बैंकों के पेमेंट API पर AI साइबर हमलों का खतरा: I4C की नई चेतावनी

भारत की साइबर क्राइम एजेंसी की नई चेतावनी

इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) ने बैंकों, गैर-बैंकिंग लेंडर्स, फिनटेक और अन्य वित्तीय संस्थानों को ऐसे साइबर हमलों को लेकर आगाह किया है जिनमें हमलावर AI एजेंट का इस्तेमाल कर सकते हैं। रॉयटर्स ने 4 नवंबर 2026 को रिपोर्ट किया कि एजेंसी ने उसी दिन यह चेतावनी सार्वजनिक की। यह अक्टूबर में इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) की पहले वाली साइबर सलाह से जुड़ा, लेकिन अलग एजेंसी का नया घटनाक्रम है।

इस लेख के लिए रॉयटर्स की सीधी खबर पढ़ी गई है, लेकिन I4C की मूल एडवाइजरी का पूरा स्वतंत्र पाठ उपलब्ध नहीं हो सका। इसलिए यहां सुरक्षा उपायों का जिक्र रॉयटर्स की रिपोर्ट के अनुसार किया गया है। मूल पत्र देखे बिना कोई मनगढ़ंत सर्कुलर नंबर या कानूनी प्रभावी तारीख नहीं दी जा रही है।

पेमेंट API हमले के निशाने पर क्यों हैं?

रॉयटर्स के अनुसार, I4C ने बताया कि हमलावर ऐसे सॉफ्टवेयर या IT सिस्टम का फायदा उठा सकते हैं जिनमें जरूरी सिक्योरिटी पैच नहीं लगे हैं या जिनकी सेटिंग सही नहीं है। सिस्टम में घुसने के बाद वे ऑटोमेटेड फंड डिस्बर्समेंट और पेमेंट निर्देश भेजने वाले एप्लिकेशन प्रोग्रामिंग इंटरफेस (API) को निशाना बना सकते हैं।

API आसान भाषा में दो सॉफ्टवेयर सिस्टम के बीच निर्देशों के आदान-प्रदान का रास्ता होता है। बैंकिंग में वैध API के जरिए भुगतान, कलेक्शन और ऑटोमेटेड लोन डिस्बर्समेंट जैसे काम चलते हैं। अगर हमलावर को ऐसी सुविधा तक गलत तरीके से पहुंच मिल जाए, तो धोखाधड़ी वाले निर्देश भेजे जा सकते हैं। एजेंटिक AI के जरिए हमले के कुछ चरण अपने-आप बहुत तेजी से पूरे हो सकते हैं। इससे असामान्य गतिविधि पकड़ने के लिए उपलब्ध समय कम पड़ सकता है।

एडवाइजरी से ऐसा निष्कर्ष नहीं निकलता कि हर बैंक का API असुरक्षित है या AI हमेशा सही सुरक्षा नियंत्रण को तोड़ देगा। चेतावनी का मतलब है कि बैंक की साइबर, रिस्क और पेमेंट टीमें अपने मौजूदा जिम्मेदारियों के तहत ऐसे जोखिम की जांच करें।

रिपोर्ट में बताई गई चार प्रमुख सावधानियां

• मौजूदा CERT-In सुरक्षा उपाय: रॉयटर्स के मुताबिक, I4C ने वित्तीय संस्थानों से CERT-In की 9 अक्टूबर 2026 की सलाह के उपाय लागू करने को कहा। यह पहले के निर्देशों का संदर्भ है, कोई नई काल्पनिक RBI दिशा-निर्देश नहीं।
• रोजाना और प्रति ट्रांजैक्शन लिमिट: ऑटोमेटेड भुगतान प्रक्रिया के गलत इस्तेमाल से तेजी से नुकसान होने का जोखिम सीमित करने के लिए ट्रांजैक्शन सीमा का सुझाव दिया गया।
• लाभार्थी का नाम जांचना: जिस व्यक्ति या खाते में भुगतान जाना है, उसके लाभार्थी विवरण सत्यापित करने को महत्वपूर्ण बताया गया।
• असामान्य तेजी पकड़ना: बहुत कम समय में असामान्य संख्या में ट्रांजैक्शन होने पर निगरानी और जांच की जरूरत बताई गई। हर बैंक के अपने मंजूर मॉनिटरिंग पैरामीटर हो सकते हैं।

ये सावधानियां रॉयटर्स ने I4C से जोड़ी हैं। इन्हें सभी बैंक या सभी ग्राहकों पर एक जैसी नई बाध्यकारी कानूनी भुगतान सीमा न माना जाए। सही राशि, तकनीकी सेटिंग, लागू नियम और कर्मचारियों की जिम्मेदारी बैंक के अधिकृत निर्देशों से तय होगी।

बैंक कर्मचारियों के काम में इसका महत्व

साइबर सिक्योरिटी और IT टीम अपने सिस्टम में पैच मैनेजमेंट, API की पहचान और एक्सेस कंट्रोल, पासवर्ड या क्रेडेंशियल की सुरक्षा, सिस्टम कॉन्फिगरेशन और बाहरी वेंडर से जुड़े जोखिम जांच सकती है। पेमेंट ऑपरेशन और फ्रॉड रिस्क टीम असामान्य ट्रांजैक्शन की रफ्तार, लाभार्थी सत्यापन और संदिग्ध डिस्बर्समेंट की तुरंत जांच की प्रक्रिया पर ध्यान दे सकती है।

ब्रांच और कस्टमर सर्विस स्टाफ के लिए जरूरी बात है कि अनधिकृत ट्रांसफर की शिकायत मिलने पर उसे बैंक के तय फ्रॉड रिपोर्टिंग और एस्केलेशन चैनल तक समय पर पहुंचाएं। केवल खबर पढ़कर ग्राहक की लिमिट खुद से बदलना या उसकी अनुमति की प्रक्रिया छोड़ना सही नहीं होगा। संबंधित बैंक के मौजूदा ऑपरेशनल सर्कुलर ही लागू निर्देश हैं।

रॉयटर्स पहले भी बैंकों की साइबर तैयारी पर बढ़ती निगरानी की रिपोर्ट कर चुका है। इससे यह समझ आता है कि I4C की नई चेतावनी बैंक कर्मचारियों के लिए क्यों महत्वपूर्ण है। लेकिन इसका मतलब किसी खास बैंक में वास्तविक सेंध लगना या सभी बैंकों द्वारा नियमों का उल्लंघन साबित होना नहीं है।

क्या पुष्टि हुई है और क्या अभी खुला है?

सीधे देखे गए स्रोत से पुष्टि: रॉयटर्स ने 4 नवंबर को खबर दी कि I4C ने AI की मदद से वित्तीय साइबर हमलों पर सार्वजनिक चेतावनी दी, CERT-In की पहले की सलाह का उल्लेख किया और पेमेंट स्तर पर कुछ अतिरिक्त सुरक्षा उपाय सुझाए। इस लेख में स्वतंत्र पुष्टि नहीं: मूल I4C पत्र का पूरा शब्दशः पाठ, उसका आधिकारिक रेफरेंस नंबर, अलग-अलग बैंकों में लागू करने की डेडलाइन, और क्या इससे कोई नई कानूनी बाध्यता बनी है।

अगली उपयोगी जांच होगी कि I4C का मूल पत्र सामने आने पर उसकी तुलना पुराने CERT-In उपायों और बैंक के वास्तविक सिक्योरिटी सर्कुलर से की जाए। तब तक इसे रॉयटर्स पर आधारित समाचार रिपोर्ट कहना, बिना प्रमाण इसे नई RBI मास्टर दिशा-निर्देश बताने से अधिक सटीक है।

स्रोत और संदर्भ

• रॉयटर्स, 4 नवंबर 2026: AI साइबर हमलों पर भारतीय साइबर क्राइम एजेंसी की वित्तीय संस्थानों को चेतावनी