टाटाका गाडीहरूमा ह्याकिङको खतरा; नेपाली ग्राहकहरु पनि उच्च जोखिममा, भारतीय सरकारी निकायद्वारा चेतावनी जारी

काठमाडौं ।

टाटा मोटर्सका सवारी साधन प्रयोग गर्ने ग्राहकहरूका लागि साइबर सुरक्षासम्बन्धी एक महत्त्वपूर्ण चेतावनी जारी गरिएको छ। भारतीय साइबर सुरक्षा निकाय, (सर्ट-इन) ले कम्पनीका ‘आईआरए २.० (iRA 2.0)’ र ‘आईआरए.ईभी (iRA.ev)’ मोबाइल एप्लिकेसनहरूमा सुरक्षासम्बन्धी केही कमजोरीहरू फेला पारेको जनाएको छ। यी कमजोरीहरूको फाइदा उठाउँदै, कुनै आक्रमणकारीले प्रयोगकर्ताको संवेदनशील जानकारीमा पहुँच प्राप्त गर्न सक्छन्। साथै, प्रयोगकर्ताको पहिचानको दुरुपयोग गरेर, उनीहरूले सवारी साधनसम्बन्धी डेटा र ‘कनेक्टेड कार’ सेवाहरूमा अनधिकृत पहुँच हासिल गर्न सक्छन्।

सर्ट-इनले यी कमजोरीहरूलाई ‘उच्च गम्भीरता’ को श्रेणीमा राखेको छ। उक्त निकायले प्रभावित एप्लिकेसनहरू प्रयोग गरिरहेका ग्राहकहरूलाई जतिसक्दो चाँडो तिनलाई पछिल्लो संस्करणमा अपडेट गर्न सुझाव दिएको छ।

टाटा मोटर्सका कुन-कुन एपहरूमा यी सुरक्षा कमजोरीहरू छन्?

नोभेम्बर ४ मा जारी गरिएको ‘Vulnerability Note CIVN-2026-0537’ मा, सर्ट-इनले टाटा मोटर्सका ‘आईआरए २.०’ र ‘आईआरए.ईभी’ एपहरूमा रहेका विभिन्न सुरक्षा कमजोरीहरूबारे विस्तृत जानकारी दिएको छ। उक्त निकायका अनुसार, ‘आईआरए २.०’ को संस्करण २६.७.३ (26.7.3) र सोभन्दा अघिल्ला संस्करणहरू, तथा ‘आईआरए.ईभी’ को संस्करण २६.७.२ (26.7.2) र सोभन्दा अघिल्ला संस्करणहरू यसबाट प्रभावित छन्।

यी दुवै एप्लिकेसनहरू टाटा मोटर्सको ‘कनेक्टेड कार’ सेवा प्रणालीका हिस्सा हुन्। ‘आईआरए २.०’ कम्पनीका इन्टरनल कम्बस्टन इन्जिन—अर्थात् पेट्रोल र डिजेलबाट चल्ने सवारी साधन प्रयोग गर्ने ग्राहकहरूका लागि बनाइएको हो, जबकि ‘आईआरए.ईभी’ विद्युतीय सवारी साधनहरूका लागि हो। यी एपहरू मार्फत प्रयोगकर्ताहरूले सवारी साधनको अवस्था, स्वास्थ्य निगरानी, यात्रा विवरण र टाढैबाट सवारी साधनलाई नियन्त्रण गर्ने जस्ता सुविधाहरू प्रयोग गर्न सक्छन्। तसर्थ, यी एपहरूमा रहेका सुरक्षा कमजोरीहरूले प्रयोगकर्ताको गोपनीयता र ‘कनेक्टेड कार’ सेवाहरूको सुरक्षामा गम्भीर जोखिम निम्त्याउन सक्छन्।

टाटा मोटर्सका एपहरूमा कस्ता प्रकारका सुरक्षा कमजोरीहरू छन्?

सर्ट-इनले यी एप्लिकेसनहरूमा चार प्रकारका सुरक्षा कमजोरीहरू पहिचान गरेको छ। पहिलो कमजोरी ‘हार्डकोडेड क्रेडेन्सियल्स’ सँग सम्बन्धित छ, जसमा सेवा खाताका विवरणहर, एपीआई कीहरू र प्रमाणीकरण टोकनहरू एपभित्रै सिधै राखिएका थिए। कुनै आक्रमणकारीले एपको प्याकेज डाउनलोड गरेर यी जानकारीहरू निकाल्न सक्छन् र त्यसपछि सम्बन्धित ‘ब्याकइन्ड’ सेवाहरूमा अनधिकृत पहुँच प्राप्त गर्ने प्रयास गर्न सक्छन्।

दोस्रो कमजोरी एपको ‘वेबभ्यू (WebView)’ कम्पोनेन्टभित्र युआरएल र ‘ओरिजिन्स’ को उचित प्रमाणीकरण नहुनुसँग सम्बन्धित छ। यस माध्यमबाट, एक आक्रमणकारीले एपभित्र हानिकारक वेब सामग्री समावेश गराई ‘लाइभ प्रमाणीकरण टोकन’ (live authentication tokens) प्राप्त गर्न सक्छ। यी टोकनहरूको प्रयोग गरेर, आक्रमणकारीले वैध प्रयोगकर्ताको भेष धारण गर्ने प्रयास गर्न सक्छ र ती प्रयोगकर्ताको सवारी साधनसँग सम्बन्धित जानकारी तथा सेवाहरूमा पहुँच प्राप्त गर्न सक्छ।

तेस्रो कमजोरी ‘सूचना चुहावट’ सँग सम्बन्धित छ। एपको विकास र डिबगिङ्ग लगहरूमा प्रमाणीकरण टोकनहरू रेकर्ड भइरहेका थिए। यदि कुनै आक्रमणकारीले यी लगहरूमा पहुँच प्राप्त गर्न सकेमा, उसले ती सेशन टोकनहरूको दुरुपयोग गरी प्रयोगकर्ताको भेष धारण गर्ने प्रयास गर्न सक्छ।

चौथो कमजोरी ‘एसएसएल सर्टिफिकेट पिनिङ’ (SSL Certificate Pinning) को अनुचित कार्यान्वयनसँग सम्बन्धित छ। यसले एप र यसका ब्याकइन्ड सर्भरहरू बीच हुने नेटवर्क सञ्चारको सुरक्षामा जोखिम पुर्‍याउन सक्छ। यदि नेटवर्क ट्राफिक बीचमै इन्टरसेप्ट गरियो भने, आक्रमणकारीले एप र सर्भर बीच आदान-प्रदान भइरहेको डेटा हेर्न वा त्यसमा हेरफेर गर्न सक्छन्।

टाटा मोटर्सका ग्राहकहरूले के गर्नुपर्छ?

सर्ट-इनले प्रभावित एप्स प्रयोग गरिरहेका ग्राहकहरूलाई तिनलाई नवीनतम संस्करणमा अद्यावधिक गर्न सुझाव दिएको छ। उक्त निकायका अनुसार, ‘टाटा मोटर्स आईआरए २.० (Tata Motors iRA 2.0)’ लाई संस्करण २६.८.२ मा र ‘आईआरए.ईभी’ लाई संस्करण २६.९.१ मा अद्यावधिक गरिनुपर्छ। यी अद्यावधिकहरूले पहिचान गरिएका सुरक्षा कमजोरीहरूलाई सम्बोधन गर्छन्। तसर्थ, यदि तपाईं आफ्नो टाटा मोटर्स गाडीसँग ‘आईआरए २.०’ वा ‘आईआरए.ईभी’ एप प्रयोग गर्नुहुन्छ भने, कृपया आफ्नो फोनमा इन्स्टल भएको संस्करण जाँच गर्नुहोस्। आवश्यक परेमा, गुगल प्ले स्टोर वा एप्पल एप स्टोर मार्फत उपलब्ध नवीनतम अद्यावधिक इन्स्टल गर्नुहोस्।

अपडेट

एक विज्ञप्तिमा, टाटा मोटर्सले सर्ट-इनसँग नजिक रहेर काम गरिरहेको र सान्दर्भिक जानकारी पारदर्शी रूपमा साझा गरेको बताएको छ। टाटा मोटर्सका अनुसार, ‘आईआरए २.०’ र ‘आईआरए.ईभी’ एपहरूमा फेला परेका सुरक्षा कमजोरीहरू सफ्टवेयर अद्यावधिक र थप सुरक्षा उपायहरू मार्फत समाधान गरिएका छन्। कम्पनीले जनाए अनुसार, सर्ट-इनको सुझाव अनुरूप ‘आईआरए २.०’ का लागि संस्करण २६.८.२ र ‘आईआरए.ईभी’ का लागि संस्करण २६.९.१ अनिवार्य अद्यावधिकहरू क्रमशः अगस्ट र सेप्टेम्बर २०२६ मा जारी गरिएका थिए।

कम्पनीले स्पष्ट पारेको छ कि एप खोल्दा यी अपडेटहरू स्वतः देखा पर्छन् र ‘ओभर-द-एयर’ प्रक्रिया मार्फत केही मिनेटमै इन्स्टल गर्न सकिन्छ। टाटा मोटर्सका अनुसार, सबै सक्रिय प्रयोगकर्ताहरूका लागि यी अद्यावधिकहरू उपलब्ध गराउने काम पूरा भइसकेको छ। कम्पनीले अझैसम्म आफ्ना एपहरू अद्यावधिक नगरेका ग्राहकहरूसँग सम्पर्क गरिरहेको छ।

आफ्नो विज्ञप्तिमा, कम्पनीले अनुसन्धानबाट ग्राहकको डाटा र गाडीसम्बन्धी जानकारी सुरक्षित रहेको पाइएको कुरा पनि स्पष्ट पारेको छ। हालसम्म, टाटा मोटर्सले ग्राहकको लगइन विवरण, व्यक्तिगत जानकारी वा गाडीको डेटामा अनधिकृत पहुँच वा कुनै प्रकारको छेडछाड भएको प्रमाण फेला पारेको छैन। कम्पनीले आफ्ना प्रणालीहरूको निरन्तर निगरानी गरिरहने बताएको छ।

स्मरण रहोस्, नेपालमा पनि टाटाका गाडीहरु व्यापकरुपमा सडकमा गुडिरहेका छन्। यसको अर्थ नेपाली ग्राहकहरु पनि उच्च जोखिममा रहेका छन्। तर नेपालमा टाटाका गाडीहरु भित्र्याउने र बेच्ने सिप्रदी ट्रेडिङ्गले यस बारेमा आफ्ना ग्राहकहरुलाई कुनै सुरक्षा सतर्कता चेतावनी जारी गरेको जानकारी छैन्।

यदि तपाईँपनि टाटाको गाडी प्रयोग गर्नुहुन्छ भने आफैं सतर्क हुनुहोस् र सुरक्षित बन्नुहोस्।