सरकार और साइबर सुरक्षा कंपनी SISA की संयुक्त ‘डिजिटल थ्रेट रिपोर्ट 2025-26’ में चेतावनी दी गई है कि साइबर अपराधी अब केवल OTP चुराने तक सीमित नहीं हैं। वे मोबाइल डिवाइस, बैंकिंग ऐप, बिजनेस लॉजिक और डिजिटल ऑनबोर्डिंग प्रक्रियाओं की कमजोरियों का फायदा उठाकर वैध दिखने वाले फर्जी लेनदेन को अंजाम दे रहे हैं।
नई दिल्ली: भारत में डिजिटल भुगतान के तेजी से बढ़ते उपयोग के साथ बैंकिंग, वित्तीय सेवाओं, बीमा (BFSI) और भुगतान प्रणाली को निशाना बनाने वाले साइबर हमले भी पहले से कहीं अधिक जटिल और संगठित हो गए हैं। सरकार और साइबर सुरक्षा कंपनी SISA द्वारा जारी डिजिटल थ्रेट रिपोर्ट 2025-26 के अनुसार, साइबर अपराधी अब सीधे बैंकिंग सिस्टम हैक करने के बजाय मोबाइल डिवाइस, भुगतान एप्लिकेशन, डिजिटल ऑनबोर्डिंग प्रक्रिया और बिजनेस लॉजिक की कमजोरियों का फायदा उठाकर धोखाधड़ी को वैध लेनदेन जैसा दिखाने में सफल हो रहे हैं।
रिपोर्ट के अनुसार, हमलावर अब डिवाइस कम्प्रोमाइज, टोकन इंटरसेप्शन, कमजोर बैकएंड वैलिडेशन और बैंकिंग एप्लिकेशन के बिजनेस लॉजिक में मौजूद खामियों का दुरुपयोग कर सुरक्षा जांच को दरकिनार कर रहे हैं। इससे बिना बैंक के मुख्य सिस्टम में सेंध लगाए भी फर्जी खाते खोलना और अवैध वित्तीय लेनदेन करना संभव हो रहा है।
रिपोर्ट में कहा गया है कि साइबर हमलों का स्वरूप बदल चुका है। पहले जहां लक्ष्य सीधे बैंकिंग नेटवर्क को हैक करना होता था, वहीं अब अपराधी मोबाइल ऑनबोर्डिंग, रियल-टाइम पेमेंट सिस्टम, API, थर्ड-पार्टी प्लेटफॉर्म और विभिन्न डिजिटल सेवाओं के बीच मौजूद भरोसे की श्रृंखला (Chain of Trust) को निशाना बना रहे हैं। रिपोर्ट के अनुसार, इन अलग-अलग प्रणालियों के बीच अक्सर कोई एक संस्था पूरी प्रक्रिया पर निगरानी नहीं रख पाती, जिसका फायदा साइबर अपराधी उठा रहे हैं।
रिपोर्ट में QR कोड फ़िशिंग, फर्जी UPI ऑनबोर्डिंग, पहचान की चोरी और कृत्रिम बुद्धिमत्ता (AI) आधारित फ्रॉड डिटेक्शन सिस्टम को भ्रमित करने के प्रयासों का भी उल्लेख किया गया है। जांच में पाया गया कि अधिकांश मामलों में सुरक्षा तंत्र इसलिए विफल हुआ क्योंकि भरोसे की प्रारंभिक प्रक्रिया का बाद में दोबारा सत्यापन नहीं किया गया।
विशेषज्ञों के अनुसार कई बैंकिंग ऑनबोर्डिंग सिस्टम डिवाइस, OTP और सुरक्षा टोकन जैसी प्रक्रियाओं का अलग-अलग सत्यापन तो करते हैं, लेकिन यह सुनिश्चित नहीं कर पाते कि पूरी प्रक्रिया वास्तविक उपयोगकर्ता द्वारा ही पूरी की गई है। इसी कमजोरी का लाभ उठाकर अपराधी अलग-अलग वैध चरणों को जोड़कर पूरी तरह वैध दिखने वाले फर्जी खाते और लेनदेन तैयार कर लेते हैं।
रिपोर्ट में यह भी चेतावनी दी गई है कि एमुलेटर डिटेक्शन, डिवाइस सिग्नल और ऑनबोर्डिंग पैटर्न जैसी सुरक्षा व्यवस्थाएं वास्तविक हमलों की परिस्थितियों में आसानी से बाईपास की जा सकती हैं। इसके अलावा API के दुरुपयोग, Insecure Direct Object References (IDOR), OTP री-यूज और Race Condition जैसी तकनीकी कमजोरियां पारंपरिक सुरक्षा परीक्षणों में अक्सर पकड़ में नहीं आतीं, जबकि साइबर अपराधी इन्हीं का सबसे अधिक फायदा उठा रहे हैं।
रिपोर्ट के अनुसार आधुनिक फ्रॉड डिटेक्शन सिस्टम सामान्य ग्राहक व्यवहार के आधार पर तैयार किए जाते हैं। इसलिए जब हमलावर पूरी तरह सामान्य उपयोगकर्ता जैसा व्यवहार करते हुए सुनियोजित तरीके से हमला करते हैं, तब ऐसे सिस्टम उन्हें पहचानने में विफल हो सकते हैं। रिपोर्ट ने यह भी कहा कि अब साइबर अपराधियों का सबसे बड़ा लक्ष्य डिजिटल पहचान (Digital Identity) बन चुकी है। यदि किसी उपयोगकर्ता की पहचान एक बार समझौता कर ली जाती है, तो उससे कई बैंकिंग और डिजिटल सेवाओं तक लगातार पहुंच हासिल की जा सकती है।
प्रख्यात साइबर अपराध विशेषज्ञ एवं पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह ने कहा कि केवल OTP आधारित सुरक्षा अब आधुनिक साइबर अपराधों के सामने पर्याप्त नहीं रह गई है। उनके अनुसार बैंक, फिनटेक कंपनियां और भुगतान सेवा प्रदाताओं को व्यवहार आधारित प्रमाणीकरण (Behavioural Authentication), डिवाइस इंटेलिजेंस, जोखिम आधारित सत्यापन, रियल-टाइम फ्रॉड एनालिटिक्स और बहु-स्तरीय पहचान सत्यापन जैसी उन्नत सुरक्षा प्रणालियों को तेजी से अपनाना होगा। उन्होंने कहा कि ग्राहकों को भी किसी अनजान ऐप को इंस्टॉल करने, स्क्रीन शेयर करने, संदिग्ध QR कोड स्कैन करने या OTP एवं बैंकिंग क्रेडेंशियल साझा करने से बचना चाहिए।
रिपोर्ट के विमोचन के दौरान आईटी सचिव एस. कृष्णन ने कहा कि साइबर खतरों की तेजी से बदलती प्रकृति को देखते हुए सरकार, उद्योग, CERT-In, CSIRT-Fin और निजी साइबर सुरक्षा संस्थाओं के बीच मजबूत सहयोग पहले से कहीं अधिक आवश्यक हो गया है। रिपोर्ट के अनुसार पिछले संस्करण में किए गए सात प्रमुख साइबर खतरे संबंधी पूर्वानुमानों में से छह अब पूरी तरह वास्तविकता बन चुके हैं, जिससे स्पष्ट है कि साइबर अपराधी पारंपरिक सुरक्षा व्यवस्थाओं की तुलना में कहीं अधिक तेजी से अपनी रणनीतियां विकसित कर रहे हैं।
