पेमेंट सिस्टम पर एआई आधारित साइबर हमलों का खतरा बढ़ा

तेलंगाना साइबर सुरक्षा ब्यूरो (TGCSB) ने पेमेंट सिस्टम और लोन वितरण प्लेटफार्मों को निशाना बनाने वाले आर्टिफिशियल इंटेलिजेंस (AI) आधारित साइबर हमलों के बढ़ते जोखिम के बारे में नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs), फिनटेक प्लेटफार्मों और बैंकों को चेतावनी दी है। द हिंदू की रिपोर्ट के अनुसार, TGCSB ने इन संस्थानों को धोखाधड़ी वाले लेनदेन को स्रोत से ही रोकने के लिए सुरक्षा उपायों को मजबूत करने का निर्देश दिया है।

हैदराबाद में गुरुवार को आयोजित एक बैठक में यह एडवाइजरी जारी की गई थी। इस बैठक में NBFCs, फिनटेक प्लेटफार्मों और बैंकों के प्रतिनिधियों के अलावा दूरसंचार विभाग (DoT) और भारतीय रिजर्व बैंक (RBI) के अधिकारी भी उपस्थित थे। TGCSB की निदेशक शिखा गोयल ने इस बैठक को संबोधित किया, जबकि इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) के ऋषि मेहता ने वर्चुअल रूप से जुड़कर पेआउट मैकेनिज्म, API के साथ छेड़छाड़ और निवारक उपायों पर चर्चा का नेतृत्व किया।

TGCSB के अनुसार, जालसाज कमजोर साइबर सुरक्षा वाली छोटी NBFCs को निशाना बना रहे हैं। हमलावर किसी संस्थान की आंतरिक प्रक्रियाओं और पेमेंट सिस्टम का अध्ययन करने के लिए लगभग 10 से 12 दिन का समय बिताते हैं। इस दौरान वे व्हाइटलिस्ट की गई आईडी (IDs), पेमेंट API क्रेडेंशियल्स और कोड में मौजूद खामियों का पता लगाते हैं। इसके बाद वे इन कमजोरियों का उपयोग करके अनधिकृत पहुंच प्राप्त करते हैं और सर्वर से चोरी किए गए क्रेडेंशियल्स का उपयोग करते हैं, जिससे धोखाधड़ी के अनुरोध सही प्रतीत होते हैं।

हमलावर ऑटोमेटेड स्क्रिप्ट का उपयोग करके सामान्य बैच प्रोसेसिंग समय के अलावा पेआउट अनुरोध शुरू करते हैं, बार-बार ट्रांसफर करते हैं और फ्रॉड अलर्ट से बचने के लिए भुगतान को छोटे हिस्सों में बांट देते हैं। इसके बाद, ट्रांसफर रुकने से पहले, धन को मयूल (mule) खातों में तेजी से और ऑटोमेटेड बल्क लेनदेन के माध्यम से स्थानांतरित कर दिया जाता है।

बैठक को संबोधित करते हुए शिखा गोयल ने कहा कि वित्तीय संस्थानों को केवल धोखाधड़ी होने के बाद उसकी सूचना देने की जिम्मेदारी तक सीमित नहीं रहना चाहिए, बल्कि धोखाधड़ी के लेनदेन को स्रोत से रोकने, रीयल-टाइम में संदिग्ध गतिविधियों का पता लगाने और मयूल खातों के माध्यम से धन की आवाजाही को रोकने पर ध्यान केंद्रित करना चाहिए।

संस्थानों को नियमित रूप से Vulnerability Assessment and Penetration Testing (VAPT) करने, पेमेंट और वितरण API को सुरक्षित करने और रीयल-टाइम फ्रॉड डिटेक्शन सिस्टम के साथ-साथ ट्रांजैक्शन वेलोसिटी चेक और सीमाएं लागू करने की सलाह दी गई है। यदि हमला होता है, तो संस्थानों को तुरंत ऑटोमेटेड लोन वितरण सॉफ्टवेयर बंद करके मैनुअल कामकाज पर स्विच करना चाहिए, बैंकों से लोन वितरण खाता फ्रीज करने के लिए कहना चाहिए और लंबित API कॉल को क्लियर करना चाहिए। साइबर सुरक्षा टीम द्वारा सिस्टम का परीक्षण और खामियों को सुधारने के बाद ही ऑटोमेटेड कामकाज फिर से शुरू किया जाना चाहिए।

ब्यूरो ने संस्थानों को संदिग्ध धोखाधड़ी की सूचना तुरंत 1930 हेल्पलाइन या www.cybercrime.gov.in पोर्टल के माध्यम से देने, लाभार्थी बैंकों और I4C को अलर्ट करने और साइबर घटनाओं की सूचना CERT-In को छह घंटे में तथा जहाँ लागू हो, DAKSH पोर्टल के माध्यम से RBI को देने के निर्देश दिए हैं। इसके अलावा, सभी उच्च जोखिम वाले पेआउट का पूर्ण रिकॉर्ड रखने के निर्देश भी दिए गए हैं।