बैंक में डेटा सेंध की खबर नियामकों को घंटों में मिलती है। ग्राहकों को 2027 तक इंतज़ार क्यों करना पड़े

16 अक्टूबर को भारतीय स्टेट बैंक (एसबीआई) को अपने थ्रेट इंटेलिजेंस सेवा प्रदाता, डिफेंस साइबर एजेंसी और सर्ट-इन से पता चला कि उसके ग्राहकों का डेटा डार्क वेब पर बेचा जा रहा है। कुछ ही दिनों में उसने शेयर बाज़ारों को इसकी जानकारी दे दी। 21 अक्टूबर को निवेशकों के लिए उसका संदेश था कि बैंक के कामकाज या वित्तीय स्थिति पर “कोई खास असर नहीं” है। अलर्ट के एक हफ्ते बाद, शुक्रवार को जाकर बैंक ने सार्वजनिक रूप से कहा कि उसने उन ग्राहकों को निजी तौर पर सूचित कर दिया है जिनका ब्योरा लीक हुआ।

प्राथमिकताओं का यह क्रम सिर्फ एसबीआई के बारे में नहीं, नियमों के बारे में भी कुछ बताता है।

किसे बताया जाता है, और कब

भारत में किसी बैंक को साइबर घटना पकड़ में आने के दो से छह घंटे के भीतर रिज़र्व बैंक को इसकी सूचना देनी होती है। अप्रैल 2022 के सर्ट-इन निर्देशों के तहत उसे छह घंटे के भीतर राष्ट्रीय साइबर सुरक्षा एजेंसी को भी बताना होता है। सूचीबद्ध बैंक को शेयर बाज़ारों को जानकारी देते रहना होता है। ये सारी ज़िम्मेदारियां सरकार या बाज़ार की ओर जाती हैं।

जिस व्यक्ति का नाम, मोबाइल नंबर, जन्मतिथि और घर का पता अब किसी अपराधी की स्प्रेडशीट में है, उसके पास ऐसा कोई अधिकार नहीं है। डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (डीपीडीपी) संस्थाओं से हर प्रभावित व्यक्ति को सेंध की सूचना देने को कहता है, लेकिन यह बाध्यता 13 मई 2027 से ही लागू होगी। मार्च में जारी आरबीआई की एक सलाह बैंकों से कहती है कि वे ग्राहकों को एसएमएस, ईमेल, ऐप अलर्ट और कॉल से सूचित करें। पर यह सलाह ही है, इससे ज़्यादा कुछ नहीं।

यह क्यों मायने रखता है

एसबीआई के लीक रिकॉर्ड में पासवर्ड या खाते का बैलेंस नहीं है, और बैंक का यह कहना सही है कि पैसा सुरक्षित है। लेकिन जो ब्योरा लीक हुआ है, वह ठीक वही है जिसकी ज़रूरत किसी ठग को फोन पर बैंक अधिकारी बनकर बात करने के लिए होती है: नाम, शाखा, ऋण आवेदन, जन्मतिथि। इंटरनेट फ्रीडम फाउंडेशन ने यह बात तीखे ढंग से कही, जब उसने ध्यान दिलाया कि निवेशकों को दी गई सूचना “यह नहीं बताती कि किसी एक भी प्रभावित ग्राहक को बताया गया है या नहीं”। जिस ग्राहक को आगाह कर दिया गया है, वह ऐसा फोन काट सकता है। जिसे नहीं बताया गया, वह आसान शिकार है।

दायरा भी साफ नहीं है। एसबीआई ने जिन करीब 3.75 लाख पंक्तियों की जांच की, उनमें से 3,897 रिकॉर्ड में निजी ब्योरा मिला। डेटा पोस्ट करने वाले का दावा है कि उसके पास 2,722 पीडीएफ दस्तावेज़ भी हैं, जिनमें ऋण और खाता खोलने के फॉर्म शामिल हैं। एसबीआई ने अभी नहीं बताया है कि डेटा बैंक से बाहर कैसे गया, या वह कितना पुराना है।

उचित आपत्ति

बैंक कहेंगे कि ग्राहकों को बहुत जल्दी बताने से नुकसान होता है। हैकिंग फोरम पर लीक का दावा झूठा या पुराना हो सकता है। तथ्य साफ होने से पहले भेजे गए सामूहिक अलर्ट घबराहट फैला सकते हैं और “आपका खाता खतरे में है” जैसे नकली संदेशों की नई लहर को न्योता दे सकते हैं। जांच में समय लगता है।

एक हद तक यह तर्क ठीक है। इससे यह बनता है कि जब बैंक पुष्टि कर ले कि खास ग्राहकों का डेटा लीक हुआ है, उसके बाद एक छोटी, तय अवधि हो। इससे यह सही नहीं ठहरता कि ग्राहक इसके बारे में अखबार में पढ़ें, या हर बैंक की सद्भावना पर निर्भर रहें।

क्या बदलना चाहिए

पहला, आरबीआई अपनी मार्च की सलाह को बाध्यकारी निर्देश में बदले। जब बैंक पुष्टि कर ले कि किसी ग्राहक का निजी डेटा उजागर हुआ है, तो उसे 72 घंटे के भीतर उस ग्राहक को सीधे, उसकी भाषा में, बताना अनिवार्य हो।

दूसरा, सूचना में बताया जाए कि क्या लीक हुआ, ग्राहक किस बात से सावधान रहे, और एक समर्पित हेल्पलाइन तक कैसे पहुंचे। ओटीपी कभी साझा न करने की एक पंक्ति काफी नहीं है।

तीसरा, जांच पूरी होने पर बैंक सार्वजनिक करें कि सेंध कैसे लगी और उन्होंने क्या बदला, और आरबीआई हर साल बताए कि उसके नियमन वाली संस्थाओं ने ऐसी कितनी घटनाओं की सूचना दी।

आखिर में, लीक हुए बैंक डेटा के सहारे हुई धोखाधड़ी में पैसा गंवाने वाले हर ग्राहक को बैंक मुआवज़ा दे, बिना यह साबित करवाए कि दोनों में संबंध है।

एसबीआई ने अब वह कर दिया है जो सलाह कहती है। अगला बैंक शायद न करे। ग्राहकों की सुरक्षा इस पर निर्भर नहीं होनी चाहिए कि उनका खाता किस बैंक में है, या उस कानून पर जो 2027 में आएगा।

इस राय के पीछे की रिपोर्टिंग

• 3,897एसबीआई ग्राहक रिकॉर्ड जिनमें निजी ब्योरा मिला, करीब 3.75 लाख जांची गई पंक्तियों में से
• 6 घंटे2022 के निर्देशों के तहत सर्ट-इन को साइबर घटना की सूचना देने की समय सीमा
• 13 मई 2027वह तारीख जिससे कानूनन प्रभावित लोगों को सेंध की सूचना देनी होगी