Nahaharap ang mga Digital na Serbisyo ng Nepal sa Pagkakalantad ng Datos, Pagkagambala ng Merkado at mga Kakulangan sa Pananagutan

135 email account ng pamahalaan, naglantad ng mas malawak na suliranin sa seguridad

Natukoy sa mga panlabas na paglabag sa seguridad ng datos ang hindi bababa sa 135 email account sa ilalim ng government domain ng Nepal na nepal.gov.np, matapos sumali ang National Cyber Security Centre sa Have I Been Pwned, isang serbisyong sumusubaybay sa mga kredensiyal na nalantad. Kabilang sa mga apektadong address ang mga account na kaugnay ng Tanggapan ng Punong Ministro at ng mga ministri ng Ugnayang Panloob, Pananalapi at Ugnayang Panlabas.

Kasabay ng pagtuklas na ito ang mga ulat tungkol sa pagkakalantad ng mga dokumento ng estudyante at guro, mga pag-atake sa mga portal ng pamahalaan, panghihimasok sa elektronikong pagkuha ng mga kontrata at isang insidente ng ransomware na nagpatigil sa kalakalan ng sapi. Inilalarawan ng mga ulat na inilathala noong Oktubre 2026 ang isang digital na administrasyon na ang mga pagkabigo sa seguridad ay maaaring makaapekto kapwa sa personal na pagkapribado at sa pag-access sa mahahalagang serbisyo.

Magkakaibang problema ang sangkot sa mga insidenteng ito. Ang paglitaw ng isang email address sa isang paglabag sa datos, sa ganang sarili, ay hindi patunay na may nakapasok sa network ng pamahalaan. Hindi rin pinatutunayan ng pagkaka-offline ng isang website na ninakaw ang mga rekord nito. Gayunman, maaaring magsama-sama ang mga nalantad na kredensiyal, mahihinang kontrol sa pag-access at pag-asa sa pinagsasaluhang imprastraktura upang makalikha ng mga daan papasok sa mas sensitibong sistema.

Iniuugnay ng Nepal ang mga pasaporte, beripikasyon ng pagkakakilanlan, pagbubuwis, pagbabangko at social security sa mga digital na serbisyo habang patuloy na nag-uulat ang mga mamamayan ng mga pila, pagkaantala ng mga identity card at mga server na hindi magamit. Kaya mas malawak ang pangunahing usapin kaysa sa pagpigil sa mga hacker: kailangang protektahan ng pamahalaan ang impormasyong hinihingi nitong isumite ng mga tao, habang tinitiyak na magagamit pa rin ang mga serbisyo kapag pumalya ang isang bahagi ng sistema.

Ano ang pinatutunayan ng pagkakatuklas sa mga email

Naging ika-47 entidad ng pamahalaan ang Nepal na sumali sa Have I Been Pwned, ayon kay Raj Kumar Maharjan, direktor ng National Cyber Security Centre. Sa pamamagitan ng koneksiyong ito, matutukoy ng sentro ang mga address ng pamahalaan na nalantad sa mga paglabag sa ibang lugar, sa halip na umasa lamang sa ebidensiya mula sa sarili nitong mga network.

Sinabi ni Maharjan na aabisuhan ng sentro ang mga apektadong departamento at uutusang palitan ang mga password. Ipinaliwanag niya kung paano binabago ng serbisyong pangmonitor ang pagtugon:

Sa pamamagitan ng portal na ito, nakatatanggap na ngayon ang aming sentro ng tiyak na detalye kung aling email address ang na-leak at kung saan ito nanggaling. Dahil dito, maaalerto namin agad ang mga kinauukulang opisyal, maipapatupad ang agarang pagpapalit ng password at mapipigilan ang higit pang pinsala.

Hindi dapat ituring ang bilang na 135 bilang bilang ng mga kumpirmadong panghihimasok sa 135 mailbox ng pamahalaan. Hindi itinatakda ng mga pampublikong ulat kung ilan sa mga account ang nanatiling bulnerable, kung may bisa pa ang mga nalantad na password, o kung ilan ang may dagdag na proteksiyon sa pagpapatotoo.

Nagbabala ang eksperto sa cybersecurity na si Mona Nyachhyon na maaaring malagay sa panganib ng mga nakompromisong opisyal na account ang mga panloob na network at kumpidensiyal na komunikasyon. Maaari ring magmukhang kapani-paniwala ang mga mapanlinlang na kahilingan kung kontrolado ng umaatake ang tunay na mailbox ng pamahalaan, lalo na kung pamilyar sa mga tatanggap ang address.

Binabanggit sa magkakahiwalay na ulat ang mga kredensiyal na kaugnay ng Agriculture Development Bank na lumitaw sa pamamagitan ng malware na nagnanakaw ng impormasyon mula sa mga nahawaang device. Maaaring mangyari ang ganitong pagnanakaw sa computer na ginagamit sa pag-access ng serbisyo, nang hindi kailangang direktang pasukin ng umaatake ang sentral na server nito.

Iba't ibang banta ang kinakaharap ng mga dokumento ng mamamayan at pampublikong portal

Iniulat na nalantad sa online system ng University Grants Commission ang mga dokumento ng pagkamamamayan, sertipiko ng edukasyon, detalye ng bank account at mga rekord ng Permanent Account Number ng mga propesor at estudyante. Sapat umanong baguhin ang web address upang ma-access ang mga dokumento dahil walang mga kontrol sa pag-access.

Ang kontrol sa pag-access ang pagsusuring nagtatakda kung pinahihintulutang makita ng isang tao ang isang partikular na rekord. Hindi napoprotektahan ang dokumento dahil lamang mahirap hulaan ang address nito. Kailangang beripikahin ng server ang pahintulot tuwing may humihiling na makita ito.

Inilalarawan din sa mga ulat ang hindi awtorisadong pag-access sa pampublikong application programming interface ng government cloud portal. Nagbibigay-daan ang interface na karaniwang tinatawag na API upang makapagpalitan ng impormasyon o makapagsagawa ng mga gawain ang mga software system. Inakusahan ang mga grupong kinilalang PSy404 at AnoNagoSt, na iniuugnay sa ForceAnon network, na ginamit ang pag-access na ito upang mag-post ng mga mensahe at larawan.

Kabilang sa iba pang naiulat na insidente ang mga kahinaang isiniwalat ng Midnight Ops Nepal sa mga sistemang gaya ng Department of Hydrology and Meteorology, at ang pag-access sa mga administration panel ng mga ministeryo na iniugnay sa FunkSec. Iniulat na inalok na ibenta ang mga dokumento ng badyet at munisipalidad.

Nangangailangan ng magkakahiwalay na pagsusuri ang mga pahayag na ito. Ipinakikita ng pag-post ng materyal sa pamamagitan ng pampublikong interface na pumalya ang isang kontrol, ngunit hindi nito pinatutunayang na-access ang lahat ng database na naka-host sa government cloud. Kailangan ding beripikahin ang pagiging tunay, saklaw at pinagmulan ng mga dokumentong iniulat na ipinagbibili bago masukat ang buong lawak ng pagkakalantad.

Takbo ng mga naiulat na pag-atake at hakbang ng pamahalaan

Inilalarawan sa mga ulat ang mga insidenteng naganap sa loob ng ilang taon, hindi ang iisang magkakaugnay na pag-atake. Ipinakikita rin ng sunod-sunod na pangyayari na hindi natapos ang mga pagkaantala sa serbisyo nang magtatag ng hiwalay na sentro para sa cyber security.

• 1 Enero 2024: Iniulat na naantala ng distributed denial of service attack ang mga website at application ng pampublikong serbisyo, at tumagal nang ilang linggo ang mga epekto.
• 23 Enero 2024: Nagpasya ang Gabinete na itatag ang National Cyber Security Centre, na naging operasyonal pagkaraan ng tagsibol na iyon.
• Disyembre 2024: Iniulat ang mga pag-atake sa mga portal ng pamahalaan sa mga lalawigan ng Gandaki, Lumbini at Bagmati.
• Pebrero 2025: Inilarawan sa mga ulat ang mga pag-atake sa 21 subdomain ng Koshi Province.
• Marso 2025: Iniulat na nakompromiso ang database ng plataporma ng mga reklamo na Hello Sarkar at inalok itong ipagbili.
• Abril 2025: Inakusahan na ninakaw mula sa website ng Nepal Police ang humigit-kumulang 2 milyong rekord ng pagkamamamayang isinumite para sa mga ulat ng pulisya at inalok na ipagbili.
• 13 Mayo 2026: Iniulat na inilipat sa Tanggapan ng Punong Ministro ng mga nailathalang pagbabago sa Government of Nepal Business Allocation Rules ang mahahalagang ahensiya sa teknolohiya.
• Setyembre 2026: Iniulat na ginambala ng isang diumano'y pag-atake ng ransomware ang mga sistemang nagseserbisyo sa 72 brokerage at nagpahinto sa kalakalan nang isang araw.
• Unang bahagi ng Oktubre 2026: Iniulat na kinilala ng Pathao Nepal ang isang pagtagas na kinasangkutan ng mga pangalan ng user, email address at numero ng telepono.

Kabilang ang diumano'y pagnanakaw ng humigit-kumulang 2 milyong rekord ng pulisya sa pinakamalalaking pagkakalantad na inilarawan. Iniulat ang bilang na ito ngunit hindi ito napatunayang bilang ng mga apektadong indibidwal. Walang beripikadong paghahati-hati ng mga natatanging rekord o kumpletong pampublikong pagtatasa sa pinsala sa mga ulat.

Iniuugnay ng elektronikong pagkuha ng mga kontrata ang seguridad sa pampublikong paggasta

Ang naiulat na pagkakompromiso sa electronic government procurement system, na kilala bilang e-GP, ay may kinalaman sa integridad ng mga pampublikong kontrata gayundin sa kumpidensiyal na impormasyon. Pinatatakbo ng Public Procurement Monitoring Office ang plataporma para sa pag-bid sa mga proyektong pampamahalaan na nagkakahalaga ng bilyun-bilyong rupee.

Iniulat na natuklasan ng mga imbestigador na maaaring tingnan ng mga hindi awtorisadong user ang kumpidensiyal na halaga ng bid ng mga kalaban at baguhin ang mga halaga matapos ang takdang oras ng pagsusumite. Inilalarawan sa mga ulat ang diumano'y pagtutulungan ng mga hacker, tagapamagitan at kontratista, kabilang ang mga bayad gamit ang cryptocurrency at isang huwad na procurement website.

Iniulat na inaresto ng Central Investigation Bureau ng Nepal Police ang mahigit 20 katao, kabilang ang isang dating ministro, mga personalidad sa negosyo ng konstruksyon at mga teknikal na kawani, at iniharap sa korte ang mga kaso. Hindi katumbas ng hatol na nagkasala ang mga pag-aresto at pagsasampa ng kaso. Walang binabanggit sa mga ulat na pinal na hatol na nagtatakda sa pananagutan ng bawat akusado.

Diumano'y naging dahilan ang mga alalahanin sa seguridad upang suspindihin ang elektronikong pag-bid at ibalik ang mga selyadong bid sa papel para sa mahahalagang pagbili. Walang kumpirmadong petsa ng pagpapanumbalik na ibinigay sa mga ulat.

Mahalaga ang pagkakaiba nito sa pagtagas ng dokumento. Nabibigo ang pagiging kumpidensiyal kapag may nakakakita sa bid na hindi niya dapat makita. Nabibigo ang integridad kapag binabago mismo ang bid. Kapag bumagsak ang alinman sa mga proteksiyong ito, maaaring sa halip na gawing mas malinaw ang proseso ng pagkuha ng kontrata, bigyan ng digital system ng hindi isiniwalat na kalamangan ang mga piling bidder.

Maaaring maantala ang buong merkado dahil sa iisang provider

Diumano'y tinamaan ng ransomware noong Setyembre 2026 ang isang pribadong data centre na nagho-host ng mga sistema ng pamamahala ng kalakalan para sa 72 brokerage company. Iniulat na hindi magamit nang isang buong araw ang kalakalan sa Nepal Stock Exchange. Binabanggit din sa orihinal na ulat na naka-host sa apektadong pasilidad ang impormasyon ng pamahalaan.

Karaniwang hinaharangan ng ransomware ang pag-access sa mga sistema o datos, madalas sa pamamagitan ng pag-encrypt ng mga file, at humihingi ng bayad. Hindi itinatakda ng mga ulat ang teknikal na paraan ng pag-atake, kung may ninakaw ding impormasyon o kung may ransom na binayaran.

Mas malinaw na nailarawan ang naging epekto sa operasyon: kumalat sa dose-dosenang broker ang pagkaantala sa iisang hosting provider at napigilan nito ang mga mamumuhunan na makipagkalakalan. Ito ang panganib ng konsentrasyon, kung saan umaasa ang maraming organisasyon sa iisang tagapagtustos o imprastraktura.

Ibang uri ng pagkakalantad sa pribadong sektor ang pagsisiwalat ng Pathao Nepal. Iniulat na nag-leak noong unang bahagi ng Oktubre 2026 ang mga pangalan, email address at numero ng telepono. Binabanggit sa mga ulat na libo-libong user ang naapektuhan, ngunit walang ibinigay na eksakto at beripikadong kabuuang bilang.

Binabanggit din sa mga naunang ulat ang pagtagas ng impormasyon ng customer sa Vianet at Foodmandu, mga pag-atakeng kinasangkutan ang mga ATM system ng bangko at tangkang pag-atake sa SWIFT system ng NIC Asia Bank. Magkakaiba ang saklaw at kinalabasan ng mga insidenteng ito, ngunit ipinakikita nilang hindi lamang mga website ng pamahalaan ang kinakaharap ng hamon sa seguridad kundi pati mga serbisyong ginagamit sa komunikasyon, pamimili, transportasyon at pananalapi.

Kumakalat sa iba't ibang serbisyo ang mga problema sa kapasidad ng pambansang sistema ng pagkakakilanlan

Ipinakikita ng pambansang sistema ng pagkakakilanlan kung paano maaaring pumalya ang isang serbisyo nang walang kumpirmadong cyberattack. Iniugnay sa mga ulat ang ilang linggong pagkaantala ng pagpapatotoo sa teknikal na bigat nang mapalapit sa kapasidad na humigit-kumulang 20 milyong rekord ang biometric system.

Iniulat na nakaranas ng pagkaantala ang mahigit 16 na ahensiya, kabilang ang mga serbisyong may kinalaman sa pasaporte, buwis, transportasyon at pagbabangko. Tumutukoy ang bilang sa naiulat na kapasidad ng sistema, hindi sa beripikadong bilang ng mga taong nalantad ang biometric na impormasyon.

Magkakaiba ang paglalarawan sa mga ulat tungkol sa pagkakakilanlan ng kumpanyang Pranses na nagsu-supply nito. Binabanggit sa orihinal na ulat ang paglipat mula Idemia patungong IN Groupe, samantalang inuulit naman sa isa pang ulat ang IDEMIA bilang kasalukuyang pangalan. Hindi itinatakda rito ang eksaktong kaayusan sa kontrata at suporta. Gayunman, iisa ang suliraning operasyonal: umasa ang ilang serbisyo sa iisang plataporma ng pagpapatotoo at naapektuhan nang hindi ito magamit.

Mababawasan ng pinagsasaluhang serbisyo sa pagkakakilanlan ang paulit-ulit na pagsusuri at papeles. Nagiging iisang punto naman ito ng pagkabigo kung walang ligtas na alternatibong magagamit ang mga ahensiya kapag hindi tumutugon ang serbisyo. Kaya mahalaga ang pagpaplano ng kapasidad, mga kaayusan sa pagbawi at malinaw na pananagutan ng mga tagapagtustos, bukod pa sa proteksiyon laban sa mga nanghihimasok.

Nangangailangan din ng maingat na pagtugon ang mga epekto sa pagkapribado. Mga biometric identifier ang mga fingerprint; impormasyon ng pagkakakilanlan, hindi biometrics, ang mga numero ng pagkamamamayan at petsa ng kapanganakan. Hindi basta mapapalitan ang fingerprint gaya ng password. Maaaring lumikha ng pangmatagalang pagkakataon para sa pagpapanggap bilang ibang tao at nakatuong panloloko ang pagkakalantad ng mga detalyeng ito.

Lumalawak ang mga depensa ng pamahalaan, ngunit may mga limitasyon

Iniulat na nagsuri ang National Cyber Security Centre ng halos 40 sistema ng pamahalaan sa loob ng apat na buwang nauna sa ulat tungkol sa paglabas ng mga email. Ginagamit din nito ang CTM360, isang kasangkapan sa pagmonitor na ibinigay ng International Telecommunication Union, upang subaybayan ang mga ilegal na palitan ng impormasyon ng pamahalaan.

Nangongolekta at nagsusuri ang bagong biniling Security Information and Event Management system ng mga log ng aktibidad sa mga network ng pamahalaan. Nakakatulong ang ganitong mga kasangkapan sa mga kawani na matukoy ang mga kahina-hinalang pattern, ngunit nakasalalay ang silbi ng mga ito sa kung ano ang minomonitor at kung gaano kabilis iniimbestigahan ng mga pangkat ang mga alerto.

Sinabi ni Prakash Duwadi, na tinukoy sa ulat sa wikang Nepali bilang opisyal sa impormasyon ng Information Technology and Electronic Governance Office, na maaaring sabay-sabay na maharap ang mga naka-host na portal ng pamahalaan sa 7,000 hanggang 8,000 pagtatangkang pag-atake. Tinataya niyang 10 hanggang 20 porsiyento ng mga pagtatangka ay simpleng pagsusuri na isinasagawa ng mga estudyante o bata. Hindi ipinaliliwanag sa ulat ang panahong sinukat o paraan ng pagbibilang.

Sinabi rin ni Duwadi na minsan ay dinidiskonekta ng mga kawani ang mga sistema kapag hindi nila kayang ipagtanggol ang mga ito nang ligtas. Kaya maaaring hakbang na pangproteksiyon ang pagkawala ng server, hindi patunay na nakontrol na ito ng mga umaatake. Nawawalan pa rin ng access ang mga mamamayan sa alinmang sitwasyon, kaya kailangan ang tumpak na abiso tungkol sa serbisyo at mga pamamaraan sa pagbawi.

Iniugnay ni Maharjan sa pag-uugali ng tao at social engineering ang mahigit 90 porsiyento ng mga insidente sa cyber. Sarili niyang pagtatasa ito, hindi dokumentadong pambansang estadistika. Nagbabala rin siya na maaaring hindi mamalayan ng mga developer na may kahinaan sa pag-encrypt at seguridad kapag mabilis na bumubuo ng mga application gamit ang artificial intelligence.

Nagpanggap ang mga naiulat na phishing message bilang si Additional Inspector General Manoj Kumar KC, ang Tanggapan ng Punong Ministro at iba pang opisyal ng pulisya. Nagbanta ang mga ito ng pag-uusig upang pilitin ang mga tatanggap na tumugon o magbunyag ng impormasyon. Ipinakikita ng mga halimbawang ito kung paano nagagamit sa panloloko ang takot at awtoridad ng mga opisyal.

Nangangailangan ng hayagang pagpapatupad ang mga karapatan sa pagkapribado

Pinoprotektahan ng Artikulo 28 ng Saligang Batas ng Nepal ang pagkapribado. Nagtatakda rin ang Privacy Act, 2075 (2018), ng mga tungkulin tungkol sa personal na impormasyong hawak ng mga pampublikong ahensiya. Itinatakda ng orihinal na ulat at kalakip na pagsusuri ang Seksyon 29 para sa mga parusang hanggang tatlong taong pagkakabilanggo, ang Seksyon 31 para sa kabayaran at ang Seksyon 32 para sa aksiyong pandisiplina.

Hindi pinatutunayan ng mga probisyong iyon na pasok sa mga kondisyon para sa kasong kriminal o kabayaran ang bawat naiulat na teknikal na pagkabigo. Kailangang tukuyin ang pananagutan batay sa ginawang kilos, naaangkop na mga probisyon ng batas at ebidensiya. Kaunti ang detalyeng ibinibigay ng mga pampublikong ulat tungkol sa mga parusa o kabayarang nagmula sa mga insidenteng tinatalakay.

Binabago rin ang pananagutang administratibo. Iniulat na inilipat ng mga pagbabagong inilathala noong 13 Mayo 2026 sa Tanggapan ng Punong Ministro ang Cyber Security Centre, Data Management Centre at Department of Information Technology. Nanawagan ang inaprubahang adyenda ng Gabinete noong 27 Marso 2026 na magtatag sa loob ng tatlong buwan ng Information Technology and E-Governance Office, ngunit iniulat na hindi pa tapos ang mga pagsusuri sa organisasyon nang ilathala ang ulat.

Nananatiling hindi tiyak ang magiging estruktura at ugnayan sa pag-uulat. Hindi awtomatikong itinatakda ng paglilipat ng mga institusyon kung sino ang dapat mag-abiso sa mga apektadong mamamayan, mag-apruba sa pagpapanumbalik ng nakompromisong serbisyo o magberipika kung naitama ng isang tagapagtustos ang depekto sa seguridad.

Mga susunod na pasya sa pagsusuri, pagkuha ng kontrata at pagsisiwalat

Iminumungkahi sa orihinal na pagsusuri na isama sa mga kinakailangan sa pagkuha ng software ang mga obligasyon sa seguridad mula pa sa simula. Kabilang dito ang pag-encrypt, tuloy-tuloy na mga update, pagpapanatili at pagpili batay sa kalidad at gastos, sa halip na ituring na tapos na ang pagbili ng software pagdating nito. Mga panukala ang mga ito, hindi kumpirmadong bagong rekisito ng pamahalaan.

Ipinanunukala rin dito ang sapilitang pagtatasa sa mga kahinaan at penetration testing bago buksan sa mga mamamayan ang mga serbisyo. Tinutukoy ng mga pagsusuring ito ang mga kahinaan at nagsasagawa ng kontroladong mga pagtatangkang manghimasok. Iba ang pagkumpleto ng pagsusuri sa pagwawasto sa mga natuklasan nito: kailangan ng ebidensiyang naayos at muling nasuri ang malulubhang depekto bago makapagpasya nang mapagkakatiwalaan kung maaari nang ilunsad ang serbisyo.

Sinabi ng espesyalista sa cybersecurity na si Naresh Lamgade na madalas hindi isinasama ang seguridad sa pagbuo ng mga sistema at hindi hinihikayat ang mga pribadong mananaliksik na mag-ulat ng mga kahinaan. Makakatulong ang malinaw na daluyan ng pag-uulat at mga takdang pamamaraan sa pagproseso upang maitama ang mga natutuklasang kahinaan sa halip na hindi malaman ng mga mananaliksik kung paano lalapit sa isang ahensiya.

Kabilang sa iba pang iminungkahing hakbang ang dagdag na pagpapatotoo para sa email at mga administrative account ng pamahalaan, regular na pag-audit sa mga data centre, pag-abiso sa mga apektadong mamamayan matapos ang mga paglabag sa datos at pagtatatag ng independiyenteng tagapangasiwa sa proteksiyon ng datos. Walang kumpirmadong petsa ng pagpapatupad para sa mga hakbang na ito sa mga ulat.

Tiyak ang mga agarang tanong na wala pang sagot: ilang nalantad na account na ang na-secure, napatunayan na ba ang mga diumano'y ninakaw na dataset, kailan magpapatuloy ang elektronikong pag-bid, at paano maiiwasan ng mga serbisyo sa pagkakakilanlan ang panibagong pagkaantala dahil sa kapasidad. Magbibigay-daan ang mga pampublikong sagot upang masukat ang pagbawi batay sa mga resulta, sa halip na sa dami ng serbisyong inilagay online.

Mahahalagang Punto

• Natukoy sa mga panlabas na paglabag sa datos ang hindi bababa sa 135 email account ng pamahalaan matapos sumali ang Nepal sa Have I Been Pwned.
• Kabilang sa mga naiulat na pagkakalantad ang mga dokumento ng unibersidad at humigit-kumulang 2 milyong rekord ng pagkamamamayang isinumite para sa mga ulat ng pulisya; hindi pa beripikado ang huling bilang na ito.
• Iniulat na mahigit 20 katao ang inaresto kaugnay ng kaso sa elektronikong pagkuha ng mga kontrata; walang ibinigay na pinal na hatol ng korte.
• Ginambala ng isang diumano'y insidente ng ransomware noong Setyembre 2026 ang mga sistemang nagseserbisyo sa 72 brokerage at pinatigil nang isang araw ang kalakalan ng sapi.
• Iniulat na ilang linggong naantala ang pagpapatotoo ng mahigit 16 na ahensiya dahil sa mga problema sa kapasidad ng pambansang sistema ng pagkakakilanlan.
• Lumawak ang pagsubaybay at pagsusuri sa seguridad, ngunit hindi pa nareresolba ang abiso sa mga apektado, pananagutan at ilang petsa ng pagbawi.