CERT-In Alert: AI से चल रहे बैंक और Fintech पर साइबर हमले, कंपनियों को Critical चेतावनी

भारत की साइबर सुरक्षा एजेंसी CERT-In ने बैंकिंग, वित्तीय सेवा और बीमा क्षेत्र से जुड़ी संस्थाओं को एआई-सहायता प्राप्त साइबर हमलों के बारे में गंभीर चेतावनी दी है। 4 नवंबर 2026 को जारी सलाह में एजेंसी ने इस अभियान को CRAFTY FALCON नाम दिया और इसकी गंभीरता को क्रिटिकल बताया। चेतावनी के अनुसार हमलावर वित्तीय संस्थानों के भुगतान और रकम भेजने वाले डिजिटल इंटरफेस का दुरुपयोग कर अनधिकृत लेनदेन करने की कोशिश कर रहे हैं। इसमें गैर-बैंकिंग वित्तीय कंपनियां, डिजिटल ऋण मंच, भुगतान एग्रीगेटर और क्रिप्टो सेवा प्रदाता भी शामिल हैं।

CERT-In की CRAFTY FALCON चेतावनी क्या कहती है?

भारतीय कंप्यूटर आपात प्रतिक्रिया दल ने 4 नवंबर को जारी सलाह CIAD-2026-0058 में पहले जारी की गई 9 अक्टूबर की चेतावनी को अपडेट किया है। एजेंसी के मुताबिक प्रभावित संस्थाओं से मिली घटनाओं की जानकारी और आगे के विश्लेषण में हमले की गतिविधि बढ़ने के संकेत मिले हैं। इस अभियान में ऐसे हमलावरों का उल्लेख है जो मशीन आधारित तकनीकों की मदद से लक्ष्य की पहचान करते हैं, तेजी से कई प्रयास करते हैं और भुगतान प्रणाली के उन हिस्सों को निशाना बनाते हैं जिनसे रकम भेजी जाती है।

यह चेतावनी आम नागरिकों के लिए किसी नए भुगतान नियम की घोषणा नहीं है। इसका मुख्य उद्देश्य वित्तीय संस्थानों और भुगतान सेवा प्रदाताओं को तकनीकी जोखिम के प्रति सतर्क करना है। हालांकि ऐसे हमलों का असर ग्राहकों के खातों और डिजिटल भुगतान सेवाओं पर पड़ सकता है, इसलिए संस्थानों की सुरक्षा व्यवस्था मजबूत होना महत्वपूर्ण है। CERT-In की आधिकारिक सलाह CERT-In Advisory CIAD-2026-0058 पर उपलब्ध है।

हमलावर भुगतान प्रणाली को कैसे निशाना बना सकते हैं?

पेमेंट और डिस्बर्समेंट इंटरफेस का दुरुपयोग

वित्तीय संस्थानों के डिजिटल सिस्टम में अलग-अलग सेवाओं को जोड़ने के लिए प्रोग्रामिंग इंटरफेस का इस्तेमाल होता है। इनके जरिए ऋण वितरण, भुगतान, खाते में रकम भेजना और अन्य कार्य किए जा सकते हैं। यदि किसी संस्था की पहचान जांच, अनुमति व्यवस्था या तकनीकी नियंत्रण में कमजोरी रह जाए, तो हमलावर उसी सुविधा का गलत इस्तेमाल कर सकते हैं। इस तरह का हमला केवल किसी व्यक्ति का पासवर्ड चुराने तक सीमित नहीं रहता, बल्कि संस्था के भीतर मौजूद सेवा और अनुमति ढांचे को निशाना बना सकता है।

CERT-In की चेतावनी में कहा गया है कि हमलावरों ने अलग-अलग सार्वजनिक रूप से उपलब्ध आक्रामक सुरक्षा उपकरणों का उपयोग किया है। सलाह में ARTEX परिवार के बड़े भाषा मॉडल आधारित उपकरण, PentAGI नाम की स्वचालित बहु-एजेंट प्रणाली, Cairn और CyberStrikeAI जैसे ढांचों का उल्लेख है। इनका इस्तेमाल लक्ष्य की जांच, स्क्रिप्ट बनाने और प्रतिक्रिया के आधार पर हमले के तरीके बदलने के लिए किया जा सकता है। इसका अर्थ यह नहीं है कि इन उपकरणों का हर उपयोग अवैध है, लेकिन दुर्भावनापूर्ण हाथों में इनका दुरुपयोग गंभीर खतरा बन सकता है।

कम निगरानी वाले समय में हमले की कोशिश

सलाह में बताया गया है कि कुछ हमले छुट्टियों, सप्ताहांत और कम निगरानी वाले समय के साथ जोड़े गए। इससे संदिग्ध गतिविधि पकड़ने और उस पर प्रतिक्रिया देने में देरी हो सकती है। एजेंसी ने यह भी कहा कि पहले सुधारात्मक कदम उठा चुकी कुछ संस्थाओं को दोबारा निशाना बनाया गया। इससे पता चलता है कि केवल एक बार सुरक्षा सुधार कर देना पर्याप्त नहीं है। संस्थानों को लगातार निगरानी, परीक्षण और सुधार की जरूरत है।

वित्तीय कंपनियों को क्या कदम उठाने चाहिए?

एजेंसी ने संस्थाओं को शून्य-विश्वास सुरक्षा सिद्धांत अपनाने, उपयोगकर्ता और सेवा की पहचान के आधार पर हर पहुंच की जांच करने तथा नेटवर्क के भीतर होने वाले संचार पर निगरानी रखने की सलाह दी है। इसका उद्देश्य यह मानकर चलना है कि किसी सिस्टम में पहले से घुसपैठ हो सकती है और हर अनुरोध को अलग से जांचना जरूरी है। संवेदनशील भुगतान सुविधाओं को सीमित अधिकार देना और अनावश्यक पहुंच हटाना भी जोखिम कम कर सकता है।

सलाह में नकली या परीक्षण संसाधनों, जैसे honeypots और decoy administrative panels, के इस्तेमाल का सुझाव भी दिया गया है। ऐसे संसाधन हमलावरों की गतिविधि का संकेत पकड़ने में मदद कर सकते हैं। कंपनियों को वेबसाइट की मूल फाइलों, अस्थायी फोल्डर और परीक्षण वातावरण में अचानक बनी नई स्क्रिप्ट पर नजर रखनी चाहिए। एक जैसी स्क्रिप्ट के तेजी से कई रूप बनना संदिग्ध गतिविधि का संकेत हो सकता है।

यदि किसी संस्था को हमले का संदेह हो, तो प्रभावित कंप्यूटर या सर्वर को अलग करना, लॉग और डिजिटल सबूत सुरक्षित रखना तथा सभी संबंधित प्रमाण-पत्र और पासवर्ड बदलना आवश्यक हो सकता है। संस्था को CERT-In या संबंधित वित्तीय साइबर प्रतिक्रिया दल को रिपोर्ट भी करनी चाहिए। जल्दबाजी में सिस्टम मिटाने या लॉग हटाने से जांच के लिए जरूरी जानकारी नष्ट हो सकती है। इसलिए घटना प्रतिक्रिया की योजना पहले से तैयार होनी चाहिए।

ग्राहकों और छोटे कारोबारियों के लिए इसका क्या मतलब है?

आम ग्राहक को इस चेतावनी के कारण डिजिटल भुगतान बंद करने की जरूरत नहीं है, लेकिन खाते की गतिविधि पर नियमित नजर रखना समझदारी है। बैंक या भुगतान ऐप से आने वाले लेनदेन संदेशों को ध्यान से देखें। अनजान लिंक, नकली ग्राहक सेवा नंबर और स्क्रीन साझा करने वाले ऐप से सावधान रहें। बैंक कर्मचारी बनकर फोन करने वाला व्यक्ति ओटीपी, यूपीआई पिन या पासवर्ड मांगे तो जानकारी साझा न करें।

छोटे कारोबारियों को भुगतान पाने के लिए अलग कर्मचारी खाते, सीमित अनुमति और मजबूत पासवर्ड व्यवस्था रखनी चाहिए। जहां संभव हो, दो-स्तरीय प्रमाणीकरण चालू करें। भुगतान करने से पहले लाभार्थी का नाम और रकम जांचें। व्यवसाय के खाते को निजी खाते से अलग रखना और दैनिक लेनदेन का मिलान करना भी उपयोगी है। किसी भी संदिग्ध लेनदेन की जानकारी तुरंत बैंक को दें।

ऑनलाइन बैंकिंग के लिए सुरक्षित और अद्यतन उपकरणों का इस्तेमाल करें। सार्वजनिक कंप्यूटर पर बैंकिंग करने से बचें और मोबाइल में अनजान फाइल या ऐप इंस्टॉल न करें। अतिरिक्त लॉगिन सुरक्षा की जरूरत समझने वाले उपयोगकर्ता FIDO2 सुरक्षा कुंजी के विकल्प देख सकते हैं। खरीदने से पहले अपने बैंक और डिवाइस के साथ उसकी अनुकूलता जांचें।

भारत के डिजिटल वित्तीय ढांचे के लिए यह चेतावनी क्यों अहम है?

भारत में डिजिटल भुगतान, ऑनलाइन ऋण, त्वरित धन हस्तांतरण और वित्तीय तकनीक का उपयोग तेजी से बढ़ा है। इससे ग्राहकों और कारोबारियों को सुविधा मिली है, लेकिन वित्तीय संस्थानों की तकनीकी निर्भरता भी बढ़ी है। भुगतान व्यवस्था में एक कमजोर कड़ी कई सेवाओं को प्रभावित कर सकती है। इसलिए साइबर सुरक्षा केवल आईटी विभाग की जिम्मेदारी नहीं, बल्कि जोखिम प्रबंधन और ग्राहक भरोसे का भी हिस्सा है।

एआई आधारित उपकरण हमलावरों को कम समय में अधिक प्रयास करने और अलग-अलग लक्ष्य के अनुसार तकनीक बदलने में मदद कर सकते हैं। दूसरी ओर, सुरक्षा टीमें भी खतरे पहचानने, संदिग्ध गतिविधि का विश्लेषण करने और प्रतिक्रिया तेज करने के लिए स्वचालित साधनों का उपयोग कर सकती हैं। तकनीक अपने आप में अपराध नहीं है। उसका उपयोग, अनुमति और सुरक्षा नियंत्रण तय करते हैं कि वह लाभकारी है या नुकसानदायक।

इस चेतावनी से यह भी स्पष्ट होता है कि कंपनियों को केवल बाहरी हमले रोकने के बजाय अपने आंतरिक सिस्टम, कर्मचारियों की पहुंच और सेवा-सेवा संचार पर ध्यान देना होगा। नियमित सुरक्षा परीक्षण, बैकअप, आपातकालीन अभ्यास और घटना रिपोर्टिंग की व्यवस्था से नुकसान कम किया जा सकता है। ग्राहक भी सतर्क रहकर जोखिम घटाने में मदद कर सकते हैं।

अक्सर पूछे जाने वाले सवाल

1. CRAFTY FALCON क्या है?

यह CERT-In द्वारा पहचाने गए एआई-सहायता प्राप्त वित्तीय साइबर हमले के अभियान का नाम है। इसमें भुगतान और रकम वितरण से जुड़े इंटरफेस को निशाना बनाने की गतिविधियों की जानकारी दी गई है।

2. CERT-In ने यह चेतावनी कब जारी की?

CERT-In ने Advisory CIAD-2026-0058 को 4 नवंबर 2026 को जारी किया। यह 9 अक्टूबर की पहले की चेतावनी का अपडेट है और वित्तीय संस्थानों को जारी खतरे के प्रति सतर्क करती है।

3. किन संस्थाओं को इस खतरे से सावधान रहना चाहिए?

बैंकों के साथ NBFC, डिजिटल ऋण मंच, भुगतान एग्रीगेटर, भुगतान सेवा प्रदाता और क्रिप्टो सेवा से जुड़ी संस्थाओं को विशेष सतर्कता बरतने की सलाह दी गई है।

4. क्या आम ग्राहक को डिजिटल भुगतान बंद कर देना चाहिए?

नहीं। चेतावनी वित्तीय संस्थानों के सिस्टम पर केंद्रित है। ग्राहक को खाते की गतिविधि जांचनी चाहिए, अनजान लिंक से बचना चाहिए और ओटीपी या यूपीआई पिन किसी के साथ साझा नहीं करना चाहिए।

5. संदिग्ध बैंक लेनदेन दिखे तो क्या करें?

तुरंत बैंक के आधिकारिक ग्राहक सेवा माध्यम से संपर्क करें, खाते को सुरक्षित कराने का अनुरोध करें और उपलब्ध शिकायत प्रक्रिया अपनाएं। संदेश, लेनदेन संख्या और अन्य सबूत सुरक्षित रखें।

निष्कर्ष

CERT-In की चेतावनी बताती है कि वित्तीय क्षेत्र में एआई-सहायता प्राप्त हमले अधिक संगठित और तेज हो सकते हैं। बैंकों और भुगतान कंपनियों को लगातार सुरक्षा जांच करनी होगी, जबकि ग्राहकों को भी खाते और निजी जानकारी की रक्षा करनी चाहिए।

Disclaimer: यह लेख CERT-In की सार्वजनिक सलाह पर आधारित है। साइबर सुरक्षा उपायों के लिए संबंधित संस्था के आधिकारिक निर्देशों का पालन करें।