ஜப்பானில் சாத்தியமான தரவுக் கசிவுகள் 16.5 கோடி பதிவுகளைத் தாண்டின; பரவலான ஊடுருவல்களை நிறுவனங்கள் வெளியிட்டன

அன்றாடச் சேவைகள் முழுவதும் கோடிக்கணக்கான பதிவுகள் அம்பலமாயின

2026ஆம் ஆண்டில் ஜப்பானில் அனுமதியற்ற அணுகல் மூலம் கசிந்திருக்கக்கூடிய தனிப்பட்ட தகவல்கள் 16.5 கோடி பதிவுகளைத் தாண்டியுள்ளன என்று பாதுகாப்பு நிறுவனமான மாக்னிகா கணக்கிட்டுள்ளது. ரயில் பயணம், வணிகம், கரோக்கே, மென்பொருள், பார்சல் விநியோகம், கார் பகிர்வு உள்ளிட்ட பல துறைகளில் இந்தத் தகவல் வெளியீடுகள் நிகழ்ந்துள்ளன. ஏற்கெனவே தங்கள் கணக்குகளை மூடியவர்களின் தகவல்களும் இதில் அடங்கும்.

சோர்ஸ்நெக்ஸ்ட் நிறுவனம் மட்டும் அக்டோபர் 15ஆம் தேதி 22,519,960 வாடிக்கையாளர் பதிவுகள் கசிந்திருக்கக்கூடும் என்று அறிவித்தது. ஸ்கைடிக்கெட் பயண முன்பதிவு இணையதளத்தை நடத்தும் அட்வென்ச்சர் நிறுவனம், சுமார் 1.464 கோடி பதிவுகள் தொடர்பான சாத்தியமான தரவு ஊடுருவலை வெளியிட்டது. பின்னர் யமடோ டிரான்ஸ்போர்ட், அதன் கட்டணத்தைப் பிறகு செலுத்தும் சேவையுடன் தொடர்புடைய 53.1 லட்சம் பதிவுகள் பாதிக்கப்பட்டிருக்கலாம் எனக் கண்டறிந்தது.

1.65 கோடி என்ற எண்ணிக்கை பல்வேறு சம்பவங்களில் உள்ள தனிப்பட்ட தகவல்களை ஒட்டுமொத்தமாகக் கணக்கிடுகிறது. ஆகவே, பல பாதிக்கப்பட்ட சேவைகளில் ஒருவரின் தகவல் இடம்பெற்றிருந்தால், அவர் ஒன்றுக்கு மேற்பட்ட முறை கணக்கிடப்படலாம். உறுதிப்படுத்தப்பட்ட தகவல் கசிவுகளுடன், கசிந்திருக்கக்கூடிய தகவல்களும் இந்த மொத்தத்தில் அடங்கும்.

குறிப்பிட்ட வகையான இணையதள ஊடுருவல்கள் குறித்து மாக்னிகா நடத்திய விரிவான ஆய்வில், அக்டோபர் 6ஆம் தேதிக்குள் 119 பொது அறிவிப்புகள் கண்டறியப்பட்டன. இது 2025ஆம் ஆண்டு முழுவதும் பதிவான 84 சம்பவங்களைவிட அதிகம். அந்த 119 அறிவிப்புகளில் 81, ஜூலை மாதம் முதல் வெளியிடப்பட்டவை.

ஜப்பானின் தகவல் தொழில்நுட்ப மேம்பாட்டு நிறுவனம் (ஐபிஏ), அக்டோபர் 9ஆம் தேதி அவசர எச்சரிக்கை விடுத்து, இணையச் சேவைகள், கணக்குகள், சேமிக்கப்பட்ட தரவுகள் ஆகியவற்றைச் சரிபார்க்குமாறு நிறுவனத் தலைவர்களைக் கேட்டுக்கொண்டது. ஊடுருவியவர்களைக் கண்டறிவதும், அவர்கள் திருடக்கூடிய தனிப்பட்ட தகவல்களின் அளவைக் குறைப்பதும் ஆகிய உடனடி நடவடிக்கைகளை அதன் அறிவுரை வலியுறுத்துகிறது.

வாடிக்கையாளர்களுக்கு ஏற்படும் பாதிப்பு, ஒவ்வொரு சேவையும் என்னென்ன தகவல்களைச் சேமித்திருந்தது என்பதைப் பொறுத்தது. பாதிக்கப்பட்ட சில தரவுத்தளங்களில் தொடர்பு விவரங்கள் இருந்தன. மற்றவற்றில் கடவுச்சொற்கள், கடன் அட்டைத் தகவல்கள் அல்லது அடையாள ஆவணங்களின் படங்கள் இடம்பெற்றிருக்கக்கூடும். ஒரே ஒப்பந்த நிறுவனத்தின் மீதான தாக்குதல், ஒரே நேரத்தில் பல நிறுவனங்களின் வாடிக்கையாளர்களை எவ்வாறு பாதிக்கக்கூடும் என்பதையும் இந்தத் தகவல் வெளியீடுகள் காட்டுகின்றன.

மாக்னிகா கணக்கிட்டவை என்ன, அதிகரிப்பு ஏன் முக்கியம்?

மாக்னிகாவின் இணையதள ஊடுருவல் ஆய்வு, 2024 ஜனவரி முதல் 2026 அக்டோபர் 6 வரை ஜப்பானிய நிறுவனங்கள் பொதுவில் அறிவித்த 265 சம்பவங்களை ஆய்வு செய்தது. ஆண்டுவாரியான எண்ணிக்கை 2024இல் 62 ஆகவும், 2025இல் 84 ஆகவும் இருந்தது; 2026இன் முழுமையடையாத காலப்பகுதியிலேயே 119 ஆக உயர்ந்தது.

முந்தைய முழு ஆண்டைவிட 2026ஆம் ஆண்டின் எண்ணிக்கை ஏற்கெனவே 35 சம்பவங்கள், அதாவது சுமார் 42%, அதிகமாக இருந்தது. ஜூலைக்குப் பிறகு வெளியான 81 அறிவிப்புகள், அந்த ஆண்டின் மொத்தத்தில் சுமார் 68% ஆகவும், ஆய்வு செய்யப்பட்ட 265 சம்பவங்களில் சுமார் 31% ஆகவும் இருந்தன.

மாக்னிகாவின் பாதுகாப்பு ஆய்வு மையத்தைச் சேர்ந்த யுடகா செஜியாமா, பொது அறிவிப்புகள் குறித்த ஆய்வைத் தயாரித்தார். தாக்குதல் ஆய்வுக்கான பங்களிப்புகளை இடோச்சு சைபர் & இன்டெலிஜென்ஸைச் சேர்ந்த மோட்டோஹிகோ சாடோவும், செக்யூர் ஸ்கை டெக்னாலஜியின் தலைமைத் தொழில்நுட்ப அதிகாரி யோசுகே ஹசேகவாவும் வழங்கினர்.

ஒத்த அம்சங்கள் கொண்டவை என ஆய்வாளர்கள் கருதிய சம்பவங்கள் மட்டுமே தேர்ந்தெடுக்கப்பட்டன. தரவுத் தொகுப்பில் ரான்சம்வேர் தாக்குதல்களும், தொடர்பில்லாத சேவைகளிலிருந்து திருடப்பட்ட கடவுச்சொற்களைப் பயன்படுத்தி வாடிக்கையாளர் கணக்குகளில் நுழைய முயன்றது உள்ளிட்ட சில தாக்குதல் வகைகளும் சேர்க்கப்படவில்லை. ஒரே ஒப்பந்த நிறுவனத்தில் நடந்த ஒரு சம்பவத்தால் பல வாடிக்கையாளர்களுக்கு ஏற்பட்ட பாதிப்புகள் அறிவிக்கப்பட்டபோது, ஆய்வாளர்கள் அந்த ஒப்பந்த நிறுவனச் சம்பவத்தை ஒருமுறை மட்டுமே கணக்கிட்டனர்.

கீழே விவரிக்கப்படும் பரந்த அளவிலான நிறுவன அறிவிப்புகளில் ரான்சம்வேர் சம்பவங்களும் இடம்பெறுகின்றன. எனவே, வாசகர்கள் இரண்டு அளவீடுகளைத் தனித்தனியாகக் கவனிக்க வேண்டும்: பாதிக்கப்பட்டிருக்கக்கூடிய வாடிக்கையாளர் தகவல்களின் அளவு மற்றும் மாக்னிகாவின் தொழில்நுட்ப ஆய்வில் கண்காணிக்கப்பட்ட, தேர்ந்தெடுக்கப்பட்ட இணையதளச் சம்பவங்களின் எண்ணிக்கை.

அதிக அளவில் தகவல் பாதிப்பை அறிவித்த நிறுவனங்கள் எவை?

பெயர்கள், முகவரிகள், தொலைபேசி எண்கள், பணியிடங்கள், மின்னஞ்சல் முகவரிகள், கடவுச்சொற்கள் ஆகியவை பாதிக்கப்பட்டிருக்கக்கூடிய தகவல்களில் அடங்கும் என்று சோர்ஸ்நெக்ஸ்ட் தெரிவித்தது. அக்டோபர் 13ஆம் தேதி அதன் உறுப்பினர் தகவல் அமைப்பில் அனுமதியற்ற அணுகல் ஏற்பட்டதை மென்பொருள் நிறுவனம் கண்டறிந்தது. இரண்டு நாட்களுக்குப் பிறகு, தகவல்கள் கசிந்திருக்கக்கூடும் என அறிவித்தது.

ஸ்கைடிக்கெட்டுக்கான சேவையகங்கள் மற்றும் வணிக மேலாண்மை அமைப்பின் மீது தாக்குதல்கள் நடத்தப்பட்டதாக அட்வென்ச்சர் தெரிவித்தது. இதனால் சுமார் 1.464 கோடி தனிப்பட்ட தகவல் பதிவுகள் பாதிக்கப்பட்டிருக்கலாம். கடன் அட்டை எண்களும் கடவுச்சீட்டு எண்களும் கசியவில்லை என்றும் அந்நிறுவனம் கூறியது.

பிக் எக்கோ கரோக்கே சங்கிலியை நடத்தும் டைஇச்சிகோஷோ, வெளி ஒப்பந்த நிறுவனத்தால் நிர்வகிக்கப்பட்ட அமைப்பின் மூலம் சுமார் 87.2 லட்சம் தனிப்பட்ட பதிவுகள் அம்பலமாகியிருக்கக்கூடும் என்றது. அவுட்சோர்சிங் நிறுவனத்தில் ஏற்பட்ட தீங்கிழைக்கும் மென்பொருள் சம்பவமே இதற்குக் காரணம்.

சுமார் 60.9 லட்சம் வாடிக்கையாளர் கணக்குகள் ஊடுருவலுக்கு உள்ளாகியிருக்கக்கூடும் என்று ஜேஆர் ஈஸ்ட் தெரிவித்தது. ஜேஆர் கியூஷு, சுமார் 13 லட்சம் கணக்குகள் பாதிக்கப்பட்டிருக்கலாம் என்றது. சாஃப்ட்பேங்கின் கிளவுட் சேவை துணை நிறுவனமான ஐடிசி ஃபிரான்டியர் மீது நடத்தப்பட்ட ரான்சம்வேர் தாக்குதலுடன், இரு நிறுவனங்களும் தங்கள் தரவு ஊடுருவல்களைத் தொடர்புபடுத்தின. அவை வெளியிட்ட மொத்த எண்ணிக்கை சுமார் 73.9 லட்சம் கணக்குகள்.

உறுப்பினர் தரவுகளை நிர்வகிக்கும் தனது துணை நிறுவனத்தில் அனுமதியற்ற அணுகல் ஏற்பட்டதைத் தொடர்ந்து, 64.3 லட்சம் வாடிக்கையாளர்கள் வரை பாதிக்கப்பட்டிருக்கக்கூடும் என்று புக்-ஆஃப் குழும ஹோல்டிங்ஸ் முதலில் அறிவித்தது. பின்னர் வெளியான விவரத்தின்படி, சுமார் 63.8 லட்சம் பேரின் தகவல்கள் கசிந்தன. இவர்களில் சுமார் 2.1 லட்சம் பேர் முன்னாள் உறுப்பினர்கள்.

பெயர்கள், மின்னஞ்சல் முகவரிகள், கடன் அட்டைத் தகவல்கள் உள்ளிட்ட 21.5 லட்சத்துக்கும் மேற்பட்ட வாடிக்கையாளர் பதிவுகளை அனுமதியற்ற அணுகல் மூலம் பெறக்கூடிய நிலை ஏற்பட்டதாக லாசன் தெரிவித்தது. நியூஸ்பிக்ஸை நடத்தும் உசாபேஸ், மேலாண்மைக் கருவிக்கான அனுமதியற்ற அணுகலால் சில பயனர் தகவல்கள் அம்பலமாகியிருக்கக்கூடும் என்றது.

அறிவிப்புகளின்போது சட்டவிரோதப் பயன்பாடு எதுவும் உறுதிப்படுத்தப்படவில்லை என்று லாசன், டைஇச்சிகோஷோ, உசாபேஸ் ஆகியவை தெரிவித்தன. மூன்றாம் தரப்பினர் தகவல்களைத் தவறாகப் பயன்படுத்தியதற்கான சான்றுகள் கிடைக்கவில்லை என்று ரயில் நிறுவனங்களும், புக்-ஆஃப் மற்றும் அட்வென்ச்சர் நிறுவனங்களும் கூறின. சந்தேகத்துக்குரிய மின்னஞ்சல்கள் மற்றும் தொலைபேசி அழைப்புகள் குறித்து விழிப்புடன் இருக்குமாறு வாடிக்கையாளர்களை அவை கேட்டுக்கொண்டன.

விநியோகப் பதிவுகள், மென்பொருள் மேம்பாட்டுக் கருவிகள், கல்வி நிறுவனங்கள் பாதிப்பு

கட்டணத்தைப் பிறகு செலுத்தும் சேவையைப் பயன்படுத்திய சிலருக்குச் சொந்தமான 53.1 லட்சம் தனிப்பட்ட தகவல் பதிவுகள் ஊடுருவலால் பாதிக்கப்பட்டதாக யமடோ டிரான்ஸ்போர்ட் அக்டோபர் 16ஆம் தேதி தெரிவித்தது. செப்டம்பர் 29ஆம் தேதியே இத்தரவு ஊடுருவலை அந்நிறுவனம் முதன்முதலில் அறிவித்திருந்தது.

2018 அக்டோபர் 1 முதல் சுமார் எட்டு ஆண்டுகளில் சேகரிக்கப்பட்ட பெயர்கள், முகவரிகள், தொலைபேசி எண்கள் ஆகியவை பாதிக்கப்பட்ட தகவல்களில் அடங்கும். நீண்ட காலமாகச் சேகரிக்கப்பட்ட வாடிக்கையாளர் தகவல்களையும் ஒரே ஊடுருவல் அம்பலப்படுத்தக்கூடும் என்பதை இந்தக் கால அளவு காட்டுகிறது.

அமைப்பு மேம்பாட்டுக்குப் பயன்படுத்தப்படும் கிளவுட் சேவையில் அனுமதியற்ற அணுகல் ஏற்பட்டதைத் தொடர்ந்து, பெயர்கள், முகவரிகள், மின்னஞ்சல் முகவரிகள் உள்ளிட்ட சுமார் 18.3 லட்சம் பதிவுகள் ஊடுருவலால் பாதிக்கப்பட்டதாக நிக்கேய் நிறுவனம் தெரிவித்தது. மென்பொருளை உருவாக்க அல்லது பராமரிக்கப் பயன்படுத்தப்படும் மேம்பாட்டுச் சேவையின் மூலம், நிறுவனத்தின் தொழில்நுட்பச் சூழலின் மற்றொரு பகுதியையும் தாக்குதலாளர்கள் அடையக்கூடும்.

கல்வி அமைச்சகமும், செப்டம்பர் இறுதி முதல் சமீபத்திய அறிவிப்புகளுக்கு முந்தைய வியாழக்கிழமை வரை, பெரும்பாலும் பல்கலைக்கழகங்களான எட்டு கல்வி நிறுவனங்கள் தரவு ஊடுருவல்களை அறிவித்ததாகக் கூறியது. நூலகப் பட்டியல் தேடல், சுற்றுலா ரயில் முன்பதிவு, பல்கலைக்கழக விடுதி முன்பதிவு, பயணச்சீட்டு பணத்தைத் திருப்பி வழங்கும் மேலாண்மை எனப் பலவகையான சேவைகள் பாதிக்கப்பட்டதை மாக்னிகா ஆய்வு கண்டறிந்தது.

அறிவிப்புகள் வெளியான காலவரிசை

எவ்வளவு தகவல்கள் பாதிக்கப்பட்டன என்பதைத் தீர்மானிக்கும் விசாரணைகள் தொடர்ந்துகொண்டிருந்தபோது, பல சம்பவங்கள் சில வார இடைவெளியில் பொதுவெளிக்கு வந்தன. ஊடுருவலும் அதற்கான நடவடிக்கைகளும் நிகழ்ந்த துல்லியமான நேரங்களை சோர்ஸ்நெக்ஸ்டின் விவரம் குறிப்பாகத் தெளிவுபடுத்துகிறது.

• செப்டம்பர் 29: யமடோ டிரான்ஸ்போர்ட் தனது தரவு ஊடுருவலை முதன்முதலில் அறிவித்தது. பார்க்24 தனது கார் பகிர்வுச் சேவையில் ஏற்பட்ட தரவு ஊடுருவலை செப்டம்பர் இறுதியில் வெளியிட்டது.
• அக்டோபர் 6: மாக்னிகாவின் ஆய்வுக் கணக்கெடுப்பு முடிவுநாளில், 2026ஆம் ஆண்டில் தேர்ந்தெடுக்கப்பட்ட இணையதள ஊடுருவல்கள் குறித்த 119 அறிவிப்புகள் பதிவாகியிருந்தன.
• அக்டோபர் 8: ஜப்பானின் கணினிப் பாதுகாப்புச் சம்பவங்களுக்குப் பதிலளிக்கும் அமைப்பான ஜேபிசெர்ட்/சிசியின் தொடர்புடைய எச்சரிக்கை குறித்த குறிப்பை மாக்னிகா சேர்த்தது.
• அக்டோபர் 9: ஐபிஏ அவசர ஆய்வு அறிவுரையை வெளியிட்டது. ஜேஆர் ஈஸ்ட், புக்-ஆஃப், டைஇச்சிகோஷோ, அட்வென்ச்சர் உள்ளிட்ட நிறுவனங்களின் அறிவிப்புகளும் அன்றே பொதுவெளிக்கு வந்தன. சோர்ஸ்நெக்ஸ்டில் ஊடுருவல் அக்டோபர் 9 காலை சுமார் 10 மணிக்குத் தொடங்கியதாக அந்நிறுவனம் பின்னர் கண்டறிந்தது.
• அக்டோபர் 13: காலை சுமார் 9 மணிக்கு அனுமதியற்ற அணுகலைக் கண்டறிந்த சோர்ஸ்நெக்ஸ்ட், அன்றைய பிற்பகலுக்குள் அதைத் தடுக்க அவசர நடவடிக்கைகளை மேற்கொண்டது.
• அக்டோபர் 15: 22,519,960 பதிவுகள் பாதிக்கப்பட்டிருக்கக்கூடும் என்று சோர்ஸ்நெக்ஸ்ட் அறிவித்தது.
• அக்டோபர் 16: யமடோ 53.1 லட்சம் பாதிக்கப்பட்ட பதிவுகள் குறித்த விவரங்களை வெளியிட்டது; நிக்கேய் தனது தரவு ஊடுருவலை அறிவித்தது; அடையாள ஆவணப் படங்களை அக்டோபர் இறுதிக்குள் நீக்கிவிடத் திட்டமிட்டுள்ளதாக பார்க்24 தெரிவித்தது.

சோர்ஸ்நெக்ஸ்டின் காலவரிசைப்படி, அனுமதியற்ற அணுகல் கண்டறியப்படுவதற்கு ஏறத்தாழ நான்கு நாட்களுக்கு முன்பே தொடங்கியிருந்தது. அண்மைய செயல்பாடுகளை ஆய்வு செய்து, பின்னர் தேடலை மேலும் பின்னோக்கி விரிவுபடுத்துமாறு ஐபிஏ வழங்கிய அறிவுரை, எச்சரிக்கை எழுப்பப்படுவதற்கு முன்பு என்ன நடந்தது என்பதை மீட்டமைக்க வேண்டிய இந்தத் தேவையை நேரடியாகக் கையாள்கிறது.

தாக்குதலாளர்கள் சேவைகள் முழுவதிலும் உள்ள பலவீனங்களைத் தேடினர்

தனிப்பட்ட இணையதளங்களையும் அவற்றின் பயன்பாட்டு நிரலாக்க இடைமுகங்களையும் (ஏபிஐ) தாக்குதலாளர்கள் ஆய்வு செய்ததாக மாக்னிகாவின் தொழில்நுட்பப் பகுப்பாய்வு தெரிவிக்கிறது. ஓர் ஆப் அல்லது இணையதளம் மற்றொரு அமைப்பிடம் தகவல் கேட்கவோ, ஒரு பணியைச் செய்யுமாறு கோரவோ பயன்படும் வழியே ஏபிஐ ஆகும்.

தேவைக்கு அதிகமான தகவல்களைத் திருப்பி அளிக்கும் ஏபிஐகள், மிகையான அனுமதிகளுடன் செயல்படும் வசதிகள், உறுப்பினர்களுக்கென இருந்தும் பதிவு செய்யாத பார்வையாளர்களும் அணுகக்கூடிய அம்சங்கள் போன்ற குறைபாடுகளை ஆய்வாளர்கள் கண்டறிந்தனர். உள்நுழைவு அமர்வுகள், செயலாக்க விதிகள், அணுகல் அமைப்புகள் ஆகியவற்றிலும் பிற சிக்கல்கள் இருந்தன.

சில தாக்குதலாளர்கள் ஏபிஐ விசைகளைப் பெறுவதற்காக கைப்பேசி செயலிகளை ஆய்வு செய்தனர். சேவையுடன் தொடர்புகொள்ளும்போது பயன்படுத்தப்படும் சான்றுகளே இந்த விசைகள். பின்னர், வழக்கமான போக்குவரத்தைப் போன்ற கோரிக்கைகளை அனுப்ப அவற்றைப் பயன்படுத்தினர். பலவீனமான நிர்வாகி கடவுச்சொற்களும், அறியப்பட்ட மென்பொருள் பாதிப்புகளைப் பயன்படுத்தியதும் ஆய்வாளர்களால் கவனிக்கப்பட்டன.

ஒரே மென்பொருள் புதுப்பிப்பை நிறுவுவதைக் காட்டிலும் பரந்த நடவடிக்கை தேவைப்படுகிறது. கோரிக்கையை அனுப்புபவர் யார், அவருக்கு எந்தப் பதிவுகளைப் பெற அனுமதி உண்டு என்பதைச் சேவையகம் சரிபார்க்கிறதா என்பதை ஒவ்வொரு சேவையும் சோதிக்க வேண்டும். அதிக அளவிலான தகவல்களை ஏற்றுமதி செய்யும் நிர்வாகக் கருவிகளையும் உன்னிப்பாகக் கண்காணிக்க வேண்டும்.

பெரும்பாலான அறிவிப்புகளில் காரணம் குறித்த விவரங்கள் குறைவு

ஜூலைக்குப் பிறகு வெளியான, தேர்ந்தெடுக்கப்பட்ட 81 சம்பவங்களில், மென்பொருள் தயாரிப்புகள் அல்லது தொடர்புடைய கருவிகளில் இருந்த பாதிப்புகள் காரணமாக ஒன்பது சம்பவங்கள் நடந்ததாகவும், சான்றுகள் தவறாகப் பயன்படுத்தப்பட்டதாலோ கடவுச்சொல் தாக்குதல்களாலோ நான்கு சம்பவங்கள் நிகழ்ந்ததாகவும், இணையதள அமைப்புகள் அல்லது அணுகல் கட்டுப்பாட்டுக் குறைபாடுகளால் மூன்று சம்பவங்கள் ஏற்பட்டதாகவும் மாக்னிகா வகைப்படுத்தியது.

மீதமுள்ள 65 அறிவிப்புகளில், அதாவது சுமார் 80.2% அறிவிப்புகளில், காரணத்தைக் கண்டறிவதற்குப் போதுமான விளக்கம் இல்லை. இதனால் மற்ற நிறுவனங்கள் தங்கள் அமைப்புகளில் எந்தக் குறைபாடுகளைத் தேட வேண்டும் என்பதைக் கண்டறிவதற்கான தகவல்கள் குறைவாக உள்ளன.

அனுமதியின்றி நுழைந்தவர்கள் அணுகலைப் பெற்ற பிறகு என்ன செய்தார்கள் என்பதையும் சில அறிவிப்புகள் விவரித்தன. 11 சம்பவங்களில் அனுமதியற்ற நிரல்கள் நிறுவப்பட்டன அல்லது இயக்கப்பட்டன; ஒன்பது சம்பவங்களில் ஏபிஐகள் அல்லது தரவுத்தளங்கள் வழியாகத் தகவல்கள் பெறப்பட்டன அல்லது பார்க்கப்பட்டன; ஆறு சம்பவங்களில் அனுமதியற்ற கணக்குகள் அல்லது அங்கீகார விசைகள் உருவாக்கப்பட்டன. ஒரு சம்பவத்தில் பல செயல்கள் இடம்பெற்றிருக்கலாம் என்பதால், இந்த வகைகள் ஒன்றுடன் ஒன்று பொருந்தக்கூடும்.

தனிப்பட்ட தகவல் கசிவு குறித்த குறிப்பிட்ட கவலை இல்லாமல், இணையதளம் மாற்றப்பட்ட அல்லது தவறாகப் பயன்படுத்தப்பட்ட குறைந்தது 25 அறிவிப்புகளையும் ஜூலைக்குப் பிறகு மாக்னிகா கண்டறிந்தது. பார்வையாளர்களை வெளி இணையதளங்களுக்கு திருப்பிவிடுதல், போலி எச்சரிக்கைகளைக் காட்டுதல், பதிவு விவரங்களை மாற்றுதல், கிளவுட் சேவைகளைத் தவறாகப் பயன்படுத்துதல் ஆகியவை இதற்கான எடுத்துக்காட்டுகள்.

பல இணையதளங்களில் தேடல்களை மீண்டும் மீண்டும் மேற்கொள்ளச் செயற்கை நுண்ணறிவு பயன்படுத்தப்பட்டிருக்கலாம் என்று ஆய்வாளர்கள் விவாதித்தனர். இதில் ஏஐ பயன்படுத்தப்பட்டதா என்பதும், தாக்குதலாளர்களின் இறுதி நோக்கம் என்ன என்பதும் உறுதிப்படுத்தப்படவில்லை. அணுகல் அனுமதிகள், அமைப்புகள், அங்கீகாரம், அறியப்பட்ட பாதிப்புகள் ஆகியவற்றை மையமாகக் கொண்டு அவர்களின் செயல்பாடுகள் இருந்தன. சேகரிக்கப்பட்ட பெயர்கள், சேவை விவரங்கள், முன்பதிவுகள் ஆகியவற்றைக் கொண்டு, பின்னர் அனுப்பப்படும் ஃபிஷிங் செய்திகள் அல்லது மோசடி அழைப்புகளை மேலும் நம்பகமானவையாகக் காட்டக் குற்றவாளிகள் முயலக்கூடும் என்பது அவர்கள் முன்வைத்த ஒரு கருதுகோள்.

முன்னாள் வாடிக்கையாளர்களும் தரவு ஊடுருவல்களில் சிக்கினர்

பார்க்24 தரவு ஊடுருவலில் முன்னாள் உறுப்பினர்கள் உட்பட சுமார் 66 லட்சம் உறுப்பினர் பதிவுகளும், ஓட்டுநர் உரிமப் படங்கள் போன்ற அடையாளச் சரிபார்ப்பு ஆவணங்கள் சுமார் 16 லட்சமும் இடம்பெற்றன. டைம்ஸ் கார், வாடிக்கையாளர்கள் உறுப்பினர் நிலையை முடித்த பின்னரும் அவர்களது அடையாள ஆவணங்களை ஏழு ஆண்டுகளாக வைத்திருந்தது.

அந்த மாத இறுதிக்குள் அடையாள ஆவணப் படங்களை நீக்கிவிடத் திட்டமிட்டுள்ளதாக அக்டோபர் 16ஆம் தேதி பார்க்24 தெரிவித்தது. நிறுவனங்கள் தங்களிடம் உள்ள தரவுகளைத் தொடர்ந்து வைத்திருக்க வேண்டுமா என்பதை ஆய்வு செய்ய வேண்டும் என்ற ஐபிஏ எழுப்பிய விவகாரத்துக்கு, பார்க்24 தனது நடவடிக்கையின் மூலம் ஒரு தெளிவான காலக்கெடுவை நிர்ணயித்துள்ளது.

புக்-ஆஃப் நிறுவனத்தின் கசிவு குறித்த பிந்தைய விவரிப்பில் அடையாளம் காணப்பட்ட 63.8 லட்சம் பேரில், சுமார் 2.1 லட்சம் பேர் முன்னாள் உறுப்பினர்கள்; இது சுமார் 3.3%. செல்லப்பிராணிகளுக்கான பொருட்களை விற்கும் சார்ம் நிறுவனமும், முன்னாள் வாடிக்கையாளர்களுக்குச் சொந்தமான சுமார் 25,000 பதிவுகளில் பெரும்பாலானவை கசிந்ததாகக் கூறியது.

ஒரு கணக்கை மூடிய பிறகும் நிறுவனம் தொடர்புடைய பதிவுகளை வைத்திருந்தால், வாடிக்கையாளர் பல ஆண்டுகளுக்கு ஆபத்தில் இருக்கக்கூடும். தொடர்பு விவரங்களைக் கொண்டு, அறிமுகமான சேவையைப் போலக் காட்டிக் குற்றவாளிகள் ஏமாற்றலாம்; கடவுச்சொற்களும் அடையாள ஆவணப் படங்களும் கூடுதல் ஆபத்துகளை உருவாக்குகின்றன. தேவையற்ற பதிவுகள், குறிப்புகள் புலங்களில் சேர்ந்துள்ள எதிர்பாராத தனிப்பட்ட விவரங்கள் உள்ளிட்டவற்றை ஆய்வு செய்யவும், ஒரு சேவை மூடப்படும்போது ஏபிஐ விசைகளைப் பயன்படுத்தாமல் நிறுத்தவும் மாக்னிகா பரிந்துரைக்கிறது.

நிறுவனங்கள் இப்போது எவற்றைச் சரிபார்க்க வேண்டும் என ஐபிஏ கூறுகிறது?

ஐபிஏவின் அக்டோபர் 9 அறிவுரை, இணையத்தில் அணுகக்கூடிய செயலிகள், வெளிப்புறச் சேவைகள், கணக்குகள், சேமிக்கப்பட்ட தகவல்கள் ஆகியவற்றை அவசரமாக ஆய்வு செய்யுமாறு கேட்டுக்கொள்கிறது. குறிப்பாகப் பெருமளவிலான தனிப்பட்ட அல்லது முக்கியமான தரவுகளைக் கையாளும் நிறுவனங்களின் தலைவர்களே இதற்குப் பொறுப்பேற்க வேண்டும் என அறிவுரை வலியுறுத்துகிறது.

செயலிகளைப் பொறுத்தவரை, அண்மைய பதிவுகளை ஆய்வு செய்யவும், பாதுகாப்புப் புதுப்பிப்புகள் விடுபட்டுள்ளனவா எனச் சரிபார்க்கவும் ஐபிஏ பரிந்துரைக்கிறது. அமைப்புகள் பதிவுசெய்யும் செயல்பாட்டு விவரங்களே பதிவுகள் எனப்படும். ஆய்வாளர்கள் முதலில் கடந்த ஒரு மாதத்துக்குரியவற்றைச் சரிபார்த்து, பின்னர் மூன்று மாதங்கள் வரை ஆய்வை விரிவுபடுத்த வேண்டும். வழக்கத்துக்கு மாறான பிழை எண்ணிக்கைகளையும் வழக்கமான செயல்பாடுகளில் ஏற்பட்ட மாற்றங்களையும் கவனிக்க வேண்டும்.

கிளவுட், விபிஎன் சேவைகள் உள்ளிட்ட வெளிப்புறச் சேவைகள் தொடர்பாக, நிறுவனம் மற்றும் தனித்தனி துறைகள் எவற்றைப் பயன்படுத்துகின்றன என்பதைப் பட்டியலிட வேண்டும். பதிவுகள் எவ்வளவு காலம் சேமிக்கப்படுகின்றன, அவற்றை யார் ஆய்வு செய்யலாம், வாடிக்கையாளரால் நேரடியாகப் பார்க்க முடியாத பதிவுகளைச் சேவை வழங்குநர் வைத்திருக்கிறாரா என்பதையும் கண்டறிய வேண்டும்.

அறிமுகமில்லாத பயனர்கள் உள்ளனரா என்றும், முன்பு முடக்கப்பட்ட அல்லது நீக்கப்பட்டிருந்தும் தற்போது செயல்பாட்டில் உள்ள கணக்குகள் உள்ளனவா என்றும் கணக்குகளைச் சரிபார்க்க வேண்டும். வழக்கத்துக்கு மாறான உள்நுழைவு நேரங்கள், இடங்கள், மீண்டும் மீண்டும் தோல்வியுற்ற முயற்சிகள் ஆகியவற்றையும் கவனிக்க வேண்டும். இயல்புக்கு மாறான பதிவுகள் அல்லது கணக்குகள் பாதுகாப்புச் சம்பவமாகக் கருதப்பட்டு, நிபுணர்களின் விசாரணை கோரப்பட வேண்டும் என ஐபிஏ பரிந்துரைக்கிறது.

ஏபிஐகள் சேவையகத்திலேயே அனுமதிகளைச் சரிபார்க்கின்றனவா, செயலிகளில் உட்பொதிக்கப்பட்ட ரகசியத் தகவல்கள் நீக்கப்பட்டுள்ளனவா, பல அடுக்கு அங்கீகாரத்தால் நிர்வாகக் கணக்குகள் பாதுகாக்கப்படுகின்றனவா, மேலாண்மைச் செயல்பாடுகளுக்கான அணுகல் கட்டுப்படுத்தப்பட்டுள்ளதா என்பவற்றைச் சரிபார்க்குமாறு மாக்னிகா தொடர்புடைய அறிவுரைகளை வழங்குகிறது. எச்சரிக்கைகளை ஒருவர் ஆய்வு செய்தல், உரிய நபர்களைத் தொடர்புகொள்ளுதல், விசாரணையைத் தொடங்குதல் ஆகிய தெளிவான மனித நடவடிக்கைகளும் கண்காணிப்பில் இடம்பெற வேண்டும்.

விநியோகச் சங்கிலிகளுக்கான பாதுகாப்பு மதிப்பீட்டுத் திட்டம், அதாவது எஸ்சிஎஸ் மதிப்பீட்டுத் திட்டத்தை, 2027 மார்ச் மாதத்தில் தொடங்க ஐபிஏ தயாராகி வருகிறது. பொதுவான மதிப்பீட்டு அளவுகோல்கள், தகவல்களைப் பகிர்ந்துகொள்ளும் நிறுவனங்கள் முழுவதும் நிலவும் பாதுகாப்பு நிலைமையை வாடிக்கையாளர்களும் ஒப்பந்த நிறுவனங்களும் புரிந்துகொள்ள உதவும் வகையில் அமைக்கப்பட்டுள்ளன.

ஜப்பானுக்கு வெளியேயும் இதேபோன்ற சம்பவங்கள் நிகழ்ந்தன

2026 ஜூலை முதல் செப்டம்பர் வரை பெரும்பாலும் நிகழ்ந்த, 13 நாடுகள் மற்றும் பிரதேசங்களில் பரவிய 99 ஒத்த சம்பவங்களை மாக்னிகா கண்டறிந்தது. தென் கொரியாவில் 30 சம்பவங்களும், பிரான்சில் 11 சம்பவங்களும், போலந்தில் எட்டு சம்பவங்களும் பதிவாகின.

தென் கொரியச் சம்பவங்களில் வணிகம், முன்பதிவு, கல்வி, நிதி உதவி ஆகிய துறைகளின் இணையதளங்களும் ஏபிஐகளும் இடம்பெற்றன. இது ஜப்பானிய அறிவிப்புகளில் காணப்படும் சேவைகளின் பரவலான தன்மையை ஒத்திருக்கிறது.

ஒவ்வொரு நாட்டிலும் எத்தனை சம்பவங்கள் பொதுவில் வெளியாகின்றன என்பதைத் தகவல் வெளியீட்டுச் சட்டங்களும் நடைமுறைகளும் பாதிக்கின்றன. தனது ஆய்வில் ஜப்பான் முக்கிய இடம் பெற்றுள்ளதாக மாக்னிகா தெரிவித்தாலும், தாக்குதலாளர்கள் குறிப்பாக ஜப்பானையே குறிவைத்தார்களா என்பது தெளிவாகவில்லை.

ஜப்பானியச் சம்பவங்களில் உடனடியாகச் செய்ய வேண்டியவை தெளிவானவை: அனுமதியற்ற செயல்பாடுகளைக் கண்டறிதல், வாடிக்கையாளர் தகவல்களுக்கான அணுகலைப் பாதுகாத்தல், இனி தேவையில்லாத பதிவுகளை நீக்குதல். ஒப்பந்த நிறுவனங்கள் மீதான தாக்குதல்களும், முன்னாள் உறுப்பினர்களின் தகவல்கள் அம்பலமானதும், இந்தப் பணிகள் ஒரு நிறுவனத்தின் முதன்மை இணையதளத்தையும் தற்போதைய வாடிக்கையாளர் பட்டியலையும் தாண்டிச் செல்ல வேண்டியதன் அவசியத்தைக் காட்டுகின்றன.

முக்கிய அம்சங்கள்

• அனுமதியற்ற அணுகல் மூலம் 2026ஆம் ஆண்டில் கசிந்திருக்கக்கூடிய தனிப்பட்ட தகவல்கள் 16.5 கோடி பதிவுகளைத் தாண்டியதாக மாக்னிகா கணக்கிட்டுள்ளது; பல சேவைகளில் இடம்பெற்ற தகவல்கள் ஒன்றுக்கு மேற்பட்ட முறை கணக்கிடப்பட்டிருக்கலாம்.
• மாக்னிகாவின் வரையறுக்கப்பட்ட இணையதள ஆய்வில் அக்டோபர் 6ஆம் தேதிக்குள் 119 அறிவிப்புகள் பதிவாகின; அவற்றில் 81, ஜூலைக்குப் பிறகு வெளியானவை.
• 22,519,960 பதிவுகள் பாதிக்கப்பட்டிருக்கக்கூடும் என்று சோர்ஸ்நெக்ஸ்ட் அறிவித்தது; சுமார் 1.464 கோடி பதிவுகள் பாதிக்கப்பட்டிருக்கலாம் என அட்வென்ச்சர் தெரிவித்தது.
• ஒப்பந்த நிறுவனங்கள் மீதான தரவு ஊடுருவல்கள் பெரிய நிறுவனங்களின் வாடிக்கையாளர்களைப் பாதித்தன. பார்க்24, புக்-ஆஃப், சார்ம் நிறுவனங்களின் முன்னாள் உறுப்பினர்களுடைய பதிவுகளும் அம்பலமாயின.
• பதிவுகள், பாதுகாப்புப் புதுப்பிப்புகள், கணக்குகள், வெளிப்புறச் சேவைகள், சேமிக்கப்பட்ட தரவுகள் ஆகியவற்றை அவசரமாக ஆய்வு செய்யுமாறு ஐபிஏ கேட்டுக்கொண்டது.
• அடையாள ஆவணப் படங்களை அக்டோபர் இறுதிக்குள் நீக்கிவிடத் திட்டமிட்டுள்ளதாக பார்க்24 தெரிவித்தது. ஐபிஏவின் விநியோகச் சங்கிலி பாதுகாப்பு மதிப்பீட்டுத் திட்டம் 2027 மார்ச் மாதத்தில் தொடங்கத் திட்டமிடப்பட்டுள்ளது.