वित्तीय संस्थानों पर एजेंटिक AI के ज़रिए ऑटोमेटेड डिजिटल सेंधमारी का ख़तरा, सुरक्षा एजेंसियां सतर्क

एक बार सिस्टम के आंतरिक नेटवर्क में पैर जमाने के बाद, हमलावर स्वचालित भुगतान प्रणालियों और फंड ट्रांसफर से जुड़े एप्लीकेशन प्रोग्रामिंग इंटरफेस (API) पर नियंत्रण कर लेते हैं। इन इंटरफेस के माध्यम से वित्तीय स्वीकृति प्रक्रियाओं को दरकिनार करते हुए तेज़ी से धन निकाला जाता है।

दो प्रमुख सुरक्षा परामर्श जारी

वित्तीय नेटवर्क की सुरक्षा सुनिश्चित करने के उद्देश्य से राष्ट्रीय तकनीकी सुरक्षा तंत्र ने दो अत्यंत महत्वपूर्ण सुरक्षा परामर्श जारी किए हैं, जिन्हें तत्काल प्रभाव से लागू करने के निर्देश दिए गए हैं

• परामर्श CIAD-2026-0046 (9 अक्टूबर, 2026): इस दस्तावेज में मुख्य रूप से डिस्बर्समेंट और पेमेंट ट्रांसफर से जुड़े डिजिटल एपीआई में मौजूद सुरक्षा कमियों और उनके ज़रिए होने वाले अनधिकृत वित्तीय लेनदेन के प्रति आगाह किया गया है।
• परामर्श CIAD-2026-0049 (15 अक्टूबर, 2026): इस निर्देश में एजेंटिक एआई के खतरनाक उपयोग पर प्रकाश डाला गया है, जहाँ स्वतंत्र निर्णय लेने में सक्षम एआई एजेंट्स को साइबर हमलों के मुख्य हथियार के रूप में तैनात किया जा रहा है।

वित्तीय और बैंकिंग संस्थानों के लिए अनिवार्य प्रोटोकॉल

संस्थानों के आईटी और सुरक्षा विभागों को निर्देश दिया गया है कि वे अपने-अपने नियामक प्राधिकरणों द्वारा तय साइबर सुरक्षा मानकों का कड़ाई से पालन करें। इस सिलसिले में निर्धारित प्रमुख सुरक्षा कदम निम्नलिखित हैं

• किसी भी सुरक्षा उल्लंघन या संदिग्ध घटना की सूचना मिलने के 6 घंटे के भीतर CERT-In को अनिवार्य रूप से रिपोर्ट प्रस्तुत की जाए।
• बैंकों और गैर-बैंकिंग वित्तीय कंपनियों के लिए यह अनिवार्य किया गया है कि वे घटना के 6 घंटे के अंदर ही RBI के DAKSH पोर्टल पर पूरी जानकारी दर्ज कराएं।
• भुगतान और वित्तीय हस्तांतरण से जुड़े सभी डिजिटल इंटरफेस और एपीआई का संपूर्ण और अद्यतन ब्योरा तैयार किया जाए।
• सभी पुराने, निष्क्रिय, अप्रयुक्त और परीक्षण के उद्देश्य से बनाए गए टेस्ट एपीआई को तुरंत स्थायी रूप से निष्क्रिय किया जाए।
• मुख्य सूचना सुरक्षा अधिकारी (CISO), आईटी कोर टीम और लेनदेन निगरानी प्रभाग के बीच वास्तविक समय में तालमेल सुनिश्चित हो।
• प्रति लेन-देन और 24 घंटे की अवधि में होने वाले कुल फंड ट्रांसफर की सख्त अधिकतम सीमाएं निर्धारित की जाएं।
• रकम भेजने से पहले लाभार्थी के नाम और बैंक खाते की जानकारी का बहु-स्तरीय सत्यापन अनिवार्य किया जाए।
• अस्वाभाविक गति से लगातार होने वाले वित्तीय लेन-देन पर गहन स्वचालित निगरानी रखी जाए।
• अनाधिकृत और गैर-अनुमोदित आईपी पतों से आने वाले विफल एक्सेस टोकन के प्रयासों की तुरंत फोरेंसिक जांच की जाए।
• शिकायत दर्ज करने वाले उपभोक्ता इंटरफेस की फायरवॉल और सुरक्षा को नए सिरे से मजबूत किया जाए।
• एक बार नेटवर्क में घुसने के बाद हमलावर को अन्य आंतरिक प्रणालियों में फैलने से रोकने के लिए सुरक्षा ढांचे और नेटवर्क विभाजन की समीक्षा की जाए।
• लेनदेन के विवरण, लाभार्थियों की बैंकिंग प्रोफाइल और लेन-देन की कुल संख्या में अचानक आए उछाल पर पैनी नज़र रखी जाए।
• ग्राहक सत्यापन (KYC), आंतरिक अनुमोदन और सभी जरूरी प्रमाणीकरण पूरे किए बिना किसी भी परिस्थिति में फंड ट्रांसफर की अनुमति न दी जाए।
• कंप्यूटर की तीव्र गति से होने वाले हमलों से निपटने की तैयारी परखने के लिए नियमित रूप से अधिकृत रेड टीम ड्रिल आयोजित की जाएं।
• सुरक्षा संचालन केंद्र (SOC) और पेमेंट सुरक्षा प्रणालियों की त्वरित प्रतिक्रिया क्षमता का निरंतर मूल्यांकन किया जाए।

एजेंटिक एआई और म्यूल खातों का जटिल नेटवर्क

सुरक्षा विश्लेषकों के अनुसार, इस पूरे नेटवर्क में एजेंटिक एआई फ्रेमवर्क की भूमिका बेहद खतरनाक है। पारंपरिक हमलों के विपरीत, यह स्वचालित फ्रेमवर्क मानव हस्तक्षेप के बिना सुरक्षा खामियों को पहचानता है और सेकंडों के भीतर अनधिकृत निकासी निष्पादित कर देता है।

निकाली गई अवैध रकम को तुरंत विभिन्न बैंकों में पहले से तैयार किए गए फर्जी और म्यूल बैंक खातों में विभाजित कर दिया जाता है। इसके पश्चात आईएमपीएस और एनईएफटी जैसी त्वरित भुगतान सेवाओं का सहारा लेकर धनराशि को आगे अन्य खातों में स्थानांतरित किया जाता है या सीधे निकाल लिया जाता है। अपराध को अंजाम देने के तुरंत बाद साइबर गिरोह डिजिटल लॉग्स और ट्रैकिंग विवरण मिटाने के उन्नत साधनों का इस्तेमाल करते हैं, ताकि फोरेंसिक जांचकर्ताओं के लिए डिजिटल सुराग खोजना अत्यंत कठिन हो जाए।