AI से संचालित साइबर हमलों का खतरा: CERT-In और I4C की चेतावनी

साइबर सुरक्षा में गंभीर चेतावनी

भारतीय साइबर अपराध समन्वय केंद्र (I4C) और कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने वित्तीय संस्थानों के लिए एक गंभीर सुरक्षा चेतावनी जारी की है। इन एजेंसियों के अनुसार, अपराधी अब कृत्रिम बुद्धिमत्ता का उपयोग करके स्वचालित प्रणालियों के माध्यम से बैंकों, गैर-बैंकिंग वित्तीय कंपनियों और फिनटेक प्लेटफार्मों में सेंध लगाने का प्रयास कर रहे हैं। इन हमलों में मशीनों की गति से कई स्तरों पर हमला किया जा रहा है, जिससे करोड़ों रुपये की अवैध निकासी की घटनाएं सामने आई हैं। सुरक्षा एजेंसियों ने बैंकों और भुगतान सेवाओं से जुड़े संस्थानों को डिजिटल सुरक्षा की तत्काल समीक्षा करने और कमजोरियों को दूर करने की सलाह दी है।

साइबर अपराधियों का निशाना

जांच एजेंसियों के अनुसार, साइबर अपराधियों की नजर उन सर्वरों और सूचना प्रौद्योगिकी प्रणालियों पर है, जिनका सॉफ्टवेयर लंबे समय से अपडेट नहीं हुआ है। कमजोर इंटरनेट नेटवर्क और ग्राहकों की शिकायतों को दर्ज करने वाले ऑनलाइन प्लेटफार्म भी उनके निशाने पर हैं। एक बार जब वे किसी प्रणाली में प्रवेश कर लेते हैं, तो वे भुगतान करने वाली स्वचालित प्रणाली और रकम भेजने वाले एप्लिकेशन प्रोग्रामिंग इंटरफेस (API) तक पहुंचने का प्रयास करते हैं। इस तरीके से वित्तीय लेनदेन में हेरफेर और अवैध निकासी की जा सकती है।

महत्वपूर्ण साइबर सुरक्षा परामर्श

CERT-In ने इस खतरे से संबंधित दो महत्वपूर्ण साइबर सुरक्षा परामर्श जारी किए हैं। पहला परामर्श 9 अक्टूबर 2026 को CIAD-2026-0046 के नाम से जारी हुआ, जिसमें भुगतान और धन वितरण से जुड़े API पर संभावित हमलों का उल्लेख किया गया। दूसरा परामर्श 15 अक्टूबर 2026 को CIAD-2026-0049 के तहत जारी किया गया, जिसमें एआई एजेंटों के माध्यम से साइबर अपराध को अंजाम देने की आशंका जताई गई। एजेंसियों ने बैंकों, NBFCs, फिनटेक कंपनियों, पेमेंट एग्रीगेटरों और भुगतान गेटवे संचालकों से इन निर्देशों को प्राथमिकता के आधार पर लागू करने का आग्रह किया है।

घटनाओं की सूचना देने की समयसीमा

सुरक्षा नियमों के अनुसार, किसी साइबर घटना का पता चलने पर संबंधित संस्थान को CERT-In को छह घंटे के भीतर इसकी सूचना देनी होगी। बैंक और NBFC इस घटना की जानकारी भारतीय रिजर्व बैंक के DAKSH पोर्टल पर भी निर्धारित समयसीमा में दर्ज करेंगे। इसके साथ ही, प्रत्येक संस्था को अपने क्षेत्र के नियामक द्वारा तय सुरक्षा मानकों का पालन करना होगा। भुगतान और धन हस्तांतरण में इस्तेमाल होने वाले सभी डिजिटल माध्यमों और API की सूची तैयार करना भी अनिवार्य है।

संदिग्ध लेनदेन पर नजर

एजेंसियों ने पुराने, अनुपयोगी और परीक्षण के लिए बनाए गए API को बंद करने की सलाह दी है। हर लेनदेन और दैनिक धन हस्तांतरण की सीमा निर्धारित करने के साथ लाभार्थी के बैंक खाते और नाम की पुष्टि करने पर जोर दिया गया है। असामान्य तेजी से होने वाले भुगतान, संदिग्ध इंटरनेट पते और बार-बार असफल हो रहे एक्सेस टोकन की जांच करने को कहा गया है। KYC और आवश्यक अनुमोदन पूरा किए बिना धन जारी नहीं किया जाना चाहिए। बैंक के सुरक्षा प्रमुख, तकनीकी विभाग और लेनदेन निगरानी दल के बीच बेहतर तालमेल भी आवश्यक है।

AI का उपयोग करके धन का वितरण

I4C और CERT-In के अनुसार, Agentic AI Framework का उपयोग करके हमलावर विभिन्न प्रक्रियाओं को स्वचालित रूप से संचालित कर सकते हैं। अवैध रूप से निकाली गई रकम पहले म्यूल खातों में भेजी जाती है, जो आमतौर पर अपराधियों द्वारा धन के लेनदेन और पहचान छिपाने के लिए उपयोग किए जाते हैं। इसके बाद IMPS और NEFT के माध्यम से पैसा कई अन्य खातों में पहुंचाया जाता है या निकाला जाता है। जांच से बचने के लिए डिजिटल सबूत मिटाने की कोशिश भी की जाती है।

सुरक्षा व्यवस्था की क्षमता का परीक्षण

एजेंसियों ने संस्थानों को अधिकृत रेड टीम अभ्यास कराने की सलाह दी है, ताकि वास्तविक हमले जैसी परिस्थितियों में उनकी तैयारी का परीक्षण किया जा सके। सुरक्षा संचालन केंद्र (SOC) और भुगतान सुरक्षा प्रणाली की क्षमता को भी जांचना आवश्यक है कि वे कितनी जल्दी खतरे को पहचानकर कार्रवाई करते हैं। संदेश स्पष्ट है कि डिजिटल भुगतान की बढ़ती दुनिया में केवल तकनीक अपनाना ही पर्याप्त नहीं है, बल्कि उसकी सुरक्षा को लगातार मजबूत रखना भी अनिवार्य है।