CERT-In की चेतावनी: भारतीय फिनटेक पर 'Crafty Falcon' AI हमले

पहले की चेतावनी और अधूरी मरम्मत

यह एडवाइज़री 9 अक्टूबर की चेतावनी के बाद आई है, जिसमें इंटरनेट से जुड़े ऐप्स, खुले API, चोरी हुए क्रेडेंशियल जैसी कमज़ोरियों के ज़रिये कई बैंकों में फ़र्ज़ी रेफ़रेंस आईडी वाले लेन-देन म्यूल खातों में भेजे जाने की बात कही गई थी। CERT-In के अनुसार प्रभावित कंपनियों ने खामियां ठीक कीं, लेकिन अधूरे सुधार के कारण उन्हें "जानबूझकर फिर निशाना बनाया गया"। हमलावरों ने त्योहारी मौसम को भी चुना, जब निगरानी कम रहती है और पहचान में देर होती है।

एजेंसी ने ARTEX, PentAGI और Cairn जैसे सार्वजनिक रूप से उपलब्ध AI टूल्स के इस्तेमाल की बात कही है, साथ ही 'CyberStrikeAI' फ़्रेमवर्क का भी। CERT-In के मुताबिक ये टूल पूरी अटैक चेन अपने आप चलाते हैं और लक्ष्य की प्रतिक्रिया के हिसाब से पेलोड बदलते हैं। हमलावरों का इन्फ्रास्ट्रक्चर कुछ घंटों से दिनों में IP पते बदल लेता है।

कैसे हुए हमले

हमलावरों ने AWS और Lambda क्लाउड को निशाना बनाया और टेस्टिंग जैसे नॉन-प्रोडक्शन माहौल से घुसकर साझा क्रेडेंशियल या टोकन के सहारे लाइव सिस्टम तक पहुंचे। उन्होंने ऐप कोड का रिवर्स इंजीनियरिंग कर बदले हुए ऐप पैकेज से अनधिकृत API कॉल किए। CDN और ऐप-स्टोर रिव्यू टूल जैसी भरोसेमंद सेवाओं से ट्रैफ़िक गुज़ारकर IP को वैध दिखाया गया।

बड़े लेन-देन से पहले 1 रुपये के टेस्ट ट्रांज़ैक्शन किए गए। पेमेंट एग्रीगेटरों के मर्चेंट सेटलमेंट API का दुरुपयोग हुआ, जबकि क्रिप्टो एक्सचेंजों पर चोरी की वॉलेट कुंजियों से हमला किया गया। हमलावरों ने Node.js और PHP की हाल में उजागर खामियों का भी तेज़ी से फ़ायदा उठाया।

CERT-In ने सभी BFSI संस्थाओं से इसे तत्काल और लगातार ख़तरा मानने को कहा है। डिटेक्शन नियम और इन्फ्रास्ट्रक्चर की जानकारी प्रतिबंधित एडवाइज़री के ज़रिये साझा की गई है।