साइबर अटैक मामले में सेबी का सेंट्रल डिपॉजिटरी सर्विसेज पर बड़ा एक्शन… ठोका ₹1 करोड़ का जुर्माना

नई दिल्ली। देश के शेयर बाजार (Stock Market) से जुड़ी सबसे बड़ी संस्थाओं में से एक सेंट्रल डिपॉजिटरी सर्विसेज (Central Depository Services- CDSL) पर SEBI ने बड़ा एक्शन लिया है। सेबी (SEBI) ने कंपनी पर 1 करोड़ रुपये का जुर्माना (A fine of ₹1 crore) लगाया है। यह कार्रवाई नवंबर 2022 में हुए एक बड़े मैलवेयर (Malware) साइबर अटैक से जुड़ी सुरक्षा खामियों के कारण की गई है। उस समय इस साइबर हमले की वजह से CDSL की कई महत्वपूर्ण सेवाएं प्रभावित हुई थीं और शेयर बाजार के सेटलमेंट (Settlement) में भी देरी हुई थी। आइए इसको जरा विस्तार से समझते हैं।

SEBI के आदेश के मुताबिक, CDSL अपनी साइबर सुरक्षा व्यवस्था को मजबूत रखने में कई स्तरों पर विफल रही। नियामक का कहना है कि अगर कंपनी ने समय रहते जरूरी सुरक्षा उपाय अपनाए होते, तो इस तरह का हमला टाला जा सकता था। इसी कारण सेबी ने 90 लाख रुपये का जुर्माना SEBI एक्ट के तहत और 10 लाख रुपये डिपॉजिटरीज़ एक्ट (Depositories Act) के तहत लगाया है। कंपनी को आदेश मिलने के 45 दिनों के अंदर यह राशि जमा करनी होगी।

क्या और कब का है मामला?
यह मामला 18 नवंबर 2022 का है। उस दिन सुबह करीब 3 बजे, जब दिनभर के सभी ऑपरेशन पूरे हो चुके थे, CDSL ने पाया कि उसके कुछ सर्वर और कर्मचारियों के कंप्यूटर अचानक काम करना बंद कर चुके हैं। जांच में पता चला कि कंपनी के सिस्टम पर एक मैलवेयर अटैक हुआ है। इसके बाद CDSL ने तुरंत अपने नेटवर्क को डिस्कनेक्ट किया, प्रभावित सर्वर अलग किए और वायरस के फैलाव को रोकने के लिए कई कदम उठाए।

सिस्टम करीब 54 घंटे तक प्रभावित
हालांकि, कंपनी ने अगले दिन तक सिस्टम को काफी हद तक रिकवर कर लिया, लेकिन इस दौरान कई महत्वपूर्ण सेवाएं बाधित रहीं। सेबी के अनुसार, सेटलमेंट सिस्टम लगभग 46 घंटे और इंटर-डिपॉजिटरी ट्रांसफर सिस्टम करीब 54 घंटे तक प्रभावित रहा। इसका असर केवल CDSL तक सीमित नहीं था, बल्कि पूरे शेयर बाजार के सेटलमेंट सिस्टम पर भी पड़ा।

जांच में सबसे बड़ी लापरवाही ADFS (Active Directory Federation Services) सर्वर को लेकर सामने आई। यह इंटरनेट से जुड़ा हुआ सर्वर था, लेकिन CDSL ने इसे “क्रिटिकल एसेट” नहीं माना। इसका मतलब यह हुआ कि इस सर्वर की नियमित सुरक्षा जांच, VAPT (Vulnerability Assessment and Penetration Testing) नहीं कराई गई। यही सर्वर साइबर अपराधियों के लिए कंपनी के नेटवर्क में घुसने का मुख्य रास्ता बन गया।

SEBI ने कहा कि CDSL का यह तर्क स्वीकार नहीं किया जा सकता कि इस सर्वर पर निवेशकों का डेटा नहीं था, इसलिए इसे महत्वपूर्ण नहीं माना गया। नियामक ने साफ कहा कि इंटरनेट से जुड़े सभी सर्वर अपने आप में संवेदनशील होते हैं और उन्हें सर्वोच्च स्तर की सुरक्षा मिलनी चाहिए।

इतना ही नहीं, जांच में यह भी सामने आया कि एक डोमेन एडमिन अकाउंट का पासवर्ड बेहद कमजोर था, जिसे आसानी से “ब्रूट फोर्स” तकनीक से तोड़ा जा सकता था। इसके अलावा इस अकाउंट का पासवर्ड “Never Expire” पर सेट था, यानी वह कभी समाप्त नहीं होता था। इससे साइबर हमलावर लंबे समय तक सिस्टम में बिना पकड़े सक्रिय रह सके।

SEBI ने यह भी पाया कि CDSL ने अपने SIEM (Security Information and Event Management) सिस्टम में ADFS सर्वर को जोड़ा ही नहीं था। इसका नतीजा यह हुआ कि संदिग्ध गतिविधियों से जुड़े कई अलर्ट कभी रिकॉर्ड ही नहीं हुए। कुछ मामलों में जहां अलर्ट मिले भी, उन्हें समय पर देखा या स्वीकार नहीं किया गया। इससे हमलावरों को सिस्टम के अंदर बिना किसी रुकावट के आगे बढ़ने का मौका मिल गया।

दिलचस्प बात यह है कि इस मामले में उस समय के CISO (Chief Information Security Officer) राजेश नाडकर्णी और CTO (Chief Technology Officer) अमित महाजन को भी नोटिस भेजा गया था। हालांकि, सेबी ने दोनों अधिकारियों के खिलाफ जांच पूरी करने के बाद उन पर कोई आर्थिक जुर्माना नहीं लगाया और कार्यवाही समाप्त कर दी।

यह मामला पूरे फाइनेंशियल सेक्टर के लिए एक बड़ा सबक है। आज जब शेयर बाजार पूरी तरह डिजिटल हो चुका है और करोड़ों निवेशकों का डेटा ऑनलाइन मौजूद है, तब साइबर सुरक्षा में छोटी-सी चूक भी बड़े फाइनेंशियल और ऑपरेशन नुकसान का कारण बन सकती है। SEBI का यह फैसला साफ संकेत देता है कि अब बाजार से जुड़ी संस्थाओं को साइबर सुरक्षा के नियमों का सख्ती से पालन करना होगा। मजबूत सुरक्षा व्यवस्था केवल कंपनियों की जिम्मेदारी नहीं, बल्कि निवेशकों के भरोसे की भी सबसे बड़ी गारंटी है।