एटिएम ह्याकिङ प्रकरणः बैंकले चासो देखाएनन्, राज्यले कानुन बनाएन

A+ A A-

पछिल्लो समय बैंकबाट अनधिकृत रुपमा पैसा निकालिएका घटना सार्वजनिक भइरहेका छन् ।बैंक वा बैंकले उपलब्ध गराएको विभिन्न माध्यम (एटिएम, इन्टरनेट वा अन्य) बाट गैरकानुनी रुपमा रकम निकाल्नु कानुनी दृष्टिमा दण्डनीय कार्य हो ।

तर, आम सर्वसाधारणमा हामीले बैंकमा राखेको पैसा कसैले चारेर लगिदिने हो कि भन्ने शंका पनि उत्पन्न हुन सक्छ । कानूनी रुपमा भन्ने हो भने बैंक टाट नपल्टेसम्म ग्राहकले बैंकमा राखेको पैसा कसैले चोरेर लान सक्दैन । बैंक जिम्मेवार हुन्छ । बैंकले ग्राहकको पैसा सुरक्षित रुपमा राखिदिन्छ ।

तर, कहिलेकाही बैंकहरुले पैसा राख्ने व्यक्तिलाई पनि जिम्मेवार बनाउन सक्छ । जस्तो कि बैंकले दिएका पिन नम्बर, एटिएम कार्ड, पासवर्ड जस्ता साँचोहरु हामीले दुरुपयोग गर्यौं, दुरुपयोग गर्नको लागि अनुमति दियौं भने त्यसको जवाफदेही हामी आफै हुनुपर्छ ।

यसलाई अर्को पाटोबाट पनि हेरौं । हामीले हाम्रो घरको सन्दुकमा पैसा राखेको छ तर, साँचो लगाएको छैन, अथवा सन्दुकको साँचो बटुवाले पनि देख्ने गरी वा देख्ने ठाउँमा यो सन्दुककै साँचो हो भनेर थाहा पाउने गरी राखेका छौं भने त्यसको जिम्मेवार आफै हुन्छौं । बैंकले दिएको युजर नेम, पासवर्ड, पिन नम्बर जस्ता बैंकिङ कारोबारको सुरक्षा विकल्पहरु सन्दुकको साँचो जस्तै हुन् । ‘थैलीको मुख खुल्ला राखेर अरुलाई चोर दोष नलगाउनु’ भन्ने त नेपाली भनाइ नै छ ।

प्रविधिको प्रयोगले सकारात्मक र नकारात्मक दुबै कुरा हुन्छन् । हामी अहिले पनि यी दुबै पक्षको चर्चा गरिरहेका छौं । यी दुबै कुरा परम्परागत जीवनका नयाँ रुप मात्रै हुन् । जस्तो कि पैसा पहिला पनि राखिन्थ्यो, चोरी पहिला पनि हुन्थ्यो । पहिला पैसा जोगाउन खाल्टो खनेर राखिन्थ्यो होला । अहिले फायरवाल भित्रका डेटा सेन्टरमा राखिन्छ ।

पहिला र अहिले एउटा कुरामा फरक छ । पहिलाको दिनमा कसैले २ करोड रुपैयाँ बोकेर जान लाग्यो भने सबैले देख्थे । सबैले हेर्थे । समय पनि धेरै लाग्थ्यो । तर, अहिले अनलाइन कारोबार प्रणालीको कारणले एक सेकेन्डभन्दा पनि छोडो समयमा नै एउटै क्लिकले अर्बौं रुपैयाँ अन्यत्र सार्न सक्ने र कसले यसरी रकम लग्यो भन्ने पनि थाहा नपाउने गरी काम हुने प्रविधिको प्रयोग हुन थालेको छ । यस्तो देख्दा कहिलेकाहीँ हामी कति जोखिमपूर्ण युगमा आइपुगेछौं जस्तो लाग्छ । तर, त्यस्तो भएको होइन । परम्परागत मानवीय व्यवहारहरु नै प्रविधिसँग जोडेर गरिएको कार्य मात्रै हो ।

अर्को पक्षको पनि कुरा गरौं । जस्तो कि कसैले नक्कली एटिएम बनायो । त्यसमा तपाइकै पिन नम्बर प्रयोग गरेर तपाइकै खाताबाट पैसा झिक्यो । यस्तो अवस्थामा तपाइको पैसा सुरक्षित भयो कि भएन भन्ने अर्को प्रश्न पनि आउँछ । यस्तो कार्यविरुद्ध नेपालले कानुनी व्यवस्था गरे जस्तो मलाई लाग्दैन । भारतमा भने घटना भएको २४ घण्टाभित्र सम्बन्धित ग्राहकले बैंकलाई जानकारी दिन्छ भने त्यसको नोक्सानी ग्राहकले व्यहोर्नु पर्दैन भन्ने कानुनी व्यवस्था छ । सम्बन्धित बैंक नै जिम्मेवार हुन्छ ।

यहाँ पनि सेवा प्रदायककै कुरा आउँछ । कुनै अनधिकृत कारोबार भयो भने तत्काल आफ्नो बैंकलाई खबर गर्नुपर्छ भनेर बैंकहरुले ग्राहकलाई कति जानकारी दिएका छन् ? हामीले व्यक्तिगत र संस्थागत तहमै कुरा गर्दा पनि चेकमा कसरी हस्ताक्षर गर्ने, चेक कसरी पट्टयाएर राख्ने, बैंकले दिएका कार्डको पिन नम्बर कसरी सुरक्षित राख्ने भन्ने जस्ता कुराको जानकारी दिने जिम्मेवारी हाम्रो होइन, हामीले त पैसाको कारोबार मात्रै गर्ने हो भन्ने ढंगले बैंकहरु प्रस्तुत हुने गरेका छन् ।

सेवा प्रदायकहरुले आफूले उपलब्ध गराउने सेवाको सुरक्षित प्रयोग कसरी गर्ने भन्ने जानकारी ग्राहकलाई दिनुपर्छ । मैले कुनै गाडी किनेँ भने त्यसको ६ महिना वा एक वर्षमा मर्मत सम्भार क्याम्प हुन्छ । हरेक ब्राण्डका गाडीले यस्तो क्याम्प संचालन गर्छन् । यस्ता क्याम्प धेरै भएको मैले सुनेको छु । तर, कुनै पनि बैंकले एटिएम मेसिन कसरी प्रयोग गर्ने भनेर कुनै प्रकारको क्याम्प गरेको मैले सुनेको छैन ।

बैंकहरुले ग्राहकलाई सुविधा दिन भन्दै एटिएम, इन्टरनेट बैंकिङ, इकमर्श, ई–वालेट जस्ता सुविधा दिएका छन् । यी सुविधाका सम्भावित जोखिम पनि छन् । यस्तो जोखिमको बारेमा ग्राहकलाई जानकारी गराउनु पर्छ ।

युरोपेली युनियनले जनरल डेटा प्रोटेक्सन रेगुलेसन ल्याएको छ । यसको काम डेटा सुरक्षालाई अझ भरपर्दो कसरी बनाउने भन्ने हो । यो रेगुलेसनले कुनै पनि ग्राहकसँग कुनै पनि प्रकारको डेटा लिँदा उसले राम्रोसँग बुझ्न सक्ने भाषामा उसले बुझ्ने गरी सहमति लिनुपर्छ भन्छ । यसरी सहमति लिइँदैन भने जुनसुकै प्रकारको सहमति वा सम्झौता लागू हुदैन भन्ने व्यवस्था यो रेगुलेसनले गरेको छ ।

तर, हाम्रोमा प्राइभेसी पोलिसीलाई इन्डोर्स गर्ने हिसाबले सिस्टममा गएर एउटा क्लिक गर्ने बाहेकको अप्सन हुँदैन । यस्तो मापदण्ड कार्यान्वयनमा हाम्रा कम्पनीहरु धेरै पछि छन् । ग्राहक सचेतना कार्यक्रम सेवा प्रदायकले नै चलाउनु पर्छ ।

डेटा सुरक्षाको लागि केही कानुनी सुधारका कुराहरु पहिलादेखि नै चलेका छन् । सुधार गर्नुपर्ने आवश्यकता पहिला पनि महसुस गरिएको थियो । अहिले हामी विद्युतीय कारोबार ऐनमा निर्भर छौं । यसमा धेरै कुरा उल्लेख गरिएको छैन । अहिलेको बैंकिङ फ्रडकै कुरा गर्ने हो भने विद्युतीय कारोबार ऐनमा डेटामा अनधिकृत पहुँच सम्बन्धि कानुनी व्यवस्था छ । अर्को भनेको एटिएम फ्रड वा बण्डल हाउसमा अनधिकृत प्रवेश गर्छन् भने त्यसरी प्रवेश गर्नेहरु जिम्मेवार हुन्छन् भन्ने व्यवस्था छ ।

बैंकिङ कसुर तथा सजाय ऐनमा कसैले अनलाइन कारोबारमा बैंकिङ गरेको छ भने पनि यो ऐन आकर्षित हुन्छ भनिएको छ । हामीसँग नभएको कुरा के हो भने बैंकहरुले पालना गर्नुपर्ने आधारभूत सुरक्षा प्रणाली के हुन्, ती आधारभूत सुरक्षा प्रणालीका सफ्टवेयर र हार्डवेयरका मर्मत सम्भार कहिले कहिले गर्नुपर्ने र त्यसको नियमन कसले गर्ने भन्ने कानूनी व्यवस्था छैन ।

नेपाल राष्ट्र बैंकले सूचना प्रविधि निर्देशिका जारी गरेको छ । त्यो निर्देशिकामा केही व्यवस्थाहरु छन् । कानूनी दृष्टिबाट हेर्ने हो भने निर्देशिकाले कसैमाथि पनि उत्तरदायित्व थोपर्न सक्दैन । ऐन बनाएर मात्रै व्यवस्था गर्नुपर्छ । साइबर सुरक्षा वा डेटा सुरक्षाको लागि सम्वेदनशील पूर्वाधार संरक्षणको लागि कानूनी व्यवस्था आवश्यक छ ।

अहिले संसदमा दर्ता भएको सूचना प्रविधि विधेयकमा साइबर सुरक्षा वा डेटा सुरक्षा सम्बन्धी केही व्यवस्था छ । तर, डेटा सुरक्षाको अन्तरोष्ट्रिय मापदण्ड अनुसार जे जस्तो प्रावधान समेटिनु पर्ने हो त्यो विधेयकमा समेटिएको छैन । डेटा सुरक्ष सम्बन्धी बेग्लै कानुनको आवश्यकता छ ।

मैले डेटा सुरक्षाको कुरा किन गरेको भने अहिले बैंकमा हुने रकम भनेको कागजी नोट होइन । विद्युतीय रुपमा संग्रहित अंक मात्रै हो । विद्युतीय भुक्तानी भनेको एउटाको नाममा रहेको अंक अर्कोको नाममा जाने मात्रै हो । त्यसैले डेटा सुरक्षाको बेग्लै प्रबन्ध हुनुपर्छ भनिएको हो ।

अहिले कुन तरिकाले कसरी ह्याकिङ गरेर रकम झिकियो भन्ने कुरा बेग्लै पाटो हो । तर, बैंकको एटिएम मेसिनबाट अनधिकृत रुपमा पैसा निकालिएको यो पहिलो घटना होइन । यस्ता घटनामा कहिले बैंकको प्रणालीलाई छेडखानी गरिएको हुन्छ, कहिले मध्यस्तकर्ताको प्रणालीलाई छेडखानी गरिएको हुन्छ । मध्यस्तकर्ता आफैमा बीचको खेलाडी हो । त्यसको प्रणालीमा कुनै प्रकारको छेडखानी भयो भने पूरा सिस्टम नै अर्कै ठाउँमा पुग्छ ।

विद्युतीय भुक्तानी वा इन्टरनेट भुक्तानीमा मध्यस्तकर्ताको सेवामा धेरै भर पर्नुपर्ने भएकोले उनीहरुको भूमिका अत्यन्तै महत्वपूर्ण हुन्छ । योभन्दा अगाडि कहिले एनआइसी एसिया बैंकको घटना भयो, कहिले बैंक अफ काठमाडू, कहिले माछापुच्छ्रे, कहिले नबिल त कहिले कृषि विकास बैंकको घटना भयो । यस्ता घटनामा कहिले बैंककै कर्मचारी संलग्न देखिए भने कहिले बाहिरी पक्षको संलग्नता देखियो ।

अर्को विषय पनि अहिले चर्चामा छ । केही दिन अगाडी चिनिया ह्याकरले नेपालका बैंकको एटिएमबाट पैसा झिके । एटिएमबाट पैसा झिक्नको लागि सम्बन्धित बैंकको एटिएम प्रयोग भएको देखिएन । एउटा बैंकको नक्कली भिसा कार्ड बनाएर अर्को बैंकको एटिएमबाट पैसा झिकियो ।

सो प्रकरणमा भुक्तानी दिने बैंकको एटिएमलाई भिसा नेटवर्कले अर्डर दिएको देखिन्छ । अब यसरी निकालिएको सबै पैसा बरामद भयो भने समस्या नै भएन । तर, केही पैसा फेला परेन भने कसले व्यहोर्ने भन्ने अर्को प्रश्न उठ्छ । सामान्यतः यस्तो भुक्तानी प्रक्रियामा अन्तिम अर्डर जसले दिएको हुन्छ, उसले नै पैसा तिर्नुपर्ने हुन्छ । यो प्रकरण अनुसन्धानकै क्रममा रहेकोले धेरै कुरा पछि खुल्छ होला ।

विद्युतीय भुक्तानी प्रक्रियामा नेपालको मात्रै होइन, विश्वभरको प्रणाली परिचालित हुन्छ । यसरी विश्व प्रणाली परिचालित हुने भएपछि नेपालको नियम, कानुन, प्रविधिजस्ता विषय पनि अन्तर्राष्ट्रिय मापदण्ड अनुसारका हुनुपर्छ ।

अहिले नेपालमा भएका कानुनी व्यवस्थाहरु र अन्तर्राष्ट्रिय अभ्यास तथा कानुनी व्यवस्थाको बीचमा निकै खाडल म देख्छु । डेटा सुरक्षाको विषयमा हामीसँग बलियो कानुन छैन । कुनै ग्राहकको बैंक खातामा कति पैसा छ भनेर त्यही बैंकको कर्मचारीले पनि हेर्न पाउँदैन । केही गरी हेर्यो भने यो कर्मचारीले मेरो बैंक खाता हेरेछ भनेर मैले थाहा पाउनु पर्यो । कुनै ग्राहकको खाता कसैले नियालिरहेको छ भन्ने कुराको जानकारी सम्बन्धित ग्राहकलाई थाहा हुने प्रणाली कार्यान्वयन हुने हो भने जोखिम कम हुन्थ्यो ।

यहाँ पैसाको मात्रै कुरा होइन । कसैले मेरो पासपोर्टको विवरण लिइरहेको छ वा कसैले मेरो नागरिकता वा मेरा बाको सामाजिक सुरक्षा कार्डको विवरण कसैले नियालिरहेको छ कि ? मेरो टेलिफोन नै कसैले सुनिरहेको छ कि ? यस्ता कुराहरुमा म विश्वस्त हुने आधार के त ?

यस्ता विषयको लागि डेटा सुरक्षासँग सम्बन्धित कानून बन्नु पर्यो । साइबर सुरक्षाको लागि कडा कानून बनाउनु पर्यो । अहिले नेपालमा दुधमा ५ प्रतिशत घृतांश हुनुपर्छ भनिएको छ । कसैले दुग्ध विकास संस्थानको मेसिनमा ह्याक गरेर त्यसमा घृतांश २५ प्रतिशत हुने प्रबन्ध गरिदियो भने के हुन्छ ? औषधीमा यसको मात्रा यति हुनुपर्छ भनिएको हुन्छ । औषधी उद्योगको मेसिनमा कसैले त्यसको मात्रा फरक हुने गरी मिलायो भने अर्को संकट आउँछ । यस्ता कुरामा हामी संवेदनशील बन्नै पर्छ ।

(डेल्टा ल प्रालिका प्रमुख कार्यकारी अधिकृत तथा साइबर कानुनका ज्ञाता अधिवक्ता अर्यालसँगको कुराकानीमा आधारित)