नई दिल्ली: देश के बैंकिंग और वित्तीय तंत्र को निशाना बनाने के लिए साइबर अपराधियों ने अब अत्याधुनिक तकनीकों का सहारा लेना शुरू कर दिया है। केंद्रीय गृह मंत्रालय के तहत काम करने वाले इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) की नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं आईटी मंत्रालय की CERT-In ने बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक कंपनियों के खिलाफ तेजी से बढ़ रहे संगठित साइबर हमलों का एक नया और गंभीर पैटर्न पकड़ा है। इस खतरे को देखते हुए गृह मंत्रालय ने वित्तीय संस्थानों को अलर्ट जारी करते हुए दैनिक और प्रति-लेनदेन (पर-ट्रांजैक्शन) सीमाएं तय करने सहित कई आपातकालीन सुरक्षा निर्देश जारी किए हैं।

मशीन की गति से हो रहे हमले, ‘एजेंटिक एआई’ के जरिए करोड़ों की हेराफेरी

जांच एजेंसियों के अनुसार, ये हमले विशुद्ध रूप से आर्थिक नुकसान पहुंचाने और गैर-कानूनी फंड जुटाने के उद्देश्य से किए जा रहे हैं। इसमें सबसे चिंताजनक बात यह सामने आई है कि हैकर्स ‘एजेंटिक एआई फ्रेमवर्क’ (Agentic AI Framework) का इस्तेमाल कर रहे हैं। कृत्रिम बुद्धिमत्ता (AI) एजेंटों की मदद से ये हमले ‘मशीन की गति’ से अंजाम दिए जाते हैं, जिससे पारंपरिक सुरक्षा प्रणालियों को संभलने का मौका तक नहीं मिलता। कई मामलों में वित्तीय संस्थानों के ऑटोमेटेड फंड वितरण प्रणालियों (Fund Disbursement Systems) और एप्लिकेशन प्रोग्रामिंग इंटरफेस (API) में सेंध लगाकर बिना किसी पूर्व अनुमति के करोड़ों रुपयों के अवैध ट्रांजेक्शन किए गए हैं।

हमलावरों का ‘मोडस ऑपरेंडी’: सुरक्षा खामियों से लेकर डिजिटल निशान मिटाने तक

जांच में सामने आया है कि साइबर हमलावर बेहद संगठित और योजनाबद्ध तरीके से काम करते हैं:

• कमजोरियों की पहचान: हमलावर उन सॉफ्टवेयर को निशाना बनाते हैं जिन्हें लंबे समय से पैच या अपडेट नहीं किया गया है, या फिर ऐसे इंटरनेट-एक्सपोज्ड सर्वर और आईटी इंफ्रास्ट्रक्चर की तलाश करते हैं जो गलत तरीके से कॉन्फिगर किए गए हैं। इसमें ग्राहकों के पब्लिक-फेसिंग ग्रिवांस (शिकायत) पोर्टल्स भी शामिल हैं।

• एपीआई और ऑटोमेशन पर हमला: सर्वर में सेंध लगाने के बाद हैकर्स ऑटोमेटेड फंड वितरण सिस्टम और फंड ट्रांसफर से जुड़े अहम API को हाईजैक कर लेते हैं। एआई टूल्स के जरिए कुछ ही पलों में सैकड़ों ट्रांजेक्शन प्रोसेस कर दिए जाते हैं।

• म्यूल खातों का इस्तेमाल: लूटी गई रकम को तुरंत अलग-अलग बैंकों में फैले ‘म्यूल अकाउंट्स’ (अपराधियों के फर्जी या किराए के खातों) में ट्रांसफर किया जाता है और वहां से तत्काल IMPS या NEFT के जरिए पैसा आगे निकाल लिया जाता है।

• लॉग्स और डिजिटल सबूतों को मिटाना: ट्रांजेक्शन पूरा होते ही हमलावर सिस्टम लॉग्स और ऑडिट ट्रेल को डिलीट कर देते हैं, जिससे जांच एजेंसियों के लिए फॉरेंसिक सबूत जुटाना बेहद जटिल हो जाता है।

वित्तीय संस्थानों के लिए सख्त निर्देश: 6 घंटे में देनी होगी सूचना

CERT-In और I4C ने सभी बैंकों, एनबीएफसी, फिनटेक फर्म्स और पेमेंट गेटवेज को प्राथमिकता के आधार पर एडवाइजरी लागू करने के निर्देश दिए हैं। संस्थानों को अपने साइबर डिफेंस को CERT-In के ‘डिजिटल इंफ्रास्ट्रक्चर में AI-आधारित कमजोरियों के दुरुपयोग से बचाव का ब्लूप्रिंट’ और संबंधित वित्तीय नियामकों (जैसे RBI) के नियमों के अनुरूप ढालना होगा।

• अनिवार्य रिपोर्टिंग: किसी भी साइबर घटना की जानकारी मिलते ही वित्तीय संस्थानों को 6 घंटे के भीतर CERT-In को रिपोर्ट करना अनिवार्य है।

• आरबीआई दक्ष पोर्टल: बैंकों और NBFCs को किसी भी सुरक्षा उल्लंघन का पता चलने के 6 घंटे के अंदर भारतीय रिजर्व बैंक के DAKSH पोर्टल पर ब्यौरा दर्ज कराना होगा।

• फंड फ्रीज करने की व्यवस्था: धोखाधड़ी वाले ट्रांजेक्शन की बल्क रिपोर्टिंग के लिए एनबीएफसी और फिनटेक कंपनियां I4C के NCRP-CFCFRMS पोर्टल का उपयोग कर सकती हैं, जिससे चुराई गई रकम को तुरंत फ्रीज कराया जा सके।

सुरक्षा को पुख्ता करने के लिए जारी किए गए अतिरिक्त उपाय

वित्तीय संस्थानों को अपने तकनीकी ढांचे को सुरक्षित रखने के लिए निम्नलिखित व्यावहारिक कदम उठाने का निर्देश दिया गया है:

• एपीआई ऑडिट और सफाई: भुगतान में उपयोग होने वाले सभी डिजिटल इंटरफेस (API) की अद्यतन सूची तैयार की जाए। पुराने, अप्रयुक्त या टेस्ट एपीआई को तत्काल बंद या सिस्टम से डिलीट किया जाए।

• संयुक्त सुरक्षा निगरानी: एपीआई पर होने वाले हमलों से निपटने के लिए बैंक की चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर (CISO) टीम, ट्रांजैक्शन मॉनिटरिंग टीम और कोर आईटी टीम का साझा समन्वय सुनिश्चित किया जाए।

• कड़े ट्रांजेक्शन लिमिट्स: प्रति-लेनदेन और दैनिक लेनदेन की अधिकतम सीमाएं निर्धारित हों। असामान्य गति से होने वाले फंड फ्लो और अनजान लाभार्थी (Beneficiary) प्रोफाइल्स पर लगातार निगरानी रखी जाए।

• आईपी और टोकन वैलिडेशन: बैंक इस बात की कड़ाई से पड़ताल करें कि क्या नॉन-व्हाइटलिस्टेड आईपी (Non-whitelisted IP) से किसी एनबीएफसी के एक्सेस टोकन फेल तो नहीं हो रहे हैं।

• रेड-टीम सिमुलेशन: वित्तीय संस्थान नियमित रूप से अधिकृत ‘रेड-टीम एक्सरसाइज’ आयोजित करें, जो मशीन की गति से होने वाले एआई हमलों का वास्तविक वातावरण में परीक्षण कर सकें, ताकि सिक्योरिटी ऑपरेशंस सेंटर (SOC) और पेमेंट सुरक्षा प्रणालियों की त्वरित प्रतिक्रिया क्षमता परखी जा सके।