اگر ہم اب تک کے سال 2026 پر نظر ڈالیں تو سائبر سیکیورٹی کو گرتے ہوئے دیکھنا آسان ہو سکتا ہے، کیونکہ دنیا کی زیادہ تر توجہ جنگوں، موسم کی خرابی پر مرکوز ہے، اور ہم بظاہر اگلی عالمی وبائی بیماری سے صرف ایک چھینک دور ہیں۔
لیکن سائبرسیکیوریٹی عالمی سطح پر جو کچھ ہو رہا ہے اس کا ایک طاقتور بیرومیٹر بنی ہوئی ہے، بوٹنیٹس مغرب کو کمزور کرنے کی ڈیجیٹل کوششوں کو طاقت دیتے ہیں اور حکومتیں شہریوں کے ڈیٹا اور شہریوں کے بنیادی ڈھانچے کو لوگوں کی پوری آبادی کے خلاف ہتھیار بناتی ہیں۔ ہر وقت، مالی طور پر حوصلہ افزائی والے ہیکر بڑے پیمانے پر تاوان کی ادائیگی کی کوشش کرتے ہیں، کیونکہ وہ حکومتوں اور نجی صنعتوں میں خلل اور کبھی کبھار تباہی پھیلاتے ہیں۔
جیسا کہ ہم ڈیجیٹل حملوں اور ہائبرڈ جنگ کے اس خوفناک سال کے آدھے راستے سے گزر رہے ہیں، ہم اب تک کے کچھ بدترین ہیکس اور خلاف ورزیوں کو دیکھتے ہیں، اور یہ کہ وہ ہمیں آگے کیسے متاثر کر سکتے ہیں۔
ایک سال بعد، ایلون مسک کی زیرقیادت حکومتی تخریب کاروں کے بینڈ کے ساتھ کارندوں نے جسے ڈیپارٹمنٹ آف گورنمنٹ ایفیشنسی (یا DOGE) کے نام سے جانا جاتا ہے اور وفاقی ایجنسیوں کو اندر سے ختم کر دیا، ہم اب بھی ڈیٹا لیپس کے بارے میں جان رہے ہیں جو ان کی نگرانی میں ہوا تھا۔
DOGE کے سوشل سیکیورٹی ایڈمنسٹریشن میں داخل ہونے کے بعد، یہ ابھی تک واضح نہیں ہے کہ ملک کے کچھ انتہائی حساس ڈیٹا کے ساتھ کیا ہوا، جیسا کہ وفاقی عدالت میں مقدمہ چل رہا ہے۔ سب سے زیادہ خطرناک سیٹی بلور کا دعویٰ یہ ہے کہ DOGE نے سوشل سیکیورٹی ڈیٹا بیس کی ایک لائیو کاپی غیر محفوظ تھرڈ پارٹی سرور پر اپ لوڈ کی، جس کے نتیجے میں یہ سمجھنے میں دشواری کا سامنا کرنا پڑا کہ اس میں کیا ذخیرہ ہے۔ اس ڈیٹا بیس میں مبینہ طور پر زیادہ تر زندہ امریکیوں کے سوشل سیکیورٹی نمبرز اور اس سے منسلک ذاتی معلومات موجود تھیں۔
عدالتی فائلنگ میں، سوشل سیکیورٹی ایڈمنسٹریشن یقینی طور پر نہیں جانتی ہے کہ سرور پر کیا تھا، لیکن کہا کہ DOGE نے ووٹر فراڈ کے ثبوت تلاش کرنے کی آڑ میں ایک بیرونی سیاسی وکالت گروپ کے ساتھ ایک معاہدے پر دستخط کیے، جس کا صدر ٹرمپ بغیر کسی ثبوت کے دعویٰ کرتے رہتے ہیں۔ خدشہ ہے کہ جعلی وجوہات کی بناء پر امریکیوں کو نشانہ بنانے کے لیے ڈیٹا بیس کا غلط استعمال کیا جا سکتا ہے۔
سوشل سیکیورٹی ایڈمنسٹریشن میں DOGE کی کچھ سرگرمیوں کی چھان بین کرنے والے دو اعلیٰ ہاؤس ڈیموکریٹس نے کہا کہ حکومت کے سوشل سیکیورٹی ڈیٹا بیس کی نمائش "ہماری قوم کی تاریخ میں ڈیٹا کی سب سے بڑی خلاف ورزی ہوسکتی ہے۔"
پورے یورپ میں سائبر حملوں کے ایک دھبے نے شہری توانائی اور پانی کی فراہمی، جیسے پاور پلانٹس اور پانی کے ڈیموں کو نشانہ بنایا، نے دیر سے ایک پریشان کن رجحان قائم کیا ہے۔ روس سے منسوب کئی ہیکس (یا کم از کم جزوی طور پر اس پر الزام) نے کمیونٹیز اور آبادیوں کو حقیقی دنیا کے نقصان کا خطرہ لاحق کیا ہے۔
پولینڈ کے انرجی گرڈ کو پچھلے سال کے آخر میں کمپیوٹر کو تباہ کرنے والے میلویئر کے ساتھ ساتھ ایک سویڈش تھرمل پلانٹ، اور ایک نارویجن ڈیم سے نشانہ بنایا گیا تھا جس نے سوئمنگ پولز کا پانی بہایا تھا۔ ہیکرز نے اس سال کے شروع میں پولینڈ کو دوبارہ نشانہ بنایا، اس بار اس کے واٹر ٹریٹمنٹ پلانٹس، جس سے یہ ظاہر ہوتا ہے کہ روس کی ہائبرڈ جنگی دشمنی ڈیجیٹل دائرے سے آگے بڑھ رہی ہے۔
اب، ایران کے خلاف امریکہ اور اسرائیل کے درمیان حالیہ جنگ کی بدولت، یہ انتباہات ہیں کہ ایرانی ہیکرز امریکہ میں اہم انفراسٹرکچر کو نشانہ بنا رہے ہیں۔ اس میں نجی ملکیت میں پانی کی سہولیات شامل ہیں، جو ہیکرز کے لیے ایک نرم ہدف بنی ہوئی ہیں، جن میں اکثر سائبر سیکیورٹی کے بنیادی تحفظات کا فقدان ہے۔
ایران کی بات کریں تو، مارچ میں ایک امریکی میڈیکل ٹیک کمپنی، اسٹرائیکر پر سائبر اٹیک نے دیکھا کہ ایرانی ہیکرز نے توڑ پھوڑ کی اور دسیوں ہزار ملازمین کے آلات کو ایک ہی وقت میں صاف کر دیا، جس سے کمپنی کے کاموں میں کئی دنوں تک بڑے پیمانے پر خلل پڑا۔
یہ خلاف ورزی مشرق وسطیٰ میں جاری جنگ کے وقت ایرانی ہیکنگ کی حکمت عملیوں میں ایک واضح تبدیلی تھی، جس میں ایران ملک کے سیاسی فائدے کے لیے جاسوسی اور ہیک اینڈ لیک کی کارروائیوں کی اپنی مخصوص توجہ سے ہٹ رہا ہے، جنگ کے بظاہر انتقامی کارروائی میں تباہ کن ہیکس کا سبب بننے کی طرف۔ امریکی حکومت نے اس خلاف ورزی کے پیچھے ہیکنگ گروپ کو ایرانی انٹیلی جنس کے ایک بازو سے منسوب کیا ہے۔ اس خلاف ورزی کا اپنے سسٹمز پر دوبارہ کنٹرول حاصل کرنے کے بعد اسٹرائیکر کی پہلی سہ ماہی کی آمدنی پر مادی اثر پڑا۔
ShinyHunters نے اپنی ہیکنگ مہم جاری رکھی، جس میں درجنوں کمپنیوں کو آسان لیکن انتہائی موثر آواز کی فشنگ تکنیکوں سے نشانہ بنایا گیا۔ انگریزی بولنے والے ہیکرز IT سپورٹ ہونے کا بہانہ کر کے، یا اس کے برعکس، ایک ملازم جو اپنا پاس ورڈ بھول گیا ہے، کمپنیوں کو ان کے اندرونی سسٹمز تک رسائی دینے کے لیے دھوکہ دینے میں ماہر ہیں۔ شائنی ہنٹرز کے ایک ہیک کو ایجوکیشن ٹیک دیو انسٹرکچر کے مقابلے میں بہت کم لوگ جانتے ہیں۔ ہیکرز نے کمپنی کے فلیگ شپ لرننگ مینجمنٹ سسٹم کینوس کی خلاف ورزی کی تاکہ 30 ملین سے زائد طلباء اور عملے کا نجی ڈیٹا اور ذاتی معلومات چرا سکیں۔ جب کمپنی نے ہیکرز کے تاوان کی ادائیگی نہیں کی تو ہیکرز — دوبارہ — میں داخل ہوئے اور کینوس کے لیے اسکول کی لاگ ان اسکرینوں کو خراب کر دیا، جو طلباء اپنے امتحان اور کورس ورک مواد تک رسائی کے لیے استعمال کرتے تھے۔ یہ دوسرا ہیک اسکول کے فائنلز کے دوران ہوا، جس سے ریاستہائے متحدہ کے طلباء کے امتحانات میں خلل پڑا۔ FBI کی طرف سے کمپنی کو ادائیگی کرنے سے روکنے کی کوششوں کے باوجود انسٹرکچر نے آخرکار تاوان ادا کر دیا۔
شائنی ہنٹرز ہیکرز کے ذریعہ اب تک انسٹرکچر واحد کمپنی نہیں تھی۔ اس گینگ نے چوری ہونے والے ریکارڈز کی تعداد کے لحاظ سے سب سے بڑی خلاف ورزیاں کی ہیں، جن میں انٹرنیٹ فراہم کرنے والے چارٹر کے تقریباً 40 ملین ریکارڈز اور کروز لائنر کارنیول کے کم از کم 6 ملین صارفین کے ریکارڈ شامل ہیں، اعلیٰ تعلیم، مالیات اور حکومت کے دیگر متاثرین کے درمیان۔
اوپن سورس ڈویلپرز پر جاری، ہم آہنگی، اور کبھی کبھار اوور لیپنگ حملوں کا ایک سلسلہ جس کے نتیجے میں بڑی ٹیک کمپنیوں اور ان کے صارفین کو نشانہ بنانے والے بڑے پیمانے پر ہیکس نکلے ہیں۔
سیکیورٹی کے کچھ بڑے نام، بشمول ایکوا سیکیورٹی کے ٹریوی ٹول، بٹوارڈن، اور چیک مارکس، دیگر بڑے اوپن سورس پروجیکٹس کے ساتھ، اس سال سمجھوتہ کیا گیا، جس سے ہیکرز کو کسی بھی ایسے شخص کے کمپیوٹر سے پاس ورڈ، اسناد، اور دیگر حساس ٹوکنز چرانے کی اجازت دی گئی جس نے اپنے سافٹ ویئر کی بیک ڈور کاپی انسٹال کی یا پہلے سے سافٹ ویئر میں سافٹ ویئر ڈاؤن لوڈ کرنے کے لیے۔
ان حملوں نے چوری شدہ اسناد کو مزید پھیلانے کے لیے استعمال کیا، اور بڑی کمپنیوں کے ڈاون اسٹریم سمجھوتوں کا دروازہ کھول دیا جو ٹارگٹڈ سافٹ ویئر پر انحصار کرتی ہیں، بشمول AI وشال OpenAI اور ویب ہوسٹنگ کمپنی Vercel۔ تقریباً ہر ہفتے ایک نئے ہیک کے ساتھ، وسیع تر ٹیک ایکو سسٹم میں اوپن سورس کی دنیا ایک کمزور ہدف بنی ہوئی ہے۔
امریکی فیڈرل بیورو آف انویسٹی گیشن کو اپریل میں ایک "بڑے سائبر واقعے" کا اعلان کرنے پر مجبور کیا گیا، جس سے کانگریس کے ساتھ قانونی طور پر مطلوبہ انکشاف کا اشارہ کیا گیا، اس بات کی نشاندہی کرنے کے بعد کہ اس کے نگرانی کے نظام میں سے ایک سے سمجھوتہ کیا گیا تھا۔ رپورٹس کے مطابق، خلاف ورزی نے ممکنہ طور پر وفاقی ایجنٹوں کے زیر نگرانی اہداف کے فون نمبرز کو بے نقاب کیا۔
چینی جاسوسوں پر غیر درجہ بند نیٹ ورک کی خلاف ورزی کا الزام لگایا گیا تھا، جس میں وائر ٹیپس اور دیگر مواصلاتی مداخلتوں، جیسے قلم کے رجسٹر ریٹرن کی نگرانی کے اہداف کے بارے میں حساس معلومات موجود تھیں۔ قانون سازوں کو مطلع کرنے سے، امکان ہے کہ اس خلاف ورزی نے امریکی قومی سلامتی کو "قابل ثبوت نقصان" پہنچانے کے بار کو پورا کیا ہے۔
کھلونا بنانے والی دیو ہیسبرو اس کی تازہ ترین مثال ہے کہ کیا ہوتا ہے جب ایک بڑی کارپوریشن سیکیورٹی کے واقعے کا شکار ہوتی ہے اور اس کے لیے تیار نہیں ہوتی ہے۔ مارچ کے آخر میں اپنے سسٹمز میں ہیکرز کو دریافت کرنے کے ہفتوں بعد، 103 سالہ کمپنی بڑی حد تک آف لائن رہی، اس کی ویب سائٹ دستیاب نہیں، اور اپنے صارفین کی خدمت کرنے سے قاصر رہی۔
کمپنی، جو ٹرانسفارمرز، پیپا پگ، اور Dungeons & Dragons جیسے بڑے ناموں کے برانڈز کی مالک ہے، نے خود اس واقعے کے بارے میں بہت کم کہا ہے کہ کیا ڈیٹا لیا گیا تھا - اگر کوئی ہے، اور آیا اس نے ہیکرز کو ادائیگی کی۔ لیکن اکیلے رکاوٹ کمپنی کے مالیات پر اثر انداز ہونے کا امکان ہے، جس میں اسے تاخیر کرنے پر مجبور کیا گیا، کیونکہ کمپنی نے اس واقعے کو سنبھالنے کے لیے ہنگامہ کیا۔
ہاسبرو نے مئی کے وسط تک کہا تھا کہ ہیکرز اب اس کے سسٹمز میں نہیں ہیں اور اس کی بازیابی جاری ہے۔ لیکن اس خلاف ورزی کے مالی اخراجات اور اس کے کاروبار پر پڑنے والے اثرات آنے والے مہینوں میں محسوس ہونے کا امکان ہے، اور اس کے کافی ہونے کی امید ہے۔
صرف پچھلے چند مہینوں کے دوران، لوگوں کے حساس حکومت کی جانب سے جاری کردہ شناختی دستاویزات، بشمول پاسپورٹ اور ڈرائیور کے لائسنس کے اسکین ویب پر بے نقاب ہونے والے بڑے ڈیٹا کی نمائش میں اضافہ ہوا ہے۔ ہوٹل کے چیک ان سسٹم اور منی ٹرانسفر ایپ سے لے کر جیل کے پے فون فراہم کنندہ اور یو کے ویزا سروس تک، ان سروسز نے 20 لاکھ سے زیادہ لوگوں کی ذاتی دستاویزات کو بے نقاب کیا جن کا آسانی سے غلط استعمال کیا جا سکتا ہے۔ بہت سے عام حفاظتی خامیوں کی وجہ سے ہوئے جو سائبر سیکیورٹی کے بنیادی طریقوں سے آسانی سے گریز کیا جا سکتا تھا۔
یہ بڑے پیمانے پر ڈیٹا سپل ایک ایسے وقت میں ہوتا ہے جب بند کمیونٹی ایپس اور ویب سائٹس تیزی سے "اپنے گاہک کو جانیں" کے چیکس پر انحصار کر رہی ہیں تاکہ صارفین کو اندر جانے کی اجازت سے پہلے ان کی شناخت کی تصدیق کرنے پر مجبور کیا جا سکے، اور حکومتیں انٹرنیٹ تک رسائی حاصل کرنے کے لیے بالغوں سے اسی طرح کی شناختی جانچ پڑتال کا مطالبہ کرنے والے عمر کی تصدیق کے قوانین کو آگے بڑھا رہی ہیں۔ منطق یہ ہے کہ جتنی زیادہ پھیلائی جائے گی، شناخت کی جانچ کے یہ نظام اتنے ہی کم موثر ہوں گے، کیونکہ چوری شدہ یا لیک شدہ پاسپورٹ یا ڈرائیونگ لائسنس کے ساتھ ان کا آسانی سے غلط استعمال کیا جا سکتا ہے۔ ان ID جمع کرنے والے نظاموں کا مزید رول آؤٹ لامحالہ مزید ڈیٹا کی خلاف ورزیوں اور حفاظتی خامیوں کا باعث بنے گا۔
