AI के जरिए बैंक खातों से करोड़ों की सेंधमारी, केंद्र ने जारी की चेतावनी; जानें कैसे काम कर रहे साइबर ठग

देश में आर्टिफिशियल इंटेलिजेंस (AI) की मदद से किए जा रहे साइबर हमलों का खतरा तेजी से बढ़ रहा है। अब साइबर अपराधी AI एजेंटों का इस्तेमाल कर बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक संस्थानों के सिस्टम को निशाना बना रहे हैं। इन हमलों के जरिए कुछ मामलों में फंड ट्रांसफर सिस्टम और API का दुरुपयोग कर करोड़ों रुपये के अनधिकृत लेन-देन किए गए हैं। इस खतरे को देखते हुए केंद्र सरकार ने बैंकों, NBFCs और फिनटेक कंपनियों के लिए एडवाइजरी जारी की है।

AI एजेंटों की मदद से मशीन की रफ्तार से हो रहे हमले

इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) की नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के तहत काम करने वाली CERT-In ने वित्तीय संस्थानों को निशाना बनाकर किए जा रहे साइबर हमलों का एक नया पैटर्न पहचाना है।

इन हमलों में अपराधी एजेंटिक AI फ्रेमवर्क का इस्तेमाल कर रहे हैं। इसकी मदद से वे बेहद कम समय में कई गतिविधियों को स्वचालित तरीके से अंजाम दे सकते हैं। हमलावरों का मुख्य उद्देश्य वित्तीय संस्थानों के सिस्टम में सेंध लगाकर बिना अनुमति के बड़ी रकम ट्रांसफर करना है।

इस तरह बैंकिंग सिस्टम में सेंध लगाते हैं साइबर अपराधी

साइबर अपराधी सबसे पहले ऐसे सॉफ्टवेयर और सिस्टम को निशाना बनाते हैं, जिन्हें समय पर अपडेट नहीं किया गया हो। इसके अलावा गलत तरीके से कॉन्फिगर किए गए इंटरनेट से जुड़े सर्वर और IT सिस्टम भी उनके निशाने पर रहते हैं। ग्राहकों की शिकायतों के लिए बनाए गए ऑनलाइन इंटरफेस का भी दुरुपयोग किया जा सकता है।

सिस्टम में प्रवेश मिलने के बाद हमलावर ऑटोमेटेड फंड डिस्बर्समेंट सिस्टम और भुगतान या रकम ट्रांसफर करने के लिए इस्तेमाल होने वाले API को निशाना बनाते हैं। इसके बाद AI एजेंटों की मदद से तेजी से अनधिकृत ट्रांजैक्शन किए जाते हैं।

ठगी की रकम को अलग-अलग बैंकों में मौजूद म्यूल अकाउंट्स में भेजा जाता है। ये ऐसे बैंक खाते होते हैं, जिनका इस्तेमाल अपराधी अवैध पैसों के लेन-देन के लिए करते हैं। इसके बाद रकम को IMPS या NEFT के जरिए दूसरे खातों में ट्रांसफर कर दिया जाता है या निकाल लिया जाता है। अंत में अपराधी सिस्टम के रिकॉर्ड मिटाकर जांच एजेंसियों के लिए सुराग जुटाना मुश्किल बनाने की कोशिश करते हैं।

बैंकों को लेन-देन की सीमा तय करने के निर्देश

सरकार ने वित्तीय संस्थानों को दैनिक और प्रत्येक ट्रांजैक्शन के लिए रकम की सीमा तय करने की सलाह दी है। इसके साथ ही लाभार्थी के नाम और बैंक खाते की पुष्टि करना भी जरूरी बताया गया है।

बैंकों, NBFCs, फिनटेक कंपनियों, पेमेंट एग्रीगेटर्स और पेमेंट गेटवे को अपनी साइबर सुरक्षा व्यवस्था मजबूत करने के निर्देश दिए गए हैं। उन्हें CERT-In की ओर से जारी दिशा-निर्देशों और मई 2026 में जारी AI आधारित कमजोरियों से बचाव के ब्लूप्रिंट के अनुसार सुरक्षा उपाय लागू करने को कहा गया है।

साइबर हमले की जानकारी 6 घंटे में देनी होगी

एडवाइजरी के मुताबिक, किसी भी साइबर घटना का पता चलने के छह घंटे के भीतर CERT-In को इसकी जानकारी देना जरूरी है। बैंकों और NBFCs को इसी समयसीमा में RBI के DAKSH पोर्टल पर भी घटना की रिपोर्ट करनी होगी।

NBFCs और फिनटेक कंपनियां धोखाधड़ी वाले ट्रांजैक्शन की सामूहिक रिपोर्टिंग के लिए I4C से संपर्क कर सकती हैं। इसके लिए NCRP-CFCFRMS पोर्टल का इस्तेमाल किया जा सकता है, ताकि ठगी से निकाली गई रकम को समय रहते फ्रीज कराने की कार्रवाई की जा सके।

सुरक्षा के लिए इन उपायों को अपनाने की सलाह

सरकार ने वित्तीय संस्थानों को भुगतान से जुड़े सभी डिजिटल इंटरफेस और API की पूरी सूची तैयार रखने को कहा है। पुराने, इस्तेमाल में नहीं आने वाले और टेस्टिंग के लिए बनाए गए इंटरफेस को बंद करने की सलाह दी गई है।

इसके अलावा बैंक की साइबर सुरक्षा, IT और ट्रांजैक्शन मॉनिटरिंग टीमों को आपसी तालमेल के साथ काम करना होगा। गैर-स्वीकृत IP एड्रेस से होने वाली संदिग्ध गतिविधियों और एक्सेस टोकन के इस्तेमाल पर नजर रखने के निर्देश दिए गए हैं।

ट्रांजैक्शन मॉनिटरिंग टीमों को लेन-देन के विवरण, लाभार्थियों की प्रोफाइल और ट्रांजैक्शन की मात्रा में अचानक होने वाले बदलावों की जांच करनी होगी। यह भी सुनिश्चित करना होगा कि KYC और जरूरी मंजूरी की प्रक्रिया पूरी होने से पहले किसी खाते में रकम ट्रांसफर न हो।

सरकार ने संभावित साइबर हमलों की पहचान और उनसे निपटने की क्षमता जांचने के लिए अधिकृत रेड-टीम अभ्यास करने की भी सलाह दी है। इसके जरिए यह पता लगाया जा सकेगा कि बैंक के सुरक्षा और भुगतान नियंत्रण सिस्टम तेजी से होने वाले AI आधारित हमलों पर कितनी जल्दी प्रतिक्रिया दे सकते हैं।