Vehicle Data Leak: ₹5 में गाड़ी नंबर से नाम-पता-मोबाइल? CERT-In करेगा ऑडिट
- Chief News Editor / 2 घंटे
- अक्टूबर 25, 2026
- 0
- 1 min read
नई दिल्ली: क्या कोई सिर्फ आपकी गाड़ी की नंबर प्लेट देखकर आपका नाम, घर का पता और मोबाइल नंबर निकाल सकता है? अमेरिकी साइबर सुरक्षा कंपनी साइडर्स (Cyderes) की जांच के मुताबिक, टेलीग्राम पर चल रहा एक बॉट महज ₹5 में यही काम कर रहा था। इस तरह के खुलासों के बाद केंद्रीय सड़क परिवहन एवं राजमार्ग मंत्रालय (MoRTH) ने भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल (CERT-In) से VAHAN, SARATHI, ई-चालान और PUCC पोर्टलों का फॉरेंसिक सुरक्षा ऑडिट कराने को कहा है। अंग्रेजी अखबार ‘द हिंदू’ ने मंत्रालय के अधिकारियों और एक आधिकारिक पत्र के हवाले से यह जानकारी दी है।
ये चारों पोर्टल देश के करोड़ों वाहन मालिकों का ब्योरा रखते हैं। VAHAN में गाड़ियों के रजिस्ट्रेशन का रिकॉर्ड है, SARATHI ड्राइविंग लाइसेंस से जुड़ा काम देखता है, ई-चालान में ट्रैफिक नियम तोड़ने पर कटे चालान और जुर्माने दर्ज होते हैं, जबकि PUCC पोर्टल प्रदूषण जांच प्रमाणपत्र (PUC) जारी करता है।
जांच में क्या मिला: एक नंबर, पूरी कुंडली
साइडर्स की रिसर्च टीम ‘हाउलर सेल’ ने 1 सितंबर 2026 को अपनी रिपोर्ट जारी की थी। इसके मुताबिक, टेलीग्राम बॉट में किसी गाड़ी का रजिस्ट्रेशन नंबर डालते ही मालिक का पूरा नाम, पिता का नाम, मौजूदा और स्थायी पता, पिन कोड और मोबाइल नंबर मिल जाता था। इसी सेवा में ड्राइविंग लाइसेंस का ब्योरा, चालान का इतिहास, FASTag की जानकारी और RC व ड्राइविंग लाइसेंस की PDF तक डाउनलोड करने का विकल्प था। कंपनी के मुताबिक, पूरी ‘सूची’ में ₹5 से ₹700 तक की कीमत पर पहचान, क्रेडिट रिपोर्ट, रोजगार और मोबाइल कनेक्शन से जुड़े रिकॉर्ड भी बेचे जा रहे थे।
रिपोर्ट का सबसे अहम दावा यह है कि इसके लिए किसी सरकारी सर्वर में सेंध नहीं लगाई गई थी। साइडर्स के मुताबिक, बॉट चलाने वाला शख्स लाइसेंसधारी पहचान-सत्यापन (KYC) कंपनियों को जारी किए गए API क्रेडेंशियल्स यानी डिजिटल ‘चाबियों’ का इस्तेमाल कर रहा था, इसलिए उसकी क्वेरी किसी आम ग्राहक जैसी दिखती थी। कंपनी ने साफ लिखा है कि वह इन फर्मों के हैक होने का दावा नहीं कर रही और यह क्रेडेंशियल्स उनके नियंत्रण से बाहर कैसे पहुंचे, इसका पता जांच में नहीं चल सका।
साइडर्स का कहना है कि उसने 1 जून 2026 को CERT-In और संबंधित कंपनियों को इसकी जानकारी दी थी। इसके बाद मूल टेलीग्राम चैनल और ज्यादातर बॉट बंद हो गए। खुलासे से पहले बैकअप चैनल के 21,329 सब्सक्राइबर थे, जबकि जुलाई में बने नए चैनल पर करीब 2,230 सब्सक्राइबर रह गए। रिपोर्ट के मुताबिक, प्रकाशन के समय भी एक रास्ता खुला था, जिससे VAHAN का पूरा रिकॉर्ड, मालिक के मोबाइल नंबर समेत, मिल रहा था।
गाड़ी का नंबर हर किसी को दिखता है, इसलिए कंपनी के आकलन में देश में रजिस्टर्ड 35 करोड़ से ज्यादा वाहन ‘सैद्धांतिक तौर पर’ इस खतरे की जद में थे। हालांकि उसी रिपोर्ट में यह भी दर्ज है कि प्लेटफॉर्म के अपने लॉग में 1,793 क्वेरी मिलीं और बड़े पैमाने पर व्यवस्थित दुरुपयोग का कोई सबूत नहीं मिला। टेलीग्राम वाले हिस्से का ऐसा कोई लॉग नहीं मिला, इसलिए असली संख्या इससे ज्यादा हो सकती है।
ऐप्स पर भी खुलेआम मिल रहा ब्योरा
द हिंदू के मुताबिक, वाहन मालिकों की जानकारी कई ऐप और वेबसाइटों पर भी ₹5 तक में बिक रही थी। रिपोर्ट में दो लोकप्रिय ऐप्स की पहचान की गई है, जिनमें से एक के 1 करोड़ और दूसरे के 10 लाख डाउनलोड हैं। मंत्रालय ने गूगल समेत बड़े ऐप स्टोर संचालकों को चिट्ठी लिखकर ऐसे सभी ऐप हटाने को कहा है।
डिजिटल अधिकारों पर काम करने वाली संस्था इंटरनेट फ्रीडम फाउंडेशन (IFF) ने 23 सितंबर को गूगल प्ले स्टोर पर मौजूद ऐसे ही एक ऐप को खुद परखा था। IFF के मुताबिक, ₹29 में 15 सर्च यानी करीब ₹1.93 प्रति सर्च के हिसाब से इस ऐप ने सिर्फ रजिस्ट्रेशन नंबर से मालिक का नाम, पिता का नाम, दोनों पते, फाइनेंसर, बीमा पॉलिसी नंबर, चेसिस और इंजन नंबर तक दिखा दिए। आधिकारिक परिवहन पोर्टल पर इनमें से ज्यादातर जानकारी छिपी रहती है और उसे देखने के लिए OTP से सत्यापित खाता चाहिए। IFF का कहना है कि 17 अक्टूबर तक यह ऐप प्ले स्टोर पर मौजूद था, हालांकि संस्था ने यह दावा नहीं किया है कि ऐप को डेटा कहां से मिलता है।
RTI से खुलासा: 33 महीनों में 1.7 करोड़ क्वेरी
IFF ने इस मामले में सड़क परिवहन मंत्रालय और इन पोर्टलों को चलाने वाले राष्ट्रीय सूचना विज्ञान केंद्र (NIC) से सूचना के अधिकार (RTI) के तहत जवाब मांगा था। NIC के 16 अक्टूबर के जवाब के मुताबिक, जनवरी 2024 से सितंबर 2026 के बीच निजी संस्थाओं को 25,314 क्रेडेंशियल्स जारी किए गए और इनके जरिए 1,70,79,998 क्वेरी की गईं। यानी औसतन रोज करीब 17,000 बार किसी न किसी का रिकॉर्ड खंगाला गया। जवाब में निजी संस्थाओं के 338 और सरकारी संस्थाओं के 62 क्रेडेंशियल्स ‘दर्ज’ होने की बात भी है, लेकिन 25,314 और 338 के अंतर की वजह नहीं बताई गई।
इसी जवाब में NIC ने बताया कि मंत्रालय के निर्देश पर 1 अक्टूबर 2026 से निजी संस्थाओं के साथ जानकारी साझा करने की व्यवस्था बंद कर दी गई है। हालांकि इसकी वजह और निर्देश की तारीख नहीं बताई गई। NIC ने यह माना कि उसे 1 जून को CERT-In को दी गई जानकारी मिली थी, लेकिन उस पर क्या कार्रवाई हुई और किन क्रेडेंशियल्स को कब रद्द किया गया, यह ‘उपलब्ध जानकारी में दर्ज नहीं’ है। NIC के मुताबिक, API लॉग एक साल और SMS लॉग छह महीने तक रखे जाते हैं।
IFF के मुताबिक, मंत्रालय ने उसकी RTI अर्जी दो दिन में यह कहकर निपटा दी कि डेटा साझा करने की नीति वेबसाइट पर उपलब्ध है, और 12 में से किसी सवाल का सीधा जवाब नहीं दिया। संस्था ने 6 अक्टूबर को इसके खिलाफ पहली अपील दाखिल की है।
मंत्रालय का पक्ष: सख्ती बढ़ी, पर निजी साझेदारी पर अलग बात
द हिंदू के मुताबिक, मंत्रालय के एक वरिष्ठ अधिकारी ने बताया कि डेटा साझा करने की नीति की समीक्षा और उसे मजबूत बनाने के सुझावों के लिए इलेक्ट्रॉनिकी और सूचना प्रौद्योगिकी मंत्रालय (MeitY) से मदद मांगी गई है। मंत्रालय इन पोर्टलों का इस्तेमाल करने वाली प्रवर्तन एजेंसियों का भी ऑडिट कराने की तैयारी में है।
एक अन्य वरिष्ठ अधिकारी के मुताबिक, शुरुआती जांच में सरकार के यूनिफाइड लॉजिस्टिक्स इंटरफेस प्लेटफॉर्म (ULIP) से जुड़े दुरुपयोग के सबूत मिले हैं। ULIP का संचालन नेशनल इंडस्ट्रियल कॉरिडोर डेवलपमेंट कॉरपोरेशन (NICDC) करता है। यह नतीजा असामान्य रूप से ज्यादा लेनदेन के आधार पर निकाला गया, क्योंकि कई संस्थाओं के खाते में एक महीने में 50 लाख से ज्यादा ‘हिट’ दर्ज हुए। अखबार ने 19 अक्टूबर के जिस पत्र की समीक्षा की है, उसमें मंत्रालय ने NIC से ULIP इस्तेमाल करने वाली संस्थाओं के एक्सेस का ऑडिट कर यह पता लगाने को कहा है कि उन्होंने डेटा तय मकसद और शर्तों के दायरे में ही लिया या नहीं। अधिकारियों को शक है कि गलत इरादे वाले लोग अलग-अलग पोर्टलों से जानकारी जुटाकर उसे आपस में जोड़ रहे थे।
अधिकारियों ने बताया कि अब डेटा मांगने वाली सरकारी एजेंसियों को परिवहन सचिव की मंजूरी लेनी होगी और मांगने वाले अधिकारी का सत्यापन आधार आधारित डिजिटल सिग्नेचर सर्टिफिकेट या वीडियो KYC से होगा। हालांकि अखबार के मुताबिक, अधिकारियों ने निजी संस्थाओं के साथ डेटा साझा करना पूरी तरह रोकने से इनकार किया और कहा कि ‘ईज ऑफ डूइंग बिजनेस’ और ‘ईज ऑफ लिविंग’ के लिए यह जरूरी है। यह NIC के RTI जवाब से अलग तस्वीर है, जिसमें 1 अक्टूबर से निजी साझेदारी बंद होने की बात कही गई है। मंत्रालय ने दोनों बातों पर सार्वजनिक रूप से कोई स्पष्टीकरण नहीं दिया है।
नियम क्या कहते हैं
मंत्रालय की नेशनल ट्रांसपोर्ट रिपॉजिटरी (NTR) से डेटा साझा करने की नीति के तहत पुलिस, कानून-व्यवस्था और राष्ट्रीय सुरक्षा से जुड़ी सरकारी एजेंसियां डिजिटल व्यक्तिगत डेटा संरक्षण (DPDP) कानून, 2023 के मुताबिक सभी डेटा फील्ड देख सकती हैं। निजी संस्थाओं को सिर्फ अपने काम से जुड़े चुनिंदा फील्ड मिलते हैं और रोज की सर्च की सीमा तय है। डेटा API के जरिए सीक्रेट की, टू-फैक्टर ऑथेंटिकेशन और आधार OTP जैसी सुरक्षा के साथ दिया जाता है। कानून लागू करने वाली और सुरक्षा एजेंसियों को छोड़कर बाकी सबके लिए व्यक्तिगत पहचान वाली जानकारी छिपी (मास्क) रहती है और हर संस्था के पास CERT-In का सिक्योरिटी ऑडिट सर्टिफिकेट होना जरूरी है।
यह विवाद नया नहीं है। IFF ने संसद में दिए गए सरकारी जवाबों के हवाले से याद दिलाया है कि 2019 की ‘बल्क डेटा शेयरिंग’ नीति के तहत VAHAN और SARATHI का डेटा 87 निजी और 32 सरकारी संस्थाओं को दिया गया था और इससे ₹65 करोड़ की कमाई हुई थी। निजता को लेकर उठे सवालों के बाद जून 2020 में यह नीति वापस ले ली गई थी।
आपके लिए इसका मतलब क्या है
साइडर्स के मुताबिक, इस तरह की सस्ती सर्च का असली खतरा बड़े पैमाने के डेटा चोरी से ज्यादा किसी खास व्यक्ति या जगह को निशाना बनाने में है। कंपनी के हिसाब से किसी एक पार्किंग में खड़ी करीब 200 गाड़ियों के मालिकों का ब्योरा निकालने का खर्च लगभग 11 डॉलर बैठता है। कंपनी ने वाहन मालिकों को सलाह दी है कि अगर कोई अनजान व्यक्ति आपकी RC की जानकारी का हवाला देकर संपर्क करे, तो इसे इस लीक का संकेत मानकर सतर्क रहें।
चालान, बीमा या RC के नाम पर आने वाले अनजान कॉल, मैसेज और लिंक पर भरोसा करने से पहले उसकी पुष्टि आधिकारिक परिवहन पोर्टल या mParivahan ऐप से करें और किसी के साथ OTP साझा न करें। ठगी की कोशिश होने पर राष्ट्रीय साइबर अपराध हेल्पलाइन 1930 या cybercrime.gov.in पर शिकायत की जा सकती है। IFF ने मांग की है कि डेटा तक पहुंच रखने वाली सभी संस्थाओं का सार्वजनिक रजिस्टर बने और जिन वाहन मालिकों का रिकॉर्ड खंगाला गया, उन्हें इसकी सूचना दी जाए।
यह भी पढ़ें: AI Training: सिर पर कैमरा लगाकर काम कर रहे भारतीय, रोबोट को सिखा रहे हुनर
