इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) के तहत काम करने वाली नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के अंतर्गत आने वाली एजेंसी CERT-In ने देश के बैंकों, गैर-बैंकिंग वित्तीय कंपनियों (NBFCs) और फिनटेक सेक्टर के लिए एक बड़ी चेतावनी जारी की है।
हाल ही में वित्तीय संस्थानों के खिलाफ AI-आधारित साइबर-हमलों और ऑनलाइन धोखाधड़ी के बढ़ते नए ट्रेंड को देखते हुए गृह मंत्रालय के I4C ने एक विस्तृत एडवाइजरी जारी की है, जिसमें सुरक्षा के कड़े इंतजाम करने के निर्देश दिए गए हैं।
कैसे काम करते हैं साइबर हमलावर? (AI एजेंटों और API का दुरुपयोग)
जांच एजेंसियों के मुताबिक, ये नए साइबर हमले मुख्य रूप से भारी आर्थिक लाभ कमाने के लिए किए जा रहे हैं। हमलावर इन वारदातों को अंजाम देने के लिए आधुनिक तकनीकों का इस्तेमाल कर रहे हैं:
-
अनपैच्ड सॉफ्टवेयर और गलत कॉन्फिगरेशन: हैकर्स उन सर्वर और आईटी सिस्टम्स को निशाना बनाते हैं जिनके सॉफ्टवेयर अपडेट (पैच) नहीं किए गए हैं या जिन्हें इंटरनेट पर गलत तरीके से कॉन्फिगर किया गया है। इसमें ग्राहकों के शिकायत दर्ज करने वाले इंटरफेस भी शामिल हो सकते हैं।
-
एजेंटिक AI फ्रेमवर्क (Agentic AI Framework): हमलावर ऑटोमेटेड फंड वितरण प्रणालियों (Fund Disbursement Systems) और भुगतान ट्रांसफर के लिए बने विशेष एपीआई (APIs) को टारगेट करते हैं। AI एजेंटों के इस्तेमाल से ये हमले इतनी तेज गति (मशीन की स्पीड) से होते हैं कि पारंपरिक सुरक्षा प्रणालियों को संभलने का मौका तक नहीं मिलता।
-
म्यूल अकाउंट्स और त्वरित निकासी: धोखाधड़ी से चुराए गए पैसों को तुरंत अलग-अलग बैंकों में मौजूद फर्जी ‘म्यूल अकाउंट्स’ (Mule Accounts) में भेजा जाता है और IMPS/NEFT के जरिए पलक झपकते ही आगे ट्रांसफर कर निकाल लिया जाता है। इसके बाद हमलावर अपने डिजिटल पदचिह्न (Digital Footprints) मिटाने के लिए रिकॉर्ड डिलीट कर देते हैं।
वित्तीय संस्थानों और बैंकों के लिए सरकार के मुख्य निर्देश
बढ़ते खतरों को देखते हुए I4C और CERT-In ने वित्तीय संस्थानों को प्राथमिकता के आधार पर निम्नलिखित कदम उठाने को कहा है:
-
लेन-देन की सीमाएं तय करना: बैंकों और एनबीएफसी को दैनिक (Daily) और प्रति-लेनदेन (Per-Transaction) पर सख्त सीमाएं तय करने के निर्देश दिए गए हैं।
-
API की सुरक्षा और मैपिंग: भुगतान और डिजिटल लेन-देन के लिए उपयोग होने वाले सभी API की पूरी सूची तैयार की जाए। पुराने, अप्रयुक्त या टेस्ट उद्देश्यों के लिए बनाए गए API को तुरंत बंद या हटाया जाए।
-
अनिवार्य रिपोर्टिंग (6 घंटे के भीतर): किसी भी साइबर घटना का पता चलने के 6 घंटे के भीतर CERT-In को रिपोर्ट करना जरूरी है। इसके अलावा बैंकों और NBFCs को आरबीआई (RBI) के DAKSH पोर्टल पर भी 6 घंटे के भीतर घटना की जानकारी देनी होगी। धोखाधड़ी वाले ट्रांजैक्शन की बल्क रिपोर्टिंग के लिए I4C के NCRP-CFCFRMS पोर्टल का उपयोग किया जा सकता है।
-
विभिन्न टीमों का समन्वय: बैंक की ‘चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर’ (CISO) टीम, ‘ट्रांजैक्शन मॉनिटरिंग’ टीम और IT टीम को मिलकर काम करना होगा ताकि संभावित खतरों को पहले ही भांपा जा सके।
-
सख्त सत्यापन और व्हाइटलिस्टिंग: फंड ट्रांसफर से पहले लाभार्थी के नाम और खातों की पूरी पुष्टि की जाए। साथ ही यह जांचा जाए कि गैर-श्वेतसूची (Non-Whitelisted) IP से NBFC के एक्सेस टोकन फेल तो नहीं हो रहे हैं।
सुरक्षा और निगरानी के लिए अतिरिक्त उपाय
-
संदेहजनक पैटर्न पर नजर: ट्रांजैक्शन मॉनिटरिंग टीम को लेन-देन के विवरण (नैरेशन) पैटर्न, लाभार्थी प्रोफाइल और ट्रांजैक्शन की मात्रा में होने वाले अचानक बदलावों पर पैनी नजर रखनी चाहिए।
-
रेड-टीम अभ्यास (Red-Team Exercises): वित्तीय संस्थाएं मशीन की गति से होने वाले हमलों का अनुकरण करने के लिए अधिकृत ‘रेड-टीम’ अभ्यास करें, जिससे यह जांचा जा सके कि उनका सुरक्षा ऑपरेशन सेंटर (SOC) कितनी तेजी से प्रतिक्रिया देता है।
-
बुनियादी ढांचे को मजबूत करना: जब तक KYC और अन्य जरूरी प्रशासनिक अप्रूवल पूरे न हों, तब तक फंड ट्रांसफर की अनुमति न दी जाए। ग्राहकों से जुड़े शिकायत निवारण तंत्र और आंतरिक सर्वर की सुरक्षा समीक्षा (Security Architecture Review) नियमित रूप से की जानी चाहिए।
