भारत की NBFC और Fintech कंपनियों को AI साइबर हमलों से क्या खतरा है, एजेंसी ने क्या चेतावनी दी?

Banking Cyber Fraud: AI की मदद से बैंकिंग और डिजिटल पेमेंट सिस्टम की कमजोरियां खोजने और उन पर हमला करने की कोशिश की जा रही है। ऐसे में अब साइबर अपराधी सिर्फ लोगों को फर्जी फोन या लिंक भेजकर ठगने तक सीमित नहीं हैं। भारत की साइबर सुरक्षा एजेंसी CERT-In ने इस मामले को लेकर गंभीर चेतावनी जारी की है।

एजेंसी ने 'क्राफ्टी फाल्कन' (Crafty Falcon) नाम के एक हैकिंग ग्रुप की पहचान की है। CERT-In के मुताबिक, इससे भारत की बैंकिंग सिस्टम पर खतरा मंडरा रहा है। इसलिए CERT-In ने संस्थाओं को कुछ चेतावियां और सावधानियां बरतने को कहा है।

किन कंपनियों पर है खतरा?

CERT-In की चेतावनी के मुताबिक, हमले का दायरा सिर्फ रेगुलर बैंकों तक सीमित नहीं है। इसमें दूसरी बैंकिग संस्थाएं भी शामिल हैं। जैसे कि NBFC यानी गैर-बैंकिंग वित्तीय कंपनियां जो बैंक की तरह लोन और दूसरी वित्तीय सेवाएं देती हैं, लेकिन उनके पास बैंक जैसा पूरा लाइसेंस नहीं होता। साथ ही फिनटेक कंपनियां जो तकनीक की मदद से डिजिटल पेमेंट, ऑनलाइन लोन, पैसे ट्रांसफर और दूसरी वित्तीय सेवाएं उपलब्ध कराती हैं।

इनके अलावा ये खतरा डिजिटल लोन देने वाले प्लेटफॉर्म, क्रिप्टोकरेंसी एक्सचेंज और डिजिटल करेंसी से जुड़ी सेवाएं देने वाली संस्थाओं पर भी मंडरा रहा है।

हैकर पैसा निकालने के लिए कौन-सा तरीका अपना रहे हैं?

इस पूरे मामले को समझने के लिए पहले API को समझना जरूरी है। API को दो वित्तीय संस्थानों के बीच बातचीत कराने वाले डिजिटल रास्ते की तरह समझा जा सकता है।

उदाहरण के लिए, जब कोई व्यक्ति डिजिटल लोन लेता है तो लोन देने वाली कंपनी और बैंक के सिस्टम के बीच जानकारी और भुगतान से जुड़े निर्देशों का आदान-प्रदान होता है। इसी प्रक्रिया में API का इस्तेमाल होता है।

हैकर्स इसी व्यवस्था की कमजोरियों का फायदा उठाकर बिना अनुमति के ट्रांजेक्शन कराने की कोशिश कर रहे हैं। यहां सबसे खास बात यह है कि हैकर अब ग्राहक का पासवर्ड चुराने के बजाय वित्तीय कंपनियों के भुगतान सिस्टम का गलत इस्तेमाल करने की कोशिश कर रहे हैं।

CERT-In ने हमले के कुछ खास तरीके बताए हैं

CERT-In के मुताबिक, हैंकर्स पहले सिस्टम की कमजोरियां खोजते हैं। ऐप और उसके कोड की जांच करके हमले का रास्ता तलाशते हैं। असली ऐप की बदली हुई कॉपी या गलत API रिक्वेस्ट के जरिए सुरक्षा जांच को चकमा देने की कोशिश करते हैं।

इसके बाद पहले नए खाते में 1 रुपये जैसे छोटे ट्रांजेक्शन करते हैं। पेमेंट सफल होने पर बड़ी रकम ट्रांसफर करने की कोशिश करते हैं। पेमेंट एग्रीगेटर के मर्चेंट सेटलमेंट सिस्टम को भी निशाना बनाते हैं।

CERT-In advisory (Source-AI)

हैकिंग में इस्तेमाल हो रहे AI टूल कौन से हैं?

CERT-In ने इन चार AI आधारित साइबर टूल की जानकारी दी है जिनसे हैंकिग की जाती है।

AI टूल का नाम	इसका इस्तेमाल
ARTEX	साइबर सिस्टम की कमजोरियां तलाशने और हमले की तैयारी में
PentAGI	AI एजेंट की मदद से साइबर जांच और हमले की प्रक्रिया में
Cairn	सिस्टम में सेंध लगाने के संभावित रास्ते तलाशने में
CyberStrikeAI	साइबर हमले से जुड़ी गतिविधियों को अंजाम देने में

इन टूल की मदद से हैकर एक साथ कई रास्तों से हमला कर सकते हैं। ये टूल तेजी से हमले के लिए स्क्रिप्ट तैयार कर सकते हैं और सामने वाले सिस्टम से मिलने वाले जवाब के आधार पर अपने तरीके बदल सकते हैं। यानी कि पहले हैकर को हर कदम खुद उठाना पड़ता था, लेकिन अब AI कई काम अपने आप कर सकता है। इससे हमले की रफ्तार बढ़ जाती है।

शनिवार, रविवार और छुट्टियों में हमला ज्यादा होता है लेकिन क्यों?

CERT-In के मुताबिक, हमले शनिवार, रविवार की छुट्टियों और कम निगरानी वाले समय ज्यादा किए जाते हैं। इसकी बड़ा वजह यह है कि छुट्टियों में वित्तीय संस्थानों में कर्मचारियों की संख्या कम होती है। इससे साइबर सुरक्षा टीम की निगरानी प्रभावित होती है, जिससे संदिग्ध ट्रांजेक्शन पकड़ने और उस पर कार्रवाई करने में देरी हो सकती है। हैकर इसी कम निगरानी वाले समय का फायदा उठाने की कोशिश करते हैं।

क्या आम आदमी के बैंक खाते का पैसा भी खतरे में है?

CERT-In की चेतावनी से अब यह सवाल हर आम नागरिक के मन में उठेगा कि इससे उसके पैसे पर भी खतरा है। ऐसे में अगर किसी NBFC या फिनटेक कंपनी के भुगतान सिस्टम में सेंध लगती है तो उसके जरिए होने वाले लेन-देन प्रभावित हो सकते हैं।

इससे ग्राहकों का वित्तीय डेटा चोरी होने का खतरा हो सकता है। डिजिटल लोन, भुगतान और पैसे के ट्रांसफर में गड़बड़ी हो सकती है। अगर कंपनी के बैंकिंग सिस्टम से अनधिकृत ट्रांजेक्शन होते हैं तो आर्थिक नुकसान भी हो सकता है।

लेकिन CERT-In ने हर ग्राहक के बैंक खाते से पैसा चोरी होने की चेतावनी नहीं दी है। यह चेतावनी वित्तीय संस्थानों के सिस्टम पर हमले को लेकर है। जिसका असर ग्राहकों तक पहुंच सकता है।

CERT-In ने कंपनियों को बचाव के लिए क्या कहा?

CERT-In ने वित्तीय संस्थानों को इस खतरे को तत्काल और लगातार बने रहने वाला खतरा मानने की सलाह दी है। साथ ही कई जरूरी कदम उठाने को कहा है। इसके तहत छुट्टियों वाले दिनों में भी 24 घंटे साइबर सुरक्षा निगरानी रखने की बात कही गई है। डिजिटल पेमेंट सिस्टम की कमजोरियों को तुरंत ठीक करने को कहा गया है।

साथ ही 1 रुपये वाले छोटे ट्रांजेक्शन के बाद अचानक बड़ी रकम ट्रांसफर होने पर विशेष नजर रखने की सलाह दी गई है। नए खातों में बड़ी रकम भेजने से पहले अतिरिक्त जांच करने को कहा गया है। बैंकिंग ऐप और API के जरिए होने वाले ट्रांजेक्शन की जांच मजबूत करने के निर्देश दिए गए हैं। साथ ही साइबर हमले के बाद पूरे सिस्टम की जांच करने की सलाह दी गई है।