बिजली मित्र पोर्टल पर डेढ़ करोड़ से अधिक उपभोक्ताओं का पर्सनल डेटा लीक होने का खतरा था। बिना सुरक्षा के उपभोक्ता के मोबाइल नंबर, आधार-जन आधार, घर का पता, ईमेल आईडी…यहां तक कि वॉट्सऐप नंबर तक देखे जा सकते थे। 2 साल तक ठेका लेने वाली कंपनी लापरवाही बरतती रही। ऊर्जा विभाग को भी इसकी भनक नहीं लगी। मामला तब सामने आया, जब एक उपभोक्ता ने बिजली बिल जमा कराया और खुद का पूरा प्रोफाइल देखकर चौंक गया। पढ़िए पूरी रिपोर्ट… 2 साल पहले जयपुर, अजमेर और जोधपुर डिस्कॉम में बिजली मित्र पोर्टल के जरिए ऑनलाइन बिजली बिल जमा करने और अन्य आईटी से जुड़े काम का जिम्मा BCITS कम्पनी को दिया गया था। कम्पनी ने पोर्टल पर उपभोक्ताओं के पर्सनल डेटा की सुरक्षा पुख्ता नहीं की। इस बड़ी लापरवाही पर ध्यान टोंक के मालपुरा निवासी सॉफ्टवेयर इंजीनियर अजय सिंह राजपुरोहित की सतर्कता से गया। अजय ने पिछले नवंबर में बिजली का बिल जमा करते समय चेक किया तो खुद का पूरा प्रोफाइल देखकर चौंक गए। उनका मोबाइल नंबर, आधार, जन आधार, एड्रेस, ईमेल आईडी, वॉट्सऐप नंबर सहित तमाम पर्सनल डिटेल्स खुल गईं। ये जानकारी किसी साइबर अपराधी के हाथ लग जाए तो वह अकाउंट तक पहुंच बना सकता है। वहीं, कोई इन डेटा को प्राइवेट कंपनियों तक को बेच सकता था। उन्होंने इसकी शिकायत केंद्र सरकार की साइबर सुरक्षा एजेंसी (CERT-In) को दी। CERT-In ने इस खामी को वेरिफाई किया और गंभीर माना। इसके बाद राजस्थान के ऊर्जा विभाग और कम्पनी से इस खामी को ठीक करवाया। ठगे जा सकते थे उपभोक्ता अजय सिंह राजपुरोहित ने CERT-In को भेजी शिकायत में कहा कि बिजली उपभोक्ताओं का संवेदनशील व्यक्तिगत डेटा असुरक्षित है। उन्होंने एजेंसी को समझाया कि यह ब्रोकन एक्सेस कंट्रोल/इनसिक्योर डायरेक्ट ऑब्जेक्ट रेफरेंस (IDOR) का मामला है, जहां API एंडपॉइंट बिना किसी भी उपभोक्ता की व्यक्तिगत जानकारियों तक बेरोकटोक पहुंचा जा सकता है। ये डाटा आसानी से लीक किया जा सकता है। 1. पोर्टल पर अनधिकृत एपीआई एंडपॉइंट से उपभोक्ताओं की पूरी प्रोफाइल लीक हो रही है। पर्सनल जानकारी लेने में कोई बाधा नहीं। किसी लॉगिन या टोकन की आवश्यकता नहीं है। कोई भी व्यक्ति डेटाबेस हासिल कर सकता है। 2. API एंडपॉइंट 12-अंकों का K-नंबर पैरामीटर के रूप में मानता है। सर्वर यह सत्यापित नहीं करता कि K-नंबर कौन भर रहा है। गलत मंशा से अलग-अलग K नंबर भर कर कुछ ही घंटों में किसी भी उपभोक्ता का व्यक्तिगत विवरण डाउनलोड कर सकता हैं। 3. स्कैमर सटीक बिल राशि और नाम का उपयोग करके नागरिकों को ठग सकते हैं। सिम स्वैपिंग या वित्तीय धोखाधड़ी के लिए ये डेटा काफी है। ये खामी सूचना प्रौद्योगिकी अधिनियम, 2000 और डीपीडीपी अधिनियम (डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम) का उल्लंघन करती है। पते और नामों से जुड़े मोबाइल नंबरों का खुलासा गंभीर खतरा पैदा करता है। क्या होता है K नंबर ऊर्जा मंत्री बोले- प्राइवेट कंपनी की लापरवाही है तो कार्रवाई करेंगे ऊर्जा मंत्री हीरालाल नागर का कहना है कि इस मामले की पूरी जांच करवाएंगे। यदि ऐसा हुआ है और बिलिंग से संबंधित प्राइवेट कंपनी ने लापरवाही की है तो उसके खिलाफ कार्रवाई करेंगे। जेवीवीएनएल में आईटी के एसई राकेश दुसाद ने बताया कि कुछ उपभोक्ता संबंधी जानकारी के उपलब्ध हो जाने की जानकारी मिली थी। समस्या की पहचान होते ही इसे प्राथमिकता के आधार पर हल किया गया। अनधिकृत पहुंच को रोकने के लिए तत्काल आवश्यक कार्रवाई की गई।