પેમેન્ટ સિસ્ટમ પર એઆઈ આધારિત સાયબર હુમલાનો ખતરો વધ્યો

તેલંગાણા સાયબર સિક્યુરિટી બ્યુરો (TGCSB) એ પેમેન્ટ સિસ્ટમ્સ અને લોન વિતરણ પ્લેટફોર્મ્સને નિશાન બનાવતા આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI) આધારિત સાયબર હુમલાઓના વધતા જોખમ અંગે નોન-બેંકિંગ ફાઇનાન્શિયલ કંપનીઓ (NBFCs), ફિનટેક પ્લેટફોર્મ્સ અને બેંકોને ચેતવણી આપી છે. ધ હિન્દુના અહેવાલ મુજબ, TGCSB એ આ સંસ્થાઓને છેતરપિંડીના વ્યવહારોને સ્ત્રોતથી જ રોકવા માટે સુરક્ષાના પગલાં મજબૂત કરવા સૂચના આપી છે.

હૈદરાબાદ ખાતે ગુરુવારે યોજાયેલી એક બેઠકમાં આ એડવાઇઝરી બહાર પાડવામાં આવી હતી. આ બેઠકમાં NBFCs, ફિનટેક પ્લેટફોર્મ્સ અને બેંકોના પ્રતિનિધિઓ ઉપરાંત ટેલિકોમ વિભાગ (DoT) અને રિઝર્વ બેંક ઓફ ઈન્ડિયા (RBI) ના અધિકારીઓ પણ હાજર રહ્યા હતા. TGCSB ના ડાયરેક્ટર શિખા ગોએલે આ બેઠકનું સંબોધન કર્યું હતું, જ્યારે ઇન્ડિયન સાયબર ક્રાઇમ કોઓર્ડિનેશન સેન્ટર (I4C) ના રુષિ મહેતાએ વર્ચ્યુઅલ રીતે જોડાઈને પેઆઉટ મિકેનિઝમ, API સાથેની છેડછાડ અને નિવારક પગલાં અંગે ચર્ચાનું નેતૃત્વ કર્યું હતું.

TGCSB ના જણાવ્યા અનુસાર, છેતરપિંડી કરનારાઓ નબળી સાયબર સુરક્ષા ધરાવતી નાની NBFCs ને નિશાન બનાવી રહ્યા છે. હુમલાખોરો કોઈ સંસ્થાની આંતરિક પ્રક્રિયાઓ અને પેમેન્ટ સિસ્ટમનો અભ્યાસ કરવા માટે આશરે ૧૦ થી ૧૨ દિવસનો સમય વિતાવે છે. આ દરમિયાન તેઓ વ્હાઇટલિસ્ટ કરેલી આઈડી (IDs), પેમેન્ટ API ક્રેડેન્શિયલ્સ અને કોડમાં રહેલી ખામીઓ શોધી કાઢે છે. ત્યારબાદ તેઓ આ નબળાઈઓનો ઉપયોગ કરીને અનધિકૃત પ્રવેશ મેળવે છે અને સર્વર પરથી ચોરાયેલા ક્રેડેન્શિયલ્સનો ઉપયોગ કરે છે, જેથી છેતરપિંડીના વિનંતીઓ સાચી હોય તેવું લાગે છે.

હુમલાખોરો ઓટોમેટેડ સ્ક્રિપ્ટ્સનો ઉપયોગ કરીને સામાન્ય બેચ પ્રોસેસિંગ સમય સિવાય પેઆઉટ વિનંતીઓ શરૂ કરે છે, વારંવાર ટ્રાન્સફર કરે છે અને ફ્રોડ એલર્ટથી બચવા માટે પેમેન્ટને નાના ભાગોમાં વહેંચી દે છે. ત્યારબાદ, ટ્રાન્સફર અટકાવી શકાય તે પહેલાં, નાણાંને મ્યુલ એકાઉન્ટ્સમાં ઝડપી અને ઓટોમેટેડ બલ્ક વ્યવહારો દ્વારા ખસેડવામાં આવે છે.

બેઠકને સંબોધતા શિખા ગોએલે જણાવ્યું હતું કે નાણાકીય સંસ્થાઓએ માત્ર છેતરપિંડી થયા પછી તેની જાણ કરવાની જવાબદારી પૂરતી ન રાખવી જોઈએ, પરંતુ છેતરપિંડીના વ્યવહારોને સ્ત્રોતથી રોકવા, રીઅલ-ટાઇમમાં શંકાસ્પદ પ્રવૃત્તિઓ શોધવા અને મ્યુલ એકાઉન્ટ્સ દ્વારા નાણાંની અવરજવર અટકાવવા પર ધ્યાન કેન્દ્રિત કરવું જોઈએ.

સંસ્થાઓને નિયમિતપણે Vulnerability Assessment and Penetration Testing (VAPT) કરવા, પેમેન્ટ અને વિતરણ API સુરક્ષિત કરવા અને રીઅલ-ટાઇમ ફ્રોડ ડિટેક્શન સિસ્ટમ તથા ટ્રાન્ઝેક્શન વેલોસિટી ચેક્સ અને મર્યાદાઓ લાગુ કરવા સલાહ આપવામાં આવી છે. જો હુમલો થાય, તો સંસ્થાઓએ તરત જ ઓટોમેટેડ લોન વિતરણ સોફ્ટવેર બંધ કરીને મેન્યુઅલ કામગીરી પર સ્વિચ કરવા, બેંકોને લોન વિતરણ ખાતું ફ્રીઝ કરવા કહેવું અને પેન્ડિંગ API કોલ્સ ક્લિયર કરવા જોઈએ. સાયબર સુરક્ષા ટીમ દ્વારા સિસ્ટમનું પરીક્ષણ અને ખામીઓ સુધાર્યા પછી જ ઓટોમેટેડ કામગીરી ફરી શરૂ કરવી જોઈએ.

બ્યુરોએ સંસ્થાઓને શંકાસ્પદ છેતરપિંડીની જાણ તાત્કાલિક ૧૯૩૦ હેલ્પલાઇન અથવા www.cybercrime.gov.in પોર્ટલ દ્વારા કરવા, લાભાર્થી બેંકો અને I4C ને એલર્ટ કરવા અને સાયબર ઘટનાઓની જાણ CERT-In ને છ કલાકમાં તથા જ્યાં લાગુ પડતું હોય ત્યાં DAKSH પોર્ટલ દ્વારા RBI ને કરવા જણાવ્યું છે. વધુમાં, તમામ ઉચ્ચ જોખમ ધરાવતા પેઆઉટના સંપૂર્ણ રેકોર્ડ રાખવા માટે પણ સૂચના આપવામાં આવી છે.