15 जुलाई को कुडनकुलम संयंत्र से 14.3 जीबी डेटा लीक होने की पुष्टि हुई
कुडनकुलम परमाणु ऊर्जा संयंत्र से संबंधित फाइलों के एक कथित डेटा उल्लंघन ने भारत की महत्वपूर्ण बुनियादी ढांचागत सुविधाओं के लिए साइबर सुरक्षा नीतियों पर गंभीर सवाल खड़े कर दिए हैं। यह मामला, जिसकी रिपोर्ट 15 जुलाई, 2026 को की गई थी, इस बात का संकेत देता है कि देश की साइबर सुरक्षा नीति वास्तविक संवेदनशील सुविधा से कहीं आगे फैले बाहरी परिधि की तुलना में काफी पीछे है। सबसे बड़ा उल्लंघन किसी सुविधा को सीधे प्रभावित किए बिना भी हो सकता है, जैसे कि किसी ठेकेदार के नेटवर्क में संग्रहीत डेटा का लीक होना, जैसा कि कुडनकुलम मामले में प्रतीत होता है। यह घटना सार्वजनिक आश्वासनों से कहीं अधिक ध्यान देने योग्य है। इस डेटा उल्लंघन की पुष्टि रिलायंस इंफ्रास्ट्रक्चर ने की है, जो कुडनकुलम इकाइयों 3 और 4 के लिए इंजीनियरिंग, खरीद और निर्माण ठेकेदार है। कंपनी ने बताया कि डेटा उनके तीसरे पक्ष के डेटा सेंटर, योटा के सर्वर पर संग्रहीत था। सरकार को भी इस बारे में सूचित कर दिया गया था। योटा ने 29 मई को अपनी साइट पर रैंसमवेयर गतिविधि की पुष्टि की और कहा कि इसे नियंत्रित कर लिया गया है। जून तक, हमलावर डेटा पर कब्जा करने और फिरौती मांगने का दावा कर रहे थे। परमाणु ऊर्जा निगम इंडिया लिमिटेड (एनपीसीआईएल) ने स्पष्ट किया है कि लीक हुई जानकारी केवल गैर-परमाणु बुनियादी ढांचे से संबंधित दस्तावेजों की है और इसका परमाणु सुरक्षा का समर्थन करने वाली प्रणालियों से कोई लेना-देना नहीं है। हालांकि, एक रैंसमवेयर समूह के दावों को सीधे सबूत नहीं माना जा सकता, क्योंकि वे अक्सर अपने कब्जे में मौजूद डेटा को बढ़ा-चढ़ाकर बताते हैं। सार्वजनिक डोमेन में ऐसा कुछ भी नहीं है जो यह दर्शाता हो कि इंटरनेट से अलग रखे गए रिएक्टरों या नियंत्रण और सुरक्षा प्रणालियों तक पहुंचा गया हो। एनपीसीआईएल के स्पष्टीकरण को गंभीरता से लिया जाना चाहिए। यहां प्रासंगिक प्रश्न यह नहीं है कि 'रिएक्टर हैक हो गया था' - ऐसा नहीं हुआ - बल्कि यह है कि भारत की सबसे संवेदनशील सुविधाओं के बारे में कितनी परिचालन संबंधी प्रासंगिक जानकारी उन सुविधाओं के बाहर मौजूद है। इसमें ठेकेदारों, उप-ठेकेदारों, सेवा प्रदाताओं और उनके कर्मचारियों के पास मौजूद डेटा शामिल है, जिनमें से कुछ भारत के नियामक ढांचे के दायरे में आते हैं। यह पहली बार नहीं है जब कुडनकुलम इस तरह की चर्चा में आया है। 2019 में, साइबर सुरक्षा शोधकर्ताओं द्वारा उत्तर कोरिया के लाजरस समूह से जुड़ा डीट्रैक मैलवेयर, संयंत्र के इंटरनेट-फेसिंग प्रशासनिक नेटवर्क से जुड़े एक कंप्यूटर पर पाया गया था। एनपीसीआईएल ने शुरू में रिपोर्टों को खारिज कर दिया था, लेकिन बाद में संक्रमण की पुष्टि की, साथ ही इस बात पर जोर दिया कि महत्वपूर्ण आंतरिक नेटवर्क अलग और अप्रभावित था। दोनों घटनाएं तकनीकी रूप से सीधे तौर पर जुड़ी नहीं हैं, लेकिन उनमें एक संबंध है। दोनों ही मामलों में, मुख्य भेद्यता परिधि पर थी। पहले यह एक प्रशासनिक नेटवर्क था, और अब यह एक वाणिज्यिक डेटा सेंटर में एक ठेकेदार का सर्वर था। सात साल बाद, सवाल यह है कि क्या 2019 की घटना से मिले सबक को गंभीरता से लिया गया था - कि सुरक्षा जोखिम महत्वपूर्ण सुविधाओं से परे हैं - और क्या महत्वपूर्ण बुनियादी ढांचे के आसपास के पारिस्थितिकी तंत्र को सुरक्षित करने के लिए कोई व्यवस्थित दृष्टिकोण अपनाया गया है। नवीनतम घटना बताती है कि ऐसा नहीं हुआ है। यह पारिस्थितिकी तंत्र विशाल और बढ़ता हुआ है। एक आधुनिक परमाणु संयंत्र, बिजली ग्रिड, रक्षा उत्पादन सुविधा या दूरसंचार प्रणाली को एक एकल संगठन के रूप में नहीं बनाया या संचालित किया जा सकता है। सार्वजनिक उपयोगिताओं के साथ-साथ निजी इंजीनियरिंग और निर्माण फर्म, उपकरण और सॉफ्टवेयर आपूर्तिकर्ता, क्लाउड और डेटा सेंटर प्रदाता, बीमाकर्ता, प्रमाणन एजेंसियां और उप-ठेकेदारों की कई परतें जुड़ी होती हैं, जिनमें से कई विदेशी प्रौद्योगिकी भागीदार होते हैं। इनमें से प्रत्येक के पास विधिवत रूप से संवेदनशील डेटा हो सकता है, जैसे कि चित्र, खरीद आदेश फॉर्म, रिपोर्ट, व्यक्तिगत डेटा, क्रेडेंशियल और शेड्यूल। लेकिन यह जानकारी मुख्य सुविधा में मौजूद सुरक्षा उपायों से जरूरी नहीं कि सुरक्षित हो, जैसे नेटवर्क विभाजन, एयर-गैप्ड नियंत्रण प्रणाली और भौतिक सुरक्षा। यह आपूर्ति श्रृंखला में एक साइबर सुरक्षा जोखिम पैदा करता है। दूसरे शब्दों में, किसी संगठन की सुरक्षा न केवल उसके अपने सुरक्षा उपायों पर निर्भर करती है, बल्कि डेटा तक पहुंच रखने वाली हर दूसरी इकाई की सुरक्षा पर भी निर्भर करती है। पिछले कुछ दशकों में, स्वचालन, इंटरनेट ऑफ थिंग्स (इओत) और एआई के माध्यम से महत्वपूर्ण बुनियादी ढांचे और सेवाओं का विस्तार किया गया है। हालांकि, इसने उन्हें इओत उपकरणों के माध्यम से हमलों के प्रति अधिक संवेदनशील भी बना दिया है, जो हमारे बुनियादी ढांचे की सुरक्षा के लिए एक नीतिगत ढांचे की आवश्यकता को उजागर करता है। एक परिष्कृत हमलावर इस जानकारी का उपयोग ठेकेदारों की पहचान करने, फ़िशिंग हमलों के लिए संभावित लक्ष्यों को खोजने और यह निर्धारित करने के लिए कर सकता है कि कौन सा उप-ठेकेदार सिस्टम में प्रवेश का सबसे आसान मार्ग प्रदान करता है। जैसा कि न्यूक्लियर थ्रेट इनिशिएटिव के निकोलस रोथ ने नोट किया है, ऐसे दस्तावेज यह भी प्रकट कर सकते हैं कि सिस्टम तक कैसे पहुँचा जा सकता है। बड़ी चिंता यह है कि रणनीतिक जानकारी सुरक्षा जोखिम पैदा कर सकती है, भले ही वह परिचालन प्रणालियों तक सीधी पहुंच प्रदान न करे। इसलिए किसी भी गंभीर मूल्यांकन में न केवल यह जांचना चाहिए कि कौन सी जानकारी ली गई थी, बल्कि यह भी कि भविष्य में इसका दुरुपयोग कैसे किया जा सकता है। भारत साइबर सुरक्षा शासन में एक अंतर का सामना कर रहा है। ऐसा नहीं है कि संस्थान या नियम अनुपस्थित हैं। भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम (चेर्त्-इन) राष्ट्रीय एजेंसी है जो साइबर सुरक्षा घटनाओं पर प्रतिक्रिया देने के लिए जिम्मेदार है, और इसके 2022 के निर्देशों ने ऐसी घटनाओं की तत्काल रिपोर्टिंग को अनिवार्य बना दिया है। राष्ट्रीय महत्वपूर्ण सूचना अवसंरचना संरक्षण केंद्र (एनसीआईआईपीसी), सूचना प्रौद्योगिकी अधिनियम की धारा 70ए के तहत स्थापित, महत्वपूर्ण सूचना अवसंरचना की सुरक्षा के लिए जिम्मेदार है। हालांकि, भारत के साइबर सुरक्षा नियम ठेकेदारों, उप-ठेकेदारों और डेटा केंद्रों के बीच साझा की गई संवेदनशील जानकारी के लिए समान सुरक्षा सुनिश्चित नहीं करते हैं। हालांकि मौजूदा नियम सेवा प्रदाताओं की कई श्रेणियों को कवर करते हैं, लेकिन आपूर्ति श्रृंखला में सुरक्षा मानकों, निरीक्षण और जवाबदेही की पर्याप्तता पर सवाल बने हुए हैं। कानून में, एक 'सुरक्षित प्रणाली' एक बुनियादी ढांचे से संबंधित है, और दायित्व इसके ऑपरेटर पर आता है। एक बार जब परियोजना की जानकारी एक ठेकेदार को, और फिर एक उप-ठेकेदार या डेटा सेंटर को साझा कर दी जाती है, तो इसकी सुरक्षा काफी हद तक संविदात्मक व्यवस्थाओं पर निर्भर करती है। डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम आम तौर पर इंजीनियरिंग ड्राइंग और अन्य तकनीकी जानकारी को कवर नहीं करता है, जिसमें व्यक्तिगत डेटा शामिल नहीं होता है। इससे जवाबदेही की समस्या पैदा होती है। यह घटना इस बात पर प्रकाश डालती है कि भारत की महत्वपूर्ण राष्ट्रीय अवसंरचना कितनी सुरक्षित है।