Bank Data Breach: देश के बैंकिंग सेक्टर पर मंडराते साइबर खतरे को देखते हुए भारतीय रिजर्व बैंक ने बेहद सख्त रुख अपनाया है. आरबीआई ने सभी बैंकों, पेमेंट सिस्टम ऑपरेटर्स समेत अपने दायरे में आने वाली तमाम वित्तीय संस्थाओं के लिए एक जरूरी एडवाइजरी जारी की है. इस निर्देश में साफ कहा गया है कि अगर किसी भी कंपनी के पासवर्ड लीक होते हैं या सिस्टम में किसी अनजान घुसपैठ की पुष्टि होती है, तो उस पूरे टेक्नोलॉजी सिस्टम को तब तक ‘असुरक्षित’ माना जाए, जब तक कि उसकी पूरी तरह से फॉरेंसिक जांच न हो जाए. आरबीआई ने ये कदम 19 अक्टूबर को उठाया है. इससे ठीक पहले इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम ने साइबर हमलों में आर्टिफिशियल इंटेलिजेंस एजेंट्स के बढ़ते इस्तेमाल को लेकर गंभीर चेतावनी दी थी.
AI एजेंट्स से कुछ ही घंटों में हो रहा खेल
साइबर सुरक्षा एजेंसी CERTIn ने 15 अक्टूबर को जारी अपनी चेतावनी में एक डराने वाला खुलासा किया था. एजेंसी ने बताया कि साइबर अपराधी अब ऐसे ऑटोनॉमस एआई टूल्स का इस्तेमाल कर रहे हैं, जो बिना किसी इंसानी मदद के खुद ही सिस्टम की कमियां ढूंढ लेते हैं. ये टूल्स अपने आप कमांड चलाते हैं और सुरक्षा की खामियों का फायदा उठाकर सिस्टम में घुस जाते हैं.
आरबीआई की एडवाइजरी के साथ जुड़ी इस रिपोर्ट में बताया गया है कि भारतीय कंपनियों के खिलाफ पैसों के लिए चलाए जा रहे इस अभियान में एआई टूल्स ने हमले का समय बहुत कम कर दिया है. पहले हैकर्स को सिस्टम में घुसने के बाद बड़ा नुकसान पहुंचाने में कई दिन लगते थे, लेकिन अब एआई एजेंट्स की मदद से ये काम कुछ ही घंटों में पूरा हो रहा है. हैकर्स एक साथ कई एआई एजेंट्स को काम पर लगाते हैं, जो जासूसी करने से लेकर संवेदनशील डेटा चुराने तक का काम आसानी से कर लेते हैं.
कंपनियों को भनक तक नहीं लगी
इस पूरे मामले में सबसे चौंकाने वाली बात ये रही कि कई भारतीय कंपनियों को ये पता ही नहीं चला कि उनके सिस्टम में एआई एजेंट्स ने सेंध लगा दी है. इस घुसपैठ का खुलासा तब हुआ, जब खुद एआई मॉडल बनाने वाली कंपनियों ने आगे आकर इसकी जानकारी दी. उन्होंने बताया कि उनके एआई सिस्टम्स ने अपनी तय सीमा से बाहर जाकर कंपनियों के लाइव बिजनेस रिकॉर्ड्स, लोगों की निजी जानकारी, गोपनीय डेटा तक पहुंच बना ली थी. हाल के हफ्तों में भारतीय वित्तीय व टेक कंपनियों पर कई साइबर हमले हुए हैं. इसी महीने की शुरुआत में ऐसी खबरें आई थीं कि करीब 20 वित्तीय संस्थानों को निशाना बनाया गया. इसमें पार्टनर बैंकों के चुराए गए पासवर्ड का इस्तेमाल किया गया. साथ ही पेमेंट व पैसा बांटने वाले एपीआई की खामियों का फायदा उठाकर कथित तौर पर फंड निकाला गया.
बैंकों को तुरंत उठाने होंगे ये सख्त कदम
आरबीआई ने वित्तीय संस्थानों से कहा है कि वे न सिर्फ अपने सिस्टम, बल्कि अपने थर्डपार्टी सर्विस प्रोवाइडर्स के साइबर सुरक्षा इंतजामों को भी मजबूत करें. इसके लिए केंद्रीय बैंक ने कुछ साफ नियम तय किए हैं.
- इंटरनेट से हटेंगे एडमिन इंटरफेस: कंपनियों को अपने मैनेजमेंट व एडमिनिस्ट्रेटिव इंटरफेस को पब्लिक इंटरनेट की पहुंच से तुरंत हटाना होगा.
- सख्त एक्सेस कंट्रोल: एडमिन एक्सेस के लिए मल्टीफैक्टर ऑथेंटिकेशन लागू करना अनिवार्य होगा. क्लाउड व बैकएंड सिस्टम का एक्सेस सिर्फ उन्हीं लोगों को मिलेगा, जिन्हें काम के लिए इसकी सबसे ज्यादा जरूरत है.
- पासवर्ड की तुरंत सफाई: सोर्स कोड, रिपॉजिटरी, कॉन्फ़िगरेशन फाइल्स, क्लाइंट ऐप्स के साथ क्लाउड स्टोरेज का ऑडिट करना होगा ताकि लीक हुए पासवर्ड का पता चल सके. जो पासवर्ड लीक हो चुके हैं, उन्हें तुरंत बदलना या सिस्टम से पूरी तरह हटाना होगा.
- पुराने API होंगे बंद: सभी संस्थानों को अपने एपीआई की पूरी लिस्ट बनानी होगी. जो एपीआई या अकाउंट्स इस्तेमाल में नहीं हैं, पुराने हो चुके हैं या सिर्फ टेस्टिंग के लिए बनाए गए थे, उन्हें तुरंत बंद करने का निर्देश दिया गया है.
रियलटाइम निगरानी व रिपोर्टिंग जरूरी
आरबीआई ने एपीआई की रियलटाइम मॉनिटरिंग को भी मजबूत करने को कहा है. बैंकों को ऐसे सिस्टम लगाने होंगे जो अचानक बढ़ने वाली ऑटोमेटेड रिक्वेस्ट, एक साथ बड़े पैमाने पर डेटा निकाले जाने या संदिग्ध अकाउंट रजिस्ट्रेशन को तुरंत पकड़ सकें. इसके अलावा, अगर ऐसी कोई भी साइबर घटना होती है, तो संस्थानों को तय समयसीमा के भीतर आरबीआई के सेंट्रल ऑफिस के साथ संबंधित रीजनल ऑफिस को इसकी जानकारी देनी होगी. सभी कंपनियों को CERTIn की सलाह का पूरा पालन करने का निर्देश दिया गया है.
