वित्तीय संस्थानों पर मंडराया AI आधारित साइबर हमलों का खतरा, I4C और CERT-In ने जारी की सख्त एडवाइजरी

नई दिल्ली: देश के वित्तीय तंत्र को दहलाने वाले साइबर हमलों को लेकर एक बेहद गंभीर और चौंकाने वाला ट्रेंड सामने आया है। इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) के अंतर्गत आने वाली नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के अधीन कार्य करने वाली संस्था CERT-In ने संयुक्त रूप से देश के सभी प्रमुख बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक फर्मों को निशाना बनाने वाले आधुनिक साइबर खतरों का खुलासा किया है। इन खतरनाक हमलों और इनसे जुड़ी ऑनलाइन धोखाधड़ी पर प्रभावी रोक लगाने के लिए गृह मंत्रालय के I4C ने सभी वित्तीय संस्थानों के लिए एक सख्त एडवाइजरी जारी की है।

फंड वितरण प्रणालियों और एपीआई का हो रहा है दुरुपयोग, मशीन की गति से करोड़ों के अनधिकृत ट्रांजैक्शन को दिया जा रहा है अंजाम

मंत्रालय द्वारा जारी किए गए निर्देशों में बैंकों और वित्तीय संस्थाओं को दैनिक स्तर पर तथा प्रति-लेनदेन (पर-ट्रांजैक्शन) पर सख्त सीमाएं तय करने के निर्देश दिए गए हैं। जांच में यह बात सामने आई है कि ये साइबर हमले मुख्य रूप से भारी वित्तीय लाभ कमाने के लिए किए जा रहे हैं, जिनमें अत्याधुनिक आर्टिफिशियल इंटेलिजेंस (AI) एजेंटों का धड़ल्ले से इस्तेमाल हो रहा है। एआई के प्रयोग से ये हमले पलक झपकते ही मशीन की तीव्र गति से अंजाम दिए जाते हैं। कई मामलों में तो हैकर्स ने फंड वितरण प्रणालियों (fund disbursement systems) और एपीआई (APIs) में सेंध लगाकर करोड़ों रुपये के अनधिकृत और फर्जी ट्रांजैक्शन मिनटों में कर डाले हैं।

कमजोर और अनपैच्ड सॉफ्टवेयर का फायदा उठाकर हमलावर ऐसे काम को देते हैं अंजाम, म्यूल खातों में ट्रांसफर होती है ठगी की रकम

साइबर हमलावर मुख्य रूप से ऐसे सॉफ्टवेयर या आईटी सिस्टम्स का फायदा उठाते हैं जिन्हें समय पर अपडेट (पैच) नहीं किया गया होता है, या फिर इंटरनेट पर खुले ऐसे सर्वरों को निशाना बनाते हैं जिनका कॉन्फ़िगरेशन गलत तरीके से किया गया हो। इसमें ग्राहकों की शिकायतों के लिए बनाए गए इंटरफेस भी शामिल हो सकते हैं। एक बार सिस्टम में सेंध लगने के बाद हैकर ऑटोमेटेड फंड ट्रांसफर और डिस्बर्समेंट के लिए बने विशेष एपीआई का दुरुपयोग करते हैं। ‘एजेंटिक AI फ्रेमवर्क’ के जरिए ये हमले इतनी तेजी से होते हैं कि किसी को संभलने का मौका तक नहीं मिलता। इसके बाद ठगी गई पूरी रकम को अलग-अलग बैंकों में फैले “म्यूल” अकाउंट्स (अपराधियों द्वारा किराए पर लिए गए खातों) में भेजा जाता है और तुरंत आईएमपीएस (IMPS) या एनईएफटी (NEFT) के जरिए निकाल ली जाती है। अंत में, सबूत मिटाने के लिए हमलावर सारे डिजिटल रिकॉर्ड्स डिलीट कर देते हैं।

वित्तीय संस्थानों को जारी किए गए सुरक्षा से जुड़े कड़े निर्देश, घटना के 6 घंटे के भीतर करनी होगी अनिवार्य रिपोर्टिंग

इस प्रकार के गंभीर खतरों से निपटने के लिए सभी बैंकों, एनबीएफसी, फिनटेक कंपनियों और पेमेंट एग्रीगेटर्स को प्राथमिकता के आधार पर CERT-In की एडवाइजरी में बताए गए सभी सुरक्षा उपायों को तुरंत लागू करने की सलाह दी गई है। संस्थानों को अपने सुरक्षा तंत्र को CERT-In के डिजिटल इंफ्रास्ट्रक्चर ब्लूप्रिंट (मई 2026) और संबंधित नियामकों के तय साइबर सुरक्षा मानकों के अनुरूप बनाने को कहा गया है। इसके अलावा, किसी भी साइबर घटना का पता चलने के महज 6 घंटे के भीतर CERT-In को इसकी सूचना देना अनिवार्य कर दिया गया है। बैंकों और एनबीएफसी को घटना की जानकारी मिलते ही आरबीआई (RBI) के DAKSH पोर्टल पर भी 6 घंटे के भीतर रिपोर्ट करना होगा।

साइबर धोखाधड़ी रोकने के लिए सुरक्षा के अतिरिक्त उपाय और दिशा-निर्देश

वित्तीय सुरक्षा को और अधिक मजबूत करने के लिए संस्थानों को कई महत्वपूर्ण कदम उठाने को कहा गया है:

• एपीआई सुरक्षा: भुगतान के लिए उपयोग होने वाले सभी डिजिटल इंटरफेस (API) की एक सूची तैयार करें और पुराने या अप्रयुक्त टेस्ट इंटरफेस को तुरंत बंद करें।

• टीमों का तालमेल: साइबर हमलों के जोखिम को कम करने के लिए बैंक की ‘चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर’ (CISO) टीम, ट्रांजैक्शन मॉनिटरिंग और आईटी टीम को मिलकर काम करना चाहिए।

• लेन-देन की सीमा: दैनिक और प्रति-लेनदेन की सीमा तय करें, लाभार्थी (बेनिफिशियरी) के नामों की पुष्टि करें और असामान्य रूप से तेज गति से होने वाले ट्रांजैक्शन पर पैनी नजर रखें।

• शिकायत प्रणाली को मजबूती: ग्राहकों से जुड़े और शिकायत प्राप्त करने वाले इंफ्रास्ट्रक्चर को मजबूत करें ताकि घुसपैठ के किसी भी प्रयास को समय रहते रोका जा सके।

• समय पर जांच: यह सुनिश्चित किया जाए कि जब तक केवाईसी (KYC) और अन्य सभी जरूरी मंजूरियां पूरी न हो जाएं, तब तक फंड ट्रांसफर न किया जाए।

• रेड-टीम अभ्यास: मशीन की गति से होने वाले हमलों का अभ्यास (सिमुलेशन) करने के लिए अधिकृत ‘रेड-टीम’ अभ्यास करें, जिससे यह परखा जा सके कि पेमेंट कंट्रोल सिस्टम कितनी जल्दी प्रतिक्रिया देता है।