Perkhidmatan Digital Nepal Berdepan Pendedahan Data, Gangguan Pasaran dan Lompang Akauntabiliti

135 akaun e-mel kerajaan mendedahkan masalah keselamatan yang lebih luas

Sekurang-kurangnya 135 akaun e-mel di bawah domain kerajaan Nepal, nepal.gov.np, dikenal pasti dalam kebocoran data luaran selepas Pusat Keselamatan Siber Kebangsaan menyertai Have I Been Pwned, sebuah perkhidmatan yang menjejak kelayakan log masuk yang terdedah. Alamat yang terjejas termasuk akaun yang dikaitkan dengan Pejabat Perdana Menteri serta kementerian Hal Ehwal Dalam Negeri, Kewangan dan Hal Ehwal Luar.

Penemuan itu berlaku serentak dengan laporan mengenai dokumen pelajar dan pensyarah yang terdedah, serangan terhadap portal kerajaan, gangguan terhadap perolehan elektronik dan insiden perisian tebusan yang menghentikan dagangan saham. Laporan yang diterbitkan pada Oktober 2026 menggambarkan pentadbiran digital yang kelemahan keselamatannya boleh menjejaskan privasi peribadi dan akses kepada perkhidmatan penting.

Insiden-insiden ini melibatkan masalah yang berbeza. Kemunculan alamat e-mel dalam kebocoran data tidak dengan sendirinya membuktikan bahawa seseorang telah menceroboh rangkaian kerajaan. Laman web yang tergendala juga tidak membuktikan rekodnya telah dicuri. Namun, kelayakan log masuk yang terdedah, kawalan akses yang lemah dan kebergantungan pada infrastruktur kongsi boleh bergabung lalu membuka laluan ke sistem yang lebih sensitif.

Nepal sedang menghubungkan pasport, pengesahan identiti, percukaian, perbankan dan keselamatan sosial dengan perkhidmatan digital, sementara rakyat terus melaporkan barisan panjang, kelewatan kad pengenalan dan pelayan yang tidak dapat diakses. Oleh itu, isu utamanya lebih luas daripada usaha menghentikan penggodam: kerajaan perlu melindungi maklumat yang wajib diserahkan orang ramai, sambil memastikan perkhidmatan dapat digunakan apabila sesuatu komponen gagal.

Perkara yang dibuktikan oleh penemuan e-mel

Nepal menjadi entiti kerajaan ke-47 yang menyertai Have I Been Pwned, menurut Pengarah Pusat Keselamatan Siber Kebangsaan, Raj Kumar Maharjan. Kerjasama itu membolehkan pusat berkenaan mengenal pasti alamat kerajaan yang terdedah melalui kebocoran di tempat lain, dan tidak hanya bergantung pada bukti daripada rangkaiannya sendiri.

Maharjan berkata pusat itu akan memaklumkan jabatan yang terjejas dan mewajibkan penukaran kata laluan. Beliau menjelaskan bagaimana perkhidmatan pemantauan itu mengubah tindak balas:

Melalui portal ini, pusat kami kini menerima butiran tepat tentang alamat e-mel yang bocor dan sumber kebocoran itu. Ini membolehkan kami memaklumkan pegawai berkaitan dengan segera, menguatkuasakan penetapan semula kata laluan serta-merta dan mencegah kerosakan selanjutnya.

Angka 135 tidak harus ditafsirkan sebagai jumlah pencerobohan yang disahkan terhadap 135 peti mel kerajaan. Laporan awam tidak menetapkan berapa banyak akaun yang masih terdedah, sama ada kata laluan yang bocor masih sah atau berapa banyak akaun mempunyai perlindungan pengesahan tambahan.

Pakar keselamatan siber Mona Nyachhyon memberi amaran bahawa akaun rasmi yang diceroboh boleh mengancam rangkaian dalaman dan komunikasi sulit. Penyerang yang mengawal peti mel kerajaan sebenar juga boleh membuat permintaan palsu kelihatan meyakinkan, khususnya apabila penerima mengenali alamat itu.

Laporan berasingan menyebut kelayakan log masuk yang dikaitkan dengan Agriculture Development Bank muncul melalui perisian hasad yang mencuri maklumat daripada peranti yang dijangkiti. Kecurian sedemikian boleh berlaku pada komputer yang digunakan untuk mengakses sesuatu perkhidmatan, tanpa memerlukan penyerang menceroboh terus pelayan pusat perkhidmatan itu.

Dokumen rakyat dan portal awam berdepan ancaman berbeza

Sistem dalam talian University Grants Commission dilaporkan mendedahkan dokumen kewarganegaraan, sijil pendidikan, butiran akaun bank dan rekod Nombor Akaun Tetap milik profesor serta pelajar. Menurut laporan, menukar alamat web sahaja sudah cukup untuk mengakses dokumen kerana kawalan akses tidak tersedia.

Kawalan akses ialah semakan yang menentukan sama ada seseorang dibenarkan melihat rekod tertentu. Dokumen tidak terlindung hanya kerana alamatnya sukar diteka. Pelayan mesti mengesahkan kebenaran setiap kali seseorang memintanya.

Laporan turut menyebut akses tanpa kebenaran kepada antara muka pengaturcaraan aplikasi awam portal awan kerajaan. Antara muka itu, yang lazim disebut API, membolehkan sistem perisian bertukar maklumat atau melaksanakan tindakan. Kumpulan yang dikenal pasti sebagai PSy404 dan AnoNagoSt, yang dikaitkan dengan rangkaian ForceAnon, didakwa menggunakan akses itu untuk menyiarkan mesej dan imej.

Insiden lain yang dilaporkan termasuk kelemahan yang didedahkan oleh Midnight Ops Nepal dalam sistem seperti Jabatan Hidrologi dan Meteorologi, serta akses kepada panel pentadbiran kementerian yang dikaitkan dengan FunkSec. Dokumen belanjawan dan perbandaran didakwa ditawarkan untuk dijual.

Dakwaan-dakwaan ini memerlukan penilaian berasingan. Menyiarkan bahan melalui antara muka awam menunjukkan kegagalan kawalan, tetapi tidak membuktikan akses kepada setiap pangkalan data yang dihoskan dalam awan kerajaan. Laporan tentang dokumen yang ditawarkan untuk dijual juga perlu disahkan dari segi ketulenan, skop dan sumbernya sebelum keseluruhan pendedahan dapat diukur.

Garis masa serangan yang dilaporkan dan tindakan kerajaan

Laporan-laporan itu menghuraikan insiden yang berlaku selama beberapa tahun, bukannya satu serangan terselaras. Rentetan peristiwa itu juga menunjukkan bahawa penubuhan pusat siber khusus tidak menghentikan gangguan.

• 1 Januari 2024: Serangan penafian perkhidmatan teragih dilaporkan mengganggu laman web dan aplikasi perkhidmatan awam, dengan kesan berlarutan selama beberapa minggu.
• 23 Januari 2024: Kabinet memutuskan untuk menubuhkan Pusat Keselamatan Siber Kebangsaan, yang mula beroperasi pada musim bunga tahun itu.
• Disember 2024: Serangan dilaporkan menyasarkan portal kerajaan di wilayah Gandaki, Lumbini dan Bagmati.
• Februari 2025: Laporan menyebut serangan terhadap 21 subdomain Wilayah Koshi.
• Mac 2025: Pangkalan data platform aduan Hello Sarkar dilaporkan diceroboh dan ditawarkan untuk dijual.
• April 2025: Kira-kira 2 juta rekod kewarganegaraan yang diserahkan untuk laporan polis didakwa dicuri daripada laman web Polis Nepal dan ditawarkan untuk dijual.
• 13 Mei 2026: Pindaan yang diterbitkan kepada Peraturan Pembahagian Tugas Kerajaan Nepal dilaporkan memindahkan badan teknologi utama ke Pejabat Perdana Menteri.
• September 2026: Serangan perisian tebusan yang didakwa berlaku mengganggu sistem yang digunakan oleh 72 syarikat broker saham dan menghentikan dagangan selama sehari.
• Awal Oktober 2026: Pathao Nepal dilaporkan mengakui kebocoran yang melibatkan nama pengguna, alamat e-mel dan nombor telefon.

Kecurian yang didakwa melibatkan kira-kira 2 juta rekod polis merupakan antara pendedahan terbesar yang dihuraikan. Angka itu ialah dakwaan yang dilaporkan, bukan jumlah individu terjejas yang disahkan secara bebas. Laporan berkenaan tidak memberikan pecahan rekod unik yang disahkan atau penilaian awam menyeluruh tentang kerosakan.

Perolehan elektronik membawa isu keselamatan ke dalam perbelanjaan awam

Pencerobohan yang dilaporkan terhadap sistem perolehan elektronik kerajaan, dikenali sebagai e-GP, melibatkan integriti kontrak awam selain maklumat sulit. Pejabat Pemantauan Perolehan Awam mengendalikan platform itu untuk proses bidaan kerja kerajaan bernilai berbilion rupee.

Penyiasat dilaporkan mendapati pengguna tanpa kebenaran boleh melihat jumlah bidaan sulit pesaing dan mengubah angka selepas tarikh akhir penyerahan. Laporan menghuraikan dakwaan kerjasama antara penggodam, orang tengah dan kontraktor, termasuk pembayaran mata wang kripto serta laman web perolehan palsu.

Biro Siasatan Pusat Polis Nepal dilaporkan menahan lebih 20 orang, termasuk bekas menteri, tokoh perniagaan pembinaan dan pekerja teknikal, lalu membawa kes ke mahkamah. Penahanan dan pertuduhan bukan sabitan. Laporan itu tidak memberikan keputusan muktamad yang menetapkan tanggungjawab setiap tertuduh.

Kebimbangan keselamatan dilaporkan mendorong penggantungan bidaan elektronik dan kembalinya penggunaan bidaan kertas berlakri untuk perolehan penting. Laporan tidak menyatakan tarikh pemulihan yang disahkan.

Perbezaannya berbanding kebocoran dokumen amat penting. Kerahsiaan gagal apabila seseorang melihat bidaan yang tidak sepatutnya dilihatnya. Integriti gagal apabila seseorang mengubah bidaan itu sendiri. Jika salah satu perlindungan ini gagal, sistem digital yang bertujuan menjadikan perolehan lebih telus sebaliknya boleh memberikan kelebihan tersembunyi kepada pembida tertentu.

Seorang penyedia boleh mengganggu seluruh pasaran

Insiden perisian tebusan pada September 2026 didakwa menyasarkan pusat data swasta yang mengehos sistem pengurusan dagangan untuk 72 syarikat broker saham. Dagangan di Nepal Stock Exchange dilaporkan tidak tersedia selama sehari penuh. Laporan asal turut menyebut maklumat kerajaan dihoskan di kemudahan yang terjejas itu.

Perisian tebusan lazimnya menyekat akses kepada sistem atau data, selalunya dengan menyulitkan fail, dan menuntut bayaran. Laporan itu tidak menetapkan kaedah teknikal serangan, sama ada maklumat turut dicuri atau sama ada wang tebusan dibayar.

Kesan yang lebih jelas dihuraikan bersifat operasi: gangguan pada satu penyedia pengehosan merebak ke puluhan broker dan menghalang pelabur daripada berdagang. Ini ialah risiko penumpuan, iaitu keadaan apabila banyak organisasi bergantung pada pembekal atau infrastruktur yang sama.

Pendedahan Pathao Nepal menunjukkan risiko sektor swasta yang berbeza. Nama, alamat e-mel dan nombor telefon dilaporkan bocor pada awal Oktober 2026. Laporan menyebut ribuan pengguna terjejas, tetapi tidak memberikan jumlah tepat yang disahkan.

Laporan terdahulu turut menyebut kebocoran maklumat pelanggan yang melibatkan Vianet dan Foodmandu, serangan terhadap sistem ATM bank serta percubaan menyerang sistem SWIFT NIC Asia Bank. Insiden-insiden ini berbeza dari segi skop dan kesannya, tetapi menunjukkan cabaran keselamatan melangkaui laman web kerajaan hingga merangkumi perkhidmatan komunikasi, beli-belah, pengangkutan dan kewangan.

Masalah kapasiti sistem identiti kebangsaan merebak merentasi perkhidmatan

Sistem identiti kebangsaan menunjukkan bagaimana sesuatu perkhidmatan boleh gagal tanpa serangan siber yang disahkan. Laporan mengaitkan gangguan pengesahan selama beberapa minggu dengan tekanan teknikal apabila sistem biometrik menghampiri kapasiti kira-kira 20 juta rekod.

Lebih 16 badan dilaporkan mengalami gangguan, termasuk perkhidmatan pasport, cukai, pengangkutan dan perbankan. Angka itu merujuk kepada tekanan kapasiti yang dilaporkan pada sistem berkenaan, bukan jumlah orang yang maklumat biometriknya disahkan terdedah.

Laporan-laporan itu berbeza dalam menghuraikan identiti korporat pembekal dari Perancis. Laporan asal merujuk peralihan daripada Idemia kepada IN Groupe, manakala laporan lain mengulangi IDEMIA sebagai nama semasa. Butiran sebenar urusan kontrak dan sokongan tidak dipastikan di sini. Isu operasinya tetap sama: beberapa perkhidmatan bergantung pada satu platform pengesahan dan terjejas apabila platform itu tidak tersedia.

Perkhidmatan identiti kongsi boleh mengurangkan keperluan untuk pemeriksaan berulang dan urusan dokumentasi. Namun, ia juga menjadi satu titik kegagalan jika agensi tidak dapat meneruskan operasi melalui alternatif yang selamat apabila perkhidmatan itu tidak memberikan respons. Oleh itu, perancangan kapasiti, aturan pemulihan dan tanggungjawab pembekal yang jelas sama pentingnya dengan perlindungan daripada penceroboh.

Kesan terhadap privasi perlu ditangani dengan sama teliti. Cap jari ialah pengecam biometrik; nombor kewarganegaraan dan tarikh lahir ialah maklumat identiti, bukannya biometrik. Tidak seperti kata laluan, cap jari tidak boleh diganti begitu sahaja. Pendedahan butiran ini boleh membuka peluang berpanjangan untuk penyamaran identiti dan penipuan yang disasarkan.

Pertahanan kerajaan berkembang, tetapi masih terbatas

Pusat Keselamatan Siber Kebangsaan dilaporkan mengaudit hampir 40 sistem kerajaan dalam tempoh empat bulan sebelum laporan kebocoran e-mel itu. Pusat itu turut menggunakan CTM360, alat pemantauan yang disediakan oleh Kesatuan Telekomunikasi Antarabangsa, untuk menjejak urus niaga haram yang melibatkan maklumat kerajaan.

Sistem Pengurusan Maklumat dan Peristiwa Keselamatan yang baru dibeli mengumpul dan menganalisis log aktiviti merentas rangkaian kerajaan. Alat sebegini membantu kakitangan mengenal pasti corak mencurigakan, tetapi keberkesanannya bergantung pada perkara yang dipantau dan kepantasan pasukan menyiasat amaran.

Prakash Duwadi, yang dikenal pasti dalam laporan berbahasa Nepal sebagai pegawai maklumat di Pejabat Teknologi Maklumat dan Tadbir Urus Elektronik, berkata portal kerajaan yang dihoskan boleh berdepan 7,000 hingga 8,000 percubaan serangan serentak. Beliau menganggarkan ujian asas oleh pelajar atau kanak-kanak merangkumi 10 hingga 20 peratus daripada percubaan itu. Laporan tersebut tidak menjelaskan tempoh pengukuran atau kaedah pengiraannya.

Duwadi turut berkata kakitangan kadangkala memutuskan sambungan sistem apabila mereka tidak dapat mempertahankannya dengan selamat. Oleh itu, pelayan yang tergendala mungkin merupakan langkah perlindungan dan bukannya bukti bahawa penyerang telah mengambil alih. Namun, rakyat tetap kehilangan akses dalam kedua-dua keadaan, menjadikan notis perkhidmatan dan prosedur pemulihan yang tepat amat diperlukan.

Maharjan mengaitkan lebih 90 peratus insiden siber dengan tingkah laku manusia dan kejuruteraan sosial. Itu ialah penilaian yang dinyatakannya, bukannya dapatan statistik kebangsaan yang didokumenkan. Beliau turut memberi amaran bahawa pembangunan aplikasi dengan pantas menggunakan kecerdasan buatan boleh menyebabkan pembangun tidak menyedari kelemahan penyulitan dan keselamatan.

Mesej pancingan data yang dilaporkan menyamar sebagai Inspektor Jeneral Tambahan Manoj Kumar KC, Pejabat Perdana Menteri dan pegawai polis lain. Mesej itu mengugut penerima dengan pendakwaan untuk mendesak mereka membalas atau mendedahkan maklumat. Contoh-contoh ini menunjukkan bagaimana ketakutan dan kuasa pihak berkuasa boleh dijadikan alat penipuan.

Hak privasi memerlukan penguatkuasaan yang jelas

Perkara 28 Perlembagaan Nepal melindungi privasi. Akta Privasi, 2075 (2018), turut menetapkan kewajipan berhubung maklumat peribadi yang dipegang badan awam. Laporan asal dan analisis yang disertakan mengaitkan Seksyen 29 dengan hukuman penjara sehingga tiga tahun, Seksyen 31 dengan pampasan dan Seksyen 32 dengan tindakan jabatan.

Peruntukan itu tidak membuktikan bahawa setiap kegagalan teknikal yang dilaporkan memenuhi syarat bagi kesalahan jenayah atau pampasan. Tanggungjawab perlu ditentukan berdasarkan perlakuan yang terlibat, peruntukan undang-undang yang terpakai dan bukti. Laporan awam memberikan sedikit butiran tentang hukuman atau pampasan susulan insiden yang dibincangkan.

Tanggungjawab pentadbiran juga sedang berubah. Pindaan yang diterbitkan pada 13 Mei 2026 dilaporkan memindahkan Pusat Keselamatan Siber, Pusat Pengurusan Data dan Jabatan Teknologi Maklumat ke Pejabat Perdana Menteri. Agenda Kabinet yang diluluskan pada 27 Mac 2026 menggesa penubuhan Pejabat Teknologi Maklumat dan Tadbir Urus Elektronik dalam tempoh tiga bulan, tetapi tinjauan organisasi dilaporkan belum selesai ketika laporan itu diterbitkan.

Struktur dan hierarki pelaporan yang terhasil masih belum dimuktamadkan. Pemindahan institusi itu tidak dengan sendirinya menetapkan pihak yang wajib memaklumkan rakyat terjejas, meluluskan pemulihan perkhidmatan yang diceroboh atau mengesahkan bahawa pembekal telah membetulkan kecacatan keselamatan.

Ujian, perolehan dan pendedahan ialah keputusan seterusnya

Analisis asal mencadangkan agar kewajipan keselamatan dimasukkan dalam perolehan perisian sejak awal. Ini termasuk penyulitan, kemas kini berterusan, penyelenggaraan serta pemilihan berdasarkan mutu dan kos, bukannya menganggap urusan perisian selesai selepas penyerahan. Semua ini ialah cadangan, bukannya keperluan baharu kerajaan yang telah disahkan.

Analisis itu turut menggesa penilaian kelemahan dan ujian penembusan diwajibkan sebelum perkhidmatan dibuka kepada rakyat. Ujian ini mengenal pasti kelemahan dan cuba menceroboh sistem secara terkawal. Menyelesaikan ujian tidak sama dengan membetulkan penemuannya: keputusan untuk melancarkan perkhidmatan yang boleh dipercayai memerlukan bukti bahawa kecacatan serius telah diperbaiki dan diuji semula.

Pakar keselamatan siber Naresh Lamgade berkata aspek keselamatan sering diabaikan semasa pembangunan dan penyelidik swasta tidak digalakkan melaporkan kelemahan. Saluran pelaporan yang jelas dengan prosedur pengendalian yang ditetapkan dapat membantu menterjemahkan penemuan kepada pembaikan, dan bukannya membiarkan penyelidik tidak pasti cara menghubungi agensi.

Langkah lain yang dicadangkan termasuk pengesahan tambahan untuk akaun e-mel kerajaan dan akaun pentadbiran, audit pusat data berkala, pemberitahuan kepada rakyat terjejas selepas kebocoran serta pengawal selia perlindungan data yang bebas. Laporan itu tidak memberikan tarikh pelaksanaan yang disahkan bagi langkah-langkah ini.

Persoalan segera yang masih belum terjawab adalah khusus: berapa banyak akaun terdedah yang telah dilindungi, sama ada set data yang didakwa dicuri telah disahkan, bila bidaan elektronik akan disambung semula dan bagaimana perkhidmatan identiti akan mengelakkan satu lagi gangguan kapasiti. Jawapan kepada orang ramai akan membolehkan pemulihan dinilai berdasarkan hasil, bukannya jumlah perkhidmatan yang tersedia dalam talian.

Perkara Utama

• Sekurang-kurangnya 135 akaun e-mel kerajaan dikenal pasti dalam kebocoran luaran selepas Nepal menyertai Have I Been Pwned.
• Pendedahan yang dilaporkan termasuk dokumen universiti dan kira-kira 2 juta rekod kewarganegaraan dalam laporan polis, dengan jumlah yang terakhir itu masih belum disahkan.
• Lebih 20 orang dilaporkan ditahan dalam kes perolehan elektronik; keputusan akhir mahkamah tidak dinyatakan.
• Insiden perisian tebusan yang didakwa berlaku pada September 2026 mengganggu sistem yang digunakan oleh 72 syarikat broker saham dan menghentikan dagangan saham selama sehari.
• Masalah kapasiti sistem identiti kebangsaan dilaporkan mengganggu pengesahan untuk lebih 16 badan selama beberapa minggu.
• Pemantauan dan pengujian keselamatan telah diperluas, tetapi pemberitahuan kebocoran, tanggungjawab dan beberapa tarikh pemulihan masih belum dimuktamadkan.