सरकारी निकायका वेबसाइटहरू एकपछि अर्को गरेर ह्याक हुँदा सरकार र नागरिकका तथ्यांकहरू चोरी भएका छन् । त्यति मात्र होइन, ह्याकर समूहहरूले ती महत्त्वपूर्ण तथ्यांकहरू बिक्रीमा समेत राखेका छन् । जसले सरकारी र नागरिकका संवेदनशील डेटा खतरामा परेका छन् ।
यसबारे विस्तृतमा चर्चा गर्नुअघि यो स्टोरीमा समावेश केही शब्दहरू बुझौँ :
ह्याकिङ - ह्याकिङ भनेको कुनै पनि कम्प्युटर सिस्टम, नेटवर्क वा डेटामा अनधिकृत रूपमा प्रवेश गर्नु र त्यहाँ भएका सामग्रीलाई नियन्त्रणमा लिनु र छेडखानी गर्नु हो ।
ह्याकर - कुनै पनि कम्प्युटर सिस्टम, नेटवर्क वा डेटामा अनधिकृत रूपमा प्रवेश गरेर त्यहाँका सामग्री नियन्त्रणमा लिने व्यक्ति वा समूहलाई ह्याकर भनिन्छ ।
इथिकल ह्याकर - कम्प्युटर सिस्टम, नेटवर्क वा डेटाको सुरक्षा कमजोरी पत्ता लगाउनका लागि अनुमति लिएर ह्याक गर्ने व्यक्ति इथिकल ह्याकर हुन् । उनीहरूले ह्याक गरेर कमजोरी पत्ता लगाउँछन् । जसले गर्दा डेटाको सुरक्षाका लागि काम गर्न सकिन्छ ।
... ...
फागुन १, २०८१ अर्थात् फेब्रुअरी १३, २०२५ मा नेपालको डिजिटल संरचनामा तरंग ल्याउने एउटा ठूलो साइबर हमला भयो । त्यो थियो— कोशी प्रदेश सरकारअन्तर्गतका २१ वटा सब-डोमिनको ह्याक ।
आफूलाई ‘वाईएनआर’ भनेर चिनाउने ह्याकर समूहले koshi.gov.np डोमेनअन्तर्गत दर्ता भएका २१ सबडोमेन ह्याक गरेको थियो । ह्याकर समूहले जोन–एच पोर्टलमा यसलाई सार्वजनिक गरेको थियो ।
कोशी प्रदेशको वेबसाइट ह्याक भएको एक महिनापछि चैत १३, २०८१ अर्थात् मार्च २६, २०२५ मा प्रधानमन्त्री तथा मन्त्रिपरिषद्को कार्यालयअन्तर्गत रहेको ‘हेलो सरकार’ को वेबसाइट ह्याक भयो ।
‘घुद्रा’ नामक ह्याकर समूहले ‘ब्रिज फोरम’ मा डेटा बिक्रीमा राखेपछि हेलो सरकारको वेबसाइट ह्याक भएको खुलेको हो । हेलो सरकारको डेटा बिक्रीमा राखिएको पोस्टमा घुद्रा समूहले लेखेको थियो, ‘नेपाल सरकारले हामीसँग सम्पर्क गर्न अस्वीकार गरेपछि हामीले यो डेटा बिक्रीमा राखेका हौँ ।’
हेलो सरकारको वेबसाइट ह्याक भएको एक महिना पनि नपुग्दै वैशाख १०, २०८२ अर्थात् अप्रिल २३ मा नेपाल प्रहरीको केन्द्रीय कार्यालयको वेबसाइट ह्याक भयो ।
आफूलाई ‘काजु’ का रूपमा चिनाउने ह्याकर समूहले नेपाल प्रहरीको वेबसाइट ह्याक गरेर २० लाख नागरिकता बिक्रीमा राखेको थियो । उसले बिक्रीमा राखिएको डेटाको मूल्य ७ हजार अमेरिकी डलर तोकेको थियो । प्रहरीमा भर्ना हुन वा चारित्रिक प्रमाणपत्र लिनका लागि पेस गरिएका नागरिकता नै ह्याकर समूहले कब्जा गरेर बेच्न राखेको हो ।
पछिल्लो समय सरकारी वेबसाइटहरू ह्याक भएसँगै सरकारी र आम नागरिकसँग सम्बन्धित व्यक्तिगत जानकारी चोरी भएको यी घटनाबाट पुष्टि हुन्छ । गोप्य रहनुपर्ने जानकारी ह्याकरहरूले एकपछि अर्को गर्दै सार्वजनिक गरेका छन्, यसले सरकारी र नागरिकका संवेदनशील डेटा खतरामा परेको साइबर सुरक्षाविज्ञहरू बताउँछन् ।
“सरकारी वेबसाइटमा पनि नेपाल प्रहरी, राहदानी विभागजस्तो आम सर्वसाधारणहरूको डेटा भएको वेबसाइट ह्याक हुनु भनेको आफैंमा चुनौतीपूर्ण कुरा हो,” साइबर सुरक्षाविज्ञ तथा इथिकल ह्याकर नरेश लामगादेले भने, “यसरी बारम्बार सरकारी वेबसाइटहरूमाथि आक्रमण हुनुले राज्यको साइबर सुरक्षा संयन्त्रमाथि नै प्रश्न उठेको छ ।”
सरकारको साइबर सुरक्षा संयन्त्रमै प्रश्न उठे पनि सरकारी निकायले भने यसलाई त्यति गम्भीर रूपमा लिएको पाइएको छैन । कोशी प्रदेश सरकारका वेबसाइट ह्याक हुनुको कारण बुझ्न हामीले सूचना प्रविधि विभागका सूचना अधिकारी प्रकाश दुवाडीलाई सम्पर्क गर्दा उनले कसरी ह्याक भएको हो भन्नेबारे केही जानकारी नभएको बताए । संघीय सरकारको सञ्चार तथा सूचना प्रविधि मन्त्रालय मातहतको विभागले नै सरकारी वेबसाइटहरूको एकीकृत व्यवस्थापन गर्दै आएको छ ।
“हामीले नयाँ सिस्टम बनाएर उहाँहरूलाई तालिम प्रदान गरेर आयौँ,” विभागका सूचना अधिकारी प्रकाशले भने, “मुख्यमन्त्री कार्यालयले नै अनुसन्धान गर्छु भन्नुभएको थियो, त्यसपछि हामीलाई केही जानकारी भएन ।”
त्यसपछि हामीले मुख्यमन्त्रीको कार्यालयका कम्प्युटर अधिकृत विशो राजवंशीलाई वेबसाइट ह्याकिङको अनुसन्धान के भइरहेको छ भनेर सोध्यौं । तर उनले पनि त्यसबारेमा आफूलाई केही जानकारी नभएको बताए । “वन मन्त्रालयबाट हामीलाई पत्र आएपछि हामीले सूचना प्रविधि विभागमार्फत नयाँ सिस्टम अपडेट गरेका थियौँ,” विशोले भने, “अनुसन्धानको पाटोमा हामीलाई केही थाहा भएन, वन मन्त्रालयलाई नै थाहा होला ।”
मुख्यमन्त्री कार्यालयले पर्यटन, वन तथा वातावरण मन्त्रालयलाई देखाएपछि हामीले मन्त्रालयका प्रवक्ता अखिलेशकुमार गुप्तासँग पनि सम्पर्क गर्यौँ । उनले त्यसबारेमा कुनै अनुसन्धान नभएको जानकारी दिए । हामीले उनीसँग सम्पर्क गर्दा ह्याक भएको ५ महिना बितिसकेको थियो ।
“हामी अहिले डेटाहरू रिकभरी गर्ने क्रममै छौँ, नयाँ सिस्टममा डेटा इन्ट्रीको काम जारी छ,” पर्यटन, वन तथा वातावरण मन्त्रालय कोशी प्रदेशका प्रवक्ता अखिलेशकुमारले भने, “त्यो काम सकिएलगत्तै हामी अनुसन्धान गर्नेछौँ ।”
कोशी प्रदेश सरकारका वेबसाइट ह्याक हुनुको कारण पत्ता लागेको छैन । तर, हेलो सरकारको भने सिस्टम अपडेट गर्ने क्रममा कम्प्रोमाइज भएको प्रधानमन्त्री कार्यालयका सहसचिव प्रेमप्रसाद आचार्यले बताए । “अपडेट गर्ने क्रममा सिस्टम विक हुँदो रहेछ,” उनले भने, “त्यसैकारणले समस्या आएको भन्ने निष्कर्ष निकाल्यौँ ।”
नेपाल प्रहरीकै वेबसाइट ह्याक गर्ने ‘काजु’ समूहले नै गत वैशाखमा लुम्बिनी प्रदेश लोक सेवा आयोगको वेबसाइट ह्याक गरेको थियो ।
आयोगको ९ लाखभन्दा बढी फाइलमा पहुँच भएको भन्दै ह्याकर समूहले ३ लाख बढी प्रयोगकर्ताको व्यक्तिगत डेटा ‘डार्क वेब’ मा बिक्रीका लागि राखिएको थियो । डार्क वेब हजारौँ वेबसाइटहरूको संकलन हो, जहाँ भएका वेबसाइटहरूले आफ्नो आईपी एड्रेसलाई लुकाउन टोर र आईटूपीजस्ता अज्ञात (anonymous) टुलको प्रयोग गर्छन् ।
नेपालभित्र मात्रै नभएर बाह्य ह्याकर समूहले पनि सरकारी वेबसाइट ह्याक गर्नुले नेपालको साइबर सुरक्षामाथि थप प्रश्न खडा भएको छ । हेलो सरकारको वेबसाइट ह्याक गर्ने ‘घुद्रा’ समूहले आफू ‘फेन्सी बियर्स एपीटी २८’ अन्तर्गत रहेको दाबी गरेको छ । ‘फेन्सी बियर्स एपीटी २८’ रुसी सैन्य इन्टेलिजेन्ससँग नजिक भएको समूहका रूपमा मानिन्छ ।
“ह्याकिङ आफैँमा डरलाग्दो कुरा हो, भन्नाले सिस्टम कम्प्रोमाइज हुनु राम्रो कुरा होइन,” साइबर सुरक्षाविज्ञ सुमन ढुंगेल भन्छन्, “आन्तरिक ह्याकरको तुलनामा बाह्य ह्याकर थप खतरा हो ।” उनीहरूले डेटा चोर्ने मात्रै नभई साइटमा अनधिकृत पहुँच लिएर हानिनोक्सानी पुर्याउन जोखिम धेरै रहेको उनी बताउँछन् ।
यसरी बारम्बार ह्याकिङ भएका घटनाहरू बाहिरिरहँदा सुरक्षा चुनौतीसँगै राज्यको प्रतिष्ठामा पनि आँच आउने सुमनको तर्क छ । “ह्याकिङ हुनु भनेको सिस्टम कम्प्रोमाइज हुनु हो, जुन विभिन्न दृष्टिकोणबाट हानिकारक छ,” उनले भने, “यो राज्यको प्रतिष्ठासँग पनि जोडिएको विषय हो, तर राज्य त्यति गम्भीर भएको देखिँदैन ।”
राज्यप्रति असन्तुष्टि जनाउन पनि ह्याकिङ
ह्याकिङ सुरक्षा चुनौतीसँग राज्यप्रतिको असन्तुष्टि पोख्ने माध्यम पनि बनेको देखिन्छ । जेठ ३१, २०८२ मा जल तथा मौसम विज्ञान विभागको वेबसाइट नियन्त्रणमा लिने ‘मिडनाइट अप्स नेपाल’ नामक ह्याकर समूहले वेबसाइटको पेज परिवर्तन गरेको थियो । यो समूहले वेबसाइटको मुल पृष्ठको सामग्री हटाएर ‘…HAHAHA UR SECURITY S***S !!!’ शीर्षक राख्दै ‘This site has been hacked by MidNight Ops Nepal’ …Your Democracy has beed hacked / …Security is just an illusion भन्ने सन्देश डिस्प्ले गरेको थियो ।
यसको दुई महिनाअघि चैत २८, २०८१ मा सुनसरीस्थित डिभिजन वन कार्यालयको वेबसाइट ह्याक गरेर ‘१८०० ह्याकर’ समूहले त्यहाँ प्रधानमन्त्री केपी शर्मा ओली नाचिरहेको एआई निर्मित भिडियो, अश्लील गीतसहितको अडियो र विभिन्न आपत्तिजनक सन्देश पोस्ट गरेको थियो ।
त्यसको एक दिनपछि अर्थात् चैत २९, २०८१ मा ‘ह्याक्टिभिस्ट नेपाल’ नामले चिनाउने समूहले नापी विभागको वेबसाइट dos.gov.np ह्याक गरेको थियो । त्यहाँ स्वर्गीय राजा वीरेन्द्रको फोटो राखेर ‘राजा आऊ, देश बचाऊ’ भन्ने नारा लेखिएको थियो ।
“नेपालमा लोकतन्त्रका कारण भ्रष्टाचारको स्तर उच्चतम बिन्दुमा पुगेको छ । राजनीतिक अस्थिरता र पार्टीगत स्वार्थले जनताको भलाइको स्थानमा व्यक्तिगत फाइदालाई प्राथमिकता दिएका छन्,” नापीको वेबसाइटमा ह्याकर समूहले लेखेको थियो, “ह्याक्टिभिस्ट नेपाल राजतन्त्रको पुनःस्थापना पक्षमा रहेको छ, जसले राष्ट्रिय एकता, दीर्घकालीन स्थिरता र भ्रष्टाचारमुक्त शासनको सम्भावना खोल्न सक्छ, र नेपालको सही मार्गदर्शन सुनिश्चित गर्न सक्छ ।”
ह्याकरहरूले सरकारप्रतिको असन्तुष्टि मात्रै नभएर राज्यलाई सचेतसमेत गराएको साइबर सुरक्षाविज्ञहरू बताउँछन् । “ह्याकरहरूले असन्तुष्टि मात्रै पोखेको होइन, यो सरकारलाई तिम्रो सुरक्षा संयन्त्र कमजोर छ भनेर सचेत पनि गराएको हो,” साइबर सुरक्षाविज्ञ सुमनले भने, “तर, सरकारले सुरक्षाका लागि खासै चासो दिएको देखिँदैन ।”
नास आईटीका साइबर सुरक्षाविज्ञ नारायण कोइराला पनि सरकारी वेबसाइट बारम्बार ह्याक हुँदा पनि राज्यले समाधानका लागि केही कदम नचालेको र तादरुकता नदेखाएको बताउँछन् ।
सरकारी सिस्टमलाई कमजोर देखाउन र डेटाहरू चोरी गर्नका लागि पनि ह्याकिङ हुने साइबर सुरक्षाविज्ञ सुरज ढुंगेल बताउँछन् ।
राष्ट्रिय साइबर सुरक्षा केन्द्रका निर्देशक राजकुमार महर्जनको अनुभवमा भने ह्याकरहरूले अहंता प्रदर्शन गर्नका लागि पनि सरकारी वेबसाइटहरू ह्याक गर्ने गरेका छन् ।
ह्याकिङका बारेमा ह्याकरहरू भने बेग्लै तर्क छ । “हामी रमाइलोका लागि ह्याक गर्दैनौँ, राज्यलाई सचेत गराउनका लागि ह्याक गर्छौँ,” टेलिग्राममार्फत हामीले सम्पर्क गरेका एक ह्याकरले भने, “हामीलाई गाली गर्नभन्दा पनि राज्यले आफ्नो सिस्टम बलियो बनाउनुपर्यो नि !”
सचेत गराउनलाई ह्याकिङ गरेको हो भने नागरिकका गोपनीयतासम्बन्धी विवरण किन सार्वजनिक गरेको र डेटा किन डार्क वेबमा बिक्रीमा राखेको भनेर सोधेका थियौं । तर उनले यसको उत्तर दिएनन् ।
के हो ह्याकिङ ?
ह्याकिङ भनेको कुनै पनि सिस्टममा अनधिकृत रूपमा प्रवेश गर्नु र त्यहाँ भएका सामग्रीलाई बिगार्नु अथवा छेडखानी गर्नु हो । राष्ट्रिय साइबर सुरक्षा केन्द्रका निर्देशक राजकुमार भन्छन्, “कतिपय अवस्थामा सो सिस्टमभित्र भएका डेटाहरू चोरी गर्न पनि ह्याकिङ गरिन्छ ।”
सामान्यतः साइबर सिस्टममा ‘कन्फिइयन्सियलिटी’, ‘इन्टिग्रिटी’ र ‘अभाइबिलिटी’ गरी तीनवटा पक्षलाई महत्त्वपूर्ण मानिन्छ । साइबर सुरक्षाविज्ञ सुरज ढुंगेलका अनुसार यी तीन कुरामा कम्प्रोमाइज हुनु भनेको ह्याकिङ हुनु हो ।
“हामीले कुनै पनि डेटाहरू राखेको छौँ भने त्यो सुरक्षित हुनुपर्छ, जसलाई कन्फिडेन्सियलिटी भनिन्छ, त्यो डेटामा कसैले पनि मेनिपुलेट गरेको वा कसैले पनि टेम्परिङ गरेको हुनु हँुदैन, जसलाई हामी इन्टिग्रेट भन्छौँ । त्यो सिस्टम जुनसुकै समयमा उपलब्ध हुने हुनुपर्छ जसलाई अभाइबिलिटी भनिन्छ,” उनले भने, “यी कुरा निश्चित छैन भने त्यसलाई ह्याकिङ भनिन्छ ।”
संवेदनशील विवरण जोखिममा
सरकारी वेबसाइटमा आम नागरिकका व्यक्तिगत जानकारीसहित डेटाहरू पनि हुन्छन् । यसरी ह्याक भइरहँदा ती वेबसाइटमा भएका विवरणहरू पनि जोखिममा रहेको साइबर सुरक्षाविज्ञहरूको तर्क छ । “आम नागरिकको विवरण भएको सरकारी वेबसाइटहरूमा समस्या आउनु भनेको उनीहरूको विवरण नै जोखिममा पर्नु हो,” इथिकल ह्याकर नरेश लामगादेले भने, “ह्याक भएर डार्क फोरममा कसैको विवरण जानु भनेको निकै डरलाग्दो विषय हो ।”
ह्याकरहरूले वेबसाइटबाट निकालेको डेटाहरू ‘डार्क फोरम’ मा बेच्न राख्छन् । यी डेटा अवैध रूपमा प्रयोग हुने जोखिम धेरै रहेको साइबर ब्युरोमा कार्यरत प्रहरी उपरीक्षक (एसपी) दीपकराज अवस्थीले बताए । “ह्याकिङमार्फत डेटा चोरी हुन्छ, चोरी गरिएका डेटाहरूमा सामान्य मान्छेका नागरिकता वा व्यक्तिगत विवरणहरू पनि हुन्छन्,” उनी भन्छन्, “ती नागरिकता र विवरणहरू स्क्याम गर्नलाई पनि प्रयोग भएका छन् ।”
सरकारी वेबसाइट किन छन् जोखिममा ?
त्रिभुवन विमानस्थलस्थित अध्यागमन कार्यालयको वेबसाइटमा गत असार २६ गते समस्या आएको थियो । वेबसाइटमा समस्या आएपछि करिब एक घण्टासम्म विमान उडान बन्द भयो । जसबाट यात्रुले सास्ती पाए ।
यस्तै मंसिर ७, २०८१ मा राहदानी विभागले तथ्यांक व्यवस्थापनमा केही समस्या आएको भन्दै सेवा अवरुद्ध भएको थियो । त्यसको २ दिनपछि मंसिर ९ मा सूचना जारी गर्दै विभागले सिस्टममा भाइरस संक्रमण भएको जनाएको थियो । सूचनामा तुरुन्तै सेवा सुरु गरिने भने पनि दुई हप्तासम्म सर्भर डाउन भएको थियो ।
विमानस्थल र राहदानी विभागजस्ता सेवाप्रवाह गर्ने निकायमा समस्या देखिनु, बारम्बार सरकारी वेबसाइटहरू ह्याकिङ हुनेले सरकारी साइबर सिस्टम कमजोर रहेको देखिन्छ । सिस्टम निर्माणमै कमजोरी रहेको र राज्यले आवश्यक खर्च गर्न नसक्नाले बारम्बार समस्याहरू दोहोरिने गरेको इथिकल ह्याकर नरेश बताउँछन् । “हाम्रो सिस्टम बनाउनेमै समस्या छ, सस्तोमा जसले बनाउँछ, त्यसैलाई सिस्टम बनाउन दिइन्छ,” उनले भने, “यस्तो संवेदनशील विषय सस्तोमा बनाएर हुँदैन, तर हाम्रोमा जतिसक्दो कम मूल्यमा बनाउन खोज्छन् ।”
इथिकल ह्याकर नरेशका अनुसार सस्तोमा वेबसाइट बनाउनुका साथै सिस्टम प्रयोगमा ल्याउनुभन्दा अगाडि उचित रूपमा परीक्षण नगर्दा पनि सरकारी वेबसाइटहरू कमजोर भएको हो । “सिस्टम बनाइसकेपछि ‘भीएपीटी टेस्ट’ (भल्नेरेवल एसिस्मेन्ट एन्ड पेनिट्रेसन टेस्ट) गर्नुपर्छ । त्यो काम ‘थर्ड पार्टी’ (सिस्टम बनाउनेभन्दा अर्को भेन्डर) लाई दिनुपर्छ । तर हाम्रोमा जसले सिस्टम बनायो उसैले गर्छ,” नरेशले प्रश्न गर्छन्, “कसैलाई आफ्नो कमजोरी भन भन्दा कसरी भन्न सक्छ र ? हाम्रोमा भएको त्यस्तै हो । सामान्य वेबसाइटमा हालेर स्क्यान गरेकै आधारमा सिस्टममा के के खराबी छन् भनेर कसरी भन्न सकिन्छ ?”
कसरी जोगाउने ?
साइबर सुरक्षा नेपालमा मात्र नभएर अहिले विश्वभर नै चुनौतीको विषय बनेको छ । यी चुनौतीहरू घटाउनका लागि विभिन्न फ्रेमवर्कअन्तर्गत काम गर्नुपर्छ । “लामो छलफल र बहसपश्चात विभिन्न फ्रेमवर्कहरू इस्यु भएका छन्, सोही फ्रेमवर्कमा बसेर काम गर्यौँ भने हामी सुरक्षा मजबुत बनाउन सक्छौँ,” साइबर सुरक्षाविज्ञ सुरजले भने, “नेपाल सरकारले पनि अन्तर्राष्ट्रिय अभ्यासहरू कस्तो छ, कुन टेक्नोलोजीलाई कसरी इम्प्लिमेन्ट गर्ने, प्रोसेसलाई कसरी अप्टिमाइजेसन गर्ने, नागरिकलाई कसरी सचेत गराउने यी सबै कुराहरूमा ध्यान दिनुपर्ने हुन्छ ।”
यसका साथै प्रयोगकर्ता र राज्य पनि जिम्मेवार हुनुपर्ने नरेश बताउँछन् । उनी साइबर सुरक्षाका विषयमा राज्यले कम्प्रोमाइज गर्न नहुनेमा जोड दिन्छन् ।
सरकारका तर्फबाट साइबर सुरक्षाका लागि काम भएको राष्ट्रिय साइबर सुरक्षा केन्द्रका निर्देशक राजकुमार महर्जनले बताए । केन्द्रले सरकारी सूचना प्रविधि प्रणालीको प्रयोकर्ताका लागि साइबर सुरक्षा एडभाइजरीसमेत जारी गरेको छ ।
“हामीले केही दिनअघि मात्र साइबर ड्रिल भनेर ३० वटा निकायका इन्जिनियरलाई राखेर एउटा कार्यक्रम गर्यौँ, साइबर सुरक्षामा केही घटना भएमा कसरी रेस्पोन्स गर्नुपर्छ भनेर छलफल गर्यौँ,” निर्देशक राजकुमारले भने, “यसका अलावा हामीले सचेतनामूलक पाटाहरूमा काम गर्दै आएका छौँ ।”
कानुन निर्माणको चरणमा
ह्याकिङको जोखिम घटाउन कानुन पनि बन्ने प्रक्रियामा रहेको निर्देशक राजकुमारले बताए । सरकारले साइबर अपराध नियन्त्रणका लागि ‘सूचना प्रविधि तथा साइबर सुरक्षा विधेयक’ संसद्मा दर्ता गरिसकेको छ । विद्युतीय कारोबार ऐन, २०६३ लाई प्रतिस्थापन गर्ने यो विधेयकले साइबर अपराधका विभिन्न स्वरूपलाई परिभाषित गर्दै कसुरको प्रकृतिअनुसार फरक फरक सजायको प्रस्ताव गरेको छ ।
विधेयकको दफा ८० मा मुलुकको साइबर सुरक्षा तथा तथ्यांक प्रणालीमा अवरोध सिर्जना गर्ने वा प्रतिकूल असर पार्ने कार्यलाई गम्भीर कसुर मान्दै ५ वर्षसम्म कैद वा १० लाख रुपैयाँसम्म जरिवाना वा दुवै सजाय हुने व्यवस्था प्रस्ताव गरिएको छ ।
विधेयकले कम्प्युटर प्रणालीमा अनधिकृत पहुँच (ह्याकिङ) र प्रणालीमा गरिने छेडछाडलाई विभिन्न तहमा वर्गीकरण गरी दण्डको व्यवस्था गरेको छ । यसअन्तर्गत आर्थिक लाभका लागि विद्युतीय सूचना हेरफेर, मेटाउने वा लुकाउनेलाई तीन वर्षसम्म कैद र ५ लाख रुपैयाँसम्म जरिवानाको प्रस्ताव गरिएको छ ।
सामान्य चेतनाको अभावले नै साइबरजन्य घटना भइरहेका छन्
राजकुमार महर्जन
निर्देशक, साइबर सुरक्षा केन्द्र
नेपालका सरकारी वेबसाइटहरू किन बारम्बार ह्याक हुन्छन् ?
नेपालमा मात्र होइन, विश्वभर नै सूचना प्रविधिको प्रयोग बढ्दै गइरहेको छ । यसले जीवनमा सहजता ल्याउनेदेखि कठिन र अप्ठ्यारा कामहरू छिटो, छरितो र सजिलो रूपमा सम्पन्न भइरहेको छ ।
पहिला सूचना प्रविधिलाई जति महत्त्वका साथ हेरिन्थ्यो, अहिले त्यसभित्रका सब क्याटगोरीहरू पनि त्यत्तिकै महत्त्वपूर्ण हुँदै गएका छन् । जस्तो कि आर्टिफिसियल इन्टलिजेन्स एआई, ब्लकचेन टेक्नोलोजी, क्लाउड कम्प्युटिङ, बिग डेटा स्टोरेजको महत्त्व एकदमै बढिरहेको छ ।
यस्तो स्थितिमा हामी चाहेर वा नचाहेर नै भए पनि सूचना प्रविधिमा प्रवेश गरिसकेका छौँ, यसबाट फर्कनका लागि हामीसँग विकल्प नहोला । सामाजिक सञ्जालको प्रयोग पनि बढ्दै आएको छ । मोबाइल डिभाइसहरू सस्तो हुँदै आइसकेपछि यी कुराहरू बढिरहेका छन् । नेपाल सरकारले पनि अब फेसलेस, क्यासलेस र पेपरलेस गभर्नेन्समा ध्यान दिन थालेको छ ।
ई-गभर्नेन्स भन्न खोज्नुभएको हो ?
हजुर हो, ई-गभर्नेन्समार्फत यस्ता कुराहरू ल्याउनुपर्छ भनेर हामीले काम गरिरहेका छौँ । थुप्रै निकायहरूले अब प्रणालीहरू भटाभट बनाउन थाले । जस्तै: यातायात व्यवस्था विभागको आफ्नै प्रणाली छ, उसको सिस्टमबाट यातायातसँग सम्बन्धित सेवाहरू अनलाइनमार्फत दिन्छ । प्रविधिले सजिलोपना ल्याएको छ, यसमा दुई मत छैन ।
तर, जहाँ सजिलो, त्यहाँ अप्ठ्याराहरू पनि पक्कै हुन्छन् । यो आईटीमा मात्रै होइन । प्रत्येक प्रविधिमा त्यो आउँछ नै । हामी सिस्टममा निर्भर हुँदै गइसकेपछि त्यो कुरालाई प्रयोग गरेर गलत मनसाय राख्ने व्यक्ति वा समूहहरूले खेल्न थालेका छन् । त्यस्ता व्यक्तिहरूले प्रविधिको दुरुपयोग गर्ने परिपाटी पनि बढ्दै गएको छ र यो बढ्ने क्रम यहाँ मात्र होइन, संसारभर यो दृश्य देख्न सकिन्छ ।
प्रविधिमा हाम्रो प्रयोग बढ्दै गएकोमा दुई मत रहेन । तर, सुरक्षाको विषयमा अहिले जुन तपाईंले प्रश्न उठाउनुभएको छ । हामीले जेजति कामहरू गरिरहेका छौँ, त्यो कतिको सुरक्षित छ भनेर हामी आफैँले पनि अवलोकन गर्नुपर्छ ।
जुनसुकै एप्लिकेसन पनि डाउनलोड गरिहाल्नु हुँदैन, फ्री वाइफाई भेटिए भने इन्टरनेट कनेक्ट गरेर चलाइहाल्नु पनि हुँदैन ।
यी त प्रयोगकर्ताको कुरा भए नि !
हो । प्रयोगकर्ताकै हकमा भन्नुपर्दा हामीसँग अलिकति जनचेतनाको कमी देखिन्छ । यसका लागि डिजिटल साक्षरताको विषय थाहा हुनुपर्छ । त्यसैगरी साइबर सुरक्षा जानकारी उनीहरूलाई हुनुपर्छ । साइबर हाइजिनका विषयहरूमा पनि जानकार हुनुपर्छ । तर, त्यो जानकारी हामीसँग कम हुनु स्वाभाविकै भयो, किनकि यो विषय पनि नयाँ नै छ ।
पढेलेखेको मान्छे हुँदैमा साइबरको हिसाबले जानकार हुन्छ भन्ने हुँदैन । पढाइलेखाइ एउटा विषय हो भने यो अर्को विषय हो ।
मान्छेको सानो असावधानी वा सानो त्रुटिले गर्दा धेरै ठूला घटनाहरू हुन्छन् । साइबर सेक्युरिटीको विद्यार्थीका हिसाबले मैले के भन्छु भन्दा यो ‘पिपल, प्रोसेस एन्ड टेक्नोलोजी’ भन्ने हुन्छ । टेक्नोलोजी एकदमै बलियो छ रे, मानौं । प्रोसेस पनि तपाईँले एकदम राम्रो बनाउनुभएको छ तर पिपलले त्यो गर्दिएन भने काम गर्दैन । त्यसैले साइबर सेक्युरिटीमा ‘पिपल इज द विकेस्ट लिंक’ भन्छ । हामीले अध्ययन गर्दा पनि अहिले साइबरजन्य घटनाहरू सामान्य साइबर चेतना अभावले गर्दा नै भएको देखिन्छन् ।
मैले सुरुमा नै सोधेको थिएँ, सरकारी वेबसाइट ह्याक हुनुको कारण । के सरकारी वेबसाइटमा काम गर्नेहरूसँग डिजिटल साक्षरता नभएको भन्न खोज्नुभएको हो ?
नेपाली सरकारी पोर्टलहरू मात्रै ह्याक भएको विषय होइन । यो अहिले संसारभरको समस्या हो । सबैतिर साइबरजन्य घटनाहरू बढिराखेका छन् । तर सरकारी पोर्टलहरू बढी ह्याक हुनुको कारण छ । यदि सरकारी वेबसाइटहरू वा सरकारी प्रणालीहरूमा गडबडी देखाउन सकियो भने जसले त्यो गडबड गर्न चाहन्छ उसले त्यसलाई ठूलो उपलब्धिका रूपमा लिन्छ ।
‘यो मेरो उपलब्धि हो’ भन्ने लाग्छ ह्याकरलाई । र, सरकारी प्रणालीहरूमा त्यस्तो असर देखाउन सक्दा चाँडै नै प्रचार पनि हुन्छ । च्यालेन्जका रूपमा पनि यो बाहिर जान्छ । यी कारणले उनीहरू सरकारीमा आकर्षित हुने भए । जस्तै— त्रिभुवन विश्वविद्यालयको सिस्टमलाई १२ कक्षा पढ्ने विद्यार्थीले पनि ह्याक गर्यो । ह्याक गरेको समाचार पनि आयो । ह्याकरहरू पनि कस्ता हुन्छन् भने कोही कोहीले त यसलाई एउटा राम्रै हिसाबले यस्तो यस्तो कमजोरी रहेछ भनेर जानकारी पनि दिन्छन् ।
इथिकल ह्याकर भन्न खोज्नुभएको ?
इथिकल टाइपबाट पनि भएको छ । र, कतिले यसै जानकारी दिनेहरू पनि छन् । अब नन इथिकल समूहहरू, नेपाली अथवा विदेशी समूहहरूबाट पनि यस्ता हमलाहरू भएका चाहिँ छन् ।
तपाईं बाहिर जाँदाखेरि घरमा ताल्चमा मार्नुहुन्न भने चोरी हुन्छ । भन्नाले तपाईंले सिस्टमहरू बलियो बनाउनुभएन भने पनि खतरा हुन्छ । जस्तै— घर बनाउँदा सर्टेन रुल हुन्छ नि त कति कंक्रिट हाल्ने ? कति रड हाल्ने भन्ने हुन्छ । त्यस्तै, सर्भरहरू बनाउँदा पनि एउटा स्ट्यान्डर्ड फम्र्याट हुन्छ । त्योअनुसार हामीले प्रणालीहरू बनायौँ कि बनाएनौँ ? त्यो पनि हेर्न आवश्यक छ ।
यसको मतलब सरकारी वेबसाइट बनाउने प्रक्रिया नै कमजोर छ ?
हुन सक्छ । हामीले त अनुसन्धानको पाटोबाट भन्दै गर्दाखेरि सबैभन्दा पहिला जसरी बनायौँ, त्यो बनाउने प्रक्रिया पो मिलेन कि ? अथवा बनाउनको हामीले जुन टुल्सहरू प्रयोग गर्यौँ, तिनीहरू नै कमजोर पो थिए कि ? सामान्यतः हार्डवेयर, सफ्टवेयर भनेको दुई—तीन वर्षको अन्तरालमा अपडेटेड भर्सनहरू आइरहेका हुन्छन् ।
सुरुमा डिजाइन गर्दा नै सेक्युरिटीलाई ध्यानमा राखेर गर्नुपर्यो । सेक्युरिटी वा सुरक्षा भन्ने कुरालाई पहिला पहिला महत्त्व दिइँदैन थियो । पहिले त काम गर्नु नै ठूलो कुरा हुन्थ्यो । तर, अब काम गर्दा सुरक्षित ढंगले गर्नुपर्छ भन्ने हो । त्यसैले हामीले डिजाइन गर्दाखेरि अर्थात् सोच्दादेखि नै सेक्युरिटीलाई ध्यानमा राखेर गर्नुपर्यो । प्रणालीहरू बनाउदा कहाँ अप्ठ्यारो हुन सक्छ भन्ने कुरा ध्यान दिनुपर्छ ।
सिस्टम चलाउने मान्छेलाई पनि जानकारी हुनु आवश्यक छ कि पासवर्डहरू अरूलाई भन्नु हुँदैन, पासवर्ड सुरक्षित राख्नुपर्छ र पासवर्ड बलियो राख्नुपर्छ । धेरैजसो अहिले १२३४५६, एडमिन एडमिनजस्ता कमजोर पासवर्डहरू राखेको हुन्छ । यस्ता कुराहरूमा एकदम ध्यान दिनुपर्छ ।
हार्डवेयरले पनि भूमिका खेल्छ होला नि, होइन ?
सफ्टवेयर र सिस्टमसँगै हार्डवेरको पनि उत्तिकै भूमिका हुन्छ । जेन्युन खालका डेस्कटप, ल्यापटपहरू र जेन्युन डिभाइसहरू हामीले चलाउनुपर्छ । हामी प्रायः बाहिर एसेम्बल्ड सिस्टमहरू चलाइराखेका हुन्छौँ, सफ्टवेयरहरू पनि पायोेरेटेड (चोरी) गरिएका खालका चलाइरहेका हुन्छौँ । जुन अत्यन्तै जोखिमपूर्ण हो ।
कुनै पनि सामग्री सस्तोमा पाइन्छ वा कुनै पनि सामग्री निःशुल्क पाइन्छ भने त्यसमा खतरा हुन सक्छ भनेर बुझ्नु आवश्यक छ । हामी प्रायः फ्री सफ्टवेरहरू डाउनलोड गर्छाैँ । फ्री भीपीएन चलाउँदा पनि जोखिम बढ्छ ।
कुनै पनि कुरा शतप्रतिशत सुरक्षित भन्ने हुँदैन । कुनै पनि चिजमा एकदम सुरक्षित छ भनेर तपाईंले सोच्नुभयो भने तपार्इं ढुक्क भएर बस्नुहुन्छ, त्यसपछि त्यही बेलामा अट्याक हुन्छ । यसर्थ, अब यो कुरा हामीले बुझ्नु आवश्यक छ ।
तपाईंले नै भन्नुभयो कि कुनै पनि कुरा शतप्रतिशत सुरक्षित हुँदैन । मान्छेकै गल्तीका कारणले पनि थप जोखिम देखियो । तर पनि सुरक्षित हुनका लागि वा ह्याकिङजस्ता आक्रमणहरू घटाउनका लागि राज्य पक्षले के गरेको छ ?
हामीले धेरै काम गरेका छौँ । धेरै काम गरेको भन्ने प्रमाण कहाँबाट देखिन्छ भन्दा सन् २०२० तिर ग्लोबल साइबर सेक्युरिटी इन्डेक्समा हामी ४५ प्रतिशत थियौँ । अहिले २०२५ मा आइपुग्दा ६९ मा छौँ ।
यो आईटीयूले प्रत्येक वर्ष मूल्यांकन गरेर सार्वजनिक गर्छ । यो मूल्यांकन गर्ने पाँचवटा फ्याक्टर छन् । कानुनी व्यवस्था, अर्गनाइजेसनल स्ट्रक्चर, टेक्नोलोजी, अवेरनेस र सिस्टम कम्प्रोमाइज भएको छ कि छैन भनेर हेरिन्छ ।
यो सामग्री पुन: प्रकाशन गर्न चाहनुहुन्छ भने हाम्रो पुन:प्रकाशन नीति अनुसार प्रकाशन गर्नुहोस् । पुन:प्रकाशन निर्देशिका यहाँ छ ।