/
/
CERT-In ने Tata Motors के iRA 2.0 और iRA.ev ऐप में 4 सुरक्षा खामियां बताईं। जानें प्रभावित वर्जन, जरूरी अपडेट और Tata Motors का जवाब।
अगर आप Tata Motors की कनेक्टेड कार चलाते हैं और अपने स्मार्टफोन में iRA 2.0 या iRA.ev ऐप इस्तेमाल करते हैं, तो यह खबर आपके लिए जरूरी है। भारतीय साइबर सुरक्षा एजेंसी CERT-In ने Tata Motors के इन दोनों मोबाइल ऐप्स में चार सुरक्षा खामियों की पहचान की है। एजेंसी ने इन्हें High Severity कैटेगरी में रखा है। इन कमजोरियों का फायदा उठाकर साइबर हमलावर यूजर की संवेदनशील जानकारी और वाहन से जुड़ी डिजिटल सेवाओं तक अनधिकृत पहुंच बनाने की कोशिश कर सकते थे।
हालांकि, Tata Motors Passenger Vehicles का कहना है कि इन सुरक्षा खामियों को सॉफ्टवेयर अपडेट और अतिरिक्त सुरक्षा उपायों के जरिए ठीक कर दिया गया है। कंपनी ने iRA 2.0 और iRA.ev के नए वर्जन भी जारी किए हैं और सक्रिय यूजर्स के लिए अपडेट रोलआउट पूरा होने की जानकारी दी है।
इस खबर के बाद Tata की कनेक्टेड कार इस्तेमाल करने वाले लोगों के मन में कई सवाल हैं—क्या कार हैक हो सकती थी? क्या किसी को कार की लोकेशन या निजी जानकारी मिल सकती थी? क्या ऐप अपडेट करना जरूरी है? आइए जानते हैं CERT-In की चेतावनी और Tata Motors के जवाब से जुड़ी पूरी जानकारी।
CERT-In ने अपनी 4 नवंबर 2026 की Vulnerability Note में बताया कि iRA 2.0 और iRA.ev ऐप्स में चार अलग-अलग तरह की सुरक्षा कमजोरियां थीं। इनकी वजह से संवेदनशील क्रेडेंशियल्स उजागर होने, यूजर की पहचान का गलत इस्तेमाल होने और ऐप-बैकएंड के बीच होने वाले कम्युनिकेशन में छेड़छाड़ का जोखिम पैदा हो सकता था।
इन चारों खामियों को आसान भाषा में समझें:
पहली खामी ऐप के पैकेज में हार्डकोड किए गए सर्विस अकाउंट क्रेडेंशियल्स, API Keys और ऑथराइजेशन टोकन से जुड़ी थी।
आसान शब्दों में, ऐप के अंदर कुछ संवेदनशील डिजिटल जानकारियां पहले से मौजूद थीं। कोई हमलावर ऐप डाउनलोड करके उसकी फाइलों का तकनीकी विश्लेषण करता, तो इन जानकारियों को निकालने की कोशिश कर सकता था। CERT-In के मुताबिक, इससे संबंधित बैकएंड सेवाओं तक अनधिकृत पहुंच का जोखिम था।
दूसरी कमजोरी ऐप के WebView फीचर से जुड़ी थी। WebView वह तकनीक है, जिसके जरिए कोई मोबाइल ऐप अपने अंदर ही वेब पेज या ऑनलाइन कंटेंट दिखा सकता है।
CERT-In ने पाया कि ऐप में लोड होने वाले URL और उनके Origin की पर्याप्त जांच नहीं हो रही थी। इस कमजोरी का फायदा उठाकर कोई हमलावर दुर्भावनापूर्ण वेब कंटेंट भेज सकता था। इससे लाइव Bearer Authentication Token हासिल करने और संबंधित यूजर की पहचान का गलत इस्तेमाल करने का खतरा था।
तीसरी खामी ऐप के डेवलपमेंट और डिबगिंग के दौरान तैयार होने वाले लॉग से जुड़ी थी। CERT-In के अनुसार, कुछ Authentication Tokens इन लॉग में रिकॉर्ड हो रहे थे।
ये टोकन किसी यूजर के सेशन की पहचान और उसकी सेवाओं तक पहुंच से जुड़े होते हैं। अगर किसी हमलावर को इन लॉग तक पहुंच मिल जाती, तो वह टोकन का गलत इस्तेमाल करके यूजर की पहचान अपनाने और वाहन से जुड़ी जानकारी या सेवाओं तक अनधिकृत पहुंच बनाने की कोशिश कर सकता था।
चौथी कमजोरी नेटवर्क सिक्योरिटी से जुड़ी थी। SSL Certificate Pinning एक सुरक्षा तकनीक है, जिसका उद्देश्य मोबाइल ऐप और उसके सर्वर के बीच सुरक्षित कनेक्शन की पुष्टि करना होता है।
CERT-In ने पाया कि iRA ऐप्स में यह सुरक्षा व्यवस्था सही तरीके से लागू नहीं थी। ऐसे में अगर कोई हमलावर नेटवर्क ट्रैफिक को बीच में रोकने की स्थिति में हो, तो वह ऐप और बैकएंड सर्वर के बीच होने वाले कम्युनिकेशन को इंटरसेप्ट या मॉडिफाई करने की कोशिश कर सकता था।
ध्यान दें: ये सभी संभावित सुरक्षा जोखिम थे। CERT-In की चेतावनी का मतलब यह नहीं है कि Tata की कारें वास्तव में हैक हो चुकी थीं या किसी हमलावर ने ग्राहकों के वाहन का नियंत्रण हासिल कर लिया था।
CERT-In ने साफ तौर पर प्रभावित ऐप वर्जन की जानकारी दी है। अगर आपके फोन में इनसे पुराने वर्जन इंस्टॉल हैं, तो उन्हें अपडेट करना जरूरी है।
|
ऐप |
प्रभावित वर्जन |
अपडेटेड वर्जन |
|---|---|---|
|
Tata Motors iRA 2.0 |
26.7.3 और उससे पुराने |
26.8.2 |
|
Tata Motors iRA.ev |
26.7.2 और उससे पुराने |
26.9.1 |
CERT-In ने यूजर्स को इन नए वर्जन पर अपग्रेड करने की सलाह दी है। यह सुरक्षा चेतावनी सभी Tata कारों या हर मोबाइल ऐप पर लागू नहीं होती, बल्कि बताए गए पुराने ऐप वर्जन से संबंधित है।
CERT-In की चेतावनी सामने आने के बाद Tata Motors Passenger Vehicles ने बताया कि कंपनी ने इन कमजोरियों को सॉफ्टवेयर अपडेट और अतिरिक्त सुरक्षा उपायों के जरिए ठीक कर दिया है।
कंपनी के प्रवक्ता के अनुसार:
iRA 2.0 का अपडेटेड वर्जन 26.8.2 अगस्त 2026 में जारी किया गया।
iRA.ev का अपडेटेड वर्जन 26.9.1 सितंबर 2026 में रोलआउट किया गया।
ऐप खोलने पर यूजर्स को अपडेट का नोटिफिकेशन मिल सकता है।
अपडेट की प्रक्रिया कुछ मिनटों में पूरी हो सकती है।
कंपनी के मुताबिक, सक्रिय यूजर्स के लिए अपडेट रोलआउट पूरा कर दिया गया है और बाकी ग्राहकों से भी संपर्क किया जा रहा है।
Tata Motors ने यह भी कहा कि कंपनी के आकलन में ग्राहकों के लॉगिन क्रेडेंशियल्स, निजी जानकारी या वाहन से जुड़े डेटा के अनधिकृत इस्तेमाल या उनके साथ छेड़छाड़ का कोई सबूत नहीं मिला है। कंपनी अपने सिस्टम की लगातार निगरानी कर रही है।
अगर आपके पास Tata Motors की कनेक्टेड कार है और आप iRA 2.0 या iRA.ev ऐप इस्तेमाल करते हैं, तो कुछ जरूरी सावधानियां अपनानी चाहिए।
1. ऐप का वर्जन चेक करें
अपने स्मार्टफोन में iRA 2.0 या iRA.ev ऐप खोलें और उसके About या App Information सेक्शन में जाकर वर्जन देखें।
2. लेटेस्ट अपडेट इंस्टॉल करें
अगर आपके फोन में iRA 2.0 का 26.8.2 या iRA.ev का 26.9.1 वर्जन नहीं है, तो ऐप को अपडेट करें। Google Play Store या Apple App Store पर उपलब्ध आधिकारिक ऐप से ही अपडेट लें।
3. अनजान लिंक से बचें
Tata Motors के नाम पर आने वाले संदिग्ध SMS, ईमेल या WhatsApp लिंक पर क्लिक न करें। किसी अनजान वेबसाइट से ऐप की APK फाइल डाउनलोड करने से बचें।
4. लॉगिन और OTP की जानकारी साझा न करें
अपना पासवर्ड, OTP और अन्य लॉगिन जानकारी किसी अनजान व्यक्ति को न बताएं। कंपनी के नाम पर कॉल करने वाले व्यक्ति को भी संवेदनशील जानकारी देने से पहले उसकी पहचान की पुष्टि करें।
5. संदिग्ध गतिविधि दिखने पर कंपनी से संपर्क करें
अगर ऐप में कोई अनजान लॉगिन, असामान्य गतिविधि या वाहन से जुड़ी जानकारी में बदलाव दिखाई देता है, तो Tata Motors के आधिकारिक ग्राहक सहायता माध्यम से संपर्क करें।
यह इस खबर से जुड़ा सबसे महत्वपूर्ण सवाल है। iRA और iRA.ev जैसे कनेक्टेड कार ऐप्स का इस्तेमाल स्मार्टफोन से वाहन की कुछ डिजिटल सुविधाओं और जानकारियों तक पहुंचने के लिए किया जाता है।
इन ऐप्स के जरिए उपलब्ध फीचर्स वाहन के मॉडल और सपोर्ट के अनुसार अलग हो सकते हैं। इनमें वाहन की स्थिति, हेल्थ मॉनिटरिंग, ट्रिप से जुड़ी जानकारी और कुछ रिमोट कमांड शामिल हो सकते हैं।
CERT-In ने जिन कमजोरियों की पहचान की, उनसे हमलावर के लिए संवेदनशील जानकारी हासिल करने, यूजर की पहचान का गलत इस्तेमाल करने और वाहन से जुड़ी सेवाओं तक अनधिकृत पहुंच बनाने का संभावित जोखिम था।
लेकिन यहां एक अंतर समझना जरूरी है। ऐप में सुरक्षा खामी मिलने का मतलब यह नहीं है कि कोई व्यक्ति सीधे कार का इंजन, ब्रेक या स्टीयरिंग नियंत्रित कर सकता था। CERT-In की सार्वजनिक चेतावनी में ऐसी किसी सफल वाहन-नियंत्रण घटना की पुष्टि नहीं की गई है।
इसी तरह Tata Motors ने भी अपने आकलन के आधार पर ग्राहक डेटा या वाहन संबंधी जानकारी के किसी अनधिकृत इस्तेमाल का सबूत नहीं मिलने की बात कही है।
आजकल कारें केवल इंजन, बैटरी और मैकेनिकल फीचर्स तक सीमित नहीं हैं। इनमें इंटरनेट कनेक्टिविटी, मोबाइल ऐप, GPS आधारित सेवाएं, डिजिटल मॉनिटरिंग और रिमोट कमांड जैसी सुविधाएं भी मिलती हैं।
इन सुविधाओं से ड्राइविंग और कार की निगरानी आसान होती है, लेकिन इनके साथ डिजिटल सुरक्षा की जिम्मेदारी भी बढ़ जाती है।
कनेक्टेड कार में कई तरह की तकनीक एक साथ काम करती हैं:
Mobile Application: स्मार्टफोन से वाहन की जानकारी और उपलब्ध सुविधाओं तक पहुंच।
Cloud Backend: वाहन और ऐप के बीच डेटा का आदान-प्रदान।
Authentication: यह जांचना कि ऐप इस्तेमाल करने वाला व्यक्ति अधिकृत यूजर है या नहीं।
Network Security: ऐप और सर्वर के बीच होने वाले कम्युनिकेशन को सुरक्षित रखना।
Software Updates: नई सुरक्षा कमजोरियों को ठीक करने के लिए ऐप और सिस्टम को अपडेट करना।
Tata Motors के iRA ऐप से जुड़ा मामला बताता है कि कनेक्टेड कार खरीदते समय केवल रेंज, इंजन, बैटरी और फीचर्स ही नहीं, बल्कि ऐप और डिजिटल सेवाओं की सुरक्षा भी महत्वपूर्ण है।
CERT-In ने Tata Motors के iRA 2.0 और iRA.ev ऐप्स के कुछ पुराने वर्जन में चार सुरक्षा कमजोरियों की पहचान की है और इन्हें High Severity रेटिंग दी है। इन कमजोरियों से संवेदनशील क्रेडेंशियल्स उजागर होने, यूजर की पहचान का गलत इस्तेमाल होने और वाहन से जुड़ी डिजिटल सेवाओं तक अनधिकृत पहुंच का संभावित खतरा था।
हालांकि, Tata Motors का कहना है कि जरूरी सॉफ्टवेयर अपडेट जारी कर दिए गए हैं और ग्राहकों के डेटा या वाहन संबंधी जानकारी के साथ किसी अनधिकृत छेड़छाड़ का सबूत नहीं मिला है।
अगर आप भी Tata की कनेक्टेड कार इस्तेमाल करते हैं, तो अपने ऐप का वर्जन जरूर चेक करें। iRA 2.0 को 26.8.2 और iRA.ev को 26.9.1 पर अपडेट रखना CERT-In की सलाह के अनुरूप सबसे जरूरी कदम है।
