SBI के 3.75 लाख रिकॉर्ड डार्क वेब पर, ग्राहकों को कितना खतरा? AI से कैसे बढ़ रही बैंकों की मुश्किलें

देश के सबसे बड़े सरकारी बैंक SBI (State Bank of India) के करीब 3.75 लाख रिकॉर्ड डार्क वेब (Dark Web) पर मिलने से ग्राहकों की निजी जानकारी की सुरक्षा पर सवाल उठे रहे हैं। इनमें करीब 4 हजार ग्राहकों की पहचान से जुड़ी जानकारी थी। यह मामला इसलिए भी गंभीर है, क्योंकि साइबर अपराधी अब आर्टिफिशियल इंटेलिजेंस यानी AI की मदद से बैंकों की सुरक्षा में कमियां खोज सकते हैं। वहीं, भविष्य में क्वांटम कंप्यूटिंग भी बैंकों के डिजिटल सुरक्षा सिस्टम के लिए खतरा बन सकती। ऐसे में समझना जरूरी है कि SBI के डेटा में जो सेंध लगी है, वो कितनी बड़ी है, दूसरा ग्राहकों को इससे क्या नुकसान हो सकता और बैंक ऐसे खतरे से कैसे निपट सकते हैं?

इन सब बातों को जानने से पहले, यह जान लेते हैं कि स्टेट बैंक ऑफ इंडिया में जो डेटा ब्रीच हुआ है, वो पूरा मामला आखिर है क्या?

स्टेट बैंक ऑफ इंडिया को 16 अक्टूबर को CERT-In, डिफेंस साइबर एजेंसी और साइबर सुरक्षा से जुड़ी दूसरी एजेंसियों से डेटा लीक होने का अलर्ट मिला था। इसके बाद बैंक ने जांच शुरू की थी। शुरुआती जांच में डार्क वेब पर मौजूद करीब 3.75 लाख रिकॉर्ड देखे गए थे। इनमें करीब 4 हजार रिकॉर्ड ऐसे मिले थे, जिनमें ग्राहकों की निजी जानकारी थी। इसमें ग्राहकों के नाम, मोबाइल नंबर, बर्थ-डेट, ईमेल, घर का पता, जेंडर, बैंक ब्रांच और ग्राहक पहचान नंबर यानी CIF शामिल थे। कुछ रिकॉर्ड में लोन से जुड़ी जानकारी भी थी।

बैंक ने जांच के लिए CERT-In से मान्यता प्राप्त एक अलग साइबर सुरक्षा एजेंसी की मदद ली थी। स्टेट बैंक ऑफ इंडिया (SBI) का कहना है कि घटना से बैंक के रोजमर्रा के कामकाज और आर्थिक स्थिति पर कोई बड़ा असर पड़ने की उम्मीद नहीं।

SBI के देशभर में 50 करोड़ से ज्यादा ग्राहक खाते हैं। इस लिहाज से 4 हजार ग्राहकों की निजी जानकारी सामने आना कुल कस्टमर बेस का छोटा हिस्सा है, लेकिन खतरे का अंदाजा केवल संख्या से नहीं लगाया जा सकता। दरअसल, किसी एक ग्राहक का नाम, मोबाइल नंबर, जन्मतिथि और लोन की जानकारी भी गलत हाथों में पहुंच जाए, तो उसके साथ धोखाधड़ी हो सकती है। साइबर फ्रॉड करने वाले अपराधी इन जानकारियों के सहारे ग्राहक का भरोसा जीत ठगी की वारदात को अंजाम दे सकते हैं।

यहां एक बात समझना जरूरी है। डार्क वेब पर मिले 3.75 लाख रिकॉर्ड का मतलब 3.75 लाख ग्राहकों का डेटा लीक होना नहीं है। शुरुआती जांच में निजी जानकारी वाले करीब 4 हजार रिकॉर्ड मिलने की जानकारी सामने आई है। डेटा कहां से आया और कितनी जानकारी सही थी, इसकी पूरी जांच अभी बाकी है।

SBI का मामला ऐसे समय सामने आया है, जब देश के बैंक लगातार साइबर खतरों का सामना कर रहे। संसद में सरकार की ओर से दी गई जानकारी के मुताबिक, 2025 में बैंकिंग सेक्टर में साइबर सुरक्षा से जुड़ी 5,70,108 घटनाएं दर्ज हुईं। वहीं, इस साल जनवरी से जून के बीच 3,48,607 घटनाएं सामने आईं। यानी 18 महीनों में कुल 9.18 लाख से ज्यादा मामले दर्ज हुए हैं। इनमें संदिग्ध गतिविधियां और सुरक्षा में कमियां तलाशने की कोशिशें भी शामिल हैं। ये सभी डेटा लीक की घटनाएं नहीं हैं।

इसी दौरान सीधे साइबर हमलों की 56 कोशिशों का भी पता चला है। जुलाई 2026 में बैंक ऑफ बड़ौदा से जुड़ा साइबर हमले का मामला सामने आया था। इसके बाद अक्टूबर में SBI का डेटा डार्क वेब पर मिलने की खबर आई।

अब सवाल है कि डार्क वेब आखिर होता क्या है? आसान भाषा में समझें तो यह इंटरनेट के ऐसे छिपे हुए नेटवर्क का हिस्सा है, जिसे सामान्य गूगल सर्च से नहीं खोजा जा सकता। इसे खोलने के लिए खास सॉफ्टवेयर की जरूरत पड़ सकती। डार्क वेब का हर इस्तेमाल गैरकानूनी नहीं होता, लेकिन वहां चोरी किए गए पासवर्ड और निजी जानकारी की खरीद-बिक्री भी होती है।

मान लीजिए किसी अपराधी के पास आपके नाम, मोबाइल नंबर और लोन की जानकारी पहुंच गई। वह बैंक कर्मचारी बनकर फोन कर सकता है। लोन की सही जानकारी बताकर भरोसा जीत सकता है। इसके बाद ओटीपी या फर्जी लिंक के जरिए पैसे चुराने की कोशिश कर सकता। इसलिए डेटा लीक होने का मतलब खाते से पैसे निकलना नहीं है, लेकिन इससे धोखाधड़ी का खतरा जरूर बढ़ सकता।

डार्क वेब के साथ अब एआई (AI) भी साइबर सुरक्षा के लिए चुनौती बन रहा। पहले अपराधियों को किसी सिस्टम की कमजोरी खोजने में काफी समय लग सकता था। अब AI की मदद से वेबसाइट, ऐप और दूसरे सिस्टम की जांच तेजी से की जा सकती। AI से फर्जी ईमेल, बैंक कर्मचारियों जैसी आवाज और असली दिखने वाले धोखाधड़ी के संदेश भी तैयार किए जा सकते।

इससे आगे की चुनौती AI एजेंट्स हैं। ये ऐसे सॉफ्टवेयर हैं,जो कोई काम पूरा करने के लिए खुद कई कदम उठा सकते। इन्हें हर बार इंसान से किसी तरह के निर्देश लेने की जरूरत नहीं होती। 15 अक्टूबर को CERT-In (Indian Computer Emergency Response Team) ने बताया था कि कुछ AI एजेंट्स भारतीय संस्थानों के सिस्टम में बिना अनुमति पहुंच गए थे। उन्होंने कारोबारी रिकॉर्ड, निजी डेटा और गोपनीय जानकारी हासिल कर ली थी। हैरानी की बात यह थी कि प्रभावित संस्थानों को खुद इसकी जानकारी नहीं हुई थी। AI बनाने वाली कंपनियों ने अपनी जांच के बाद इन घटनाओं की सूचना दी थी।

CERT-In के मुताबिक, कुछ संस्थानों में पासवर्ड और दूसरी जरूरी जानकारी ठीक से सुरक्षित नहीं रखी गई थी। कहीं यह जानकारी सॉफ्टवेयर के सार्वजनिक कोड में मौजूद थी, तो कहीं क्लाउड सेवाओं को जरूरत से ज्यादा अनुमति मिली हुई थी। एआई एजेंट्स ने इन्हीं कमजोरियों का फायदा उठाया था। इससे पता चला कि एआई को बिना निगरानी के ज्यादा अधिकार देना कितना जोखिम भरा हो सकता। हालांकि, इन घटनाओं का SBI के डेटा लीक से कोई सीधा संबंध साबित नहीं है, लेकिन तकनीक का जिस तेजी से विस्तार हो रहा है, उसे ध्यान में रखते हुए डेटा ब्रीच की इस घटना को हल्के में नहीं लिया जा सकता।

बैंक की जिम्मेदारी केवल ग्राहकों का पैसा सुरक्षित रखना नहीं है। उसे उनकी निजी जानकारी भी बचानी होती है। डेटा में किसी तरह ब्रीच होने पर बैंक को पता लगाना होता है कि जानकारी कहां से बाहर गई। इसके बाद सुरक्षा की कमी दूर करनी होती है। प्रभावित सिस्टम की जांच और भविष्य में ऐसे हमले रोकने की तैयारी भी जरूरी होती है। साइबर घटनाओं की रिपोर्टिंग के लिए CERT-In के नियम हैं। ग्राहकों को खतरे के बारे में सावधान करना भी अहम है।

वहीं, ग्राहकों को ओटीपी, यूपीआई पिन और पासवर्ड किसी से शेयर नहीं करना चाहिए। खाते में संदिग्ध लेनदेन दिखने पर तुरंत बैंक और साइबर हेल्पलाइन 1930 पर शिकायत करनी चाहिए।

CERT-In भारत सरकार की साइबर सुरक्षा एजेंसी है। यह इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय के तहत काम करती है। इसका काम साइबर हमलों की जानकारी जुटाना, खतरे की चेतावनी देना और प्रभावित संस्थानों को तकनीकी मदद पहुंचाना है। एजेंसी सुरक्षा की कमियों पर सलाह भी देती है। AI एजेंट्स से जुड़े मामलों में उसने संस्थानों से पासवर्ड सुरक्षित रखने, सिस्टम की निगरानी बढ़ाने और AI टूल्स को सीमित अनुमति देने को कहा था।

भारत में निजी जानकारी की सुरक्षा के लिए डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 बनाया गया था। इसमें डेटा सुरक्षित रखने के उचित इंतजाम नहीं करने पर 250 करोड़ रुपए तक जुर्माने का प्रावधान है, लेकिन हर डेटा लीक पर अपने आप जुर्माना नहीं लगता। अक्टूबर 2026 तक कानून के कई अहम प्रावधान पूरी तरह लागू नहीं हुए थे। इसलिए SBI के खिलाफ इस कानून के तहत कार्रवाई होगी या नहीं, यह लागू प्रावधानों और जांच के नतीजों पर निर्भर करेगा। पहले यह भी साबित होना जरूरी होगा कि बैंक की सुरक्षा में कोई कमी थी। केवल डार्क वेब पर रिकॉर्ड मिलना लापरवाही का सबूत नहीं है।

AI के अलावा भविष्य में क्वांटम कंप्यूटिंग भी बैंकों के लिए चुनौती बन सकती। बैंक ग्राहकों की जानकारी सुरक्षित रखने के लिए एन्क्रिप्शन इस्तेमाल करते हैं। इसे आप डिजिटल ताला मान सकते हैं।भविष्य के ताकतवर क्वांटम कंप्यूटर कुछ ऐसे गणित के सवाल तेजी से हल कर सकते हैं, जिन पर मौजूदा डिजिटल सुरक्षा टिकी है। इससे RSA और ECC जैसी कुछ तकनीकें कमजोर पड़ सकती हैं।

एक और खतरा है। अपराधी आज कोड में बंद जानकारी चुराकर रख सकते हैं और भविष्य में क्वांटम कंप्यूटर से उसे पढ़ने की कोशिश कर सकते। इसे हार्वेस्ट नाउ, डिक्रिप्ट लेटर कहा जाता है। हालांकि,अभी क्वांटम कंप्यूटर बड़े स्तर पर बैंकों की सुरक्षा नहीं तोड़ रहे। इसी खतरे को देखते हुए भारतीय रिजर्व बैंक ने मई 2026 में Q-SAFE विशेषज्ञ कमेटी बनाई थी। इसकी अगुवाई IIT मद्रास के प्रोफेसर अनिल प्रभाकर को सौंपी गई थी। कमेटी को बैंकों की मौजूदा सुरक्षा जांचकर भविष्य के उपाय सुझाने थे।

भारत में नेशनल क्वांटम मिशन के तहत भी नई तकनीक पर काम चल रहा। बैंकों को अभी से तैयारी इसलिए करनी होगी,क्योंकि पुराने सॉफ्टवेयर,पेमेंट सिस्टम और दूसरी कंपनियों से जुड़े नेटवर्क की सुरक्षा बदलने में कई साल लग सकते हैं।

स्टेट बैंक ऑफ इंडिया से जुड़ी डेटा ब्रीच की इस घटना ने दिखाया कि कुछ हजार ग्राहकों का डेटा किसी भी तरह से सामने आना गंभीर खतरा बन सकता। एआई से साइबर हमले तेज और ज्यादा मुश्किल हो सकते हैं। भविष्य में क्वांटम कंप्यूटिंग कुछ मौजूदा सुरक्षा तकनीकों को कमजोर कर सकती है। इसलिए बैंकों को नियमित सुरक्षा जांच, AI टूल्स की निगरानी, ग्राहकों के डेटा पर सीमित पहुंच और नए एन्क्रिप्शन पर अभी से काम करना होगा। ग्राहकों के लिए भी जरूरी है कि वे निजी जानकारी सुरक्षित रखें और किसी संदिग्ध कॉल या लिंक पर भरोसा न करें।