پہلے سیدھا جواب: پروگرام ایبل لاجک کنٹرولر (PLC) وہ چھوٹا ڈبہ ہے جو آپ کے پلانٹ یا تنصیب میں حقیقت میں پمپ چالو کرتا ہے، والو بند کرتا ہے اور الارم بجاتا ہے۔ جولائی 2026 کے آخر سے حملہ آوروں نے بالکل اسی قسم کے آلات کا، جو براہ راست عوامی انٹرنیٹ پر کھلے تھے، امریکہ کی کم از کم 12 ریاستوں میں پانی کی سہولیات پر فائدہ اٹھایا ہے۔ انہوں نے ان کے اندر کی آپریٹنگ لاجک بدل دی، الارم اور محفوظ شٹ ڈاؤن کے معمولات بند کر دیے، اور پاس ورڈ اور نیٹ ورک ایڈریس اس وقت تک بدلتے رہے جب تک آپریٹرز کی اپنے ہی آلات تک رسائی ختم نہیں ہو گئی۔ اس کا اثر لیک ہونے والی فائلوں کی صورت میں نہیں بلکہ پانی کے دباؤ میں کمی، سیلاب اور پلانٹس کے دستی آپریشن پر مجبور ہونے کی صورت میں سامنے آیا۔ اگر آپ کوئی پروڈکشن لائن یا کنٹرول سسٹمز والی عمارت چلاتے ہیں تو آج جس سوال کا جواب دینا ہے وہ سادہ اور واضح ہے: کیا آپ کا ایک بھی کنٹرولر عوامی انٹرنیٹ سے قابل رسائی ہے؟

حقیقت میں کیا ہوا

امریکی سائبر سیکیورٹی اینڈ انفراسٹرکچر سیکیورٹی ایجنسی (CISA)، FBI اور دیگر وفاقی اداروں نے AA26-097A نمبر کی ایک مشترکہ ایڈوائزری جاری کی، جو اصل میں 7 اپریل 2026 کو شائع ہوئی اور 22 جولائی 2026 کو اپ ڈیٹ کی گئی۔ یہ اپ ڈیٹ محض دکھاوے کی نہیں تھی: اس میں Rockwell Automation کے PLC پروگراموں میں استعمال ہونے والے دوبارہ قابل استعمال کوڈ ماڈیولز کے اندر بدنیتی پر مبنی تبدیلیوں کا پتہ لگانے کی رہنمائی شامل کی گئی، اور نشانہ بننے والے ہارڈویئر کا دائرہ بڑھا کر Schneider Electric، Siemens اور دیگر کمپنیوں کے آلات کو بھی اس میں شامل کیا گیا۔ 30 جولائی 2026 کو CISA نے ایک الگ الرٹ شائع کیا جس میں پانی اور گندے پانی کے شعبے پر زور دیا گیا کہ وہ اپنی آپریشنل ٹیکنالوجی کو خاص طور پر PLC کو نشانہ بنانے والی سرگرمی سے محفوظ رکھے۔

یہ طریقہ ٹھیک اسی لیے توجہ کا مستحق ہے کہ یہ کوئی کمال کا طریقہ نہیں، اور اس میں کوئی مہنگا زیرو ڈے شامل نہیں۔ حملہ آور انٹرنیٹ پر کھلا کوئی کنٹرولر ڈھونڈتا ہے، پھر سرکاری انجینئرنگ سافٹ ویئر استعمال کرتا ہے، یعنی وہی سافٹ ویئر جو آپ کا اپنا انجینئر استعمال کرتا ہے، تاکہ پروجیکٹ فائل ڈاؤن لوڈ کر کے اس کے اندر کی لیڈر لاجک میں ترمیم کر سکے۔ وہاں سے وہ Add-On Instructions میں چھیڑ چھاڑ کر کے محفوظ شٹ ڈاؤن اور الارم بند کر دیتا ہے، اور HMI اور SCADA اسکرینوں پر دکھائی جانے والی معلومات میں جعل سازی کرتا ہے، تاکہ آپریٹر کو بالکل معمول کی ریڈنگ نظر آئے جبکہ ٹینک یا لائن کچھ اور ہی کر رہی ہو۔ آخر میں وہ آلات کے پاس ورڈ اور IP ایڈریس بدل دیتا ہے اور ری بوٹ کے بعد بھی رسائی برقرار رکھنے کے لیے سائٹ کے موڈیم پر ایک ہلکی SSH سروس انسٹال کر دیتا ہے۔ ترتیب اہم ہے: بصری جعل سازی نقصان سے پہلے آتی ہے، اسی لیے کئی آپریٹرز کو دیر سے پتہ چلا۔

پیمانہ باقی کہانی خود سناتا ہے۔ صرف منیسوٹا میں 30 سے زیادہ کمیونٹی واٹر سسٹمز کو نشانہ بنائے جانے کی اطلاع ملی، اور یہ سرگرمی مشی گن، نیو جرسی، جارجیا اور ساؤتھ ڈکوٹا سمیت دوسری ریاستوں تک پھیل گئی۔ تعداد سے زیادہ معنی خیز اگست 2026 میں CISA کے قائم مقام ڈائریکٹر کا بیان تھا: ٹیم کو اب بھی ایسے کنٹرولرز مل رہے تھے جو انٹرنیٹ پر کھلے تھے اور جن پر سرے سے کوئی پاس ورڈ ہی نہیں تھا، یا فیکٹری کا ڈیفالٹ پاس ورڈ اب بھی لگا ہوا تھا۔ شعبے کے لیے ان کا پیغام دو جملوں پر مشتمل تھا: اپنی آپریشنل ٹیکنالوجی کو انٹرنیٹ سے ہٹائیں، اور پاس ورڈ لگائیں۔

اگر آپ سعودی عرب میں کوئی تنصیب چلاتے ہیں تو یہ کیوں اہم ہے

کیونکہ ہارڈویئر وہی ہے، کمپنیاں وہی ہیں اور عادت بھی وہی ہے۔ Rockwell، Siemens اور Schneider کے کنٹرولرز مملکت میں بھی اسی طرح پروڈکشن لائنیں، ٹریٹمنٹ پلانٹس، عمارتوں کے پمپ، چلرز اور بلڈنگ مینجمنٹ سسٹمز (BMS) چلاتے ہیں جیسے باقی ہر جگہ۔ اور جس عادت نے ان واقعات میں دروازہ کھولا وہ ہر جگہ موجود ہے: تنصیب کرنے والا ٹھیکیدار آپ کو جلدی خدمت دینے کے لیے ریموٹ رسائی مانگتا ہے، سائٹ کے راؤٹر پر ایک پورٹ کھول دیا جاتا ہے یا ایک الگ سیلولر موڈیم لگا دیا جاتا ہے، اور پھر یہ عارضی انتظام بھلا دیا جاتا ہے اور برسوں تک مستقل بنا رہتا ہے۔ کوئی اسے دستاویز میں درج نہیں کرتا، کوئی اس کا جائزہ نہیں لیتا، اور یہ کسی بھی IT انوینٹری میں کبھی نظر نہیں آتا، کیونکہ یہ IT کا ہے ہی نہیں۔

بالکل اسی لیے سعودی عرب کی قومی سائبر سیکیورٹی اتھارٹی (NCA) نے آپریشنل ٹیکنالوجی سائبر سیکیورٹی کنٹرولز (OTCC-1:2022) جاری کیے۔ یہ سرکاری اور نجی اداروں کی حساس صنعتی تنصیبات کو ہدف بناتے ہیں اور صنعتی کنٹرول سسٹمز پر تحفظ کی ایک کم از کم بنیاد لازم کرتے ہیں۔ دستاویز کے ساتھ تعمیل کی جانچ کا ایک ٹول اور تنصیبات کی درجہ بندی کا ایک ٹول آتا ہے، جس سے یہ طے کیا جاتا ہے کہ کوئی مخصوص سائٹ کتنی حساس ہے۔ اگر آپ پانی، توانائی، مینوفیکچرنگ یا فیسلٹی مینجمنٹ کے شعبے میں کام کرتے ہیں تو یہ کنٹرولز اختیاری مطالعہ نہیں ہیں، اور اس موسم گرما کی حملوں کی لہر آپ کو اپنا عمل درآمد کا شیڈول پیچھے دھکیلنے کے بجائے آگے لانے کی ایک آپریشنل وجہ دیتی ہے۔

اصل خلا: IT ایک دنیا ہے، OT دوسری

زیادہ تر ادارے آپریشنل ٹیکنالوجی کی سیکیورٹی کو دفتری IT والی سوچ سے دیکھتے ہیں، اور یہی بنیادی مسئلہ ہے۔ IT کی دنیا میں آپ کی پہلی ترجیح ڈیٹا کی رازداری ہوتی ہے، آپ ہر مہینے پیچ لگاتے ہیں، اور رات کو سرور ری بوٹ کرنے سے کوئی خاص تکلیف نہیں ہوتی۔ OT کی دنیا میں پہلی ترجیح تسلسل اور حفاظت ہے؛ ایک کنٹرولر بغیر کسی اپ ڈیٹ کے دس سال تک چل سکتا ہے کیونکہ اسے روکنے کا مطلب پیداوار روکنا ہے، اس کا آپریٹنگ سسٹم اپنی بناوٹ ہی سے پرانا ہے، اور جن پروٹوکولز میں وہ بات کرتا ہے وہ اس دور میں لکھے گئے تھے جب یہ فرض کیا جاتا تھا کہ نیٹ ورک واقعی الگ تھلگ ہے، اس لیے ان میں کوئی تصدیق یا انکرپشن سرے سے موجود ہی نہیں۔

نتیجہ یہ ہے کہ عام ٹولز یہاں کام نہیں آتے: کسی HMI اسٹیشن پر اینٹی وائرس پیداوار روک سکتا ہے، اور ایک روایتی کمزوریوں کا اسکین کسی حساس کنٹرولر کو گرا سکتا ہے۔ جو چیز کام کرتی ہے وہ آرکیٹیکچر ہے: نیٹ ورکس کو الگ کریں، ان کے درمیان واحد گزرگاہ کو کنٹرول کریں، اور آپریشنز کی دنیا سے کاروبار کی دنیا کی طرف جانے والی ہر چیز کو صرف پڑھنے کے قابل بنائیں۔

اس ہفتے کرنے کے سات اقدامات

  • جو واقعی کھلا ہے اس کی فہرست بنائیں۔ اپنی سائٹس سے منسلک ہر عوامی IP اور کنٹرول روم میں لگے ہر سیلولر موڈیم کی فہرست طلب کریں۔ یہ فہرست عموماً آپ کی توقع سے لمبی ہوتی ہے، اور اس میں ایسے آلات ہوتے ہیں جن کے بارے میں IT ٹیم میں کسی کو علم نہیں ہوتا۔
  • براہ راست رسائی بند کریں۔ کوئی بھی کنٹرولر یا HMI عوامی انٹرنیٹ سے قابل رسائی نہیں ہونا چاہیے۔ ریموٹ رسائی VPN یا بروکر گیٹ وے کے ذریعے ہو، ملٹی فیکٹر تصدیق اور وقت کی حد والی اجازت کے ساتھ جو ضرورت پڑنے پر کھولی جائے اور بعد میں بند کر دی جائے۔
  • ہر ڈیفالٹ پاس ورڈ تبدیل کریں۔ جی ہاں، یہ مشورہ پرانا اور بیزار کن ہے، اور ٹھیک یہی چیز تفتیش کاروں کو آج بھی حقیقی تنصیبات میں پوری طرح کھلی مل رہی ہے۔
  • نیٹ ورکس کو حصوں میں تقسیم کریں۔ دفتری نیٹ ورک اور پروڈکشن نیٹ ورک ایک ہی ہموار نیٹ ورک نہیں ہونے چاہییں۔ ان کے درمیان ٹریفک ایک ہی منظم اور نگرانی والے مقام سے گزرے۔
  • موڈ سوئچ کو Run پر رکھیں۔ کنٹرولر پر لگا جسمانی چابی والا سوئچ ریموٹ سے لاجک ڈاؤن لوڈ کو روکتا ہے۔ ایک سادہ اور مؤثر سیٹنگ جس پر کوئی خرچ نہیں آتا۔
  • کنٹرولر لاجک اور کنفیگریشن کی آف لائن کاپی رکھیں۔ اگر لاجک بدل دی جائے یا پاس ورڈ تبدیل کر دیا جائے تو ایک قابل اعتماد کاپی ہی گھنٹوں میں بحالی اور دنوں میں بحالی کے درمیان فرق ہے۔
  • صرف دراندازی نہیں، تبدیلی کی بھی نگرانی کریں۔ یہاں جو الرٹ اہم ہے وہ "وائرس موجود ہے" نہیں بلکہ "کنٹرولر 7 کی لاجک رات 2:40 بجے بدلی اور کوئی مینٹیننس ٹکٹ نہیں کھولا گیا" ہے۔ چلتی ہوئی لاجک کا مقررہ وقت پر منظور شدہ بیس لائن سے موازنہ کریں اور فرق ریکارڈ کریں۔

آپ جو ڈیجیٹائزیشن منصوبے بنا رہے ہیں ان میں اس کا کیا مقام ہے

ہر فیکٹری، گودام یا تنصیب کا ڈیجیٹائزیشن منصوبہ ایک ہی مطالبہ لے کر آتا ہے: ہمیں ایک ڈیش بورڈ چاہیے جو لائن کی کارکردگی براہ راست دکھائے، اور اگر کوئی پمپ رک جائے تو فون پر اطلاع آئے۔ یہ مطالبہ مکمل طور پر جائز ہے؛ خطرہ اسے نافذ کرنے کے طریقے میں ظاہر ہوتا ہے۔ تیز راستہ یہ ہے کہ کلاؤڈ سسٹم کو براہ راست کنٹرول نیٹ ورک سے جوڑ دیا جائے، یا ایک پورٹ کھول دیا جائے تاکہ وہ اس سے ڈیٹا پڑھ سکے، اور بالکل یہی چیز ایسے واقعات کے کسی سلسلے کو غیر ملکی خبر سے آپ کی اپنی سائٹ کے واقعے میں بدل دیتی ہے۔

درست راستے پر صرف چند دن زیادہ لگتے ہیں: درمیان میں ایک ڈیٹا گیٹ وے جو آپریشنز کی دنیا سے پڑھتا ہے اور اس میں کبھی لکھتا نہیں، ڈیٹا کے بہاؤ کی ایک ہی سمت، پروڈکشن سے اوپر کاروباری ڈیش بورڈز کی طرف، ہر انٹیگریشن کے لیے ایک الگ شناخت، اتنے ہی کم سے کم اختیار کے ساتھ جتنے میں وہ کام کر سکے، اور کاروباری نظام سے نیچے فلور تک جانے والی ہر کمانڈ کا چھیڑ چھاڑ سے محفوظ لاگ۔ جب ہم Origami میں آپریشنز، گودام اور مینٹیننس کے نظام ڈیزائن کرتے ہیں تو یہ علیحدگی آخر میں جوڑی جانے والی کوئی سیکیورٹی شے نہیں ہوتی، بلکہ پہلے ہی دن کیا جانے والا ایک آرکیٹیکچرل فیصلہ ہوتی ہے، کیونکہ اسے بعد میں شامل کرنے کا مطلب انٹیگریشن کو شروع سے دوبارہ بنانا ہے۔

اس موسم گرما کی لہر کا عملی سبق یہ نہیں کہ آپریشنل ٹیکنالوجی خطرناک ہے۔ سبق یہ ہے کہ اس کے سب سے زیادہ کھلے رہنے والے دروازے ہی سب سے سادہ بھی ہیں: انٹرنیٹ پر بھلایا ہوا ایک آلہ، ایک ڈیفالٹ پاس ورڈ، اور کسی ٹھیکیدار کی عارضی رسائی جو خاموشی سے مستقل بن گئی۔ یہ تینوں کسی غیر معمولی بجٹ سے نہیں، بلکہ انتظامیہ کے ایک فیصلے اور ایک ہفتے کے کام سے بند ہو جاتے ہیں۔

ذرائع