ऑनलाइन पेमेंट करते हैं तो सावधान! AI हैकरों ने बदला ठगी का तरीका, बैंकों के सिस्टम में लगा रहे सेंध

देश में ऑनलाइन बैंकिंग और डिजिटल पेमेंट का इस्तेमाल बढ़ने के साथ साइबर अपराधियों ने ठगी का तरीका भी बदल दिया है. अब हैकर सिर्फ पासवर्ड चुराकर या फर्जी लिंक भेजकर लोगों को निशाना नहीं बना रहे, बल्कि आर्टिफिशियल इंटेलिजेंस (AI) एजेंटों की मदद से बैंकों और फिनटेक कंपनियों के सिस्टम में सेंध लगाने की कोशिश कर रहे हैं. इन हमलों में मशीन की रफ्तार से पेमेंट API और फंड ट्रांसफर सिस्टम को निशाना बनाया जा रहा है. कुछ मामलों में करोड़ों रुपए के अनधिकृत लेनदेन भी सामने आए हैं. खतरे को देखते हुए गृह मंत्रालय के अधीन इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) और CERT-In ने बैंकों, NBFCs और फिनटेक कंपनियों के लिए गंभीर चेतावनी जारी की है.

5,884 IP एड्रेस की पहचान, 60 देशों तक फैला नेटवर्क
जांच एजेंसी के सूत्रों के मुताबिक, 5,884 AI एजेंटों के सक्रिय होने का इनपुट मिला है. हालांकि, I4C और CERT-In की आधिकारिक एडवाइजरी में इस संख्या की पुष्टि नहीं की गई है.

AI Attacker Threat Research की वेबसाइट के आंकड़ों के मुताबिक, साइबर हमलों से जुड़े 5,884 IP एड्रेस की पहचान की गई है. इनका नेटवर्क करीब 60 देशों में फैला है. इनमें 2,954 IP एड्रेस एशिया और 2,397 उत्तरी अमेरिका में दर्ज किए गए हैं. ध्यान देने वाली बात यह है कि IP एड्रेस और AI एजेंट एक ही चीज नहीं हैं.

चार चरणों में बैंकिंग सिस्टम को निशाना बनाते हैं हैकर

• पुराने सॉफ्टवेयर में खोजते हैं कमजोरी: सबसे पहले हैकर उन सर्वर और सॉफ्टवेयर को निशाना बनाते हैं, जिन्हें लंबे समय से अपडेट नहीं किया गया है. गलत सेटिंग वाले सर्वर और कमजोर ऑनलाइन शिकायत पोर्टल भी इनके निशाने पर होते हैं.

• पेमेंट API में लगाते हैं सेंध: सिस्टम तक पहुंच मिलने के बाद हमलावर पेमेंट API और फंड डिस्बर्समेंट सिस्टम को निशाना बनाते हैं. AI एजेंटों की मदद से कई गतिविधियां एक साथ तेजी से की जा सकती हैं. इससे अनधिकृत ट्रांजेक्शन का खतरा बढ़ जाता है.

• म्यूल अकाउंट में भेजते हैं पैसा: ठगी की रकम अलग-अलग बैंक खातों में भेजी जाती है. ऐसे खातों को म्यूल अकाउंट कहते हैं. इसके बाद रकम IMPS और NEFT के जरिए दूसरे खातों में पहुंचाई जाती है, ताकि असली अपराधियों तक पहुंचना मुश्किल हो जाए.

• डिजिटल सबूत मिटाते हैं: पैसे ट्रांसफर करने के बाद हमलावर सिस्टम में मौजूद डिजिटल रिकॉर्ड और अपनी गतिविधियों के निशान मिटाने की कोशिश करते हैं. इससे जांच एजेंसियों के लिए अपराध का पता लगाना मुश्किल हो जाता है.

साइबर घटना के 6 घंटे के भीतर देनी होगी जानकारी
I4C और CERT-In ने वित्तीय संस्थानों को साइबर सुरक्षा मजबूत करने के निर्देश दिए हैं. एडवाइजरी में दो अहम चेतावनियों का जिक्र है.
9 अक्टूबर 2026 को जारी CERT-In एडवाइजरी CIAD-2026-0046 में पेमेंट और फंड डिस्बर्समेंट API के जरिए होने वाले अनधिकृत लेनदेन को लेकर चेतावनी दी गई है. 15 अक्टूबर 2026 को जारी CIAD-2026-0049 में AI एजेंटों के जरिए किए जाने वाले साइबर हमलों के खतरे पर ध्यान दिलाया गया है. एजेंसियों ने कहा है कि किसी भी साइबर घटना का पता चलने के छह घंटे के भीतर CERT-In को जानकारी देनी होगी. बैंकों और NBFCs को RBI के DAKSH पोर्टल पर भी निर्धारित समय में रिपोर्ट करनी होगी.

बैंकों और फिनटेक कंपनियों को उठाने होंगे ये आठ बड़े कदम
1. सभी API की पूरी लिस्ट तैयार करें
बैंकों और फिनटेक कंपनियों को अपने सभी पेमेंट और फंड ट्रांसफर API की विस्तृत सूची तैयार करनी होगी. पुराने, इस्तेमाल में नहीं आने वाले और टेस्टिंग के लिए बनाए गए इंटरफेस को बंद करने या हटाने की सलाह दी गई है. इससे हमलावरों के लिए उपलब्ध कमजोर रास्तों को कम किया जा सकेगा.

2. साइबर सुरक्षा टीमों के बीच बेहतर तालमेल
बैंक के चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर (CISO) की टीम, ट्रांजेक्शन मॉनिटरिंग टीम और IT विभाग को आपसी समन्वय के साथ काम करना होगा. किसी भी संदिग्ध गतिविधि की जानकारी तुरंत संबंधित टीम तक पहुंचनी चाहिए.

3. हर ट्रांजेक्शन की सीमा निर्धारित करें
बैंकों को दैनिक और प्रति ट्रांजेक्शन धन हस्तांतरण की सीमा तय करने की सलाह दी गई है. इसके साथ ही जिस खाते में पैसा भेजा जा रहा है, उसके लाभार्थी का नाम और बैंक खाते की पुष्टि करना भी जरूरी होगा.

4. संदिग्ध IP एड्रेस की निगरानी
NBFCs के एक्सेस टोकन से जुड़े मामलों में गैर-श्वेतसूची (Non-whitelisted) IP एड्रेस से होने वाली विफलताओं की जांच करने को कहा गया है. इसका मकसद अनधिकृत डिजिटल पहुंच के प्रयासों की पहचान करना है.

5. ग्राहकों के इंटरफेस को सुरक्षित बनाएं
ग्राहकों के लिए उपलब्ध डिजिटल प्लेटफॉर्म और शिकायत दर्ज करने वाले सिस्टम की सुरक्षा मजबूत करनी होगी. इसके साथ ही पूरे डिजिटल नेटवर्क के आर्किटेक्चर की समीक्षा जरूरी है, ताकि किसी एक सिस्टम में सेंध लगने के बाद हमलावर नेटवर्क के दूसरे हिस्सों तक न पहुंच सकें. इसे लैटरल मूवमेंट का खतरा कहा जाता है.

6. ट्रांजेक्शन के पैटर्न पर रखें नजर
ट्रांजेक्शन मॉनिटरिंग टीम को भुगतान के विवरण, लाभार्थियों की प्रोफाइल और लेनदेन की मात्रा पर लगातार नजर रखनी होगी. यदि किसी खाते से अचानक असामान्य संख्या में ट्रांजेक्शन होने लगें या भुगतान के विवरण में बदलाव दिखाई दे तो तत्काल जांच की जानी चाहिए.

7. KYC और अप्रूवल के बिना पैसा ट्रांसफर न हो
यह सुनिश्चित करना होगा कि सभी जरूरी जांच, KYC प्रक्रिया और अधिकृत मंजूरी पूरी होने के बाद ही फंड ट्रांसफर किया जाए. किसी भी ऑटोमेटेड सिस्टम को इन अनिवार्य प्रक्रियाओं को दरकिनार करने की अनुमति नहीं होनी चाहिए.

8. मशीन की गति वाले हमलों की ट्रेनिंग लें
बैंकों और वित्तीय संस्थानों को अधिकृत रेड टीम अभ्यास करने की सलाह दी गई है. इसमें विशेषज्ञों के जरिए मशीन की गति से होने वाले साइबर हमलों जैसी परिस्थितियां तैयार की जाती हैं. इससे यह पता लगाया जा सकता है कि बैंक का सिक्योरिटी ऑपरेशन सेंटर (SOC) और पेमेंट कंट्रोल सिस्टम कितनी तेजी से खतरे की पहचान करके जवाब दे सकता है.