CERT-In और I4C ने 3 और 4 नवंबर 2026 को फाइनेंशियल संस्थानों को ऐसे साइबर हमलों से सावधान किया, जिनमें AI की मदद से payment और loan-disbursement API को निशाना बनाया जा रहा है। CERT-In ने इस अभियान को CRAFTY FALCON नाम दिया है। बैंकों की cyber-security, payment operations और fraud-monitoring टीमों के लिए यह अहम अलर्ट है, लेकिन इसका मतलब यह नहीं कि हर बैंक में सेंध लग चुकी है।
सरकारी एजेंसियों ने किस बात की चेतावनी दी?
Indian Cyber Crime Coordination Centre (I4C) और Indian Computer Emergency Response Team (CERT-In) ने 3 और 4 नवंबर 2026 को फाइनेंशियल संस्थानों को payment systems पर साइबर हमलों के बारे में आगाह किया। Hindustan Times और PTI की रिपोर्ट के मुताबिक पहले अलर्ट में इंटरनेट से जुड़े कमजोर सर्वर और fund-disbursement इंटरफेस को निशाना बनाने का तरीका बताया गया। इसके बाद CERT-In की CSIRT-Fin टीम ने बढ़ते खतरे को CRAFTY FALCON नाम दिया।
रिपोर्ट में NBFC, fintech, digital lending कंपनियों और payment intermediaries जैसे संस्थानों का जिक्र है। बैंकों को भी सतर्क रहने को कहा गया है। इसका मतलब यह नहीं कि देश का हर बैंक ऐसे हमले का शिकार हो चुका है। खतरे की चेतावनी और किसी खास बैंक में हुई पुष्टि-शुदा घटना अलग बातें हैं।
Payment API के जरिए जोखिम कैसे पैदा होता है?
Application Programming Interface यानी API एक ऐसी तकनीकी व्यवस्था है, जिसके जरिए अलग-अलग सिस्टम भुगतान या loan disbursement के निर्देश भेजते हैं। रिपोर्टों के अनुसार हमलावर कमजोर या गलत तरीके से कॉन्फिगर किए गए सिस्टम में घुसकर ऐसे इंटरफेस का गलत इस्तेमाल कर सकते हैं। उसके बाद रकम mule accounts में भेजकर Immediate Payment Service (IMPS) या National Electronic Funds Transfer (NEFT) जैसे माध्यमों से तेजी से आगे बढ़ाई जा सकती है। रिकॉर्ड मिटाने की कोशिश होने पर जांच और reconciliation और कठिन हो जाते हैं।
CERT-In के बारे में प्रकाशित रिपोर्ट में बताया गया है कि कुछ सार्वजनिक AI tools से हमलावर कमजोरियां पहचानते और अपने हमले के तरीके जल्दी बदलते हैं। AI का इस्तेमाल होने का मतलब यह नहीं कि किसी वैध बैंक लेन-देन को AI ने नियमों के मुताबिक अधिकृत कर दिया। इसी तरह एजेंसी ने हर प्रभावित संस्था का नाम या इस पूरे अभियान से जुड़ी अंतिम कुल नुकसान राशि सार्वजनिक रूप से स्थापित नहीं की है।
बैंक की अलग-अलग टीमों के लिए जरूरी बातें
- Payment और IT टीम: production, testing और पुराने API की सही सूची रखें। जिन इंटरफेस की अब जरूरत नहीं, उन्हें अधिकृत प्रक्रिया से बंद करें। Test environment को असली भुगतान के सिस्टम से अलग रखें।
- Cyber-security टीम: access logs, credentials, अधिक अधिकार वाले accounts और इंटरनेट से जुड़े सिस्टम की संदिग्ध गतिविधि पर निगरानी रखें। Third-party providers के साथ जरूरी सुरक्षा समन्वय करें।
- Fraud monitoring टीम: बहुत तेज लेन-देन, अचानक नए beneficiaries, mule-account जैसे पैटर्न और मंजूर प्रक्रिया से अलग भुगतान पर तुरंत ध्यान दें।
- Branch और operations स्टाफ: असामान्य debit, settlement mismatch या लगातार ग्राहक शिकायत मिलने पर बैंक की तय escalation प्रक्रिया का पालन करें। केवल दिन के अंत की reconciliation पर निर्भर न रहें।
- छुट्टियों की ड्यूटी: weekend, त्योहार और कम स्टाफ वाले समय में भी monitoring और जरूरी escalation जारी रहना चाहिए।
ये रिपोर्ट किए गए अलर्ट से निकलने वाले कामकाजी निष्कर्ष हैं। इसका यह अर्थ नहीं कि हर शाखा को खुद एक अलग cyber-security operations centre बनाना है। संबंधित बैंक की अधिकृत policy और escalation matrix ही लागू होगी।
रिपोर्टिंग की समय-सीमा और अभी क्या साफ नहीं है?
प्रकाशित रिपोर्टों में कहा गया है कि संस्थानों को CERT-In में साइबर घटनाओं की छह घंटे के भीतर रिपोर्टिंग याद दिलाई गई। जहां लागू हो, वहां बैंक और NBFC की RBI DAKSH portal पर रिपोर्टिंग का भी जिक्र है। कौन-सी घटना किस श्रेणी में आएगी और किस माध्यम से कब रिपोर्ट होगी, यह संबंधित संस्था पर लागू मौजूदा नियमों से जांचना जरूरी है। किसी अलर्ट को FIR, तय नुकसान या पूरी जांच का परिणाम न मानें।
यह लेख जिन समाचार रिपोर्टों पर आधारित है, उन्हें सीधे देखा गया है। नवंबर के मूल प्रतिबंधित advisories की पूरी प्रति स्वतंत्र रूप से उपलब्ध नहीं थी। इसलिए तकनीकी जानकारी और समय-सीमा की बात उन्हीं स्रोतों के हवाले से दी गई है, किसी अदेखे मूल पत्र की शब्दशः पुष्टि का दावा नहीं किया गया है।
स्रोत और संदर्भ
स्रोत देखें, लागू होने की स्थिति जांचें और किसी गलती की जानकारी हमें दें।
चर्चा में शामिल हों