इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) की नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं IT मंत्रालय की CERT-In ने बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक कंपनियों के खिलाफ साइबर-हमलों और उनसे जुड़े साइबर धोखाधड़ी का एक ट्रेंड पकड़ा है. इसको लेकर गृह मंत्रालय के I4C ने बैंकों, एनबीएफसी और फिनटेक कंपनियों को एडवाइजरी जारी की है ताकि इन हमलों पर रोक लगाई जा सके.

मंत्रालय ने बैंकों और अन्य वित्तीय संस्थाओं को निर्देश जारी किए हैं, जिसमें दैनिक और प्रति-लेनदेन पर (ट्रांजैक्शन) सीमाएं तय करने का निर्देश शामिल हैं. ये साइबर हमले आर्थिक लाभ के लिए किए जा रहे हैं और इनमें आर्टिफिशियल इंटेलिजेंस (AI) एजेंटों का इस्तेमाल हो रहा है, जिससे ये हमले बहुत तेज़ गति (मशीन की गति) से होते हैं. कुछ मामलों में फंड वितरण प्रणालियों (fund disbursement systems) और API के ज़रिए करोड़ों रुपयों के अनधिकृत (बिना अनुमति के) ट्रांजेक्शन किए गए हैं.

हमलावर कैसे काम करते हैं?

हमलावर ऐसे सॉफ़्टवेयर का फायदा उठाते हैं जिन्हें अपडेट (पैच) नहीं किया गया है, या ऐसे इंटरनेट-एक्सपोज्ड सर्वर/IT सिस्टम का इस्तेमाल करते हैं जिन्हें गलत तरीके से कॉन्फिगर किया गया है. इसमें ग्राहकों के लिए मौजूद शिकायत इंटरफेस भी शामिल हो सकते हैं. इसके बाद, हैकर ऑटोमेटेड फंड वितरण प्रणालियों या भुगतान और फंड ट्रांसफर के लिए इस्तेमाल होने वाले विशेष इंटरफ़ेस (API) को निशाना बनाते हैं. ‘एजेंटिक AI फ्रेमवर्क’ (Agentic AI Framework) के इस्तेमाल से ये हमले मशीन की गति से हो पाते हैं.

पैसे को अलग-अलग बैंकों में मौजूद “म्यूल” अकाउंट्स (अपराधियों द्वारा इस्तेमाल किए जाने वाले खाते) में भेजा जाता है और फिर तुरंत IMPS/NEFT के ज़रिए आगे ट्रांसफर कर दिया जाता है या निकाल लिया जाता है. अंत में, हमलावर रिकॉर्ड को डिलीट कर देते हैं और अपने निशान मिटा देते हैं, ताकि मामले की जांच करना मुश्किल हो जाए.

रोकथाम के लिए वित्तीय संस्थानों को क्या करना चाहिए?

सभी बैंकों, NBFCs, फिनटेक कंपनियों, पेमेंट एग्रीगेटर्स/गेटवे और अन्य वित्तीय संस्थाओं को सलाह दी जाती है कि वे प्राथमिकता के आधार पर CERT-In की एडवाइजरी में अनधिकृत फंड ट्रांसफर के लिए पेमेंट और डिस्बर्समेंट API का दुरुपयोग करने वाले थ्रेट एक्टर्स और CERT-In की एडवाइजरी में बताए गए उपायों को लागू करें. अपने कंट्रोल (सुरक्षा उपायों) को CERT-In के डिजिटल इंफ्रास्ट्रक्चर में AI-आधारित कमजोरियों के दुरुपयोग को कम करने और उनसे बचाव के लिए ब्लूप्रिंट (मई 2026) और अपने संबंधित रेगुलेटर द्वारा निर्धारित साइबर सुरक्षा फ्रेमवर्क के अनुरूप बनाएं.

किसी भी साइबर घटना का पता चलने के 6 घंटे के भीतर CERT-In को इसकी रिपोर्ट दें. बैंकों और NBFCs को घटना का पता चलने के छह घंटे के भीतर RBI के DAKSH पोर्टल पर रिपोर्ट करना अनिवार्य है. NBFCs और फिनटेक कंपनियां NCRP-CFCFRMS पोर्टल पर धोखाधड़ी वाले ट्रांजेक्शन की बल्क रिपोर्टिंग के लिए I4C से संपर्क कर सकती हैं, ताकि धोखाधड़ी से निकाली गई रकम को फ्रीज किया जा सके.

सुरक्षा के लिए अतिरिक्त उपाय

  • भुगतान के लिए इस्तेमाल होने वाले सभी डिजिटल इंटरफेस (API) की एक पूरी सूची रखें और पुराने, इस्तेमाल न होने वाले या टेस्ट इंटरफेस को हटा दें या बंद कर दें.
  • API हमलों के जोखिम को पहले से कम करने के लिए, बैंक की ‘चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर’ (CISO) टीम, ‘ट्रांजैक्शन मॉनिटरिंग’ टीम और IT टीम को आपस में मिलकर काम करना चाहिए.
  • दैनिक और प्रति-लेनदेन (पर-ट्रांजैक्शन) सीमाएं तय करें, लाभार्थी (बेनिफिशियरी) के नाम और खातों की पुष्टि करें, और असामान्य गति से होने वाले लेन-देन पर नज़र रखें.
  • बैंक यह जांचें कि क्या गैर-श्वेतसूची (नॉन-व्हाइटलिस्टेड) IP से NBFC के एक्सेस टोकन फेल हो रहे हैं.
  • किसी भी संभावित घुसपैठ के प्रयास को रोकने के लिए, ग्राहकों से जुड़े और शिकायत प्राप्त करने वाले इंफ्रास्ट्रक्चर को मजबूत करें. सिस्टम के भीतर अनधिकृत गतिविधियों (लैटरल मूवमेंट) को रोकने के लिए, सुरक्षित आर्किटेक्चर की गहन समीक्षा की जानी चाहिए.
  • ट्रांजैक्शन मॉनिटरिंग टीम को लेन-देन के विवरण (नैरेशन) पैटर्न, लाभार्थी प्रोफाइल या लेन-देन की मात्रा में होने वाले अचानक बदलावों पर नज़र रखनी चाहिए.
  • यह सुनिश्चित करें कि जब तक सभी जरूरी जांच (जैसे KYC, अप्रूवल आदि) पूरी न हो जाएं, तब तक पैसे न भेजे जा सकें.
  • अधिकृत ‘रेड-टीम’ अभ्यास (red-team exercises) करें, जो मशीन की गति से होने वाले हमलों का अनुकरण (सिमुलेशन) करते हों. इससे यह जांचा जा सकता है कि SOC और पेमेंट कंट्रोल सिस्टम कितनी जल्दी प्रतिक्रिया देते हैं.