CERT-In ने टाटा मोटर्स iRA ऐप में गंभीर खामी बताई: हैकर्स यूज़र बन सकते हैं; तुरंत 26.8.2/26.9.1 अपडेट करें

भारत की साइबर सुरक्षा एजेंसी CERT-In ने टाटा मोटर्स की कनेक्टेड-कार ऐप्स iRA 2.0 और iRA.ev में चार गंभीर सुरक्षा खामियाँ चिन्हित की हैं। 4 नवंबर 2026 को जारी वल्नरेबिलिटी नोट CIVN-2026-0537 में इन खामियों को ‘High’ गंभीरता दी गई है। एजेंसी के अनुसार हमलावर संवेदनशील क्रेडेंशियल निकाल सकते हैं, यूज़र का रूप धारण कर सकते हैं और वाहन से जुड़ी जानकारी व सेवाओं तक अनधिकृत पहुँच बना सकते हैं।

यह चेतावनी उन लाखों टाटा कार मालिकों के लिए खास मायने रखती है जो स्मार्टफोन से दरवाज़ा लॉक, लोकेशन ट्रैक, बैटरी/फ्यूल स्टेटस और रिमोट कमांड इस्तेमाल करते हैं। अच्छी खबर यह है कि टाटा मोटर्स पैसेंजर व्हीकल्स (TMPV) का कहना है कि फिक्स अपडेट पहले ही रोल आउट हो चुके हैं और ग्राहक डेटा के समझौते का कोई सबूत नहीं मिला। फिर भी, जिन यूज़र्स ने ऐप अपडेट नहीं किया, उन्हें तुरंत अपडेट करना चाहिए।

CERT-In ने क्या कहा?

CERT-In (Indian Computer Emergency Response Team) केंद्र सरकार की नोडल साइबर एजेंसी है। उसके एडवाइजरी के मुताबिक प्रभावित वर्जन हैं:

• iRA 2.0 — वर्जन 26.7.3 और उससे पुराने (पेट्रोल/डीज़ल यानी ICE वाहन)
• iRA.ev — वर्जन 26.7.2 और उससे पुराने (इलेक्ट्रिक वाहन)

एजेंसी ने यूज़र्स को तुरंत अपग्रेड करने की सलाह दी है:

• iRA 2.0 → वर्जन 26.8.2
• iRA.ev → वर्जन 26.9.1

ये ऐप्स कनेक्टेड व्हीकल सर्विस देती हैं — रिमोट कमांड, व्हीकल स्टेटस, हेल्थ मॉनिटरिंग और ट्रिप जानकारी। सफल एक्सप्लॉइट होने पर हमलावर उस यूज़र के अधिकारों से डेटा एक्सेस या बदल सकते हैं।

चार खामियाँ क्या हैं?

Business Standard, Hindu BusinessLine और CNBC-TV18 की रिपोर्टिंग के अनुसार CERT-In ने चार अलग-अलग खामियाँ बताई हैं:

1. हार्डकोडेड क्रेडेंशियल (CVE-2026-121144): ऐप पैकेज में सर्विस अकाउंट क्रेडेंशियल, API Keys और ऑथराइज़ेशन टोकन एम्बेडेड पाए गए। कोई भी व्यक्ति ऐप पैकेज डाउनलोड कर इनकी नकल निकाल सकता है और बैकएंड सेवाओं तक पहुँच बना सकता है।

2. WebView में URL/origin वैलिडेशन कमज़ोर (CVE-2026-121145): दुर्भावनापूर्ण वेब कंटेंट भेजकर हमलावर लाइव bearer authentication टोकन हासिल कर यूज़र का रूप धारण कर सकता है।

3. लॉग्स में authentication टोकन (CVE-2026-121146): डेवलपमेंट/डिबग लॉग्स में सेशन टोकन रिकॉर्ड हो रहे थे। लोकल एक्सेस वाला हमलावर इनका दुरुपयोग कर सकता है।

4. SSL सर्टिफिकेट पिनिंग अधूरी (CVE-2026-121147): नेटवर्क सिक्योरिटी कॉन्फ़िगरेशन में गलत पिनिंग से ट्रैफ़िक इंटरसेप्ट या मॉडिफाई किया जा सकता है।

CNBC-TV18 के अनुसार इन खामियों की रिपोर्टिंग Pranav Rajendran ने की थी।

टाटा मोटर्स का जवाब

TMPV के प्रवक्ता ने कहा कि कंपनी के आकलन में ग्राहक क्रेडेंशियल, व्यक्तिगत जानकारी या वाहन-संबंधी डेटा के अनधिकृत एक्सेस या समझौते का कोई सबूत नहीं मिला। उन्होंने बताया कि CERT-In एडवाइजरी के अनुरूप अनिवार्य अपडेट अगस्त 2026 (iRA 2.0 26.8.2) और सितंबर 2026 (iRA.ev 26.9.1) में रोल आउट किए गए। ऐप खोलने पर अपडेट अपने-आप प्रॉम्प्ट होता है और कुछ मिनटों में ओवर-द-एयर पूरा हो जाता है।

कंपनी का दावा है कि सक्रिय यूज़र्स के लिए रोलआउट पूरा हो चुका है, और जो अभी अपडेट नहीं कर पाए उनसे सक्रिय रूप से संपर्क किया जा रहा है। प्रवक्ता ने कहा कि टाटा मोटर्स ग्राहकों की सुरक्षा और प्राइवेसी को बेहद गंभीरता से लेती है और CERT-In के साथ पारदर्शी सहयोग जारी रखती है।

आप पर क्या असर पड़ेगा / आगे क्या करें

अगर आपके पास टाटा की कोई कनेक्टेड कार है और आप iRA ऐप इस्तेमाल करते हैं, तो ये कदम अभी लें:

1. ऐप वर्जन चेक करें: Play Store / App Store पर iRA 2.0 या iRA.ev खोलें और Settings में वर्जन देखें। अगर 26.8.2 (ICE) या 26.9.1 (EV) से कम है तो तुरंत अपडेट करें।
2. अपडेट प्रॉम्प्ट स्वीकार करें: ऐप खोलते ही अपडेट आए तो मना न करें — कुछ मिनट का OTA अपडेट काफी है।
3. अनजान लिंक से बचें: WebView वाली खामी को देखते हुए संदिग्ध SMS/ईमेल लिंक पर क्लिक न करें जो ऐप खोलने का दावा करें।
4. पासवर्ड/2FA मजबूत रखें: टाटा अकाउंट का पासवर्ड बदलें अगर आपने लंबे समय से नहीं बदला; जहाँ उपलब्ध हो दो-चरणीय सत्यापन चालू करें।
5. फोन लॉक रखें: लॉग्स वाली खामी लोकल एक्सेस से जुड़ी है — स्क्रीन लॉक और ऐप परमिशन कंट्रोल ज़रूरी है।

गौरतलब है कि CERT-In ने अभी तक बड़े पैमाने पर ग्राहक डेटा लीक होने की बात नहीं कही है। खतरा संभावित (potential) है; टाटा का आधिकारिक बयान है कि समझौते का कोई सबूत नहीं। फिर भी साइबर सुरक्षा में देर खतरनाक होती है — खासकर जब कार लोकेशन और रिमोट कमांड जैसी सुविधाएँ जुड़ी हों।

कनेक्टेड कारें सुविधा बढ़ाती हैं, लेकिन हर स्मार्ट ऐप के साथ अपडेट की ज़िम्मेदारी भी आती है। दिवाली-धनेरस के मौसम में जब लोग नई कार या गैजेट खरीद रहे हों, CERT-In की यह चेतावनी याद दिलाती है कि सॉफ़्टवेयर सुरक्षा भी उतनी ही ज़रूरी है जितना लॉक और इंश्योरेंस। टाटा मालिकों के लिए सबसे सरल उपाय: ऐप खोलें, अपडेट करें, और पुराने वर्जन पर न रहें।

स्रोत: CERT-In एडवाइजरी CIVN-2026-0537; Business Standard; The Hindu BusinessLine; CNBC-TV18 (5 नवंबर 2026)। आंकड़े और वर्जन नंबर आधिकारिक रिपोर्टिंग पर आधारित; आगे की जानकारी के लिए CERT-In / टाटा मोटर्स के आधिकारिक अपडेट देखें।