வெளியிடப்பட்டது
முக்கியக் குறிப்புகள்
- ஜப்பானின் தேசியக் காவல் முகமையின் (NPA) கணக்கின்படி, 2026-இன் முதல் அரையாண்டில் 123 ரான்சம்வேர் பாதிப்புகள் புகாரளிக்கப்பட்டன; 2020-இன் இரண்டாம் அரையாண்டில் புள்ளிவிவரங்கள் தொடங்கியதிலிருந்து ஓர் அரையாண்டுக்கான அதிகபட்ச எண்ணிக்கை இது. பாதிக்கப்பட்டோரிடம் NPA நடத்திய கணக்கெடுப்பில், நுழைவு வழிகளில் சுமார் பாதி VPN சாதனங்கள்.
- Verizon-இன் 2026 Data Breach Investigations Report (DBIR) அறிக்கையில், பலவீனங்களைப் பயன்படுத்திக்கொள்வது (exploitation of vulnerabilities) 31% உடன் மிகப் பொதுவான ஆரம்ப அணுகல் வழியாக மாறியது; அங்கீகாரத் தகவல்களின் தவறான பயன்பாடு (credential abuse) 13%. ஒப்பந்த நிறுவனம் போன்ற மூன்றாம் தரப்பினர் சம்பந்தப்பட்ட மீறல்கள் மொத்தத்தில் 48%-ஐ எட்டின.
- காப்புப்பிரதிகள் இருப்பது மீட்சிக்கு உத்தரவாதம் அல்ல. 2026-இன் முதல் அரையாண்டுக்கான NPA கணக்கெடுப்பில், மீட்டெடுப்பு முடிவைத் தெரிவித்த 40 நிறுவனங்களில் 29 நிறுவனங்களால் காப்புப்பிரதியிலிருந்து மீட்டெடுக்க முடியவில்லை; காப்புப்பிரதிகளே குறியாக்கம் செய்யப்பட்டதோ அழிக்கப்பட்டதோதான் மிகப் பொதுவான காரணம் (29-இல் 14).
- முக்கியச் சரிபார்ப்புகள்: இணையத்தில் வெளிப்படும் சாதனங்களின் பட்டியல், பல காரணி அங்கீகாரம், தீவிரம் மற்றும் வெளிப்பாட்டுக்கு ஏற்ப நிர்ணயிக்கப்பட்ட பேட்ச் காலக்கெடுக்கள், தனிமைப்படுத்தப்பட்டு மீட்டெடுப்புச் சோதனை செய்யப்பட்ட காப்புப்பிரதிகள், வழங்குநர் பேரேடும் ஒப்பந்தங்களும், சம்பவ எதிர்வினைத் திட்டமும் பயிற்சி ஒத்திகைகளும், பதிவுகளைத் தக்கவைத்தல், அணுகல் மறுஆய்வுகள்.
- ஏப்ரல் 2022 முதல், குறிப்பிட்ட தனிநபர் தரவுக் கசிவுகளை ஜப்பானிய நிறுவனங்கள் தனிநபர் தகவல் பாதுகாப்பு ஆணையத்திடம் (Personal Information Protection Commission, PPC) அறிக்கையிடவும், பாதிக்கப்பட்டோருக்குத் தெரிவிக்கவும் வேண்டும். 2025 நிதியாண்டில் நிறுவனங்களிடமிருந்து வந்த 17,139 அத்தகைய அறிக்கைகளை PPC கையாண்டது.
நுழைவு வழியின் அடிப்படையில் வகைப்படுத்தினால் சரிபார்ப்பது எளிது
சைபர் தாக்குதல் பற்றிய செய்திகள் பெரும்பாலும் சம்பந்தப்பட்ட நிறுவனங்களையே மையமாகக் கொள்கின்றன; ஆனால் தாக்குபவர்கள் ஒரு நிறுவனத்துக்குள் நுழையும் வழிகள் குறைவானவையே. அரசு அமைப்புகள் மற்றும் ஆய்வு நிறுவனங்களின் புள்ளிவிவரங்களில் ஒரே வழிகள் மீண்டும் மீண்டும் முன்னிலையில் தோன்றுகின்றன: இணையத்தில் வெளிப்படும் VPN சாதனங்களும் ரிமோட் டெஸ்க்டாப்பும் (remote desktop), திருடப்பட்ட ID-களும் கடவுச்சொற்களும், சரிசெய்யப்படாத பலவீனங்கள் (vulnerabilities), ஒப்பந்த நிறுவனங்களும் கிளவுட் சேவைகளும், உள்நபர்கள் தரவை வெளியே எடுத்துச் செல்லுதல். இந்தக் கட்டுரை எந்தக் குறிப்பிட்ட சம்பவத்தையும் விவாதிக்கவில்லை. ஒவ்வொரு தாக்குதல் வகைக்கும் அது எவ்வாறு செயல்படுகிறது, தரவு என்ன சொல்கிறது, எதைச் சரிபார்க்க வேண்டும் என்பதை இது விளக்குகிறது.
Information-technology Promotion Agency, Japan (IPA) 29 ஜனவரி 2026 அன்று வெளியிட்ட Information Security 10 Major Threats 2026 (தகவல் பாதுகாப்பின் 10 முக்கிய அச்சுறுத்தல்கள் 2026) பட்டியலின் நிறுவனங்களுக்கான பிரிவிலும் இதே வழிகள் இடம்பெறுகின்றன. 2025-இல் நிகழ்ந்த சம்பவங்கள் மற்றும் தாக்குதல்களிலிருந்து IPA வேட்பு அச்சுறுத்தல்களைத் தேர்ந்தெடுக்கிறது; ஆய்வாளர்கள், நிறுவனங்களின் நடைமுறைப் பணியாளர்கள் உள்ளிட்ட சுமார் 250 உறுப்பினர்களைக் கொண்ட தேர்வுக் குழு விவாதித்து வாக்களித்துத் தரவரிசையை முடிவு செய்கிறது.
| தரவரிசை | அச்சுறுத்தல் | பட்டியல் வரலாறு (2016 முதல்) |
|---|---|---|
| 1 | ரான்சம்வேர் தாக்குதல்களால் ஏற்படும் சேதம் | தொடர்ந்து 11-ஆம் ஆண்டு, 11-ஆம் முறை |
| 2 | விநியோகச் சங்கிலிகளையும் அவுட்சோர்சிங் வழங்குநர்களையும் குறிவைக்கும் தாக்குதல்கள் | தொடர்ந்து 8-ஆம் ஆண்டு, 8-ஆம் முறை |
| 3 | AI பயன்பாட்டைச் சுற்றியுள்ள சைபர் இடர்கள் | முதல் முறையாகத் தேர்வு |
| 4 | சிஸ்டம் பலவீனங்களைப் பயன்படுத்திக்கொள்ளும் தாக்குதல்கள் | தொடர்ந்து 6-ஆம் ஆண்டு, 9-ஆம் முறை |
| 5 | ரகசியத் தகவல்களைக் குறிவைக்கும் இலக்கு வைக்கப்பட்ட தாக்குதல்கள் | தொடர்ந்து 11-ஆம் ஆண்டு, 11-ஆம் முறை |
| 6 | புவிசார் அரசியல் இடர்களால் எழும் சைபர் தாக்குதல்கள் (தகவல் போர் உட்பட) | தொடர்ந்து 2-ஆம் ஆண்டு, 2-ஆம் முறை |
| 7 | உள்நபர்களால் ஏற்படும் தகவல் கசிவுகளும் பிற தீங்குகளும் | தொடர்ந்து 11-ஆம் ஆண்டு, 11-ஆம் முறை |
| 8 | தொலைதூரப் பணிச் சூழல்களையும் அமைப்புகளையும் குறிவைக்கும் தாக்குதல்கள் | தொடர்ந்து 6-ஆம் ஆண்டு, 6-ஆம் முறை |
| 9 | DDoS (பரவலாக்கப்பட்ட சேவை மறுப்பு) தாக்குதல்கள் | தொடர்ந்து 2-ஆம் ஆண்டு, 7-ஆம் முறை |
| 10 | வணிக மின்னஞ்சல் மோசடி (business email compromise) | தொடர்ந்து 9-ஆம் ஆண்டு, 9-ஆம் முறை |
ரான்சம்வேர்: VPN சாதனங்கள், ரிமோட் டெஸ்க்டாப் வழியாக நுழைவு
ரான்சம்வேர் என்பது சாதனங்களிலும் சர்வர்களிலும் உள்ள தரவைப் பயன்படுத்த முடியாதபடி குறியாக்கம் செய்து, அதை மீட்டுத் தருவதற்குப் பணம் கேட்கும் தீங்கிழைக்கும் மென்பொருள். இப்போது பெரும்பாலான சம்பவங்களில் இரட்டை மிரட்டல் (double extortion) நடக்கிறது: தாக்குபவர்கள் முதலில் தரவைத் திருடி, பணம் தராவிட்டால் அதை வெளியிடுவோம் என்று அச்சுறுத்துகின்றனர். வழக்கமான வரிசையை NPA இவ்வாறு விவரிக்கிறது: சரிசெய்யப்படாத பலவீனங்களையோ கசிந்த அங்கீகாரத் தகவல்களையோ பயன்படுத்தி நுழைந்து, நிர்வாகி உரிமைகளைக் கைப்பற்றவும் பாதுகாப்புக் கருவிகளை முடக்கவும் முயன்று, முக்கியத் தரவையும் காப்புப்பிரதிகளையும் நெட்வொர்க்கில் தேடி, தரவை வெளியே அனுப்பிய பின்னரே குறியாக்கம் செய்கின்றனர்.
2026-இன் முதல் அரையாண்டின் சைபர் அச்சுறுத்தல் நிலை குறித்த NPA அறிக்கையின்படி (செப்டம்பர் 2026), அந்த அரையாண்டில் 123 ரான்சம்வேர் பாதிப்புகள் புகாரளிக்கப்பட்டன; 2020-இன் இரண்டாம் அரையாண்டில் புள்ளிவிவரங்கள் தொடங்கியதிலிருந்து எந்த அரையாண்டிலும் இதுவே அதிகம். தரவைக் குறியாக்கம் செய்யாமல் திருடி மட்டும் பணம் கேட்கும் “நோவேர் ரான்சம்” (no-ware ransom) பாதிப்புகள் மேலும் 9 புகாரளிக்கப்பட்டன. இப்போது பெரும்பாலான ஊடுருவல்கள் இணையத்தில் வெளிப்படும் புள்ளிகள் வழியாகத் தொலைவிலிருந்து இயக்கப்பட்டு நடக்கின்றன என்றும், இலக்கு வைக்கப்பட்ட மின்னஞ்சல்களின் இணைப்புகள் மூலம் ஏற்படும் தொற்று குறைந்துள்ளது என்றும் NPA கூறுகிறது. 2025 முழுவதிலும், நுழைவு வழி குறித்த 92 செல்லுபடியான பதில்களில் 61 VPN சாதனங்களையும் 19 ரிமோட் டெஸ்க்டாப்பையும் குறிப்பிட்டன; சந்தேகத்திற்குரிய மின்னஞ்சல்களையோ அவற்றின் இணைப்புகளையோ குறிப்பிட்டவை 2 மட்டுமே. 2026-இன் முதல் அரையாண்டில் பாதிக்கப்பட்டோரிடம் நடத்திய கணக்கெடுப்பில், 60% நிறுவனங்கள் மீட்சிக்கு மொத்தம் 10 மில்லியன் யென் அல்லது அதற்கு மேல் செலவிட்டன; ஒரு மாதத்துக்குள் மீண்ட நிறுவனங்கள் பாதிக்கும் சற்றுக் குறைவே.
| உருப்படி | முடிவு |
|---|---|
| நுழைவு வழி (36) | VPN சாதனங்கள் 18, ரிமோட் டெஸ்க்டாப் 9, பிற 9 |
| மீட்சிக்கு ஆன காலம் (48) | உடனடியாக முதல் ஒரு வாரத்துக்குள் 17, ஒரு வாரம் முதல் ஒரு மாதத்துக்குள் 6, ஒன்று முதல் இரண்டு மாதங்களுக்குள் 4, இரண்டு மாதங்கள் அல்லது அதற்கு மேல் 8, இன்னும் மீட்சியில் 13 |
| விசாரணை மற்றும் மீட்சிக்கான மொத்தச் செலவு (35) | 100 மில்லியன் யென் அல்லது அதற்கு மேல் 4, 50 மில்லியன் முதல் 100 மில்லியன் யென்னுக்குக் கீழ் 6, 10 மில்லியன் முதல் 50 மில்லியன் யென்னுக்குக் கீழ் 11, 10 மில்லியன் யென்னுக்குக் கீழ் 14 |
| காப்புப்பிரதிகள் | காப்புப்பிரதி இருந்தது: 50-இல் 44. காப்புப்பிரதியிலிருந்து மீட்டெடுக்க முடிந்தது: 11; முடியவில்லை: 29 (40-இல்). மீட்டெடுக்க முடியாததற்கான காரணங்கள்: காப்புப்பிரதிகள் குறியாக்கம் செய்யப்பட்டன அல்லது அழிக்கப்பட்டன 14, இயக்கக் குறைபாடுகள் 8, பிற 7 |
| பாதுகாப்புப் பேட்ச்கள் (29) | பயன்படுத்தப்படாத பேட்ச்கள் இருந்தன 17, சமீபத்திய பேட்ச்கள் பயன்படுத்தப்பட்டிருந்தன 12 |
| பதிவுகளைப் பாதுகாத்தல் (48) | அனைத்தும் பாதுகாக்கப்பட்டன 10, ஒரு பகுதி பயன்படுத்த முடியாதவை 32, பயன்படுத்த முடியாதவை 2, பதிவுகளே இல்லை 4 |
சரிபார்க்க வேண்டியவை
- இணையத்தில் வெளிப்படும் சாதனங்களின் பட்டியல்: VPN சாதனங்கள், ரிமோட் டெஸ்க்டாப் சேவைகள், ஃபயர்வால்கள் போன்றவற்றைப் பட்டியலிட்டு, மாடல், ஃபர்ம்வேர் பதிப்பு, ஆதரவு முடியும் தேதி, பொறுப்பாளர் ஆகியவற்றைப் பதிவுசெய்யுங்கள். நெட்வொர்க் சாதனங்கள் உட்பட வன்பொருள் மற்றும் மென்பொருள் பட்டியல்களில் ஆதரவுக் காலத்தையும் பதிப்புத் தகவலையும் பதிவுசெய்யுமாறு நிதிச் சேவைகள் முகமையின் (FSA) Guidelines on Cybersecurity for the Financial Sector-உம் கோருகிறது.
- தொலைநிலை அணுகலுக்குப் பல காரணி அங்கீகாரம்: ஒவ்வொரு VPN மற்றும் தொலைநிலை அணுகல் கணக்கிலும் பல காரணி அங்கீகாரத்தைக் (multi-factor authentication) கட்டாயமாக்குங்கள்; பயன்படுத்தப்படாத கணக்குகளையோ இயல்புநிலைக் கடவுச்சொற்களையோ விட்டுவைக்காதீர்கள். முக்கியமான சிஸ்டம்களுக்கான தொலைநிலை அணுகலுக்குப் பல காரணி அங்கீகாரத்தை FSA வழிகாட்டுதல் கோருகிறது.
- தனிமைப்படுத்தப்பட்டு, மீட்டெடுப்புச் சோதனை செய்யப்பட்ட காப்புப்பிரதிகள்: உள் நெட்வொர்க்கிலிருந்து துண்டிக்கப்பட்ட சூழல்களிலோ மாற்ற முடியாத அமைப்புகளிலோ காப்புப்பிரதிகளை வைத்து, அவற்றை உண்மையில் மீட்டெடுக்க முடிகிறதா என்று தொடர்ந்து சோதியுங்கள். காப்புப்பிரதித் தரவைத் தனிமைப்படுத்திப் பாதுகாத்தல், ஒருமைப்பாட்டுச் சரிபார்ப்பு, மீட்சிச் சோதனை ஆகியவற்றைக் காப்புப்பிரதி விதிகளில் சேர்க்குமாறு FSA வழிகாட்டுதல் கேட்கிறது.
- பதிவுகளைச் சேகரித்துத் தக்கவைத்தல்: VPN சாதனங்கள், அங்கீகார அமைப்புகள், சர்வர்கள் ஆகியவற்றின் பதிவுகளை (logs) யாரும் மாற்ற முடியாத இடத்தில், விசாரணைக்குத் தேவைப்படும் காலம் வரை வைத்திருங்கள். NPA கணக்கெடுப்பில், பாதிக்கப்பட்ட 48 நிறுவனங்களில் 10 மட்டுமே தங்கள் பதிவுகள் அனைத்தையும் பாதுகாத்திருந்தன.
திருடப்பட்ட அங்கீகாரத் தகவல்களும் ஃபிஷிங்கும்
ஃபிஷிங் (phishing) என்பது உண்மையான நிறுவனத்திடமிருந்து வருவதுபோல் தோன்றும் மின்னஞ்சல்கள் அல்லது குறுஞ்செய்திகள் மூலம் மக்களைப் போலி இணையதளத்துக்கு இழுத்து, ID, கடவுச்சொல், அட்டை எண் போன்றவற்றை உள்ளிடச் செய்யும் முறை. திருடப்பட்ட அங்கீகாரத் தகவல்கள் பின்னர் VPN-களிலும் கிளவுட் சேவைகளிலும் உள்நுழையவும் பயன்படுத்தப்படுகின்றன. தொலைபேசி அடிப்படையிலான முறைகளும் பரவி வருகின்றன. NPA-வின்படி, 2024 இலையுதிர்காலம் முதல், குற்றவாளிகள் ஒரு நிறுவனத்தை அழைத்து மின்னஞ்சல் முகவரியைப் பெற்று, பின்னர் ஃபிஷிங் மின்னஞ்சல் அனுப்பும் “குரல் ஃபிஷிங்” (voice phishing) மூலம் நிறுவனக் கணக்குகளிலிருந்து மோசடியான பணப் பரிமாற்றங்கள் கூர்மையாக அதிகரித்தன. மே 2026-இல், தொலைபேசி அழைப்பைப் பயன்படுத்தி நிறுவனத்தைத் தொலைநிலைக் கட்டுப்பாட்டு மென்பொருளை நிறுவச் செய்து, அதே நேரத்தில் போலி இணையதளம் மூலம் இணைய வங்கி ID-யையும் கடவுச்சொல்லையும் கைப்பற்றும் புதிய முறையால் ஏற்பட்ட சேதமும் கூர்மையாக அதிகரித்தது.
Council of Anti-Phishing Japan அமைப்பு 2026-இன் முதல் அரையாண்டில் சுமார் 730,000 ஃபிஷிங் புகார்களைப் பெற்றது (NPA மேற்கோள் காட்டியபடி); ஆகஸ்ட் 2026-இல் மட்டும் 82,338. துறைவாரியாக, ஆகஸ்ட் புகார்களில் சுமார் 43.3% மின்வணிகம், சுமார் 29.0% கிரெடிட் கார்டு மற்றும் நுகர்வோர் கடன், சுமார் 2.4% வங்கிகள் சார்ந்தவை. AI-இன் முன்னேற்றத்தால் வாசகங்கள் இயல்பாகவும் ஆள்மாறாட்டம் நம்பகமாகவும் மாறியுள்ளதால், ஃபிஷிங்கைக் கண்டறிவது கடினமாகி வருகிறது என்று NPA குறிப்பிடுகிறது.
Verizon-இன் 2026 Data Breach Investigations Report (DBIR) அறிக்கையில், ஆரம்ப அணுகலில் (initial access) அங்கீகாரத் தகவல்களின் தவறான பயன்பாட்டின் பங்கு 13%; இதுவரை அது வகித்த முதலிடம் பலவீனங்களைப் பயன்படுத்திக்கொள்வதற்குச் சென்றது. இருப்பினும் ஃபிஷிங் 16%, கற்பனைச் சூழ்நிலை மூலம் நம்பிக்கையை உருவாக்கி ஒருவரைச் செயல்பட வைக்கும் பிரீடெக்ஸ்டிங் (pretexting) 6% பங்கு வகித்தன; 62% மீறல்களில் மனிதக் காரணி சம்பந்தப்பட்டிருந்தது. ID-களைக் குறிவைக்கும் தாக்குதல்களில் 97%-க்கும் மேற்பட்டவை கடவுச்சொல் தாக்குதல்கள் என்றும், பல காரணி அங்கீகாரம் (MFA) ID-களைக் குறிவைக்கும் தாக்குதல்களில் 99%-க்கும் மேற்பட்டவற்றைத் தடுக்கக்கூடும் என்றும் Microsoft-இன் Digital Defense Report 2025 கூறுகிறது. மறுபுறம், மின்னஞ்சல் அங்கீகாரம், பல காரணி அங்கீகாரம் போன்ற தொழில்நுட்ப நடவடிக்கைகள் மட்டுமே போதாது என்று NPA கூறுகிறது.
சரிபார்க்க வேண்டியவை
- பல காரணி அங்கீகாரத்தின் பரப்பு: வெளியிலிருந்து அணுகக்கூடிய ஒவ்வொரு சிஸ்டத்துக்கும், குறிப்பாக நிர்வாகி கணக்குகள், VPN-கள், மின்னஞ்சல், கிளவுட் சேவைகளுக்கு, பல காரணி அங்கீகாரம் உள்ளதா என்பதை உங்கள் பட்டியலிலிருந்து உறுதிசெய்யுங்கள். பாஸ்கீ (passkey) போன்ற ஃபிஷிங்கை எதிர்க்கும் பல காரணி அங்கீகாரத்தைப் பரிசீலிக்குமாறு Council of Anti-Phishing Japan வலியுறுத்துகிறது.
- மின்னஞ்சல் அனுப்புநர் அங்கீகாரம்: உங்கள் டொமைனைப் போல் நடிக்கும் மின்னஞ்சலைப் பெறுநர்கள் அடையாளம் காணும் வகையில் SPF, DKIM, DMARC ஆகியவற்றை அமையுங்கள். இணையவழிச் சேவைகளை நடத்தும் நிறுவனங்கள் தங்கள் DMARC கொள்கையை reject (p=reject) நிலைக்கு மாற்றத் திட்டமிட வேண்டும் என்று அந்த அமைப்பு கேட்கிறது.
- தொலைபேசிக் கோரிக்கைகளுக்கும் தொலைநிலை அணுகல் கோரிக்கைகளுக்குமான நடைமுறை: வணிகக் கூட்டாளி அல்லது வங்கி என்று கூறிக்கொள்ளும் ஒருவர் மின்னஞ்சல் முகவரியையோ அங்கீகாரத் தகவல்களையோ கேட்டால், அல்லது தொலைநிலைக் கட்டுப்பாட்டு மென்பொருளை நிறுவச் சொன்னால், ஊழியர்கள் உடனே இணங்காமல், ஏற்கெனவே தெரிந்த எண்ணுக்குத் திரும்ப அழைத்துச் சரிபார்க்க வேண்டும். இந்த நடைமுறையை வகுத்து அனைவருக்கும் தெரியப்படுத்துங்கள்.
- புகாரளிக்கும் வழியும் பயிற்சியும்: சந்தேகத்திற்குரிய மின்னஞ்சல்களை ஊழியர்கள் உடனடியாகப் புகாரளிக்க ஓர் இடத்தை வழங்குங்கள்; பயிற்சியில் கிளிக் விகிதத்துடன் புகாரளிப்பு விகிதத்தையும் அளவிடுங்கள். இலக்கு வைக்கப்பட்ட மின்னஞ்சல் பயிற்சியில் புகாரளிப்பு விகிதத்தை முக்கியச் செயல்திறன் குறிகாட்டிக்கான (KPI) எடுத்துக்காட்டாக FSA வழிகாட்டுதல் குறிப்பிடுகிறது.
சரிசெய்யப்படாத பலவீனங்கள், குறிப்பாக எல்லைச் சாதனங்களில்
VPN சாதனங்கள், ஃபயர்வால்கள் போன்று ஒரு நிறுவனத்தின் நெட்வொர்க்குக்கும் இணையத்துக்கும் இடையிலான எல்லையில் அமைந்துள்ள சாதனங்களை வெளியிலிருந்து எந்த நேரத்திலும் அணுக முடியும். அத்தகைய சாதனத்தில் பலவீனம் கண்டறியப்பட்டால், தாக்குபவர்கள் பாதிக்கப்பட்ட சாதனங்களை இணையத்தில் தேடி, திருத்தம் பயன்படுத்தப்படுவதற்கு முன்பே நுழைய முயல்கின்றனர். 2026-இன் முதல் அரையாண்டில், பலவீனங்களைத் தேடுதல் போன்ற சந்தேகத்திற்குரிய அணுகல்களை NPA-வின் சென்சார்கள் ஒரு நாளுக்கு ஒரு IP முகவரிக்கு 13,687 என்ற விகிதத்தில் கண்டறிந்தன; இது முந்தைய ஆண்டைவிட 50.7% அதிகம்.
Verizon-இன் 2026 DBIR-இல், பலவீனங்களைப் பயன்படுத்திக்கொள்வது ஆரம்ப அணுகலில் 31% பங்கு வகித்து, மிகப் பொதுவான நுழைவு வழியாக மாறியது. அமெரிக்காவின் Cybersecurity and Infrastructure Security Agency (CISA) பராமரிக்கும் Known Exploited Vulnerabilities (KEV) பட்டியலில் உள்ள முக்கியமான பலவீனங்களில், 2025-இல் நிறுவனங்கள் முழுமையாகச் சரிசெய்தவை 26% மட்டுமே (முந்தைய ஆண்டில் 38%); முழுமையான தீர்வுக்கான நேரத்தின் இடைநிலை மதிப்பு (median) 32 நாட்களிலிருந்து 43 நாட்களாக உயர்ந்தது. நிதிச் சேவைகள் மற்றும் காப்பீட்டுத் துறையிலும் பலவீனங்களைப் பயன்படுத்திக்கொள்வதே முன்னணி ஆரம்ப அணுகல் வழி (22%); அடுத்து ஃபிஷிங் (20%), அங்கீகாரத் தகவல்களின் தவறான பயன்பாடு (15%). 2026-இன் முதல் அரையாண்டுக்கான NPA கணக்கெடுப்பில், பதிலளித்த 29 ரான்சம்வேர் பாதிப்பு நிறுவனங்களில் 17-இல் பயன்படுத்தப்படாத பாதுகாப்புப் பேட்ச்கள் இருந்தன.
KEV பட்டியல் என்பது உண்மையில் பயன்படுத்திக்கொள்ளப்பட்ட பலவீனங்களின் CISA பட்டியல். ஒரு பலவீனம் மூன்று நிபந்தனைகளைப் பூர்த்தி செய்யும்போது சேர்க்கப்படுகிறது: அதற்கு CVE ID இருக்க வேண்டும், அது நடைமுறையில் தீவிரமாகப் பயன்படுத்திக்கொள்ளப்பட்டதற்கான நம்பகமான சான்று இருக்க வேண்டும், விற்பனையாளர் வழங்கும் மேம்படுத்தல் போன்ற தெளிவான சரிசெய்யும் நடவடிக்கை இருக்க வேண்டும். அனைத்து நிறுவனங்களும் KEV பட்டியலை மறுஆய்வு செய்து கண்காணித்து, பட்டியலிடப்பட்ட பலவீனங்களைச் சரிசெய்வதற்கு முன்னுரிமை அளிக்குமாறு CISA வலுவாகப் பரிந்துரைக்கிறது; தங்கள் பலவீன மேலாண்மை முன்னுரிமைக் கட்டமைப்புக்கான உள்ளீடாக அதைப் பயன்படுத்த வேண்டும் என்றும் கூறுகிறது.
அமெரிக்கக் கூட்டாட்சிச் சிவில் நிர்வாகத்துறை முகமைகளுக்காக 10 ஜூன் 2026 அன்று CISA வெளியிட்ட கட்டாய இயக்க உத்தரவு (Binding Operational Directive) BOD 26-04, ஒரு பலவீனம் KEV பட்டியலில் உள்ளதா, சொத்து இணையத்தில் பொதுவெளியில் உள்ளதா, பலவீனத்தைப் பயன்படுத்திக்கொள்வதைத் தானியக்கமாக்க முடியுமா, தாக்குபவருக்கு எவ்வளவு கட்டுப்பாடு கிடைக்கும் என்பவற்றைப் பொறுத்து, நாட்காட்டி நாட்களில் சரிசெய்யும் காலக்கெடுக்களை நிர்ணயிக்கிறது. CVE, KEV பட்டியலில் சேர்க்கப்படும்போதோ முகமை தன் சொத்தில் அந்தப் பலவீனத்தைக் கண்டறியும்போதோ, இவற்றில் எது முதலில் நடக்கிறதோ அப்போதிருந்து காலக்கெடு தொடங்குகிறது. சொத்து ஊடுருவப்பட்டதா என்று சரிபார்க்கும் தடயவியல் முதல்நிலை ஆய்வும் (forensic triage) கோரப்படும் இடங்களில் காலக்கெடு மூன்று நாட்கள்; வேறு சில நிலைகளில் அடுத்த திட்டமிடப்பட்ட பெரிய மேம்படுத்தல் அல்லது மறுகட்டமைப்பின்போது சரிசெய்யலாம். இந்த உத்தரவு ஜப்பானிய நிறுவனங்களுக்குப் பொருந்தாது; ஆனால் வெளிப்பாடு மற்றும் பயன்படுத்திக்கொள்ளப்படும் நிலையைப் பொறுத்துக் காலக்கெடுவை நிர்ணயிக்கும் கருத்து பயனுள்ள குறிப்பாகும்.
சிஸ்டத்தின் முக்கியத்துவம், இடர், பலவீனத்தின் தீவிரம் ஆகியவற்றின் அடிப்படையில் பேட்ச் பயன்படுத்துதல் உள்ளிட்ட சரிசெய்யும் நடவடிக்கைகளுக்குக் காலக்கெடுக்களை நிர்ணயித்து, செய்தவற்றைக் கண்காணிக்குமாறு FSA வழிகாட்டுதல் கேட்கிறது. விதிவிலக்காக ஒரு பேட்ச் பயன்படுத்தப்படாவிட்டால், அந்த முடிவும் அதன் இடரும் மூத்த நிர்வாகத்தாலோ அதற்கு இணையான அமைப்பாலோ அங்கீகரிக்கப்பட வேண்டும்.
சரிபார்க்க வேண்டியவை
- பலவீனத் தகவல்களின் ஆதாரங்கள்: நீங்கள் பயன்படுத்தும் தயாரிப்புகளின் விற்பனையாளர்கள், JPCERT/CC போன்ற தகவல் பகிர்வு அமைப்புகள், KEV பட்டியல் ஆகியவற்றை யார், எவ்வளவு அடிக்கடி சரிபார்க்க வேண்டும் என்பதை முடிவு செய்து, கண்டறிந்தவற்றை உங்கள் பட்டியலுடன் ஒப்பிட்டு, பாதிக்கப்பட்ட சாதனங்களை உடனே அடையாளம் காணும்படி செய்யுங்கள்.
- தீவிரம் மற்றும் வெளிப்பாட்டுக்கு ஏற்ற காலக்கெடுக்கள்: ஒவ்வொரு வகைக்கும் பேட்ச் காலக்கெடுக்களை நிர்ணயியுங்கள் (எடுத்துக்காட்டாக, இணையத்தில் வெளிப்படும் சாதனங்களில் தீவிரமாகப் பயன்படுத்திக்கொள்ளப்படும் பலவீனங்களுக்கு முதலிடம்); காலக்கெடுவுக்குள் பயன்படுத்தப்பட்ட பேட்ச்களின் விகிதத்தைப் பதிவுசெய்யுங்கள்.
- அங்கீகரிக்கப்பட்ட விதிவிலக்குகளும் ஈடுசெய் கட்டுப்பாடுகளும்: ஒரு பேட்சை உடனே பயன்படுத்த முடியாவிட்டால், நிர்வாக அங்கீகாரம், ஈடுசெய் கட்டுப்பாடு (ஒரு செயல்பாட்டை முடக்குதல், இணைப்புகள் வரக்கூடிய இடங்களைக் கட்டுப்படுத்துதல்), மறுமதிப்பீட்டுத் தேதி ஆகியவற்றைப் பதிவுசெய்யுங்கள். ஆதரவுக் காலம் முடிந்த சாதனங்களுக்குத் திருத்தங்கள் வராது; எனவே உங்கள் பட்டியலில் உள்ள ஆதரவு முடிவுத் தேதிகளிலிருந்து அவற்றை மாற்றுவதைத் திட்டமிடுங்கள். ஆதரவு முடிந்த எல்லைச் சாதனங்களின் இடரைக் குறைப்பது குறித்து CISA-வும் ஓர் உத்தரவை (BOD 26-02) வெளியிட்டுள்ளது.
- பேட்ச் செய்த பின் ஊடுருவலைச் சரிபார்த்தல்: பயன்படுத்திக்கொள்ளப்பட்ட ஒரு பலவீனம், நீங்கள் பேட்ச் செய்வதற்கு முன்பே பயன்படுத்தப்பட்டிருக்கலாம். திருத்தத்துடன் சேர்த்து, அறிமுகமில்லாத கணக்குகளோ அமைப்பு மாற்றங்களோ உள்ளனவா என்று பதிவுகளைச் சரிபாருங்கள்.
ஒப்பந்த நிறுவனங்கள், விநியோகச் சங்கிலி, கிளவுட் சேவைகள்
உங்கள் சொந்தப் பாதுகாப்பு வலுவாக இருந்தாலும், உங்கள் சிஸ்டம்களை உருவாக்கும் அல்லது பராமரிக்கும் ஒப்பந்த நிறுவனம், உங்கள் தரவை வைத்திருக்கும் கிளவுட் சேவை, நீங்கள் பயன்படுத்தும் SaaS தயாரிப்பு ஆகியவற்றில் ஏதேனும் ஒன்று ஊடுருவப்பட்டால், உங்கள் தரவும் செயல்பாடுகளும் பாதிக்கப்படும். தொலைநிலைப் பராமரிப்பு இணைப்புகளும் ஒப்பந்த நிறுவனங்களின் கணக்குகளும் உங்கள் சொந்த நெட்வொர்க்குக்குள் நுழையும் வழியாகவும் மாறலாம்.
IPA-வின் 10 Major Threats 2026-இல், விநியோகச் சங்கிலிகளையும் அவுட்சோர்சிங் வழங்குநர்களையும் குறிவைக்கும் தாக்குதல்கள் நிறுவனங்களுக்கான பட்டியலில் இரண்டாம் இடத்தில் உள்ளன; தொடர்ந்து எட்டு ஆண்டுகளாகத் தேர்ந்தெடுக்கப்பட்டு வருகின்றன. Verizon-இன் 2026 DBIR-இல், மூன்றாம் தரப்பினர் சம்பந்தப்பட்ட மீறல்கள் முந்தைய ஆண்டைவிட 60% அதிகரித்து, அனைத்து மீறல்களிலும் 48%-ஐ எட்டின (நிதிச் சேவைகள் மற்றும் காப்பீட்டில் 34%). தங்கள் கிளவுட் கணக்குகளில் பல காரணி அங்கீகாரம் இல்லாதது அல்லது முறையாக அமைக்கப்படாதது என்ற குறையை முழுமையாகச் சரிசெய்த மூன்றாம் தரப்பு நிறுவனங்கள் 23% மட்டுமே என்றும், பலவீனமான கடவுச்சொற்கள் மற்றும் அனுமதி அமைப்புப் பிழைகளைப் பொறுத்தவரை கண்டறியப்பட்டவற்றில் பாதி தீர்க்கப்பட ஏறக்குறைய எட்டு மாதங்கள் ஆனது என்றும் அந்த அறிக்கை கண்டறிந்தது.
PPC-யின் 2025 நிதியாண்டு ஆண்டறிக்கையின்படி, ஆணையத்திடம் நேரடியாகச் செய்யப்பட்ட 13,345 கசிவு அறிக்கைகளில் 1,292 (9.7%) ஒப்பந்த நிறுவனத்தில் நிகழ்ந்தவை. அங்கீகாரமற்ற அணுகலால் ஏற்பட்ட கசிவுகளில், 533 அறிக்கையிடும் நிறுவனத்திலேயே நிகழ்ந்தன; 328 ஒப்பந்த நிறுவனத்தில் நிகழ்ந்தன. விநியோகச் சங்கிலியில் தோன்றும் சைபர் சம்பவங்கள் நிதி நிறுவனங்களுக்குக் கணிசமான பாதிப்பை ஏற்படுத்திய நிகழ்வுகள் உள்ளன என்று FSA வழிகாட்டுதல் குறிப்பிடுகிறது. மூன்றாம் தரப்பு இடர் மேலாண்மைக்கான அதன் அடிப்படை எதிர்வினை நடவடிக்கைகளில் மூன்றாம் தரப்பினரின் பேரேடு, உறவைத் தொடங்கும் முன் உரிய ஆய்வு (due diligence), ஒப்பந்தங்களிலும் SLA-களிலும் எழுதப்படும் தேவைகள், தொடர் கண்காணிப்பு, உறவு முடியும்போதான கட்டுப்பாடுகள் ஆகியவை அடங்கும்; எந்த மூன்றாம் தரப்பினரை உள்ளடக்குவது என்பதை இடர் அடிப்படையில் முடிவு செய்யுமாறும் அது கேட்கிறது.
சரிபார்க்க வேண்டியவை
- வழங்குநர் பேரேடு: ஒவ்வொரு ஒப்பந்த நிறுவனத்துக்கும் கிளவுட் வழங்குநருக்கும், அது வழங்கும் தயாரிப்புகள், சேவைகள், செயல்பாடுகள், உங்கள் சிஸ்டம்களுக்கு அதற்கு உள்ள அணுகல் நிலை, அது வைத்திருக்கும் அல்லது செயலாக்கும் உங்கள் தரவின் வகை, உணர்திறன், இருப்பிடம் ஆகியவற்றைப் பதிவுசெய்யுங்கள் (FSA வழிகாட்டுதலில் உள்ள எடுத்துக்காட்டு உருப்படிகள்). தனித்தனித் துறைகள் ஒப்பந்தம் செய்யும் SaaS-ஐயும் சேர்த்துக்கொள்ளுங்கள்.
- ஒப்பந்தத்தில் இருக்க வேண்டியவை: முக்கியத்துவத்துக்கு ஏற்ப, பங்குகள் மற்றும் பொறுப்புகளின் பிரிவு, தணிக்கை உரிமைகள், துணை ஒப்பந்த நடைமுறைகள், சம்பவ எதிர்வினையும் அறிக்கையிடலும், தீவிரமான பலவீனங்களுக்கான எதிர்வினையும் அறிக்கையிடலும், தரவின் இருப்பிடமும் அழிப்பும், ஒப்பந்தம் முடியும்போதான ஏற்பாடுகள் ஆகியவற்றை ஒப்பந்தங்களிலோ SLA-களிலோ எழுதுங்கள்.
- வழங்குநர்களிடமிருந்து வரும் இணைப்புகள்: தொலைநிலைப் பராமரிப்பு இணைப்புகளையும் வழங்குநர் கணக்குகளையும் பட்டியலிட்டு, பல காரணி அங்கீகாரம், அவை எப்போது, எங்கிருந்து இணையலாம் என்பதற்கான வரம்புகள், இனி பயன்படுத்தப்படாத இணைப்புகளை நீக்குதல் ஆகியவற்றை உறுதிசெய்யுங்கள்.
- கிளவுட் அமைப்புகள்: நிர்வாகி கணக்குகளின் பல காரணி அங்கீகாரம், வெளிப்புற வெளியீடு மற்றும் பகிர்வு அமைப்புகள், அனுமதி ஒதுக்கீடுகள் ஆகியவற்றைத் தொடர்ந்து மறுஆய்வு செய்யுங்கள். மூன்றாம் தரப்பு உறுதியளிப்பு அறிக்கைகளையும் (SOC 2 போன்றவை) மூன்றாம் தரப்புச் சான்றிதழ்களையும் சான்றாகப் பயன்படுத்தலாம்.
உள்நபர்களும் அளவுக்கு மீறிய அணுகல் உரிமைகளும்
முறையான அணுகல் உள்ள ஓர் ஊழியரோ ஒப்பந்த நிறுவனப் பணியாளரோ தகவலை வெளியே எடுத்துச் செல்வதோ தவறாகப் பயன்படுத்துவதோ உள்நபர் முறைகேடு ஆகும். பணியை விட்டுச் சென்ற பின்னும் திறந்திருக்கும் கணக்குகளும், பணிக்குத் தேவைப்படுவதைவிட அகலமான அனுமதிகளும் உள்நபர் முறைகேட்டை எளிதாக்குவதுடன், வெளியிலிருந்து வரும் தாக்குபவர் ஒரு கணக்கைக் கைப்பற்றும்போது சேதத்தையும் விரிவுபடுத்துகின்றன. மேலே குறிப்பிட்டபடி, ரான்சம்வேர் தாக்குபவர்களும் உள்ளே நுழைந்தவுடன் நிர்வாகி உரிமைகளைக் கைப்பற்ற முயல்கின்றனர்.
IPA-வின் 10 Major Threats 2026-இல், உள்நபர்களால் ஏற்படும் தகவல் கசிவுகளும் பிற தீங்குகளும் நிறுவனங்களுக்கான பட்டியலில் ஏழாம் இடத்தில் உள்ளன; தொடர்ந்து 11 ஆண்டுகளாகத் தேர்ந்தெடுக்கப்பட்டு வருகின்றன. Verizon-இன் 2026 DBIR-இல், நிதிச் சேவைகள் மற்றும் காப்பீட்டுத் துறையின் மீறல்களில் 12%-இல் உள்நபர்கள் சம்பந்தப்பட்டிருந்தனர். PPC-யின் 2025 நிதியாண்டு ஆண்டறிக்கையில், உள்நபர் முறைகேட்டால் ஏற்பட்ட கசிவுகள் அறிக்கையிடும் நிறுவனங்களிலேயே 75, ஒப்பந்த நிறுவனங்களில் 7; ஆவணங்களைத் தவறான நபரிடம் கொடுத்ததால் ஏற்பட்டவை (அறிக்கையிடும் நிறுவனங்களில் 6,072), தவறான முகவரிக்கு அனுப்பியதால் ஏற்பட்டவை (2,889) ஆகியவற்றைவிட இது மிகக் குறைவு. அனுமதிகளையும் நடைமுறைகளையும் நிர்வகிப்பது முறைகேடு, தவறு இரண்டையும் குறைக்கிறது. அங்கீகாரம் மற்றும் அணுகல் மேலாண்மைக்கான அடிப்படை நடவடிக்கைகளில் பின்வருவன போன்றவற்றை FSA வழிகாட்டுதல் பட்டியலிடுகிறது.
சரிபார்க்க வேண்டியவை
- குறைந்தபட்ச அனுமதியும் கடமைப் பிரிப்பும்: ஒவ்வொரு பணிக்கும் தேவையான குறைந்தபட்ச அளவுக்கு அணுகல் உரிமைகளைக் கட்டுப்படுத்துங்கள்; ஒரே நபர் ஒரு செயலைக் கோரவும், அங்கீகரிக்கவும், நிறைவேற்றவும் விடாதீர்கள்.
- வழக்கமான அணுகல் மறுஆய்வுகள்: கணக்குகளை உருவாக்கம் முதல் நீக்கம் வரை நிர்வகித்து, பணி மாறியவர்கள், விலகியவர்கள் ஆகியோரின் கணக்குகளையும் அனுமதிகளையும் தொடர்ந்து மறுஆய்வு செய்யுங்கள். ஒப்பந்த நிறுவனங்கள் பயன்படுத்தும் அணுகல் உரிமைகளையும் சேர்த்துக்கொள்ளுங்கள்.
- சிறப்புரிமைக் கணக்கு மேலாண்மை: நிர்வாகி உரிமைகளின் பயன்பாட்டைக் கடுமையாகக் கட்டுப்படுத்தி, பல காரணி அங்கீகாரம், செயல்பாடுகளின் இரட்டைச் சரிபார்ப்பு, பயன்பாட்டு நேர வரம்புகள் ஆகியவற்றை அமையுங்கள்.
- செயல்பாட்டுப் பதிவுகளை மறுஆய்வு செய்தல்: யார் என்ன செய்தார்கள் என்று அறியும் வகையில் செயல்பாடுகளைப் பதிவுசெய்து, சிஸ்டம் நிகழ்வுப் பதிவுகளையும் இயக்குநர்களின் பணிப் பதிவுகளையும் தொடர்ந்தோ தேவைப்படும்போதோ சரிபாருங்கள்.
சம்பவ எதிர்வினைத் திட்டங்களும் பயிற்சி ஒத்திகைகளும்
எந்த நிறுவனத்தாலும் ஒவ்வொரு ஊடுருவலையும் தடுக்க முடியாது; எனவே ஊடுருவலுக்குப் பின் என்ன செய்வது என்பதை முன்கூட்டியே முடிவு செய்வதும் சரிபார்ப்புகளின் ஒரு பகுதி. ஒவ்வொரு வகைச் சைபர் தாக்குதலுக்கும் மீட்சித் திட்டங்கள் உட்பட சம்பவ எதிர்வினைத் திட்டங்களையும் அவசரகாலத் திட்டங்களையும் (contingency plans) தயாரித்து, எதிர்வினை முன்னுரிமைகள், மீட்சி நேர இலக்குகள், மீட்சி நிலை இலக்குகள் ஆகியவற்றை நிர்ணயிக்குமாறு FSA வழிகாட்டுதல் கேட்கிறது. வழக்கமான பயிற்சி ஒத்திகைகள் மூலம் திட்டங்களைச் சோதிக்கவும், மூத்த நிர்வாகம், CISO அல்லது அதற்கு இணையானவர், வணிகப் பிரிவுத் தலைவர்கள் நேரடியாகப் பங்கேற்று முடிவுகளைப் புரிந்துகொள்ளவும், தேவைப்படும்போது அவுட்சோர்சிங் வழங்குநர்களை ஈடுபடுத்துவதைப் பரிசீலிக்கவும் அது கேட்கிறது. சைபர் தாக்குதலை முன்கூட்டியே கருதும் வணிகத் தொடர்ச்சித் திட்டங்களை (BCP) வகுக்குமாறும், சேதம் ஏற்படும்போது உடனடியாகக் காவல்துறையைத் தொடர்புகொள்ளுமாறும் NPA-வும் வலியுறுத்துகிறது.
- தாக்குதல் வகைவாரியான நடைமுறைகள்: ரான்சம்வேர், அங்கீகாரமற்ற அணுகல் மூலம் தரவுக் கசிவு, DDoS தாக்குதல்கள் உள்ளிட்ட வகைகளுக்கு, முதல் எதிர்வினை, கட்டுப்படுத்துதல், மீட்சி, தகவல் தொடர்பு ஆகிய படிகளை வகுத்துக்கொள்ளுங்கள்.
- தொடர்பு விவரங்களும் பங்குகளும்: மூத்த நிர்வாகம், IT, மக்கள் தொடர்பு, சட்டப் பிரிவு, ஒப்பந்த நிறுவனப் பணியாளர்கள் ஆகியோரின் தொடர்பு விவரங்களையும் பங்குகளையும், உள் சிஸ்டம்கள் செயலிழந்தாலும் அணுகக்கூடிய வடிவில் வைத்திருங்கள்.
- அறிக்கையிடல் மற்றும் வெளிப்படுத்தல் குறித்த முடிவுகள்: காவல்துறையைத் தொடர்புகொள்வது, மேற்பார்வை அதிகார அமைப்புக்கு அறிக்கையிடுவது, PPC-க்கு அறிக்கையிடுவது, வாடிக்கையாளர்களுக்கும் பொதுமக்களுக்கும் தெரிவிப்பது ஆகியவற்றை யார், எப்போது முடிவு செய்வது என்பதைத் தீர்மானியுங்கள்.
- பயிற்சி ஒத்திகைகள்: வாடிக்கையாளர்கள் மீது கடுமையான தாக்கம் கொண்ட யதார்த்தமான சூழ்நிலைகளில் மேசைப் பயிற்சிகளை (tabletop exercises) நடத்தி, அவை வெளிப்படுத்தும் சிக்கல்களைத் திட்டத் திருத்தங்களில் சேர்த்துக்கொள்ளுங்கள்.
தனிநபர் தரவு கசியும்போது அறிக்கையிடும் கடமைகள்
1 ஏப்ரல் 2022 முதல் முழுமையாக நடைமுறைக்கு வந்த ஜப்பானின் திருத்தப்பட்ட தனிநபர் தகவல் பாதுகாப்புச் சட்டத்தின் (Act on the Protection of Personal Information) கீழ், தனிநபர் தரவின் கசிவு அல்லது பிற மீறல், அல்லது அதற்கான வாய்ப்பு, கீழே உள்ள நிலைகளில் ஒன்றில் அடங்கினால், ஒரு நிறுவனம் PPC-க்கு அறிக்கையிட வேண்டும்; தெரிவிப்பது கடினமாக இருந்தாலன்றி, சம்பந்தப்பட்ட தனிநபர்களுக்கும் தெரிவிக்க வேண்டும். 2025 நிதியாண்டில் (ஏப்ரல் 2025 முதல் மார்ச் 2026 வரை) நிறுவனங்களிடமிருந்து வந்த 17,139 அறிக்கைகளை PPC கையாண்டது; முந்தைய ஆண்டில் இது 19,056. வகைவாரியாக, 61.9% சிறப்புக் கவனம் தேவைப்படும் தனிநபர் தகவல்கள் (special care-required personal information) சம்பந்தப்பட்டவை; 22.3% தவறான நோக்கத்துடன் செய்யப்பட்டிருக்கக்கூடிய செயல்கள் சம்பந்தப்பட்டவை. 93.6% சம்பவங்களில் பாதிக்கப்பட்டோர் 1,000 அல்லது அதற்குக் குறைவு; 121 சம்பவங்களில் (0.7%) 50,000-க்கும் அதிகமானோர் பாதிக்கப்பட்டனர்.
| நிலை | PPC தரும் எடுத்துக்காட்டுகள் |
|---|---|
| சிறப்புக் கவனம் தேவைப்படும் தனிநபர் தகவல்களை உள்ளடக்கிய தனிநபர் தரவின் மீறல் | ஒரு மருத்துவமனையில் நோயாளிகளின் மருத்துவ அல்லது மருந்து வழங்கல் பதிவுகளுடன் கூடிய தனிநபர் தரவைக் கொண்ட USB நினைவகத்தைத் தொலைத்தல்; ஊழியர்களின் உடல்நலப் பரிசோதனை முடிவுகள் அடங்கிய தனிநபர் தரவின் கசிவு |
| தவறாகப் பயன்படுத்தப்பட்டால் நிதி இழப்பை ஏற்படுத்தக்கூடிய தனிநபர் தரவின் மீறல் | மின்வணிகத் தளத்திலிருந்து கிரெடிட் கார்டு எண்கள் அடங்கிய தனிநபர் தரவின் கசிவு; பணம் செலுத்துதல் அல்லது பணப் பரிமாற்ற வசதியுள்ள இணையச் சேவைக்கான உள்நுழைவு ID மற்றும் கடவுச்சொல் இணைகள் அடங்கிய தனிநபர் தரவின் கசிவு |
| தவறான நோக்கத்துடன் செய்யப்பட்டிருக்கக்கூடிய செயலால் ஏற்பட்ட தனிநபர் தரவின் மீறல் | அங்கீகாரமற்ற அணுகல் மூலம் கசிவு; ரான்சம்வேர் போன்றவற்றால் தனிநபர் தரவு குறியாக்கம் செய்யப்பட்டு மீட்டெடுக்க முடியாமல் போதல்; ஊழியர் ஒருவர் வாடிக்கையாளர்களின் தனிநபர் தரவை எடுத்து மூன்றாம் தரப்பினருக்குக் கொடுத்தல் |
| 1,000-க்கும் மேற்பட்டோர் சம்பந்தப்பட்ட தனிநபர் தரவின் மீறல் | அமைப்புப் பிழையால் தனிநபர் தரவு இணையத்தில் பார்க்கக்கூடியதாகி, 1,000-க்கும் மேற்பட்டோர் பாதிக்கப்படுதல் |
அறிக்கையிடல் இரண்டு கட்டங்களாக நடக்கிறது. கண்டறிந்த நாளிலிருந்து மூன்று முதல் ஐந்து நாட்களுக்குள் முதற்கட்ட அறிக்கையையும், 30 நாட்களுக்குள் இறுதி அறிக்கையையும் PPC கேட்கிறது; மீறல் தவறான நோக்கத்துடன் செய்யப்பட்டிருக்கக்கூடிய நிலையில் இறுதி அறிக்கைக்கான காலம் 60 நாட்கள். 1 அக்டோபர் 2025 முதல், ரான்சம்வேரால் ஏற்பட்ட மீறல்களைப் பொதுப் படிவத்திலும் அறிக்கையிடலாம். 17 ஜூலை 2026 அன்று பிரகடனப்படுத்தப்பட்ட திருத்தச் சட்டம், தனிநபர்களின் உரிமைகளுக்கும் நலன்களுக்கும் இடர் குறைவாக உள்ள இடங்களில் அவர்களுக்குத் தெரிவிக்கும் கடமையைத் தளர்த்தும். அது கொள்கையளவில் பிரகடனத்திலிருந்து இரண்டு ஆண்டுகளுக்குள் நடைமுறைக்கு வர வேண்டும்; அதுவரை தற்போதைய கடமைகளே பொருந்தும்.
சரிபார்க்க வேண்டியவை
- முடிவெடுக்கும் நடைமுறை: சந்தேகிக்கப்படும் மீறலை அறிக்கையிட வேண்டுமா என்பதை யார் முடிவு செய்வார், மூன்று முதல் ஐந்து நாட்களுக்குள் முதற்கட்ட அறிக்கை எவ்வாறு அனுப்பப்படும் என்பதை எழுத்தில் வையுங்கள்.
- ஒப்பந்த நிறுவனங்களிடமிருந்து அறிவிப்பு: ஒப்பந்த நிறுவனத்தில் மீறல் நிகழ்ந்தால் விரைவில் தெரியவரும் வகையில், அறிக்கையிடும் கடமை, காலக்கெடு, தொடர்புப் புள்ளி ஆகியவற்றை ஒப்பந்தத்தில் நிர்ணயியுங்கள்.
- மாதிரிப் படிவங்கள்: PPC-க்கான அறிக்கையின் உருப்படிகள், தனிநபர்களுக்கான அறிவிப்பு, விசாரணை மையத்தின் விவரங்கள் ஆகியவற்றுக்கான மாதிரிகளைத் தயார் செய்யுங்கள்.
- நிதி நிறுவனங்களுக்கு: சட்டங்களுக்கும் விதிமுறைகளுக்கும் ஏற்பச் சம்பவங்களை ஒழுங்குமுறை அமைப்புகளுக்கு உடனடியாக அறிக்கையிடுமாறு FSA வழிகாட்டுதல் கேட்கிறது. PPC-க்கான அறிக்கையுடன் இணையாக இது நடக்கும் வகையில் தொடர்புப் புள்ளிகளையும் பொறுப்பாளர்களையும் ஒழுங்குபடுத்துங்கள்.
சரிபார்ப்புகளைத் தொடர்ந்து நடத்தும் ஆளுகை
மேலே உள்ள சரிபார்ப்புகளில் எதுவும் ஒருமுறை செய்து முடிப்பவை அல்ல. ஒவ்வொன்றுக்கும் ஒரு பொறுப்பாளர் இல்லாவிட்டால், அதன் காலக்கெடுக்கள் கண்காணிக்கப்படாவிட்டால், செய்த பணியின் பதிவுகள் வைக்கப்படாவிட்டால், தணிக்கையோ சம்பவமோ வரும்போது என்ன செய்யப்பட்டது என்பதைக் காட்ட முடியாது. சைபர் பாதுகாப்பு தொடர்பான முக்கியச் செயல்திறன் குறிகாட்டிகள் (KPI), முக்கிய இடர் குறிகாட்டிகள் (KRI) குறித்த அறிக்கைகளை ஆண்டுக்குக் குறைந்தது இரண்டு முறை கோருமாறு மூத்த நிர்வாகத்தை FSA வழிகாட்டுதல் கேட்கிறது; KPI-க்கு எடுத்துக்காட்டுகளாகப் பலவீன எதிர்வினை விகிதம், தகவல் சொத்துப் பட்டியல் தயாரிப்பின் முன்னேற்றம் ஆகியவற்றையும், KRI-க்கு எடுத்துக்காட்டுகளாகக் கவனிக்கப்படாத பலவீனங்களின் எண்ணிக்கை, சம்பவங்களின் எண்ணிக்கை ஆகியவற்றையும் தருகிறது. கொள்கைகளும் வணிகச் செயல்முறைகளும் ஆண்டுக்குக் குறைந்தது ஒருமுறை மறுஆய்வு செய்யப்பட வேண்டும்.
- பொறுப்பாளர்களை நியமியுங்கள்: சாதனப் பட்டியல்கள், பேட்ச் செய்தல், காப்புப்பிரதிகள், வழங்குநர்கள், அணுகல் மறுஆய்வுகள், பயிற்சி ஒத்திகைகள் உள்ளிட்ட ஒவ்வொரு சரிபார்ப்புக்கும், பொறுப்பேற்கும் ஒருவரையும் பணியைச் செய்யும் ஒருவரையும் பெயரிடுங்கள்.
- காலக்கெடுக்களைக் கண்காணியுங்கள்: பேட்ச் காலக்கெடுக்கள், அணுகல் மறுஆய்வுச் சுழற்சிகள், மீட்டெடுப்புச் சோதனைகள் மற்றும் பயிற்சி ஒத்திகைகளின் தேதிகள் ஆகியவற்றை ஒரே பட்டியலில் வைத்து, காலக்கெடு கடந்தவற்றை மூத்த நிர்வாகத்துக்கான அறிக்கைகளில் சேர்த்துக்கொள்ளுங்கள்.
- சான்றுகளை வைத்திருங்கள்: பட்டியல் மாற்ற வரலாறுகள், மறுஆய்வு முடிவுகள், மீட்டெடுப்புச் சோதனைகள் மற்றும் பயிற்சி ஒத்திகைகளின் பதிவுகள், அங்கீகரிக்கப்பட்ட விதிவிலக்குகளின் பதிவுகள் ஆகியவற்றைத் தணிக்கைகளிலும், ஒழுங்குமுறை அமைப்புகள் மற்றும் வாடிக்கையாளர்களின் விசாரணைகளிலும் காட்டத் தயாராக வைத்திருங்கள்.
- விதிவிலக்குகளை மீண்டும் பாருங்கள்: ஒத்திவைக்கப்பட்ட பேட்ச், தக்கவைக்கப்பட்ட அனுமதி போன்ற ஒவ்வொரு விதிவிலக்குக்கும் ஒரு காலாவதித் தேதியைக் கொடுத்து, அந்தத் தேதி வரும்போது மறுமதிப்பீடு செய்யுங்கள்.
- முடிவுகளைக் குறிகாட்டிகளாக்குங்கள்: பல காரணி அங்கீகாரத்தின் பரப்பு, காலக்கெடுவுக்குள் பயன்படுத்தப்பட்ட பேட்ச்களின் விகிதம், மீட்டெடுப்புச் சோதனைகளின் வெற்றி விகிதம் போன்ற எண்ணிக்கைகளைத் தொடர்ந்து அறிக்கையிட்டு, அவை மேம்படுகின்றனவா என்பதை உறுதிசெய்யுங்கள்.
கேள்விகளும் பதில்களும்
- சைபர் தாக்குதல்கள் நுழையும் மிகப் பொதுவான வழி எது?
- ஜப்பானில் ரான்சம்வேரைப் பொறுத்தவரை VPN சாதனங்கள். 2026-இன் முதல் அரையாண்டுக்கான NPA கணக்கெடுப்பில், 36 செல்லுபடியான பதில்களில் 18 VPN சாதனங்களையும் 9 ரிமோட் டெஸ்க்டாப்பையும் குறிப்பிட்டன. உலக அளவில், பலவீனங்களைப் பயன்படுத்திக்கொள்வதே 31% உடன் மிகப் பொதுவான ஆரம்ப அணுகல் வழி என்று Verizon-இன் 2026 DBIR கண்டறிந்தது; அங்கீகாரத் தகவல்களின் தவறான பயன்பாடு 13%.
- காப்புப்பிரதிகள் இருந்தால் ரான்சம்வேரிலிருந்து மீள முடியுமா?
- காப்புப்பிரதிகள் இருப்பது மட்டும் போதாது. 2026-இன் முதல் அரையாண்டுக்கான NPA கணக்கெடுப்பில், பாதிக்கப்பட்ட 50 நிறுவனங்களில் 44-இடம் காப்புப்பிரதிகள் இருந்தன; ஆனால் மீட்டெடுப்பு முடிவைத் தெரிவித்த 40-இல் 29 நிறுவனங்களால் அவற்றிலிருந்து மீட்டெடுக்க முடியவில்லை. காப்புப்பிரதிகளே குறியாக்கம் செய்யப்பட்டதோ அழிக்கப்பட்டதோதான் மிகப் பொதுவான காரணம். காப்புப்பிரதிகளை உள் நெட்வொர்க்கிலிருந்து துண்டித்து வைத்து, அவற்றை மீட்டெடுக்க முடிகிறதா என்று தொடர்ந்து சோதியுங்கள்.
- ஃபிஷிங்கைச் சமாளிக்கப் பல காரணி அங்கீகாரம் போதுமா?
- பல காரணி அங்கீகாரம் மிகவும் பயனுள்ளது; ID-களைக் குறிவைக்கும் தாக்குதல்களில் 99%-க்கும் மேற்பட்டவற்றை அது தடுக்கக்கூடும் என்று Microsoft கூறுகிறது. ஆனால் தொழில்நுட்ப நடவடிக்கைகள் மட்டுமே போதாது என்று NPA கூறுகிறது; தொலைபேசி அழைப்புகள் மூலம் அங்கீகாரத் தகவல்களைப் பெறும் அல்லது ஊழியர்களைத் தொலைநிலைக் கட்டுப்பாட்டு மென்பொருளை நிறுவச் செய்யும் முறைகள் கூர்மையாக அதிகரித்திருப்பதையும் அது தெரிவிக்கிறது. பாஸ்கீ போன்ற ஃபிஷிங்கை எதிர்க்கும் பல காரணி அங்கீகாரத்தைப் பரிசீலிக்குமாறு Council of Anti-Phishing Japan வலியுறுத்துகிறது. தொலைபேசியில் வரும் கோரிக்கைகளைச் சரிபார்க்கும் நடைமுறையையும் சேர்த்து, ஊழியர்கள் எளிதாகப் புகாரளிக்கும் வசதியையும் ஏற்படுத்துங்கள்.
- ஜப்பானில் தனிநபர் தரவு மீறலை எவ்வளவு விரைவில் அறிக்கையிட வேண்டும்?
- மீறல் அறிக்கையிட வேண்டிய நிலையில் அடங்கினால், கண்டறிந்த நாளிலிருந்து மூன்று முதல் ஐந்து நாட்களுக்குள் PPC-க்கு முதற்கட்ட அறிக்கையும், 30 நாட்களுக்குள் (தவறான நோக்கத்துடன் செய்யப்பட்டிருக்கக்கூடியது என்றால் 60 நாட்களுக்குள்) இறுதி அறிக்கையும் அனுப்ப வேண்டும். அறிக்கையிட வேண்டிய நான்கு நிலைகள்: சிறப்புக் கவனம் தேவைப்படும் தனிநபர் தகவல்கள் சம்பந்தப்பட்ட மீறல்கள், நிதி இழப்பை ஏற்படுத்தக்கூடிய மீறல்கள், தவறான நோக்கத்துடன் ஏற்பட்டிருக்கக்கூடிய மீறல்கள், 1,000-க்கும் மேற்பட்டோரைப் பாதிக்கும் மீறல்கள். சம்பந்தப்பட்ட தனிநபர்களுக்கும் தெரிவிக்க வேண்டும்.
- எங்கள் ஒப்பந்த நிறுவனங்களிடம் எதைச் சரிபார்க்க வேண்டும்?
- FSA வழிகாட்டுதலைப் பின்பற்றி, முதலில் ஒப்பந்த நிறுவனங்களின் பேரேட்டை (அவை வழங்கும் தயாரிப்புகளும் சேவைகளும், உங்கள் சிஸ்டம்களுக்கு அவற்றுக்கு உள்ள அணுகல் நிலை, அவை கையாளும் உங்கள் தரவின் வகையும் இருப்பிடமும்) உருவாக்கி, உறவு தொடங்கும் முன் உரிய ஆய்வை நடத்துங்கள். சம்பவ எதிர்வினையும் அறிக்கையிடலும், தீவிரமான பலவீனங்களைக் கையாளுதல், தணிக்கை உரிமைகள், துணை ஒப்பந்த நடைமுறைகள், தரவு அழிப்பு ஆகியவற்றை ஒப்பந்தத்திலோ SLA-விலோ எழுதி, இடருக்கு ஏற்ப ஒவ்வொரு ஒப்பந்த நிறுவனத்தையும் தொடர்ந்து கண்காணியுங்கள்.
ஆதாரங்கள்
- The Cyber Threat Situation in the First Half of 2026 (Japanese, September 2026) வெளித் தளத்தில் திறக்கும் (National Police Agency (NPA), Japan)
- Phishing Report Status, August 2026 (Japanese) வெளித் தளத்தில் திறக்கும் (Council of Anti-Phishing Japan)
- 2026 Data Breach Investigations Report: Executive Summary வெளித் தளத்தில் திறக்கும் (Verizon)
- Extortion and ransomware drive over half of cyberattacks (Microsoft Digital Defense Report 2025) வெளித் தளத்தில் திறக்கும் (Microsoft)
- Known Exploited Vulnerabilities வெளித் தளத்தில் திறக்கும் (Cybersecurity and Infrastructure Security Agency (CISA))
- BOD 26-04: Prioritizing Security Updates Based on Risk (10 June 2026) வெளித் தளத்தில் திறக்கும் (Cybersecurity and Infrastructure Security Agency (CISA))
- Information Security 10 Major Threats 2026 (Japanese) வெளித் தளத்தில் திறக்கும் (Information-technology Promotion Agency, Japan (IPA))
- Guidelines on Cybersecurity for the Financial Sector (provisional translation, 4 October 2024) வெளித் தளத்தில் திறக்கும் (Financial Services Agency (FSA), Japan)
- Responding to Data Breaches: Reporting and Resources (Japanese) வெளித் தளத்தில் திறக்கும் (Personal Information Protection Commission (PPC), Japan)
- The 2020 Amendment to the Act on the Protection of Personal Information (Japanese) வெளித் தளத்தில் திறக்கும் (Personal Information Protection Commission (PPC), Japan)
- Annual Report for Fiscal 2025 (Japanese) வெளித் தளத்தில் திறக்கும் (Personal Information Protection Commission (PPC), Japan)
- Overview of the 2026 Amendment to the Act on the Protection of Personal Information (Japanese) வெளித் தளத்தில் திறக்கும் (Personal Information Protection Commission (PPC), Japan)