डिजिटल भारत में बैंकिंग सेवाएं जितनी सहज हुई हैं, ग्राहकों की निजी जानकारी की सुरक्षा की चुनौती भी उतनी ही गंभीर हुई है। भारतीय स्टेट बैंक से जुड़ा डेटा लीक का मामला बताता है कि साइबर सुरक्षा को केवल तकनीकी व्यवस्था तक सीमित नहीं रखा जा सकता। यह ग्राहकों के भरोसे, निजता और बैंक की जवाबदेही से जुड़ा सवाल है।
देश के सबसे बड़े सरकारी बैंक, भारतीय स्टेट बैंक (SBI) से जुड़ी साइबर सुरक्षा की खबर ने डिजिटल बैंकिंग के उस सुनहरे गुब्बारे में बड़ा छेद कर दिया है, जिसे ‘सुरक्षित और विश्वसनीय’ कहकर सालों से चमकाया जा रहा था। बैंक ने 21 अक्टूबर 2026 को शेयर बाजार को दी गई जानकारी में स्वीकार किया कि डार्क वेब पर लगभग 3.75 लाख रिकॉर्ड उपलब्ध हैं, जिनमें से प्रारंभिक जांच के दौरान 3,897 ग्राहक रिकॉर्ड में व्यक्तिगत पहचान से जुड़ी बेहद संवेदनशील जानकारी पाई गई है।
बैंक ने विस्तृत जांच के लिए एक स्वतंत्र साइबर सुरक्षा एजेंसी तो नियुक्त कर दी है, लेकिन सबसे बड़ा सवाल यह है कि आखिर देश के करोड़ों नागरिकों के भरोसे को बनाये रखने वाला यह महा-बैंक सो कहां रहा था? अक्सर ऐसे मामलों में कॉरपोरेट जगत की एक घिसी-पिटी दलील सामने आती है कि जांच पूरी होने से पहले किसी विशेष सुरक्षा प्रणाली की विफलता को प्रमाणित तथ्य मानना उचित नहीं होगा। जब डेटा डार्क वेब की मंडियों में बिकने के लिए पहुंच चुका है, तो क्या सुरक्षा प्रणाली की विफलता को साबित करने के लिए किसी और मुहूर्त का इंतजार किया जाना बाकी है?
रिपोर्टों के अनुसार, उजागर हुई जानकारी कोई सामान्य डेटा नहीं है। इसमें ग्राहकों के नाम, मोबाइल नंबर, जन्मतिथि, ईमेल एड्रेस, घर के पते, शाखा का नाम, ग्राहक पहचान संख्या (CIF Number) तथा लोन और लीड रिकॉर्ड से संबंधित मेटाडेटा शामिल हैं। इसके बावजूद बैंक का यह कहना कि इस घटना से उसके मुख्य कारोबार, वित्तीय प्रदर्शन या कामकाज की निरंतरता पर कोई महत्वपूर्ण असर नहीं पड़ा है। क्या किसी बैंक की जिम्मेदारी केवल यह सुनिश्चित करना है कि उसके बही-खाते संतुलित रहें और उसकी तिजोरी में जमा पैसा सुरक्षित रहे? क्या ग्राहक की निजी जानकारी, उसकी पहचान, उसका आर्थिक इतिहास और उसकी निजता उस सुरक्षा के दायरे से बाहर की चीजें हैं?
बैंकिंग व्यवस्था में ग्राहक केवल अपनी मेहनत की गाढ़ी कमाई जमा नहीं करता, बल्कि अपनी पूरी पहचान, संपर्क विवरण और आर्थिक जरूरतों से जुड़ी संवेदनशील जानकारियां भी पूरी ईमानदारी के साथ सौंपता है। बदले में वह इस उम्मीद और भरोसे की अपेक्षा करता है कि बैंक उस जानकारी की रक्षा एक अभेद्य किले की तरह करेगा। जब यही जानकारी अनजान और संदिग्ध लोगों के हाथों तक पहुंचने की आशंका पैदा करती है, तो मामला केवल एक तकनीकी गड़बड़ी या सर्वर की त्रुटि का नहीं रह जाता। यह सीधे तौर पर जवाबदेही से पलायन और नागरिक की मौलिक निजता पर एक बड़ा हमला बन जाता है।
साइबर ठगी का बढ़ता जोखिम
खतरा इसलिए भी ज्यादा गंभीर है क्योंकि आज के आधुनिक साइबर अपराधियों को किसी खाते का पासवर्ड चुराने की कतई जरूरत नहीं होती। डिजिटल युग में डाटा ही नया तेल है और ठगों के लिए यह डेटा किसी खजाने से कम नहीं है। यदि किसी व्यक्ति का नाम, मोबाइल नंबर, जन्मतिथि, बैंक की शाखा और लोन से संबंधित सटीक जानकारी एक साथ किसी शातिर अपराधी को मिल जाए, तो वे ऐसे अत्यधिक विश्वसनीय दिखने वाले फोन कॉल और संदेश तैयार कर सकते हैं, जिसे पहचान पाना एक सामान्य नागरिक के लिए नामुमकिन होगा। वे खुद को बैंक का बड़ा अधिकारी या मैनेजर बताकर बात करेंगे। वे आपके लोन की किस्त, दस्तावेजों में कथित विसंगति, या KYC अपडेट न होने के कारण खाता तुरंत बंद होने का ऐसा खौफनाक डर दिखाएंगे कि अच्छे-भले पढ़े-लिखे लोग भी उनके झांसे में आ जाएं। जब उनके पास आपकी शाखा का नाम और CIF नंबर पहले से होगा, तो आप उन पर शक कैसे करेंगे? इसके बाद खेल शुरू होता है OTP, PIN या इंटरनेट बैंकिंग की गुप्त जानकारी हासिल करने का। हालांकि एसबीआई के इस मामले में फिलहाल ऐसी किसी धोखाधड़ी होने की आधिकारिक पुष्टि नहीं हुई है, लेकिन इस कड़वी हकीकत से कोई इनकार नहीं कर सकता कि निजी डेटा का यह खुला बाजार लक्षित साइबर ठगी के जोखिम को कई गुना बढ़ा देता है।
बैंकिंग व्यवस्था में सेंध का इतिहास
यह पहली बार नहीं है जब भारत की बैंकिंग व्यवस्था की रीढ़ पर साइबर सुरक्षा की चुनौतियों का प्रहार हुआ हो। इतिहास ऐसी चेतावनियों से भरा पड़ा है, जिन्हें हम नजरअंदाज करते आ रहे हैं। अगस्त 2018 में पुणे के कॉसमोस को-ऑपरेटिव बैंक पर हुए ऐतिहासिक साइबर हमले में अपराधियों ने सीधे बैंक के ATM स्विच सर्वर की प्रणाली को हैक कर लिया था और कार्ड लेनदेन के माध्यम से लगभग 94.42 करोड़ रुपये की भारी-भरकम रकम पार कर दी थी। इसके तुरंत बाद SWIFT भुगतान प्रणाली में सेंध लगाकर लगभग 13.92 करोड़ रुपये विदेशों में ट्रांसफर कर दिए गए थे। यह घटना इस बात का जीता-जागता सबूत थी कि साइबर अपराधी बैंक के लॉकर को छुए बिना भी उसकी पूरी पूंजी साफ कर सकते हैं। इसके बाद फरवरी 2018 में सिटी यूनियन बैंक ने भी SWIFT प्रणाली के माध्यम से तीन अनधिकृत विदेशी भुगतानों के सामने आने की बात कबूल की थी। वहीं मार्च 2019 में भारतीय रिजर्व बैंक ने जब SWIFT से संबंधित परिचालन नियंत्रणों और सुरक्षा निर्देशों का पालन न करने पर देश के 36 बड़े बैंकों पर एक साथ मौद्रिक जुर्माना लगाया था, तब यह साफ हो गया था कि हमारे बैंक सुरक्षा को लेकर कितने लापरवाह हैं।
इन पिछली घटनाओं को एसबीआई के मौजूदा मामले जैसा हूबहू हमला नहीं कहा जा सकता, क्योंकि इनके तरीके, तकनीक और परिस्थितियां बिल्कुल जुदा थीं। लेकिन ये सभी घटनाएं एक ही महत्वपूर्ण और सबक देती हैं—डिजिटल बैंकिंग में सुरक्षा केवल महंगे सॉफ्टवेयर खरीद लेने, बड़ी-बड़ी आईटी कंपनियों को ठेके दे देने या फाइलों में नियम बना देने से सुनिश्चित नहीं होती। इसके लिए चौबीसों घंटे निरंतर पैनी निगरानी, सख्त नियंत्रण, स्वतंत्र और निष्पक्ष ऑडिट तथा सबसे बढ़कर जवाबदेही की जरूरत होती है, जिसकी हमारे देश में सबसे ज्यादा कमी है।
कुछ महत्वपूर्ण सवाल
अब एसबीआई के मामले में सबसे अहम और चुभता हुआ सवाल यह है कि यह डेटा आखिर दीवारों को लांघकर बाहर कैसे पहुंचा? क्या यह बैंक की किसी आंतरिक प्रणाली की सड़ांध का नतीजा है? क्या इसमें किसी तीसरे पक्ष के सेवा प्रदाता की सुरक्षा व्यवस्था की भूमिका थी? क्या किसी अंदरूनी कर्मचारी के खाते का जानबूझकर दुरुपयोग हुआ? या फिर बैंक के केंद्रीय सर्वर में कोई ऐसी बड़ी तकनीकी कमजोरी थी जिसे बैंक के इंजीनियर समय रहते पकड़ नहीं पाए? फिलहाल इन संभावनाओं में से किसी की भी आधिकारिक पुष्टि नहीं हुई है और बैंक की जांच अभी जारी है। लेकिन जनता को यह जानने का पूरा हक है कि सच क्या है। यह भी साफ करना होगा कि लगभग 3.75 लाख रिकॉर्ड वाले इस पूरे डेटा संग्रह में वास्तव में क्या-क्या है। 3,897 व्यक्तिगत जानकारी वाले रिकॉर्ड की पहचान को पूरे संग्रह में 3.75 लाख सत्यापित पीड़ितों की संख्या बताना भले ही सांख्यिकीय रूप से गलत हो, लेकिन क्या 3,897 नागरिकों की निजता का हनन कोई छोटा मामला है?
एक और सबसे गंभीर प्रश्न प्रभावित ग्राहकों को सूचना देने का है। क्या बैंक ने उन 3,897 या संभावित प्रभावित लोगों को व्यक्तिगत रूप से फोन, ईमेल या पत्र के जरिए सीधे सूचित किया है? क्या उन्हें पारदर्शी तरीके से यह बताया गया है कि उनका कौन-सा विशिष्ट डेटा लीक हुआ है ताकि वे सतर्क हो सकें? क्या बैंक ने किसी विशेष आपातकालीन हेल्पलाइन या समर्पित सहायता व्यवस्था की घोषणा की है, जहां घबराए हुए ग्राहक अपनी चिंताएं दर्ज करा सकें और सही जानकारी पा सकें? केवल यह कहकर पल्ला झाड़ लेना कि बैंक का मुख्य कामकाज सामान्य रूप से चल रहा है, उन लाखों खाताधारकों की मानसिक प्रताड़ना और चिंता का जवाब नहीं हो सकता, जिनकी जिंदगी भर की कमाई इस बैंक में जमा है।
क्या कहता है डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम
भारत में डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 और उससे जुड़े कड़े नियमों का उद्देश्य ही यही था कि नागरिकों के व्यक्तिगत डेटा की सुरक्षा सुनिश्चित की जा सके और डेटा उल्लंघन की स्थिति में बड़ी से बड़ी संस्थाओं की जवाबदेही तय करने का एक कानूनी ढांचा तैयार हो। हालांकि, इस मामले में तकनीकी और कानूनी निष्कर्ष तभी निकाला जा सकता है जब किसी विशेष प्रावधान की प्रभावी तारीख और लागू दायित्वों की समीक्षा की जाए। लेकिन कानून की बारीकियाँ चाहे जो कहें, कानूनी समयसीमाएं चाहे जितनी लंबी क्यों न हों—प्रभावित ग्राहकों को तुरंत, बिना किसी देरी के स्पष्ट सूचना देना और उन्हें संभावित वित्तीय धोखाधड़ी से बचाने के लिए ढाल बनकर खड़ा होना जिम्मेदार बैंकिंग का एक बुनियादी और नैतिक दायित्व है। इस मोर्चे पर एसबीआई की चुप्पी उसकी नैतिक विफलता को दर्शाती है।
एसबीआई को बिना किसी कॉरपोरेट चालाकी के अपनी जांच के निष्कर्षों को पूरी तरह सार्वजनिक करना चाहिए। डेटा के संभावित स्रोत, सुरक्षा में सामने आई गंभीर कमियों, प्रभावित ग्राहकों की वास्तविक और सटीक संख्या, और भविष्य में ऐसी शर्मनाक घटना को रोकने के लिए उठाए गए ठोस कदमों के बारे में देश को पारदर्शी जानकारी दी जानी चाहिए। यदि जांच में किसी भी स्तर पर, चाहे वह बड़े से बड़ा अधिकारी ही क्यों न हो, लापरवाही सामने आती है, तो सिर्फ निलंबन नहीं बल्कि आपराधिक जवाबदेही तय होनी चाहिए। साइबर अपराधियों के खिलाफ कानूनी कार्रवाई तो अपनी जगह है, लेकिन संस्था के भीतर बैठे उन लोगों की समीक्षा भी उतनी ही जरूरी है जिनकी लापरवाही से यह मुमकिन हुआ।
साइबर ठगी से सावधान रहने की जरूरत
निश्चित रूप से, ग्राहकों को भी सतर्क रहना होगा। किसी भी अनजान व्यक्ति को अपना OTP, PIN या इंटरनेट बैंकिंग पासवर्ड न देना, KYC अपडेट के नाम पर आए फर्जी लिंक्स पर क्लिक न करना, और किसी भी संदिग्ध लेनदेन की स्थिति में तुरंत राष्ट्रीय हेल्पलाइन नंबर 1930 या साइबर अपराध पोर्टल पर शिकायत दर्ज कराना हर नागरिक का कर्तव्य है। यक्ष प्रश्न यह है कि क्या ग्राहक की यह सतर्कता, बैंक की डेटा सुरक्षा की प्राथमिक जिम्मेदारी का विकल्प हो सकती है?
डिजिटल भारत की सफलता का पैमाना केवल इस बात से नहीं मापा जा सकता कि देश में कितने करोड़ लोग मोबाइल से भुगतान कर रहे हैं या जनधन खातों की संख्या कितनी हो गई है। डिजिटल प्रगति की असली कसौटी यह है कि एक सामान्य नागरिक इस तंत्र में खुद को कितना सुरक्षित महसूस करता है। उसकी निजी जानकारी कितनी महफूज है, और किसी चूक की स्थिति में उसे व्यवस्था से कितनी पारदर्शिता, ईमानदारी और वास्तविक सहायता मिलती है। बैंक की तिजोरी का पैसा सुरक्षित होना बेशक जरूरी है, लेकिन नागरिक की पहचान, उसका आत्मसम्मान और उसकी निजता सुरक्षित होना भी उतनी ही जरूरी है।
अगर देश का आम आदमी अपनी गाढ़ी कमाई और अपनी व्यक्तिगत जानकारियां देश के सबसे बड़े सरकारी बैंक को सौंपकर भी रात को चैन की नींद नहीं सो सकता, तो कागजी आश्वासनों और विज्ञापनों से यह भरोसा कभी कायम नहीं रह सकता। जब एक आम नागरिक सरकार और व्यवस्था पर भरोसा करके अपनी पूरी आर्थिक और व्यक्तिगत जिंदगी बैंक के सुपुर्द कर देता है, तो उस भरोसे के टूटने पर उसकी निजता की नीलामी की कीमत आखिर कौन चुकाएगा? क्या हमेशा की तरह आम जनता ही इस लापरवाही की बलि चढ़ेगी, या फिर इस बार देश के सबसे बड़े बैंक को अपनी गद्दी से उठकर जवाब देना होगा? जवाबदेही तय होनी ही चाहिए, क्योंकि निजता कोई खैरात नहीं, बल्कि हर नागरिक का संवैधानिक अधिकार है!
