नई दिल्ली: भारतीय प्रतिभूति और विनिमय बोर्ड (SEBI) ने नवंबर 2022 में हुए मैलवेयर हमले से जुड़े साइबर सुरक्षा उल्लंघनों के मामले में सेंट्रल डिपॉजिटरी सर्विसेज (इंडिया) लिमिटेड (CDSL) पर कुल ₹1 करोड़ का जुर्माना लगाया है। 88 पृष्ठों के आदेश में सेबी ने कहा कि यह साइबर हमला अप्रत्याशित नहीं था, बल्कि अनिवार्य साइबर सुरक्षा मानकों का पालन न करने के कारण उत्पन्न हुआ एक पूर्वानुमेय (Foreseeable) जोखिम था।
सेबी ने SEBI Act के तहत ₹90 लाख और Depositories Act के तहत ₹10 लाख का जुर्माना लगाया। हालांकि, CDSL के तत्कालीन मुख्य सूचना सुरक्षा अधिकारी (CISO) राजेश नाडकर्णी और तत्कालीन मुख्य प्रौद्योगिकी अधिकारी (CTO) अमित महाजन के खिलाफ चल रही कार्यवाही बिना किसी मौद्रिक दंड के समाप्त कर दी गई।
नियामक ने अपने आदेश में कहा कि CDSL ने इंटरनेट से जुड़े Active Directory Federation Services (ADFS) सर्वर को संशोधित साइबर सुरक्षा मानकों के अनुरूप “क्रिटिकल एसेट” के रूप में वर्गीकृत नहीं किया। इसके कारण वह अनिवार्य सुरक्षा परीक्षण, जोखिम मूल्यांकन और सतत निगरानी की प्रक्रिया से बाहर रहा।
जांच में यह भी सामने आया कि संस्था में पासवर्ड नियंत्रण कमजोर थे, सुरक्षा नीतियों का पूर्ण अनुपालन नहीं किया गया और साइबर सुरक्षा अलर्ट की प्रभावी निगरानी तथा समयबद्ध प्रतिक्रिया में भी गंभीर कमियां थीं। सेबी ने कहा कि एक मार्केट इंफ्रास्ट्रक्चर संस्थान से अपेक्षित बुनियादी साइबर सुरक्षा अनुशासन (Cyber Security Hygiene) का पालन नहीं किया गया।
Registration Begins for FutureCrime Summit 2026, India’s Largest Cybercrime Conference
फॉरेंसिक जांच के अनुसार, हमलावरों ने नवंबर 2021 में ही CDSL के नेटवर्क तक पहुंच बना ली थी, जबकि मैलवेयर हमले का पता 18 नवंबर 2022 को चला। सेबी ने कहा कि लगभग एक वर्ष तक नेटवर्क से समझौता (Compromise) बने रहना संस्था की साइबर निगरानी व्यवस्था की कमजोरियों को दर्शाता है।
मैलवेयर हमले के कारण डिपॉजिटरी की कई महत्वपूर्ण सेवाएं, जिनमें सेटलमेंट, शेयर ट्रांसफर और प्लेज (Pledge) लेनदेन शामिल थे, प्रभावित हुईं। इसके चलते बाजार सहभागियों को सप्ताहांत के दौरान कई लेनदेन स्थगित करने पड़े।
प्रसिद्ध साइबर अपराध विशेषज्ञ एवं पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह ने कहा कि वित्तीय बाजार से जुड़ी संस्थाओं के लिए साइबर सुरक्षा में लापरवाही केवल तकनीकी समस्या नहीं बल्कि निवेशकों के विश्वास और वित्तीय प्रणाली की स्थिरता के लिए गंभीर खतरा है। उन्होंने कहा कि महत्वपूर्ण प्रणालियों की सही पहचान, नियमित सुरक्षा ऑडिट, 24×7 सुरक्षा निगरानी, मजबूत एक्सेस कंट्रोल, समय पर पैच प्रबंधन और बहु-स्तरीय प्रमाणीकरण (Multi-Factor Authentication) जैसे उपायों का कड़ाई से पालन किया जाना चाहिए।
सेबी ने स्पष्ट किया कि बाजार अवसंरचना संस्थानों के लिए निर्धारित साइबर सुरक्षा मानकों का अनुपालन अनिवार्य है और ऐसी लापरवाही भविष्य में भी कड़ी नियामकीय कार्रवाई का आधार बनेगी। जांच में सामने आई कमियों के आधार पर नियामक ने कहा कि उचित सुरक्षा नियंत्रण अपनाए जाते तो इस प्रकार के हमले की संभावना को काफी हद तक रोका जा सकता था।
