रूस-भारत की परमाणु साझेदारी में सेंध? क्यों कुडनकुलम फिर से सुर्खियों में है

भारत के सबसे बड़े न्यूक्लियर पावर प्लांट कुडनकुलम का नाम एक बार फिर चर्चा में है और इस बार वजह कोई तकनीकी खराबी नहीं बल्कि एक कथित डाटा ब्रिज जिसने देश के एक बड़े इंफ्रा की साइबर सुरक्षा को लेकर नए सवाल खड़े कर दिए हैं। दरअसल दावा है कि डाक पेप पर करीब 858,000 फाइलें अपलोड की गई हैं। जिसमें से लगभग 19,000 फाइलें कुडनकुलम न्यूक्लियर पावर प्लांट से जुड़ी बताई जा रही हैं। ऐसे में लोगों के मन में कई तरह के सवाल आ रहे हैं कि क्या भारत का न्यूक्लियर पावर प्लांट हैक हो गया है या फिर रिएक्टर का डाटा लीक हुआ है या मामला कुछ और है। यह मामला सीधे एनपीसीआईएल यानी न्यूक्लियर पावर कॉरपोरेशन ऑफ इंडिया के सर्वर से डाटा चोरी का नहीं है। दरअसल कुडनकुलम न्यूक्लियर पावर प्लांट के यूनिट थ्री और यूनिट 4 के कुछ इंफ्रा का ईपीसी कॉन्ट्रैक्ट साल 2018 में Reliance infra को दिया गया था। इसी कंपनी के डाटा में सेंध लगने का दावा सामने आया है। खुद Reliance ने स्वीकार किया कि उसके डाटा में आंशिक यानी कि पार्शियल ब्रीच हुआ है और इसकी जानकारी सरकार को दे दी गई है। रिपोर्ट्स के मुताबिक Reliance का डाटा भारतीय डाटा सेंटर कंपनी यो के सर्वर पर होस्ट था। योटा का कहना है कि 29 मई को उसे सर्वर पर संदिग्ध गतिविधियां दिखी थी और संभावित रैंसमवेयर को उसी समय रोक दिया गया था। लेकिन जून के आखिर में Reliance ने उसे बताया कि बाहरी हमलावर डाटा चोरी का दावा कर रहे हैं। इसके बाद पूरे मामले की जांच शुरू हुई। इस पूरे मामले के पीछे जिस समूह का नाम सामने आया है, उसका नाम वर्ल्ड लीग्स है। यह एक कुख्यात रसमवेयर गिरोह है। इसका तरीका आमतौर पर यह होता है कि पहले किसी कंपनी का डाटा चुराया जाता है। फिरौती मांगी जाती है और अगर पैसे नहीं मिलते तो चोरी किया गया डाटा डाक पर सार्वजनिक कर दिया जाता है। इससे पहले यह गिरोह Tata समूह समेत कई बड़ी कंपनियों को निशाना बना चुका है। अब सवाल कि आखिरकार लीक क्या हुआ है? रर्स की रिपोर्ट के मुताबिक डाक वेब पर मौजूद दस्तावेजों में कथित तौर पर यूनिट थ्री और यूनिट फोर से जुड़े वेंटिलेशन और कूलिंग सिस्टम के ब्लूप्रिंट सप्लाई की सूची, मीटिंग रिकॉर्ड, जॉइंट इंस्पेक्शन रिपोर्ट, उपकरणों की समीक्षा और बीमा से जुड़े दस्तावेज शामिल हैं। हालांकि रॉयर्स ने साफ कहा कि वह इन दस्तावेजों की स्वतंत्र रूप से पुष्टि नहीं करता। 

19,000 फाइलें और 14.3 GB डेटा ऑनलाइन लीक

एक रैनसमवेयर और जबरन वसूली (extortion) करने वाले समूह 'वर्ल्ड लीक्स' (World Leaks) द्वारा कथित तौर पर इस डेटा लीक को अंजाम दिया गया है, जिसने अपने डार्क वेब प्लेटफॉर्म पर चोरी की गई फाइलों का एक बड़ा जखीरा प्रकाशित किया है। साइबर सुरक्षा शोधकर्ताओं (researchers) ने कहा कि इस समूह ने लगभग 19,000 फाइलों का एक संग्रह जारी किया है, जिसका कुल आकार (डेटा) करीब 14.3 GB है। इन फाइलों में केकेएनपीपी (KKNPP - कुडनकुलम परमाणु ऊर्जा संयंत्र) से जुड़े संदर्भ मिले हैं।

रिपोर्ट के मुताबिक, लीक हुए दस्तावेज 2016 से लेकर 2025 के मध्य तक की अवधि के हैं और ये इस परियोजना के निर्माण (construction) और संचालन (operations) के विभिन्न पहलुओं के बारे में विस्तृत जानकारी प्रदान करते हैं।

कथित तौर पर इन फाइलों में निम्नलिखित जानकारियां शामिल हैं:

कूलिंग (शीतलन) और वेंटिलेशन (हवादार) प्रणालियों से जुड़े इंजीनियरिंग चित्र (Drawings)

एक कॉमन कंट्रोल रूम (सामान्य नियंत्रण कक्ष) के लेआउट प्लान

भारतीय और रूसी इंजीनियरों के बीच बैठकों के मिनट्स (विवरण) और संयुक्त निरीक्षण रिपोर्ट

वेंडर (विक्रेता) के विवरण, उपकरण प्रस्ताव और आपूर्तिकर्ताओं (suppliers) की जानकारी

आंतरिक बीमा दस्तावेज, जिसमें निर्माणाधीन इकाइयों के लिए कथित तौर पर $112 मिलियन (11.2 करोड़ डॉलर) की संयुक्त आतंकवाद क्षतिपूर्ति नीति (joint terror indemnity policy) भी शामिल है।

न्यूक्लियर सेफ्टी सिस्टम पर कोई असर नहीं पड़ा

भारत के न्यूक्लियर इंफ्रास्ट्रक्चर पर संभावित खतरे की चिंताओं के बीच, एनपीसीआईएल ने एक बयान जारी कर स्पष्ट किया कि लीक हुए दस्तावेज़ रिएक्टर सेफ्टी सिस्टम से जुड़े नहीं थे। कंपनी ने कहा कि यह जानकारी केवल कुडनकुलम यूनिट 3 और 4 के लिए 'बैलेंस ऑफ़ प्लांट' (BoP) कॉमन सर्विस सुविधाओं से संबंधित थी, जिनका निर्माण अभी चल रहा है। एनपीसीआईएल ने कहा ये सुविधाएं पारंपरिक किस्म की हैं और आमतौर पर थर्मल पावर प्लांट के साथ-साथ अन्य प्रोसेस इंडस्ट्रीज़ में भी पाई जाती हैं। इनका न्यूक्लियर सेफ्टी या न्यूक्लियर सिक्योरिटी सिस्टम से कोई संबंध नहीं है। अधिकारियों ने बताया कि इस तरह के इंफ्रास्ट्रक्चर में बाहरी वेंटिलेशन सिस्टम, पानी की आपूर्ति नेटवर्क और अन्य सहायक सेवाएं जैसी सुविधाएं शामिल होती हैं, जिनके डिज़ाइन अक्सर बड़े निर्माण प्रोजेक्ट्स के दौरान सिविलियन कॉन्ट्रैक्टर्स के साथ साझा किए जाते हैं। अधिकारियों ने बताया कि रूसी डिज़ाइन वाले VVER-1000 प्रेशराइज़्ड वॉटर रिएक्टर समेत मुख्य रिएक्टर सिस्टम कॉन्ट्रैक्टर नेटवर्क से अलग रखे गए हैं।

कुडनकुलम को पहले भी साइबर खतरों का सामना करना पड़ा है?

ताज़ा घटना कुडनकुलम प्लांट के सामने आई पहली साइबर सुरक्षा चुनौती नहीं है। 2019 में प्लांट में Dtrack मैलवेयर के ज़रिए साइबर घुसपैठ की बात सामने आई थी। साइबर सुरक्षा कंपनियों ने इसे उत्तर कोरिया के सरकारी समर्थन वाले 'लाज़रस ग्रुप' से जोड़ा था। यह मैलवेयर प्लांट के लोकल नेटवर्क से जुड़े एक एडमिनिस्ट्रेटिव कंप्यूटर पर पाया गया था। जांचकर्ताओं के अनुसार, यह सिस्टम की जानकारी, की-स्ट्रोक और नेटवर्क की डिटेल्स इकट्ठा करने में सक्षम था। उस समय, NPCIL ने शुरुआत में घुसपैठ की खबरों से इनकार किया था, लेकिन बाद में पुष्टि की कि एक एडमिनिस्ट्रेटिव सिस्टम प्रभावित हुआ था। कंपनी का कहना था कि रिएक्टर कंट्रोल सिस्टम अलग-अलग, आइसोलेटेड नेटवर्क से सुरक्षित थे जो इंटरनेट से जुड़े नहीं थे। 

साइबर सुरक्षा के लिए थर्ड-पार्टी कॉन्ट्रैक्टर बने बड़ी चुनौती 

हाल ही में हुई सुरक्षा चूक ने रिएक्टर कंट्रोल रूम के बाहर साइबर सुरक्षा जोखिमों को लेकर फिर से सवाल खड़े कर दिए हैं। हालांकि भारत का परमाणु ऊर्जा विभाग परमाणु गतिविधियों के लिए कड़े सुरक्षा उपाय करता है, लेकिन बड़े इंफ्रास्ट्रक्चर प्रोजेक्ट्स में अक्सर कई प्राइवेट कंपनियां, कॉन्ट्रैक्टर और क्लाउड सर्विस प्रोवाइडर शामिल होते हैं। साइबर सिक्योरिटी एक्सपर्ट्स का कहना है कि अगर पूरी सप्लाई चेन में सिक्योरिटी स्टैंडर्ड्स एक जैसे मज़बूत नहीं हैं, तो ये बाहरी लिंक कमज़ोर कड़ी बन सकते हैं।

इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) और न्यूक्लियर सिक्योरिटी एक्सपर्ट्स अब इस बात की जांच कर रहे हैं कि हमलावरों ने कॉन्ट्रैक्टर के सिस्टम तक कैसे पहुँच बनाई और डेटा कैसे निकाला। इस जांच का मकसद सिक्योरिटी में कमियों का पता लगाना और भारत के स्ट्रैटेजिक इंफ्रास्ट्रक्चर से जुड़े थर्ड-पार्टी नेटवर्क की सुरक्षा को मज़बूत करना होगा।