अमेरिका के जल प्रणालियों पर हमले दोगुने होकर 12 राज्यों तक पहुंचे; हैकरों ने उजागर कंट्रोलरों को निशाना बनाया

शुरुआत मिनेसोटा से हुई। 26-27 जुलाई, 2026 को एक समन्वित हमले ने राज्य में 30 से अधिक नगरपालिका जल प्रणालियों को निशाना बनाया, जिससे संचालकों को संयंत्र हाथ से चलाने पड़े और कई एजेंसियों की संघीय-राज्यीय प्रतिक्रिया शुरू हुई⁠7⁠9। जांचकर्ताओं ने बताया कि तीसरे पक्ष के इंटीग्रेटरों द्वारा लगाए गए सेलुलर मॉडेम के जरिए पहुंचे Rockwell Automation MicroLogix प्रोग्रामेबल लॉजिक कंट्रोलरों से पहुंच बनाई गई थी और IP पते तथा पासवर्ड बदले गए थे⁠7। उपलब्ध रिपोर्टिंग का पाठ ठीक उसी समय अधूरा रह जाता है, जब वह कम से कम एक कंट्रोलर के भीतर आगे क्या हुआ, इसका वर्णन शुरू करता है—“कम से कम एक मामले में...” —इससे दी गई फाइल में सबसे अहम तकनीकी ब्योरा अपुष्ट रह जाता है⁠7।

31 जुलाई तक, 30 से अधिक मिनेसोटा केंद्रों में सेंध के बाद, FBI और पर्यावरण संरक्षण एजेंसी कम से कम सात राज्यों में नगरपालिका प्रणालियों पर हमलों के मद्देनजर देशभर की यूटिलिटी संस्थाओं को आगाह कर रहे थे⁠9। NBC News ने इस चेतावनी को हमलों के पैमाने की पहली संघीय स्वीकारोक्ति बताया; इसके बाद हुई हर घटना को इसी आधाररेखा पर मापा जाना था⁠9। हजारों स्थानीय रूप से संचालित प्रणालियों और असमान कर्मचारियों तथा सुरक्षा बजट वाले, बिखरे हुए जल क्षेत्र के लिए सात राज्यों का आंकड़ा अपने आप में एक असामान्य संघीय चेतावनी थी।

पांच दिन बाद यह आधाररेखा टूट गई। 4-5 अगस्त को अधिकारियों ने पुष्टि की कि कम से कम 12 राज्यों में जल और अपशिष्टजल प्रणालियों ने घुसपैठ की सूचना दी थी—पांच दिन पहले FBI द्वारा बताई गई सात की संख्या से अधिक⁠6⁠2। SecurityWeek ने 5 अगस्त को रिपोर्ट किया कि क्लेटन काउंटी द्वारा पंप स्टेशन में व्यवधान की सूचना दिए जाने के बाद जॉर्जिया को हमले का निशाना बने राज्य के रूप में पुष्टि की गई। रिपोर्ट में ABC News की उस गिनती का हवाला दिया गया, जिसमें कम से कम 12 राज्य थे, लेकिन उनमें से केवल कुछ के नाम बताए गए थे⁠5। The Record ने भी बताया कि साउथ डकोटा और जॉर्जिया द्वारा घटनाओं की घोषणा के बाद यह संख्या बढ़कर 12 राज्यों तक पहुंच गई⁠2। इसी अवधि में मेट्रो अटलांटा में पानी उबालने की सलाह जारी किए जाने की जांच चल रही थी—यह याद दिलाता है कि पंप स्टेशन में व्यवधान भी जल्द ही नल के पानी से जुड़ा जनस्वास्थ्य का सवाल बन सकता है⁠6।

इस विस्तार के बाद राष्ट्रीय स्तर पर कवरेज हुई। 6 अगस्त को CNN और CBS News ने दर्जन भर राज्यों में हुए हमलों की खबर दी; CBS ने बताया कि अधिकारियों ने चेतावनी दी थी कि हैकर एक “खास तौर पर असुरक्षित औद्योगिक कंप्यूटर” का फायदा उठा रहे हैं⁠3⁠4। यह वाक्यांश इसलिए अहम है क्योंकि यह दुर्लभ, अज्ञात कमजोरियों के बजाय पहले से ज्ञात और इंटरनेट पर उजागर नियंत्रण हार्डवेयर की ओर इशारा करता है। चार दिन बाद, Dark Reading ने रिपोर्ट किया कि “कम सुरक्षा वाले, इंटरनेट से उजागर PLCs” के जरिए हमले कम से कम एक दर्जन राज्यों तक पहुंच गए थे और औद्योगिक कंट्रोलरों पर कम जटिलता वाले हमलों का वर्णन किया⁠10। सरल शब्दों में: वाल्व खोलने-बंद करने और पंप चलाने के लिए बनी मशीनें इंटरनेट से पहुंच के भीतर थीं, और घुसपैठिए अंदर आ गए।

यह स्पष्ट नहीं है कि इस तरह घुसपैठ का आदेश किसने दिया था, और रिपोर्टिंग फाइल में इस्तेमाल की गई भाषा जानबूझकर अनिश्चित रखी गई है। The Record ने इस अभियान को “कथित तौर पर ईरानी हैकरों से जुड़ा” बताया⁠2। Dark Reading ने कहा कि घुसपैठ “संभवतः ईरानी सरकार से जुड़ी” थी⁠10। 20 अगस्त को लिखते हुए Cybersecurity Dive ने इस हमले की श्रृंखला को “ईरान से जुड़े खतरा समूहों का काम होने का संदेह” बताया⁠8। उपलब्ध स्रोत-पाठों में से कोई भी ईरान या किसी अन्य देश को जिम्मेदार ठहराने वाला अमेरिकी सरकार का औपचारिक बयान नहीं देता⁠2⁠10⁠8।

संदेह और औपचारिक दोषारोपण के बीच का यह अंतर महज सावधानी बरतने वाले वकीलों की बात नहीं, बल्कि एक संरचनात्मक समस्या है। छोटी जल यूटिलिटी संस्थाओं में अक्सर हजारों प्रणालियों में साक्ष्य सुरक्षित रखने के लिए जरूरी फॉरेंसिक लॉगिंग और नेटवर्क निगरानी नहीं होती, जिससे अतिरिक्त खुफिया जानकारी के बिना पक्के तौर पर जिम्मेदारी तय करना मुश्किल हो जाता है। नतीजतन, पीड़ितों की संख्या—पहले मिनेसोटा में समूह, फिर तट से तट तक राज्यों का जुड़ना—इस अभियान के समन्वित होने का संकेत देती है, लेकिन सार्वजनिक रिकॉर्ड में इसकी जिम्मेदारी तय नहीं है। स्रोत किसी एक निष्कर्ष पर सहमत नहीं हैं, क्योंकि अभी सहमति के लिए कोई एक निष्कर्ष है ही नहीं; वे केवल तीन अलग-अलग तरीकों से यह कहते हैं कि जांच ईरान से संबंध की ओर इशारा करती है, लेकिन इसे साबित नहीं किया है⁠2⁠10⁠8।

अगस्त के मध्य तक इस अस्पष्टता के दांव पर नीतिगत बहस शुरू हो गई थी। The Independent ने 7 अगस्त को वर्षों की चेतावनियों के बाद इन हमलों को “जागने की घंटी” बताया और उन राज्यों के बारे में विश्लेषकों के हवाले से लिखा जो तैयार नहीं थे⁠11। 20 अगस्त तक, Cybersecurity Dive ने सख्त निगरानी और वित्तपोषण के लिए बढ़ते समर्थन की खबर दी; हमलों की इस श्रृंखला को तब भी केवल ईरान से जुड़े काम का संदिग्ध मामला बताया गया⁠8। घटनाक्रम खुद अपनी कहानी कहता है: पहले मिनेसोटा में मैन्युअल संचालन, फिर संघीय चेतावनी, फिर प्रभावित राज्यों की संख्या का दोगुना होना, और फिर वॉशिंगटन का परिचित रुख—पैसे और अनिवार्य नियमों की ओर⁠7⁠9⁠6⁠8।

पाठकों को यह भी समझना चाहिए कि यह लेख क्या दावा नहीं करता। उपलब्ध रिपोर्टिंग के पाठ उन कई सनसनीखेज विवरणों की पुष्टि नहीं करते, जो शुरुआती कवरेज के साथ प्रसारित हुए। उनमें किसी नाम से जिम्मेदारी लेने वाले समूह का कोई उल्लेख नहीं है, रासायनिक डोज़िंग, पंप के समय या दबाव नियमन को नियंत्रित करने वाली संशोधित कंट्रोलर प्रोजेक्ट फाइलों के बारे में FBI का कोई शब्दशः बयान नहीं है, और किसी विदेशी हैकिंग लक्ष्य पर नजर रखने से जुड़ा कोई आंकड़ा नहीं है⁠2⁠3⁠4⁠5⁠6⁠7⁠8⁠9⁠10⁠11। मिनेसोटा की फाइल वाक्य के बीच कट जाने से पहले कंट्रोलर से छेड़छाड़ का संकेत देती है, लेकिन पूरा दावा दिखाई नहीं देता⁠7। एक URL में न्यू जर्सी का संदर्भ देने वाला स्लग है, लेकिन दिखाई देने वाला स्निपेट उस राज्य की स्थिति की पुष्टि नहीं करता⁠6। अधूरे पाठों में अधिकारियों के ऐसे उद्धृत किए जा सकने वाले बयान भी नहीं हैं, जिन्हें पुनः प्रकाशित किया जा सके⁠2⁠3⁠4⁠5⁠6⁠7⁠8⁠9⁠10⁠11।