लूला ने ब्राजील में बड़े डेटा केंद्रों के निर्माण के लिए कर प्रोत्साहन को मंजूरी दी

डेटा का एक बड़ा रिसाव लाखों दस्तावेज़ों को उजागर कर गया है और ब्राजील पर संभावित प्रभावों के बारे में चिंताएँ पैदा करता है। अक्सर, जब पहचान सत्यापन की आवश्यकता वाले प्लेटफॉर्म या सेवाओं का उपयोग किया जाता है, तो भेजे गए डेटा, जैसे स्कैन किए गए दस्तावेज़ या सेल्फी, प्रमाणीकरण के लिए जिम्मेदार तृतीय-पक्ष कंपनियों को भेजे जाते हैं।

IDScan नामक सेवा प्रदाताओं में से एक कथित तौर पर एक बड़े डेटा लीक का शिकार हुआ है, जैसा कि साइबर सुरक्षा पत्रकार ब्रायन क्रेब्स ने मंगलवार, 1 तारीख को अपने साइट पर प्रकाशित एक रिपोर्ट में बताया। कंपनी के दस्तावेज़ों का विशाल संग्रह उजागर हो गया था।

हालांकि लीक हुए दस्तावेज़ संयुक्त राज्य अमेरिका और कनाडा जैसे देशों के होने के लिए जाने जाते हैं, IDScan ब्राजीलियाई दस्तावेज़ों के लिए भी प्रमाणीकरण सेवाएं प्रदान करता है और इन प्रकार के दस्तावेज़ों के समर्थन को सूचीबद्ध करता है।

लीक का स्रोत डार्क वेब पर Nexus नामक एक वेबसाइट के रूप में पहचाना गया, जिसने एक बड़े डेटाबेस तक पहुंच का खुलासा करना शुरू कर दिया था। अपराधियों ने दावा किया कि उनके पास संयुक्त राज्य अमेरिका और कनाडा में जारी किए गए 153 मिलियन से अधिक ड्राइविंग लाइसेंस की तस्वीरें, लगभग दस मिलियन पहचान दस्तावेज़, तीन मिलियन पासपोर्ट और यात्रा दस्तावेज़, स्वास्थ्य कार्ड और सरकारी इमारतों तक पहुंच बैज हैं।

सामग्री की प्रामाणिकता को मान्य करने के लिए, वेबसाइट ने नमूने प्रस्तुत किए, जिसमें क्रेब्स और अमेरिकी अधिकारियों, जैसे रक्षा सचिव पीट हेगसेटह और एफबीआई के एक सहायक निदेशक के दस्तावेज़ शामिल थे।

लीक और IDScan के बीच संबंध उजागर छवियों के विश्लेषण के दौरान स्थापित किया गया था। प्रत्येक फोटो में तिथि और समय का रिकॉर्ड होता था। इन डेटा की तुलना अपने व्यक्तिगत इतिहास से करते हुए, क्रेब्स ने देखा कि समय उन क्षणों से मेल खाता था जब उन्होंने IDScan रीडर से लैस स्थानों पर दस्तावेज़ प्रस्तुत किए थे।

लीक में दस्तावेज़ों के सामने और पीछे दोनों संस्करण शामिल थे, साथ ही इन्फ्रारेड और पराबैंगनी प्रकाश के तहत ली गई तस्वीरें भी शामिल थीं, जो सत्यापन उपकरणों द्वारा नंगी आंखों से अदृश्य सुरक्षा तत्वों की जांच के लिए उपयोग किए जाने वाले स्पेक्ट्रम हैं। इसके अलावा, डेटा निष्कर्षण वास्तविक समय में होने लगा, जिसमें केवल 24 घंटों में Nexus के डेटाबेस में लगभग 400 हजार रिकॉर्ड आए, जबकि अपराधियों ने दावा किया कि उन्होंने एक साल की अवधि में कंपनी से डेटा एकत्र किया था।

रिपोर्ट के प्रकाशन और इस बात की पुष्टि के बाद कि नोर्लेंज़ में एफबीआई कार्यालय ने IDScan के बारे में जांच शुरू कर दी है, Nexus साइट को ऑफ़लाइन हटा दिया गया था।

सुरक्षा के लिए लीक के निहितार्थ

IAM ब्राजील की प्रवक्ता और साइबर सुरक्षा विशेषज्ञ नाटालियन सिल्वा ने इस घटना को गंभीर बताया, क्योंकि IDScan द्वारा प्रदान की जाने वाली प्रौद्योगिकियों का उपयोग महत्वपूर्ण माने जाने वाले प्रक्रियाओं में किया जाता है। विशेषज्ञ के अनुसार, यह लीक केवल दस्तावेज़ों के प्रदर्शन से कहीं अधिक है, क्योंकि यह वित्तीय, डिजिटल और व्यक्तिगत सेवाओं में धोखाधड़ी के लिए इनपुट उत्पन्न कर सकता है।

सिल्वा ने विस्तार से बताया कि पहले से कैप्चर और सत्यापित दस्तावेज़ अपराधियों के लिए विशेष रूप से मूल्यवान होते हैं, जिनका उपयोग खाते खोलने, ऋण के लिए आवेदन करने, अनुचित एक्सेस वापस लेने, पंजीकरण डेटा को संशोधित करने, सोशल इंजीनियरिंग करने और सिंथेटिक पहचान बनाने के प्रयासों में किया जा सकता है।

विशेषज्ञ ने दो महत्वपूर्ण अवलोकन किए। सबसे पहले, उन्होंने इस बात पर जोर दिया कि इस प्रकार का लीक यह नहीं दर्शाता है कि दस्तावेज़ों का उपयोग करने वाली सभी प्रक्रियाएं स्वचालित रूप से खतरे में हैं। उन्होंने तर्क दिया कि एक मजबूत सत्यापन को केवल दस्तावेज़ की छवि प्रस्तुत करने से परे जाना चाहिए, जिसमें जीवन प्रमाण, बायोमेट्रिक तुलना, डिवाइस की प्रतिष्ठा, लेनदेन का संदर्भ, व्यवहार और जोखिम विश्लेषण जैसे संकेतों को एकीकृत करना चाहिए। हालांकि, यह घटना अकेले प्रमाण के रूप में दस्तावेज़ पर विश्वास को काफी कम करती है।

IAM ब्राजील की प्रवक्ता ने एक अन्य गंभीर कारक भी बताया: हालांकि लीक के बाद पासवर्ड बदला जा सकता है, चेहरे, जन्मतिथि, हस्ताक्षर और इतिहास जैसी व्यक्तिगत विशेषताओं को आसानी से बदला नहीं जा सकता है, जिससे पीड़ितों के लिए कई वर्षों तक परिणाम हो सकते हैं।

नाटालियन सिल्वा की दूसरी चेतावनी यह थी कि प्लेटफ़ॉर्म का ब्राजीलियाई दस्तावेज़ों का समर्थन करना यह साबित नहीं करता है कि ब्राजीलियाई नागरिकों के दस्तावेज़ वास्तव में लीक हुए हैं; इसकी पुष्टि जांच द्वारा की जानी चाहिए। प्रसंस्करण की तकनीकी क्षमता एक संभावित जोखिम को इंगित करती है, लेकिन यह घटना में ब्राजीलियाई डेटा के समावेश की पुष्टि नहीं करती है।

नाटालियन सिल्वा ने सलाह दी कि IDScan की तकनीक का उपयोग करने वाली कंपनियों को तुरंत कदम उठाने चाहिए ताकि यह सत्यापित किया जा सके कि भागीदार प्लेटफॉर्म के साथ कौन से एकीकरण और डेटा सक्रिय हैं, साथ ही डिजिटल एक्सेस कुंजी (APIs), क्रेडेंशियल और पासवर्ड बदलने चाहिए। उन्होंने विक्रेता से लीक के दायरे पर स्पष्टीकरण मांगने और सुरक्षा गारंटी की अनुपस्थिति में नई जानकारी भेजना अस्थायी रूप से निलंबित करने की भी सिफारिश की।

विशेषज्ञ ने निष्कर्ष निकाला कि यह मामला इस सिद्धांत को पुष्ट करता है कि पहचान सत्यापन को आउटसोर्स करने का मतलब जिम्मेदारी स्थानांतरित करना नहीं है। अनुबंध करने वाला संगठन डेटा प्रवाह को समझने, इसके प्रतिधारण को सीमित करने, अंतर्राष्ट्रीय हस्तांतरण का मूल्यांकन करने, सुरक्षा नियंत्रणों की निगरानी करने और विश्वास श्रृंखला के किसी महत्वपूर्ण बिंदु के विफल होने पर आकस्मिक योजनाएं बनाए रखने के लिए जिम्मेदार रहता है।

सीनेट ने मंगलवार (1 तारीख) को विधेयक 278/2026 को मंजूरी दे दी, जो ब्राजील में डेटा सेंटर स्थापित करने या उनका विस्तार करने वाली कंपनियों के लिए प्रोत्साहन व्यवस्था निर्धारित करता है। यह दस्तावेज़, जिसे पहले फरवरी में प्रतिनिधि सभा द्वारा अनुमोदित किया गया था, सीनेटरों के बीच गतिरोध में था और अब राष्ट्रपति की मंजूरी के लिए भेजा जा रहा है।

राष्ट्रपति लुइस इनासियो लौला दा सिल्वा और सीनेट अध्यक्ष डेविड अल्कोलुम्ब्रे (यूनियाओ ब्रासिल/एपी) के बीच पिछले सप्ताह हुई बैठक के बाद इस प्रस्ताव को गति मिली। सीनेटर सिड गोमेस (पीएसबी/सीई) को सीनेट में इस मामले पर रिपोर्टर नियुक्त किया गया।

इस उपाय को लागू करने में तेजी लाने के लिए, सिड गोमेस ने प्रतिनिधि सभा द्वारा अनुमोदित पाठ का सार बनाए रखा, जो डिप्टी अगिनाल्डो रिबेइरो (पीपी/पीबी) की देखरेख में था, और केवल संपादकीय सुधार किए। चूंकि सभा ने पहले ही प्रस्ताव को मंजूरी दे दी थी, इसलिए परिवर्तनों के लिए प्रतिनिधियों के दोबारा मतदान की आवश्यकता नहीं है।

यह मसौदा 'रेडेटा' नामक एक व्यवस्था बनाता है, जिसमें सूचना और संचार प्रौद्योगिकी (ICT) उपकरणों और उत्पादों पर कर दरों को निलंबित करने और फिर शून्य तक कम करने का प्रावधान है, जिनका उपयोग डेटा सेंटर स्थापित करने या उनका विस्तार करने में किया जाता है। शामिल करों में औद्योगिक उत्पाद कर (IPI), आयात शुल्क और PIS/Cofins शामिल हैं। पाठ यह भी प्रावधान करता है कि यदि समकक्ष राष्ट्रीय उत्पादन मौजूद नहीं है तो आयात शुल्क कम किया जाएगा।

इस उपाय का उद्देश्य देश में डेटा सेंटर स्थापित करना प्रोत्साहित करना है - ऐसी संरचनाएं जिन्हें आर्टिफिशियल इंटेलिजेंस (AI), क्लाउड कंप्यूटिंग, हाई-परफॉर्मेंस कंप्यूटिंग और अन्य जैसी तकनीकों के विकास के लिए रणनीतिक माना जाता है। लाभ प्राप्त करने के लिए, डेटा सेंटर का प्रबंधन करने वाली कंपनियों को अपनी गतिविधियों के लिए आवश्यक सभी बिजली आपूर्ति अनुबंधों या नवीकरणीय या कम उत्सर्जन वाले स्रोतों से अपने स्वयं के उत्पादन के माध्यम से सुनिश्चित करनी होगी।

सीनेटरों द्वारा 'कम उत्सर्जन' वाक्यांश को शामिल करने से कंपनियों को प्राकृतिक गैस से उत्पन्न ऊर्जा के लिए भी समझौते करने की अनुमति मिलती है। यह आवश्यकता रेडेटा के तहत उद्यमों के प्रमाणीकरण के लिए शर्तों में से एक है।