I4C की चेतावनी: AI एजेंट से बैंकों और फिनटेक पर साइबर हमले

हमले का तरीका

एडवाइजरी के अनुसार, हमलावर बिना पैच वाले सॉफ़्टवेयर और गलत कॉन्फ़िगर किए गए, इंटरनेट से जुड़े सर्वरों के ज़रिये वित्तीय संस्थानों के ढांचे में घुसते हैं। ग्राहकों से जुड़े और शिकायत निपटान वाले इंटरफ़ेस भी निशाना बन सकते हैं। अंदर पहुंचने के बाद वे स्वचालित फंड डिस्बर्समेंट सिस्टम या भुगतान और ट्रांसफ़र में इस्तेमाल होने वाले API को निशाना बनाते हैं। रकम अलग-अलग बैंकों के "म्यूल" खातों में भेजी जाती है और IMPS/NEFT से तुरंत निकाल ली जाती है या आगे घुमा दी जाती है।

एडवाइजरी में कुछ मामलों में API और फंड डिस्बर्समेंट सिस्टम के ज़रिये करोड़ों रुपये के अनधिकृत लेन-देन का ज़िक्र है, हालांकि किसी खास घटना का नाम नहीं दिया गया।

संस्थानों को क्या करना होगा

वित्तीय संस्थानों से कहा गया है कि वे CERT-In की गंभीर श्रेणी की एडवाइजरी में बताए उपाय तुरंत लागू करें और अपने सुरक्षा नियंत्रण CERT-In के मई 2026 के ब्लूप्रिंट तथा संबंधित सेक्टोरल रेगुलेटर के ढांचे के अनुरूप रखें। भुगतान से जुड़े सभी API की पूरी सूची रखने और पुराने, अनुपयोगी या टेस्टिंग वाले इंटरफ़ेस बंद करने की सलाह दी गई है। CISO टीम, ट्रांज़ैक्शन मॉनिटरिंग और आईटी विभाग के बीच बेहतर तालमेल भी ज़रूरी बताया गया है।

घटना का पता चलने के छह घंटे के भीतर CERT-In को सूचना देनी होगी। बैंकों और NBFC को इसी अवधि में रिज़र्व बैंक को DAKSH पोर्टल पर भी रिपोर्ट करनी होगी।

गृह मंत्रालय के आंकड़ों के अनुसार, वित्त वर्ष 2023-24 से 2025-26 के बीच NCRP पर 53 लाख से अधिक साइबर फ्रॉड शिकायतें दर्ज हुईं। 1.81 लाख से अधिक FIR दर्ज हुईं, ₹56,087 करोड़ से ज़्यादा की रकम रिपोर्ट हुई, ₹9,079 करोड़ से अधिक पर लिएन लगा और ₹206 करोड़ से अधिक लौटाए गए।