पैसा, जासुसी, विरोध वा सर्भरको शक्ति चोर्ने लोभ। नेपालकै घटनाबाट बुझौं ह्याकिङको असली मनोविज्ञान, र यही सीपलाई सुरक्षामा लगाउने इथिकल ह्याकरको भूमिका।
2020 को मार्चमा Foodmandu का करिब 50 हजार ग्राहकको नाम, ठेगाना, इमेल र फोन नम्बर इन्टरनेटमा सार्वजनिक भयो। एक महिना पनि बितेको थिएन, इन्टरनेट सेवा प्रदायक Vianet का डेढ लाखभन्दा बढी ग्राहकको विवरण बाहिरियो।
त्यतिबेला धेरैले सोधेका थिए, खाना डेलिभरी गर्ने कम्पनीको डाटा चोरेर ह्याकरलाई के नै फाइदा होला?
प्रश्न जायज हो। तर जवाफ सोचेजस्तो रहस्यमय छैन। हलिउड फिल्ममा देखाइने कालो हुडी लगाएको, चुनौतीका लागि मात्र कोड लेख्ने ह्याकर वास्तविकतामा दुर्लभ हुन्छन्। अधिकांश ह्याकिङ एउटा व्यवसाय हो, जहाँ चोरिएको डाटा, बन्धक बनाइएका फाइल र लुकाएर प्रयोग गरिएको कम्प्युटर सबै बिक्ने सामान हुन्।
सबैभन्दा ठूलो कारण: सिधै पैसा
साइबर सुरक्षा क्षेत्रमा Verizon को वार्षिक Data Breach Investigations Report (DBIR) सबैभन्दा भरपर्दो अध्ययनमध्ये मानिन्छ। यसको 2026 संस्करणले 22 हजारभन्दा बढी पुष्टि भएका डाटा चोरी (कसैको प्रणालीबाट अनधिकृत रूपमा डाटा निकालिएका घटना) विश्लेषण गरेको छ, जुन रिपोर्टको इतिहासमै सबैभन्दा ठूलो नमुना हो। नतिजा स्पष्ट छ: 88% डाटा चोरी आर्थिक फाइदाका लागि गरिएका थिए। बाँकी अधिकांश राज्यसँग जोडिएका समूहले गरेका जासुसी थिए।
पैसा कमाउने बाटो भने फरक-फरक छन्।
पहिलो बाटो डाटा आफैं बेच्नु हो। नाम, फोन नम्बर र इमेल भएको ग्राहक सूची dark web का बजारमा बिक्छ। किन्नेले त्यसलाई फिसिङ (बैंक, वालेट वा कम्पनीको नाममा नक्कली मेसेज पठाएर पासवर्ड वा OTP माग्ने ठगी) का लागि प्रयोग गर्छन्। तपाईंको नाम र हालसालै गरेको अर्डर थाहा भएको ठगको मेसेज जो कोहीलाई पनि विश्वासिलो लाग्छ। यही कारण सानो देखिने ग्राहक डाटा पनि ठगका लागि कामलाग्दो हुन्छ।
अर्को बाटो रेन्समवेयर हो। यसमा ह्याकरले कम्पनीका फाइलहरू इन्क्रिप्ट गरेर (कोडमा ताल्चा लगाएर) खोलिदिन फिरौती माग्छन्। DBIR 2026 अनुसार रेन्समवेयर पीडितले तिरेको फिरौतीको median (बीचको) रकम 139,875 डलर रह्यो, जुन अघिल्लो वर्ष 150,000 डलर थियो। चाखलाग्दो कुरा, 69% पीडितले फिरौती तिर्दै तिरेनन्। ब्याकअप र घटना व्यवस्थापनको तयारी राम्रो भएका संस्थाले ह्याकरको धम्की बेवास्ता गर्न सकेका छन्।
सबैभन्दा सिधा बाटो भने बैंक नै हो। 2017 अक्टोबरमा NIC Asia Bank को SWIFT प्रणाली (बैंकहरूबीच अन्तर्राष्ट्रिय रकमान्तर गर्ने सिस्टम) मा पहुँच पाएका ह्याकरले करिब 4.4 मिलियन डलर छ वटा देशका खातामा पठाएका थिए। बैंकले त्यसमध्ये करिब 4 मिलियन डलर फिर्ता ल्याएको जनायो। तर यो घटनाले नेपालका बैंक पनि अन्तर्राष्ट्रिय ह्याकरको निसानामा छन् भन्ने प्रस्ट पार्यो।
कहिलेकाहीँ चाहिने डाटा होइन, तपाईंको कम्प्युटर
ह्याकरले सधैं डाटा नै खोज्छन् भन्ने छैन। 2017 नोभेम्बरमा Onlinekhabar को वेबसाइटमा कसैले Monero नामक क्रिप्टोकरेन्सी माइन गर्ने JavaScript लुकाएर राखेको भेटियो। मतलब, त्यो पोर्टल पढ्न आउने पाठकको कम्प्युटरको प्रोसेसर उनीहरूलाई थाहै नदिई ह्याकरका लागि क्रिप्टो कमाउन प्रयोग भइरहेको थियो।
यसलाई cryptojacking भनिन्छ। पाठकको डाटा चोरी भएन, तर बिजुली र प्रोसेसरको शक्ति चोरी भयो।
जासुसी, विरोध र शक्ति प्रदर्शन
पैसाबाहेकको सबैभन्दा गम्भीर कारण जासुसी हो। अर्को देशको सरकारी नीति, सैन्य योजना, ठूला कम्पनीका व्यापारिक गोप्य कुरा वा अनुसन्धान चोर्न राज्यले नै पालेका वा राज्यसँग जोडिएका समूह वर्षौंसम्म लुकेर प्रणालीभित्र बस्छन्। यिनले हल्ला गर्दैनन्, किनकि पक्राउ नपर्नु नै यिनको सफलता हो।
ठीक उल्टो स्वभाव हुन्छ hacktivist (राजनीतिक वा सामाजिक सन्देश दिन ह्याक गर्ने) को। यिनलाई ध्यान चाहिन्छ। 2017 जुलाईमा ‘Paradox Cyber Ghost’ नाम गरेको समूहले एकैपटक 58 वटा सरकारी वेबसाइट ह्याक गरेको थियो। वेबसाइटको पहिलो पेजमै आफ्नो सन्देश टाँस्ने यस्ता आक्रमणको उद्देश्य प्रायः सरकारको सुरक्षा कमजोरी उदाङ्ग पार्नु वा कुनै मुद्दामा विरोध जनाउनु हुन्छ।
नेपालले भोगेको सबैभन्दा देखिने आक्रमण भने 2023 जनवरी 28 को हो। सरकारी वेबसाइट होस्ट गर्ने Government Integrated Data Centre (GIDC) मा DDoS आक्रमण भयो। DDoS भनेको हजारौं संक्रमित डिभाइसबाट एकैपटक नक्कली ट्राफिक पठाएर सर्भरलाई थिच्ने आक्रमण हो। त्यो दिन सयौं सरकारी वेबसाइट बन्द भए, र त्रिभुवन अन्तर्राष्ट्रिय विमानस्थलमा इमिग्रेसन सेवा घण्टौंसम्म अवरुद्ध हुँदा उडान नै ढिला भए। कति वेबसाइट प्रभावित भए भन्नेमा स्रोतहरूबीच फरक छ, केहीले करिब 400 भनेका छन् भने केहीले 1,500। आक्रमण कसले गर्यो भन्ने कुरा सार्वजनिक रूपमा पुष्टि भएको छैन।
सबै ह्याकर बाहिरी हुँदैनन्
संस्थाभित्रकै कर्मचारी पनि डाटा चोरीको कारण बन्न सक्छन्। DBIR 2026 मा 12% घटनामा आन्तरिक व्यक्ति संलग्न देखिए, जुन अघिल्लो वर्ष 18% थियो। यहाँनेर एउटा कुरा भन्नैपर्छ: आन्तरिक दुरुपयोगका 60% घटनाको कारण सुविधा थियो, पैसा होइन। पैसाका लागि गरिएका घटना 33% मात्र थिए। अर्थात्, कर्मचारीले काम छिटो सक्न नियम मिचेर संवेदनशील फाइल व्यक्तिगत इमेलमा पठाउनु जस्ता ‘सानो’ लापरबाही नै धेरैजसो ठूलो क्षतिको सुरुवात बन्छ।
ह्याकर भित्र पस्छन् कसरी?
यो प्रश्नमा 2026 मा ठूलो परिवर्तन आयो। Verizon का अनुसार पहिलोपटक सफ्टवेयरको कमजोरी (vulnerability) को फाइदा उठाउने तरिकाले चोरिएको पासवर्डलाई उछिनेर प्रवेशको मुख्य बाटो बनेको छ। थाहा भएका प्रवेश-बाटोमध्ये यसको हिस्सा 31% पुग्यो, जुन अघिल्लो वर्ष 20% मात्र थियो।
झन् चिन्ताको कुरा, संस्थाहरूलाई खतरनाक कमजोरी पूर्ण रूपमा टाल्न लाग्ने median समय 32 दिनबाट बढेर 43 दिन पुगेको छ। ह्याकरले AI प्रयोग गरेर आक्रमणको गति बढाइरहँदा, अपडेट गर्न डेढ महिना लगाउनु भनेको ढोका खुलै छोडेर पर्खिनु जस्तै हो।
नेपालमा अवस्था: उजुरी 20 हजार नाघ्यो
नेपाल प्रहरीको तथ्यांकअनुसार आर्थिक वर्ष 2082/83 मा साइबर अपराधसम्बन्धी 20,526 निवेदन दर्ता भए। 2081/82 मा यो संख्या 18,926 थियो। तर इमानदारीपूर्वक भन्दा, यीमध्ये धेरैजसो उजुरी जटिल प्राविधिक ह्याकिङका होइनन्। Facebook र Messenger सम्बन्धी मात्र 7,123 र TikTok सम्बन्धी 6,776 निवेदन परे। बैंक वा वालेटबाट बोलेको बहानामा खाताको पहुँच लिने, लोट्री वा पार्सलको लोभ देखाउने जस्ता ठगी यसमा प्रमुख छन्।
यही तथ्यले एउटा महत्त्वपूर्ण कुरा देखाउँछ। ह्याकरलाई सधैं सर्भर तोड्नु पर्दैन। मानिसलाई झुक्याएर पासवर्ड वा OTP लिन सकियो भने त्यही नै सबैभन्दा सस्तो ह्याक हो। उजुरी यति धेरै हुँदा पनि सोही वर्ष 161 वटा मुद्दा मात्र दर्ता भए र 155 जना पक्राउ परे।
अब कुरा इथिकल ह्याकरको: उही सीप, फरक अनुमति
यहीँनेर कथा रोचक मोड लिन्छ। जुन सीपले बैंकबाट करोडौं रकम उडाउन सकिन्छ, त्यही सीपले बैंकलाई बचाउन पनि सकिन्छ। फरक सीपमा होइन, अनुमति र नियतमा हुन्छ।
साइबर सुरक्षाको भाषामा black hat ह्याकर अनुमतिबिना, हानि वा फाइदाका लागि ह्याक गर्छन्। white hat अर्थात् इथिकल ह्याकर भने संस्थाको लिखित अनुमति लिएर, तोकिएको दायराभित्र कमजोरी खोज्छन् र भेटेको कुरा गोप्य रूपमा संस्थालाई नै बुझाउँछन्। बीचमा grey hat पनि हुन्छन्, जसले अनुमति नलिई प्रणाली जाँच्छन् तर हानि नगरी कमजोरी बताइदिन्छन्।
नेपालमा grey hat बन्ने सोचमा हुनुभएका विद्यार्थीले एउटा कुरा राम्रोसँग बुझ्नुपर्छ। विद्युतीय कारोबार ऐन, 2063 को दफा 45 अनुसार कम्प्युटरको धनी वा जिम्मेवार व्यक्तिको अख्तियारी नलिई त्यसको कार्यक्रम, सूचना वा तथ्याङ्कमा पहुँच गरे 2 लाख रुपैयाँसम्म जरिवाना वा 3 वर्षसम्म कैद वा दुवै सजाय हुन सक्छ। नियत राम्रो थियो भन्ने तर्कले कानुनी सुरक्षा दिँदैन। अनुमति नै इथिकल ह्याकिङको पहिलो सर्त हो।
इथिकल ह्याकरले वास्तवमा के गर्छन्?
सबैभन्दा सामान्य काम penetration testing हो। यसमा संस्थाले नै बोलाएर आफ्नो वेबसाइट, एप वा नेटवर्कमा वास्तविक ह्याकरले जस्तै आक्रमण गराउँछ, ताकि असली ह्याकर आउनुअघि नै प्वाल भेटियोस्। ठूला संस्थामा red team नामको समूहले अझ लामो अवधिसम्म, कर्मचारीलाई थाहै नदिई फिसिङ इमेलदेखि भौतिक पहुँचसम्मको परीक्षण गर्छ। त्यसको विपक्षमा बस्ने blue team ले आक्रमण पत्ता लगाउने र रोक्ने अभ्यास गर्छ।
आक्रमण भइसकेपछि पनि इथिकल ह्याकरको काम सकिँदैन। incident response र डिजिटल फरेन्सिक टोलीले ह्याकर कहाँबाट पसे, के लगे, अझै भित्रै छन् कि छैनन् भन्ने खोतल्छ। बैंक, वालेट कम्पनी र टेलिकम जस्ता संस्थाका लागि नियमित सुरक्षा अडिट पनि यही सीपमा आधारित हुन्छ।
अनि bug bounty। यसमा कम्पनीहरूले सार्वजनिक रूपमा भन्छन्, हाम्रो प्रणालीमा कमजोरी भेटेर जिम्मेवार तरिकाले रिपोर्ट गरे पुरस्कार दिन्छौं। यो बजार कत्रो भइसक्यो भन्ने HackerOne को तथ्यांकले देखाउँछ। यो प्लेटफर्मका bug bounty कार्यक्रमले 2024 जुलाई 1 देखि 2025 जून 30 सम्मको एक वर्षमा ह्याकरहरूलाई कुल 81 मिलियन डलर भुक्तानी गरे, जुन अघिल्लो वर्षभन्दा 13% बढी हो। सक्रिय कार्यक्रमले वर्षमा औसत करिब 42,000 डलर तिरे। कम्पनीको आफ्नै हिसाबअनुसार यी कार्यक्रमले करिब 3 अर्ब डलर बराबरको सम्भावित क्षति टारे, यद्यपि यो HackerOne कै विधिबाट निकालिएको अनुमान हो।
नयाँ क्षेत्र AI हो। सोही रिपोर्टमा AI सम्बन्धी वैध कमजोरीको रिपोर्ट 210% बढेको देखियो, जसमा prompt injection (AI मोडललाई चलाखीपूर्ण निर्देशन दिएर गलत काम गर्न लगाउने तरिका) को रिपोर्ट मात्र 540% बढ्यो। ChatGPT वा अन्य AI टुल आफ्नो सेवामा जोड्दै गरेका नेपाली कम्पनीका लागि यो भविष्यको होइन, अहिल्यैको जोखिम हो।
सरकारी तहमा पनि यो भूमिका स्वीकार्न थालिएको छ। 2023 अगस्टमा मन्त्रिपरिषद्बाट पारित राष्ट्रिय साइबर सुरक्षा नीति, 2080 ले प्रदेशस्तरमा CERT (साइबर घटनामा तुरुन्त प्रतिक्रिया दिने टोली) स्थापना गर्ने र इथिकल ह्याकिङलाई प्रोत्साहन गर्ने लक्ष्य राखेको छ। कागजमा लेखिएको नीति कत्तिको लागु हुन्छ, त्यो भने हेर्न बाँकी नै छ।
हाम्रो विचारमा, असली पाठ के हो?
ह्याकरको दिमाग बुझ्ने सबैभन्दा सजिलो सूत्र यही हो: जहाँ मूल्य छ, त्यहाँ आक्रमण छ। तपाईंको पासवर्ड, OTP, ग्राहक सूची, बैंक खाता, वा सर्भरको प्रोसेसर सबैको बजार मूल्य छ। ‘हाम्रो सानो कम्पनीलाई कसले ह्याक गर्ला र’ भन्ने सोच नै ह्याकरको सबैभन्दा प्यारो कमजोरी हो।
व्यक्तिका लागि बचाउको सुरुवात OTP कसैलाई नदिनु, एउटै पासवर्ड धेरै ठाउँमा नदोहोर्याउनु, two-factor authentication खोल्नु र फोन तथा सफ्टवेयर समयमै अपडेट गर्नु हो। कम्पनीका लागि भने इथिकल ह्याकरलाई शत्रु होइन, सस्तो बीमा ठान्नु बुद्धिमानी हो। कमजोरी रिपोर्ट गर्ने स्पष्ट माध्यम नै नभएका नेपाली संस्थाले कुनै दिन त्यही कमजोरी dark web मा बिक्रीमा देख्नुपर्ने हुन सक्छ।
अनि यो क्षेत्रमा करियर खोज्दै हुनुभएका युवाका लागि बाटो खुला छ, तर एउटै सर्तमा। अनुमति लिएर ह्याक गर्नुहोस्। कानुनी bug bounty, अभ्यासका लागि बनाइएका CTF प्रतियोगिता र प्रमाणित तालिम हुँदै अघि बढ्दा उही सीपले जेल होइन, डलरमा कमाइ दिलाउन सक्छ।