ന്യൂഡൽഹി, 2026 നവംബർ 05 –
ഇന്ത്യൻ ഡിജിറ്റൽ സുരക്ഷാ കമ്പനിയായ ഇമുദ്രയുടെ (eMudhra) എട്ട് ഡിജിറ്റൽ സുരക്ഷാ സർട്ടിഫിക്കറ്റുകളിൽ ഗുരുതരമായ സാങ്കേതിക പിഴവ് കണ്ടെത്തിയ സംഭവം ഇന്റർനെറ്റ് സുരക്ഷയെക്കുറിച്ച് ആശങ്ക ഉയർത്തുന്നു. വെബ്‌സൈറ്റുകളുടെയും സോഫ്റ്റ്‌വെയറുകളുടെയും വിശ്വാസ്യത ഉറപ്പാക്കാൻ ഉപയോഗിക്കുന്ന രഹസ്യ സുരക്ഷാ കീകൾ വളരെ എളുപ്പത്തിൽ കണ്ടെത്താൻ കഴിയുന്ന രീതിയിലായിരുന്നുവെന്നാണ് സുരക്ഷാ ഗവേഷകർ കണ്ടെത്തിയത്. അതിസങ്കീർണമായിരിക്കേണ്ട ഒരു സുരക്ഷാ കീ വെറും നാല് എന്ന സംഖ്യയോളം ദുർബലമായിരുന്നുവെന്ന കണ്ടെത്തലാണ് സംഭവത്തിന്റെ ഗൗരവം വ്യക്തമാക്കുന്നത്. ഈ പിഴവ് ഉപയോഗിച്ച് യഥാർഥ വെബ്‌സൈറ്റുകളുടെ പേരിൽ വ്യാജ സുരക്ഷാ സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കാനും ചില സാഹചര്യങ്ങളിൽ ഉപയോക്താക്കളുടെ വിവരങ്ങൾ ചോർത്താനും കഴിയുമായിരുന്നു. എന്നാൽ ഇത്തരത്തിൽ വിവരങ്ങൾ മോഷ്ടിക്കപ്പെട്ടതായി സ്ഥിരീകരിച്ചിട്ടില്ല.
എന്താണ് ഇമുദ്രയുടെ സുരക്ഷാ സംവിധാനത്തിലെ പിഴവ്?
ഇന്റർനെറ്റിൽ ഒരു വെബ്‌സൈറ്റ് തുറക്കുമ്പോൾ അത് യഥാർഥ വെബ്‌സൈറ്റാണെന്ന് തിരിച്ചറിയാൻ ബ്രൗസറുകൾ ഡിജിറ്റൽ സുരക്ഷാ സർട്ടിഫിക്കറ്റുകളെയാണ് ആശ്രയിക്കുന്നത്. ബാങ്കിങ് വെബ്‌സൈറ്റുകൾ, ഓൺലൈൻ പണമിടപാട് സേവനങ്ങൾ, സർക്കാർ പോർട്ടലുകൾ തുടങ്ങിയവയുടെ സുരക്ഷയിൽ ഈ സംവിധാനം പ്രധാന പങ്കുവഹിക്കുന്നു. ഇത്തരം സർട്ടിഫിക്കറ്റുകൾ നൽകുന്ന സ്ഥാപനങ്ങളിലൊന്നാണ് ബെംഗളൂരു ആസ്ഥാനമായ ഇമുദ്ര.
2025 ഏപ്രിൽ 30ന് എട്ട് ഇടനില സുരക്ഷാ സർട്ടിഫിക്കറ്റുകൾക്കായി രഹസ്യ കീകൾ സൃഷ്ടിച്ചപ്പോഴാണ് സാങ്കേതിക പിഴവ് സംഭവിച്ചത്. ശക്തമായ സുരക്ഷാ കീകൾക്കൊപ്പം വളരെ ദുർബലമായ മറ്റൊരു കൂട്ടം കീകളും സൃഷ്ടിക്കപ്പെട്ടു. ഈ ദുർബല കീകളാണ് ബ്രൗസറുകളുടെ വിശ്വാസ്യതാ സംവിധാനത്തിൽ ഉൾപ്പെട്ടതെന്ന് കമ്പനി പിന്നീട് വിശദീകരിച്ചു. സാധാരണയായി കണ്ടെത്താൻ പ്രായോഗികമായി അസാധ്യമായിരിക്കേണ്ട രഹസ്യ കീകൾ കുറഞ്ഞ സമയത്തിനുള്ളിൽ കണ്ടെത്താൻ കഴിയുന്ന നിലയിലായിരുന്നു.
ബാങ്കിങ് വെബ്‌സൈറ്റുകളുടെ പേരിൽ തട്ടിപ്പിന് സാധ്യത
ഈ സുരക്ഷാ പിഴവ് ദുരുപയോഗം ചെയ്തിരുന്നെങ്കിൽ യഥാർഥ ബാങ്കിന്റെയോ മറ്റൊരു സ്ഥാപനത്തിന്റെയോ വെബ്‌സൈറ്റായി തോന്നിക്കുന്ന വ്യാജ സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കാൻ ആക്രമണകാരികൾക്ക് കഴിയുമായിരുന്നു. ഉപയോക്താവിന്റെ ഇന്റർനെറ്റ് ബന്ധം വഴിതിരിച്ചുവിടാനോ ഇടയിൽനിന്ന് നിയന്ത്രിക്കാനോ കഴിഞ്ഞാൽ വ്യാജ വെബ്‌സൈറ്റിനെ യഥാർഥമാണെന്ന് വിശ്വസിപ്പിക്കാനുള്ള സാധ്യതയുണ്ടായിരുന്നു.
അത്തരമൊരു ആക്രമണം വിജയിച്ചാൽ ലോഗിൻ വിവരങ്ങൾ, പാസ്‌വേഡുകൾ, സ്വകാര്യ സന്ദേശങ്ങൾ തുടങ്ങിയവ ചോർത്താനോ ആശയവിനിമയത്തിൽ മാറ്റം വരുത്താനോ സാധിക്കും. എന്നാൽ ദുർബലമായ സുരക്ഷാ കീ ലഭിച്ചതുകൊണ്ടുമാത്രം ഒരാളുടെ ബാങ്ക് അക്കൗണ്ടിലേക്കോ ഫോണിലേക്കോ നേരിട്ട് പ്രവേശിക്കാൻ കഴിയില്ല. ആക്രമണം വിജയിക്കാൻ മറ്റ് സാങ്കേതിക സാഹചര്യങ്ങളും അനുകൂലമായിരിക്കണം.
ഗൂഗിളും മോസില്ലയും സുരക്ഷാ നടപടികൾ സ്വീകരിച്ചു
ഒക്ടോബർ 17നാണ് ഒരു സ്വതന്ത്ര സുരക്ഷാ ഗവേഷകൻ പ്രശ്നം കണ്ടെത്തി ബ്രൗസർ കമ്പനികളെ അറിയിച്ചത്. തുടർന്ന് ഗൂഗിൾ ക്രോമും മോസില്ല ഫയർഫോക്സും ഉൾപ്പെടെയുള്ള പ്രമുഖ ബ്രൗസറുകൾ അപകടസാധ്യതയുള്ള സർട്ടിഫിക്കറ്റുകളെ വിശ്വാസയോഗ്യമല്ലാത്തവയായി അടയാളപ്പെടുത്തി. ആപ്പിളും മൈക്രോസോഫ്റ്റും ബന്ധപ്പെട്ട സുരക്ഷാ നടപടികൾ സ്വീകരിച്ചു.
ഒക്ടോബർ 18ന് ഇമുദ്രയും ബാധിക്കപ്പെട്ട എട്ട് ഇടനില സർട്ടിഫിക്കറ്റുകൾ റദ്ദാക്കി. വെബ്‌സൈറ്റുകളുടെ വിശ്വാസ്യത പരിശോധിക്കുന്ന സംവിധാനത്തിലുണ്ടായ പിഴവ് കൂടുതൽ ഉപയോക്താക്കളെ ബാധിക്കുന്നത് തടയാനായിരുന്നു നടപടി. എന്നാൽ പഴയ സോഫ്റ്റ്‌വെയറുകളും സുരക്ഷാ അപ്‌ഡേറ്റുകൾ ലഭിക്കാത്ത ഉപകരണങ്ങളും ഉപയോഗിക്കുന്നവർക്ക് അപകടസാധ്യത പൂർണമായി ഒഴിവായിട്ടുണ്ടെന്ന് ഉറപ്പിക്കാനാവില്ല.
ഇന്ത്യയിലെ ഡിജിറ്റൽ ഒപ്പ് സേവനങ്ങളെ ബാധിച്ചിട്ടില്ലെന്ന് കമ്പനി
ഇമുദ്രയുടെ അന്താരാഷ്ട്ര വെബ്‌സൈറ്റ് സുരക്ഷാ സർട്ടിഫിക്കറ്റ് സേവനങ്ങളിലാണ് പ്രശ്നം കണ്ടെത്തിയതെന്ന് കമ്പനി വ്യക്തമാക്കി. ഇന്ത്യയിൽ ഉപയോഗിക്കുന്ന ഡിജിറ്റൽ സിഗ്നേച്ചർ സർട്ടിഫിക്കറ്റുകളെയും ഇ-സൈൻ സേവനങ്ങളെയും ഈ സംഭവം ബാധിച്ചിട്ടില്ലെന്നാണ് വിശദീകരണം. ഇവ പ്രത്യേക സാങ്കേതിക സംവിധാനങ്ങളിലാണ് പ്രവർത്തിക്കുന്നത്.
കമ്പനിയുടെ അടിസ്ഥാന സാങ്കേതിക സംവിധാനങ്ങൾ ഹാക്ക് ചെയ്യപ്പെട്ടിട്ടില്ലെന്നും വിവരച്ചോർച്ച കണ്ടെത്തിയിട്ടില്ലെന്നും ഇമുദ്ര അറിയിച്ചു. ബാധിക്കപ്പെട്ട അന്താരാഷ്ട്ര സർട്ടിഫിക്കറ്റ് സേവനങ്ങൾ കമ്പനിയുടെ മൊത്തം വരുമാനത്തിന്റെ ഏകദേശം ഒരു ശതമാനം മാത്രമാണെന്നും വ്യക്തമാക്കി. അതേസമയം സുരക്ഷാ പിഴവ് എങ്ങനെ സംഭവിച്ചുവെന്നതിനെക്കുറിച്ചുള്ള അന്വേഷണം തുടരുകയാണ്.
കേന്ദ്ര സർക്കാർ പ്രത്യേക അന്വേഷണസംഘത്തെ നിയോഗിച്ചു
സംഭവത്തിന്റെ ഗൗരവം കണക്കിലെടുത്ത് കേന്ദ്ര ഇലക്ട്രോണിക്സ് വിവരസാങ്കേതിക മന്ത്രാലയം പ്രത്യേക അന്വേഷണസംഘത്തെ നിയോഗിച്ചു. ഇന്ത്യയിലെ വെബ്‌സൈറ്റുകളിലും ആപ്ലിക്കേഷനുകളിലും ഉണ്ടായ ആഘാതം വളരെ പരിമിതമായിരുന്നുവെന്നാണ് മന്ത്രാലയത്തിന്റെ പ്രാഥമിക വിലയിരുത്തൽ.
ഇന്ത്യൻ കമ്പ്യൂട്ടർ എമർജൻസി റെസ്‌പോൺസ് ടീമായ സിഇആർടി-ഇന്നും സുരക്ഷാ മുന്നറിയിപ്പ് പുറത്തിറക്കി. വ്യാജ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് വെബ്‌സൈറ്റുകളെ അനുകരിക്കാനും ആശയവിനിമയം തടസ്സപ്പെടുത്താനും വിവരങ്ങൾ കൈക്കലാക്കാനും സാധ്യതയുണ്ടെന്ന് മുന്നറിയിപ്പിൽ വ്യക്തമാക്കി. സംഭവത്തിൽ യഥാർഥ സൈബർ ആക്രമണമോ വിവരമോഷണമോ നടന്നിട്ടുണ്ടോ എന്നതിന് സ്ഥിരീകരണം ലഭിച്ചിട്ടില്ല.
സാധാരണ ഇന്റർനെറ്റ് ഉപയോക്താക്കൾ ശ്രദ്ധിക്കേണ്ടത്
ഇമുദ്രയുടെ സുരക്ഷാ പിഴവ് കണ്ടെത്തിയതുകൊണ്ട് എല്ലാ ബാങ്കിങ് വെബ്‌സൈറ്റുകളും സുരക്ഷിതമല്ലാതായി എന്നർഥമില്ല. പ്രമുഖ ബ്രൗസറുകൾ അപകടസാധ്യതയുള്ള സർട്ടിഫിക്കറ്റുകൾ തടയുന്നതിനുള്ള നടപടികൾ ഇതിനകം സ്വീകരിച്ചിട്ടുണ്ട്. എന്നിരുന്നാലും ഉപയോക്താക്കൾ ബ്രൗസറുകളും മൊബൈൽ ഫോണുകളും കമ്പ്യൂട്ടറുകളും ഏറ്റവും പുതിയ സുരക്ഷാ പതിപ്പിലേക്ക് അപ്‌ഡേറ്റ് ചെയ്യുന്നത് പ്രധാനമാണ്.
വെബ്‌സൈറ്റ് തുറക്കുമ്പോൾ സുരക്ഷാ സർട്ടിഫിക്കറ്റുമായി ബന്ധപ്പെട്ട മുന്നറിയിപ്പ് ലഭിച്ചാൽ അത് അവഗണിച്ച് മുന്നോട്ടുപോകരുത്. ബാങ്കിങ് വിവരങ്ങൾ നൽകുന്നതിനുമുമ്പ് വെബ്‌സൈറ്റിന്റെ വിലാസം ശരിയാണെന്ന് ഉറപ്പാക്കുകയും സംശയകരമായ ലിങ്കുകൾ ഒഴിവാക്കുകയും വേണം. ഇന്റർനെറ്റിൽ വിശ്വസനീയമെന്ന് കരുതുന്ന സുരക്ഷാ സംവിധാനങ്ങളിലും പിഴവുകൾ സംഭവിക്കാമെന്നതാണ് ഈ സംഭവം വ്യക്തമാക്കുന്നത്.
