डिजिटल बैंकिंग में धोखाधड़ी और हमलों से व्यवसाय की सुरक्षा कैसे करें

प्रोग्रामिंग भाषा PHP में दो गंभीर कमजोरियों के कारण सरकारों और निगमों को संभावित हमलों के खिलाफ साइटों को निवारक रूप से ऑफ़लाइन करना पड़ा। इन खामियों को अंतरराष्ट्रीय गंभीरता पैमाने पर 9.2 का स्कोर दिया गया था और ये हमलावरों को बिना किसी एक्सेस क्रेडेंशियल या पासवर्ड की आवश्यकता के उजागर सर्वरों पर रिमोट कमांड निष्पादित करने की अनुमति देती हैं।

PHP के डेवलपर्स ने बुधवार, 21 तारीख को इन समस्याओं को ठीक करने के लिए अपडेट लागू किए। सुरक्षा अधिकारियों ने सलाह दी है कि सुधार तुरंत लागू किए जाएं; वैकल्पिक रूप से, कमजोर प्रणालियों को तब तक इंटरनेट से अलग रखा जाना चाहिए जब तक कि सुरक्षा स्थापित न हो जाए।

एक कमजोरी ने ध्यान आकर्षित किया क्योंकि इसे मूल रूप से 2024 में खोजा गया था। PHP फाउंडेशन के अनुसार, सुधार के लिए लगने वाला समय प्रक्रिया में एक संरचनात्मक विफलता को इंगित करता है। अपडेट का खुलासा विशेषज्ञों की चिंता को भी बढ़ाता है, क्योंकि इसमें जोखिम होता है कि हमलावर उन सिस्टमों में शोषण के तरीके खोजने के लिए पैच का अध्ययन करें जिन्हें अभी तक अपडेट नहीं किया गया है।

PHP के डेवलपर्स ने दो महत्वपूर्ण कमजोरियों को दूर करने के लिए चार अलग-अलग अपडेट जारी किए। PHP फाउंडेशन ने उपयोगकर्ताओं के अपने सिस्टम को अपडेट करने की तत्काल आवश्यकता पर जोर दिया। फाउंडेशन ने स्वीकार किया कि एक खामी की पहचान 2024 में एक शोधकर्ता द्वारा की गई थी, जिसमें सुधार में देरी को एक संरचनात्मक समस्या के रूप में वर्गीकृत किया गया था।

संयुक्त राज्य अमेरिका की राष्ट्रीय सुरक्षा एजेंसी (NSA) ने एक चेतावनी जारी की जिसमें बताया गया कि इस तरह की कमजोरियां सर्वर के फ़ाइलों और डेटाबेस तक पहुंच को आसान बना सकती हैं। यदि अपडेट को तुरंत लागू करना संभव नहीं है, तो मार्गदर्शन यह है कि प्रभावित सिस्टम को नेटवर्क से हटा दिया जाए।

दूसरी ओर, संयुक्त राज्य अमेरिका की साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) ने सभी PHP इंस्टॉलेशन के तत्काल अपडेट की सिफारिश की। इस रिपोर्ट के प्रकाशन के समय, एजेंसी ने इन कमजोरियों के शोषण का पता नहीं लगाया था, हालांकि उसने असुरक्षित सिस्टम बनाए रखने के खतरों के बारे में चेतावनी दी थी।

सोफोस काउंटर थ्रेट यूनिट (CTU) के खतरा खुफिया उपाध्यक्ष डॉन स्मिथ के लिए, संगठनों द्वारा सामना की जाने वाली पहली बाधा यह निर्धारित करना है कि PHP का उपयोग कहाँ किया जा रहा है। उन्होंने कहा: 'तत्काल चुनौती केवल एक सुधार स्थापित करना नहीं है, बल्कि उन सभी इंस्टेंस की पहचान करना और प्रबंधित करना है जहां PHP चल रहा है।'

विशेषज्ञ ने इस बात पर जोर दिया कि यह भाषा विभिन्न स्थानों पर मौजूद हो सकती है, जैसे सार्वजनिक वेबसाइटें, सामग्री प्रबंधन प्रणाली, होस्टिंग प्लेटफॉर्म और तृतीय-पक्ष उत्पाद, और कुछ स्थितियों में, यह उपस्थिति उस संगठन के लिए स्पष्ट नहीं हो सकती है जो बुनियादी ढांचे के लिए जिम्मेदार है।

स्मिथ ने सुरक्षा टीमों को कई कार्यों को प्राथमिकता देने का सुझाव दिया। कार्यकारी ने दुर्भावनापूर्ण एजेंटों की कार्रवाई की गति के बारे में भी चेतावनी दी, जिसमें कृत्रिम बुद्धिमत्ता (AI) का उपयोग भी शामिल है। उनके विश्लेषण में, ये कमजोरियां मरम्मत के खुलासे के घंटों और दिनों के बाद प्राथमिक लक्ष्य बन सकती हैं।

इस प्रकार, स्मिथ ने सलाह दी कि संगठनों को केवल अपडेट स्थापित करने तक ही सीमित नहीं रहना चाहिए, बल्कि यह भी जांच करनी चाहिए कि क्या किसी घुसपैठिए ने मरम्मत लागू होने से पहले ही वातावरण तक पहुंच प्राप्त कर ली है।

कैलिफ़ सुरक्षा कंपनी के शोधकर्ताओं ने ओपनएआई के सहयोग से, जीपीटी-5.6 सोल मॉडल की सहायता से इसकी पहचान करने के बाद, 11 अगस्त को PHP डेवलपर्स को एक कमजोरी की सूचना दी। विज़, जो अल्फाबेट (गूगल का नियंत्रक) से जुड़ा एक अन्य सुरक्षा कंपनी है, ने स्वतंत्र रूप से समस्याओं की पहचान की और 24 अगस्त को दूसरी खामी की सूचना दी, जिसमें भी एआई मॉडल का उपयोग किया गया।

इस खोज ने प्रदर्शित किया कि कैसे एआई उपकरण शोधकर्ताओं को व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर में खामियां खोजने में मदद कर सकते हैं। हालांकि, हमलावरों द्वारा सुधारों का विश्लेषण करने की संभावना प्रभावित सिस्टमों को अपडेट रखने और किसी भी संदिग्ध गतिविधि की निगरानी करने की तात्कालिकता को मजबूत करती है।

पंजाब नेशनल बैंक (PNB) ने कृत्रिम बुद्धिमत्ता पर आधारित साइबर हमलों, जिसमें एआई का उपयोग करके आवाज क्लोनिंग, डीपफेक और फ़िशिंग शामिल है, के खिलाफ अपने ग्राहकों को आगाह किया है। यह कदम धोखाधड़ी की घटनाओं में वृद्धि के मद्देनजर उठाया गया है, और बैंक ने उनसे सतर्क रहने का आग्रह किया है।

इस बात पर जोर देते हुए कि अक्टूबर को हर साल साइबर सुरक्षा जागरूकता माह के रूप में मनाया जाता है, बैंक ने ग्राहकों को सूचित किया कि धोखेबाज अपनी कोशिशों को अधिक विश्वसनीय बनाने के लिए तेजी से परिष्कृत तरीकों का उपयोग कर रहे हैं।

पीएनबी के एमडी और सीईओ, अशोक चंद्रा ने ग्राहकों को संबोधित करते हुए कहा कि कई आधुनिक साइबर धोखाधड़ियाँ मानवीय व्यवहार का फायदा उठाती हैं, विशेष रूप से विश्वास, भय, तात्कालिकता की भावना और दैनिक डिजिटल आदतों का। धोखेबाज परिवार के सदस्यों, दोस्तों या भरोसेमंद व्यक्तियों की आवाज़ या रूप की नकल कर सकते हैं, जिससे पैसे तुरंत हस्तांतरित करने के उद्देश्य से एक झूठी आपात स्थिति पैदा होती है।

उन्होंने यह भी उल्लेख किया कि धोखाधड़ी वाले ईमेल, एसएमएस या संदेश अत्यधिक व्यक्तिगत और वास्तविक बैंक संदेशों से अप्रभेद्य दिख सकते हैं, जिससे उनका पता लगाना मुश्किल हो जाता है। ऐसे संदेश घबराहट पैदा करते हैं और ग्राहकों को उचित जांच किए बिना कार्रवाई करने के लिए प्रेरित करते हैं।

देश भर में साइबर अपराधों की बढ़ती संख्या के कारण, सार्वजनिक और निजी दोनों क्षेत्रों के बैंक उन्नत आर्टिफिशियल इंटेलिजेंस, क्वांटम कंप्यूटिंग के जोखिमों और भारतीय रिजर्व बैंक द्वारा कड़े नियामक आवश्यकताओं से उत्पन्न होने वाले विकसित खतरों का मुकाबला करने के लिए आईटी और साइबर सुरक्षा में सक्रिय रूप से निवेश बढ़ा रहे हैं।

यह लेख सुनें

63SATS साइबरटेक के सह-निदेशक और सीईओ, श्रीनिवास एल ने बताया कि ये सभी योजनाएं 'तत्काल' नामक ईंधन पर काम करती हैं। उन्होंने उदाहरण दिए: बेटे की क्लोन की गई आवाज़ जो उसकी गिरफ्तारी की सूचना दे रही है; पुलिस अधिकारी का वीडियो जिसमें डिजिटल गिरफ्तारी की धमकी दी जा रही है; या यह संदेश कि बैंक खाता एक घंटे में ब्लॉक कर दिया जाएगा। श्रीनिवास ने जोर देकर कहा: 'प्रौद्योगिकी बदल गई है, लेकिन परिदृश्य वही रहता है। यह दहशत पैदा करता है जो लोगों को भुगतान करने के लिए मजबूर करती है।'

एक जवाबी उपाय के रूप में, श्रीनिवास के अनुसार, एक सरल दृष्टिकोण है: रुकें, चुने हुए चैनल पर जानकारी की जाँच करें, फोन काट दें और फ़ोन में सहेजे गए नंबर पर व्यक्ति को वापस कॉल करें। उन्होंने एक पारिवारिक कोड शब्द पर सहमत होने की भी सलाह दी है जो केवल परिवार के सदस्यों को पता हो, क्योंकि एआई आवाज़ की नकल कर सकता है, लेकिन रहस्य नहीं।

श्रीनिवास ने आगे कहा कि उभरते साइबर धोखाधड़ी से खुद को बचाने के लिए दुनिया भर के लोगों के लिए डिजिटल स्वच्छता बनाए रखना एक अत्यावश्यक आवश्यकता है। उन्होंने उपयोगकर्ताओं को ईमेल, बैंकिंग सेवाओं और सोशल नेटवर्कों के लिए दो-कारक प्रमाणीकरण सक्षम करने, प्रत्येक प्लेटफॉर्म के लिए अद्वितीय पासवर्ड का उपयोग करने और यूपीआई और कार्ड के माध्यम से लेनदेन पर दैनिक सीमाएँ निर्धारित करने की सिफारिश की ताकि एक गलती खातों को खाली न कर दे।

अपने ग्राहकों के अर्जित धन और व्यक्तिगत जानकारी की सुरक्षा के प्रति अपनी प्रतिबद्धता की पुष्टि करते हुए, पीएनबी से चंद्रा ने कहा कि जागरूकता और सतर्कता साइबर धोखाधड़ी को रोकने में सबसे मजबूत भागीदार बने हुए हैं। उन्होंने निष्कर्ष निकाला: 'साइबर सुरक्षा एक साझा जिम्मेदारी है। आपकी जागरूकता हमारे सुरक्षा उपायों के साथ मिलकर साइबर धोखाधड़ी से सबसे मजबूत सुरक्षा बनाती है।'