लंदन: ब्रिटेन की पुलिस और आपराधिक न्याय प्रणाली में उपयोग होने वाले Police National Legal Database (PNLD) ने एक बड़े साइबर सुरक्षा उल्लंघन की पुष्टि की है। संस्था ने स्वीकार किया है कि साइबर अपराधियों ने उसके सिस्टम से पुलिस अधिकारियों, पुलिस कर्मचारियों, न्यायिक पेशेवरों, सरकारी साझेदारों और ग्राहकों से जुड़ी जानकारी चोरी कर ली है। प्रारंभिक जानकारी के अनुसार प्रभावित डेटा में नाम, संबंधित संगठन और आधिकारिक ईमेल पते शामिल हैं। हालांकि संस्था का कहना है कि अब तक ऐसे कोई संकेत नहीं मिले हैं कि पासवर्ड या अन्य प्रमाणीकरण संबंधी जानकारी से समझौता हुआ हो।
PNLD ने बताया कि उसे 26 जुलाई को इस सुरक्षा घटना का पता चला, जिसके बाद विशेषज्ञ साइबर सुरक्षा कंपनियों और National Crime Agency (NCA) के सहयोग से जांच शुरू की गई। संस्था ने यह भी पुष्टि की कि यह घटना उसके सार्वजनिक कानूनी सलाह मंच Ask the Police को भी प्रभावित करती है। इस पोर्टल का उपयोग करने वाले लगभग 21,000 लोगों के नाम और ईमेल पते भी प्रभावित हुए हैं, हालांकि उपलब्ध जानकारी के अनुसार इससे अधिक संवेदनशील व्यक्तिगत विवरण के लीक होने के प्रमाण नहीं मिले हैं।
अब तक PNLD ने यह स्पष्ट नहीं किया है कि हमलावरों ने सिस्टम में किस प्रकार प्रवेश किया, डेटा कब चुराया गया, कुल कितने लोग प्रभावित हुए या क्या डेटा सार्वजनिक करने से पहले फिरौती की मांग की गई थी। मामले का संचालन करने वाली West Yorkshire Police ने भी जांच पूरी होने तक इन तकनीकी पहलुओं पर कोई विस्तृत टिप्पणी नहीं की है।
इस साइबर हमले की जिम्मेदारी ExfilSquad नामक साइबर उगाही (एक्सटॉर्शन) गिरोह ने ली है। इसी समूह ने हाल ही में ब्रिटेन के Department for Education (DfE) पर हुए डेटा उल्लंघन का भी दावा किया था। डार्क वेब पर मौजूद समूह के कथित लीक पोर्टल के अनुसार PNLD से लगभग 1.9 GB डेटा चुराया गया, जिसमें करीब 1.35 लाख कानून प्रवर्तन संपर्क रिकॉर्ड, नाम, आधिकारिक ईमेल पते और विभिन्न पुलिस बलों से संबंधित विवरण शामिल हैं।
बाद में North East Regional Organised Crime Unit ने पुष्टि की कि जांच में लगभग 1.14 लाख PNLD सब्सक्राइबरों का डेटा प्रभावित पाया गया है। इसके अतिरिक्त Ask the Police सेवा का उपयोग करने वाले लगभग 21,000 आम नागरिकों के ईमेल पते भी इस घटना से प्रभावित हुए हैं। एजेंसी ने दोहराया कि उपलब्ध साक्ष्यों के आधार पर पासवर्ड या अन्य सुरक्षा प्रमाण-पत्रों के चोरी होने के कोई प्रमाण नहीं मिले हैं। अधिकारियों ने यह भी स्पष्ट किया कि अब तक किसी प्रकार की फिरौती की मांग प्राप्त नहीं हुई है।
इसी गिरोह ने शिक्षा विभाग से जुड़े लगभग 6.07 लाख अभिभावकों और कर्मचारियों के संपर्क रिकॉर्ड तथा Turing Portal से जुड़े लगभग 7,000 अतिरिक्त रिकॉर्ड चुराने का दावा भी किया था। शिक्षा विभाग पहले ही पुष्टि कर चुका है कि उसके Customer Help Portal और Turing Scheme से संबंधित ग्राहक संपर्क विवरण वास्तव में प्रभावित हुए थे, हालांकि विभाग ने कहा कि उसके अन्य महत्वपूर्ण सिस्टम या डेटा तक अनधिकृत पहुंच नहीं बनाई गई।
ExfilSquad ने अपने डार्क वेब पोर्टल पर अन्य कई बड़े संगठनों के डेटा चोरी के दावे भी किए हैं, जिनमें Microsoft का नाम भी शामिल है। हालांकि इन दावों की स्वतंत्र पुष्टि नहीं हुई है। विशेषज्ञों का कहना है कि दो सरकारी संस्थाओं द्वारा डेटा उल्लंघन की पुष्टि के बाद इस गिरोह के दावों को गंभीरता से लिया जा रहा है, लेकिन अन्य संगठनों से जुड़े दावों की सत्यता की जांच अभी बाकी है।
प्रख्यात साइबर अपराध विशेषज्ञ एवं पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह के अनुसार, सरकारी संस्थानों पर होने वाले ऐसे हमले केवल डेटा चोरी तक सीमित नहीं रहते, बल्कि इनका उपयोग लक्षित फ़िशिंग, सोशल इंजीनियरिंग और पहचान आधारित साइबर अपराधों के लिए भी किया जा सकता है। उन्होंने कहा कि प्रभावित संस्थानों को त्वरित डिजिटल फोरेंसिक जांच, एक्सेस कंट्रोल की समीक्षा, बहु-स्तरीय प्रमाणीकरण, नेटवर्क मॉनिटरिंग और नियमित सुरक्षा ऑडिट को प्राथमिकता देनी चाहिए, जबकि कर्मचारियों और नागरिकों को संदिग्ध ईमेल, नकली लॉगिन लिंक और पहचान सत्यापन संबंधी संदेशों से विशेष सतर्क रहना चाहिए।
