डेटा सुरक्षा : न व्यक्ति संवेदनशील, न जिम्मेवार संस्था

२२ साउन, काठमाडौं । अहिले त्रिभुवन विश्वविद्यालय अन्तर्गतको स्नातक प्रथम वर्षको परीक्षा सुरु भएको छ । त्यसको लागि गत हप्तातिर प्रवेशपत्र वितरणको काममा कलेजहरु सक्रिय देखिए ।

तर, विद्यार्थीलाई प्रवेशपत्र कसरी सहज तरिकाले दिने भन्ने कुरामा ध्यान दिँदा डाटा सुरक्षा र गोपनीयतामा भने ख्याल गरिएको पाइएन ।

बागबजारमा रहेको पद्मकन्या क्याम्पसले सामाजिक सञ्जालमा प्रवेशपत्रसहित १३ सय ६४ विद्यार्थीको डाटा छाताछुल्ल बनाइदियो । समाचार प्रकाशित भएपछि पद्मकन्याले सामाजिक सञ्जालबाट उक्त पोस्ट हटाएको छ । यद्यपि, त्यसअघि नै क्युआर स्क्यान गर्न भ्याएका विद्यार्थीले भने अब सबै विद्यार्थीको सिम्बोल नम्बर, रजिस्ट्रेसन नम्बर लगायतका शैक्षिक विवरणमा सहजै पहुँच पाइसकेका छन् ।

यसरी विद्यार्थीको डाटा लिक गराउँदै गर्दा पद्मकन्याले भने यसलाई गम्भीर रुपमा लिएको देखिएन । क्याम्पस प्रमुख जयालक्ष्मी प्रधानले आफूहरुले विद्यार्थीलाई सहज बनाउने ‘पवित्र उद्धेश्य’ले यस्तो गरेको बताइन् । अझ अन्य कर्मचारीले त सुरुवातमा ‘जबो फोटो र नाम त होनि’ भनेजस्तो टिप्पणी अनलाइनखबरसँग गरे ।

अझ पद्मकन्या प्रशासनले यस्तो काम आफूले मात्र नगरेको दाबी गर्‍यो । कलेजको दाबी अनुसार अन्य शैक्षिक संस्थाले पनि यसरी प्रवेशपत्र वितरणको काम गरेको छ ।

‘हामीले मात्र होइनौँ । म नाम त भन्दिनँ, तर अरु कलेजले पनि यसैगरी गरिरहेका छन् । तपाईंले मात्र पद्मकन्याको भेट्नुभएछ,’ प्रशासनका एक कर्मचारीको दाबी थियो । यसले डाटा संवेदनशीलतालाई लिएर हाम्रा शैक्षिक संस्थाका नेतृत्वमै कस्तो बुझाई छ भन्ने स्पष्ट पार्छ ।

०००

केही हप्ताअघि नेपालको डिजिटल सुरक्षा क्षेत्रमा एउटा गम्भीर घटना बाहिर आयो । आफूलाई सफ्टवेयर डेभलपर बताउने निर्देश सुवेदीले नेपाल सरकारको आधिकारिक ‘नागरिक एप’को वेब पोर्टललाई हुबहु नक्कल (क्लोन) गरी आफ्नो व्यक्तिगत डोमेनमा होस्ट गरेको भेटिएको थियो ।

सुवेदीले आफ्नो व्यक्तिगत वेबसाइटमा नागरिक एपको पुरानो इन्टरफेस प्रयोग गरेका थिए । जब इन्टरनेट प्रयोगकर्ताहरूले ‘नागरिक एप लगइन’ खोज्थे, तब बिङ सर्च इन्जिनमा सुवेदीको उक्त व्यक्तिगत डोमेन पनि शीर्ष स्थानमा देखापर्थो । गुगल क्रोमले भने सुरक्षा सतर्कता अपनाउँदै उक्त लिङ्कमा प्रवेश गर्दा ‘खतरनाक’ भन्दै चेतावनी दिएको भेटिएको थियो ।

नागरिक एपमा नागरिकता, पासपोर्ट, प्यान कार्ड र शैक्षिक प्रमाणपत्रजस्ता अति संवेदनशील सरकारी तथा व्यक्तिगत विवरणहरू हुन्छन् ।

यस्तो प्लेटफर्मको अनधिकृत नक्कल हुँदा प्रयोगकर्ताको डेटा चोरी हुने जोखिम हुन्छ । यो घटना बाहिरिएसँगै धेरैले सरकारको साइबर सुरक्षा र डेटा संवेदनशीलतालाई लिएर प्रश्न गरेका थिए ।

कारण, यस्ता क्लोन साइटहरू प्रायः प्रयोगकर्तालाई झुक्याएर उनीहरूको लगइन विवरण चोर्नका लागि प्रयोग गरिने हुँदा यसले ठूलो साइबर अपराधको सम्भावना बढाउँने अधिकांशको तर्क थियो ।

०००

नेपालका सरकारी डिजिटल प्रणालीमाथि साइबर आक्रमणका घटनाहरू नयाँ विषय भने होइनन् । विगतका कमजोरीबाट पाठ सिकेर सुरक्षा प्रबन्ध व्यवस्थित गर्न नसक्दा यस्ता जोखिमहरू बारम्बार दोहोरिइरहेका छन् ।

सरकारी वेबसाइटहरू सुरक्षा संयन्त्रको कमजोरीका कारण ह्याकरहरूको सहज निशाना बन्दै गएका छन् ।

गत वर्ष १३ फेब्रुअरी, २०२५ मा कोशी प्रदेश सरकारअन्तर्गतका २१ वटा सबडोमेनहरूमा अनधिकृत पहुँच पुग्यो ।

‘वाईएनआर’ नामक समूहले कोशी सरकारका सबडोमेनमा पहुँच बनाउँदै ‘जोन–एच’ पोर्टलमा सार्वजनिक गरेको थियो ।

त्यसको ठ्याक्कै एक महिनापछि, २६ मार्च, २०२५ मा प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गतको ‘हेलो सरकार’को वेबसाइट पनि प्रभावित भयो ।

‘घुद्रा’ नामक समूहले सरकारले आफूसँग सम्पर्क गर्न अस्वीकार गरेको दाबी गर्दै उक्त प्रणालीको डेटा ‘ब्रिज फोरम’ मार्फत बाहिर ल्याएको थियो ।

यो त्यतिमै सीमित भएन, त्यसको एक महिना नबित्दै २३ अप्रिल, २०२५ मा नेपाल प्रहरीको केन्द्रीय कार्यालयको वेबसाइट समेत असुरक्षित बन्न पुग्यो ।

‘काजु’ भनी चिनिने ह्याकर समूहले प्रहरी प्रणालीबाट करिब २० लाख नागरिकका नागरिकता विवरणहरू प्राप्त गरी ७ हजार अमेरिकी डलर मूल्यमा अनलाइनमा उपलब्ध गराएको थियो । यही सिलसिलाकै निरन्तरता थियो पछिल्लो समय भएको, नागरिक एप वेब भर्सनको हुबहु नक्कल हुनु ।

०००

अनलाइन प्लेटफर्म मात्र होइनन्, भौतिक रूपमै सञ्चालनमा रहेका सुपरमार्केट र क्याफेहरूले समेत ग्राहकका व्यक्तिगत विवरणहरू अनाधिकृत रूपमा संकलन गरिरहेका छन् । भाटभटेनी र बिगमार्ट जस्ता ठूला सुपरमार्केटहरूले बिलिङ वा सदस्यता (मेम्बरसीप) का नाममा ग्राहकका नाम र फोन नम्बर माग्ने प्रवृत्ति सामान्य बन्दै गएको छ । तर, यसरी संवेदनशील डेटा उपलब्ध गराए बापत ग्राहकले पाउने छुट वा लाभ भने नगन्य मात्र हुने गरेको अधिकांशको गुनासो छ ।

विडम्बना के छ भने, कतिपय क्याफे र रेस्टुरेन्टहरूले समेत ग्राहकलाई वाइफाइको पहुँच दिने बहानामा अनावश्यक रूपमा फोन नम्बर र विवरणहरू लिइरहेका छन् ।

धेरैजसो ठाउँमा सिधै पासवर्ड उपलब्ध गराउनुको सट्टा क्याप्टिम पोर्टलको प्रयोग गरिन्छ । जहाँ ग्राहकले इन्टरनेट चलाउनका लागि अनिवार्य रूपमा आफ्नो मोबाइल नम्बर प्रविष्ट गर्नुपर्ने बाध्यता सिर्जना गरिएको हुन्छ ।

यसरी सामान्य सेवा वा सुविधाका नाममा जथाभावी फोन नम्बर र व्यक्तिगत विवरणहरू मागिनुले उपभोक्ताको गोपनीयताको हकलाई गम्भीर रूपमा जोखिममा पारेको छ ।

कारण, ती क्याफे र सुपरमार्केटले आफूहरुले डेटा लिईरहेको भन्ने जानकारी दिएर यी काम गरिरहेका हुँदैनन् ।

यदि उनीहरूका सफ्टवेयर वा कुनै प्राविधिक कमजोरी छन् भने त्यस्ताबाट लिक भएर सेवाग्राहीबाट लिइएका यस्ता डेटा दुरुपयोग हुने सम्भावना पनि उत्तिकै हुन्छ ।

वाईफाई र नगन्य डिस्काउन्टको प्रलोभनमा अप्रत्यक्ष संकलन गरिने डेटाको सुरक्षा उनीहरुले कसरी दिन्छन्, त्यो पनि कतै खुलाइने गरेको पाइँदैन ।

०००

यस्ता किसिमका डेटा दुरुपयोग र सुरक्षा कमजोरीले नागरिकको वैयक्तिक गोपनीयतामा प्रत्यक्ष असर पुर्‍याउने साइबर सुरक्षा विज्ञ बताउँछन् । अनुमतिबिना व्यक्तिगत विवरण प्रयोग हुँदा उपभोक्ताले अनाहकमा असुविधा र झमेला व्यहोर्नुपर्छ । उदाहरणको रुपमा पछिल्लो समय चर्चामा रहेको ‘एसजी अपडेट’लाई लिन सकिन्छ ।

गएको वैशाखमा राती १०:११ बजे ‘एसजी अपडेट’ शर्टकोडबाट करिब ४,००० मोबाइल प्रयोगकर्ताको इनबक्समा युट्युब च्यानल सब्स्क्राइब गर्न आग्रह गर्दै म्यासेज आएको थियो ।

मध्यरातको समयमा आएको यो अनाधिकृत विज्ञापनमूलक सन्देशलाई लिएर प्रयोगकर्ताले सामाजिक सञ्जालमा आपत्ति नै जनाए । आफूले कसैलाई पनि फोन नम्बर उपलब्ध नगराएको अवस्थामा यसरी व्यक्तिगत मोबाइलमा मेसेज आएपछि प्रश्न उठ्नु स्वभाविक थियो ।

चौतर्फी प्रश्न उठेपछि उक्त युट्युब च्यानल सञ्चालन सागर क्षेत्रीले प्राविधिक त्रुटिका कारण यस्तो भएको स्पष्टीकरण दिनुपर्‍यो ।

‘हाम्रो इभेन्टको सहभागीहरूलाई अपडेट पठाउने क्रममा प्राविधिक गडबडी आएर सिस्टममा अनावश्यक कन्ट्याक्टहरू जोडिन पुग्यो,’ लिंक्डइनमा सागर क्षेत्रीले लेखेका थिए, ‘हाम्रो एक कर्मचारीको व्यक्तिगत फोनमा रहेका कन्ट्याक्टहरू सिंक हुन गएकाले, अनुमति नभएका केही व्यक्तिहरूको मोबाइलमा पनि सन्देश जान पुग्यो ।’

व्यक्तिगत स्तरका यस्ता घटनाबाहेक निर्वाचन लगायतका विशेष समयमा आउने बल्क एसएमएसहरूको प्रवृत्ति पनि यस्तै किसिमको हुने गरेको छ ।

चुनावको बेला मतदाताको अनुमतिबिना विभिन्न राजनीतिक दल वा उम्मेदवारहरूले प्रचारप्रसारका सन्देशहरू मोबाइलमा पठाउने गर्छन् ।

नागरिकको विवरण सुरक्षित रहने परिपाटी कमजोर हुँदा मतदाताका फोन नम्बरहरू यसरी चुनावी अभियान चलाउनेहरूसम्म पुग्ने गरेको साइबर सुरक्षाका जानकारी नरेश लमगादे बताउँछन् ।

साइबर सुरक्षा कम्पनी बगभीका संस्थापक समेत रहेका लामगादे भन्छन्, ‘डेटा ब्रिज भएपछि सबैको डेटा बाहिर निस्किन्छ, तर मान्छेलाई त्यसको भ्यालु थाहा नभएर वास्ता गर्दैनन् ।

विदेशमा डेटा लिक हुँदा सरकारले जरिवाना लगाउँछ र नागरिकले पनि मुद्दा हालेर क्षतिपूर्ति पाउन सक्छन् । नेपालमा एक त नियामक निकाय र जिम्मेवार संस्थालाई पनि त्यति मतलब छैन, जनचेतना पनि छैन ।’

उनका अनुसार, डिजिटल प्रविधि र अनलाइन प्लाटफर्महरूको प्रयोगसँगै नागरिकको व्यक्तिगत विवरण कसरी दुरुपयोग भइरहेको छ भन्ने उदाहरण विभिन्न व्यावसायिक क्षेत्रमा पनि देखिन्छ ।

‘एकपटक एउटा डेलिभरी कम्पनीको डेटा लिक हुँदा एकजना सेलेब्रेटी व्यक्तिलाई नै धेरै कल र मेसेज आएपछि सीम नै फेर्नुपरेको कुरा हामीलाई सुनाउनुभएको थियो । यो त एउटा उदाहरण मात्र हो,’ उनले थपे ।

अझ राइड सेयरिड र डेलिभरी कम्पनीसँग सेवाग्राहीका घरको ठेगाना र फोन नम्बरजस्ता संवेदनशील विवरणहरू हुन्छन् । यस्ता कम्पनीले थप संवेदनशील बन्न आवश्यक रहेको पनि लामगादेले बताए ।

त्यस्तै, सूचना प्रविधि विज्ञ दोभान राईका अनुसार, नेपालमा डेटा सुरक्षालाई कमजोर मान्नुको पछाडि मुख्यतया तीनवटा कारण रहेका छन् । पहिलो, नेपाली समाजमा प्राइभेसी वा व्यक्तिगत स्पेसलाई प्राथमिकता दिने संस्कृति अझै विकसित भइसकेको छैन ।

दोस्रो, डिजिटल माध्यममा राखिने डेटा (जस्तै व्यक्तिगत र सेन्सिटिभ डेटा) कसरी दुरुपयोग हुन सक्छ र त्यसको असर के हुन्छ भन्ने चेतनाको ठूलो अभाव छ । तेस्रो, संस्थागत तहमा व्यावसायिक संस्कृति (प्रोफेसनल कल्चर) र जवाफदेहिता कमजोर हुनु हो ।

डेटा सुरक्षाप्रतिको यस्तै लापरबाही र सचेतनाको अभावले निम्त्याउने जोखिमहरू विभिन्न घटनामा स्पष्ट देखिने डा. राई बताउँछिन् ।

उनका अनुसार, बाहिरका विकसित मुलुकहरूमा नागरिकहरू आफ्नो डेटा प्राइभेसीप्रति अत्यन्त सचेत हुन्छन् भने सरकारले पनि डेटा सुरक्षामा लापरबाही गर्ने कम्पनीहरूलाई भारी जरिवाना लगाउने र प्रभावित नागरिकले क्षतिपूर्तिको लागि कानुनी मुद्दा हाल्न सक्ने बलियो कानुनी आधार (डेटा प्रोटेक्सन एक्ट) बनाएको हुन्छ । तर, नेपालमा यस्तो स्पष्ट र कडा कानुनी नियमन नभएका कारण डेटाको पहुँच भएका संस्थाहरूले सहज रूपमा उन्मुक्ति पाउने गरेका छन् ।

त्यसैले, डिजिटल युगमा नागरिकको वैयक्तिक गोपनीयता सुरक्षित राख्न राज्यको बलियो कानुनी नीति, संस्थागत जवाफदेहिता र व्यक्तिगत तहमा उच्च सचेतना अपरिहार्य रहेको डा. राईको जोड छ ।

०००

यसरी डेटामा संवेदनशीलता नहुँदा साइबर अपराधको घटना पनि बढ्दो छ । साइबर ब्युरोले अनलाइनखबरलाई उपलब्ध गराएको तथ्यांक अनुसार गत आर्थिक वर्षमा मात्र साइबर अपराधसम्बन्धि २० हजार ५२६ उजुरी परेका छन् । यसमा १३ हजार २३० उजुरी विद्युतीय कसुरका छन् भने ७ हजार २९६ साइबर ठगीका रहेका छन् ।

यसरी गत आर्थिक वर्ष ०८१।०८२ मा यस्ता निवेदन संख्या १८ हजार ९२६ रहेका छन् । यसमा विद्युतीय कसुरको संख्या ११ हजार १८६ रहेको छ भने साइबर ठगीका ७ हजार ७४० निवेदन छन् ।

त्यस्तै, ०८०।०८१ आर्थिक वर्षमा भने यो संख्या झन धेरै देखिन्छ । त्यसवर्ष यस्ता निवेदनको संख्या कुल १९ हजार ७३० रहेको छ ।

यसमा विद्युतीय कसुरको संख्या १५ हजार ५७६ र साइबर ठगीको उजुरी ४ हजार १५४ रहेको देखिन्छ । यो संख्यामा तलमाथि भएपनि साइबर सुरक्षाको विषय संवेदनशील बढ्दै गएको तथ्यांक र पछिल्ला घटनाले देखाउँछ ।