AI એજન્ટ દ્વારા સાયબર હુમલાનું જોખમ, ગૃહ મંત્રાલયે જાહેર કરી એડવાઇઝરી

ગૃહ મંત્રાલય હેઠળના ઇન્ડિયન સાયબર ક્રાઇમ કોઓર્ડિનેશન સેન્ટર (I4C) અને ઇલેક્ટ્રોનિક્સ તથા IT મંત્રાલયની CERT-In એ નાણાકીય સંસ્થાઓ પર થતા સાયબર હુમલાઓના નવા ટ્રેન્ડને ઓળખ્યો છે. આ મામલે I4C એ બેંકો, નોન-બેન્કિંગ ફાઇનાન્શિયલ કંપનીઓ (NBFCs) અને ફિનટેક કંપનીઓ માટે એક મહત્વપૂર્ણ એડવાઇઝરી જાહેર કરી છે, જેથી આર્થિક લાભ મેળવવાના હેતુથી કરવામાં આવતા આવા હુમલાઓને અટકાવી શકાય.

સંદેશના અહેવાલ મુજબ, આ નવા પ્રકારના હુમલાઓમાં આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI) એજન્ટનો ઉપયોગ કરવામાં આવે છે. 'એજન્ટિક AI ફ્રેમવર્ક' (Agentic AI Framework) ના કારણે આ હુમલાઓ મશીનની ગતિએ અત્યંત ઝડપથી થાય છે. હેકર્સ ખાસ કરીને એવા સોફ્ટવેરને નિશાન બનાવે છે જે સમયસર અપડેટ કરવામાં આવ્યા નથી, અથવા ખોટી રીતે કન્ફિગર થયેલા ઇન્ટરનેટ સર્વર અને IT સિસ્ટમનો ઉપયોગ કરે છે. જેમાં ગ્રાહકોની ફરિયાદો મેળવવા માટેના ઇન્ટરફેસનો પણ સમાવેશ થાય છે.

હુમલાખોરો ઓટોમેટેડ ફંડ વિતરણ સિસ્ટમ અથવા પેમેન્ટ અને ફંડ ટ્રાન્સફર માટે વપરાતા વિશેષ ઇન્ટરફેસ (API) પર હુમલો કરે છે. કેટલાક કિસ્સાઓમાં API મારફતે કરોડો રૂપિયાના અનધિકૃત ટ્રાન્ઝેક્શન થયા હોવાનું સામે આવ્યું છે. ચોરી કરેલા પૈસાને ગુનેગારો અલગ-અલગ બેંકોના 'મ્યુલ એકાઉન્ટ્સ'માં ટ્રાન્સફર કરે છે અને ત્યારબાદ IMPS અથવા NEFT દ્વારા અન્ય ખાતામાં મોકલી દે છે અથવા ઉપાડી લે છે. તપાસથી બચવા માટે તેઓ સિસ્ટમમાંથી રેકોર્ડ ડિલીટ કરી પોતાના ડિજિટલ નિશાન ભૂંસી નાખે છે.

આ જોખમોને ઘટાડવા માટે મંત્રાલયે અને CERT-In એ અનેક નિર્દેશો આપ્યા છે. તમામ નાણાકીય સંસ્થાઓએ દૈનિક લેવડદેવડ અને દરેક ટ્રાન્ઝેક્શન માટે નાણાકીય મર્યાદા નક્કી કરવી પડશે. લાભાર્થીના નામ અને બેંક ખાતાની ખરાઈ કરવી તેમજ અસામાન્ય ઝડપે થતા વ્યવહારો પર નજર રાખવી ફરજિયાત છે. પેમેન્ટ માટે વપરાતા તમામ APIની યાદી તૈયાર કરી, બિનઉપયોગી કે ટેસ્ટિંગ API બંધ કરવા સૂચના આપવામાં આવી છે. આ માટે બેંકના ચીફ ઇન્ફોર્મેશન સિક્યોરિટી ઓફિસર (CISO), ટ્રાન્ઝેક્શન મોનિટરિંગ અને IT ટીમે સંકલન સાધવું પડશે.

સુરક્ષાના અન્ય પગલાંમાં KYC અને મંજૂરીની પ્રક્રિયા પૂર્ણ થયા પછી જ રકમ ટ્રાન્સફર કરવી, ગ્રાહક ઇન્ફ્રાસ્ટ્રક્ચરને વધુ સુરક્ષિત બનાવવું અને અધિકૃત રેડ ટીમ દ્વારા મશીન-સ્પીડ હુમલાનું સિમ્યુલેશન પરીક્ષણ કરવું સામેલ છે. સંસ્થાઓએ પોતાના સુરક્ષા નિયંત્રણોને CERT-Inના મે ૨૦૨૬ના 'ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચરમાં AI આધારિત નબળાઈઓના દુરુપયોગને ઘટાડવા અને તેનાથી બચાવ માટેના બ્લૂપ્રિન્ટ' મુજબ મજબૂત કરવાના રહેશે.

રિપોર્ટિંગના નિયમો અંગે જણાવવામાં આવ્યું છે કે, કોઈપણ સાયબર ઘટનાની જાણ થયા બાદ ૬ કલાકની અંદર CERT-In ને જાણ કરવી ફરજિયાત છે. બેંકો અને NBFCs એ ૬ કલાકમાં RBIના DAKSH પોર્ટલ પર રિપોર્ટ કરવો પડશે. NBFCs અને ફિનટેક કંપનીઓ છેતરપિંડીના ટ્રાન્ઝેક્શનની સામૂહિક જાણ કરવા NCRP-CFCFRMS પોર્ટલનો ઉપયોગ કરી શકે છે, જેથી રકમ ફ્રીઝ કરાવી શકાય.

બીજી તરફ, AI ક્ષેત્રની અગ્રણી કંપની OpenAI માં આંતરિક સુરક્ષા અંગે ચિંતાઓ સામે આવી છે. NDTV અને ધ હિન્દુના અહેવાલ મુજબ, ૨૦૨૨માં ChatGPT લોન્ચ થયા પહેલા પણ કેટલાક કર્મચારીઓએ સુરક્ષામાં ખામીઓ અંગે ચેતવણી આપી હતી. કર્મચારીઓએ દલીલ કરી હતી કે મેનેજમેન્ટ સુરક્ષા કરતા ગૂગલ અને એન્થ્રોપિક જેવી કંપનીઓ સાથેની સ્પર્ધામાં આગળ રહેવા પર વધુ ધ્યાન આપી રહ્યું હતું. આ ખામીઓને કારણે વિદેશી સરકારો જેવી બહારની વ્યક્તિઓ સંવેદનશીલ માહિતી મેળવી શકતી હતી. ઓક્ટોબરમાં કંપનીએ એક એક્ઝિક્યુટિવ કોન્ફરન્સ રૂમમાં રેકોર્ડિંગ ડિવાઇસ મળ્યાની જાણ કરી હતી.

આ સમસ્યાઓના ઉકેલ માટે OpenAI એ વ્યૂહરચના બદલી છે. પ્રોડક્ટ ડેવલપમેન્ટના વરિષ્ઠ એક્ઝિક્યુટિવ થિબોલ્ટ સોટિઓ (Tibo) એ આંતરિક સિસ્ટમ્સને સુરક્ષિત કરવાની જવાબદારી લીધી છે અને ઓગસ્ટમાં ચોથા ભાગના પ્રોડક્શન એન્જિનિયરોને સુરક્ષા ઇન્ફ્રાસ્ટ્રક્ચર સુધારવા માટે ફાળવ્યા છે. કંપનીના પ્રવક્તા એલાના વિડમેનએ જણાવ્યું કે OpenAI વિશ્વની સૌથી વધુ ટાર્ગેટ થતી સંસ્થાઓમાંની એક છે, તેથી તેઓ ઇનસાઇડર્સ અને સાયબર ગુનેગારો સામે રક્ષણ માટે ભારે રોકાણ કરે છે.

OpenAI એ તાજેતરમાં ChatGPT માં 'Locked Chats' ફીચર રજૂ કર્યું છે. ટીવી૯ ગુજરાતી મુજબ, આ સુવિધાથી વપરાશકર્તાઓ તેમની ખાનગી ચેટ્સને ૪ અંકના PIN અથવા બાયોમેટ્રિક ઓથેન્ટિકેશન દ્વારા લૉક કરી શકે છે. આ ફીચર ફ્રી સહિત તમામ પ્લાન્સ માટે ઉપલબ્ધ છે. જોકે, PIN રીસેટ કરવામાં આવે તો તમામ લૉક કરેલી ચેટ્સ કાયમી ધોરણે ડિલીટ થઈ જાય છે, જેને પુનઃપ્રાપ્ત કરી શકાતી નથી.