اس مضمون میں
12 ستمبر 2026 کو فن ٹیک کمپنی Revolut نے اس واقعے کی تصدیق کی جسے اس نے ایک پیچیدہ بیرونی بہروپ فراڈ قرار دیا: ایک غیر مجاز فریق نے ایک جائز سرکاری ادارے کے ڈومین پر موجود ای میل استعمال کر کے گاہکوں کی معلومات کے لیے جعلی درخواستیں بھیجیں۔ اس منصوبے کا پتا چلنے سے پہلے ہی ان درخواستوں کو پورا کر دیا گیا تھا۔
یہ واقعہ آپ کی توجہ کا مستحق اس لیے ہے کہ اس میں عام معنوں میں کوئی نقب زنی شامل نہیں۔ نہ کوئی سافٹ ویئر کی کمزوری، نہ لیک شدہ پاس ورڈ، نہ میلویئر۔ Revolut نے خود کہا کہ اس کے سسٹم اور گاہکوں کی رقوم متاثر نہیں ہوئیں۔ کسی نے درست طریقے سے، درست چینل کے ذریعے ڈیٹا مانگا اور اسے مل گیا۔ ٹھیک اسی وجہ سے یہ معاملہ صرف بینکوں کے لیے نہیں بلکہ گاہکوں کا ریکارڈ رکھنے والے ہر کاروبار کے لیے اہم ہے۔
اصل میں کیا تصدیق شدہ ہے
ہم خود کو انہی باتوں تک محدود رکھتے ہیں جن کا کمپنی نے اعلان کیا اور جو ماہر اشاعتی اداروں نے رپورٹ کیں، کیونکہ تحقیقات جاری ہیں اور بہت کچھ ابھی سامنے نہیں آیا:
- طریقہ: ایک حقیقی سرکاری ادارے کے ڈومین کے اندر موجود غیر مجاز اکاؤنٹ سے بھیجی گئی میل، جس میں ایک سرکاری معلوماتی درخواست کا وزن تھا۔
- ڈیٹا: شناختی اور رابطے کی تفصیلات جن میں تاریخ پیدائش، ڈاک کا پتا، ای میل ایڈریس اور فون نمبر شامل ہیں، نیز پاسپورٹ اور ڈرائیونگ لائسنس جیسی شناختی دستاویزات کی نقول، اور اپنے گاہک کو جانیں (KYC) جانچ کے دوران جمع کی گئی چہرے کی تصدیق کی تصاویر۔
- پیمانہ: کمپنی نے محدود تعداد میں گاہکوں کا ذکر کیا اور کوئی عدد جاری نہیں کیا۔
- ادارہ: Revolut نے جاری تحقیقات کا حوالہ دیتے ہوئے اس سرکاری ادارے کا نام بتانے سے انکار کیا جس کا ڈومین استعمال ہوا۔
- ردعمل: پتا بلاک کر دیا گیا، متاثرہ گاہکوں کو براہ راست مطلع کیا گیا، اور کمپنی نے متعلقہ سرکاری ادارے، قانون نافذ کرنے والے اداروں، مالیاتی ریگولیٹرز اور ڈیٹا کے تحفظ کے حکام کو آگاہ کیا۔
ZachXBT کے نام سے جانے جانے والے ایک کرپٹو سیکیورٹی محقق کا اندازہ ہے کہ نشانہ بظاہر زیادہ مالیت والے گاہکوں پر تھا، جو اندھا دھند جمع کرنے کے بجائے تفصیلی پروفائل بنانے کی طرف اشارہ کرتا ہے۔ یہ کمپنی کا بیان نہیں بلکہ ایک محقق کا اندازہ ہے، اور ہم اسے اسی حیثیت سے نقل کرتے ہیں۔
درخواست کیوں کامیاب ہوئی: توثیق اختیار نہیں ہے
زیادہ تر کارپوریٹ میل سسٹم ایسی تکنیکی جانچوں پر انحصار کرتے ہیں جو تصدیق کرتی ہیں کہ کوئی پیغام واقعی اسی ڈومین سے آیا ہے جس کا وہ دعویٰ کرتا ہے۔ یہ جانچیں عام جعلسازی کے خلاف اچھی طرح کام کرتی ہیں: جو بھی کسی ایسے ڈومین کا روپ دھارتا ہے جس پر اس کا کنٹرول نہیں، اسے مسترد کر دیا جاتا ہے۔ لیکن یہ صرف ایک ہی سوال کا جواب دینے کے لیے بنائی گئی تھیں — کیا یہ پیغام اس ڈومین سے نکلا؟
آپ کو جس سوال کا جواب چاہیے وہ یہ نہیں ہے۔ آپ کا سوال یہ ہے کہ پیغام لکھنے والا شخص وہ مانگنے کا مجاز ہے یا نہیں جو وہ مانگ رہا ہے۔ کوئی ای میل جانچ اس کا جواب نہیں دیتی۔ ان دونوں سوالوں کے درمیان کا فاصلہ توثیق اور اختیار کے درمیان کا فاصلہ ہے، اور پوری کارروائی اسی خلا سے گزری۔ جب بھیجنے والا اکاؤنٹ اصلی ڈومین کے اندر ہو — خواہ وہ ہیک ہوا ہو یا غلط طریقے سے بنایا گیا ہو — تو آپ کی ٹیم کو نظر آنے والا اعتماد کا ہر اشارہ سبز ہوگا۔
عملی نتیجہ: آپ کے میل گیٹ وے کا کام درخواست کو صحیح سلامت پہنچانے پر ختم ہو جاتا ہے۔ درخواست کو پرکھنا انسانی کام ہے، اور اس کے لیے انفرادی وجدان نہیں بلکہ ایک تحریری طریقہ کار درکار ہے۔
آپ کے کاروبار کو یہی درخواست سادہ شکل میں ملتی ہے
اسے کسی دور دراز یورپی فن ٹیک کہانی سمجھ کر نظرانداز کر دینا آسان ہے۔ لیکن سعودی کاروباروں تک ہر روز پہنچنے والی درخواستیں سادہ لباس میں وہی چیز ہیں: گاہک کا گوشوارہ مانگنے والی ای میل، کسی ریگولیٹری مقصد کے لیے ملازمین کی تفصیلات مانگنے والا پیغام، معاہدے کی تفصیلات کی تصدیق کرنے کو کہنے والی کال، کسی جانے پہچانے سرکاری نام والے پتے سے آنے والی خط و کتابت جو کسی کارروائی کو مکمل کرنے کے لیے دستاویزات مانگتی ہے۔
زیادہ تر چھوٹی اور درمیانی کمپنیوں میں ایسی درخواست کو یوں نمٹایا جاتا ہے: وہ کسی ملازم کے پاس پہنچتی ہے، بھیجنے والا سرکاری لگتا ہے، کسی سرکاری ادارے کو انکار کرنا ماننے سے زیادہ خطرناک محسوس ہوتا ہے، اور فائل بھیج دی جاتی ہے۔ اس کا کوئی ریکارڈ نہیں ہوتا کہ کس نے مانگا، کیا گیا یا کب۔ کوئی آزاد تصدیقی مرحلہ نہیں ہوتا۔ جب بعد میں مسئلہ سامنے آتا ہے تو کمپنی کے پاس واقعات کو دوبارہ جوڑنے کے لیے کچھ نہیں ہوتا۔
جو دباؤ ڈالا جا رہا ہے اس پر بھی غور کریں۔ عجلت اور سرکاری حیثیت مل کر ہی تصدیق کو غیر مؤثر بناتی ہیں۔ جو ملازم ڈرتا ہے کہ اس پر کسی سرکاری کارروائی میں رکاوٹ ڈالنے کا الزام لگے گا، وہ تصدیقی کال چھوڑ دے گا، اور یہ اس طریقے کا ضمنی اثر نہیں بلکہ سوچا سمجھا اثر ہے۔
سعودی قانون آپ سے کیا تقاضا کرتا ہے
ذاتی ڈیٹا کے تحفظ کا قانون (PDPL) اس معاملے کو کھلا نہیں چھوڑتا۔ یہ آپ کے کاروبار پر دوہری ذمہ داری ڈالتا ہے: صرف وہیں انکشاف کریں جہاں اجازت ہو، اور غلطی ہونے پر رپورٹ کریں۔
- دفعہ 15 ان صورتوں کا تعین کرتی ہے جن میں ذاتی ڈیٹا کا انکشاف کیا جا سکتا ہے، جن میں وہ صورت بھی شامل ہے جب درخواست کرنے والا فریق ایک سرکاری ادارہ ہو اور درخواست کسی سیکیورٹی مقصد، کسی دوسرے قانون پر عمل درآمد، یا عدالتی تقاضوں کو پورا کرنے کے لیے ہو، جیسا کہ ضوابط میں بیان کیا گیا ہے۔
- دفعہ 16 ان صورتوں کو منظم کرتی ہے جن میں انکشاف روکنا لازم ہے، جن میں وہ صورتیں شامل ہیں جب اس سے قومی سلامتی متاثر ہو، افراد کی حفاظت خطرے میں پڑے، یا کسی جاری تحقیقات میں مداخلت ہو۔
- دفعہ 20 کنٹرولر کو پابند کرتی ہے کہ وہ خلاف ورزی یا غیر قانونی انکشاف کی اطلاع مجاز اتھارٹی اور ڈیٹا مالکان کو دے۔ ضوابط قومی ڈیٹا گورننس پلیٹ فارم کے ذریعے مجاز اتھارٹی کو مطلع کرنے کے لیے 72 گھنٹے کی مدت مقرر کرتے ہیں۔
تینوں کو ایک ساتھ پڑھیں تو فیصلہ کن نکتہ سامنے آتا ہے: قانون حق سرکاری ادارے کو دیتا ہے، ای میل کو نہیں۔ کسی سرکاری ادارے کے ڈومین سے آنے والی درخواست اس وجہ سے اس ادارے کی درخواست نہیں بن جاتی۔ تصدیق کی قانونی ذمہ داری ڈیٹا کنٹرولر کی حیثیت سے آپ ہی پر رہتی ہے، اور یہ محض اس لیے بھیجنے والے کو منتقل نہیں ہوتی کہ وہ سرکاری نظر آ رہا تھا۔
Origami کا نقطہ نظر
Origami سعودی کاروباروں کے لیے سسٹم بنانے والی ایک ٹیکنالوجی کمپنی ہے، اور ہم بار بار ایک ہی رجحان دیکھتے ہیں: سیکیورٹی کی تقریباً ساری سرمایہ کاری غیر مجاز داخلے کو روکنے پر جاتی ہے — پاس ورڈ، دو مرحلہ توثیق، فائر وال۔ یہ ضروری ہیں، لیکن یہ ایک ہی دروازے کی حفاظت کرتے ہیں۔ جس واقعے پر ہم بات کر رہے ہیں وہ دروازے سے آیا ہی نہیں۔ اس نے دستک دی، ڈیٹا مانگا، اور اسے تھما دیا گیا۔ کوئی تکنیکی ترتیب کسی مجاز ملازم کو اس شخص کو فائل بھیجنے سے نہیں روکتی جس نے اسے درست نظر آنے والے طریقے سے مانگا ہو۔
اس لیے ہم کاروبار سے ڈیٹا کے باہر جانے کو کسی دستی کتابچے میں لکھی رہنمائی کے بجائے سسٹم میں بنے ہوئے طریقہ کار کے طور پر لیتے ہیں: گاہکوں کا ڈیٹا ایکسپورٹ کرنے کی اجازت کس کے پاس ہے، کیا ہر ایکسپورٹ اس تفصیل کے ساتھ درج ہوتا ہے کہ کس نے، کب اور کیوں کیا، اور کیا تیسرے فریق کی درخواستیں منظوری کے راستے سے گزرتی ہیں۔ جو کمپنی ایک منٹ میں بتا سکے کہ پچھلے مہینے یہاں سے کون سا ڈیٹا باہر گیا اور کیوں، اس کے پاس اپنے دفاع کے لیے کچھ ہے۔ جو نہیں بتا سکتی، اسے یہ خلا اس دن معلوم ہوگا جس دن اسے جواب کی ضرورت ہوگی۔
اس ہفتے اپنانے کے لیے ایک صفحے کا طریقہ کار
اس کے لیے نہ کسی منصوبے کی ضرورت ہے نہ بجٹ کی۔ اس کے لیے ایک تحریری، شائع شدہ اصول درکار ہے جو آپ کے ملازم کو دباؤ میں اکیلے فیصلہ کرنے سے بچائے:
- گاہکوں یا ملازمین کا کوئی ڈیٹا صرف کسی موصولہ پیغام کی بنیاد پر باہر نہیں جائے گا۔ پیغام درخواست کا آغاز کرتا ہے؛ وہ اس پر عمل نہیں کرتا، بھیجنے والا چاہے کتنا ہی سرکاری لگے اور لہجہ کتنا ہی فوری ہو۔
- ایک آزاد چینل کے ذریعے تصدیق کریں۔ پیغام کا جواب نہ دیں اور اس کے اندر لکھے نمبر پر کال نہ کریں۔ ادارے کی سرکاری ویب سائٹ پر شائع شدہ نمبر پر کال کریں۔ صرف یہی ایک قدم اس پوری کارروائی کو روک دیتا۔
- ایک نامزد منظوری دینے والا۔ بیرونی فریق کو ڈیٹا جاری کرنے کا مجاز ایک شخص، اور غیر حاضری کے لیے ایک نامزد نائب۔ اجازت سب میں بانٹ دینے کا مطلب ہے کہ کوئی جواب دہ نہیں۔
- ہر درخواست کا تحریری ریکارڈ۔ کس نے مانگا، کس حیثیت سے، کون سا ڈیٹا، کس نے منظوری دی، تصدیق کیسے ہوئی، اور تاریخ۔ اسپریڈشیٹ کی ایک سطر کافی ہے، اور اس کی قدر آج نہیں بلکہ ایک سال بعد نظر آتی ہے۔
- کم سے کم بھیجیں۔ اگر درخواست جائز ہے تو ٹھیک وہی بھیجیں جو مانگا گیا، پوری فائل یا پوری جدول نہیں۔ آپ جتنی مقدار بھیجتے ہیں، درخواست جعلی نکلنے پر نقصان اتنا ہی بڑا ہوتا ہے۔
- ضرورت پڑنے سے پہلے رپورٹنگ کا راستہ جانیں۔ سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) کو 72 گھنٹے کے اندر کون مطلع کرے گا، کس پلیٹ فارم کے ذریعے، کن تفصیلات کے ساتھ۔ طریقہ کار تلاش کرنے میں لگا وقت سیدھا مہلت میں سے کٹتا ہے۔
ان سب کے پیچھے اصول یہ ہے کہ تصدیق رکاوٹ نہیں ہے۔ ایک حقیقی سرکاری ادارہ اپنے ہی شائع شدہ نمبر پر کی گئی تصدیقی کال پر اعتراض نہیں کرے گا، اور جو تصدیق پر اعتراض کرے، ٹھیک اسی کی تصدیق ہونی چاہیے۔ اسے اپنی ٹیم کے لیے تحریری شکل میں رکھیں تاکہ کسی درخواست سے انکار کبھی ایسا ذاتی خطرہ نہ بنے جسے ایک ملازم کو اکیلے اٹھانا پڑے۔
ذرائع
- TechCrunch — 12 ستمبر 2026 کو Revolut کی جانب سے واقعے کی تصدیق، اس کا بیان، اور افشا ہونے والے ڈیٹا کی اقسام۔
- Bloomberg — کمپنی کا یہ انکشاف کہ ای میل پر مبنی فراڈ سے محدود تعداد میں گاہک متاثر ہوئے۔
- سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) — ذاتی ڈیٹا کے تحفظ کے قانون، اس کے ضوابط، اور قومی ڈیٹا گورننس پلیٹ فارم کی مجاز اتھارٹی۔
- ذاتی ڈیٹا کے تحفظ کا قانون (PDPL) — سرکاری متن، جس میں جائز انکشاف، ممنوعہ انکشاف، اور خلاف ورزی کی اطلاع سے متعلق دفعات شامل ہیں۔
- قومی سائبر سیکیورٹی اتھارٹی (NCA) — اداروں میں ڈیٹا کے تحفظ اور سائبر واقعات کے انتظام سے متعلق کنٹرولز۔
عام سوالات
اگر ای میل سیکیورٹی جانچوں میں کامیاب رہی تو وہ دھوکا کیسے تھی؟
کیونکہ ڈومین کبھی جعلی بنایا ہی نہیں گیا تھا۔ پیغام واقعی سرکاری ادارے کے ڈومین سے نکلا تھا، لیکن اس کے اندر کے ایک غیر مجاز اکاؤنٹ سے۔ ای میل کی توثیق کی جانچیں یہ ثابت کرتی ہیں کہ پیغام اس ڈومین سے آیا ہے؛ وہ یہ ثابت نہیں کرتیں کہ اسے لکھنے والا شخص وہ مانگنے کا حق رکھتا ہے جو وہ مانگ رہا ہے۔ یہی توثیق اور اختیار کا فرق ہے، اور کوئی تکنیکی ترتیب دوسرے کا احاطہ نہیں کرتی۔ اس کے لیے انسانی تصدیق کا ایک تحریری مرحلہ درکار ہے۔
کیا کوئی سعودی سرکاری ادارہ قانونی طور پر میرے گاہکوں کا ڈیٹا مانگ سکتا ہے؟
جی ہاں۔ ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کی دفعہ 15 ان صورتوں کا تعین کرتی ہے جن میں کسی سرکاری ادارے کو انکشاف کی اجازت ہے، جن میں سیکیورٹی کا مقصد، کسی دوسرے قانون پر عمل درآمد، یا عدالتی تقاضوں کو پورا کرنا شامل ہے، جیسا کہ ضوابط میں بیان کیا گیا ہے۔ لیکن یہ حق ادارے کا ہے، اس پیغام کا نہیں جس پر اس کا نام لکھا ہو۔ یہ تصدیق کرنے کی ذمہ داری کہ درخواست واقعی اسی ادارے سے آئی ہے، ڈیٹا کنٹرولر کی حیثیت سے آپ ہی پر رہتی ہے۔
اگر مجھے پتا چلے کہ میں نے کسی غیر مجاز فریق کو ڈیٹا بھیج دیا ہے تو میں کیا کروں؟
اسے انتظامی غلطی نہیں بلکہ خلاف ورزی سمجھیں۔ مزید کوئی بھی ترسیل روک دیں اور استعمال شدہ چینل بند کر دیں، ٹھیک ٹھیک درج کریں کہ کیا بھیجا گیا، کسے اور کب، پھر قومی ڈیٹا گورننس پلیٹ فارم کے ذریعے قانونی 72 گھنٹے کی مدت کے اندر مجاز اتھارٹی کو مطلع کریں، اور جہاں متاثرہ ڈیٹا مالکان کے حقوق یا مفادات خطرے میں ہوں وہاں انہیں بھی مطلع کریں۔ جس ادارے کا روپ دھارا گیا اسے بھی آگاہ کریں، کیونکہ حملہ شاذ و نادر ہی صرف آپ پر ہوتا ہے۔
اس ہفتے بغیر کسی لاگت کے میں سب سے تیز کون سا قدم اٹھا سکتا ہوں؟
تین سطروں کا ایک اصول لکھیں اور اسے اپنی ٹیم کے لیے شائع کریں: گاہکوں کا کوئی ڈیٹا صرف کسی موصولہ پیغام کی بنیاد پر باہر نہیں جائے گا؛ تصدیق کا مطلب ہے ادارے کی سرکاری ویب سائٹ پر شائع شدہ نمبر پر کال کرنا، کبھی بھی پیغام کے اندر لکھے نمبر پر نہیں؛ اور حتمی منظوری ایک نامزد شخص کے پاس ہوگی جو ہر درخواست کو ایک اسپریڈشیٹ میں درج کرے گا۔ ان تین اقدامات پر کوئی خرچ نہیں آتا اور یہ اس مضمون میں بیان کردہ واقعے کو روکنے کے لیے کافی ہوتے۔
گوگل میں اوریگامی کو فالو کریں
اوریگامی کو پسندیدہ ذریعہ بنائیں، ہمارے مضامین گوگل سرچ اور اہم خبروں میں آپ کو سب سے پہلے نظر آئیں گے۔
