चीनशी जोडलेल्या एका गटाने भारताच्या पाच प्रादेशिक ग्रिड नियंत्रण केंद्रांपैकी चार केंद्रांना लक्ष्य केले. मुंबईतील दिवे त्याने घालवले, हे कोणीही सिद्ध केलेले नाही.

सोमवार १२ ऑक्टोबर २०२० रोजी, सकाळी १० वाजल्यानंतर थोड्याच वेळाने, संपूर्ण मुंबईतील दिवे गेले. ग्रिड बिघाडामुळे सुमारे २ कोटी लोकसंख्येचे शहर आणि आजूबाजूच्या उपनगरांचा वीजपुरवठा खंडित झाला, गल्फ न्यूजनुसार तेथे दोन वर्षांहून अधिक काळात झालेला अशा प्रकारचा हा पहिलाच ब्लॅकआउट होता. उपनगरी गाड्या रुळांवरच थांबल्या. मध्य रेल्वेच्या पहिल्या गाड्या १०:५५ वाजता पुन्हा सुरू झाल्या. नॅशनल स्टॉक एक्स्चेंज, बॉम्बे स्टॉक एक्स्चेंज आणि आंतरराष्ट्रीय विमानतळ सुरू राहिले, आणि मुख्यमंत्री उद्धव ठाकरे यांनी तात्काळ चौकशीचे आदेश दिले आणि रुग्णालयांना, ज्यांपैकी अनेकांत कोविड-१९ चे रुग्ण होते, वीजपुरवठा सुरू ठेवण्यास अधिकाऱ्यांना सांगितले. टाटा पॉवरने सांगितले की त्यांनी दुपारी १२ च्या सुमारास शहराचा पुरवठा पूर्ववत केला.

पहिली स्पष्टीकरणे सामान्य स्वरूपाची होती. सुरुवातीच्या वृत्तांनी “ठाणे जिल्ह्यातील पडघा येथील लोड डिस्पॅच सेंटरमध्ये ट्रिपिंग” झाल्याकडे बोट दाखवले, असे TechTarget ने नंतर त्यांचा सारांश दिला, आणि लोड डिस्पॅच सेंटर म्हणजे एखाद्या परिसरात विजेचा पुरवठा आणि मागणी यांचा समतोल राखणारी नियंत्रण खोली. गल्फ न्यूजने वृत्त दिले की ऊर्जामंत्र्यांनी देखभालीच्या कामादरम्यान “तांत्रिक समस्यां”ना जबाबदार धरले.

साडेचार महिन्यांनंतर, २८ फेब्रुवारी २०२१ रोजी, Recorded Future नावाच्या एका अमेरिकी कंपनीने “China-linked Group RedEcho Targets the Indian Power Sector Amid Heightened Border Tensions” या शीर्षकाचा अहवाल दिनांकित केला. काही दिवसांतच मुंबई आणि दिल्लीतील मंत्री त्याचा अर्थ काय, याबद्दल जनतेला परस्परविरोधी उत्तरे देत होते.

दहा लक्ष्ये आणि एक बॅकडोअर

Recorded Future च्या संशोधन शाखेने, Insikt Group ने, सांगितले की त्यांनी एका सुसंगत मोहिमेत १० वेगवेगळ्या भारतीय वीज क्षेत्रातील संस्थांना लक्ष्य म्हणून ओळखले. त्यापैकी चार प्रादेशिक लोड डिस्पॅच सेंटर होती, म्हणजे देशाचा ग्रिड प्रदेशानुसार चालवणाऱ्या पाच नियंत्रण खोल्यांपैकी चार. दोन भारतीय बंदरे होती. अहवालाने कोणत्याही बळीचे नाव दिले नाही.

कंपनीचा पुरावा नेटवर्क ट्रॅफिक होता. त्यांना भारतातील महत्त्वाच्या पायाभूत सुविधा संस्थांचे इंटरनेट पत्ते अनेक महिन्यांत RedEcho असे नाव दिलेल्या गटाने वापरलेल्या सर्व्हरच्या एका विशिष्ट संचाशी संपर्क साधताना दिसले. Recorded Future ने सांगितले की या पद्धतीवरून ती एक लक्ष्यित मोहीम असल्याचे दिसते, आणि त्यांच्या माहितीत व्यापक लक्ष्यीकरणाची फारशी चिन्हे नव्हती. हे सर्व्हर ShadowPad या बॅकडोअर प्रोग्रामचे कमांड सर्व्हर होते, आणि बॅकडोअर म्हणजे संगणकात शिरण्याचा एक गुप्त मार्ग, ज्यातून हल्लेखोर त्याला सूचना पाठवू शकतो. अहवालानुसार ShadowPad “किमान ५ वेगवेगळ्या चिनी गटांकडून वापरले जाते.”

कंपनीने RedEcho चे श्रेय कंपनीने त्यांच्यापैकी कोणत्याही एका गटाला दिले नाही. APT41 (ज्याला Barium असेही म्हणतात) आणि Tonto Team या दोन चिनी गटांशी त्यांना “मजबूत पायाभूत सुविधा आणि बळी-निवडीच्या पद्धतीतील साम्य” आढळले (इंग्रजीत victimology, म्हणजे कोणाला लक्ष्य केले जाते याचा नमुना). Insikt Group ने सांगितले की या हालचालीचे श्रेय दोन्हीपैकी एकाला ठामपणे देण्याइतका पुरेसा पुरावा आहे असे त्यांना वाटत नाही. त्यामुळे “चीनशी जोडलेला” हे कंपनीचेच स्वतःचे लेबल आहे.

वेळ हा अहवालातील युक्तिवादाचा भाग होता. १५ जून २०२० रोजी, दोन्ही सैन्यांचे सैनिक लडाखमधील गलवान खोऱ्यात लढले होते. अमेरिकी काँग्रेसने स्थापन केलेल्या US-China Economic and Security Review Commission ने किमान २० भारतीय मृत्यू नोंदवले आहेत आणि १९७५ नंतर प्रथमच त्या सीमेवर दोन्हीपैकी कोणत्याही बाजूचे सैनिक मरण पावले, असे म्हटले आहे. Recorded Future ने २०२० च्या मध्यापासून या हालचालीच्या पायाभूत सुविधांमध्ये तीव्र वाढ पाहिली.

हेतूबद्दलचे त्याचे मूल्यांकन असे आहे: “भारतीय महत्त्वाच्या पायाभूत सुविधांना लक्ष्य करण्यातून आर्थिक हेरगिरीच्या मर्यादित संधी मिळतात; मात्र चिनी धोरणात्मक उद्दिष्टांना पाठबळ देण्यासाठी नेटवर्क प्रवेशाच्या संभाव्य प्री-पोझिशनिंगबद्दल त्या महत्त्वपूर्ण चिंता निर्माण करतात, असे आम्ही मूल्यांकन करतो.”

प्री-पोझिशनिंग म्हणजे एखाद्या यंत्रणेत शिरणे आणि तिथेच राहणे, जेणेकरून कधी गरज पडलीच तर प्रवेश तयार असेल. अहवालाने त्याची गरज कशासाठी पडू शकते ते मांडले: “ऊर्जा मालमत्तांवरील प्री-पोझिशनिंग अनेक संभाव्य परिणामांना पाठबळ देऊ शकते, ज्यात वाढलेल्या द्विपक्षीय तणावाच्या काळात भू-सामरिक संकेत देणे, प्रभाव मोहिमांना साथ देणे, किंवा प्रत्यक्ष लष्करी चढाईची पूर्वतयारी म्हणून काम करणे यांचा समावेश आहे.” Recorded Future ने असेही सांगितले की प्रकाशनापूर्वी त्यांनी संबंधित भारतीय सरकारी विभागांना कळवले, जेणेकरून बाधित संस्था चौकशी करू शकतील.

Recorded Future काय सांगणार नव्हती

अहवालाने ब्लॅकआउटचे कारण शोधल्याचा दावा केला नाही. TechTarget ने कंपनीची भूमिका उद्धृत केली: “सध्या आम्ही हे निश्चित करू शकत नाही की RedEcho हा गट किंवा ही मोहीम ऑक्टोबर २०२० मध्ये मुंबई परिसरात झालेल्या वीज खंडिततेशी जोडलेली आहे.”

Recorded Future चे मुख्य कार्यकारी अधिकारी क्रिस्तोफर अहलबर्ग यांना त्याच अहवालात उद्धृत केले गेले. “ही हालचाल नागरी महत्त्वाच्या पायाभूत सुविधा धोक्यात आणते आणि ती केली जाऊ नये,” असे ते म्हणाले.

भारतातील आणि परदेशातील वृत्तपत्रांनी एका दिवसातच दोन्ही बातम्या शेजारी शेजारी मांडल्या. The Quint च्या वृत्तांकनाच्या नोंदीनुसार महाराष्ट्र सरकारने त्या अभ्यासाची दखल घेतली आणि त्यांच्या सायबर विभागाने संभाव्य घातपाताकडे निर्देश करणारे निष्कर्ष सादर केले होते. राज्याचे ऊर्जामंत्री नितीन राऊत यांनी सांगितले की महाराष्ट्राने या वीज खंडिततेची चौकशी करण्यासाठी तीन समित्या स्थापन केल्या आहेत, आणि हे केवळ तांत्रिक बिघाडापेक्षा अधिक काहीतरी असल्याचे आपल्याला वाटते, असे त्यांनी पत्रकारांना सांगितले.

एक तपशील सहज नजरेतून सुटतो. Business Today ने वृत्त दिले की राज्याच्या सायबर विभागाने संशयित मालवेअरचा माग पडघा येथील राज्य लोड डिस्पॅच सेंटरपर्यंत काढला, म्हणजे खंडिततेच्या सुरुवातीच्या वृत्तांनी नाव घेतले होते त्याच ठिकाणापर्यंत. पडघा हे राज्याचे केंद्र आहे. Recorded Future च्या अहवालातील केंद्रे प्रादेशिक होती, आणि ती कोणत्या संस्था होत्या ते अहवालाने सांगितले नाही.

मुंबई म्हणाली घातपात, दिल्ली म्हणाली मानवी चूक

१ मार्च २०२१ रोजी, महाराष्ट्राचे गृहमंत्री अनिल देशमुख यांनी पत्रकारांना सांगितले की राज्याच्या सायबर सेलच्या प्राथमिक अहवालानुसार ही वीज खंडितता सायबर घातपात असू शकते. त्यांनी वर्णन केल्याप्रमाणे, अहवालात राज्याच्या वीज कंपनीच्या सर्व्हरवर १४ ट्रोजन हॉर्स (निरुपद्रवी सॉफ्टवेअरचा आव आणणारे प्रोग्राम), बाहेरच्या सर्व्हरवरून त्यांच्यावर हलवला गेला असू शकणारा ८ GB डेटा, आणि काळ्या यादीतील IP पत्त्यावरून लॉगिनचा एक प्रयत्न आढळला. देशमुख यांनी कोणत्याही देशाचे नाव घेतले नाही.

दिल्लीत, केंद्रीय वीजमंत्री आर.के. सिंग यांनी काही दिवसांतच वेगळे वर्णन दिले. फॅक्ट-चेकिंग साइट BOOM ने त्यांचे शब्द नोंदवले. “दोन पथकांनी वीज खंडिततेची चौकशी केली आणि कळवले की ती मानवी चुकीमुळे झाली, सायबर हल्ल्यामुळे नाही,” असे सिंग म्हणाले. त्यांनी पुढे म्हटले: “त्यापैकी एका पथकाने सादर केले की सायबर हल्ले झाले होते, पण ते मुंबई ग्रिडच्या बिघाडाशी जोडलेले नव्हते.” The Quint ने वृत्त दिले की हे हल्ले चीनने किंवा पाकिस्तानने केले असल्याचा कोणताही पुरावा सरकारकडे नाही, असे ते म्हणाले.

वीज मंत्रालयाने हेही उघड केले की त्याच मालवेअर कुटुंबाबद्दल सरकारला आधी इशारा मिळाला होता. “POSOCO च्या काही नियंत्रण केंद्रांवर Shadow Pad नावाच्या मालवेअरच्या धोक्याबद्दल १९ नोव्हेंबर २०२० रोजी CERT-In कडून ईमेल प्राप्त झाला,” असे मंत्रालयाने म्हटले. CERT-In ही राष्ट्रीय संगणक आपत्कालीन प्रतिसाद चमू आहे. POSOCO ही ग्रिड नियंत्रण खोल्या चालवणारी सरकारी मालकीची कंपनी आहे. ही तारीख ब्लॅकआउटनंतर सुमारे पाच आठवड्यांनी आणि अमेरिकी अहवाल प्रसिद्ध होण्याच्या तीन महिन्यांहून अधिक आधीची आहे.

चीनने आरोप फेटाळला. त्याचे परराष्ट्र मंत्रालयाचे प्रवक्ते वांग वेनबिन यांनी १ मार्च रोजी सांगितले की असे आरोप पुराव्याशिवाय करणे बेजबाबदार आणि दुर्हेतूपूर्ण आहे, आणि चीन कोणत्याही प्रकारच्या सायबर हल्ल्यांना ठामपणे विरोध करतो.

आता तीन भूमिका शेजारी शेजारी उभ्या होत्या. महाराष्ट्राच्या सायबर विभागाने सांगितले की घातपात झाला असू शकतो. केंद्रीय वीज मंत्रालयाने सांगितले की त्याच्या दोन चौकशी पथकांना मानवी चूक आढळली, आणि वेगळ्या घुसखोऱ्या होत्या ज्यांनी बिघाड घडवला नाही. Recorded Future ने सांगितले की कोणताही संबंध ते निश्चित करू शकत नाहीत. १२ ऑक्टोबरच्या खंडिततेचा माग शत्रू घटकाकडे, चिनी असो वा अन्य, नेणारे कोणतेही सार्वजनिक कागदपत्र आम्हाला आढळले नाही, आणि दोन्हीपैकी कोणत्याही पथकाच्या अहवालाची प्रकाशित प्रतही आढळली नाही.

तीन दावे आणि त्यांना काय आधार आहे

तिन्ही भूमिकांना वेगवेगळ्या प्रकारच्या पुराव्याचा आधार आहे. महाराष्ट्राची भूमिका त्याच्या सायबर विभागाने राज्याच्या वीज कंपनीच्याच सर्व्हरवरील सामग्रीचे केलेल्या वाचनावर आधारलेली आहे, जे जनतेपर्यंत मंत्र्याने वाचून दाखवलेल्या आकड्यांच्या यादीच्या स्वरूपात पोहोचले: १४ प्रोग्राम, ८ GB, एक लॉगिन प्रयत्न. सायबर सेलचा संपूर्ण अहवाल आम्ही तपासलेल्या कोणत्याही वृत्तांकनात आला नाही.

केंद्रीय मंत्रालयाची भूमिका दोन चौकशी पथकांवर आधारलेली आहे, ज्यांचे निष्कर्ष त्याने काही वाक्यांत सांगितले. त्यापैकी एक वाक्य मान्य करते की सायबर हल्ले झाले. ते ज्या भागाला नाकारते तो ग्रिड बिघाडाशी असलेला कार्यकारणभाव आहे, आणि कोणतीही घुसखोरी झाली नाही असे म्हणण्यापेक्षा हा दावा अधिक मर्यादित आहे.

Recorded Future ची भूमिका नेटवर्कच्या बाहेरून दिसलेल्या ट्रॅफिकवर आधारलेली आहे. असा डेटा कोणत्या पत्त्यांनी कोणत्या सर्व्हरशी, आणि किती काळ संपर्क साधला हे दाखवतो. मुंबईबद्दल कंपनीचे सार्वजनिक विधान म्हणजे वर उद्धृत केलेले एकच वाक्य आहे, आणि नागरी पायाभूत सुविधांबद्दलची अहलबर्ग यांची टिप्पणी घुसखोऱ्यांनाच उद्देशून होती.

लडाख, २०२२

६ एप्रिल २०२२ रोजी, Recorded Future ने दुसरा अहवाल प्रकाशित केला, यावेळी TAG-38 नावाच्या गटावर, ज्याचे वर्णन त्यांनी संभाव्य चिनी सरकार-पुरस्कृत गट असे केले. लडाखमधील वादग्रस्त सीमेजवळ उत्तर भारतातील किमान सात राज्य लोड डिस्पॅच सेंटर लक्ष्यांमध्ये असल्याचे आढळल्याचे त्यांनी सांगितले. त्या यादीत भारताची राष्ट्रीय आपत्कालीन प्रतिसाद यंत्रणा आणि एका बहुराष्ट्रीय लॉजिस्टिक्स कंपनीची भारतीय उपकंपनी यांचाही समावेश होता.

साधन पुन्हा ShadowPad होते. यावेळी हल्लेखोरांनी त्यांचे कमांड चॅनेल धोक्यात आलेल्या DVR आणि IP कॅमेऱ्यांमधून चालवले, म्हणजे CCTV फुटेज साठवणारी उपकरणे आणि त्यांना चित्र पुरवणारे नेटवर्कशी जोडलेले कॅमेरे. अहवालाने FastReverseProxy नावाच्या साधनाचेही वर्णन केले, जे धोक्यात आलेल्या यंत्राद्वारे ट्रॅफिक पुढे पाठवते. Recorded Future ने लिहिले की “त्याचे श्रेय RedEcho ला देण्यास आम्हाला परवानगी देणारा कोणताही तांत्रिक पुरावा आम्ही ओळखलेला नाही.” त्याने या हालचालीला “भविष्यातील हालचालीसाठी प्री-पोझिशनिंग” म्हटले. कोणतीही वीज खंडितता झाली असा दावा अहवालाने केला नाही.

आर.के. सिंग यांनी गुरुवार ७ एप्रिल रोजी उत्तर दिले, आणि यावेळी त्यांनी स्वतः “चिनी हॅकर्स” हे शब्द वापरले. “चिनी हॅकर्सनी लडाखजवळील वीज वितरण केंद्रांना लक्ष्य करण्याचे दोन प्रयत्न केले, पण ते यशस्वी झाले नाहीत,” असे ते म्हणाले, असे The Quint ने वृत्त दिले. त्यांनी पुढे म्हटले: “अशा सायबर हल्ल्यांचा सामना करण्यासाठी आम्ही आमची संरक्षण यंत्रणा आधीच मजबूत केली आहे.”

दोन्ही वर्णने आकड्याआकड्याने जुळत नाहीत. Recorded Future ने किमान सात केंद्रे नोंदवली, आणि मंत्र्यांनी दोन प्रयत्न मोजले. त्याचा अहवाल लोड डिस्पॅच सेंटरबद्दल होता, म्हणजे पुरवठा आणि मागणीचा समतोल राखणाऱ्या नियंत्रण खोल्या, तर मंत्र्यांनी वितरण केंद्रांबद्दल सांगितले. मंत्र्यांचे विधान लडाखजवळील चिनी प्रयत्नांची सरकारी कबुली म्हणून नोंदीवर आहे, आणि ते प्रयत्न यशस्वी झाले हे नाकारणारे आहे.

आधार, एक वृत्तपत्र आणि एक पोलीस दल

ग्रिड हे अनेक लक्ष्यांपैकी एक होते. सप्टेंबर २०२१ मध्ये, Bloomberg ने Recorded Future च्या आणखी एका गटाबद्दलच्या निष्कर्षावर वृत्त दिले, ज्याला कंपनी TAG-28 म्हणून ट्रॅक करत होती आणि ज्याने Winnti नावाचे मालवेअर कुटुंब वापरले. त्याच्या बळींमध्ये आधार चालवणारे भारतीय विशिष्ट ओळख प्राधिकरण (Unique Identification Authority of India), माध्यम कंपनी Bennett Coleman आणि मध्य प्रदेश पोलीस यांचा समावेश होता.

Bloomberg नुसार, फेब्रुवारी ते ऑगस्ट दरम्यान माध्यम कंपनीतून सुमारे ५०० मेगाबाइट डेटा बाहेर गेला. पोलीस विभागाने सुमारे ५ मेगाबाइट गमावले. UIDAI मधील घुसखोरी याहूनही लहान होती, सुमारे १० मेगाबाइट डाउनलोड आणि ३० अपलोड. Recorded Future ने सांगितले की २०२० च्या संपूर्ण वर्षाच्या तुलनेत २०२१ मध्ये आतापर्यंत भारतीय संस्थांविरुद्ध संशयित सरकार-पुरस्कृत चिनी कारवायांमध्ये २६१ टक्के वाढ त्यांनी पाहिली. Bloomberg ने नमूद केले की चिनी अधिकाऱ्यांनी सरकार-पुरस्कृत हॅकिंगमधील सहभाग सातत्याने नाकारला आहे.

UIDAI चे उत्तर थोडक्यात होते. त्यांनी सांगितले की “वर्णन केलेल्या स्वरूपाच्या भंगा”ची त्यांना माहिती नाही. Bloomberg चे वृत्त Recorded Future च्या निष्कर्षांवर आधारलेले आहे, आणि प्राधिकरणाचा नकार हा त्यात नोंदवलेला एकमेव अधिकृत प्रतिसाद आहे.

बंदी घातलेले अॅप्स, विश्वासार्ह विक्रेते, प्रमाणित कॅमेरे

सीमेवरील संकटाला भारताची पहिली उत्तरे कोणत्याही ग्रिड अहवालाची वाट पाहत थांबली नाहीत. २९ जून २०२० रोजी, गलवाननंतर १४ दिवसांनी, सरकारने IT कायद्याच्या कलम ६९A अंतर्गत TikTok सह ५९ चिनी अॅप्स ब्लॉक केले. मंत्रालयाने सांगितले की वापरकर्त्यांचा डेटा भारताबाहेरील सर्व्हरवर अनधिकृतपणे पाठवणाऱ्या अॅप्सबद्दल त्यांना अहवाल मिळाले होते, आणि ही अॅप्स “भारताचे सार्वभौमत्व आणि अखंडता, भारताचे संरक्षण, राज्याची सुरक्षा आणि सार्वजनिक सुव्यवस्था यांना बाधक” कृत्यांमध्ये गुंतली होती.

दूरसंचार क्षेत्रात, ऑपरेटरांच्या परवान्यांमधील दूरसंचार विभागाची दुरुस्ती १५ जून २०२१ रोजी लागू झाली. त्या तारखेपासून ऑपरेटर फक्त राष्ट्रीय सायबर सुरक्षा समन्वयकाने अधिसूचित केलेल्या “Trusted Sources” कडील उपकरणे बसवू शकत होते, आणि यादीबाहेरील कोणत्याही गोष्टीसाठी विशेष परवानगी लागत होती. MediaNama ने नमूद केले की हा बदल Huawei आणि ZTE सारख्या चिनी विक्रेत्यांना उद्देशून असल्याचे व्यापकपणे समजले गेले. आधीच बसवलेल्या उपकरणांची देखभाल यातून वगळली होती.

कॅमेरे सर्वात शेवटी आले. ९ एप्रिल २०२५ पासून, भारतात विकल्या जाणाऱ्या इंटरनेटशी जोडलेल्या सर्व CCTV उपकरणांना STQC म्हणून ओळखल्या जाणाऱ्या Standardisation Testing and Quality Certification संचालनालयाचे प्रमाणपत्र लागते. या प्रक्रियेत उत्पादकाला सोर्स कोड सोपवावा लागू शकतो, कारखाना तपासणी स्वीकारावी लागू शकते आणि त्याच्या उपकरणांची सरकारी प्रयोगशाळांत चाचणी करून घ्यावी लागू शकते. एका वरिष्ठ अधिकाऱ्याने Reuters ला सांगितले की “चीन हा चिंतेचा एक भाग आहे.” Xiaomi ने वृत्तसंस्थेला सांगितले की भारतीय प्रयोगशाळांनी त्यांच्या चीनस्थित कंत्राटी उत्पादकांकडे अतिरिक्त कागदपत्रे मागितली, आणि भारताशी भूसीमा असलेल्या देशांतील कंपन्यांसाठी “अंतर्गत मार्गदर्शक तत्त्वां”चा हवाला दिला.

Hikvision आणि Dahua या दोन चिनी कॅमेरा निर्मात्यांवर बंदी असल्याचे व्यापकपणे सांगितले जाते. ते अचूक नाही. PTC News ने १ एप्रिल २०२६ रोजी वृत्त दिले की अधिकारी त्यांच्या उपकरणांना आणि चिनी मूळ असलेल्या चिपसेट वापरणाऱ्या उपकरणांना मंजुरी रोखून धरत आहेत, ज्यामुळे कोणताही बंदी आदेश न काढता ही उत्पादने कायदेशीरपणे विकली जाणे थांबते. दोन्हीपैकी कोणत्याही कंपनीवर बंदी घालणारा औपचारिक आदेश आम्हाला आढळला नाही.

२०२६ मध्येही सुरूच

२८ जून २०२६ रोजी, Acronis Threat Research Unit ने भारताविरुद्धच्या एका नव्या मोहिमेचे श्रेय Mustang Panda या चिनी गटाला उच्च खात्रीने दिले. त्याचा आधार म्हणजे Mustang Panda च्या आधीच्या हालचालींशी कार्यपद्धतीत, मालवेअर कोडमध्ये आणि सर्व्हर पायाभूत सुविधांमध्ये असलेले साम्य. लक्ष्ये भारताचे जलविद्युत क्षेत्र आणि तैवानशी सहकार्य करार असलेल्या सरकारी संस्था होती.

आमिष म्हणजे “Hydropower Cooperation Project Proposal.zip” आणि “MOU USI-INDSR TAIWAN.zip” या नावांच्या दोन zip फाइल होत्या. Acronis ने ZOHOMURK असे नाव दिलेल्या मालवेअरने आदेश मिळवण्यासाठी आणि चोरलेला डेटा बाहेर नेण्यासाठी Zoho WorkDrive ही भारतीय सॉफ्टवेअर कंपनी Zoho ची क्लाउड स्टोरेज सेवा वापरली. Acronis ने या सेवेचे वर्णन भारतीय सरकारमध्ये सामान्यपणे वापरली जाणारी असे केले, ज्यामुळे ट्रॅफिक सामान्य दिसते. दुसरे इम्प्लांट, MINIRECON, हे Toneshell नावाच्या मालवेअर कुटुंबातून निघालेले आहे. श्रेय देण्यासाठी Acronis ने नमूद केलेल्या सुगाव्यांमध्ये कोडमधील सातत्यपूर्ण स्पेलिंग चुका होत्या, त्यात “RunOnece” यांचाही समावेश आहे, तसेच Mustang Panda च्या आधी नोंदवलेल्या साधनांशी कोडमधील साम्य.

मे २०२६ मध्ये, The Hacker News ने वृत्त दिले की Trend Micro ने SHADOW-EARTH-053 नावाचा एक समूह ओळखला, जो किमान डिसेंबर २०२४ पासून सक्रिय आहे. भारत त्याच्या लक्ष्यांपैकी एक होता, पाकिस्तान, थायलंड, मलेशिया, म्यानमार, श्रीलंका, तैवान आणि पोलंड यांच्यासह. या गटाने इंटरनेटसमोर असलेल्या Microsoft Exchange आणि IIS सर्व्हरमधील ज्ञात त्रुटींमधून प्रवेश मिळवला आणि web shell लावल्या, म्हणजे हल्लेखोराला सर्व्हरवर दूरस्थ नियंत्रण देणारे छोटे प्रोग्राम, त्यातील एकाचे नाव Godzilla होते. त्यानंतर त्याने ShadowPad उभे केले, तोच बॅकडोअर जो Recorded Future ला २०२१ मध्ये भारताच्या ग्रिडमध्ये आढळला होता.

दूरसंचारही नोंदींत दिसतो, पण कमी निश्चिततेने. फेब्रुवारी २०२५ मध्ये, Recorded Future ने वृत्त दिले की Salt Typhoon या नावाने ओळखल्या जाणाऱ्या गटाच्या एका मोहिमेत “लक्ष्य केलेल्या Cisco उपकरणांपैकी निम्म्याहून अधिक अमेरिका, दक्षिण अमेरिका आणि भारतात होती.” Cybersecurity Dive च्या त्या अहवालाच्या वृत्तात पुष्टी झालेल्या बळींमध्ये कोणत्याही भारतीय दूरसंचार कंपनीचे नाव नाही.

भारत काय सांगणार नाही

वरील जवळजवळ सर्व काही परदेशी सुरक्षा कंपन्यांकडून आलेले आहे, त्यासोबत मंत्र्यांची उत्तरे आहेत. Recorded Future, Trend Micro आणि Acronis त्यांचे निष्कर्ष प्रकाशित करतात. देशातील सर्वात संवेदनशील यंत्रणांचे संरक्षण करण्याची जबाबदारी असलेल्या भारतीय संस्थेने सांगितले आहे की ती तसे करत नाही.

National Critical Information Infrastructure Protection Centre, म्हणजेच NCIIPC, ची निर्मिती IT कायद्याच्या कलम ७०A अंतर्गत १६ जानेवारी २०१४ च्या अधिसूचनेद्वारे झाली आणि ते National Technical Research Organisation च्या अधिपत्याखाली काम करते. संसदेने महत्त्वाच्या पायाभूत सुविधांवरील हल्ल्यांबद्दल विचारले तेव्हा सरकारच्या लेखी उत्तरात या संस्थेची भूमिका मांडली गेली: महत्त्वाच्या पायाभूत सुविधांवरील सायबर सुरक्षा भंगाचे तपशील उघड करणे हे राष्ट्रीय सुरक्षेच्या हिताचे ठरणार नाही.

त्याच उत्तरात अस्तित्वात असलेली यंत्रणा सांगितली आहे. CERT-In ला कायद्याच्या कलम ७०B अंतर्गत सायबर सुरक्षा घटनांना प्रतिसाद देणारी राष्ट्रीय संस्था म्हणून नियुक्त केले आहे. राष्ट्रीय सुरक्षा परिषद सचिवालयात राष्ट्रीय सायबर सुरक्षा समन्वयक असतो, आणि CERT-In द्वारे चालवले जाणारे राष्ट्रीय सायबर समन्वय केंद्र हे भारतीय सायबरस्पेसमध्ये धोक्यांचा शोध घेणारी नियंत्रण खोली म्हणून काम करते. उत्तरात २०२५ च्या केंद्रीय अर्थसंकल्पात सायबर सुरक्षा प्रकल्पांसाठी ₹७८२ कोटींच्या तरतुदीचाही उल्लेख आहे.

हे उत्तर Press Information Bureau ने २६ मार्च २०२५ रोजी प्रकाशित केले.