મશીનની ઝડપે થતા હુમલામાં પેમેન્ટ APIનો દુરુપયોગ; બેંકો, NBFCs અને નાણાકીય સંસ્થાઓને સુરક્ષા મજબૂત કરવા સૂચના

ભારતમાં બેંકો, નોન-બેન્કિંગ ફાઇનાન્શિયલ કંપનીઓ (NBFCs) અને ફિનટેક કંપનીઓ સામે આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI) આધારિત સાયબર હુમલાઓનું જોખમ વધ્યું છે. ઇન્ડિયન સાયબર ક્રાઇમ કોઓર્ડિનેશન સેન્ટર (I4C)ની નેશનલ સાયબર ક્રાઇમ થ્રેટ એનાલિસિસ યુનિટ (NCTAU)એ નાણાકીય ક્ષેત્રમાં સાયબર હુમલાની નવી પદ્ધતિઓ અંગે ચેતવણી આપી છે. આ હુમલાઓમાં સાયબર ગુનેગારો AI એજન્ટની મદદથી પેમેન્ટ અને ફંડ ટ્રાન્સફર સિસ્ટમને નિશાન બનાવી રહ્યા છે.

ગૃહ મંત્રાલય હેઠળ કાર્યરત I4Cએ બેંકો, NBFCs, ફિનટેક કંપનીઓ, પેમેન્ટ એગ્રીગેટર્સ અને અન્ય નાણાકીય સંસ્થાઓને સુરક્ષા વ્યવસ્થા મજબૂત કરવા જણાવ્યું છે. CERT-Inએ પણ પેમેન્ટ અને ડિસ્બર્સમેન્ટ APIના દુરુપયોગ તથા AI આધારિત સાયબર જોખમો અંગે અલગ-અલગ ગંભીર એડવાઇઝરી જાહેર કરી છે.

AI એજન્ટની મદદથી મશીનની ઝડપે સાયબર હુમલા

આર્થિક લાભ મેળવવાના હેતુથી કરવામાં આવતા આ હુમલાઓમાં સાયબર ગુનેગારો AI આધારિત સાધનોનો ઉપયોગ કરે છે. આવા એજન્ટિક AI ફ્રેમવર્કની મદદથી હુમલાખોરો એકસાથે અનેક કામગીરી કરી શકે છે અને સિસ્ટમમાં રહેલી નબળાઈઓનો ઝડપથી ફાયદો ઉઠાવી શકે છે.

સત્તાવાર સાયબર સુરક્ષા એજન્સીઓના વિશ્લેષણ મુજબ, કેટલાક કિસ્સાઓમાં ફંડ વિતરણ સિસ્ટમ અને પેમેન્ટ APIનો દુરુપયોગ કરીને કરોડો રૂપિયાના અનધિકૃત ટ્રાન્ઝેક્શન કરવામાં આવ્યા છે. જોકે, એડવાઇઝરીમાં ચોક્કસ બેંક કે નાણાકીય સંસ્થાનું નામ જાહેર કરવામાં આવ્યું નથી.

હુમલાખોરો કેવી રીતે કરે છે છેતરપિંડી?

સાયબર ગુનેગારો સૌપ્રથમ સમયસર અપડેટ ન કરાયેલા સોફ્ટવેર, નબળી સુરક્ષા ધરાવતા ઇન્ટરનેટ સાથે જોડાયેલા સર્વર અને ખોટી રીતે કન્ફિગર કરાયેલી IT સિસ્ટમને નિશાન બનાવે છે. ગ્રાહકોની ફરિયાદો મેળવવા માટે બનાવવામાં આવેલા ઇન્ટરફેસ પણ સંભવિત પ્રવેશદ્વાર બની શકે છે.

સિસ્ટમમાં પ્રવેશ મેળવ્યા બાદ હુમલાખોરો પેમેન્ટ એગ્રીગેટર, પેમેન્ટ ગેટવે અથવા બેંક સાથે જોડાયેલા APIની ઓળખ અને તેની વિગતો ચોરી શકે છે. ત્યારબાદ ઓટોમેટેડ ફંડ ડિસ્બર્સમેન્ટ સિસ્ટમ અથવા પેમેન્ટ અને ફંડ ટ્રાન્સફર માટે ઉપયોગમાં લેવાતા APIને સીધા નિશાન બનાવે છે.

એજન્ટિક AIની મદદથી આ પ્રક્રિયા ઝડપથી અને મોટા પ્રમાણમાં ચલાવવામાં આવે છે. કેટલાક કિસ્સાઓમાં હુમલાખોરો એપ્લિકેશનની સામાન્ય ચકાસણી પ્રક્રિયાને બાજુ પર રાખીને અનધિકૃત ટ્રાન્ઝેક્શન કરવાનો પ્રયાસ કરે છે.

ચોરેલી રકમ મ્યુલ એકાઉન્ટમાં ટ્રાન્સફર

હુમલાખોરો અનધિકૃત રીતે મેળવેલી રકમ અલગ-અલગ બેંકોમાં આવેલા મ્યુલ એકાઉન્ટ્સમાં ટ્રાન્સફર કરે છે. મ્યુલ એકાઉન્ટ એટલે ગુનામાંથી મેળવેલી રકમ સ્વીકારવા અને આગળ મોકલવા માટે ઉપયોગમાં લેવાતું બેંક ખાતું.

ત્યારબાદ આ રકમ IMPS અથવા NEFT મારફતે અન્ય ખાતાઓમાં મોકલવામાં આવે છે અથવા ઉપાડી લેવામાં આવે છે. તપાસ મુશ્કેલ બનાવવા માટે હુમલાખોરો સિસ્ટમના લોગ અને રેકોર્ડ સાથે ચેડાં કરી શકે છે અથવા તેને ડિલીટ કરવાનો પ્રયાસ કરે છે.

બેંકો અને નાણાકીય સંસ્થાઓ માટે છ કલાકમાં રિપોર્ટિંગ

સાયબર સુરક્ષા સંબંધિત ઘટનાની જાણ થયા બાદ CERT-Inને છ કલાકની અંદર રિપોર્ટ કરવાની જોગવાઈ લાગુ પડે છે. આ ઉપરાંત, બેંકો અને NBFCsએ સંબંધિત RBIના નિયમો મુજબ ઘટના સામે આવ્યા બાદ છ કલાકની અંદર DAKSH પોર્ટલ પર પણ રિપોર્ટ કરવાની સૂચના આપવામાં આવી છે.

NBFCs અને ફિનટેક કંપનીઓ છેતરપિંડીથી થયેલા નાણાકીય વ્યવહારો અંગે I4Cની નેશનલ સાયબર ક્રાઇમ રિપોર્ટિંગ પોર્ટલ (NCRP) સાથે જોડાયેલી સિટિઝન ફાઇનાન્શિયલ સાયબર ફ્રોડ રિપોર્ટિંગ એન્ડ મેનેજમેન્ટ સિસ્ટમ (CFCFRMS)નો ઉપયોગ કરી શકે છે. આ વ્યવસ્થા દ્વારા સંબંધિત બેંકો અને એજન્સીઓને ઝડપથી જાણ કરીને છેતરપિંડીથી ઉપાડવામાં આવેલી રકમ અટકાવવાના પ્રયાસ કરી શકાય છે.

નાણાકીય સંસ્થાઓએ કયા સુરક્ષા ઉપાયો કરવા પડશે?

I4C અને CERT-Inની ચેતવણીઓના આધારે નાણાકીય સંસ્થાઓને નીચેના સુરક્ષા પગલાં લેવા સલાહ આપવામાં આવી છે:

  • APIની સંપૂર્ણ યાદી: પેમેન્ટ અને ફંડ ટ્રાન્સફર માટે ઉપયોગમાં લેવાતા તમામ ડિજિટલ ઇન્ટરફેસ એટલે કે APIની યાદી તૈયાર રાખવી. જૂના, બિનઉપયોગી અને ટેસ્ટિંગ માટેના API બંધ કરવા.

  • નાણાકીય મર્યાદા: દરેક ટ્રાન્ઝેક્શન અને દૈનિક લેવડદેવડ માટે નાણાકીય મર્યાદા નક્કી કરવી.

  • લાભાર્થીની ચકાસણી: નાણાં ટ્રાન્સફર કરતાં પહેલાં લાભાર્થીના નામ અને બેંક ખાતાની વિગતોની ખરાઈ કરવી.

  • અસામાન્ય વ્યવહારો પર નજર: ટૂંકા સમયમાં થતા અનેક ટ્રાન્ઝેક્શન, રકમમાં અચાનક ફેરફાર અને નવા લાભાર્થીને થતા વ્યવહારોનું સતત મોનિટરિંગ કરવું.

  • સુરક્ષા ટીમો વચ્ચે સંકલન: ચીફ ઇન્ફોર્મેશન સિક્યોરિટી ઓફિસર (CISO), ટ્રાન્ઝેક્શન મોનિટરિંગ અને IT ટીમે સંકલનથી કામ કરવું.

  • API ટોકનની સુરક્ષા: NBFC સાથે જોડાયેલા API એક્સેસ ટોકનનો બિનઅધિકૃત IP એડ્રેસ પરથી ઉપયોગ કરવાનો પ્રયાસ થાય તો તેને ઓળખી અટકાવવાની વ્યવસ્થા કરવી.

  • ગ્રાહક સંબંધિત સિસ્ટમની સુરક્ષા: ગ્રાહકોની માહિતી અને ફરિયાદો મેળવતી સિસ્ટમને વધુ સુરક્ષિત બનાવવી. એક સિસ્ટમમાં પ્રવેશ મેળવી અન્ય સિસ્ટમ સુધી પહોંચવાના પ્રયાસો એટલે કે લેટરલ મૂવમેન્ટ અટકાવવા સુરક્ષા વ્યવસ્થાની સમીક્ષા કરવી.

  • KYC અને મંજૂરીની ચકાસણી: KYC, લાભાર્થીની ખરાઈ અને જરૂરી મંજૂરીની પ્રક્રિયા પૂર્ણ થયા પહેલાં કોઈપણ રકમ ટ્રાન્સફર ન થાય તેની ખાતરી કરવી.

  • રેડ ટીમ પરીક્ષણ: અધિકૃત રેડ ટીમ દ્વારા મશીનની ઝડપે થતા સાયબર હુમલાનું સિમ્યુલેશન કરવું, જેથી સુરક્ષા અને પેમેન્ટ કંટ્રોલ સિસ્ટમની પ્રતિક્રિયા ચકાસી શકાય.

CERT-Inની AI સુરક્ષા માર્ગદર્શિકા પણ લાગુ કરવાની સલાહ

નાણાકીય સંસ્થાઓને CERT-Inની મે 2026માં જાહેર કરાયેલી ‘ડિજિટલ ઇન્ફ્રાસ્ટ્રક્ચરમાં AI આધારિત નબળાઈઓના દુરુપયોગને ઘટાડવા અને તેનાથી બચાવ માટેની બ્લૂપ્રિન્ટ’ તથા સંબંધિત ક્ષેત્રના નિયમનકારો દ્વારા નક્કી કરાયેલા સાયબર સુરક્ષા માળખા અનુસાર પોતાની સુરક્ષા વ્યવસ્થા મજબૂત કરવાની સલાહ આપવામાં આવી છે.

આ ચેતવણીથી સ્પષ્ટ થાય છે કે હવે નાણાકીય સંસ્થાઓ માટે માત્ર સામાન્ય સાયબર સુરક્ષા પૂરતી નથી. AI આધારિત હુમલાઓની ઝડપને ધ્યાનમાં રાખીને API સુરક્ષા, ટ્રાન્ઝેક્શન મોનિટરિંગ અને તાત્કાલિક પ્રતિસાદની વ્યવસ્થા પણ મજબૂત બનાવવી જરૂરી છે.