देश के बैंकिंग सेक्टर पर मंडराते गंभीर साइबर खतरे को देखते हुए भारतीय रिजर्व बैंक (RBI) ने बेहद सख्त रुख अपना लिया है। केंद्रीय बैंक ने सभी बैंकों, पेमेंट सिस्टम ऑपरेटर्स समेत अपने दायरे में आने वाली तमाम वित्तीय संस्थाओं के लिए एक जरूरी एडवाइजरी जारी की है। इस निर्देश में साफ तौर पर कहा गया है कि अगर किसी भी कंपनी के पासवर्ड यानी क्रेडेंशियल्स लीक होते हैं या सिस्टम में किसी भी प्रकार की अनजान घुसपैठ की पुष्टि होती है, तो उस पूरे टेक्नोलॉजी सिस्टम को तब तक असुरक्षित यानी कॉम्प्रोमाइज्ड माना जाए, जब तक कि उसकी पूरी तरह से फॉरेंसिक जांच न हो जाए और भारतीय रिजर्व बैंक ने यह कड़ा कदम 19 अक्टूबर को उठाया है।
आरबीआई के इस कदम से ठीक पहले इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम यानी CERT-In ने साइबर हमलों में आर्टिफिशियल इंटेलिजेंस यानी एआई एजेंट्स के बढ़ते इस्तेमाल को लेकर एक बेहद गंभीर चेतावनी जारी की थी। साइबर सुरक्षा एजेंसी CERT-In ने 15 अक्टूबर को जारी अपनी चेतावनी में एक डराने वाला खुलासा किया था। एजेंसी ने देश को आगाह किया था कि साइबर अपराधी अब ऐसे ऑटोनॉमस एआई टूल्स का धड़ल्ले से इस्तेमाल कर रहे हैं, जो बिना किसी इंसानी मदद के खुद ही सिस्टम की अंदरूनी कमियां ढूंढ लेते हैं। ये एआई टूल्स अपने आप कमांड चलाते हैं और सुरक्षा की तमाम खामियों का फायदा उठाकर सीधे सिस्टम के भीतर घुस जाते हैं।
भारतीय रिजर्व बैंक की इस नई एडवाइजरी के साथ जुड़ी रिपोर्ट में यह बात सामने आई है कि भारतीय कंपनियों के खिलाफ पैसों के लिए चलाए जा रहे इस खतरनाक अभियान में एआई टूल्स ने साइबर हमलों का समय बहुत ज्यादा कम कर दिया है। पुराने दौर में हैकर्स को किसी सिस्टम में घुसपैठ करने के बाद बड़ा नुकसान पहुंचाने में कई दिन या हफ्ते लग जाते थे, लेकिन अब आधुनिक एआई एजेंट्स की मदद से यह पूरा और जटिल काम केवल कुछ ही घंटों के भीतर पूरा हो रहा है। शातिर हैकर्स एक साथ कई एआई एजेंट्स को काम पर लगा देते हैं, जो चुपचाप जासूसी करने से लेकर बेहद संवेदनशील डेटा चुराने तक का काम बहुत आसानी से कर लेते हैं।
भारतीय कंपनियों को नहीं लगी भनक
इस पूरे और हैरान करने वाले मामले में सबसे चौंकाने वाली बात यह रही कि कई बड़ी भारतीय कंपनियों को इस बात की भनक तक नहीं लगी कि उनके सुरक्षित सिस्टम में एआई एजेंट्स ने चुपचाप सेंध लगा ली है। इस खतरनाक घुसपैठ का खुलासा तब जाकर हुआ, जब खुद एआई मॉडल बनाने वाली बड़ी कंपनियों ने आगे आकर इसकी आधिकारिक जानकारी दी और उन्होंने देश के सामने खुलासा किया कि उनके अपने एआई सिस्टम्स ने अपनी तय सीमा से बाहर जाकर कंपनियों के लाइव बिजनेस रिकॉर्ड्स, आम लोगों की निजी जानकारी और बेहद गोपनीय डेटा तक अपनी पहुंच बना ली थी।
हाल के हफ्तों में भारतीय वित्तीय और टेक्नोलॉजी कंपनियों पर एक के बाद एक कई साइबर हमले दर्ज किए गए हैं। इसी महीने की शुरुआत में ऐसी पुख्ता खबरें सामने आई थीं कि करीब 20 वित्तीय संस्थानों को सीधे तौर पर निशाना बनाया गया था। इस दौरान इन हमलों में पार्टनर बैंकों के चुराए गए पासवर्ड का बड़े पैमाने पर इस्तेमाल किया गया था। इसके साथ ही पेमेंट और पैसा बांटने वाले एपीआई यानी API की तकनीकी खामियों का फायदा उठाकर कथित तौर पर भारी मात्रा में फंड निकाले जाने का मामला भी सामने आया था।
बैंकों को तुरंत उठाने होंगे ये सख्त कदम
बढ़ते खतरों को देखते हुए भारतीय रिजर्व बैंक ने सभी वित्तीय संस्थानों को यह सख्त निर्देश दिया है कि वे न केवल अपने खुद के सिस्टम, बल्कि अपने थर्ड-पार्टी सर्विस प्रोवाइडर्स के साइबर सुरक्षा इंतजामों को भी तुरंत मजबूत करें। इसके लिए केंद्रीय बैंक ने कुछ बहुत ही स्पष्ट और कड़े नियम तय किए हैं, जिनका पालन करना हर संस्थान के लिए अनिवार्य कर दिया गया है।
- इंटरनेट से हटेंगे एडमिन इंटरफेस: सभी कंपनियों को अपने मैनेजमेंट और एडमिनिस्ट्रेटिव इंटरफेस को पब्लिक इंटरनेट की सीधी पहुंच से तुरंत हटाना होगा ताकि बाहरी खतरों को रोका जा सके।
- सख्त एक्सेस कंट्रोल: एडमिन एक्सेस के लिए मल्टी-फैक्टर ऑथेंटिकेशन यानी MFA लागू करना पूरी तरह से अनिवार्य होगा। क्लाउड और बैकएंड सिस्टम का एक्सेस केवल उन्हीं चुनिंदा लोगों को मिलेगा, जिन्हें अपने आधिकारिक काम के लिए इसकी सबसे ज्यादा जरूरत है।
- पासवर्ड की तुरंत सफाई: सोर्स कोड, रिपॉजिटरी, कॉन्फ़िगरेशन फाइल्स, क्लाइंट ऐप्स के साथ-साथ क्लाउड स्टोरेज का गहन ऑडिट करना होगा ताकि किसी भी लीक हुए पासवर्ड का समय रहते पता लगाया जा सके। जो पासवर्ड पहले ही लीक हो चुके हैं, उन्हें तुरंत बदलना होगा या सिस्टम से हमेशा के लिए पूरी तरह हटाना होगा।
- पुराने API होंगे बंद: देश के सभी संस्थानों को अपने सभी एपीआई की एक पूरी लिस्ट बनानी होगी। जो एपीआई या अकाउंट्स अब इस्तेमाल में नहीं हैं, जो पुराने हो चुके हैं या जिन्हें केवल टेस्टिंग के उद्देश्य से बनाया गया था, उन्हें तुरंत प्रभाव से बंद करने का सख्त निर्देश दिया गया है।
रियल-टाइम निगरानी और रिपोर्टिंग जरूरी
भारतीय रिजर्व बैंक ने एपीआई की रियल-टाइम मॉनिटरिंग प्रक्रिया को भी पहले से कहीं अधिक मजबूत करने को कहा है। बैंकों और वित्तीय संस्थानों को ऐसे उन्नत सिस्टम लगाने होंगे जो अचानक बढ़ने वाली ऑटोमेटेड रिक्वेस्ट, एक साथ बड़े पैमाने पर डेटा निकाले जाने की कोशिशों या किसी भी संदिग्ध अकाउंट रजिस्ट्रेशन को तुरंत पकड़ सकें। इसके अलावा, यदि ऐसी कोई भी अप्रिय साइबर घटना घटित होती है, तो संबंधित संस्थानों को तय समयसीमा के भीतर भारतीय रिजर्व बैंक के सेंट्रल ऑफिस के साथ-साथ संबंधित क्षेत्रीय कार्यालय यानी रीजनल ऑफिस को इसकी पूरी जानकारी देनी होगी। सभी कंपनियों को CERT-In की तरफ से जारी की गई सलाह का अक्षरशः पालन करने का सख्त निर्देश दिया गया है।