टाटा मोटर्स की iRA ऐप्स में सुरक्षा की गंभीर खामियां: आपकी स्मार्ट कार पर हैकिंग का खतरा और बचाव के उपाय

आज के आधुनिक युग में कार केवल लोहे और इंजन की मशीन नहीं रह गई है, बल्कि यह पहियों पर चलने वाला एक बड़ा कंप्यूटर बन गई है। टाटा मोटर्स (Tata Motors) जैसी अग्रणी कंपनियां अपनी गाड़ियों में कनेक्टेड कार (connected car) तकनीक देती हैं, जिससे आप स्मार्टफोन के जरिए गाड़ी को लॉक-अनलॉक कर सकते हैं या उसकी स्थिति जान सकते हैं। हालांकि, हाल ही में भारत सरकार की साइबर सुरक्षा एजेंसी CERT-In (इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम) ने इस तकनीक में गंभीर सुरक्षा खामियां होने की चेतावनी दी है। ये खामियां टाटा मोटर्स की iRA 2.0 और iRA.ev एप्लीकेशन्स में पाई गई हैं, जो लाखों ग्राहकों के डेटा और उनकी गाड़ियों की सुरक्षा को जोखिम में डाल सकती हैं।

कनेक्टेड कार एक ऐसा वाहन है जो बाहरी प्रणालियों के साथ द्वि-मार्गी संचार (bidirectional communication) कर सकता है। विकिपीडिया के अनुसार, इस कनेक्टिविटी का उपयोग यात्रियों को संगीत, नेविगेशन और सॉफ्टवेयर अपडेट जैसी सेवाएं प्रदान करने के लिए किया जाता है। टाटा मोटर्स अपने पेट्रोल-डीजल वाहनों के लिए iRA 2.0 और इलेक्ट्रिक वाहनों (EV) के लिए iRA.ev ऐप का उपयोग करती है। इन ऐप्स के जरिए यूजर्स रिमोट कमांड दे सकते हैं, वाहन की हेल्थ मॉनिटर कर सकते हैं और ट्रिप की डिटेल्स देख सकते हैं। लेकिन अगर यह ऐप स्वयं ही असुरक्षित हो, तो यह हैकर्स के लिए एक खुला दरवाजा बन जाता है।

CERT-In ने 5 नवंबर 2026 को जारी की गई एडवाइजरी में इन खामियों को 'हाई' (High) यानी अत्यंत गंभीर श्रेणी में रखा है। एजेंसी की रिपोर्ट के अनुसार, इन ऐप्स के पुराने वर्जन में चार मुख्य सुरक्षा कमजोरियां (vulnerabilities) हैं। इन कमजोरियों का उपयोग करके कोई भी कुशल हैकर यूजर के क्रेडेंशियल्स (credentials) यानी लॉगिन डिटेल्स चुरा सकता है। इतना ही नहीं, वह यूजर की पहचान धारण करके (impersonation) गाड़ी की डिजिटल सेवाओं पर अनधिकृत कब्जा भी कर सकता है। यह समाचार टाटा की कार इस्तेमाल करने वाले लाखों लोगों के लिए चिंता का विषय है क्योंकि यह सीधे तौर पर उनकी व्यक्तिगत जानकारी और वाहन की सुरक्षा से जुड़ा है।

पहली बड़ी खामी ऐप के अंदर 'हार्डकोडेड क्रेडेंशियल्स' (hardcoded credentials) होने के कारण है। इसका अर्थ यह है कि ऐप के प्रोग्रामिंग कोड में ही कुछ महत्वपूर्ण डिजिटल चाबियां, जैसे कि API की (API keys) और ऑथोराइजेशन टोकन (authorization token) स्थायी रूप से लिखी हुई थीं। यह एक ऐसी गलती है जैसे कोई घर के मुख्य दरवाजे की चाबी पायदान के नीचे ही छिपा कर रखे। यदि कोई हैकर ऐप के कोड को डिकोड कर ले, तो उसे ये चाबियां मिल जाती हैं। इन चाबियों का उपयोग करके वह कंपनी के बैकएंड सर्वर तक पहुंच सकता है और संवेदनशील डेटा में बदलाव कर सकता है।

दूसरी खामी ऐप के 'वेबव्यू' (WebView) फीचर में देखी गई है। वेबव्यू एक ऐसी तकनीक है जिसके माध्यम से मोबाइल ऐप के भीतर ही कोई वेब पेज खोला जा सकता है। CERT-In के अनुसार, टाटा की ऐप में यह वेबव्यू किस यूआरएल (URL) या सोर्स से कंटेंट लोड कर रहा है, इसकी पर्याप्त जांच नहीं की जा रही थी। इसका फायदा उठाकर हैकर यूजर को कोई नकली लिंक भेज सकता है और उसके जरिए लाइव ऑथेंटिकेशन टोकन चुरा सकता है। एक बार यह टोकन हैकर के हाथ में आ जाए, तो वह असली यूजर बनकर ऐप में लॉग इन कर सकता है।

तीसरी समस्या ऐप के 'डेवलपमेंट और डिबगिंग लॉग्स' (logs) से जुड़ी है। सामान्य तौर पर जब कोई ऐप विकसित की जा रही होती है, तो उसकी प्रक्रिया का रिकॉर्ड रखने के लिए लॉग्स बनाए जाते हैं। टाटा की इन ऐप्स में यूजर के ऑथेंटिकेशन टोकन इन लॉग्स में सेव हो रहे थे। यदि कोई स्थानीय हमलावर (local attacker) यूजर के फोन का एक्सेस प्राप्त कर ले, तो वह इन लॉग फाइलों को पढ़कर टोकन हासिल कर सकता है। इससे वह यूजर के अकाउंट का दुरुपयोग कर सकता है और गाड़ी का विवरण जान सकता है।

चौथी और अंतिम खामी 'एसएसएल सर्टिफिकेट पिनिंग' (SSL Certificate Pinning) के अनुचित कार्यान्वयन की है। इस तकनीक का काम यह सुनिश्चित करना है कि ऐप केवल कंपनी के सुरक्षित सर्वर के साथ ही संवाद कर रही है। अमर उजाला की रिपोर्ट के अनुसार, यह सुरक्षा व्यवस्था ठीक से लागू न होने के कारण हैकर नेटवर्क ट्रैफिक को बीच में रोक (intercept) सकते हैं। इसे 'मैन-इन-द-मिडल' अटैक कहा जाता है, जिसमें हैकर ऐप और सर्वर के बीच होने वाले संवाद को पढ़ सकते हैं या उसमें बदलाव कर सकते हैं।

बहुत से लोगों के मन में यह सवाल होगा कि क्या हैकर वास्तव में गाड़ी चला सकते हैं? आजतक की रिपोर्ट के अनुसार, अब तक ऐसी कोई घटना नहीं हुई है जिसमें हैकर ने चलती गाड़ी का नियंत्रण लिया हो। हालांकि, इन ऐप्स के जरिए रिमोट कमांड दिए जा सकने के कारण, हैकर गाड़ी के दरवाजे खोल (unlock) सकते हैं या उसे लॉक कर सकते हैं। वे गाड़ी का लाइव लोकेशन ट्रैक कर सकते हैं और बैटरी या ईंधन की स्थिति जान सकते हैं। यह मामला प्राइवेसी और सुरक्षा दोनों दृष्टिकोण से जोखिम भरा है। विशेष रूप से तब, जब गाड़ी में कीमती सामान हो या वह किसी असुरक्षित जगह पर पार्क की गई हो।

टाटा मोटर्स का मुख्यालय मुंबई में स्थित है और कंपनी ने इन खामियों को दूर करने के लिए तत्काल कदम उठाए हैं। CERT-In ने सलाह दी है कि सभी यूजर्स को अपनी ऐप्स को लेटेस्ट वर्जन पर अपडेट करना चाहिए। iRA 2.0 इस्तेमाल करने वाले ग्राहकों के लिए वर्जन 26.8.2 और iRA.ev इस्तेमाल करने वाले ग्राहकों के लिए वर्जन 26.9.1 या उससे ऊपर के वर्जन पर अपग्रेड होना अनिवार्य है। पुराने वर्जन का इस्तेमाल जारी रखना हैकर्स को आमंत्रण देने जैसा है।

कनेक्टेड कार का इतिहास काफी पुराना है। जनरल मोटर्स (General Motors) ने १९९६ में 'OnStar' नामक सिस्टम के साथ पहले कनेक्टेड कार फीचर्स पेश किए थे। शुरुआत में यह तकनीक केवल दुर्घटना के समय इमरजेंसी मदद प्राप्त करने के लिए थी। २००१ में रिमोट डायग्नोस्टिक्स और २०१४ में ऑडी (Audi) द्वारा 4G LTE वाई-फाई हॉटस्पॉट की शुरुआत हुई। जैसे-जैसे तकनीक बढ़ी, वैसे-वैसे हैकिंग के खतरे भी बढ़े हैं। २०१६ में शोधकर्ताओं ने साबित किया था कि लगभग १० करोड़ फोक्सवैगन (Volkswagen) कारों को रिमोटली अनलॉक किया जा सकता है।

भारत में भी अब कनेक्टेड कार का चलन बढ़ रहा है। टाटा की अल्ट्रोज (Altroz), नेक्सन (Nexon) और सफारी (Safari) जैसी लोकप्रिय कारों में ये फीचर्स मिलते हैं। स्मार्ट कार होने का अर्थ यह है कि आपको केवल उसके टायर और इंजन का ही ध्यान नहीं रखना है, बल्कि उसके सॉफ्टवेयर को भी अपडेट रखना है। साइबर सुरक्षा विशेषज्ञ कहते हैं कि यूजर्स को कभी भी अनजान लिंक पर क्लिक नहीं करना चाहिए और ऐप में कोई भी संदिग्ध गतिविधि दिखाई दे तो तुरंत कंपनी से संपर्क करना चाहिए।

भविष्य में V2X (व्हीकल टू एवरीथिंग) तकनीक आने वाली है, जिसमें गाड़ियां सड़क के इन्फ्रास्ट्रक्चर और अन्य गाड़ियों के साथ भी बात करेंगी। इससे दुर्घटनाएं घटेंगी, लेकिन साइबर सुरक्षा की चुनौतियाँ और अधिक जटिल हो जाएंगी। टाटा मोटर्स की यह घटना हमें याद दिलाती है कि तकनीक जितनी सुविधा देती है, उतनी ही सावधानी भी मांगती है। यदि आप टाटा की कनेक्टेड कार चलाते हैं, तो आज ही प्ले स्टोर या ऐप स्टोर पर जाकर अपने iRA ऐप का वर्जन चेक करें और उसे अपडेट करें।