NAIC PeopleSoft தரவு மீறலைப் புரிந்துகொள்வது: என்ன நடந்தது மற்றும் இது ஏன் முக்கியமானது

காப்பீட்டுத் துறைக்குச் சேவை செய்யும் ஒரு முக்கிய அமைப்பு இணையத் தாக்குதலுக்கு இரையானது, மேலும் சரிசெய்யப்படாத மென்பொருள் எவ்வளவு ஆபத்தானது என்பதை இதன் விவரங்கள் வெளிப்படுத்துகின்றன. ஜூன் 29, 2026 அன்று, பலவீனங்களை போதுமான விரைவாகச் சரிசெய்ய முடியாதபோது, உணர்திறன் வாய்ந்த தரவைக் கையாளும் பெரிய அமைப்புகள் கூட உண்மையான அபாயங்களை எதிர்கொள்கின்றன என்பதை நினைவூட்டும் வகையில் இந்த வகையான மீறல் அமைந்தது.

என்ன நடந்தது, இது ஏன் முக்கியமானது, மற்றும் சைபர் பாதுகாப்பிற்கு இவை அனைத்தின் அர்த்தம் என்ன என்பதை நான் விளக்குகிறேன்.

என்ன நடந்தது

National Association of Insurance Commissioners அல்லது NAIC, ShinyHunters என்ற குழுவைச் சேர்ந்த தாக்குதல்தாரர்கள் தங்கள் கணினி அமைப்புகளுக்குள் நுழைந்ததாக அறிவித்தது. ஊழியர் தரவு, ஊதியம் மற்றும் மனித வளங்களை நிர்வகிக்க பல பெரிய அமைப்புகள் பயன்படுத்தும் நிறுவன மென்பொருளான Oracle PeopleSoft-இல் ஜீரோ-டே (zero-day) பலவீனம் என்று அழைக்கப்படுவதைத் தாக்குதல்தாரர்கள் சுரண்டினர்.

ஜீரோ-டே (zero-day) பலவீனம் என்பது தாக்குதல்தாரர்கள் அதைப் பயன்படுத்தத் தொடங்குவதற்கு முன்பு யாருக்கும் தெரியாத ஒரு பாதுகாப்பு குறைபாடாகும். உருவாக்குநர்களுக்கு அதைச் சரிசெய்ய பூஜ்ஜியம் நாட்கள் மட்டுமே இருந்தன என்ற யோசனையிலிருந்து இந்த பெயர் வந்தது. இந்த பலவீனங்கள் குறிப்பாக ஆபத்தானவை, ஏனெனில் இதுவரை எந்தப் பேட்சும் (patch) கிடைக்கவில்லை, மேலும் நிறுவனங்களுக்கு முன் எச்சரிக்கையும் இல்லை.

NAIC-இன் அறிக்கையின்படி, தாக்குதல்தாரர்கள் பொதுவில் கிடைக்கும் தரவு, பழைய சிஸ்டம் லாக்ஸ் (system logs) மற்றும் கான்ஃபிகரேஷன் ஃபைல்களை (configuration files) மட்டுமே திருடினர். கான்ஃபிகரேஷன் ஃபைல்கள் என்பது அடிப்படையில் ஒரு அமைப்பு எவ்வாறு அமைக்கப்பட்டுள்ளது என்பதற்கான அறிவுறுத்தல் கையேடுகளாகும். திருடப்பட்ட தரவு மிகவும் உணர்திறன் வாய்ந்த தனிப்பட்ட தகவல் இல்லை என்று NAIC கூறியது நல்ல செய்தி. ஆனால் தாக்குதல்தாரர்கள் இன்னும் ஒரு முக்கிய அமைப்பின் நெட்வொர்க்கிற்குள் நுழைந்தனர் என்பது கெட்ட செய்தி.

ஜீரோ-டே (zero-day) பலவீனங்கள் ஏன் மிகவும் பயமுறுத்துபவையாக இருக்கின்றன

ஒரு குறிப்பிட்ட வகை கதவின் பூட்டைத் திறப்பதற்கான வழியை யாராவது கண்டுபிடித்தனர், ஆனால் பூட்டு பலவீனமாக இருந்தது பற்றி தயாரிப்பாளருக்கு எந்த யோசனையும் இல்லை என்று கற்பனை செய்து பாருங்கள். பிரச்சனை பற்றி இன்னும் தெரியாததால் அவர்களால் ஒரு தீர்வை வழங்க முடியாது. அடிப்படையில் ஜீரோ-டே (zero-day) பலவீனம் என்பது அதுதான்.

PeopleSoft விஷயத்தில், Oracle-க்குத் தெரியாத மென்பொருளின் குறைபாடு மூலம் தாக்குதல்தாரர்கள் உள்ளே நுழைய ஒரு வழியைக் கண்டுபிடித்தனர். பேட்ச் எதுவும் கிடைக்காத நிலையில், NAIC மற்றும் PeopleSoft-ஐப் பயன்படுத்தும் ஆயிரக்கணக்கான பிற அமைப்புகள் பாதிக்கப்படக்கூடிய நிலையில் இருந்தன. அவர்களால் ஒரு பாதுகாப்பு புதுப்பிப்பைப் பதிவிறக்கி நிறுவ முடியாது. தங்களைப் பாதுகாத்துக் கொள்ள நெட்வொர்க் கண்காணிப்பு மற்றும் அணுகல் கட்டுப்பாடுகள் போன்ற பிற பாதுகாப்பு நடவடிக்கைகளை அவர்கள் சார்ந்திருக்க வேண்டியிருந்தது.

ஜீரோ-டே (zero-day) சுரண்டல்கள் தாக்குதல்தாரர்களுக்கு மதிப்புமிக்கவை, ஏனெனில் அவை கண்டுபிடிக்கப்படும் வரை செயல்படுகின்றன. ஆராய்ச்சியாளர்கள் ஜீரோ-டே பற்றி அறிந்து மென்பொருள் தயாரிப்பாளரிடம் தெரிவித்தால், நிறுவனம் வழக்கமாக விரைவாக ஒரு பேட்சை உருவாக்கும். ஆனால் அந்த குறிப்பிட்ட காலக்கட்டத்தில், தீய நோக்கமுள்ளவர்கள் பல இலக்குகளை ஊடுருவ இந்த பலவீனத்தைப் பயன்படுத்தலாம்.

ShinyHunters என்ன விரும்பியது

ShinyHunters என்பது ஒரு பணம் பறிக்கும் (extortion) குழுவாக அறியப்படுகிறது, அதாவது அவர்கள் தரவை விற்கவோ அல்லது மோசடிக்கு பயன்படுத்தவோ மட்டும் திருடுவதில்லை. மாறாக, அமைப்பு தங்களுக்குப் பணம் செலுத்தத் தவறினால் தரவைப் பொதுவில் வெளியிடுவதாக அச்சுறுத்துகிறார்கள். இது ransomware அல்லது தரவுப் பறிப்பு (data extortion) என்று அழைக்கப்படுகிறது.

இந்த வழக்கில், அவர்கள் NAIC-இன் அமைப்புகளுக்குள் நுழைந்து, அவர்கள் கண்டறிந்த தரவைக் கைப்பற்றி, NAIC பணம் செலுத்தாவிட்டால் அதை வெளியிடப் போவதாக அச்சுறுத்தியிருக்கலாம். NAIC இந்த மீறலை வெளிப்படையாக அறிவித்ததும், திருடப்பட்ட தரவு மிகவும் உணர்திறன் வாய்ந்தது அல்ல என்று கூறியதும், அவர்கள் பணம் கொடுக்க மறுத்துவிட்டனர், அல்லது பணம் பறிக்கும் முயற்சி தோல்வியடைந்தது, அல்லது குற்றவாளிகளுக்குப் பணம் கொடுப்பதை விட வெளிப்படைத்தன்மை சிறந்தது என்று அவர்கள் முடிவு செய்தனர் என்பதை உணர்த்துகிறது.

2026 இல் தற்போது இது ஏன் முக்கியமானது

2026 இல், PeopleSoft போன்ற நிறுவன மென்பொருள்களை இலக்காகக் கொண்ட அதிகப்படியான தாக்குதல்களை நாம் காண்கிறோம். குற்றவாளிகளுக்கு இந்தத் தாக்குதல்கள் ஈர்க்கக்கூடியவை, ஏனெனில் ஒரு பலவீனம் உலகம் முழுவதிலும் உள்ள ஆயிரக்கணக்கான அமைப்புகளில் கதவுகளைத் திறக்கும். காப்பீட்டு நிறுவனங்கள் தனிப்பட்ட மற்றும் நிதித் தகவல்களை வைத்திருப்பதால் காப்பீட்டுத் துறைத் தரவுகளும் தாக்குதல்தாரர்களுக்கு மதிப்புமிக்கவை.

NAIC மீறல் என்பது நல்ல வளங்களைக் கொண்ட அமைப்புகள் கூட கடுமையான அபாயங்களை எதிர்கொள்கின்றன என்பதற்கான ஒரு எச்சரிக்கை மணி. நிறுவனங்கள் பாதுகாப்பு கண்காணிப்பை வைத்திருக்க வேண்டும், வழக்கமான பேக்கப்புகளைப் (backups) பராமரிக்க வேண்டும், மற்றும் சம்பவ மறுமொழித் திட்டங்களை (incident response plans) உருவாக்க வேண்டும் என்று சைபர் பாதுகாப்பு நிபுணர்கள் ஏன் தொடர்ந்து வலியுறுத்துகிறார்கள் என்பதையும் இது காட்டுகிறது.

அமைப்புகள் என்ன கற்றுக்கொள்ளலாம்

நீங்கள் IT துறையில் பணிபுரிந்தால் அல்லது அமைப்புகளை நிர்வகித்தால், இந்த மீறலில் இருந்து பெறப்பட்ட முக்கிய பாடங்கள் இதோ:

முதலாவதாக, நீங்கள் ஜீரோ-டே (zero-day) பலவீனத்தை உடனடியாகச் சரிசெய்ய முடியாவிட்டாலும், ஆபத்தைக் குறைக்க முடியும். வலுவான நெட்வொர்க் பிரிவாக்கம் (network segmentation) என்பது முக்கியமான அமைப்புகளைத் தனித்தனியாக வைப்பதாகும், இதனால் ஒரு பகுதியில் ஏற்படும் மீறல் எல்லா இடங்களிலும் பரவாது. கண்காணிப்பு மற்றும் பதிவெடுத்தல் (logging) அசாதாரண செயல்பாட்டைக் கண்டறிய உதவுகிறது. மல்டி-ஃபாக்டர் அங்கீகாரம் (Multi-factor authentication) தாக்குதல்தாரர்கள் உள்ளே நுழைந்தவுடன் சுற்றி நகர்வதைக் கடினமாக்குகிறது.

இரண்டாவதாக, ஏதேனும் ஒரு கட்டத்தில் உங்கள் பாதுகாப்பு மீறப்படும் என்று கருதுங்கள். அது விரக்தி போலத் தோன்றலாம், ஆனால் அதுதான் யதார்த்தம். பாதுகாப்பு என்பது ஒவ்வொரு தாக்குதலையும் தடுப்பது பற்றியது அல்ல; அது மீறல்களை விரைவாகக் கண்டறிந்து சேதத்தைக் கட்டுப்படுத்துவது பற்றியது. இதன் பொருள் சம்பவ மறுமொழித் திட்டங்களைக் கொண்டிருப்பது, முக்கியமான தரவுகளின் பேக்கப்புகளை ஆஃப்லைனில் வைப்பது மற்றும் ஊழியர்களுக்குப் பாதுகாப்பு குறித்து பயிற்சி அளிப்பதாகும்.

மூன்றாவதாக, வெளிப்படைத்தன்மை உதவுகிறது. என்ன திருடப்பட்டது (மற்றும் எது திருடப்படவில்லை) என்பதைப் பற்றிய NAIC-இன் பொது அறிக்கை பிற அமைப்புகள் ஆபத்தைப் புரிந்து கொள்ள உதவுகிறது. அமைதியாக இருப்பதை விட இது நம்பிக்கையை சிறப்பாகக் கட்டியெழுப்புகிறது.

பெரிய படம்

ஜீரோ-டே (zero-day) பலவீனங்கள் எப்போதும் இருக்கும். மென்பொருள் சிக்கலானது, மேலும் உருவாக்குநர்கள் தவறவிட்ட குறைபாடுகளைக் கண்டறிய தாக்குதல்தாரர்கள் குறிப்பிடத்தக்க பணத்தையும் முயற்சியையும் செலவிடுகிறார்கள். ஆனால் அபாயங்களை நிர்வகிக்க முடியும்.

அமைப்புகளுக்கு அடுக்கு பாதுகாப்பு (layered security) தேவை: மென்பொருளைப் புதுப்பித்த நிலையில் வைப்பது மட்டுமல்லாமல், நெட்வொர்க் போக்குவரத்தைக் கண்காணித்தல், எவருக்கு எதற்கு அணுகல் உள்ளது என்பதைக் கட்டுப்படுத்துதல், உணர்திறன் வாய்ந்த தரவை குறியாக்கம் செய்தல் (encrypting), மற்றும் ஃபிஷிங் (phishing) முயற்சிகள் மற்றும் சந்தேகத்திற்குரிய செயல்பாடுகளை அடையாளம் காண ஊழியர்களுக்குப் பயிற்சி அளித்தல் ஆகியவை அடங்கும்.

தனிநபர் மட்டத்தில், NAIC போன்ற அமைப்புகளால் நிர்வகிக்கப்படும் சேவைகளை நீங்கள் பயன்படுத்தினால், விழிப்புடன் இருப்பதே முக்கியம். வலுவான, தனித்துவமான கடவுச்சொற்களைப் பயன்படுத்துங்கள். வழங்கப்படும் இடங்களில் மல்டி-ஃபாக்டர் அங்கீகாரத்தை (multi-factor authentication) இயக்கவும். சந்தேகத்திற்குரிய செயல்பாடுகளுக்கு உங்கள் கணக்குகளைக் கண்காணியுங்கள்.

முடிவுரை

NAIC மீறல் நமக்குக் காட்டுவது என்னவென்றால், ஜீரோ-டே (zero-day) பலவீனங்கள் பாதுகாப்பு குழுக்களையும் வளங்களையும் கொண்டிருக்கும் போது கூட பெரிய அமைப்புகளைப் பாதிக்கக்கூடிய உண்மையான அச்சுறுத்தல்களாகும். இந்தத் தாக்குதலில் திருடப்பட்ட பொதுவில் கிடைக்கும் தரவு மற்றும் பழைய கோப்புகள் மிகவும் உணர்திறன் வாய்ந்தவை அல்ல என்று NAIC உறுதிப்படுத்திய போதிலும், இந்த மீறல் அடுக்கு பாதுகாப்பு, விரைவான சம்பவக் கண்டறிதல் மற்றும் வெளிப்படைத்தன்மையின் முக்கியத்துவத்தை அடிக்கோடிட்டுக் காட்டுகிறது. 2026 இல், எந்தவொரு அமைப்பும் மீறப்பட முடியாத அளவுக்குப் பெரியது என்றோ அல்லது மிகவும் கவனமாக இருக்கிறது என்றோ கருதிவிட முடியாது, म्हणूनच ஒரு மீறலுக்குத் தயாராவது அதைத் தடுக்க முயல்வதைப் போலவே முக்கியமானது.

நன்மைகள்

• ஜீரோ-டே (zero-day) பலவீனங்கள் மற்றும் நிறுவன மென்பொருள் அபாயங்கள் பற்றிய விழிப்புணர்வை அதிகரிக்கிறது
• பாதுகாப்பு சம்பவத்திற்குப் பிறகு வெளிப்படைத்தன்மையின் மதிப்பை விளக்குகிறது
• பெரிய, நிறுவப்பட்ட அமைப்புகள் கூட சைபர் அச்சுறுத்தல்களை எதிர்கொள்கின்றன என்பதை முன்னிலைப்படுத்துகிறது
• சம்பவ மறுமொழி மற்றும் சேத மதிப்பீடு எவ்வாறு பாதிப்பைக் குறைக்கும் என்பதைக் காட்டுகிறது
• கண்காணிப்பு மற்றும் அடுக்கு பாதுகாப்பு கட்டுப்பாடுகளின் முக்கியத்துவத்தை வலியுறுத்துகிறது

குறைபாடுகள்

• ஜீரோ-டே (zero-day) பலவீனங்களை உடனடியாகச் சரிசெய்ய முடியாது, இதனால் அமைப்புகள் பாதிக்கப்படக்கூடிய நிலையில் விடப்படுகின்றன
• பணம் பறிக்கும் குழுக்கள் எவ்வித உத்தரவாதமான தீர்வும் இன்றி உயர் மதிப்புமிக்க அமைப்புகளைத் தொடர்ந்து இலக்காகக் கொள்கின்றன
• செலவு மற்றும் சிக்கல் காரணமாகப் பரிந்துரைக்கப்பட்ட அனைத்து பாதுகாப்பு நடவடிக்கைகளையும் செயல்படுத்த அமைப்புகள் சிரமப்படலாம்
• திருடப்பட்ட தரவு வரம்பிற்குட்பட்டதாக இருந்தாலும், மீறல் பற்றிய பொது வெளிப்பாடு நம்பிக்கையையும் நற்பெயரையும் சேதப்படுத்தும்
• சிறிய அமைப்புகளுக்கு அமைப்புகளைக் கண்காணிக்கவும் விரைவாக பதிலளிக்கவும் வளங்கள் இல்லாமலிருக்கலாம்

எச்சரிக்கை

இந்தக் கட்டுரையில் உள்ள அனைத்து டொமைன் பெயர்கள், பயனர்பெயர்கள், IP முகவரிகள் மற்றும் அமைப்பு சார்ந்த குறிப்புகள் பொதுவான எடுத்துக்காட்டுகள் அல்லது பொதுவில் கிடைக்கும் தகவல்களின் அடிப்படையிலானவை. பேட்ச் காலக்கெடு, பாதிக்கப்பட்ட பதிப்புகள் மற்றும் தீர்வு நடவடிக்கைகள் போன்ற குறிப்பிட்ட தொழில்நுட்ப விவரங்கள் உற்பத்தி அமைப்புகளில் (production systems) பயன்படுத்தப்படுவதற்கு முன்பு அதிகாரப்பூர்வ விற்பனையாளர் ஆலோசனைகள் மற்றும் பாதுகாப்புச் செய்திகளோடு சரிபார்க்கப்பட வேண்டும். பாதுகாப்பு உள்ளமைவு (security configuration) மாற்றங்களை முதலில் உற்பத்தி அல்லாத சூழலில் (non-production environment) சோதிக்கவும், மேலும் உங்கள் அமைப்பின் மாற்ற மேலாண்மைக் கொள்கையைப் பின்பற்றி எப்போதும் உங்கள் சொந்த பொறுப்பில் தொடரவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• ஜீரோ-டே (zero-day) பலவீனம் என்றால் என்ன, தாக்குதல்தாரர்கள் அவற்றை எவ்வாறு கண்டுபிடிக்கிறார்கள்?
• Oracle PeopleSoft பலவீனத்தை ShinyHunters எவ்வாறு சுரண்டியது?
• NAIC PeopleSoft மீறலில் என்ன தரவு திருடப்பட்டது?
• காப்பீட்டுத் துறை ஏன் சைபர் தாக்குதல்களுக்கான பொதுவான இலக்காக இருக்கிறது?
• ஜீரோ-டே (zero-day) சுரண்டல்களிலிருந்து அமைப்புகள் தங்களை எவ்வாறு பாதுகாத்துக் கொள்ள முடியும்?
• நிறுவனங்கள் தரவுப் பறிப்பு (data extortion) தாக்குதலுக்கு இரையானால் என்ன செய்ய வேண்டும்?
• மீறல்கள் பரவாமல் தடுக்க நெட்வொர்க் பிரிவாக்கம் (network segmentation) எவ்வாறு உதவுகிறது?
• ஜீரோ-டே (zero-day) பலவீனத்திற்கும் அறியப்பட்ட பாதுகாப்பு குறைபாட்டிற்கும் என்ன வித்தியாசம்?

குறிச்சொற்கள்

#zero-day #cybersecurity #databreach #peoplesoft #oracle #extortion #naic #insurance #ransomware #vulnerability