ایک ڈارک ویب سروس بتائی جا رہی ہے کہ وہ امریکی اور کینیڈین ڈرائیور لائسنس کے 153 ملین سے زیادہ ریکارڈز فروخت کے لیے پیش کر رہی ہے، اور ایف بی آئی ایک ظاہری ڈیٹا بریچ کی تحقیق کر رہا ہے جس میں شناخت کی تصدیق فراہم کرنے والی کمپنی IDScan.net شامل ہے۔ یہ ایک اور مثال ہے جہاں وہ کچھ نظام جو امریکی عوام کے تحفظ کے لیے بنائے گئے ہیں، انہیں نقصان پہنچانے کے لیے استعمال کیا جا رہا ہے۔ مسئلہ واضح ہے: موجودہ دھوکہ دہی روکنے والے عمل جو صارف کی شناخت اور تصدیق کا مطالبہ کرتے ہیں، مجرموں کو آپ کی حساس معلومات سونے کے پلیٹ پر پیش کرکے دھوکہ دہی کو فروغ دیتے ہیں۔
ذاتی طور پر شناخت کی جانے والی معلومات (PII) کو ہدف بنانے والے سائبر حملوں نے کچھ عرصہ سے عام ہونا شروع کر دیا ہے اور یہ صرف بدتر ہوتے جا رہے ہیں۔ 2017 میں، ایکو فیکس — امریکہ کے سب سے بڑے کریڈٹ رپورٹنگ ایجنسیوں میں سے ایک — ایک سائبر حملے کا شکار ہوا جس کے نتیجے میں تقریباً 148 ملین امریکیوں کی حساس ذاتی معلومات متاثر ہوئیں۔ تقریباً 45 فیصد امریکیوں کا ڈیٹا چوری ہو گیا۔ وزارت عدالت نے 2020 میں الزام لگایا کہ چینی پیپلز لبریشن آرمی کے پیچھے ہیک تھا، لیکن یہ بنیادی اور بڑھتے ہوئے مسئلے کے لیے صرف ایک بینڈ ایڈ تھا۔
لز پائپر کوئن سنٹر کے تحقیقی ڈائریکٹر ہیں، جو افراد کے اُن مفت اور کھلے نوکری-سے-نوکری نیٹ ورکس بنانے، استعمال کرنے اور جمع کرنے کے حقوق اور اسے ذاتی طور پر کرنے کے حقوق کا دفاع کرتا ہے۔
زیادہ تر لوگوں نے شاید IDScan کے بارے میں نہیں سنا ہوگا، لیکن انہوں نے اپنی ڈرائیونگ لائسنس کسی ایسی کمپنی کو دی ہوگی جو اس کی ٹیکنالوجی اور خدمات استعمال کرتی ہے۔ نام کے مطابق، IDScan شناختی تصدیق میں ماہر ہے اور کار کرایہ پر لینے والے اداروں، بینکوں، ہوٹلوں، کازینو، کینابس کی دکانوں، ریٹیلرز اور دیگر کاروباروں کے لیے ایسے ہارڈویئر اور سافٹ ویئر فراہم کرتا ہے جو شناختی کارڈسکین، پارس اور تصدیق کرتے ہیں۔ اس کے سسٹم آگے اور پیچھے کی تصاویر کو کیپچر کر سکتے ہیں، ذاتی معلومات نکال سکتے ہیں، شناختی کارڈ کی تصویر کو سلفی کے ساتھ موازنہ کر سکتے ہیں، اور نتیجہ حاصل کردہ ڈیٹا کو بائنڈنگ کے بعد کلاؤڈ پورٹل پر بھیج یا محفوظ کر سکتے ہیں تاکہ کاروبار اس تصدیق کے بعد بھی اس تک رسائی رکھ سکیں۔
کسی بھی سائبر سیکیورٹی اقدامات کے باوجود، اس کا کاروباری ماڈل ہمیشہ حملوں کے لیے زمین رکھتا رہا۔ ڈیٹا 21ویں صدی کا سب سے قیمتی سامان ہے۔ حکومتیں اور کاروباری ادارے دونوں نے اپنے شہریوں اور صارفین سے جتنا ہو سکے ڈیٹا حاصل کرنے کے لیے منصوبے بنائے ہیں، اور اس عمل میں، سائبر مجرم اور خارجی دشمنوں کے لیے جدید دور کے سونے کی تلاش میں شرکت کا دروازہ کھول دیا ہے۔
سب سے زیادہ اہم ڈیٹا، بے شک، PII ہے، جو ایک شخص کے نام اور پتے سمیت انتہائی حساس تفصیلات پر مشتمل ہے، جیسے کہ ڈرائیونگ لائسنس یا پاسپورٹ جیسی حکومتی جاری کردہ شناختی کارڈ۔ امریکا میں بہت سی خدمات کا استعمال کرنے کے لیے، امریکیوں کو اپنی شناخت کرانی ہوتی ہے اور سروس فراہم کنندگان کو یہ تصدیق کرنا ہوتا ہے کہ وہ وہی ہیں جن کا دعویٰ کر رہے ہیں۔ یہ ضرورت دونوں طرح سے ہو سکتی ہے: حکومت جھوٹھ اور غیر قانونی سرگرمیوں کو روکنا چاhti ہے، لیکن کاروبار بھی۔ افسوسناک بات یہ ہے کہ اس کے لیے جو طریقہ اختیار کیا گیا ہے، وہ جھوٹھ اور غیر قانونی سرگرمیوں کو روکنے میں کم مدد کرتا ہے، لیکن انہیں طاقت دینے میں بہت زیادہ مدد کرتا ہے۔
مالیاتی ادارے، جیسے کہ بینک، بہترین مثال فراہم کرتے ہیں۔ مالیاتی اداروں کو بینک سیکریسی ایکٹ (BSA) اور اس کے احکامات کے تحت نئے صارفین کو شامل کرتے وقت PII کے ریکارڈ جمع کرنے اور برقرار رکھنے کی ضرورت ہوتی ہے تاکہ غیر قانونی فنانس اور دھوکہ دہی کا مقابلہ کیا جا سکے۔ یہ حساس، قیمتی معلومات عام طور پر ایک مرکزی ڈیٹا بیس میں محفوظ کی جاتی ہیں، جسے “ہونی پوٹ” کہا جاتا ہے، جو ہیکرز کے لیے ایک دلچسپ نشانہ بن جاتی ہیں۔ ایک بار PII چوری ہو جانے کے بعد، اس کا استعمال کسی بے گناہ شخص کے نام پر اکاؤنٹ کھولنے یا ان پر حملہ کرنے، دھوکہ دہی والے لین دین کرنے، اور پیسہ دھوئے جانے کے لیے کیا جا سکتا ہے۔
امریکہ اور عالمی مالیاتی نظام کے لیے ان “روک تھام” کے اقدامات کیا نتائج نکلے؟ فیڈرل ٹریڈ کمیشن کے صارفین کی شکایات اور رپورٹس کا ڈیٹا بیس نے 2024 میں جعلسازی، شناخت چوری اور دیگر صارفین کے مسائل کے بارے میں 6.47 ملین رپورٹس حاصل کیں، جبکہ 2004 میں یہ تعداد تقریباً 860,000 تھی۔ اور غیر قانونی مالیاتی سرگرمیاں بے پناہ ہیں: گزشتہ سال عالمی غیر قانونی مالیاتی سرگرمیوں کا تخمینہ صرف 4.4 ٹریلین ڈالر رکھا گیا ہے۔
مالیاتی ادارے غیر قانونی افراد کو اپنے فراڈ روکنے والے چیک پوائنٹس سے گزرنے سے روکنے کے لیے صارفین کی تصدیق کے لیے مختلف طریقے اپنانے لگے ہیں — ایک قانون کی پابندی کرنے والے شہری کی PII حاصل کرنے کے باوجود — لیکن یہ طریقے زیادہ تر ناچیز رکاوٹوں ثابت ہوئے ہیں۔ متن یا ای میل کے ذریعے بھیجے جانے والے عارضی کوڈز فشرنگ حملوں اور دیگر مختلف طریقوں سے آسانی سے متاثر ہو جاتے ہیں، اور بائیومیٹرک چیکز تیزی سے ترقی پا رہی صنعتی ذہانت کے ساتھ کمزور ہوتے جا رہے ہیں۔
IDScan ایک مالی ادارہ نہیں ہے، اور قانون کے مطابق کسی کی PII محفوظ رکھنے کی ضرورت نہیں ہے — یہ صرف ایک فراہم کنندہ ہے جو دیگر کاروباروں کو شناخت کی جانچ کرنے کی اجازت دیتا ہے۔ تاہم، جن کاروباروں نے IDScan کی کلاؤڈ سروسز استعمال کیں، انہوں نے اپنے ہونی پوٹس کو ایک زیادہ مرکزی مقام پر مرکوز کر دیا اور ڈیٹا کی خرابی کو بہت آسان بنادیا۔
اس سب کو مد نظر رکھتے ہوئے، اگر صرف مُکھی سیکیورٹی کے جھوٹے وعدے ہی ملتے ہیں، تو ہم اپنی حساس ذاتی معلومات کیوں چھوڑ دیتے ہیں؟ امریکی مزید محفوظ نہیں ہیں کیونکہ وہ ہر ایک دن کے دوران ہر سروس فراہم کنندہ کو اپنا شناختی اطلاعات دیتے رہتے ہیں۔ بالکل اس کے برعکس۔ اور پھر بھی، گھر اور دنیا بھر کی حکومتیں بچوں کے تحفظ کے نام پر عمر تصدیق کے ذریعے شناخت کے نظام کو مزید وسعت دینا چاہتی ہیں۔ لیکن ہم دوبارہ دیکھ رہے ہیں کہ یہ “حفاظتی اقدامات” زیادہ نقصان پہنچاتے ہیں۔ ہماری معلومات وہاں موجود ہیں، جہاں مجرمین اسے تجارت کر رہے ہیں، کیونکہ حکومتیں اور کارپوریٹس چاہتی تھیں کہ وہ جان لیں کہ ہم کون ہیں اور ہم کیا کر رہے ہیں۔ اور اب ہم قیمت ادا کر رہے ہیں۔
اگر کبھی زیادہ خفیہ رہنمائی کا وقت تھا، تو وہی وقت اب ہے۔ تاہم، ہم نکات کو نظرانداز نہیں کر سکتے۔ پہچان اور تصدیق کے عمل کو مکمل طور پر ختم کرنے کی اپیلیں ہیں۔ یہ ایک محبوب متبادل ہے، لیکن حقیقت یہ ہے کہ دھوکہ دہی کے خلاف عمل کا بنیادی مقصد امریکیوں اور ان کی دولت کا تحفظ کرنا ہے، اور یہ کاروباروں کی آمدنی اور عملی سالمیت کا بھی تحفظ کرتا ہے — موجودہ طریقہ صرف ناکام ہے۔ یہاں حقیقی فائدہ ہے، لیکن اس کا مطلب یہ نہیں کہ ہم موجودہ حالت پر قائم رہنا چاہیں۔
ترقی پذیر ٹیکنالوجیز ایک بہتر طریقہ کا امکان پیش کرتی ہیں۔ امریکیوں کو بار بار اپنا شناختی کارڈ کا مکمل کاپی جمع کرانے کے بجائے، خصوصیات کو محفوظ رکھنے والے نظام افراد کو صرف اس بات کا ثبوت دینے کی اجازت دے سکتے ہیں جو سروس کو جاننے کی ضرورت ہے — جیسے ان کی عمر، اہلیت، یا اکاؤنٹ پر ان کا اختیار — جبکہ بنیادی معلومات ان کے کنٹرول میں رہیں۔
یہ ٹیکنالوجیاں ابھی تک تیار نہیں ہوئیں، لیکن فیڈرل ریگولیٹرز کو اداروں کو ان کا امتحان لینے اور ان کے پختہ ہونے کے ساتھ موجودہ ضوابط کو اپڈیٹ کرنے کی جگہ دینی چاہیے۔ اس کے علاوہ، جب زیادہ پرائیویسی برقرار رکھنے والے طریقے سامنے آئیں، تو کانگریس کو غیر ضروری معلومات جمع کرنے اور برقرار رکھنے کے تقاضوں کو کم کرنا چاہیے۔ دھوکہ دہی کے خلاف عمل اب بھی قابلِ قدر ہیں، لیکن یہ اس طرح بھی موجود ہوسکتے ہیں کہ مجرموں کے لیے ایک مستقل دосьہ نہ ہو جسے وہ چھین سکیں۔
زیادہ فوری طور پر، واشنگٹن اور مختلف ریاستی حکومتیں کسی بھی قانون یا انتظامیہ کو روکنے چاہئیں جو شناخت اور تصدیق کی درخواستوں کو ان علاقوں تک وسیع کرے جہاں وہ موجود نہیں ہیں اور ضرورت نہیں ہے۔ اوپن سورس سافٹ ویئر اور انٹرنیٹ کی عمر تصدیق کی مہم ختم ہونی چاہئے؛ یہ عام امریکیوں کو خطرے میں ڈالتی ہے اور مجرموں اور خارجی دشمنوں کو طاقت فراہم کرتی ہے، جبکہ بچوں کی حفاظت نہیں کرتی۔
اس طرح کے بریچز قابل روک ہیں؛ ہمیں صرف انہیں روکنے کی خواہش رکھنی ہے۔ اس کے لیے درکار ٹولز اب ظاہر ہونا شروع ہو گئے ہیں، اور ایسے معاملات میں جہاں ہمیں کسی کی تصدیق کرنے کی ضرورت نہیں، ہمیں اسے نہ کرنا چاہیے۔ کیونکہ حساس ذاتی معلومات کا بہترین طریقہ تحفظ یہ ہے کہ انہیں بالکل نہ جمع کیا جائے۔