लेख के विचार का चित्रण: एक ही सवालों की सूची से पढ़े गए दो ब्रीच नोटिस। यह वैचारिक है। लोगो केवल पहचान के लिए दिखाए गए हैं और चित्र लेख में कही बात से आगे कोई दावा नहीं करता।
एक हफ़्ते में दो ब्रीच नोटिस, एक गेम कंपनी से और एक बैंक से। वही छह सवाल दिखाते हैं कि हर नोटिस क्या पुष्ट करता है, क्या नहीं, और आपको क्या करना चाहिए।
सुर्ख़ी की बड़ी संख्या अक्सर वह संख्या नहीं होती जो मायने रखती है
ब्रीच नोटिस आपको बताता है कि कंपनी ने अब तक क्या पुष्ट किया है, उन शब्दों में जो उसके वकीलों ने चुने, और खाली जगहें भी संदेश का हिस्सा हैं।
19 October 2026 के हफ़्ते में दो संगठनों ने बताया कि ग्राहकों का डेटा ले लिया गया। जापानी गेम निर्माता Capcom ने अपने CAPCOM ID खाता सिस्टम में अनधिकृत पहुँच की जानकारी दी। State Bank of India, यानी SBI, ने 21 October की अपनी फ़ाइलिंग में अपने स्टॉक एक्सचेंजों को बताया कि उसके यहाँ “an incident involving the loss of certain data” हुई।
यह लेख उनके लिए है जिन्हें ब्रीच ईमेल मिलता है, जो ऐसे लोगों की मदद करते हैं, या जिन्हें किसी दिन ऐसा एक लिखना पड़ सकता है। यह इन दो नोटिसों से छह सवाल सिखाता है जो किसी भी नोटिस पर काम करते हैं। यह किसी हमले की कहानी नहीं सुनाता, क्योंकि किसी संगठन ने नहीं बताया कि हमला कैसे हुआ।
सवाल 1: क्या गिना जा रहा है?
Capcom का कहना है कि दुनिया भर में 11,774,247 रिकॉर्ड के ईमेल पते और कुछ सिस्टम पहचानकर्ता उजागर हुए। कुछ समाचार सुर्ख़ियों ने इसे 11.7 million खाते बना दिया।
रिकॉर्ड डेटा की एक पंक्ति है, जैसे एक खाता। वह हमेशा एक व्यक्ति नहीं होता, क्योंकि एक व्यक्ति के कई खाते हो सकते हैं। संख्याएँ क़रीब हैं, पर एक ही चीज़ नहीं हैं।
SBI यही समस्या दूसरे रूप में दिखाता है। उसकी फ़ाइलिंग कहती है कि डार्क वेब पर उपलब्ध लगभग 375,000 रिकॉर्ड के प्रारंभिक विश्लेषण में निजी जानकारी वाले 3,897 ग्राहक रिकॉर्ड मिले।
375,000 लगभग उसी आकार का है जो एक अपराधी विक्रेता ने विज्ञापित किया था। 3,897 वह है जो बैंक के अनुसार उसने अब तक पहचाना है। वे अलग-अलग सवालों के जवाब हैं, और दोनों में से कोई नहीं बताती कि कितने लोग प्रभावित हैं।
सवाल 2: कौन से फ़ील्ड लिए गए?
फ़ील्ड सूची जोखिम बताती है, इसलिए उसे धीरे-धीरे पढ़ें। Capcom ईमेल पते, खाता बनने का समय, आख़िरी लॉगिन का समय, लॉगिन की संख्या और आख़िरी लॉगिन पर इस्तेमाल हुआ नेटवर्क पता सूचीबद्ध करता है। 43 रिकॉर्ड के लिए वह जन्म तिथि, लिंग, देश या क्षेत्र और उपनाम भी सूचीबद्ध करता है। Capcom का कहना है कि क्रेडिट कार्ड की जानकारी शामिल नहीं है।
SBI की फ़ाइलिंग कहती है कि उजागर जानकारी में नाम, पंजीकृत मोबाइल नंबर, जन्म तिथि, लिंग, ईमेल और घर के पते, शाखा और ग्राहक (CIF) पहचानकर्ता, लीड आईडी, और ऋण व लीड रिकॉर्ड का मेटाडेटा “reportedly included” था। वह खाता संख्या, शेष राशि, पासवर्ड या कार्ड ब्योरे सूचीबद्ध नहीं करती। यह तसल्ली देने वाली कमी है, पर एक नाम, एक फ़ोन नंबर और एक ऋण ब्योरा भरोसा दिलाने वाली फ़ोन कॉल के लिए काफ़ी हैं। Capcom ख़ुद चेताता है कि इस डेटा का इस्तेमाल Capcom बनकर भेजे गए फ़िशिंग ईमेल में हो सकता है।
सवाल 3: डेटा पढ़ा गया, बदला गया, या दोनों?
Capcom का कहना है कि 196 खातों के पासवर्ड बिना अनुमति बदले गए, और उसने उन्हें रीसेट कर दिया है। वह यह भी कहता है कि ग्राहकों के बनाए पासवर्ड के लीक होने की पुष्टि नहीं हुई है। ये दो अलग तथ्य हैं, और नोटिस उन्हें अलग रखता है।
हमारा पठन यह है कि पासवर्ड बदलने का मतलब है कि घुसपैठिया खाता सिस्टम से केवल पढ़ ही नहीं, उसमें लिख भी सकता था। Capcom ऐसा नहीं कहता। यह तथ्य से निकाला गया अनुमान है, और यह पूछने की अच्छी वजह है कि वह पहुँच और क्या करने देती थी।
सवाल 4: यह कब शुरू हुआ और कब पकड़ा गया?
नोटिस आमतौर पर पता चलने की तारीख़ देते हैं और शुरुआत के बारे में चुप रहते हैं। Capcom का कहना है कि उसने 19 October को संदिग्ध गतिविधि पाई, 20 October को प्रतिक्रिया टीम बनाई, 21 October को पुलिस और जापान के डेटा संरक्षण नियामक को बताया, और 22 October को अपना बयान प्रकाशित किया। वह नहीं बताता कि हमलावर पहली बार कब अंदर आए।
SBI की समय-रेखा ब्योरे में छोटी है और प्रकार में अलग। SBI की फ़ाइलिंग कहती है कि बैंक को 16 October को तीन स्रोतों से, यानी अपने थ्रेट इंटेलिजेंस प्रदाता, Defence Cyber Agency और CERT-In से डार्क वेब पर ग्राहक डेटा के संदिग्ध उजागर होने के बारे में अलर्ट मिले, और उसने 21 October को अपना खुलासा दाख़िल किया। डेटा बैंक से कब निकला, अगर निकला, यह नहीं बताया गया। लीक, पहले अलर्ट और नोटिस के बीच का समय वह समय है जिसमें डेटा का दुरुपयोग हो सकता है।
सवाल 5: कारण के बारे में क्या कहा गया है?
किसी संगठन ने नहीं बताया कि घुसपैठिया अंदर कैसे आया। Capcom का कहना है कि उसने हमले का तरीक़ा पहचाना और कार्रवाई की, पर उसे बताता नहीं। SBI ने कोई कारण नहीं बताया, और उसकी फ़ाइलिंग यह नहीं बताती कि डेटा बैंक से आया, किसी वेंडर से, या किसी और से। जाँच की शुरुआत में यह सामान्य है।
इसका यह भी मतलब है कि जो भी लेख कारण का नाम लेता है, वह अटकल लगा रहा है।
SBI की अपनी फ़ाइलिंग इसे “suspected exposure” और “alleged compromise” कहती है, और कहती है कि यह तय करने के लिए विस्तृत जाँच ज़रूरी थी कि डेटा असली और पूरा है या नहीं।
अपराधियों के अपने दावों से ख़ास तौर पर सावधान रहें। एक विक्रेता कहता है कि उसके पास SBI के अतिरिक्त दस्तावेज़ हैं। इसकी पुष्टि किसी ने नहीं की, इसलिए हम ब्योरे नहीं दोहराते। ब्रीच का विज्ञापन करना इन विक्रेताओं के कमाने के तरीक़े का हिस्सा है।
सवाल 6: नोटिस किसके लिए लिखा गया है, और वह आपसे क्या करने को कहता है?
Capcom का बयान ग्राहकों के लिए लिखा गया है। वह कहता है कि प्रभावित लोगों से चरणों में अलग-अलग संपर्क किया जाएगा, क्षेत्र के अनुसार सहायता माध्यम सूचीबद्ध करता है, और अप्रत्याशित संदेशों में लिंक या अटैचमेंट न खोलने को कहता है।
SBI की फ़ाइलिंग निवेशकों और नियामकों के लिए लिखी गई है। वह कहती है कि घटना का बैंक के मुख्य कारोबारी संचालन, वित्तीय प्रदर्शन या कारोबारी निरंतरता पर कोई महत्वपूर्ण (material) असर नहीं है, और यह भी कि बैंक ने भारत की राष्ट्रीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम CERT-In द्वारा सूचीबद्ध (एम्पैनल्ड) एक स्वतंत्र साइबर सुरक्षा एजेंसी को लगाया है।
फ़ाइलिंग नहीं बताती कि प्रभावित ग्राहकों को बताया गया है या बताया जाएगा। एक एडवोकेसी समूह Internet Freedom Foundation का तर्क है कि यह कमी है। बैंक ने दूसरे माध्यमों से सूचित किया हो सकता है।
छह सवाल साथ-साथ
| सवाल | Capcom | SBI |
|---|---|---|
| क्या गिना गया? | 11,774,247 रिकॉर्ड। लोग नहीं गिने गए। | फ़ाइलिंग के अनुसार डार्क वेब पर लगभग 375,000 रिकॉर्ड (वही आकार जो एक विक्रेता ने विज्ञापित किया)। 3,897 जिनमें बैंक के अनुसार निजी डेटा है। |
| कौन से फ़ील्ड? | ईमेल, खाता तिथियाँ, लॉगिन की संख्या, आख़िरी लॉगिन का पता। 43 रिकॉर्ड के लिए जन्म तिथि, लिंग, देश, उपनाम। | नाम, मोबाइल नंबर, जन्म तिथि, लिंग, ईमेल, पता, ग्राहक (CIF) और शाखा पहचानकर्ता, लीड आईडी, ऋण और लीड मेटाडेटा। |
| पढ़ा या बदला? | पढ़ा गया, और 196 खातों के पासवर्ड बदले गए। | डेटा हानि के रूप में रिपोर्ट। आगे नहीं बताया गया। |
| शुरुआत और पता चलना? | 19 October को पता चला। शुरुआत नहीं बताई। | 16 October को अलर्ट मिला। 21 October को खुलासा हुआ। शुरुआत नहीं बताई। |
| कारण? | तरीक़ा पहचाना, बताया नहीं। | नहीं बताया। |
| यह किसके लिए है? | ग्राहकों के लिए, सहायता माध्यमों और चरणबद्ध संपर्क के साथ। | निवेशकों और नियामकों के लिए। ग्राहक संपर्क की योजना फ़ाइलिंग में नहीं बताई गई। |
अगर आप ग्राहक हैं तो क्या करें
दोनों स्थितियों की सलाह एक ही है, और वह अनोखी नहीं है। मानकर चलें कि आपके असली ब्योरे इस्तेमाल करने वाला संदेश जाल हो सकता है। अप्रत्याशित संदेशों में लिंक पर क्लिक न करें और अटैचमेंट न खोलें, भले ही वे आपके खाते का सही ज़िक्र करें। कंपनी की आधिकारिक साइट या ऐप पर पता ख़ुद टाइप करके जाएँ, और कंपनी के प्रकाशित संपर्क माध्यम ही इस्तेमाल करें।
अगर आप दूसरी साइटों पर वही पासवर्ड इस्तेमाल करते हैं, तो उसे बदलें। जहाँ कोई साइट पासकी या ऑथेंटिकेटर ऐप देती है, उसे चालू करें। अगर इन दोनों में से किसी संगठन में आपका खाता है, तो उनके आधिकारिक संपर्क पर नज़र रखें और बाक़ी हर चीज़ को शक से देखें।
अगर आप टीम चलाते हैं तो क्या करें
छह सवालों को अपने ख़ुद के घटना नोटिस की चेकलिस्ट की तरह देखें। रिकॉर्ड के साथ लोगों को भी गिनें, और बताएँ कि आप क्या गिन रहे हैं।
फ़ील्ड सरल शब्दों में सूचीबद्ध करें, और नेटवर्क पतों समेत हर एक का नाम लें। जो आप नहीं जानते वह बताएँ, और बताएँ कि अपडेट कब देंगे। सिर्फ़ वकीलों और नियामकों के लिए नहीं, ग्राहकों के लिए भी एक संस्करण लिखें।
इसे कितनी गहराई से सीखना चाहिए?
जानें: हर किसी को पता होना चाहिए कि सुर्ख़ी की संख्या और फ़ील्ड सूची अलग-अलग सवालों के जवाब हैं, और “no evidence of” कहना “did not happen” कहने से कमज़ोर है। तसल्ली पढ़ने से पहले फ़ील्ड सूची पढ़ें।
इस्तेमाल करें: सपोर्ट, हेल्पडेस्क और सुरक्षा कर्मचारी नोटिस पढ़ने, उसे ग्राहक को समझाने, और पुष्ट तथ्यों, कंपनी के दावों और अपराधियों के दावों में फ़र्क़ बताने में सक्षम होने चाहिए।
महारत पाएँ: घटना के प्रमुखों और संचार के ज़िम्मेदारों को नोटिस की ज़रूरत पड़ने से पहले ही उन्हें डिज़ाइन करना चाहिए। यानी पहले से तय करना कि कौन क्या गिनेगा, फ़ील्ड कैसे बताए जाएँगे, अपडेट कैसे प्रकाशित होंगे, और ग्राहकों को कैसे बताया जाएगा।
अभी आप क्या अनदेखा कर सकते हैं
आपको उन समूहों या फ़ोरमों के नाम ट्रैक करने की ज़रूरत नहीं जो विक्रेता इस्तेमाल करते हैं। वे हर महीने बदलते हैं, और उनका पीछा करने से जोखिम बढ़ता है और समझ कम। नोटिस पढ़ें, विक्रेता का विज्ञापन नहीं।
एक व्यावहारिक अगला क़दम
आपको मिला आख़िरी ब्रीच नोटिस खोजें, या Capcom का बयान खोलें, और छह सवालों के जवाब अपने शब्दों में लिखें। लिखें कि नोटिस क्या नहीं कहता। वह सूची आगे क्या देखना है, इसकी आपकी मार्गदर्शिका है।
और गहराई में
- Capcom: statement on unauthorized access to CAPCOM ID, 22 October 2026, संख्याओं, तारीख़ों और सहायता माध्यमों के लिए।
- Capcom: English translation of the statement, उनके लिए जो जापानी नहीं पढ़ते।
- BleepingComputer on the Capcom breach, बयान के सार के लिए।
- SBI: filing to BSE and NSE, Incident involving Data Loss, 21 October 2026, बैंक के अपने शब्दों के लिए।
- The Hacker News on the SBI data leak, रिपोर्ट की गई फ़ाइलिंग की सामग्री के लिए।
- CyberPeace on the SBI leak, क्या ज्ञात है और क्या नहीं, इसके लिए।
- Internet Freedom Foundation on the SBI filing, फ़ाइलिंग जो छोड़ देती है उस पर एक एडवोकेसी समूह की आलोचना के लिए।
- इस साइट पर संबंधित लेख: Phishing Attacks, Social Engineering Attacks-Psychological Manipulation।
इस लेख के तथ्य 26 October 2026 को जाँचे गए थे। दोनों जाँचें जारी हैं, इसलिए संख्याएँ बदल सकती हैं। SBI के ब्योरे उसकी 21 October 2026 की स्टॉक एक्सचेंजों को दी फ़ाइलिंग और उस पर आई रिपोर्टों से आए हैं।