Tchap में 2026 की डेटा सेंध

DINUM ने बताया कि ANSSI के साथ समन्वय में की गई जाँच में पाया गया कि एक Tchap उपयोगकर्ता के खाते का प्रतिरूपण किए जाने या उसमें सेंध लगने के बाद उसका दुरुपयोग किया गया था। दुर्भावनापूर्ण अनुरोध भेजने वाले खाते की पहचान की गई और हमलावर की लगातार बनी हुई पहुँच समाप्त करने के लिए उसे तुरंत ब्लॉक कर दिया गया। व्यक्तिगत डेटा उजागर होने की आशंका के कारण इस घटना की सूचना फ़्रांस के डेटा संरक्षण प्राधिकरण, CNIL, को दी गई।

यह आधिकारिक बयान पुष्टि करता है कि प्लेटफ़ॉर्म में वास्तव में सेंध लगी थी; यह केवल हमलावर का दावा या किसी सुरक्षा खामी का पता चलना नहीं था। सार्वजनिक विवरण से निर्णायक रूप से यह स्पष्ट नहीं हुआ कि खाते पर नियंत्रण कैसे हासिल किया गया था; सोशल इंजीनियरिंग वाला स्पष्टीकरण हमलावर ने दिया था। इसलिए LeakData किसी खास फ़िशिंग तकनीक, मैलवेयर, सुरक्षा खामी या हमलावर समूह को इसका सत्यापित कारण नहीं मानता।

DINUM ने बताया कि जिस खाते और जिन सार्वजनिक बातचीत तक पहुँच संभव थी, उनके दायरे के आधार पर 73,467 सरकारी कर्मचारी प्रभावित हुए हो सकते हैं। यह प्लेटफ़ॉर्म के 8,25,000 से अधिक पंजीकृत उपयोगकर्ताओं की पूरी संख्या नहीं है; यह कुल संख्या के नौ प्रतिशत से भी कम है।

“संभावित रूप से प्रभावित” होने का अर्थ यह नहीं है कि हर उपयोगकर्ता की हर जानकारी देखी गई या निकाली गई थी। DINUM ने बताया कि वह इवेंट लॉग और उन बातचीत की समीक्षा जारी रखे हुए था जिन तक हमलावर पहुँच सकता था। यदि बाद के किसी आधिकारिक अपडेट में पुष्टि की गई संख्या, दोहराव हटाकर निकाली गई संख्या या दायरा सीमित करने पर मिली संख्या प्रकाशित होती है, तो उस नई कुल संख्या के आधार पर इस रिकॉर्ड को संशोधित किया जा सकता है।

DINUM के अनुसार, उपयोगकर्ता खातों का जो डेटा संभावित रूप से उजागर हुआ था, उसमें कम-से-कम उपनाम, नाम, ईमेल पते, प्रत्येक उपयोगकर्ता से संबंधित सार्वजनिक क्षेत्र का संगठन और अवतार शामिल थे। सार्वजनिक चैट रूम के संदेश और उन रूम में उपयोगकर्ताओं द्वारा साझा की गई सामग्री भी घटना के दायरे में आती है जिन तक हमलावर पहुँच सकता था। ये डेटा श्रेणियाँ उन न्यूनतम खाता फ़ील्ड को दर्शाती हैं जिन तक पहुँच की पुष्टि हुई थी, साथ ही सार्वजनिक चैट रूम की उस सामग्री को भी जिसे संभावित रूप से देखा गया हो सकता है।

आधिकारिक जाँच में अभी तक पूरी तरह यह निर्धारित नहीं हुआ था कि किस-किस तरह का डेटा बाहर निकाला गया था। मीटिंग लिंक, डिवाइस मेटाडेटा, कई लाख संदेशों, दस्तावेज़ों या हार्डकोड किए गए क्रेडेंशियल से जुड़े हमलावर के अतिरिक्त दावों की पुष्टि किसी स्वतंत्र फ़ॉरेंसिक जाँच के नतीजे से नहीं हुई थी।

Tchap पर सार्वजनिक और निजी, दोनों तरह की बातचीत की जा सकती है। DINUM ने बताया कि निजी बातचीत एन्क्रिप्टेड होती है और किसी उपयोगकर्ता के खाते में सेंध लगने पर भी उसकी पिछली सामग्री तक पहुँच संभव नहीं होती। संभावित पहुँच केवल सार्वजनिक बातचीत तक सीमित थी। इन्हें इस तरह बनाया गया था कि हर Tchap उपयोगकर्ता इन्हें खोज सके और इनमें शामिल हो सके, और इनके संदेश एन्क्रिप्टेड नहीं थे।

किसी चैट रूम का प्लेटफ़ॉर्म के उपयोगकर्ताओं के लिए खुला होना, दुर्भावनापूर्ण तरीके से स्वचालित डेटा संग्रह करने या व्यक्तिगत डेटा को उसके मूल संदर्भ से बाहर निकालने की अनुमति नहीं देता। इस घटना को डेटा सेंध माना जाता है क्योंकि सेंध लगे खाते के ज़रिए दुर्भावनापूर्ण अनुरोध भेजकर पहुँच बनाए रखी गई और बिना अनुमति जानकारी एकत्र की गई। यह रिकॉर्ड इस गलत निष्कर्ष से भी बचाता है कि एन्क्रिप्टेड निजी संदेश उजागर हुए थे।

DINUM ने दुर्भावनापूर्ण अनुरोध भेजने वाले खाते को ब्लॉक किया, हमलावर की पहुँच समाप्त की और विशेषज्ञ टीमों के साथ इवेंट लॉग की समीक्षा शुरू की। उसने ANSSI के साथ समन्वय किया, CNIL को सूचित किया और सभी Tchap उपयोगकर्ताओं को याद दिलाया कि सार्वजनिक चैट रूम खोजे जा सकते हैं, उनमें शामिल हुआ जा सकता है और वे एन्क्रिप्टेड नहीं हैं। हमले का तरीका और आवश्यक सुरक्षा उपाय तय करने के लिए समस्या की जाँच और सुधार का काम जारी रहा।

एजेंसी ने फिर कहा कि व्यक्तिगत, संवेदनशील या कामकाज से जुड़ी गोपनीय जानकारी सार्वजनिक चैट रूम में साझा नहीं की जानी चाहिए और ऐसी जानकारी केवल निजी बातचीत में साझा की जानी चाहिए। उपयोगकर्ताओं को अनपेक्षित सेशन और प्रमाणीकरण अनुरोधों की समीक्षा करनी चाहिए, अपने संगठन के नाम से भेजे गए संदेशों की प्रामाणिकता जाँचनी चाहिए और उजागर हुए ईमेल पतों को निशाना बनाने वाली फ़िशिंग से सावधान रहना चाहिए। ये एहतियाती कदम खाते और नियोक्ता से संबंधित उन फ़ील्ड के अनुरूप हैं जिन तक पहुँच की पुष्टि हुई थी।

73,467 संभावित रूप से प्रभावित सरकारी कर्मचारियों की आधिकारिक अधिकतम संख्या है। नाम, उपनाम, ईमेल पते, संगठनों की जानकारी और अवतार खाते की वे न्यूनतम फ़ील्ड हैं जिन तक पहुँच संभव थी; सार्वजनिक चैट रूम से निकाले गए संदेशों की कुल मात्रा की जाँच अभी जारी थी।

सत्यापित दायरा यह है कि एन्क्रिप्टेड निजी बातचीत और उनका इतिहास सुरक्षित रहे, जबकि प्रभाव सार्वजनिक चैट रूम और उनसे संबंधित उपयोगकर्ता जानकारी तक सीमित था। हमलावर की पहचान, खाते पर नियंत्रण हासिल करने की तकनीक और बाहर निकाली गई पूरी सामग्री का खुलासा नहीं किया गया था। व्यक्तियों की अपुष्ट संख्याओं, डेटा फ़ील्ड और हमलावरों से जुड़े दावों को घटना के सार्वजनिक रूप से बताए गए दायरे का हिस्सा नहीं माना जाता।