AI-ଆଧାରିତ ସାଇବର ଆକ୍ରମଣଗୁଡ଼ିକ ଦ୍ରୁତ ଗତିରେ ବୃଦ୍ଧି ପାଉଛି। ଆକ୍ରମଣକାରୀମାନେ ଅପଡେଟ୍ ହୋଇ ନଥିବା ସିଷ୍ଟମ୍ ଏବଂ APIର ଅପବ୍ୟବହାର କରି କୋଟି କୋଟି ଟଙ୍କାର ଅନଧିକୃତ ଲେଣଦେଣ କରୁଛନ୍ତି।

ଇଣ୍ଡିଆନ୍ ସାଇବର କ୍ରାଇମ କୋଡିନେସନ୍ ସେଣ୍ଟର (I4C) ର ନ୍ୟାସନାଲ ସାଇବରକ୍ରାଇମ ଥ୍ରେଟ୍ ଆନାଲିସିସ୍ ୟୁନିଟ୍ (NCTAU) ଏବଂ ଇଲେକ୍ଟ୍ରୋନିକ୍ସ ଏବଂ IT ମନ୍ତ୍ରାଳୟର CERT-In ବ୍ୟାଙ୍କ, ଅଣ-ବ୍ୟାଙ୍କିଙ୍ଗ୍ ଆର୍ଥିକ କମ୍ପାନି (NBFCs) ଏବଂ ଫିନଟେକ୍ (Fintech) କମ୍ପାନିଗୁଡ଼ିକ ବିରୁଦ୍ଧରେ ହେଉଥିବା ସାଇବର-ଆକ୍ରମଣ ଏବଂ ସେଗୁଡ଼ିକ ସହିତ ଜଡ଼ିତ ସାଇବର ଠକେଇର ଏକ ଟ୍ରେଣ୍ଡ୍ ଧରିଛନ୍ତି। ଏହାକୁ ଦୃଷ୍ଟିରେ ରଖି ଗୃହ ମନ୍ତ୍ରାଳୟର I4C ପକ୍ଷରୁ ବ୍ୟାଙ୍କ, NBFC ଏବଂ ଫିନଟେକ୍ କମ୍ପାନିଗୁଡ଼ିକୁ ଏକ ଆଡଭାଇଜରୀ ଜାରି କରାଯାଇଛି, ଯାହାଫଳରେ ଏହି ଆକ୍ରମଣଗୁଡ଼ିକ ଉପରେ ରୋକ୍ ଲଗାଯାଇପାରିବ।

ମନ୍ତ୍ରାଳୟ ପକ୍ଷରୁ ବ୍ୟାଙ୍କ ଏବଂ ଅନ୍ୟାନ୍ୟ ଆର୍ଥିକ ପ୍ରତିଷ୍ଠାନଗୁଡ଼ିକୁ ଦୈନନ୍ଦିନ ଏବଂ ପ୍ରତି-ଲେଣଦେଣ ଉପରେ ସୀମା ସ୍ଥିର କରିବା ପାଇଁ ନିର୍ଦ୍ଦେଶ ଜାରି କରାଯାଇଛି। ଏହି ସାଇବର ଆକ୍ରମଣଗୁଡ଼ିକ ଆର୍ଥିକ ଲାଭ ପାଇଁ କରାଯାଉଛି ଏବଂ ଏଥିରେ ଆର୍ଟିଫିସିଆଲ୍ ଇଣ୍ଟେଲିଜେନ୍ସ (AI) ଏଜେଣ୍ଟମାନଙ୍କର ବ୍ୟବହାର କରାଯାଉଛି, ଯାହାଦ୍ୱାରା ଏହି ଆକ୍ରମଣଗୁଡ଼ିକ ଅତ୍ୟନ୍ତ ଦ୍ରୁତ ଗତିରେ ହୋଇଥାଏ। କିଛି ମାମଲାରେ ପାଣ୍ଠି ବଣ୍ଟନ ପ୍ରଣାଳୀ ଏବଂ API ଜରିଆରେ କୋଟି କୋଟି ଟଙ୍କାର ଅନଧିକୃତ ଟ୍ରାଞ୍ଜାକ୍ସନ୍ କରାଯାଇଛି।

ଆକ୍ରମଣକାରୀମାନେ କିପରି କାମ କରନ୍ତି?

ଆକ୍ରମଣକାରୀମାନେ ଏଭଳି ସଫ୍ଟୱେର ସୁଯୋଗ ନିଅନ୍ତି ଯାହାକୁ ଅପଡେଟ୍ କରାଯାଇ ନାହିଁ, କିମ୍ବା ଏଭଳି ଇଣ୍ଟରନେଟ୍-ଏକ୍ସପୋଜ୍ଡ IT ସିଷ୍ଟମ୍ ବ୍ୟବହାର କରନ୍ତି ଯାହାକୁ ଭୁଲ୍ ପଦ୍ଧତିରେ କନଫିଗର୍ କରାଯାଇଛି। ଏଥିରେ ଗ୍ରାହକମାନଙ୍କ ପାଇଁ ଥିବା ଅଭିଯୋଗ ଇଣ୍ଟରଫେସ୍ ମଧ୍ୟ ସାମିଲ ହୋଇପାରେ। ଏହାପରେ, ହ୍ୟାକର୍ ଅଟୋମେଟେଡ୍ ପାଣ୍ଠି ବଣ୍ଟନ ପ୍ରଣାଳୀ କିମ୍ବା ପେମେଣ୍ଟ ଏବଂ ପାଣ୍ଠି ସ୍ଥାନାନ୍ତର ପାଇଁ ବ୍ୟବହୃତ ବିଶେଷ ଇଣ୍ଟରଫେସ୍ (API) କୁ ଟାର୍ଗେଟ୍ କରନ୍ତି। ‘ଏଜେଣ୍ଟିକ୍ AI ଫ୍ରେମୱାର୍କ୍’ (Agentic AI Framework) ର ବ୍ୟବହାର ଯୋଗୁଁ ଏହି ଆକ୍ରମଣଗୁଡ଼ିକ ମେସିନ୍ ଗତିରେ ହୋଇପାରେ।

ଟଙ୍କାଗୁଡ଼ିକୁ ବିଭିନ୍ନ ବ୍ୟାଙ୍କରେ ଥିବା “ମ୍ୟୁଲ୍” ଆକାଉଣ୍ଟକୁ ପଠାଯାଏ ଏବଂ ତତକ୍ଷଣାତ IMPS/NEFT ଜରିଆରେ ଆଗକୁ ଟ୍ରାନ୍ସଫର କରିଦିଆଯାଏ କିମ୍ବା ବାହାର କରିଦିଆଯାଏ। ପରିଶେଷରେ, ଆକ୍ରମଣକାରୀମାନେ ରେକର୍ଡଗୁଡ଼ିକୁ ଡିଲିଟ୍ କରିଦିଅନ୍ତି ଏବଂ ନିଜର ଚିହ୍ନବର୍ଣ୍ଣ ମଧ୍ୟ ଲିଭାଇ ଦିଅନ୍ତି, ଯାହାଫଳରେ ମାମଲାର ଯାଞ୍ଚ କରିବା କଷ୍ଟକର ହୋଇପଡ଼େ।

ପ୍ରତିରୋଧ ପାଇଁ ଆର୍ଥିକ ପ୍ରତିଷ୍ଠାନଗୁଡ଼ିକ କ’ଣ କରିବା ଉଚିତ୍?

ସମସ୍ତ ବ୍ୟାଙ୍କ, NBFCs, ଫିନଟେକ୍ କମ୍ପାନି, ପେମେଣ୍ଟ ଏଗ୍ରିଗେଟର୍ସ/ଗେଟୱେ ଏବଂ ଅନ୍ୟାନ୍ୟ ଆର୍ଥିକ ପ୍ରତିଷ୍ଠାନଗୁଡ଼ିକୁ ପରାମର୍ଶ ଦିଆଯାଇଛି ଯେ ସେମାନେ ପ୍ରାଥମିକତା ଆଧାରରେ CERT-In ର ଆଡଭାଇଜରୀରେ ଅନଧିକୃତ ପାଣ୍ଠି ସ୍ଥାନାନ୍ତର ପାଇଁ ପେମେଣ୍ଟ ଏବଂ ଡିସବର୍ସମେଣ୍ଟ API ର ଅପବ୍ୟବହାର କରୁଥିବା ଥ୍ରେଟ୍ ଆକ୍ଟର୍ସ ଏବଂ CERT-In ର ଆଡଭାଇଜରୀରେ ବର୍ଣ୍ଣିତ ଉପାୟଗୁଡ଼ିକୁ ଲାଗୁ କରନ୍ତୁ। ନିଜର ସୁରକ୍ଷା ବ୍ୟବସ୍ଥାକୁ CERT-In ର ଡିଜିଟାଲ୍ ଇନଫ୍ରାଷ୍ଟ୍ରକ୍ଚରରେ AI-ଆଧାରିତ ଦୁର୍ବଳତାଗୁଡ଼ିକର ଅପବ୍ୟବହାରକୁ ହ୍ରାସ କରିବା ଏବଂ ସେଗୁଡ଼ିକରୁ ବଞ୍ଚିବା ପାଇଁ ବ୍ଲୁପ୍ରିଣ୍ଟ୍ (ମଇ ୨୦୨୬) ଏବଂ ସେମାନଙ୍କ ସମ୍ପୃକ୍ତ ନିୟାମକ (Regulator) ଦ୍ୱାରା ନିର୍ଦ୍ଧାରିତ ସାଇବର ସୁରକ୍ଷା ଫ୍ରେମୱାର୍କ୍ ଅନୁଯାୟୀ ପ୍ରସ୍ତୁତ କରନ୍ତୁ।

ଯେକୌଣସି ସାଇବର ଘଟଣା ସାମ୍ନାକୁ ଆସିବାର ୬ ଘଣ୍ଟା ମଧ୍ୟରେ CERT-In କୁ ଏହାର ରିପୋର୍ଟ ଦିଅନ୍ତୁ। ବ୍ୟାଙ୍କ ଏବଂ NBFCs ମାନଙ୍କ ପାଇଁ ଘଟଣାଟି ଜଣାପଡ଼ିବାର ଛଅ ଘଣ୍ଟା ମଧ୍ୟରେ RBI ର DAKSH ପୋର୍ଟାଲରେ ରିପୋର୍ଟ କରିବା ବାଧ୍ୟତାମୂଳକ ଅଟେ। NBFCs ଏବଂ ଫିନଟେକ୍ କମ୍ପାନିଗୁଡ଼ିକ ଠକେଇ ହୋଇଥିବା ଟ୍ରାଞ୍ଚାକ୍ସନ୍ଗୁଡ଼ିକର ବଲ୍କ ରିପୋର୍ଟିଂ ପାଇଁ NCRP-CFCFRMS ପୋର୍ଟାଲରେ I4C ସହିତ ଯୋଗାଯୋଗ କରିପାରିବେ, ଯାହାଫଳରେ ଠକେଇ କରି ବାହାର କରାଯାଇଥିବା ଟଙ୍କାକୁ ଫ୍ରିଜ୍ କରାଯାଇପାରିବ।

ସୁରକ୍ଷା ପାଇଁ ଅତିରିକ୍ତ ପଦକ୍ଷେପ

ପେମେଣ୍ଟ ପାଇଁ ବ୍ୟବହୃତ ହେଉଥିବା ସମସ୍ତ ଡିଜିଟାଲ୍ ଇଣ୍ଟରଫେସ୍ (API) ର ଏକ ସମ୍ପୂର୍ଣ୍ଣ ତାଲିକା ରଖନ୍ତୁ ଏବଂ ପୁରୁଣା, ବ୍ୟବହାର ହେଉ ନଥିବା କିମ୍ବା ଟେଷ୍ଟ୍ ଇଣ୍ଟରଫେସ୍ ଗୁଡ଼ିକୁ ହଟାଇ ଦିଅନ୍ତୁ କିମ୍ବା ବନ୍ଦ କରିଦିଅନ୍ତୁ। 

• API ଆକ୍ରମଣର ଆଶଙ୍କାକୁ ପୂର୍ବରୁ ହ୍ରାସ କରିବା ପାଇଁ, ବ୍ୟାଙ୍କର ‘ଚିଫ୍ ଇନଫର୍ମେସନ୍ ସିକ୍ୟୁରିଟି ଅଫିସର୍’ (CISO) ଟିମ୍, ‘ଟ୍ରାଞ୍ଜାକ୍ସନ୍ ମନିଟରିଂ’ ଟିମ୍ ଏବଂ IT ଟିମ୍ ଏକାଠି ମିଶି କାମ କରିବା ଉଚିତ୍। 

• ଦୈନନ୍ଦିନ ଏବଂ ପ୍ରତି-ଲେଣଦେଣ (ପର-ଟ୍ରାଞ୍ଚାକ୍ସନ୍) ସୀମା ସ୍ଥିର କରନ୍ତୁ, ହିତାଧିକାରୀଙ୍କ ନାମ ଏବଂ ଖାତାର ଯାଞ୍ଚ କରନ୍ତୁ, ଏବଂ ଅସ୍ୱାଭାବିକ ଗତିରେ ହେଉଥିବା ଲେଣଦେଣ ଉପରେ ନଜର ରଖନ୍ତୁ। 

• ବ୍ୟାଙ୍କଗୁଡ଼ିକ ଏହା ଯାଞ୍ଚ କରନ୍ତୁ ଯେ ଅଣ-ଶ୍ୱେତସୂଚୀଭୁକ୍ତ IP ରୁ NBFC ର ଆକ୍ସେସ୍ ଟୋକନ୍ ଗୁଡ଼ିକ ଫେଲ୍ ହେଉଛି କି ନାହିଁ। 

• ଯେକୌଣସି ସମ୍ଭାବ୍ୟ ଅନୁପ୍ରବେଶ ପ୍ରୟାସକୁ ରୋକିବା ପାଇଁ, ଗ୍ରାହକମାନଙ୍କ ସହିତ ଜଡ଼ିତ ଏବଂ ଅଭିଯୋଗ ଗ୍ରହଣ କରୁଥିବା ଇନଫ୍ରାଷ୍ଟ୍ରକ୍ଚରକୁ ମଜଭୁତ କରନ୍ତୁ। ସିଷ୍ଟମ୍ ଭିତରେ ଅନଧିକୃତ କାର୍ଯ୍ୟକଳାପକୁ ରୋକିବା ପାଇଁ, ସୁରକ୍ଷିତ ଆର୍କିଟେକ୍ଚରର ଗଭୀର ସମୀକ୍ଷା କରାଯିବା ଉଚିତ୍। 

• ଟ୍ରାଞ୍ଜାକ୍ସନ୍ ମନିଟରିଂ ଟିମ୍ ଲେଣଦେଣର ବିବରଣୀ ପ୍ୟାଟର୍ଣ୍ଣ, ହିତାଧିକାରୀ ପ୍ରୋଫାଇଲ୍ କିମ୍ବା ଲେଣଦେଣର ପରିମାଣରେ ହେଉଥିବା ହଠାତ୍ ପରିବର୍ତ୍ତନଗୁଡ଼ିକ ଉପରେ ନଜର ରଖିବା ଉଚିତ୍। 

• ଏହା ନିଶ୍ଚିତ କରନ୍ତୁ ଯେ ଯେପର୍ଯ୍ୟନ୍ତ ସମସ୍ତ ଜରୁରୀ ଯାଞ୍ଚ (ଯେପରିକି KYC, ଅପ୍ରୁଭାଲ୍ ଇତ୍ୟାଦି) ସମ୍ପୂର୍ଣ୍ଣ ନ ହୋଇଛି, ସେପର୍ଯ୍ୟନ୍ତ ଟଙ୍କା ପଠାଯାଉ ନାହିଁ। 

• ଅଧିକୃତ ‘ରେଡ୍-ଟିମ୍’ ଅଭ୍ୟାସ (red-team exercises) କରନ୍ତୁ, ଯାହା ମେସିନ୍ ଗତିରେ ହେଉଥିବା ଆକ୍ରମଣଗୁଡ଼ିକର ଅନୁକରଣ କରୁଥାଏ। ଏହାଦ୍ୱାରା ଏହା ଯାଞ୍ଚ କରାଯାଇପାରିବ ଯେ SOC ଏବଂ ପେମେଣ୍ଟ କଣ୍ଟ୍ରୋଲ୍ ସିଷ୍ଟମ୍ କେତେଶୀଘ୍ର ପ୍ରତିକ୍ରିୟା ଦେଉଛନ୍ତି।