भारतीयों ने 2024 में साइबर ठगी में ₹22,845 करोड़ गँवाने की शिकायत की, और लगभग आधी शिकायतें कंबोडिया, म्यांमार और लाओस से जुड़ी निकलीं

22 जुलाई 2025 को गृह राज्य मंत्री बंडी संजय कुमार ने लोकसभा को एक लिखित उत्तर दिया, जिसमें दो आँकड़े थे। भारतीयों ने 2024 में साइबर ठगी में ₹22,845.73 करोड़ गँवाने की शिकायत की थी। 2023 में यह आँकड़ा ₹7,465.18 करोड़ था। Inc42 ने उसी दिन इस उत्तर की ख़बर दी और बढ़ोतरी को 206 प्रतिशत बताया।

यह लगभग ₹228 अरब है, या 2024 के हर दिन के हिसाब से क़रीब ₹62 करोड़ (मंत्रालय के कुल आँकड़े पर हमारा अपना हिसाब)। यह उस रकम का जोड़ है जो पीड़ितों ने अधिकारियों को बताई। इसमें शिकायतें गिनी गई हैं, और किसी अदालत ने हर नुक़सान की पुष्टि नहीं की है।

नीचे के मामलों के पीछे तीन तरह के हमलावर हैं। आपराधिक गिरोह, जिनमें से कई कंबोडिया, म्यांमार और लाओस में हैं, आम भारतीयों को निशाना बनाकर ठगी चलाते हैं। एक राज्य, उत्तर कोरिया, को सुरक्षा कंपनियाँ भारतीय निशानों वाले मैलवेयर और चोरियों का ज़िम्मेदार ठहराती हैं। रैंसमवेयर गिरोह, जो पीड़ित के कंप्यूटर बंद कर देते हैं और भुगतान माँगते हैं, एक अस्पताल, एक भुगतान विक्रेता और एक बिजली संयंत्र के ठेकेदार पर वार कर चुके हैं। राज्य की जासूसी चौथी श्रेणी है, जिसे पाकिस्तान से जुड़े हैकरों और बिजली ग्रिड में चीनी हैकरों पर अलग लेखों में कवर किया गया है।

₹22,845 करोड़, जैसा बताया गया

उत्तर में और ब्योरा था। राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल, यानी सरकार की शिकायत वेबसाइट, पर 2024 में 19.18 लाख शिकायतें दर्ज हुईं। सरकार ने 9.42 लाख सिम कार्ड और लगभग 2.63 लाख IMEI ब्लॉक किए, जो अलग-अलग फ़ोन की पहचान कराने वाले सीरियल नंबर हैं।

हिसाब का दूसरा पहलू 11 मार्च 2026 को राज्यसभा में आया। संजय कुमार ने सदन को बताया कि 24 लाख से ज़्यादा साइबर ठगी की शिकायतों में ₹8,600 करोड़ से ज़्यादा (लगभग ₹86 अरब) बचाए गए और 21,000 से ज़्यादा आरोपी गिरफ़्तार हुए, News on AIR के अनुसार। उस उत्तर की ख़बरों में “बचाए गए” शब्द इस्तेमाल हुआ है और यह नहीं बताया गया कि पीड़ितों को कितना लौटाया जा चुका है।

उसी उत्तर में दो और आँकड़े थे। 27 लाख से ज़्यादा म्यूल खाते, यानी वे बैंक खाते जो चोरी का पैसा लेकर आगे बढ़ाते हैं, भागीदार संस्थाओं के साथ साझा किए गए थे, और ₹9,518 करोड़ के लेन-देन रोके गए थे।

दोनों आँकड़ों को एक-दूसरे से घटाया नहीं जा सकता। ₹8,600 करोड़ शिकायतों का चालू कुल जोड़ है, जबकि ₹22,845.73 करोड़ एक कैलेंडर वर्ष का है।

कॉल कहाँ से आते हैं

लोकसभा के उत्तर से एक साल पहले PTI ने भारतीय साइबर अपराध समन्वय केंद्र, यानी I4C, के आँकड़े छापे थे। I4C गृह मंत्रालय की वह इकाई है जो इन मामलों पर नज़र रखती है। 2024 के पहले नौ महीनों में पीड़ितों ने ₹11,333 करोड़ गँवाने की शिकायत की। PTI ने लिखा कि उस साल की लगभग 12 लाख शिकायतों में से लगभग आधी दक्षिण-पूर्व एशिया में बैठे ठगों के ख़िलाफ़ थीं, और 45 प्रतिशत कंबोडिया, म्यांमार और लाओस की ओर इशारा करती थीं। ये शिकायतों के हिस्से हैं। तीनों देशों के लिए रुपये का कोई कुल जोड़ नहीं बताया गया।

ज़्यादातर पैसा तीन तरह की ठगी का था। शेयर ट्रेडिंग ठगी 2,28,094 शिकायतों में ₹4,636 करोड़ की रही। निवेश ठगी 1,00,360 शिकायतों में ₹3,216 करोड़ की रही। “डिजिटल अरेस्ट” ठगी, जिसमें फ़ोन करने वाले पुलिस या सीमा शुल्क अधिकारी बनकर पीड़ितों से कहते हैं कि उनकी जाँच चल रही है, 63,481 शिकायतों में ₹1,616 करोड़ की रही। तीनों मिलाकर ₹11,333 करोड़ में से ₹9,468 करोड़ होते हैं।

I4C ने लगभग 4.5 लाख म्यूल खाते भी बताए, यानी चोरी का पैसा लेने और आगे भेजने के लिए खोले या उधार दिए गए बैंक खाते, और 17,000 WhatsApp खाते, जिन्हें दक्षिण-पूर्व एशिया के साइबर अपराधियों से जुड़ा बताकर ब्लॉक किया गया।

तब तक चेतावनी सार्वजनिक हो चुकी थी। 22 मई 2024 को I4C के मुख्य कार्यकारी अधिकारी राजेश कुमार ने News on AIR से कहा कि साइबर अपराध के ये मामले “कंबोडिया, म्यांमार और लाओस जैसे देशों से रिपोर्ट हो रहे हैं।“

कंपाउंडों के भीतर

यही तीन देश विदेश मंत्रालय के आँकड़ों में भी आते हैं। 6 फ़रवरी 2026 को रिपोर्ट हुए संसद के एक उत्तर में सरकार ने कहा कि 2022 से 2025 के बीच साइबर अपराध के कंपाउंडों से 6,998 भारतीयों को छुड़ाया गया: कंबोडिया से 2,533, लाओस से 2,297 और म्यांमार से 2,168।

विदेश राज्य मंत्री कीर्ति वर्धन सिंह ने कहा कि सरकार यह नहीं बता सकती कि और कितने लोग वहाँ बचे हैं। उन्होंने कहा, “इन देशों में फँसे भारतीय नागरिकों की सही संख्या ज्ञात नहीं है, क्योंकि भारतीय नागरिक धोखाधड़ी वाले या बेईमान भर्ती एजेंटों/एजेंसियों के ज़रिए और अवैध रास्तों से अपनी इच्छा से इन स्कैम केंद्रों तक पहुँचते हैं।”

उत्तर का सार देते हुए Scroll ने सरकार का यह ब्योरा बताया कि ऐसा कैसे होता है। संदिग्ध कंपनियाँ फ़र्ज़ी नौकरियों का विज्ञापन देती हैं। भर्ती एजेंट लोगों को अवैध रास्तों से ले जाते हैं। वहाँ पहुँचने पर कामगारों से साइबर ठगी और दूसरे अपराध करवाए जाते हैं। निशाने भारत में बैठे लोग होते हैं। मंत्रालय ने नागरिकों को कंबोडिया और लाओस में फ़र्ज़ी नौकरी के प्रस्तावों के प्रति आगाह किया है। उसने संसद को बताया कि उसने तीनों सरकारों के साथ तस्करी का मुद्दा उठाया है।

वापसी की सबसे बड़ी एकल लहर 2025 में आई। द ट्रिब्यून के अनुसार, उस साल फ़रवरी में थाईलैंड, म्यांमार और चीन के एक संयुक्त अभियान ने KK Park पर छापा मारा, जो म्यांमार के म्यावदी इलाक़े का एक कंपाउंड है और जिसे अख़बार ने दक्षिण-पूर्व एशिया का सबसे बड़ा साइबर स्कैम अड्डा कहा। थाई अधिकारियों ने पीड़ितों को Mae Sot हवाई अड्डे पहुँचाया, और बैंकॉक और यांगून के भारतीय दूतावासों के ज़रिए की गई व्यवस्था से भारतीय वायुसेना की विशेष उड़ानें मार्च में 500 से ज़्यादा भारतीयों को घर लाईं। द ट्रिब्यून ने 2025 में ऐसे केंद्रों से छुड़ाए गए 1,500 से ज़्यादा भारतीय गिने, जो पंजाब, हरियाणा, उत्तर प्रदेश, राजस्थान, तेलंगाना और दूसरे राज्यों से थे।

छुड़ाए गए एक व्यक्ति ने अख़बार को बताया कि उसे और एक साथी को डेटा-एंट्री की नौकरी के लिए बैंकॉक भेजा गया, फिर म्यांमार सीमा पर रोक लिया गया और स्कैम का काम करवाया गया।

इन उड़ानों में से एक का ब्योरा विस्तार से दर्ज है। इंडिया टीवी ने 11 मार्च 2025 को बताया कि म्यांमार में बंधक रखे गए 283 भारतीयों को थाईलैंड के Mae Sot से भारतीय वायुसेना के विमान से स्वदेश लाया गया। विदेश मंत्रालय ने कहा कि उन्हें “धोखे वाले नौकरी के प्रस्तावों के ज़रिए म्यांमार समेत दक्षिण-पूर्व एशियाई देशों में फुसलाकर ले जाया गया था।”

ये आपराधिक अभियान हैं, जिनमें आंशिक रूप से तस्करी करके लाए गए लोग काम करते हैं। न मंत्रालय का उत्तर और न उस पर आई ख़बरें इन कंपाउंडों को किसी सरकार द्वारा चलाया हुआ बताती हैं। रिकॉर्ड की भाषा ठगी, भर्ती एजेंटों और अवैध रास्तों की है।

उत्तर कोरिया, और एक रिएक्टर का दफ़्तर नेटवर्क

राज्य की चोरी अलग मामला है। 23 सितंबर 2019 को Kaspersky के Konstantin Zykov ने DTrack नाम के डेटा चुराने वाले प्रोग्राम का विश्लेषण प्रकाशित किया। Kaspersky ने भारत में DTrack की गतिविधि दर्ज की: “हम उन्हें भारत में देखते हैं, जहाँ वे वित्तीय संस्थानों और शोध केंद्रों पर हमला कर रहे हैं।” निशानों के नाम नहीं बताए गए। उसे 2013 के DarkSeoul अभियान से भी समानताएँ मिलीं, जिसका श्रेय उसने Lazarus Group को दिया, जो हैकिंग का वह अभियान है जिसे व्यापक रूप से उत्तर कोरिया से जोड़ा जाता है। Zykov ने लिखा, “अब हम Lazarus समूह के हथियारख़ाने में एक और परिवार जोड़ सकते हैं: ATMDtrack और Dtrack।” यह कोड की समानताओं पर आधारित एक सुरक्षा कंपनी का निष्कर्ष है, भारत सरकार का निष्कर्ष नहीं।

DTrack तमिलनाडु के कुडनकुलम परमाणु ऊर्जा संयंत्र में फिर सामने आया। आउटलुक इंडिया के अनुसार, 29 अक्टूबर 2019 को NPCIL के एक सूचना अधिकारी ने कहा कि संयंत्र के बारे में ग़लत जानकारी फैलाई जा रही है, और निगम ने साइबर हमले से इनकार किया। अगले दिन, 30 अक्टूबर को, न्यूक्लियर पावर कॉर्पोरेशन ऑफ़ इंडिया लिमिटेड ने पुष्टि की कि संयंत्र के प्रशासनिक नेटवर्क पर एक संक्रमित कंप्यूटर था, जो उसके अनुसार “क्रिटिकल इंटरनल नेटवर्क” से अलग था। घटना की प्रतिक्रिया का समन्वय करने वाली राष्ट्रीय एजेंसी CERT-In ने अधिकारियों को 4 सितंबर को सचेत किया था।

औद्योगिक नियंत्रण प्रणालियों में विशेषज्ञता रखने वाली कंपनी Dragos ने 1 नवंबर 2019 को अपना आकलन प्रकाशित किया। उसने मैलवेयर की पहचान DTrack के रूप में की और पाया कि उसमें “कोई ICS-विशिष्ट घटक नहीं थे जो किसी नियंत्रण प्रणाली से संपर्क करते।” उसका निष्कर्ष था कि “सारा उचित विश्लेषण यही बताता है कि इस संक्रमण के कारण परमाणु संचालन या सुरक्षा में कोई सेंध नहीं लगी।” किसी भी स्रोत ने कुडनकुलम के संक्रमण को ख़ुद किसी सरकार के नाम नहीं लिखा है।

सबसे ज़्यादा ध्यान खींचने वाली चोरी जुलाई 2024 में हुई। भारतीय क्रिप्टो एक्सचेंज WazirX ने 18 जुलाई को घोषणा की कि उसके एक multisig वॉलेट से, जिसमें पैसा हिलाने के लिए कई मंज़ूरियाँ चाहिए होती हैं, लगभग $230 मिलियन निकाल लिए गए। ब्लॉकचेन विश्लेषण कंपनी Elliptic ने नुक़सान $235 मिलियन बताया। उसने चोरी का श्रेय “ब्लॉकचेन डेटा के आधार पर उत्तर कोरिया से जुड़े हैकरों” को दिया। द रिकॉर्ड ने शोधकर्ता Zach Xu को उद्धृत किया, जिन्होंने कहा कि हमले में “Lazarus Group के हमले के संभावित निशान” थे। WazirX ने सारी निकासी रोक दी। द रिकॉर्ड ने दर्ज किया कि एक्सचेंज ने जून 2024 में लगभग $500 मिलियन का रिज़र्व बताया था, जिससे चोरी उस आँकड़े का क़रीब 46 प्रतिशत बैठती है (हमारा हिसाब), और यह भी कि संयुक्त राष्ट्र के विशेषज्ञों ने छह साल में उत्तर कोरियाई हैकरों द्वारा कथित तौर पर किए गए 58 साइबर हमले दर्ज किए थे, जिनकी क़ीमत लगभग $3 बिलियन थी। हमारी देखी हुई सामग्री में भारत सरकार द्वारा WazirX की चोरी का कोई श्रेय-निर्धारण दर्ज नहीं है।

अस्पताल और बैंक

रैंसमवेयर गिरोह अपराधी हैं। वे निशाने इस आधार पर चुनते हैं कि पीड़ित भुगतान करेगा या नहीं। 23 नवंबर 2022 को दिल्ली के अखिल भारतीय आयुर्विज्ञान संस्थान, यानी AIIMS, के सर्वर ठप हो गए। सरकार ने 16 दिसंबर को राज्यसभा को बताया कि पाँच सर्वर प्रभावित हुए और अनुमानित 1.3 टेराबाइट डेटा एन्क्रिप्ट हो गया, द वायर ने रिपोर्ट किया। AIIMS दिल्ली में 100 सर्वर हैं, 40 भौतिक और 60 वर्चुअल। प्रभावित पाँचों भौतिक थे। द ट्रिब्यून ने बताया कि उनका डेटा बाद में वापस पा लिया गया।

14 दिसंबर को स्वास्थ्य मंत्रालय के एक सूत्र ने द ट्रिब्यून को वह पंक्ति दी जो फैल गई: “AIIMS दिल्ली सर्वर पर हमला चीनियों ने किया, FIR के ब्योरे के अनुसार हमला चीन से शुरू हुआ था।” इस मामले को जबरन वसूली और साइबर आतंकवाद के लिए दर्ज करने वाली दिल्ली पुलिस की इकाई ने बाद में CBI को लिखकर दो ईमेल खातों के IP पतों के लिए Interpol की मदद माँगी, जो इंडिया टीवी के अनुसार चीन के हेनान प्रांत और हांगकांग में थे। सर्वर सुरक्षा के ज़िम्मेदार दो विश्लेषक निलंबित किए गए। इंडिया टीवी के अनुसार जाँच में NIA, CERT-In, इंटेलिजेंस ब्यूरो, CBI और राष्ट्रीय फ़ोरेंसिक विज्ञान विश्वविद्यालय शामिल हुए। IP पता यह दिखाता है कि कनेक्शन कहाँ से आया। यह नहीं दिखाता कि उसके पीछे कौन था, और हमारी देखी हुई सामग्री में कोई औपचारिक श्रेय-निर्धारण दर्ज नहीं है। बिजली ग्रिड में चीनी घुसपैठ एक अलग मामला है, जिसके सबूत भी अलग हैं।

31 जुलाई 2024 को निशाना एक बैंक विक्रेता था। C-Edge Technologies, जो TCS और भारतीय स्टेट बैंक का संयुक्त उद्यम है, छोटे बैंकों को तकनीक देती है। राष्ट्रीय खुदरा भुगतान प्रणालियाँ चलाने वाली संस्था NPCI ने “संभावित रैंसमवेयर हमले के मद्देनज़र” C-Edge को “अस्थायी रूप से अलग” कर दिया। इंडिया टीवी ने गिना कि लगभग 300 छोटे स्थानीय बैंक कट गए। उसने नियामक सूत्रों के हवाले से कहा कि देश के भुगतान की मात्रा का केवल लगभग 0.5 प्रतिशत प्रभावित होगा।

CloudSEK ने घुसपैठ का रास्ता Brontoo Technology Solutions के एक ग़लत ढंग से कॉन्फ़िगर किए गए Jenkins सर्वर तक पहुँचाया, जो C-Edge की एक साझेदार है, और रैंसमवेयर का नाम RansomEXX बताया। ख़ामी CVE-2024-23897 थी। NPCI ने जल्द ही संपर्क बहाल कर दिया। 1 अगस्त को उसने कहा कि सहकारी और क्षेत्रीय ग्रामीण बैंकों की सेवाएँ बहाल हो गई हैं, और एक स्वतंत्र फ़ोरेंसिक ऑडिटर ने पाया कि असर C-Edge के अपने डेटा सेंटर सिस्टम तक सीमित था।

लीक, और एक ठेकेदार का सर्वर

कुछ घुसपैठें कुछ बंद नहीं करतीं, सिर्फ़ डेटा की नक़ल करती हैं। अक्टूबर 2024 में द रजिस्टर ने रिपोर्ट किया कि Star Health के 3 करोड़ से ज़्यादा ग्राहक रिकॉर्ड दो Telegram चैटबॉट के ज़रिए पेश किए जा रहे थे। एक क्लेम दस्तावेज़ों की PDF देता था। दूसरा उपयोगकर्ताओं को पूरे सेट में से 20 तक नमूने माँगने देता था।

बीमा कंपनी का पहला आकलन था कि “कोई व्यापक सेंधमारी नहीं” हुई है। 24 सितंबर को उसने Telegram, Cloudflare और हैकर पर मुक़दमा किया, और अदालत ने उसी दिन चुराए गए डेटा के प्रकाशन पर रोक लगाने वाला अंतरिम निषेधाज्ञा आदेश दे दिया। लीक सामग्री में ग्राहकों के राष्ट्रीय पहचान पत्रों की तस्वीरें शामिल थीं।

हैकर ने, जो xenZen नाम इस्तेमाल करता था, दावा किया कि Star Health के मुख्य सूचना सुरक्षा अधिकारी ने उसे डेटा बेचा था। Star Health ने “कुछ डेटा तक अनधिकृत और अवैध पहुँच” स्वीकार की और कहा कि कामकाज पर असर नहीं पड़ा। उसने अपने सुरक्षा प्रमुख का बचाव किया, यह कहते हुए कि उन्हें किसी ग़लत काम का दोषी नहीं पाया गया है, और अनुरोध किया कि उनकी निजता का सम्मान किया जाए।

अप्रैल 2024 में एक हैकर ने लगभग 75 लाख boAt ग्राहक रिकॉर्ड लीक करने का दावा किया। बिज़नेस स्टैंडर्ड ने, फ़ोर्ब्स इंडिया का हवाला देते हुए, बताया कि डेटा में नाम, पते और संपर्क नंबर थे। boAt ने कहा कि वह दावों की जाँच कर रही है।

सबसे ताज़ा मामला फिर कुडनकुलम से जुड़ा है। द वीक ने 16 जुलाई 2026 को बताया कि World Leaks समूह ने लगभग 19,000 फ़ाइलें, कुल 14.3 GB, प्रकाशित कीं, और कहा कि वे संयंत्र की एक ठेकेदार Reliance Infrastructure से आई थीं। Reliance Group ने डेटा-सेंटर कंपनी Yotta द्वारा संचालित एक सर्वर पर रखे डेटा से जुड़े “आंशिक उल्लंघन” को स्वीकार किया। NPCIL ने कहा कि सामग्री “केवल पारंपरिक बैलेंस ऑफ़ प्लांट (BoP) की साझा सेवा सुविधाओं से जुड़ी है और परमाणु सुरक्षा या परमाणु संरक्षा से जुड़ी किसी प्रणाली से उसका संबंध नहीं है।” Yotta ने कहा कि उसने मई में Reliance के सर्वर पर संदिग्ध गतिविधि पकड़ी, संदिग्ध रैंसमवेयर को चलने से रोका और बाद में जाँच में मदद की। फ़ाइलें 11 जून से समूह की डार्क-वेब साइट पर पड़ी हैं। द वीक ने जोड़ा कि किसी स्वतंत्र पक्ष ने दस्तावेज़ों की पुष्टि नहीं की थी।

29.44 लाख घटनाएँ

CERT-In हर साल उन घटनाओं की गिनती प्रकाशित करता है जिन्हें वह निपटाता है। 2021 की गिनती 14,02,809 थी। 2022 में यह 13,91,457 थी, यानी थोड़ी गिरावट। द ट्रिब्यून ने दोनों आँकड़े फ़रवरी 2023 में रिपोर्ट किए, जो सरकार द्वारा राज्यसभा को दिए गए आँकड़ों से लिए गए थे।

2022 के बाद गिनती हर साल बढ़ी। इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी राज्य मंत्री जितिन प्रसाद के एक लिखित उत्तर की रिपोर्ट देते हुए TechObserver ने 2023 के लिए 15.92 लाख, 2024 के लिए 20.41 लाख और 2025 के लिए 29.44 लाख बताए, यानी दो साल में 85 प्रतिशत की बढ़ोतरी। 23 जनवरी 2026 को सरकार के अपने वर्षांत सारांश ने 2025 के लिए यही 29.44 लाख का आँकड़ा दिया।

सरकार के जनवरी 2026 के सारांश में गिनाया गया कि CERT-In ने 2025 में इनके साथ क्या किया: 1,530 अलर्ट, 390 कमज़ोरी नोट, महत्वपूर्ण क्षेत्रों में 122 साइबर सुरक्षा अभ्यास, और संक्रमित कंप्यूटरों से बॉटनेट मैलवेयर हटाने वाले उसके औज़ारों के 89.55 लाख डाउनलोड।

“घटनाएँ” शब्द में बहुत कुछ आ जाता है। संगठनों को जिन घटना प्रकारों की रिपोर्ट करनी होती है, CERT-In की उस सूची में असली सेंधमारी के साथ महत्वपूर्ण प्रणालियों की लक्षित स्कैनिंग, फ़िशिंग, बिगाड़ी गई वेबसाइटें और डेटा लीक भी शामिल हैं। बढ़ोतरी का एक हिस्सा बेहतर पहचान और ज़्यादा रिपोर्टिंग से भी आ सकता है, और हमारे पढ़े किसी भी स्रोत ने बढ़ोतरी को ज़्यादा हमलों और ज़्यादा गिनती के बीच नहीं बाँटा है।

रिपोर्ट करने के लिए छह घंटे

इसके लिए भारत की नियम-पुस्तिका का बड़ा हिस्सा 28 अप्रैल 2022 के एक ही निर्देश-समूह में आया। CERT-In ने सेवा प्रदाताओं, मध्यस्थों, डेटा सेंटरों, कंपनियों और सरकारी निकायों को आदेश दिया कि सूचीबद्ध घटनाओं की रिपोर्ट “ऐसी घटनाओं को नोटिस करने या उनकी जानकारी में लाए जाने के 6 घंटे के भीतर” दें। उन्हें अपनी ICT प्रणालियों के लॉग भारतीय अधिकार क्षेत्र के भीतर लगातार 180 दिन तक रखने होंगे। डेटा सेंटरों, क्लाउड प्रदाताओं और VPN सेवाओं को ग्राहक का ब्योरा, जिसमें सत्यापित नाम और सेवा लेने की अवधि शामिल है, ग्राहक के जाने के बाद 5 साल या उससे ज़्यादा रखना होगा। निर्देश 20 तरह की रिपोर्ट योग्य घटनाएँ गिनाते हैं, फ़िशिंग और डेटा लीक से लेकर आर्टिफ़िशियल इंटेलिजेंस और मशीन लर्निंग का इस्तेमाल करने वाली प्रणालियों पर हमलों तक। वे जारी होने के 60 दिन बाद लागू हुए, और पाठ चेतावनी देता है कि पालन न करने पर सूचना प्रौद्योगिकी अधिनियम, 2000 की धारा 70B की उप-धारा (7) के तहत दंडात्मक कार्रवाई हो सकती है।

डिजिटल व्यक्तिगत डेटा संरक्षण नियम 14 नवंबर 2025 को अधिसूचित हुए, और संगठनों के लिए कर्तव्यों का पूरा समूह 18 महीनों में चरणबद्ध ढंग से लागू होगा, जो लगभग मई 2027 तक चलता है। अधिनियम की दंड-सूची में उचित सुरक्षा उपाय न रखने पर ₹250 करोड़ तक और डेटा उल्लंघन की सूचना न देने पर ₹200 करोड़ तक का जुर्माना हो सकता है।

सैन्य पक्ष पर, ANI ने 30 अप्रैल 2019 को रिपोर्ट किया कि भारत को जल्द ही एक रक्षा साइबर एजेंसी मिलने वाली है, और ऑब्ज़र्वर रिसर्च फ़ाउंडेशन उसके गठन को उसी साल का बताता है। 7 अगस्त 2025 को चीफ़ ऑफ़ डिफ़ेंस स्टाफ़ जनरल अनिल चौहान ने साइबरस्पेस ऑपरेशंस के लिए संयुक्त सिद्धांत जारी किया, जिसे प्रेस सूचना ब्यूरो ने “राष्ट्रीय साइबरस्पेस हितों की रक्षा का एक एकीकृत तरीक़ा, जो आक्रामक और रक्षात्मक साइबर क्षमताओं को जोड़ता है और तीनों सेनाओं में समन्वित अभियान संभव बनाता है” बताया।

वह सिद्धांत सशस्त्र बलों पर लागू होता है, और ऑब्ज़र्वर रिसर्च फ़ाउंडेशन के समीर पाटिल ने इशारा किया कि उसके दायरे से बाहर क्या है। उन्होंने 7 मई 2026 को लिखा कि सिद्धांत नागरिक महत्वपूर्ण बुनियादी ढाँचे को शामिल नहीं करता, जिसे राष्ट्रीय साइबर सुरक्षा रणनीति को कवर करना था। वह रणनीति “2020 से तैयारी में है,” पाटिल ने लिखा, और “अभी जारी होनी बाकी है।”