सीबीएसई पोर्टल में 20 मिनट में खामियाँ उजागर: 19 वर्षीय एथिकल हैकर निसर्ग अधिकारी का बड़ा खुलासा
सारांश
19 साल के एथिकल हैकर निसर्ग अधिकारी का दावा है कि सीबीएसई पोर्टल में महज 20 मिनट में 45 सुरक्षा खामियाँ मिलीं — जिनमें एक मास्टर पासवर्ड और 3 करोड़ उत्तर पुस्तिकाओं तक पहुँच शामिल है। बोर्ड ने रिपोर्ट को नजरअंदाज किया; अब एफआईआर के बावजूद अधिकारी निडर हैं।
मुख्य बातें
निसर्ग अधिकारी (19 वर्ष) ने सीबीएसई पोर्टल में महज 20 मिनट में गंभीर सुरक्षा खामियाँ उजागर करने का दावा किया।
पोर्टल के जावास्क्रिप्ट कोड में हार्डकोड मास्टर पासवर्ड मिला, जिससे किसी भी मूल्यांकनकर्ता के खाते तक पहुँच संभव थी।
कुल 45 सुरक्षा कमजोरियाँ रिपोर्ट की गईं; लगभग 3 करोड़ स्कैन उत्तर पुस्तिकाएँ और डेटाबेस खतरे में बताए गए।
सीबीएसई को रिपोर्ट भेजने के बाद तीन महीने तक कोई जवाब नहीं मिला, जिसके बाद खुलासा सार्वजनिक किया गया।
अधिकारी ने डीडीओएस हमले में किसी भी भूमिका से इनकार किया और एफआईआर को लेकर किसी भय से साफ इनकार किया।
उन्होंने सीबीएसई से अनिवार्य ऑडिट और वीएपीटी टेस्टिंग सुनिश्चित करने की माँग की।
नई दिल्ली में 6 जून को 19 वर्षीय एथिकल हैकर निसर्ग अधिकारी ने दावा किया कि उन्होंने केंद्रीय माध्यमिक शिक्षा बोर्ड (सीबीएसई) के पोर्टल में मौजूद गंभीर सुरक्षा खामियाँ महज 20 मिनट में उजागर कर दीं। उनके अनुसार, पोर्टल में एक मास्टर पासवर्ड हार्डकोड था, जिससे किसी भी मूल्यांकनकर्ता के खाते तक पहुँचा जा सकता था और लगभग 3 करोड़ स्कैन की गई उत्तर पुस्तिकाएँ तथा डेटाबेस तक अनधिकृत पहुँच संभव थी।
कैसे मिली खामियाँ
निसर्ग अधिकारी ने बताया कि जब सीबीएसई ने अपना पोर्टल लॉन्च किया और सर्कुलर जारी किए, तो उन्होंने गहराई से जाँच शुरू की। पोर्टल का जावास्क्रिप्ट फ्रंट-एंड कोड — जो लगभग 9,000 लाइन का था — सार्वजनिक रूप से उपलब्ध था। उन्होंने एआई-असिस्टेड टूल्स की मदद से उस कोड की समीक्षा की और उसमें एक मास्टर कोड पासवर्ड खोजा।
उन्होंने कहा, 'उस मास्टर पासवर्ड से, यूजर आईडी होने पर किसी भी मूल्यांकनकर्ता के खाते को एक्सेस किया जा सकता था।' गूगल सर्च और अन्य स्रोतों से कुछ मूल्यांकनकर्ताओं की यूजर आईडी हासिल कर वे उन खातों में लॉग-इन करने में सफल रहे। इसके बाद उन्हें पता चला कि वे मूल्यांकनकर्ताओं के पेपर देख सकते थे और ग्रेड भी जेनरेट कर सकते थे।
45 कमजोरियाँ रिपोर्ट, सीबीएसई की चुप्पी
अधिकारी के अनुसार, उन्होंने कुल 45 सुरक्षा खामियाँ चिह्नित कीं और उनकी रिपोर्ट सीबीएसई को भेजी, लेकिन बोर्ड की ओर से कोई जवाब नहीं मिला। उन्होंने तीन महीने प्रतीक्षा की और परिणाम आने के बाद यह जानकारी सार्वजनिक की। सार्वजनिक खुलासे के बाद उन्हें और भी कमजोरियाँ मिलीं, जिनसे लगभग 3 करोड़ स्कैन की हुई उत्तर पुस्तिकाओं, डेटाबेस और अन्य संवेदनशील सामग्री तक पहुँच संभव थी।
उन्होंने यह भी आरोप लगाया कि सीबीएसई और सीईआरटी सुरक्षा रिपोर्टों को पर्याप्त गंभीरता से नहीं लेते। उनके अनुसार, सीबीएसई के अपने समझौते में लिखा था कि पोर्टल को प्रोडक्शन में लाने से पहले सीओईएम द्वारा ऑडिट और वीएपीटी टेस्टिंग अनिवार्य थी, लेकिन उनका दावा है कि ऐसा नहीं हुआ।
एफआईआर पर प्रतिक्रिया
सीबीएसई ने अपने पीबीआर पोर्टल पर हुए डीडीओएस (DDoS) हमले के संदर्भ में एफआईआर दर्ज कराई है। अधिकारी ने स्पष्ट किया कि उन्होंने या उनके साथ रिसर्च करने वाले किसी भी व्यक्ति ने डीडीओएस हमला नहीं किया। उन्होंने कहा, 'मुझे कोई चिंता नहीं है। मैं सीबीएसई से जुड़े कुछ लोगों और साइबर कम्युनिटी के संपर्क में हूँ। मुझे बिल्कुल भी डर नहीं है।'
सीबीएसई के लिए सुझाव
अधिकारी ने सीबीएसई को सलाह दी कि वे सुरक्षा रिपोर्टों को गंभीरता से लें, साइबर विशेषज्ञों से नियमित परामर्श लें और पोर्टल को प्रोडक्शन में लाने से पहले अनिवार्य रूप से उचित ऑडिट और सुरक्षा जाँच सुनिश्चित करें। उन्होंने कहा कि यह कोई पहली घटना नहीं है — सुरक्षा को उतनी प्राथमिकता नहीं दी जाती जितनी मिलनी चाहिए।
यह मामला ऐसे समय में सामने आया है जब देश भर में सरकारी डिजिटल अवसंरचना की साइबर सुरक्षा को लेकर सवाल उठ रहे हैं। गौरतलब है कि शिक्षा से जुड़े पोर्टलों पर करोड़ों छात्रों का संवेदनशील डेटा संग्रहीत रहता है, इसलिए इस तरह की खामियाँ राष्ट्रीय महत्व की हैं।
संपादकीय दृष्टिकोण
जिम्मेदारी लेने की बजाय संदेशवाहक को दंडित करने की पुरानी सरकारी प्रवृत्ति को दर्शाता है। गौरतलब है कि भारत में 'बग बाउंटी' संस्कृति अभी भी अपरिपक्व है — एथिकल हैकरों को पुरस्कार की जगह कानूनी नोटिस मिलते हैं। जब तक सरकारी संस्थाएँ जिम्मेदार खुलासे (Responsible Disclosure) को प्रोत्साहित नहीं करतीं, असली खतरा वे नहीं जो खामियाँ बताते हैं, बल्कि वे हैं जो चुपचाप उनका दुरुपयोग करते हैं।
RashtraPress
22 जुलाई 2026
अक्सर पूछे जाने वाले प्रश्न
निसर्ग अधिकारी ने सीबीएसई पोर्टल में क्या खामी खोजी?
निसर्ग अधिकारी ने सीबीएसई पोर्टल के जावास्क्रिप्ट कोड में एक हार्डकोड मास्टर पासवर्ड खोजा, जिससे यूजर आईडी के साथ किसी भी मूल्यांकनकर्ता के खाते तक पहुँचा जा सकता था। इसके अलावा उन्होंने कुल 45 सुरक्षा कमजोरियाँ रिपोर्ट कीं, जिनमें लगभग 3 करोड़ स्कैन उत्तर पुस्तिकाओं और डेटाबेस तक अनधिकृत पहुँच की संभावना शामिल थी।
सीबीएसई ने इस रिपोर्ट पर क्या कार्रवाई की?
अधिकारी के अनुसार, सीबीएसई ने तीन महीने तक उनकी सुरक्षा रिपोर्ट का कोई जवाब नहीं दिया। खुलासा सार्वजनिक होने के बाद बोर्ड ने अपने पीबीआर पोर्टल पर हुए डीडीओएस हमले के संदर्भ में एफआईआर दर्ज कराई, हालाँकि अधिकारी ने उस हमले में किसी भूमिका से इनकार किया है।
क्या निसर्ग अधिकारी ने कोई गैरकानूनी काम किया?
अधिकारी का कहना है कि उन्होंने एथिकल तरीके से खामियों की जाँच और रिपोर्टिंग की, न कि किसी डीडीओएस या विध्वंसकारी हमले में भाग लिया। उन्होंने स्पष्ट किया कि उनके और उनके साथ रिसर्च करने वाले किसी भी व्यक्ति ने डीडीओएस हमला नहीं किया। वे एफआईआर को लेकर निडर हैं और साइबर कम्युनिटी तथा संबंधित लोगों के संपर्क में हैं।
सीबीएसई पोर्टल की सुरक्षा में क्या कमी रही?
अधिकारी के अनुसार, सीबीएसई के अपने समझौते में पोर्टल को प्रोडक्शन में लाने से पहले सीओईएम द्वारा ऑडिट और वीएपीटी टेस्टिंग अनिवार्य थी, लेकिन उनका दावा है कि यह प्रक्रिया पूरी नहीं की गई। पोर्टल बिना उचित सुरक्षा जाँच के लाइव किया गया, जिससे फ्रंट-एंड कोड में संवेदनशील जानकारी उजागर रही।
इस मामले से छात्रों पर क्या असर पड़ सकता था?
यदि इन खामियों का दुर्भावनापूर्ण तरीके से दोहन किया जाता, तो लगभग 3 करोड़ स्कैन उत्तर पुस्तिकाओं, ग्रेड डेटा और मूल्यांकनकर्ताओं की व्यक्तिगत जानकारी तक अनधिकृत पहुँच संभव थी। इससे परीक्षा परिणामों की विश्वसनीयता और लाखों छात्रों की निजता खतरे में पड़ सकती थी।
