ईपीएफओ पेंशन योजना धारकों का डेटा ऑनलाइन उजागर, सुरक्षा शोधकर्ता का दावा

यूक्रेन स्थित साइबर सुरक्षा शोधकर्ता और पत्रकार ने दावा किया है कि कर्मचारी भविष्य निधि संगठन (ईपीएफओ) में कर्मचारी पेंशन योजना (ईपीएस) धारकों का पूरा नाम, बैंक खाता संख्या और नामित जानकारी वाले लगभग 288 मिलियन व्यक्तिगत रिकॉर्ड थे। इंटरनेट से हटाए जाने से पहले ऑनलाइन उजागर किया गया। ऑनलाइन उजागर हुए डेटा के बारे में सुरक्षा शोधकर्ता के दावे को ईपीएफओ, राष्ट्रीय साइबर एजेंसी सीईआरटी-इन या आईटी मंत्रालय द्वारा सत्यापित किया जाना बाकी था।

सिक्योरिटीडिस्कवरी डॉट कॉम के साइबर खतरे के खुफिया निदेशक और पत्रकार बॉब डियाचेंको ने दावा किया कि उनके सिस्टम ने यूनिवर्सल अकाउंट नंबर (यूएएन) डेटा के साथ दो अलग-अलग आईपी की पहचान की है।

एक आईपी पता एक अनूठा पता है जो इंटरनेट या स्थानीय नेटवर्क पर किसी डिवाइस की पहचान करता है। IP का मतलब "इंटरनेट प्रोटोकॉल" है। "यूएएन का मतलब यूनिवर्सल अकाउंट नंबर है और यह भारत सरकार की रजिस्ट्री का एक महत्वपूर्ण हिस्सा है। यूएएन को ईपीएफओ द्वारा आवंटित किया जाता है, उन्होंने एक ब्लॉग पोस्ट में लिखा है।

प्रत्येक रिकॉर्ड में व्यक्तिगत जानकारी होती है, जिसमें वैवाहिक स्थिति, लिंग और जन्म तिथि, यूएएन, बैंक खाता संख्या और रोजगार की स्थिति, अन्य शामिल हैं। जहां एक आईपी पते के तहत 280 मिलियन रिकॉर्ड उपलब्ध थे, वहीं दूसरे आईपी पते में लगभग 8.4 मिलियन डेटा रिकॉर्ड सार्वजनिक रूप से सामने आए, शोधकर्ता ने दावा किया।

डियाचेंको ने दावा किया, "डेटा के पैमाने और स्पष्ट संवेदनशीलता को देखते हुए, मैंने स्रोत और संबंधित जानकारी के रूप में कोई विवरण दिए बिना इसके बारे में ट्वीट करने का फैसला किया। मेरे ट्वीट के 12 घंटे के भीतर दोनों आईपी को हटा दिया गया और अब अनुपलब्ध है।" उन्होंने कहा, "3 अगस्त तक, मुझे किसी भी एजेंसी या कंपनी से कोई जवाब नहीं मिला, जो मिले डेटा के लिए जिम्मेदारी का दावा करेगी," उन्होंने कहा। सुरक्षा शोधकर्ता के अनुसार, "दोनों IP Azure-होस्टेड और भारत-आधारित थे"।

सुरक्षा शोधकर्ता ने कहा, "रिवर्स डीएनएस विश्लेषण के माध्यम से भी कोई अन्य जानकारी प्राप्त नहीं हुई थी। शोडान और सेन्सिस दोनों सर्च इंजनों ने उन्हें 1 अगस्त को उठाया था, लेकिन यह अज्ञात है कि यह जानकारी कितनी देर तक खोज इंजनों को अनुक्रमित करने से पहले उजागर हुई थी।" उन्होंने यह भी ट्वीट किया: "[ब्रीच अलर्ट] इस भारतीय डेटाबेस में 280M+ रिकॉर्ड, सार्वजनिक रूप से उजागर। कहां रिपोर्ट करें? @IndianCERT?" उन्होंने बताया कि दोनों आईपी को अब सार्वजनिक डोमेन से हटा दिया गया है।