बैंकों के लिए उभरते साइबर खतरों की चेतावनी: नवीनतम डिजिटल थ्रेट रिपोर्ट

नई दिल्ली: भारत के BFSI क्षेत्र के लिए जारी डिजिटल थ्रेट रिपोर्ट 2025-26 में चेतावनी दी गई है कि बैंकों और वित्तीय संस्थानों के लिए पूर्वानुमानित सात उभरते साइबर खतरों में से छह ने पहले ही अपने पूर्ण स्वरूप में प्रकट हो चुके हैं। इसमें आर्टिफिशियल इंटेलिजेंस, चोरी की पहचान और हेरफेर किए गए भुगतान कार्यप्रवाह शामिल हैं, जो हमलों को वास्तविक गतिविधियों के जैसे दिखाते हैं।

यह रिपोर्ट, जिसे इलेक्ट्रॉनिक्स और आईटी सचिव S. Krishnan ने जारी किया, बताती है कि साइबर खतरों का पारंपरिक रूप से विकास—अर्थात अनुसंधान और प्रयोग से बड़े पैमाने पर शोषण की ओर—अब टूट रहा है। अब हमले महीनों या यहां तक कि हफ्तों में कार्यान्वित हो रहे हैं, जिससे हमलावर तेजी से नवोन्मेष, विस्तार और धन कमाने में सक्षम हो रहे हैं, जबकि कई वित्तीय संस्थान इस पर प्रतिक्रिया देने में धीमे हैं।

यह रिपोर्ट, जो CERT-In, CSIRT-Fin और साइबर सुरक्षा कंपनी SISA द्वारा संयुक्त रूप से तैयार की गई है, बताती है कि सामाजिक इंजीनियरिंग, क्रेडेंशियल चोरी, आपूर्ति श्रृंखला से समझौता और क्लाउड शोषण, जो पिछले संस्करण में उभरते या समय-समय पर होने वाले ख़तरे माने जाते थे, अब स्थापित हमले के तरीके बन गए हैं।

रिपोर्ट के अनुसार केवल क्वांटम रिस्क ही ऐसा खतरा है जो पूर्ण रूप से प्रकट नहीं हुआ है, हालांकि “हरवेस्ट नाउ, डिक्रिप्ट लेटर” रणनीतियां पहले से ही सक्रिय हैं।

इसका मुख्य चिंतन यह है कि सबसे विनाशकारी साइबर हमले अब breaches के समान नहीं दिखते। ये प्रमाणित उपयोगकर्ता सत्रों, स्वीकृत भुगतानों, नियमित खाता गतिविधियों, समझौता किए गए विक्रेता कार्य या सामान्य व्यावसायिक कार्यप्रवाह के रूप में उभर सकते हैं, जो असली लेनदेन से कोई अंतर नहीं पैदा करते।

साइबर खतरों के विकासशील जोखिम

रिपोर्ट में उभरते ख़तरों को तीन व्यापक समूहों में वर्गीकृत किया गया है—AI और मानव धोखा, सॉफ्टवेयर और सिस्टम, और आधारभूत संरचना और अर्थव्यवस्था। AI और मानव धोखे के तहत, यह उद्योग-स्तरीय डीपफेक्स, सिंथेटिक पहचान, AI-द्वारा जनित फ़िशिंग, व्यापार ईमेल समझौता और सत्र अपहरण को ध्वजांकित करता है।

यह रिपोर्ट “AI असममता” को एक महत्वपूर्ण खतरे के रूप में पहचानती है, चेतावनी देती है कि ऐसे क्षमताएँ—जैसे कि खामियों का पता लगाना, शोषण उत्पन्न करना और हमलों का समन्वय करना—जो पहले विशेषज्ञ टीमों की आवश्यकता होती थी, अब अपेक्षाकृत निम्न-आश्रित कार्यकर्ताओं के लिए उपलब्ध हैं।

“साइबर सुरक्षा एक महत्वपूर्ण चिंता है जिसको हमें संबोधित करना है अगर हमें नवोन्मेष से प्राप्त सभी लाभों को बनाए रखना है,” Krishnan ने कहा।

उन्होंने कहा कि हमले व्यक्तियों को साइबर अपराध के ज़रिए प्रभावित कर सकते हैं, संगठनों को ransomware के माध्यम से बर्बाद कर सकते हैं और अपने उच्चतम स्तर पर राष्ट्रीय स्तर पर व्यवधान उत्पन्न कर सकते हैं।

सॉफ्टवेयर और सिस्टम संबंधित जोखिम

सॉफ्टवेयर और सिस्टम के संदर्भ में, रिपोर्ट आपूर्ति श्रृंखला से समझौता, जहरीले सॉफ्टवेयर निर्भरताएँ, क्लाउड का गलत कॉन्फ़िगरेशन और भुगतान एवं API व्यावसायिक तर्क के हेरफेर की चेतावनी देती है। हमले बिना मैलवेयर के या नेटवर्क परिधि को भेदें बिना OTP रेस स्थितियों, समानांतर लेनदेन ट्रिगरिंग, वस्तु-स्तरीय अधिकार विफलताओं और अपवाद पथों का शोषण कर सकते हैं।

तीसरे समूह में वित्तीय बुनियादी ढांचे के लिए प्रणालीगत खतरों का समावेश है, जिसमें ransomware, क्रिप्टो-सक्षम मुद्रीकरण, फर्मवेयर और IoT का समझौता और क्वांटम कंप्यूटिंग से एनक्रिप्टेड डेटा पर दीर्घकालिक खतरे शामिल हैं।

एक महत्वपूर्ण निष्कर्ष है “अनुपालन-सुरक्षा अनुवाद अंतर।” संस्थान समय-समय पर आकलन पास कर सकते हैं जबकि वे वास्तव में जोखिम में रह सकते हैं, क्योंकि नियंत्रण उनके मूल इरादे से भटक जाते हैं।

15-महीने की चरणबद्ध योजना

रिपोर्ट एक 18-महीने की योजना का खाका देती है। पहले छह महीनों में, संस्थानों को उच्च जोखिम वाले खातों के लिए फ़िशिंग-प्रतिरोधी प्रमाणीकरण लागू करना चाहिए, सेवा और मशीन पहचान स्थापित करनी चाहिए, और भुगतान कार्यप्रवाहों का परीक्षण करना चाहिए।

इसके बाद के छह से बारह महीनों में, उन्हें निरंतर सत्र आश्वासन, व्यवहारात्मक लेनदेन निगरानी और बाद में पासवर्ड-मुक्त विशेषाधिकार पहुँच की आवश्यकता होगी।

रिपोर्ट का संदेश यह है कि वित्तीय संस्थानों को केवल यह साबित करने से काम नहीं चलने वाला कि सुरक्षा नियंत्रण मौजूद हैं; उन्हें निरंतर यह साबित करना होगा कि ये असली हमले की स्थितियों में काम कर रहे हैं।