್ಯ ದತ್ತಾಂಶ ಒಳಗೊಂಡಿರುವ ವ್ಯವಹಾರ ದಾಖಲೆಗಳನ್ನು ಪ್ರವೇಶಿಸಿರುವುದೂ ಅವುಗಳ ಚಟುವಟಿಕೆಗಳಲ್ಲಿ ಸೇರಿದೆ.

ಅಪ್ಲಿಕೇಶನ್ ಕಾನ್ಫಿಗರೇಶನ್ ಕಡತಗಳು, ಸಾರ್ವಜನಿಕವಾಗಿ ಲಭ್ಯವಿರುವ ಕೋಡ್ ರೆಪೊಸಿಟರಿಗಳು ಮತ್ತು ಅತಿಯಾದ ಅನುಮತಿಗಳನ್ನು ಹೊಂದಿರುವ ಕ್ಲೌಡ್ ಸೇವಾ ಪಾತ್ರಗಳ ಮೂಲಕ ಬಹಿರಂಗಗೊಂಡಿದ್ದ ರುಜುವಾತುಗಳು (credentials) ಹಾಗೂ ಸಂಪರ್ಕ ಸಂರಚನೆಗಳನ್ನು ಈ ಏಜೆಂಟ್‌ಗಳು ದುರ್ಬಳಕೆ ಮಾಡಿಕೊಂಡಿವೆ.

ಮುಖ್ಯವಾಗಿ, ಬಾಧಿತ ಸಂಸ್ಥೆಗಳಲ್ಲಿ ಯಾವುದೂ ಈ ಅನಧಿಕೃತ ಚಟುವಟಿಕೆಯನ್ನು ಗುರುತಿಸಿರಲಿಲ್ಲ ಎಂದು CERT-In ಹೇಳಿದೆ. ಎಐ ಮಾದರಿಗಳನ್ನು ಒದಗಿಸುವ ಕಂಪೆನಿಗಳು ತಮ್ಮ ಆಂತರಿಕ ಮೌಲ್ಯಮಾಪನದ ವೇಳೆ ಈ ಘಟನೆಗಳನ್ನು ಪತ್ತೆಹಚ್ಚಿದ ಬಳಿಕವಷ್ಟೇ ಬಾಧಿತ ಸಂಸ್ಥೆಗಳ ಗಮನಕ್ಕೆ ಈ ವಿಚಾರ ಬಂದಿದೆ.

ಆದರೆ, ಬಾಧಿತ ಸಂಸ್ಥೆಗಳು ಯಾವುವು, ಯಾವ ಎಐ ಡೆವಲಪರ್‌ಗಳು ಇದರಲ್ಲಿ ಭಾಗಿಯಾಗಿದ್ದಾರೆ ಅಥವಾ ಇದಕ್ಕೆ ಕಾರಣವಾದ ನಿರ್ದಿಷ್ಟ ಎಐ ಮಾದರಿಗಳು ಯಾವುವು ಎಂಬುದನ್ನು CERT-In ಬಹಿರಂಗಪಡಿಸಿಲ್ಲ.

ಸೌಜನ್ಯ: indianexpress.com