भारतीय वित्तीय व्यवस्था पर एआई का हमला, बैंकों को सतर्क रहने के निर्देश; करोड़ों की रकम उड़ाने वाले गिरोह सक्रिय

भारतीय साइबर अपराध समन्वय केंद्र यानी I4C और कंप्यूटर इमरजेंसी रिस्पॉन्स टीम CERT-In ने वित्तीय क्षेत्र से जुड़ी संस्थाओं के लिए गंभीर सुरक्षा चेतावनी जारी की है। एजेंसियों के अनुसार अपराधी अब कृत्रिम बुद्धिमत्ता से संचालित स्वचालित प्रणालियों का इस्तेमाल करके बैंक, गैर-बैंकिंग वित्तीय कंपनियों और फिनटेक प्लेटफॉर्म में सेंध लगाने की कोशिश कर रहे हैं। इन गतिविधियों में मशीनों की तरह तेज गति से कई स्तरों पर हमला किया जाता है। शुरुआती जानकारी में करोड़ों रुपये की रकम बिना अनुमति खातों से निकालने के मामले भी सामने आए हैं। सुरक्षा एजेंसियों ने बैंकों और भुगतान सेवाओं से जुड़े संस्थानों को डिजिटल व्यवस्था की तत्काल समीक्षा करने तथा कमजोरियों को दूर करने की हिदायत दी है।

तकनीकी खामियों को तलाशकर बनाया जा रहा निशाना

जांच एजेंसियों के मुताबिक साइबर अपराधियों की नजर उन सर्वरों और सूचना प्रौद्योगिकी प्रणालियों पर है, जिनका सॉफ्टवेयर लंबे समय से अपडेट नहीं हुआ है। इंटरनेट से जुड़े कमजोर नेटवर्क और ग्राहकों की शिकायतें दर्ज करने वाले ऑनलाइन मंच भी उनके निशाने पर बताए गए हैं। एक बार किसी व्यवस्था में प्रवेश मिलने के बाद हमलावर भुगतान जारी करने वाली स्वचालित प्रणाली और रकम भेजने वाले एप्लिकेशन प्रोग्रामिंग इंटरफेस यानी API तक पहुंचने का प्रयास करते हैं। इस रास्ते का इस्तेमाल करके वित्तीय लेनदेन में हेरफेर और अवैध निकासी की जा सकती है।

दो अहम चेतावनियों को गंभीरता से लेने की सलाह

CERT-In ने इस खतरे से संबंधित दो महत्वपूर्ण साइबर सुरक्षा परामर्श जारी किए हैं। पहला निर्देश 9 अक्टूबर 2026 को CIAD-2026-0046 के नाम से जारी हुआ था, भुगतान और धन वितरण से जुड़े API पर संभावित हमलों का उल्लेख किया। दूसरा परामर्श 15 अक्टूबर 2026 को CIAD-2026-0049 के तहत सामने आया, जिसमें एआई एजेंटों के जरिए साइबर अपराध को अंजाम दिए जाने की आशंका जताई गई। एजेंसियों ने बैंकों, NBFCs, फिनटेक कंपनियों, पेमेंट एग्रीगेटरों और भुगतान गेटवे संचालकों से इन निर्देशों को प्राथमिकता के आधार पर लागू करने को कहा है।

छह घंटे के भीतर देनी होगी घटना की जानकारी

सुरक्षा नियमों के मुताबिक किसी साइबर घटना का पता चलने पर संबंधित संस्थान को छह घंटे के अंदर CERT-In को इसकी सूचना देनी होगी। बैंक और NBFC इस घटना की जानकारी भारतीय रिजर्व बैंक के DAKSH पोर्टल पर भी निर्धारित समयसीमा में दर्ज करेंगे। इसके साथ ही प्रत्येक संस्था को अपने क्षेत्र के नियामक द्वारा तय सुरक्षा मानकों का पालन करना होगा। भुगतान और धन हस्तांतरण में इस्तेमाल होने वाले सभी डिजिटल माध्यमों तथा API की सूची तैयार करना भी जरूरी बताया गया है।

संदिग्ध लेनदेन पर रहेगी पैनी नजर

एजेंसियों ने पुराने, अनुपयोगी और परीक्षण के लिए बनाए गए API बंद करने की सलाह दी है। हर लेनदेन और दैनिक धन हस्तांतरण की सीमा निर्धारित करने के साथ लाभार्थी के बैंक खाते तथा नाम की पुष्टि करने पर जोर दिया गया है। असामान्य तेजी से होने वाले भुगतान, संदिग्ध इंटरनेट पते और बार-बार असफल हो रहे एक्सेस टोकन की जांच करने को कहा गया है। KYC और जरूरी अनुमोदन पूरा किए बिना धन जारी नहीं किया जाना चाहिए। बैंक के सुरक्षा प्रमुख, तकनीकी विभाग और लेनदेन निगरानी दल के बीच बेहतर तालमेल भी जरूरी होगा।

एआई की मदद से रकम कई खातों में पहुंचाई जाती है

I4C और CERT-In के अनुसार Agentic AI Framework का इस्तेमाल करके हमलावर अलग-अलग प्रक्रियाओं को स्वचालित ढंग से संचालित कर सकते हैं। अवैध रूप से निकाली गई रकम पहले म्यूल खातों में भेजी जाती है। ऐसे बैंक खाते आमतौर पर अपराधी अपने धन के लेनदेन और पहचान छिपाने के लिए इस्तेमाल करते हैं। इसके बाद IMPS और NEFT के माध्यम से पैसा कई दूसरे खातों में पहुंचाया जाता है या निकाल लिया जाता है। जांच से बचने के लिए डिजिटल सबूत मिटाने की कोशिश भी की जाती है।

सुरक्षा व्यवस्था की क्षमता परखने के निर्देश

एजेंसियों ने संस्थानों को अधिकृत रेड टीम अभ्यास कराने की सलाह दी है, ताकि वास्तविक हमले जैसी परिस्थितियों में उनकी तैयारी जांची जा सके। सुरक्षा संचालन केंद्र यानी SOC और भुगतान सुरक्षा प्रणाली कितनी जल्दी खतरे को पहचानकर कार्रवाई करती है, इसका परीक्षण भी जरूरी बताया गया है। संदेश साफ है कि डिजिटल भुगतान की बढ़ती दुनिया में केवल तकनीक अपनाना पर्याप्त नहीं, उसकी सुरक्षा लगातार मजबूत रखना भी अनिवार्य है।