18 اگست 2026 کو انٹرنیٹ پر ایسے کلپس سامنے آئے جو بظاہر GTA 6 کے ہیں، ساتھ ہی ایک تصویر بھی جسے گیم کا مکمل نقشہ کہا گیا، اور انہیں خود کو CyberLeek کہنے والے ایک گروپ سے منسوب کیا گیا۔ مسلسل چار دن تک کلپس آتے رہے یہاں تک کہ ان کی تعداد چھ ہو گئی، جن میں سے کچھ میں خود کہانی کے کٹ سینز شامل تھے۔ گیم ابھی لانچ نہیں ہوا؛ اس کی اعلان کردہ تاریخ نومبر 2026 ہے۔

یہ گیمنگ کی خبر لگتی ہے۔ لیکن اس کے اندر چھپے سبق کا گیمز سے کوئی تعلق نہیں: اپنی صنعت کے سب سے بڑے اسٹوڈیوز میں سے ایک، بہت بڑا پروڈکشن بجٹ، برسوں کی محنت، اور پروڈکٹ لانچ کے دن سے پہلے ہی ایک ایسے دروازے سے عوام تک پہنچ جاتا ہے جس پر کسی کی نظر نہیں تھی۔ کہیں چھوٹی کمپنیوں میں بھی بالکل یہی ہوتا ہے، بس زیادہ خاموشی سے۔

اصل میں کیا ہوا

  • مواد اصلی لگتا ہے۔ صحافیوں نے جس علامت پر بھروسہ کیا وہ تصاویر کا تجزیہ نہیں بلکہ کمپنی کا ردعمل تھا: Rockstar اور اس کی پیرنٹ کمپنی Take-Two نے کلپس کے خلاف کاپی رائٹ ٹیک ڈاؤن نوٹس جاری کیے۔ کمپنیاں جعلی فوٹیج ہٹانے کا مطالبہ نہیں کرتیں۔
  • معاملہ بتدریج بڑھا۔ آغاز عام گیم پلے سے ہوا، پھر کٹ سینز سامنے آئے، جس سے مبصرین اس نتیجے پر پہنچے کہ لیک کرنے والے کے پاس صرف ریکارڈ شدہ کلپس نہیں بلکہ کھیلنے کے قابل بلڈ موجود ہے۔
  • مقصد اعلانیہ اور ملا جلا ہے۔ گروپ نے گیم پبلشرز کے سامنے ڈیجیٹل ریلیز اور فزیکل کاپیوں کے بارے میں مطالبات شائع کیے، اور ساتھ ہی کلپس کے اندر ایک میم کوائن کی تشہیر کی اور ایک پول چلایا جس میں لوگ اگلا لیک چننے کے لیے اسی کوائن سے ادائیگی کرتے تھے۔
  • کمپنی کو ذریعے کا علم نہیں۔ Jason Schreier کی Bloomberg رپورٹ کے مطابق انتظامیہ نے جواب کے لیے پوری ٹیم کو متحرک کیا، لیکن لیک کرنے والے کی شناخت نہیں کر سکی، اور نہ ہی اپنی آنے والی پریمیئر کو مؤخر کرنے یا مارکیٹنگ کی حکمت عملی بدلنے کا ارادہ رکھتی ہے۔

پیشہ ورانہ لحاظ سے آخری نکتہ سب سے اہم ہے: کئی دنوں کی تحقیقات کے بعد بھی، اتنے وسائل رکھنے والی کمپنی یہ نہیں بتا سکتی کہ فائل کہاں سے نکلی۔ یہ کوئی غیر معمولی کمزوری نہیں۔ جب کاپی رکھنے والوں کی تعداد ان لوگوں سے بڑھ جائے جن کا سراغ لگایا جا سکتا ہے، تو یہی فطری نتیجہ ہوتا ہے۔

اپنی کمپنی پر لاگو کریں: آپ کا غیر جاری شدہ کام کیا ہے؟

آپ گیمز نہیں بناتے، لیکن آپ کے پاس ایسی فائلیں ہیں جو آج عام ہو جائیں تو آپ کو پیسے، کسی سودے یا اعتماد سے ہاتھ دھونا پڑ سکتا ہے۔ سعودی مارکیٹ میں سب سے عام یہ ہیں:

  • ٹینڈر کی بولیاں اور قیمتیں۔ لفافے کھلنے سے پہلے بولی کی فائل کمپنی کی سب سے حساس دستاویز ہوتی ہے، اور وہی سب سے زیادہ WhatsApp پر گردش کرتی ہے۔
  • کلائنٹس کی فہرستیں اور ان کے خصوصی نرخ۔ کسی بڑے کلائنٹ کو دی گئی ترجیحی رعایت، جسے کوئی دوسرا کلائنٹ دیکھ لے۔
  • اعلان سے پہلے کوئی پروڈکٹ یا سروس۔ ڈیزائن، قیمتیں، لانچ کی تاریخ، پہلے سے تیار مہم۔
  • ملازمین اور تنخواہوں کا ڈیٹا۔ ایک ہی فائل کسی کمپنی کو اندر سے مہینوں تک درہم برہم کرنے کے لیے کافی ہے۔
  • اسٹیجنگ ماحول میں کوڈ اور ڈیٹا۔ کلائنٹس کے سسٹمز کا جائزہ لیتے ہوئے ہمیں سب سے زیادہ یہی حقیقتاً کھلا ملتا ہے۔

یہ فائلیں اصل میں کہاں سے باہر نکلتی ہیں

لیک کی عام تصویر نقب زنی کی ہے: کسی نے فائر وال توڑ دی۔ زیادہ تر معاملات میں حقیقت اس سے سادہ اور بے رنگ ہوتی ہے:

  • ضرورت سے زیادہ وسیع رسائی۔ قیمتوں سے غیر متعلق کسی شعبے کا فرد بولیوں کا فولڈر کھول لیتا ہے کیونکہ وہ فولڈر برسوں سے سب کے ساتھ شیئر ہے۔
  • ایسی رسائی جو کبھی ختم نہیں ہوئی۔ کوئی ٹھیکیدار یا سابق ملازم جس کا اکاؤنٹ اب بھی چلتا ہے، یا ایک سال پہلے بھیجا گیا شیئر لنک جو اب بھی فائل کھول دیتا ہے۔
  • سسٹم سے باہر کاپیاں۔ ذاتی ڈیوائس پر ڈاؤن لوڈ کی گئی، WhatsApp پر فارورڈ کی گئی، یا بس عارضی طور پر ذاتی کلاؤڈ اکاؤنٹ پر اپ لوڈ کی گئی فائل۔
  • کھلا اسٹیجنگ ماحول۔ بغیر پاس ورڈ کے سب ڈومین پر سائٹ یا سسٹم کی کاپی، جو بعض اوقات سرچ انجنوں میں انڈیکس بھی ہو جاتی ہے اور اس میں اصلی ڈیٹا ہوتا ہے۔
  • بغیر شناخت کی کاپیاں۔ یہی وجہ ہے کہ Rockstar ذریعے کا سراغ نہیں لگا پا رہی: جب ہر کاپی ایک جیسی ہو، تو باہر نکلی فائل یہ کچھ نہیں بتاتی کہ اسے کس نے جاری کیا۔

اس ہفتے کرنے کے پانچ کام

ان میں سے کچھ بھی بجٹ والا سکیورٹی پروگرام نہیں۔ یہ چھوٹے انتظامی اور تکنیکی اقدامات ہیں جن کا اثر ان کی لاگت سے کہیں زیادہ ہے:

  • تحفظ سے پہلے درجہ بندی کریں۔ کمپنی کی دس سب سے حساس فائلوں یا فولڈرز کی فہرست بنائیں۔ آپ ہر چیز کو یکساں طور پر محفوظ نہیں کر سکتے، اور ایسی کوشش کا انجام کسی چیز کو بھی محفوظ نہ کر پانا ہوتا ہے۔ اثاثوں کی درجہ بندی اور رسائی کا انتظام، نیشنل سائبر سکیورٹی اتھارٹی (NCA) کے جاری کردہ بنیادی سائبر سکیورٹی کنٹرولز ECC 2-2024 کے بنیادی حصے ہیں۔
  • دیکھیں کہ کون کیا کھول سکتا ہے۔ آج ہی اپنے حساس فولڈرز کی اجازتیں کھولیں اور فہرست کو ایک ایک نام کر کے پڑھیں۔ اصول یہ ہے کہ کسے ضرورت ہے، نہ کہ کسے شاید ضرورت پڑے۔
  • ہر رسائی کی میعاد مقرر کریں۔ ٹھیکیداروں، وینڈرز اور انٹرنز کی رسائی کام ختم ہوتے ہی خود بخود ختم ہونی چاہیے، نہ کہ کسی ایسے فیصلے سے جو کسی کو بعد میں یاد آئے۔ ملازم کی رخصتی کو اسی دن اکاؤنٹ بند کرنے سے جوڑیں۔
  • کاپیوں کو قابل سراغ بنائیں۔ حساس تجاویز اور دستاویزات پر وصول کنندہ کے نام کا واٹر مارک لگائیں، اور ڈاؤن لوڈ لاگ رکھیں جو دکھائے کہ کس نے کھولا، کس نے ڈاؤن لوڈ کیا اور کب۔ اس سے لیک رکتا نہیں، لیکن وہ ایک معمے سے بدل کر معلوم ذریعے والا واقعہ بن جاتا ہے، اور اس کا محض موجود ہونا ہی باز رکھنے کا کام کرتا ہے۔
  • اسٹیجنگ ماحول بند کریں۔ ٹیسٹ کاپی پر پاس ورڈ، انڈیکسنگ بلاک، اصلی کسٹمر ریکارڈز کی جگہ فرضی ڈیٹا۔ صرف یہ ایک قدم اس سب سے عام خلا کو بند کر دیتا ہے جو ہمیں ملتا ہے۔

دوسرا سبق: پہلے دن کا منصوبہ

صحافیوں نے نشاندہی کی کہ لیکس شروع ہونے کے بعد Rockstar نے کئی دنوں تک اپنے اکاؤنٹس پر کچھ پوسٹ نہیں کیا۔ قانونی لحاظ سے خاموشی ایک قابل فہم انتخاب ہے، لیکن عام طور پر یہ پوری کہانی دوسرے فریق کے ہاتھ میں چھوڑ دیتی ہے۔

عملی طور پر اہم یہ ہے کہ ضرورت پڑنے سے پہلے ہی تین سوالوں کے تحریری جوابات آپ کے پاس ہوں۔ معاملے کو آگے بڑھانے کا فیصلہ کون کرے گا اور کمپنی کی طرف سے کون بولے گا؟ پہلے دو گھنٹوں میں پہلے تکنیکی اقدامات کیا ہوں گے، یعنی رسائی کاٹنا اور لاگز کے اوور رائٹ ہونے سے پہلے انہیں محفوظ کرنا؟ اور حکام کو کب مطلع کرنا ہے، خاص طور پر اگر لیک شدہ مواد میں کسٹمرز یا ملازمین کا ذاتی ڈیٹا ہو، جو سعودی عرب میں ابلاغ کا انتخاب نہیں بلکہ ریگولیٹری ذمہ داری ہے؟

جو کمپنیاں واقعات کو اچھی طرح سنبھالتی ہیں وہ وہ نہیں جن پر کبھی ضرب نہیں پڑتی۔ وہ وہ ہیں جنہوں نے پرسکون وقت میں یہ جوابات لکھ رکھے تھے۔

Origami کا نقطہ نظر

ہم اس واقعے کو اس بات کی تصدیق کے طور پر دیکھتے ہیں جو ہم تقریباً ہر سسٹم جائزے میں کہتے ہیں: زیادہ تر کمپنیوں میں بنیادی خطرہ بیرونی نقب زنی نہیں، بلکہ ایک بار دی گئی اور پھر کبھی نہ دیکھی گئی اندرونی اجازت ہے۔ جدید حملہ آور کم ہی ہوتا ہے؛ 2021 سے سب کے ساتھ شیئر شدہ فولڈر تقریباً ہر جگہ موجود ہے۔

اسی لیے جب ہم کسی کلائنٹ کے لیے سسٹم بناتے ہیں تو اجازتیں کھلے سے نہیں بلکہ صفر سے شروع ہوتی ہیں: ہر کردار صرف وہی دیکھتا ہے جو اس کے کام کے لیے ضروری ہے، ہر عارضی رسائی کی میعاد ہوتی ہے، اور ہر حساس کارروائی لاگ میں نشان چھوڑتی ہے۔ یہ الگ سے بیچا جانے والا سکیورٹی ایڈ آن نہیں، بلکہ شروع سے سسٹم بنانے کا درست طریقہ ہے۔ شروع میں ایسا کرنے اور بعد میں ترمیم کرنے کا فرق یہ ہے کہ پہلے میں ڈیزائن کے چند گھنٹے لگتے ہیں اور دوسرے کی قیمت وہ ہوتی ہے جو واپس نہیں مل سکتا۔

نتیجہ

آپ ہر لیک نہیں روک سکیں گے۔ لیکن صرف ایک ہفتے میں آپ جان سکتے ہیں کہ آپ کا سب سے حساس مواد کیا ہے، اس تک پہنچنے والوں کا دائرہ محدود کر سکتے ہیں، ہر کاپی پر اس کے حامل کی شناخت درج کر سکتے ہیں، اور پہلے دن کا منصوبہ لکھ سکتے ہیں۔ چار اقدامات جن کے لیے کسی بجٹ کی ضرورت نہیں، اور جو اس کمپنی کو جو جانتی ہے کہ لیک کس نے کیا، اس کمپنی سے الگ کرتے ہیں جو اندھیرے میں تلاش کر رہی ہے، جیسا کہ اس وقت برسوں میں بننے والے ایک گیم کے ساتھ ہو رہا ہے۔

ذرائع

  • IGN، 18 سے 21 اگست 2026 — کلپس اور نقشے کی مسلسل کوریج، ان کا CyberLeek سے منسوب کیا جانا، تعداد کا چھ تک پہنچنا، اور میم کوائن سے تعلق۔
  • Metro / GameCentral، 19 اگست 2026 — اصلیت کی علامت کے طور پر Rockstar کے کاپی رائٹ ٹیک ڈاؤنز، اور لیک کرنے والے گروپ کے مطالبات۔
  • Bloomberg، Jason Schreier، 21 اگست 2026 (بذریعہ Insider Gaming) — پوری ٹیم کے ساتھ متحرک انتظامیہ، لیک کرنے والے کی شناخت نہیں ہوئی، آنے والی پریمیئر مؤخر کرنے کا کوئی منصوبہ نہیں۔
  • نیشنل سائبر سکیورٹی اتھارٹی (NCA) — بنیادی سائبر سکیورٹی کنٹرولز ECC 2-2024: اثاثوں کی درجہ بندی اور شناخت و رسائی کا انتظام۔