एक डार्क-वेब सेवा दावा की जा रही है कि वह 153 मिलियन से अधिक अमेरिकी और कनाडाई ड्राइविंग लाइसेंस के रिकॉर्ड बेच रही है, और एफबीआई एक ऐसे डेटा ब्रीच की जांच कर रही है जिसमें पहचान-सत्यापन प्रदाता IDScan.net शामिल है। यह एक और मामला है जहां कुछ ऐसे ही तंत्र जो अमेरिकी जनता की सुरक्षा के लिए होने का दावा किए जाते हैं, उन्हें इसे नुकसान पहुंचाने के लिए इस्तेमाल किया जा रहा है। समस्या स्पष्ट है: वर्तमान धोखाधड़ी रोकथाम प्रक्रियाएं जो ग्राहक पहचान और सत्यापन की मांग करती हैं, अपराधियों को आपकी संवेदनशील जानकारी सिल्वर प्लेट पर प्रदान करके धोखाधड़ी की गतिविधियों को सशक्त बना रही हैं।
व्यक्तिगत पहचान योग्य जानकारी (PII) को लक्षित करने वाले साइबर हमले कुछ समय से प्रचलित हैं और ये बेहद खराब होते जा रहे हैं। 2017 में, संयुक्त राज्य अमेरिका के सबसे बड़े क्रेडिट रिपोर्टिंग एजेंसियों में से एक, इक्विफैक्स ने एक साइबर हमले का सामना किया जिसके कारण लगभग 148 मिलियन अमेरिकीयों की संवेदनशील व्यक्तिगत जानकारी सुरक्षित नहीं रह पाई। लगभग 45% अमेरिकीयों का डेटा चोरी हो गया। न्याय विभाग ने 2020 में आरोप लगाया कि चीनी लोकतांत्रिक सेना इस हैक के पीछे थी, लेकिन यह मामला मूल समस्या का केवल एक बैंड-एड है, जो अधिक प्रचलित होती जा रही है।
लैज पाइपर कोइन सेंटर के शोध निदेशक हैं, जो व्यक्तियों के अधिकारों की रक्षा करता है जिनमें मुफ्त और खुले पीयर-टू-पीयर नेटवर्क बनाने, उपयोग करने और संयोजित करने का अधिकार शामिल है, और ऐसा निजी रूप से करने का अधिकार।
अधिकांश लोगों ने शायद IDScan के बारे में नहीं सुना होगा, लेकिन उन्होंने अपनी ड्राइविंग लाइसेंस कंपनियों को सौंप दी होगी जो इसकी तकनीक और सेवाओं का उपयोग करती हैं। नाम के अनुसार, IDScan ID प्रमाणीकरण में विशेषज्ञता रखता है और कार-भाड़ा एजेंसियों, बैंकों, होटलों, कैसीनो, कैनाबिस डिस्पेंसरी, खुदरा व्यापारियों और अन्य व्यवसायों के लिए ID स्कैन, पार्स और प्रमाणीकरण के लिए हार्डवेयर और सॉफ्टवेयर प्रदान करता है। इसकी प्रणालियाँ सामने और पीछे की छवियाँ पकड़ सकती हैं, व्यक्तिगत जानकारी निकाल सकती हैं, ID की फोटो की तुलना सेल्फी से कर सकती हैं, और प्रमाणीकरण के बाद परिणामी डेटा को बिजनेस के लिए एक क्लाउड पोर्टल में प्रेषित या संग्रहित कर सकती हैं।
किसी भी साइबर सुरक्षा उपायों के बावजूद, इसका व्यापार मॉडल हमेशा हमलों के लिए उपजाऊ रहा है। डेटा 21वीं सदी की सबसे मूल्यवान संपत्तियों में से एक है। सरकारें और कॉर्पोरेशन दोनों ने नागरिकों और उपभोक्ताओं से अपने पास जितना संभव हो सके डेटा प्राप्त करने की योजनाएँ बनाई हैं, और इस प्रक्रिया में, उन्होंने साइबर अपराधियों और विदेशी शत्रुओं को आधुनिक काल के स्वर्ण प्रलय में शामिल होने के लिए दरवाजा खोल दिया है।
सबसे अधिक महत्वपूर्ण डेटा, बेशक, PII है, जो एक व्यक्ति के नाम और पते सहित अत्यधिक संवेदनशील विवरणों से बना है, जिसमें उनका सरकारी जारी किया गया पहचान पत्र, जैसे ड्राइविंग लाइसेंस या पासपोर्ट भी शामिल है। अमेरिका में कई सेवाओं का लाभ लेने के लिए, अमेरिकीयों को अपनी पहचान प्रमाणित करनी होती है और सेवा प्रदाताओं को यह सत्यापित करना होता है कि वे वास्तव में वही हैं जो वे कहते हैं। यह आवश्यकता नियामक और व्यावसायिक दोनों हो सकती है: सरकार धोखाधड़ी और अवैध गतिविधियों को रोकना चाहती है, लेकिन व्यवसाय भी। दुर्भाग्यवश, इसे करने का तरीका धोखाधड़ी और अवैध गतिविधियों को रोकने में कम मदद करता है, लेकिन उन्हें सशक्त बनाने में काफी।
वित्तीय संस्थान, जैसे कि बैंक, सर्वश्रेष्ठ उदाहरण प्रस्तुत करते हैं। वित्तीय संस्थानों को बैंक सीक्रेसी एक्ट (BSA) और इसके नियमों के तहत अवैध वित्त और धोखाधड़ी से लड़ने के लिए नए ग्राहकों को ऑनबोर्ड करते समय PII के रिकॉर्ड इकट्ठा करने और बनाए रखने की आवश्यकता होती है। यह संवेदनशील, मूल्यवान जानकारी अक्सर एक केंद्रीय डेटाबेस में संग्रहीत की जाती है, जिसे “होनेपोट” कहा जाता है, जिससे हैकर्स के लिए यह आकर्षक लक्ष्य बन जाता है। एक बार PII चुरा लिए जाने के बाद, इसका उपयोग किसी निर्दोष व्यक्ति के नाम पर खाते खोलने या संक्रमित करने, धोखाधड़ीपूर्ण लेनदेन करने और पैसा सफ़ेद करने के लिए किया जा सकता है।
इन “रोकथाम” उपायों ने अमेरिका और वैश्विक वित्तीय प्रणाली के लिए कैसे परिणाम दिए? फेडरल ट्रेड कमीशन के उपभोक्ता शिकायतों और रिपोर्ट्स का डेटाबेस ने 2024 में धोखाधड़ी, पहचान चोरी और अन्य उपभोक्ता समस्याओं के संबंध में 6.47 मिलियन रिपोर्ट्स प्राप्त कीं, जबकि 2004 में यह संख्या लगभग 860,000 थी। और अवैध वित्तन बहुत फैला हुआ है: यह अनुमानित किया गया है कि पिछले वर्ष ही वैश्विक अवैध वित्तीय गतिविधि $4.4 ट्रिलियन तक पहुँच गई।
वित्तीय संस्थानों ने अपराधियों को अपने धोखाधड़ी रोकथाम बिंदुओं से बचने से रोकने के लिए ग्राहक प्रमाणीकरण के विभिन्न तरीकों को अपनाया है — भले ही वे कानून का पालन करने वाले नागरिक के PII को प्राप्त कर लें — लेकिन ये तरीके सबसे अच्छी स्थिति में छोटी बाधाएँ साबित हुए हैं। टेक्स्ट या ईमेल के माध्यम से भेजे गए अस्थायी कोड फिशिंग हमलों और विभिन्न अन्य तरीकों से आसानी से दुरुपयोग किए जा सकते हैं, और जैविक जाँच कमजोर होती जा रही हैं क्योंकि कृत्रिम बुद्धिमत्ता में तेजी से प्रगति हो रही है।
IDScan एक वित्तीय संस्थान नहीं है, और न ही कानून द्वारा इसे किसी के PII को बरकरार रखने की आवश्यकता है — यह केवल एक विक्रेता है जो अन्य व्यवसायों को पहचान जांच करने की अनुमति देता है। हालाँकि, जिन व्यवसायों ने IDScan की क्लाउड सेवाओं का उपयोग किया, उन्होंने अपने होनेपोट्स को एक अधिक केंद्रीय स्थान पर केंद्रित कर दिया और डेटा संक्रमण को बहुत आसान बना दिया।
इस सबको ध्यान में रखते हुए, अगर हमें केवल सुरक्षा के झूठे वादे ही मिलते हैं, तो हम अपनी संवेदनशील व्यक्तिगत जानकारी क्यों समर्पित करते हैं? अमेरिकी इतने सुरक्षित नहीं हैं क्योंकि वे हर उस सेवा प्रदाता को अपनी पहचान प्रदान करते हैं, जिससे वे अपने जागने के हर क्षण में मिलते हैं। बिल्कुल नहीं। और फिर भी, घर और विदेशों में सरकारें आयु प्रमाणीकरण के नाम पर बच्चों की सुरक्षा के आभास में पहचान प्रणाली को और अधिक विस्तारित करना चाहती हैं। लेकिन हम फिर से देख रहे हैं कि ये “सुरक्षा” उतनी ही हानि पहुँचा रही हैं, जितनी लाभ। हमारी जानकारी वहाँ है, जहाँ अपराधी इसका व्यापार कर रहे हैं, क्योंकि सरकारें और कॉर्पोरेट्स चाहती थीं कि वे हम कौन हैं और हम क्या कर रहे हैं, यह जान सकें। और अब हम कीमत चुका रहे हैं।
अगर कभी अधिक गोपनीयता की आवश्यकता थी, तो वह अभी है। हालाँकि, हमें सूक्ष्मता को नज़रअंदाज़ नहीं कर सकते। पहचान और प्रमाणीकरण प्रक्रियाओं को पूरी तरह से समाप्त करने की मांगें हैं। यह एक आकर्षक विकल्प है, लेकिन वास्तविकता यह है कि धोखाधड़ी के खिलाफ प्रक्रियाओं का मूल उद्देश्य अमेरिकी और उनकी संपत्ति की सुरक्षा करना है, और वे व्यवसायों की आय और संचालन समग्रता की सुरक्षा करते हैं — वर्तमान दृष्टिकोण केवल असफल है। यहाँ वास्तविक उपयोगिता है, लेकिन इसका मतलब यह नहीं है कि हमें वर्तमान स्थिति के साथ बने रहना होगा।
विकासशील प्रौद्योगिकियाँ एक बेहतर दृष्टिकोण की संभावना प्रदान करती हैं। अमेरिकी लोगों को बार-बार अपनी पहचान की पूर्ण प्रतियाँ समर्पित करने के बजाय, गोपनीयता-संरक्षित प्रणालियाँ व्यक्तियों को यह साबित करने की अनुमति दे सकती हैं कि वे केवल उसी जानकारी को साझा करें जिसकी सेवा को आवश्यकता है—जैसे उनकी आयु, पात्रता, या खाते पर अधिकार—जबकि मूल जानकारी को उनके नियंत्रण में रखा जाए।
ये तकनीकें अभी विकासाधीन हैं, लेकिन संघीय नियामकों को संस्थाओं को इनका परीक्षण करने और उनके परिपक्व होने के साथ मौजूदा आवश्यकताओं को अपडेट करने के लिए जगह देनी चाहिए। इसके अलावा, जैसे-जैसे अधिक गोपनीयता-संरक्षण दृष्टिकोण सामने आते हैं, कांग्रेस को अनावश्यक जानकारी संग्रह और संरक्षण की आवश्यकताओं को कम करना चाहिए। धोखाधड़ी रोकने की प्रक्रियाएं अभी भी मूल्यवान हैं, लेकिन अपराधियों के लिए स्थायी फ़ाइल के बिना भी मौजूद हो सकती हैं।
अधिक तत्काल रूप से, वाशिंगटन और विभिन्न राज्य सरकारों को उन क्षेत्रों में पहचान और प्रमाणीकरण की आवश्यकताओं को विस्तारित करने वाले किसी भी कानून या नियमन को रोकना चाहिए, जहाँ वे पहले से मौजूद नहीं हैं और जहाँ उनकी आवश्यकता नहीं है। ओपन-सोर्स सॉफ्टवेयर और इंटरनेट की आयु प्रमाणीकरण की ओर की दिशा को समाप्त किया जाना चाहिए; यह सामान्य अमेरिकियों को खतरे में डालता है और अपराधियों और विदेशी प्रतिद्वंद्वियों को सशक्त बनाता है, जबकि बच्चों की सुरक्षा नहीं करता।
इस तरह के उल्लंघन रोके जा सकते हैं; हमें बस उन्हें रोकना चाहिए। ऐसा करने के लिए उपकरण उभरने लगे हैं, और ऐसे मामलों में जहां हमें किसी की पहचान सत्यापित करने की आवश्यकता नहीं होती, हमें ऐसा नहीं करना चाहिए। क्योंकि संवेदनशील व्यक्तिगत जानकारी को सुरक्षित रखने का सबसे अच्छा तरीका इसे बिल्कुल नहीं इकट्ठा करना है।