AI-सक्षम साइबर हमलों से बैंक, NBFC और फिनटेक खतरे में — CERT-In और I4C ने जारी की कड़ी चेतावनी
सारांश
AI एजेंट्स की मदद से बैंकों और फिनटेक कंपनियों पर मशीन-गति से साइबर हमले बढ़ रहे हैं — और CERT-In तथा I4C की संयुक्त चेतावनी इस खतरे की गंभीरता का संकेत है। करोड़ों के अनधिकृत लेनदेन, म्यूल अकाउंट और API दुरुपयोग — भारत की डिजिटल वित्तीय प्रणाली अब एक नई तरह की लड़ाई के सामने खड़ी है।
मुख्य बातें
CERT-In और I4C ने 4 नवंबर 2026 को बैंकों, NBFC और फिनटेक कंपनियों पर AI-आधारित साइबर हमलों की गंभीर चेतावनी जारी की।
हमलावर फंड डिस्बर्समेंट सिस्टम और API का दुरुपयोग कर करोड़ों रुपये के अनधिकृत लेनदेन कर रहे हैं।
अवैध राशि 'म्यूल अकाउंट्स' में भेजी जाती है और IMPS/NEFT के ज़रिये तेज़ी से निकाली जाती है।
किसी भी साइबर घटना की सूचना 6 घंटे के भीतर CERT-In और RBI के दक्ष पोर्टल पर देना अनिवार्य।
संस्थानों को पुरानी API निष्क्रिय करने, KYC के बिना फंड ट्रांसफर रोकने और रेड टीम एक्सरसाइज़ आयोजित करने के निर्देश दिए गए हैं।
भारतीय साइबर अपराध समन्वय केंद्र (I4C) की नेशनल साइबरक्राइम थ्रेट एनालिसिस यूनिट (NCTAU) और इलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के अधीन कार्यरत CERT-In ने 4 नवंबर 2026 को बैंकों, गैर-बैंकिंग वित्तीय कंपनियों (NBFC) और फिनटेक कंपनियों को लक्ष्य बनाकर किए जा रहे आर्टिफिशियल इंटेलिजेंस (AI) आधारित साइबर हमलों के प्रति गंभीर चेतावनी जारी की है। एजेंसियों के अनुसार, इन हमलों में अपराधी AI एजेंट्स का उपयोग कर मशीन की गति से वित्तीय प्रणालियों में सेंध लगा रहे हैं और करोड़ों रुपये के अनधिकृत लेनदेन को अंजाम दे रहे हैं।
हमलों का तरीका: कैसे काम करते हैं साइबर अपराधी
चेतावनी के अनुसार, हमलावर सबसे पहले इंटरनेट से जुड़े उन सर्वरों और आईटी प्रणालियों की पहचान करते हैं, जिनमें सुरक्षा खामियाँ हैं या जिन्हें समय पर अपडेट नहीं किया गया है। कई मामलों में ग्राहक शिकायत प्रणाली को भी निशाना बनाया गया है।
इसके बाद हैकर्स फंड डिस्बर्समेंट सिस्टम और API पर हमला कर अनधिकृत लेनदेन करते हैं। AI-आधारित तकनीकों की सहायता से यह पूरी प्रक्रिया इतनी तेज़ी से होती है कि पारंपरिक निगरानी तंत्र उसे पकड़ने में पिछड़ जाता है।
अवैध रूप से निकाली गई राशि तथाकथित 'म्यूल अकाउंट्स' में स्थानांतरित की जाती है और फिर IMPS व NEFT के ज़रिये तेज़ी से आगे ट्रांसफर या नकद निकासी कर ली जाती है। जाँच से बचने के लिए अपराधी डिजिटल निशान मिटाने की भी कोशिश करते हैं।
सरकार के निर्देश: क्या करना होगा वित्तीय संस्थानों को
CERT-In और I4C ने सभी बैंकों, NBFC, फिनटेक कंपनियों, पेमेंट एग्रीगेटर और पेमेंट गेटवे संचालकों को तत्काल सुरक्षा उपाय लागू करने के निर्देश दिए हैं। किसी भी साइबर घटना की सूचना 6 घंटे के भीतर CERT-In को देना अनिवार्य किया गया है।
बैंकों और NBFC को घटना की रिपोर्ट भारतीय रिज़र्व बैंक (RBI) के दक्ष पोर्टल पर भी 6 घंटे के भीतर दर्ज करनी होगी। बड़े पैमाने पर धोखाधड़ी वाले लेनदेन की स्थिति में NBFC और फिनटेक कंपनियाँ I4C से संपर्क कर संदिग्ध राशि फ्रीज़ करवा सकती हैं।
तकनीकी सुरक्षा उपाय: एजेंसियों की सलाह
एजेंसियों ने वित्तीय संस्थानों को निर्देश दिया है कि वे सभी भुगतान-संबंधित API की सूची तैयार करें और पुरानी या अप्रयुक्त API को तत्काल निष्क्रिय करें। मुख्य सूचना सुरक्षा अधिकारी (CISO), ट्रांज़ैक्शन मॉनिटरिंग टीम और आईटी टीम के बीच समन्वय को मजबूत करने की भी सलाह दी गई है।
इसके अलावा प्रत्येक लेनदेन और दैनिक भुगतान की सीमा निर्धारित करने, लाभार्थी के नाम व खाते का सत्यापन करने, असामान्य गति के ट्रांज़ैक्शनों पर नज़र रखने तथा गैर-अधिकृत IP एड्रेस से एक्सेस प्रयासों की निगरानी करने के निर्देश भी जारी किए गए हैं। KYC और आवश्यक मंजूरियों के बिना फंड ट्रांसफर की अनुमति न देने का स्पष्ट निर्देश है।
रेड टीम एक्सरसाइज़ और तैयारी की जाँच
संस्थानों को AI-संचालित मशीन-गति साइबर हमलों के परिदृश्य का परीक्षण करने के लिए अधिकृत 'रेड टीम एक्सरसाइज़' आयोजित करने की सलाह दी गई है। इससे सुरक्षा प्रतिक्रिया क्षमता का वास्तविक मूल्यांकन संभव होगा।
यह चेतावनी ऐसे समय में आई है जब भारत में डिजिटल भुगतान का आयतन रिकॉर्ड स्तर पर है और वित्तीय प्रणाली का बड़ा हिस्सा API-आधारित इन्फ्रास्ट्रक्चर पर निर्भर हो चुका है। केंद्र सरकार ने स्पष्ट किया है कि डिजिटल भुगतान प्रणाली की सुरक्षा और ग्राहकों के धन की रक्षा सर्वोच्च प्राथमिकता है तथा साइबर खतरों से निपटने के लिए निगरानी और सुरक्षा ढाँचे को निरंतर सुदृढ़ किया जा रहा है।
संपादकीय दृष्टिकोण
लेकिन असली सवाल यह है कि क्या छोटे NBFC और फिनटेक स्टार्टअप के पास CISO-स्तर की क्षमता और रेड टीम बजट वास्तव में है। बिना क्षमता-निर्माण और नियामकीय प्रोत्साहन के, यह निर्देश केवल कागज़ी ज़िम्मेदारी बन कर रह जाने का जोखिम उठाता है।
RashtraPress
5 नवंबर 2026
अक्सर पूछे जाने वाले प्रश्न
CERT-In और I4C की साइबर चेतावनी किसके लिए है?
यह चेतावनी भारत के सभी बैंकों, गैर-बैंकिंग वित्तीय कंपनियों (NBFC), फिनटेक कंपनियों, पेमेंट एग्रीगेटर और पेमेंट गेटवे संचालकों के लिए जारी की गई है। इसका उद्देश्य AI-आधारित साइबर हमलों से वित्तीय प्रणाली और ग्राहकों के धन की सुरक्षा सुनिश्चित करना है।
AI एजेंट्स का उपयोग कर साइबर हमले कैसे किए जाते हैं?
हमलावर पहले कमज़ोर या अनअपडेटेड IT सिस्टम और API की पहचान करते हैं, फिर AI एजेंट्स की मदद से मशीन-गति से फंड डिस्बर्समेंट सिस्टम में सेंध लगाते हैं। अनधिकृत राशि को 'म्यूल अकाउंट्स' में ट्रांसफर कर IMPS/NEFT के ज़रिये तेज़ी से निकाल लिया जाता है और डिजिटल निशान मिटा दिए जाते हैं।
साइबर घटना की रिपोर्ट कितने समय में और कहाँ करनी होगी?
निर्देशों के अनुसार किसी भी साइबर घटना की सूचना 6 घंटे के भीतर CERT-In को देना अनिवार्य है। बैंकों और NBFC को यही रिपोर्ट RBI के दक्ष पोर्टल पर भी 6 घंटे के भीतर दर्ज करनी होगी।
वित्तीय संस्थानों को तत्काल कौन-से सुरक्षा उपाय अपनाने होंगे?
संस्थानों को सभी भुगतान-संबंधित API की सूची बनाकर पुरानी API निष्क्रिय करनी होगी, लेनदेन सीमाएँ तय करनी होंगी, KYC के बिना फंड ट्रांसफर रोकना होगा और असामान्य गति के ट्रांज़ैक्शनों की निगरानी करनी होगी। साथ ही अधिकृत 'रेड टीम एक्सरसाइज़' के ज़रिये सुरक्षा क्षमता का मूल्यांकन करने की भी सलाह दी गई है।
म्यूल अकाउंट क्या होते हैं और इनका साइबर फ्रॉड से क्या संबंध है?
'म्यूल अकाउंट' वे बैंक खाते होते हैं जिनका उपयोग साइबर अपराधी अवैध रूप से निकाली गई राशि को एक जगह से दूसरी जगह ट्रांसफर करने के लिए करते हैं। ये खाते अक्सर धोखे से या लालच देकर आम लोगों के नाम पर खुलवाए जाते हैं, जिससे असली अपराधी की पहचान छिपी रहती है।
