पहले सीधा जवाब: प्रोग्रामेबल लॉजिक कंट्रोलर (PLC) वह छोटा बॉक्स है जो आपके प्लांट या सुविधा में असल में पंप चालू करता है, वाल्व बंद करता है और अलार्म बजाता है। जुलाई 2026 के आख़िर से, हमलावरों ने ठीक इसी तरह के उपकरणों का, जो सीधे सार्वजनिक इंटरनेट पर खुले थे, अमेरिका के कम से कम 12 राज्यों की जल उपयोगिताओं में फ़ायदा उठाया है। उन्होंने इनके अंदर का ऑपरेटिंग लॉजिक बदल दिया, अलार्म और सुरक्षित शटडाउन की प्रक्रियाएँ बंद कर दीं, और पासवर्ड व नेटवर्क पते तब तक बदलते रहे जब तक ऑपरेटरों की अपने ही उपकरणों तक पहुँच ख़त्म नहीं हो गई। असर लीक हुई फ़ाइलों के रूप में नहीं, बल्कि पानी का दबाव गिरने, बाढ़ आने और प्लांटों को मैनुअल संचालन पर मजबूर होने के रूप में सामने आया। अगर आप कोई प्रोडक्शन लाइन या कंट्रोल सिस्टम वाली इमारत चलाते हैं, तो आज जिस सवाल का जवाब देना है वह सरल और ठोस है: क्या आपका एक भी कंट्रोलर सार्वजनिक इंटरनेट से पहुँच में है?

असल में क्या हुआ

अमेरिकी साइबर सुरक्षा और इंफ़्रास्ट्रक्चर सुरक्षा एजेंसी (CISA), FBI और दूसरी संघीय एजेंसियों ने AA26-097A नंबर की एक संयुक्त एडवाइज़री जारी की, जो मूल रूप से 7 अप्रैल 2026 को प्रकाशित हुई और 22 जुलाई 2026 को अपडेट की गई। यह अपडेट दिखावटी नहीं था: इसमें Rockwell Automation के PLC प्रोग्रामों में इस्तेमाल होने वाले दोबारा प्रयोग योग्य कोड मॉड्यूल के अंदर दुर्भावनापूर्ण बदलावों का पता लगाने का मार्गदर्शन जोड़ा गया, और निशाने पर आए हार्डवेयर का दायरा बढ़ाकर उसमें Schneider Electric, Siemens और दूसरे निर्माताओं के उपकरण भी शामिल किए गए। 30 जुलाई 2026 को CISA ने एक अलग अलर्ट प्रकाशित किया, जिसमें जल और अपशिष्ट जल क्षेत्र से अपनी ऑपरेशनल टेक्नोलॉजी को ख़ास तौर पर PLC को निशाना बनाने वाली गतिविधि से बचाने का आग्रह किया गया।

यह तरीक़ा ठीक इसीलिए ध्यान देने लायक़ है क्योंकि यह कोई कमाल का तरीक़ा नहीं है, और इसमें कोई महँगा ज़ीरो-डे शामिल नहीं है। हमलावर इंटरनेट पर खुला कोई कंट्रोलर ढूँढता है, फिर आधिकारिक इंजीनियरिंग सॉफ़्टवेयर का इस्तेमाल करता है, वही सॉफ़्टवेयर जो आपका अपना इंजीनियर इस्तेमाल करता है, ताकि प्रोजेक्ट फ़ाइल डाउनलोड करके उसके अंदर का लैडर लॉजिक बदल सके। वहाँ से वह Add-On Instructions से छेड़छाड़ करके सुरक्षित शटडाउन और अलार्म बंद कर देता है, और HMI व SCADA स्क्रीन पर दिखने वाली चीज़ों में हेराफेरी करता है, ताकि ऑपरेटर को बिल्कुल सामान्य रीडिंग दिखे जबकि टैंक या लाइन कुछ और ही कर रही हो। आख़िर में वह उपकरणों के पासवर्ड और IP पते बदल देता है और रीबूट के बाद भी पहुँच बनाए रखने के लिए साइट के मॉडेम पर एक हल्की SSH सेवा इंस्टॉल कर देता है। क्रम मायने रखता है: दिखावटी हेराफेरी नुक़सान से पहले होती है, इसीलिए कई ऑपरेटरों को देर से पता चला।

पैमाना बाक़ी कहानी कहता है। अकेले मिनेसोटा में 30 से ज़्यादा सामुदायिक जल प्रणालियों को निशाना बनाए जाने की ख़बर आई, और यह गतिविधि मिशिगन, न्यू जर्सी, जॉर्जिया और साउथ डकोटा समेत दूसरे राज्यों तक फैल गई। गिनती से ज़्यादा अहम था अगस्त 2026 में CISA के कार्यवाहक निदेशक का बयान: टीम को अब भी ऐसे कंट्रोलर मिल रहे थे जो इंटरनेट पर खुले थे और जिन पर कोई पासवर्ड ही नहीं था, या फ़ैक्टरी का डिफ़ॉल्ट पासवर्ड अब भी लगा हुआ था। क्षेत्र के लिए उनका संदेश दो वाक्यों का था: अपनी ऑपरेशनल टेक्नोलॉजी को इंटरनेट से हटाइए, और पासवर्ड लगाइए।

अगर आप सऊदी अरब में कोई सुविधा चलाते हैं तो यह क्यों मायने रखता है

क्योंकि हार्डवेयर वही है, निर्माता वही हैं और आदत भी वही है। Rockwell, Siemens और Schneider के कंट्रोलर किंगडम में भी उसी तरह प्रोडक्शन लाइनें, ट्रीटमेंट प्लांट, इमारतों के पंप, चिलर और बिल्डिंग मैनेजमेंट सिस्टम (BMS) चलाते हैं जैसे बाक़ी हर जगह। और जिस आदत ने इन घटनाओं में दरवाज़ा खोला, वह हर जगह मौजूद है: इंस्टॉलेशन करने वाला ठेकेदार आपको जल्दी सेवा देने के लिए रिमोट एक्सेस माँगता है, साइट के राउटर पर एक पोर्ट खोल दिया जाता है या एक अलग सेलुलर मॉडेम लगा दिया जाता है, और फिर यह अस्थायी इंतज़ाम भुला दिया जाता है और सालों तक स्थायी बना रहता है। कोई इसे दर्ज नहीं करता, कोई इसकी समीक्षा नहीं करता, और यह किसी भी IT इन्वेंटरी में कभी नहीं दिखता, क्योंकि यह IT का है ही नहीं।

ठीक इसीलिए सऊदी अरब के राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) ने ऑपरेशनल टेक्नोलॉजी साइबर सुरक्षा नियंत्रण (OTCC-1:2022) जारी किए। ये सरकारी और निजी संस्थाओं की संवेदनशील औद्योगिक सुविधाओं को लक्षित करते हैं और औद्योगिक नियंत्रण प्रणालियों पर सुरक्षा का एक न्यूनतम आधार लागू करते हैं। दस्तावेज़ के साथ एक अनुपालन मूल्यांकन टूल और एक सुविधा वर्गीकरण टूल आता है, जिससे तय किया जाता है कि कोई ख़ास साइट कितनी संवेदनशील है। अगर आप पानी, ऊर्जा, मैन्युफ़ैक्चरिंग या फ़ैसिलिटी मैनेजमेंट में काम करते हैं, तो ये नियंत्रण वैकल्पिक पढ़ाई नहीं हैं, और इस गर्मी की हमलों की लहर आपको अपना कार्यान्वयन कार्यक्रम पीछे धकेलने के बजाय आगे लाने की एक परिचालन वजह देती है।

असली खाई: IT एक दुनिया है, OT दूसरी

ज़्यादातर संगठन ऑपरेशनल टेक्नोलॉजी की सुरक्षा को ऑफ़िस IT वाली सोच से देखते हैं, और यही मूल समस्या है। IT की दुनिया में आपकी पहली प्राथमिकता डेटा की गोपनीयता होती है, आप हर महीने पैच लगाते हैं, और रात में सर्वर रीबूट करने से कोई ख़ास परेशानी नहीं होती। OT की दुनिया में पहली प्राथमिकता निरंतरता और सुरक्षा है; एक कंट्रोलर बिना किसी अपडेट के दस साल तक चल सकता है क्योंकि उसे रोकने का मतलब उत्पादन रोकना है, उसका ऑपरेटिंग सिस्टम बनावट से ही पुराना है, और वह जिन प्रोटोकॉल में बात करता है वे उस दौर में लिखे गए थे जब माना जाता था कि नेटवर्क सचमुच अलग-थलग है, इसलिए उनमें कोई ऑथेंटिकेशन या एन्क्रिप्शन है ही नहीं।

नतीजा यह है कि सामान्य टूल यहाँ काम नहीं आते: किसी HMI स्टेशन पर एंटीवायरस उत्पादन रोक सकता है, और एक पारंपरिक वल्नरेबिलिटी स्कैन किसी संवेदनशील कंट्रोलर को गिरा सकता है। जो काम करता है वह है आर्किटेक्चर: नेटवर्कों को अलग करें, उनके बीच के इकलौते क्रॉसिंग पॉइंट को नियंत्रित करें, और ऑपरेशंस की दुनिया से बिज़नेस की दुनिया की ओर जाने वाली हर चीज़ को केवल पढ़ने योग्य (रीड-ओनली) बनाएँ।

इस हफ़्ते उठाए जाने वाले सात क़दम

  • जो सचमुच खुला है उसकी सूची बनाएँ। अपनी साइटों से जुड़े हर सार्वजनिक IP और कंट्रोल रूम में लगे हर सेलुलर मॉडेम की सूची माँगें। यह सूची आम तौर पर आपकी उम्मीद से लंबी होती है, और इसमें ऐसे उपकरण होते हैं जिनके बारे में IT टीम में किसी को पता नहीं होता।
  • सीधी पहुँच बंद करें। कोई भी कंट्रोलर या HMI सार्वजनिक इंटरनेट से पहुँच में नहीं होना चाहिए। रिमोट एक्सेस VPN या ब्रोकर गेटवे के ज़रिए हो, मल्टी-फ़ैक्टर ऑथेंटिकेशन और समय-सीमित अनुमति के साथ, जो ज़रूरत पड़ने पर खोली जाए और बाद में बंद कर दी जाए।
  • हर डिफ़ॉल्ट पासवर्ड बदलें। हाँ, यह सलाह पुरानी और उबाऊ है, और ठीक यही चीज़ जाँचकर्ताओं को आज भी असली सुविधाओं में पूरी तरह खुली मिल रही है।
  • नेटवर्कों को खंडों में बाँटें। ऑफ़िस नेटवर्क और प्रोडक्शन नेटवर्क एक ही सपाट नेटवर्क नहीं होने चाहिए। उनके बीच का ट्रैफ़िक एक ही नियंत्रित और निगरानी वाले बिंदु से गुज़रे।
  • मोड स्विच को Run पर रखें। कंट्रोलर पर लगा भौतिक चाबी वाला स्विच रिमोट से लॉजिक डाउनलोड को रोकता है। एक सरल, असरदार सेटिंग जिसकी कोई लागत नहीं।
  • कंट्रोलर लॉजिक और कॉन्फ़िगरेशन की ऑफ़लाइन कॉपी रखें। अगर लॉजिक बदल दिया जाए या पासवर्ड बदल दिया जाए, तो एक भरोसेमंद कॉपी ही घंटों में उबरने और दिनों में उबरने के बीच का फ़र्क़ है।
  • सिर्फ़ घुसपैठ नहीं, बदलाव की भी निगरानी करें। यहाँ जो अलर्ट मायने रखता है वह "वायरस है" नहीं, बल्कि "कंट्रोलर 7 का लॉजिक रात 2:40 बजे बदला और कोई मेंटेनेंस टिकट नहीं खोला गया" है। चल रहे लॉजिक की तय समय पर स्वीकृत बेसलाइन से तुलना करें और अंतर दर्ज करें।

आप जो डिजिटलीकरण प्रोजेक्ट बना रहे हैं, उनमें इसका क्या स्थान है

हर फ़ैक्टरी, गोदाम या सुविधा का डिजिटलीकरण प्रोजेक्ट एक ही माँग लेकर आता है: हमें एक डैशबोर्ड चाहिए जो लाइन का प्रदर्शन लाइव दिखाए, और अगर कोई पंप रुक जाए तो फ़ोन पर सूचना आए। यह माँग पूरी तरह जायज़ है; जोखिम इसे लागू करने के तरीक़े में दिखता है। तेज़ रास्ता यह है कि क्लाउड सिस्टम को सीधे कंट्रोल नेटवर्क से जोड़ दिया जाए, या एक पोर्ट खोल दिया जाए ताकि वह उससे डेटा पढ़ सके, और ठीक यही चीज़ ऐसी घटनाओं की किसी शृंखला को विदेशी ख़बर से आपकी अपनी साइट की घटना में बदल देती है।

सही रास्ते में बस कुछ दिन ज़्यादा लगते हैं: बीच में एक डेटा गेटवे जो ऑपरेशंस की दुनिया से पढ़ता है और उसमें कभी लिखता नहीं, डेटा प्रवाह की एक ही दिशा, प्रोडक्शन से ऊपर बिज़नेस डैशबोर्ड की ओर, हर इंटीग्रेशन के लिए एक अलग पहचान, उतने ही न्यूनतम अधिकार के साथ जितने में वह काम कर सके, और बिज़नेस सिस्टम से नीचे फ़्लोर तक जाने वाले हर कमांड का छेड़छाड़-रोधी लॉग। जब हम Origami में ऑपरेशंस, वेयरहाउस और मेंटेनेंस सिस्टम डिज़ाइन करते हैं, तो यह अलगाव आख़िर में जोड़ा गया कोई सुरक्षा आइटम नहीं होता, बल्कि पहले ही दिन लिया गया एक आर्किटेक्चरल फ़ैसला होता है, क्योंकि इसे बाद में जोड़ने का मतलब इंटीग्रेशन को शुरू से दोबारा बनाना है।

इस गर्मी की लहर का व्यावहारिक सबक यह नहीं है कि ऑपरेशनल टेक्नोलॉजी ख़तरनाक है। सबक यह है कि इसके सबसे ज़्यादा खुले रहने वाले दरवाज़े ही सबसे सरल भी हैं: इंटरनेट पर भुला दिया गया एक उपकरण, एक डिफ़ॉल्ट पासवर्ड, और किसी ठेकेदार की अस्थायी पहुँच जो चुपचाप स्थायी बन गई। ये तीनों किसी असाधारण बजट से नहीं, बल्कि प्रबंधन के एक फ़ैसले और एक हफ़्ते के काम से बंद हो जाते हैं।

स्रोत