AI Powered Cyber Attacks on Banks India : AI से बैंकों के पेमेंट सिस्टम पर साइबर हमले का खतरा, I4C ने 6 घंटे में रिपोर्ट देने का निर्देश दिया
I4C और CERT-In ने AI आधारित साइबर हमलों को लेकर बैंकों, NBFCs और फिनटेक कंपनियों को अलर्ट किया है। हैकर्स पेमेंट API के जरिए अनधिकृत लेनदेन कर रहे हैं। संस्थानों को साइबर हमले की जानकारी छह घंटे के भीतर देनी होगी।
AI Powered Cyber Attacks on Banks India : आर्टिफिशियल इंटेलिजेंस (AI) का इस्तेमाल अब साइबर अपराधी बैंकों, नॉन-बैंकिंग फाइनेंशियल कंपनियों (NBFCs) और फिनटेक कंपनियों के सिस्टम में सेंध लगाने के लिए कर रहे हैं। केंद्रीय गृह मंत्रालय के तहत आने वाले इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) ने इस खतरे को लेकर वित्तीय संस्थानों को अलर्ट किया है। एजेंसी के मुताबिक, हैकर्स AI एजेंट्स की मदद से पेमेंट सिस्टम और फंड ट्रांसफर इंटरफेस को निशाना बना रहे हैं। कुछ मामलों में इन माध्यमों से करोड़ों रुपये के अनधिकृत लेनदेन किए गए हैं।I4C की नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) ने इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय के तहत आने वाली भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) के साथ मिलकर यह एडवाइजरी जारी की है। इसमें वित्तीय संस्थानों से गंभीर स्तर के साइबर सुरक्षा अलर्ट में बताए गए उपायों को तुरंत लागू करने को कहा गया है।
AI एजेंट्स से साइबर हमले की रफ्तार बढ़ी
CERT-In ने 4 नवंबर 2026 को जारी अपने क्रिटिकल अलर्ट में इस अभियान के लिए जिम्मेदार साइबर खतरे को 'CRAFTY FALCON' नाम दिया है। एजेंसी के मुताबिक, यह AI की मदद से काम करने वाला वित्तीय साइबर खतरा है। हमलावर मशीन इंटेलिजेंस से अपने टारगेट की कमजोरियों का पता लगाते हैं और फिर उसी वित्तीय संस्थान के पेमेंट और फंड डिस्बर्समेंट API का इस्तेमाल कर अनधिकृत लेनदेन करते हैं।एजेंसी ने बताया कि हमलावर कई सार्वजनिक रूप से उपलब्ध AI आधारित टूल्स का इस्तेमाल कर रहे हैं। इनमें ARTEX, PentAGI, Cairn और CyberStrikeAI जैसे टूल्स शामिल हैं। ये टूल्स सिस्टम की जांच करने, हमले के तरीके तैयार करने और टारगेट के जवाब के अनुसार उनमें बदलाव करने जैसे काम ऑटोमेट कर सकते हैं। इससे ऐसे हमले कुछ ही समय में पूरे हो सकते हैं और बैंक या वित्तीय संस्थान को गड़बड़ी पहचानने का कम समय मिलता है।
सिस्टम में सेंध लगाकर पेमेंट API को निशाना बनाते हैं हैकर्स
CERT-In के मुताबिक, हमलावर पुराने सॉफ्टवेयर, अपडेट नहीं किए गए सिस्टम, इंटरनेट से जुड़े कमजोर सर्वर और गलत तरीके से कॉन्फिगर किए गए IT सिस्टम का फायदा उठाते हैं। ग्राहकों के लिए बने ऑनलाइन प्लेटफॉर्म और शिकायत दर्ज करने वाले इंटरफेस भी हमले का रास्ता बन सकते हैं।सिस्टम में प्रवेश मिलने के बाद हैकर्स ऑटोमेटेड फंड डिस्बर्समेंट सिस्टम और एप्लिकेशन प्रोग्रामिंग इंटरफेस (API) को निशाना बनाते हैं। API ऐसे तकनीकी माध्यम होते हैं, जिनकी मदद से अलग-अलग सॉफ्टवेयर और सिस्टम आपस में डेटा साझा करते हैं और पेमेंट या फंड ट्रांसफर जैसे काम पूरे करते हैं।
वित्तीय संस्थानों में इन्हीं API के जरिए लोन की रकम जारी करने और दूसरे खातों में पैसा भेजने जैसी प्रक्रियाएं पूरी होती हैं। CERT-In की 9 अक्टूबर की एडवाइजरी में बताया गया था कि हमलावर पेमेंट गेटवे और पार्टनर बैंकों से जुड़े API के लॉगिन क्रेडेंशियल चुराकर सीधे फंड ट्रांसफर कर सकते हैं। इस दौरान वे लोन बनाने, KYC, मंजूरी, लाभार्थी की जांच और ट्रांजैक्शन लिमिट जैसी सामान्य सुरक्षा प्रक्रियाओं को भी दरकिनार कर सकते हैं।
म्यूल अकाउंट में भेजते हैं रकम, फिर मिटाते हैं डिजिटल सबूत
हमले के दौरान निकाली गई रकम को अपराधी 'म्यूल अकाउंट' में भेजते हैं। ये ऐसे बैंक खाते होते हैं, जिनका इस्तेमाल ठगी से मिले पैसे को प्राप्त करने और अलग-अलग खातों में आगे ट्रांसफर करने के लिए किया जाता है। इसके बाद रकम को इमीडिएट पेमेंट सर्विस (IMPS) और नेशनल इलेक्ट्रॉनिक फंड ट्रांसफर (NEFT) के जरिए तेजी से दूसरे खातों में भेज दिया जाता है या निकाल लिया जाता है।एडवाइजरी के मुताबिक, हमलावर इसके बाद ट्रांजैक्शन रिकॉर्ड मिटाने और अपने डिजिटल निशान छिपाने की कोशिश करते हैं। इससे जांच एजेंसियों के लिए हमले का स्रोत पता लगाना और ठगी की रकम वापस हासिल करना मुश्किल हो जाता है।
वित्तीय संस्थानों को 6 घंटे में देनी होगी रिपोर्ट
I4C और CERT-In ने बैंकों, NBFCs, फिनटेक कंपनियों और पेमेंट एग्रीगेटर्स को CERT-In की 9 अक्टूबर 2026 की एडवाइजरी में बताए गए सुरक्षा उपाय लागू करने को कहा है। संस्थानों को पेमेंट से जुड़े सभी API की पूरी सूची तैयार रखनी होगी और पुराने, इस्तेमाल में नहीं आने वाले या केवल टेस्टिंग के लिए बनाए गए API बंद करने होंगे।इसके अलावा, संस्थानों को हर ट्रांजैक्शन और रोजाना होने वाले भुगतान की सीमा तय करने, लाभार्थी के नाम की पुष्टि करने और असामान्य तेजी से हो रहे लेनदेन पर नजर रखने की सलाह दी गई है। चीफ इंफॉर्मेशन सिक्योरिटी ऑफिसर (CISO), ट्रांजैक्शन मॉनिटरिंग टीम और IT विभाग के बीच तालमेल मजबूत करने पर भी जोर दिया गया है।
साइबर हमले का पता चलने के छह घंटे के भीतर सभी संबंधित वित्तीय संस्थानों को CERT-In को इसकी जानकारी देनी होगी। बैंकों और NBFCs को इसी समयसीमा में भारतीय रिजर्व बैंक (RBI) के DAKSH पोर्टल पर भी घटना की रिपोर्ट करनी होगी। संस्थानों को अपने क्षेत्र के नियामक की ओर से तय साइबर सुरक्षा नियमों का पालन करने के साथ AI आधारित कमजोरियों से बचाव के लिए CERT-In के मई 2026 के ब्लूप्रिंट के अनुरूप सुरक्षा व्यवस्था भी मजबूत करनी होगी।
SBI के ग्राहकों का डेटा लीक, RBI ने भी बैंकों को चेताया
I4C का यह अलर्ट ऐसे समय आया है, जब देश में वित्तीय संस्थानों पर साइबर हमलों की घटनाएं सामने आ रही हैं। अक्टूबर 2026 में भारतीय स्टेट बैंक (SBI) ने ग्राहकों के डेटा लीक होने की घटना की जानकारी दी थी। बैंक के मुताबिक, 3,897 ग्राहकों के रिकॉर्ड में व्यक्तिगत पहचान से जुड़ी जानकारी उजागर हुई थी। बैंक ने कहा था कि इस घटना का उसके कारोबारी कामकाज पर कोई बड़ा असर नहीं पड़ा।इससे पहले 16 अक्टूबर को CERT-In ने बताया था कि परीक्षण के दौरान कुछ AI एजेंट्स ने अपनी तय अनुमति से आगे बढ़कर भारतीय कंपनियों के लाइव सिस्टम तक पहुंच बनाई और गोपनीय रिकॉर्ड देखे। प्रभावित कंपनियों को इन गतिविधियों का पता खुद नहीं चला था। एजेंसी ने यह भी बताया कि साइबर अपराधी वित्तीय फायदे के लिए खुले तौर पर उपलब्ध AI टूल्स का इस्तेमाल कर भारतीय सिस्टम में सेंध लगा रहे हैं।
वहीं, रॉयटर्स की 30 अक्टूबर की रिपोर्ट के मुताबिक, RBI ने बैंकों की साइबर सुरक्षा व्यवस्था की जांच तेज कर दी है। उसने वित्तीय संस्थानों से मौजूदा सुरक्षा नियमों के पालन का सबूत और AI से जुड़े संभावित खतरों से निपटने की तैयारी का ब्योरा मांगा है। अमेरिका और ब्रिटेन समेत कई देशों के नियामक भी AI से जुड़े जोखिमों पर निगरानी बढ़ा रहे हैं।
तीन साल में 56 हजार करोड़ रुपये से ज्यादा की साइबर ठगी
गृह मंत्रालय के आंकड़ों के मुताबिक, I4C के नेशनल साइबर क्राइम रिपोर्टिंग पोर्टल (NCRP) और सिटिजन फाइनेंशियल साइबर फ्रॉड रिपोर्टिंग एंड मैनेजमेंट सिस्टम (CFCFRMS) पर वित्त वर्ष 2023-24 से 2025-26 के बीच 53.87 लाख से ज्यादा साइबर फ्रॉड की शिकायतें दर्ज हुईं।इसी अवधि में 1.81 लाख से ज्यादा FIR दर्ज की गईं और शिकायतों में शामिल रकम 56,087 करोड़ रुपये से अधिक रही। इसमें से 9,079 करोड़ रुपये से ज्यादा की राशि पर लियन मार्क किया गया, जबकि 206 करोड़ रुपये से अधिक रकम पीड़ितों को वापस की गई। लियन मार्क होने का मतलब है कि संबंधित रकम पर रोक लगा दी गई है, ताकि उसे आगे निकाला या ट्रांसफर न किया जा सके। ये आंकड़े सभी तरह की साइबर वित्तीय ठगी से जुड़ी शिकायतों के हैं, केवल AI आधारित हमलों के नहीं।
FAQ (Frequently Asked Questions):
I4C ने बैंकों और फिनटेक कंपनियों को AI साइबर अटैक को लेकर चेतावनी क्यों दी?
I4C ने चेतावनी दी है क्योंकि साइबर अपराधी AI एजेंट्स की मदद से बैंकों और वित्तीय संस्थानों के सिस्टम में सेंध लगाकर पेमेंट API के जरिए करोड़ों रुपये के अनधिकृत लेनदेन कर रहे हैं।
AI Agents की मदद से साइबर अपराधी बैंकिंग सिस्टम को कैसे निशाना बना रहे हैं?
AI एजेंट्स की मदद से अपराधी सिस्टम की कमजोरियों का पता लगाते हैं, API तक पहुंच बनाते हैं और ऑटोमेटेड फंड ट्रांसफर के जरिए रकम दूसरे खातों में भेजते हैं।
Machine-Speed Fraud क्या होता है?
जब AI और ऑटोमेटेड सिस्टम की मदद से बहुत कम समय में बड़ी संख्या में धोखाधड़ी वाले लेनदेन किए जाते हैं, तो इसे मशीन-स्पीड फ्रॉड कहा जाता है।
Payment API के जरिए साइबर ठगी कैसे की जा सकती है?
हैकर्स पेमेंट API के लॉगिन क्रेडेंशियल चुराकर या सिस्टम की कमजोरियों का फायदा उठाकर बिना अनुमति के फंड ट्रांसफर कर सकते हैं। इससे सामान्य सुरक्षा जांच को भी दरकिनार किया जा सकता है।
I4C क्या है और यह किस मंत्रालय के अंतर्गत काम करता है?
I4C यानी इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर केंद्रीय गृह मंत्रालय के अंतर्गत काम करता है। इसका उद्देश्य देश में साइबर अपराध से निपटने के लिए विभिन्न एजेंसियों के बीच समन्वय और कार्रवाई को मजबूत करना है।
बैंक AI आधारित साइबर हमलों से कैसे बच सकते हैं?
बैंक और वित्तीय संस्थान अपने सॉफ्टवेयर अपडेट रखें, कमजोर और पुराने API बंद करें, ट्रांजैक्शन लिमिट तय करें, लाभार्थी के नाम की पुष्टि करें और असामान्य लेनदेन की लगातार निगरानी करें।
डिजिटल पेमेंट करते समय ग्राहकों को किन बातों का ध्यान रखना चाहिए?
ग्राहकों को OTP, UPI PIN और बैंकिंग पासवर्ड किसी के साथ साझा नहीं करना चाहिए। पैसे भेजने से पहले लाभार्थी का नाम और रकम जांचनी चाहिए। किसी संदिग्ध लेनदेन या साइबर ठगी की स्थिति में तुरंत बैंक को सूचित करें और हेल्पलाइन नंबर 1930 पर शिकायत दर्ज कराएं।
