AI की ताकत अब साइबर अपराधियों के लिए बनी नया हथियार, ऐसे हो रही आपकी पॉकेट में सेंधमारी, बैंकों और फिनटेक कंपनियों को I4C का अलर्ट

आर्टिफिशियल इंटेलिजेंस यानी AI अब सिर्फ तकनीक और कारोबार की दुनिया को नहीं बदल रहा, बल्कि साइबर अपराधियों के लिए भी एक नया हथियार बनता जा रहा है. देश में डिजिटल बैंकिंग और ऑनलाइन पेमेंट का इस्तेमाल बढ़ने के साथ साइबर ठगों ने हमले का एक नया तरीका अपनाया है. अब अपराधी पारंपरिक हैकिंग के बजाय AI एजेंटों की मदद से बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक प्लेटफॉर्म के डिजिटल सिस्टम को निशाना बना रहे हैं. इन हमलों में मशीन की रफ्तार से सिस्टम की कमजोरियों का फायदा उठाकर करोड़ों रुपये के अनधिकृत ट्रांजेक्शन किए जा सकते हैं.

और पढ़ें

इस नए खतरे को लेकर गृह मंत्रालय के अधीन काम करने वाले इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) और इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के तहत आने वाली एजेंसी CERT-In ने गंभीर चिंता जताई है. दोनों एजेंसियों ने बैंकों, NBFCs, फिनटेक कंपनियों, पेमेंट एग्रीगेटर्स और पेमेंट गेटवे से जुड़ी संस्थाओं को सुरक्षा संबंधी एडवाइजरी जारी की है. इसमें बताया गया है कि वित्तीय लाभ के लिए साइबर अपराधी AI एजेंटों का इस्तेमाल कर रहे हैं. कुछ मामलों में फंड डिस्बर्समेंट सिस्टम और पेमेंट API के जरिए करोड़ों रुपये के अनधिकृत लेनदेन सामने आए हैं.

जांच एजेंसी के सूत्रों से मिली जानकारी के मुताबिक, 5,884 AI एजेंट हर वक्त लाइव रहकर फिनटेक कंपनियों को निशाना बना रहे हैं. इस इनपुट ने साइबर सुरक्षा एजेंसियों की चिंता बढ़ा दी है. हालांकि, यहां एक महत्वपूर्ण तथ्य समझना जरूरी है कि I4C की आधिकारिक एडवाइजरी में 5,884 AI एजेंटों की संख्या का उल्लेख नहीं किया गया है. आधिकारिक दस्तावेज में AI एजेंटों की मदद से होने वाले स्वचालित साइबर हमलों और करोड़ों रुपये के अनधिकृत ट्रांजेक्शन के खतरे की पुष्टि की गई है.

वहीं, AI Attacker Threat Research की वेबसाइट पर उपलब्ध आंकड़ों के मुताबिक, साइबर हमलों से जुड़े 5,884 IP एड्रेस की पहचान की गई है. इन IP एड्रेस को घटना रिपोर्ट, स्वतंत्र विश्लेषण और अन्य तकनीकी सुरागों के आधार पर दर्ज किया गया है. इनका अनुमानित होस्टिंग नेटवर्क दुनिया के 60 देशों में फैला हुआ है. उपलब्ध आंकड़ों के अनुसार, एशिया में 2,954 और उत्तरी अमेरिका में 2,397 IP एड्रेस दर्ज किए गए हैं. हालांकि, इन IP एड्रेस की संख्या को सीधे सक्रिय AI एजेंटों की संख्या नहीं माना जा सकता.

AI एजेंटों के जरिए होने वाले साइबर हमलों का तरीका पारंपरिक हैकिंग से अलग है. इसमें अपराधी सबसे पहले किसी बैंक या वित्तीय संस्थान के डिजिटल इंफ्रास्ट्रक्चर की कमजोरियों का पता लगाते हैं. इसके बाद AI आधारित टूल और Agentic AI Framework की मदद से इन कमजोरियों का फायदा उठाने की कोशिश की जाती है. इस तकनीक के जरिए हमले की कई प्रक्रियाओं को स्वचालित किया जा सकता है. इससे कम समय में बड़ी संख्या में डिजिटल गतिविधियां संचालित करना संभव हो जाता है.

आधिकारिक एडवाइजरी में सामने आए खतरे के मुताबिक, साइबर अपराधी मुख्य रूप से चार चरणों में इस तरह के हमलों को अंजाम दे सकते हैं. सबसे पहले कमजोर सॉफ्टवेयर और सर्वर को निशाना बनाया जाता है. इसके बाद पेमेंट API और फंड ट्रांसफर सिस्टम तक पहुंच बनाने की कोशिश होती है. फिर अनधिकृत तरीके से ट्रांसफर की गई रकम को म्यूल अकाउंट के जरिए अलग-अलग खातों में भेजा जाता है. आखिर में डिजिटल सबूत मिटाकर जांच एजेंसियों से बचने की कोशिश की जाती है.

पहला चरण

साइबर अपराधी सबसे पहले ऐसे सॉफ्टवेयर, सर्वर और डिजिटल प्लेटफॉर्म की पहचान करते हैं जिन्हें समय पर अपडेट नहीं किया गया है. कई वित्तीय संस्थानों के इंटरनेट से जुड़े सर्वर और IT सिस्टम गलत कॉन्फिगरेशन के कारण कमजोर रह जाते हैं. हमलावर इन्हीं तकनीकी खामियों का फायदा उठाकर सिस्टम में अनधिकृत प्रवेश हासिल करने की कोशिश करते हैं. एक बार प्रवेश मिल जाने के बाद वे नेटवर्क के दूसरे हिस्सों तक पहुंचने का रास्ता तलाश सकते हैं.

ग्राहकों की शिकायत दर्ज करने के लिए बनाए गए ऑनलाइन इंटरफेस भी साइबर अपराधियों के निशाने पर होते हैं. अगर इन प्लेटफॉर्म की सुरक्षा कमजोर है तो हमलावर इनके जरिए कंपनी के आंतरिक डिजिटल नेटवर्क तक पहुंच बनाने की कोशिश कर सकते हैं. इस तरह एक सामान्य दिखने वाला ऑनलाइन इंटरफेस भी पूरे वित्तीय सिस्टम के लिए खतरा बन सकता है. इसलिए कंपनियों को अपने सभी इंटरनेट आधारित सिस्टम की सुरक्षा और कॉन्फिगरेशन की नियमित जांच करने की जरूरत है.

दूसरा चरण

डिजिटल सिस्टम में प्रवेश मिलने के बाद हमलावरों का अगला निशाना पेमेंट और फंड ट्रांसफर से जुड़े API होते हैं. API यानी Application Programming Interface ऐसे डिजिटल इंटरफेस हैं, जिनके जरिए अलग-अलग सॉफ्टवेयर और सिस्टम आपस में संवाद करते हैं. बैंक और फिनटेक कंपनियां इन्हीं के माध्यम से भुगतान, पैसे ट्रांसफर करने और फंड डिस्बर्समेंट जैसी गतिविधियां संचालित करती हैं. ऐसे में इन API की सुरक्षा में चूक होने पर वित्तीय लेनदेन प्रभावित हो सकते हैं.

यहीं पर AI एजेंट साइबर अपराधियों के लिए खतरनाक हथियार बन सकते हैं. Agentic AI Framework की मदद से हमले की कई प्रक्रियाओं को ऑटोमेट किया जा सकता है. इसके जरिए एक साथ कई गतिविधियां संचालित करने और सिस्टम की कमजोरियों का तेजी से फायदा उठाने की कोशिश की जा सकती है. पहले जहां साइबर अपराधियों को हर प्रक्रिया के लिए इंसानी हस्तक्षेप की जरूरत पड़ती थी, वहीं अब AI आधारित ऑटोमेशन हमले की रफ्तार बढ़ा सकता है. इससे बैंक और फिनटेक कंपनियों के पास हमले को पहचानने और रोकने के लिए बेहद कम समय बच सकता है.

तीसरा चरण

पेमेंट सिस्टम या फंड डिस्बर्समेंट API के जरिए अनधिकृत ट्रांजेक्शन होने के बाद ठगी की रकम अलग-अलग बैंकों में मौजूद म्यूल अकाउंट में भेजी जा सकती है. म्यूल अकाउंट ऐसे बैंक खाते होते हैं जिनका इस्तेमाल साइबर अपराधी धोखाधड़ी से हासिल रकम को इधर-उधर ट्रांसफर करने के लिए करते हैं. कई मामलों में ऐसे खातों का इस्तेमाल रकम के वास्तविक स्रोत और अंतिम लाभार्थी की पहचान छिपाने के लिए किया जाता है. इससे जांच एजेंसियों के लिए पैसे की पूरी कड़ी का पता लगाना मुश्किल हो जाता है.

इसके बाद रकम को IMPS और NEFT जैसे बैंकिंग माध्यमों से दूसरे खातों में ट्रांसफर किया जा सकता है या निकाल लिया जाता है. अपराधी कई खातों के बीच तेजी से पैसे घुमाने की कोशिश करते हैं, ताकि मूल खाते से अंतिम लाभार्थी तक पहुंचना मुश्किल हो जाए. इस पूरी प्रक्रिया में जितनी तेजी से रकम अलग-अलग खातों में जाती है, उसे समय रहते फ्रीज कराना उतना ही चुनौतीपूर्ण हो सकता है. यही वजह है कि एजेंसियों ने संदिग्ध ट्रांजेक्शन की तुरंत पहचान और रिपोर्टिंग पर जोर दिया है.

चौथा चरण 

ठगी की रकम निकालने या दूसरे खातों में ट्रांसफर करने के बाद हमलावर डिजिटल रिकॉर्ड और गतिविधियों के निशान छिपाने की कोशिश कर सकते हैं. इसमें सिस्टम लॉग और अन्य डिजिटल सबूतों को मिटाने या उनमें छेड़छाड़ करने की कोशिश शामिल हो सकती है. इसका मकसद जांच एजेंसियों को यह पता लगाने से रोकना होता है कि सिस्टम में सेंध कहां से लगी थी. साथ ही किस API का दुरुपयोग हुआ और रकम किन-किन बैंक खातों से होकर गुजरी, इसकी जानकारी जुटाना भी मुश्किल हो सकता है.

इसी खतरे को देखते हुए I4C और CERT-In ने वित्तीय संस्थानों को केवल साइबर हमले के बाद कार्रवाई करने के बजाय लगातार निगरानी रखने की सलाह दी है. कंपनियों को अपने पेमेंट सिस्टम, सर्वर, API और डिजिटल नेटवर्क में होने वाली संदिग्ध गतिविधियों पर नजर रखनी होगी. इसके साथ ही साइबर हमले का पता चलते ही संबंधित एजेंसियों को सूचना देने और जरूरी डिजिटल सबूत सुरक्षित रखने की व्यवस्था भी मजबूत करनी होगी.

I4C और CERT-In की दो Critical एडवाइजरी में क्या है खास?

I4C और CERT-In ने वित्तीय क्षेत्र से जुड़ी संस्थाओं को साइबर सुरक्षा मजबूत करने के लिए दो महत्वपूर्ण एडवाइजरी का पालन करने को कहा है. इनमें पहली एडवाइजरी पेमेंट और फंड डिस्बर्समेंट API के जरिए होने वाले अनधिकृत धन हस्तांतरण से संबंधित है. दूसरी एडवाइजरी AI एजेंटों की मदद से होने वाले साइबर हमलों के खतरे पर केंद्रित है. दोनों को गंभीर यानी Critical श्रेणी में रखा गया है.

- CERT-In Advisory CIAD-2026-0046: यह एडवाइजरी 9 अक्टूबर 2026 को जारी की गई थी. इसमें पेमेंट और फंड डिस्बर्समेंट API के जरिए अनधिकृत धन हस्तांतरण के खतरे को लेकर आगाह किया गया है.

- CERT-In Advisory CIAD-2026-0049: यह एडवाइजरी 15 अक्टूबर 2026 को जारी हुई थी. इसमें AI एजेंटों के जरिए साइबर हमलों को अंजाम देने की आशंका और उससे जुड़े जोखिमों पर ध्यान केंद्रित किया गया है.

इसके अलावा CERT-In की मई 2026 में जारी ब्लूप्रिंट के अनुरूप वित्तीय संस्थानों को अपने डिजिटल इंफ्रास्ट्रक्चर में AI आधारित कमजोरियों को कम करने के उपाय लागू करने की सलाह दी गई है. इसका उद्देश्य साइबर हमलों से पहले ही सुरक्षा व्यवस्था को मजबूत करना है. एजेंसियों का जोर इस बात पर है कि बैंक और फिनटेक कंपनियां अपने सिस्टम की कमजोरियों की पहचान कर उन्हें समय रहते दूर करें.

साइबर हमले के छह घंटे के भीतर देनी होगी जानकारी

एडवाइजरी का एक अहम पहलू साइबर घटनाओं की रिपोर्टिंग से जुड़ा है. एजेंसियों ने स्पष्ट किया है कि किसी भी साइबर घटना का पता चलने के छह घंटे के भीतर CERT-In को इसकी जानकारी देनी होगी. इसका उद्देश्य साइबर हमले की सूचना संबंधित एजेंसी तक जल्द पहुंचाना और समय रहते जरूरी कार्रवाई सुनिश्चित करना है. इससे हमले की प्रकृति, उसके प्रभाव और संभावित वित्तीय नुकसान का आकलन करने में मदद मिल सकती है.

इसके साथ ही बैंकों और NBFCs को भी साइबर घटना का पता चलने के छह घंटे के भीतर RBI के DAKSH पोर्टल पर रिपोर्ट करना अनिवार्य है. वहीं NBFCs और फिनटेक कंपनियां धोखाधड़ी वाले ट्रांजेक्शन की सामूहिक रिपोर्टिंग के लिए I4C से संपर्क कर सकती हैं. इसके लिए NCRP-CFCFRMS पोर्टल का इस्तेमाल किया जा सकता है. इस व्यवस्था का मकसद धोखाधड़ी से निकाली गई रकम को समय रहते फ्रीज कराने में मदद करना है.

इस पोर्टल के जरिए कई संदिग्ध और धोखाधड़ी वाले ट्रांजेक्शन की जानकारी एक साथ साझा की जा सकती है. इससे अलग-अलग बैंकों, वित्तीय संस्थानों और संबंधित एजेंसियों के बीच बेहतर तालमेल स्थापित करने में मदद मिलती है. खासतौर पर तब, जब साइबर अपराधी एक ही रकम को कई बैंक खातों में तेजी से ट्रांसफर कर रहे हों. ऐसे मामलों में समय पर सूचना मिलने से पैसे की आगे की आवाजाही रोकने की संभावना बढ़ सकती है.

बैंकों और फिनटेक कंपनियों को उठाने होंगे 8 बड़े कदम

AI एजेंटों की मदद से होने वाले साइबर हमलों को रोकने के लिए I4C और CERT-In की एडवाइजरी में कई तकनीकी और प्रशासनिक उपाय बताए गए हैं. वित्तीय संस्थानों को अपने पेमेंट सिस्टम, API, ट्रांजेक्शन मॉनिटरिंग और डिजिटल इंफ्रास्ट्रक्चर की सुरक्षा की समीक्षा करनी होगी. इसके साथ ही कर्मचारियों और सुरक्षा टीमों के बीच बेहतर तालमेल स्थापित करना भी जरूरी है. एडवाइजरी में खासतौर पर आठ उपायों पर ध्यान देने की सलाह दी गई है.

1. सभी API की पूरी सूची तैयार करें

बैंकों और फिनटेक कंपनियों को अपने सभी पेमेंट और फंड ट्रांसफर API की विस्तृत सूची तैयार करनी होगी. इसमें इस्तेमाल हो रहे API के साथ पुराने, निष्क्रिय और टेस्टिंग के लिए बनाए गए इंटरफेस की भी पहचान करनी होगी. जो API अब इस्तेमाल में नहीं हैं, उन्हें बंद करने या सिस्टम से हटाने की सलाह दी गई है. इससे हमलावरों के लिए उपलब्ध कमजोर रास्तों की संख्या कम की जा सकेगी.

2. साइबर सुरक्षा टीमों के बीच बेहतर तालमेल

वित्तीय संस्थानों में चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर (CISO) की टीम, ट्रांजेक्शन मॉनिटरिंग टीम और IT विभाग को आपसी तालमेल के साथ काम करना होगा. किसी भी संदिग्ध गतिविधि की जानकारी संबंधित टीम तक तुरंत पहुंचनी चाहिए. सुरक्षा टीमों के बीच सूचना साझा करने में देरी होने पर साइबर हमले का पता लगाने और उसे रोकने में परेशानी हो सकती है. इसलिए सभी विभागों के बीच स्पष्ट जिम्मेदारी और त्वरित प्रतिक्रिया की व्यवस्था जरूरी है.

3. हर ट्रांजेक्शन की सीमा निर्धारित करें

बैंकों को दैनिक और प्रति ट्रांजेक्शन धन हस्तांतरण की सीमा तय करने की सलाह दी गई है. इससे किसी एक खाते या डिजिटल सिस्टम के जरिए अचानक बड़ी रकम ट्रांसफर होने की स्थिति को नियंत्रित किया जा सकता है. इसके अलावा जिस खाते में पैसा भेजा जा रहा है, उसके लाभार्थी का नाम और बैंक खाते की पुष्टि करना भी जरूरी होगा. इससे गलत खाते में रकम जाने और अनधिकृत ट्रांजेक्शन का खतरा कम करने में मदद मिल सकती है.

4. संदिग्ध IP एड्रेस की निगरानी करें

NBFCs को एक्सेस टोकन से जुड़े मामलों में गैर-श्वेतसूची यानी Non-whitelisted IP एड्रेस से होने वाली विफलताओं की जांच करने को कहा गया है. किसी सिस्टम में पहले से अधिकृत IP एड्रेस की सूची के बाहर से पहुंच बनाने की कोशिश हो तो उसे गंभीरता से जांचना जरूरी है. ऐसी गतिविधियां अनधिकृत डिजिटल पहुंच के प्रयास का संकेत हो सकती हैं. लगातार निगरानी से संदिग्ध कनेक्शन की पहचान कर समय रहते सुरक्षा कार्रवाई की जा सकती है.

5. ग्राहकों के इंटरफेस को सुरक्षित बनाएं

ग्राहकों के लिए उपलब्ध डिजिटल प्लेटफॉर्म और शिकायत दर्ज करने वाले ऑनलाइन सिस्टम की सुरक्षा मजबूत करनी होगी. इसके साथ ही पूरे डिजिटल नेटवर्क के आर्किटेक्चर की समीक्षा करने की सलाह दी गई है. इसका मकसद यह सुनिश्चित करना है कि किसी एक सिस्टम में सेंध लगने के बाद हमलावर नेटवर्क के दूसरे हिस्सों तक न पहुंच सकें. साइबर सुरक्षा की भाषा में इस तरह एक सिस्टम से दूसरे सिस्टम तक पहुंच बनाने की कोशिश को लैटरल मूवमेंट कहा जाता है.

6. ट्रांजेक्शन के पैटर्न पर लगातार नजर रखें

ट्रांजेक्शन मॉनिटरिंग टीम को भुगतान के विवरण, लाभार्थियों की प्रोफाइल और लेनदेन की मात्रा पर लगातार नजर रखनी होगी. किसी खाते से अचानक असामान्य संख्या में ट्रांजेक्शन होने लगें तो उसकी जांच की जानी चाहिए. इसी तरह भुगतान के विवरण या लाभार्थी की जानकारी में अचानक बदलाव दिखाई देने पर भी सतर्कता जरूरी है. ऐसे असामान्य पैटर्न की समय पर पहचान से संभावित धोखाधड़ी को रोका जा सकता है.

7. KYC और मंजूरी के बिना पैसा ट्रांसफर न हो

वित्तीय संस्थानों को यह सुनिश्चित करना होगा कि सभी जरूरी जांच और KYC प्रक्रिया पूरी होने के बाद ही फंड ट्रांसफर किया जाए. इसके साथ ही अधिकृत अधिकारियों की मंजूरी भी अनिवार्य होनी चाहिए. किसी भी ऑटोमेटेड सिस्टम को इन जरूरी प्रक्रियाओं को दरकिनार करके भुगतान करने की अनुमति नहीं दी जानी चाहिए. इससे AI एजेंट या किसी अन्य स्वचालित सिस्टम के जरिए अनधिकृत धन हस्तांतरण की आशंका कम की जा सकती है.

8. मशीन की रफ्तार वाले हमलों का अभ्यास करें

बैंकों और वित्तीय संस्थानों को अधिकृत रेड टीम अभ्यास करने की सलाह दी गई है. इसमें साइबर सुरक्षा विशेषज्ञों के जरिए मशीन की रफ्तार से होने वाले हमलों जैसी परिस्थितियां तैयार की जाती हैं. इस अभ्यास से पता लगाया जा सकता है कि बैंक का सिक्योरिटी ऑपरेशन सेंटर (SOC) और पेमेंट कंट्रोल सिस्टम किसी खतरे की पहचान कितनी तेजी से कर सकता है. साथ ही यह भी जांचा जा सकता है कि साइबर हमले की स्थिति में संस्थान कितनी जल्दी जवाबी कार्रवाई करने में सक्षम है.

बढ़ रहा साइबर अपराध का खतरा

भारत में UPI, मोबाइल बैंकिंग, ऑनलाइन लोन और फिनटेक प्लेटफॉर्म के तेजी से विस्तार ने वित्तीय लेनदेन को आसान बना दिया है. आज करोड़ों लोग मोबाइल फोन के जरिए पैसे भेजने, भुगतान करने और बैंकिंग सेवाओं का इस्तेमाल कर रहे हैं. लेकिन डिजिटल सुविधाओं के बढ़ते इस्तेमाल के साथ साइबर अपराधियों के लिए हमले के नए रास्ते भी खुल रहे हैं. अब उन्हें सिर्फ ग्राहकों को फर्जी लिंक भेजने या OTP हासिल करने तक सीमित रहने की जरूरत नहीं है. वे वित्तीय संस्थानों के डिजिटल इंफ्रास्ट्रक्चर को भी सीधे निशाना बनाने की कोशिश कर रहे हैं.

पहले साइबर अपराधियों को सिस्टम की कमजोरियों का पता लगाने, उनमें सेंध लगाने और रकम ट्रांसफर करने के लिए काफी समय और तकनीकी विशेषज्ञता की जरूरत होती थी. अब AI एजेंटों के जरिए इन प्रक्रियाओं को स्वचालित करने की क्षमता बढ़ रही है. इससे साइबर हमलों की गति और उनके संभावित प्रभाव में बढ़ोतरी हो सकती है. ऐसे में वित्तीय संस्थानों के लिए किसी हमले का पता लगाने और उसे रोकने के बीच का समय बेहद महत्वपूर्ण हो गया है.

I4C और CERT-In की ताजा एडवाइजरी इसी बदलते खतरे की ओर इशारा करती है. एजेंसियों का जोर इस बात पर है कि बैंक और फिनटेक कंपनियां सिर्फ साइबर हमले के बाद कार्रवाई करने की रणनीति पर निर्भर न रहें. उन्हें पहले से अपने सिस्टम की कमजोरियों की पहचान करनी होगी और सुरक्षा व्यवस्था मजबूत करनी होगी. सबसे बड़ी चुनौती अब सिर्फ साइबर अपराधियों की पहचान करना नहीं, बल्कि AI की मशीन जैसी तेज रफ्तार से होने वाले हमलों को समय रहते रोकना है. पेमेंट सिस्टम और फंड ट्रांसफर API की सुरक्षा में छोटी सी चूक भी वित्तीय संस्थानों को करोड़ों रुपये का नुकसान पहुंचा सकती है. ऐसे में आने वाले समय में साइबर सुरक्षा बैंकिंग और फिनटेक सेक्टर की सबसे बड़ी प्राथमिकताओं में शामिल होने जा रही है.