वित्तीय क्षेत्राला सायबर हल्ल्यांचा विळखा; बँकांसमोर सुरक्षेचे आव्हान

नवी दिल्ली / मुंबई: वित्तीय सेवांच्या वेगवान डिजिटलीकरणामुळे बँकांच्या मुख्य पायाभूत सुविधांशी जोडलेल्या तंत्रज्ञान प्रणालींची व्याप्ती मोठ्या प्रमाणावर वाढली आहे. मात्र, याच सुलभतेचा गैरफायदा घेत हॅकर्सनी भारतीय वित्तीय संस्था, नॉन-बँकिंग वित्तीय कंपन्या (NBFCs) आणि फिनटेक प्लॅटफॉर्म्सना लक्ष्य करण्यास सुरुवात केली आहे. अलीकडच्या काही घटनांमध्ये कृत्रिम बुद्धिमत्ता (AI) आणि एपीआय (APIs) मधील त्रुटींचा गैरफायदा घेऊन कोट्यवधी रुपयांची फसवणूक झाल्याचे उघडकीस आले आहे. या पार्श्वभूमीवर भारतीय रिझर्व्ह बँक (RBI), इंडियन सायबर क्राईम कोऑर्डिनेशन सेंटर (I4C) आणि 'सर्ट-इन' (CERT-In) यांनी वित्तीय संस्थांच्या सायबर सुरक्षा सज्जतेची छाननी अत्यंत तीव्र केली आहे.

ताज्या सायबर घटना आणि धोक्याचे स्वरूप

वित्तीय संस्थांच्या प्रणालींमध्ये अनधिकृत प्रवेश आणि फसव्या निधी हस्तांतरणाच्या घटनांनी संपूर्ण यंत्रणेचे डोळे उघडले आहेत:

1. स्टेट बँक ऑफ इंडिया (SBI) डेटा लीक: २१ ऑक्टोबर रोजी स्टेट बँक ऑफ इंडियाच्या जवळपास ३,८९७ ग्राहकांचे रेकॉर्ड डार्क वेबवर उघड झाल्याची माहिती समोर आली. यामध्ये नावे, मोबाईल क्रमांक, जन्मतारीख, ईमेल पत्ते आणि कर्जाशी संबंधित वैयक्तिक माहितीचा समावेश होता. बँकेने ग्राहकांची शिल्लक रक्कम सुरक्षित असल्याचे स्पष्ट करत या प्रकरणाच्या चौकशीसाठी स्वतंत्र सायबर सुरक्षा एजन्सीची नियुक्ती केली आहे.

2. मुंबईतील NBFCs मधील फसवणूक: मुंबईस्थित दोन एनबीएफसींनी ८ आणि ९ ऑक्टोबर रोजी ७०० हून अधिक अनधिकृत इन्स्टंट ट्रान्सफरद्वारे सुमारे २० लाख डॉलर्स (सुमारे १७ कोटी रुपये) गमावले.

3. 'क्रॅफ्टी फाल्कन' (CRAFTY FALCON) आणि AI चा वापर: ४ नोव्हेंबर रोजी I4C आणि CERT-In ने जारी केलेल्या नव्या इशाऱ्यानुसार, 'CRAFTY FALCON' सारखे धोकादायक घटक ARTEX, PentAGI, Cairn आणि CyberStrikeAI यांसारख्या AI-चालित साधनांचा वापर करून मशीनच्या वेगाने हल्ले करत आहेत. वीकेंड किंवा सुट्ट्यांच्या दिवशी जेव्हा सुरक्षा देखरेख कमी असते, तेव्हा १ रुपयाच्या लहान व्यवहारापासून चाचणी करून हे हल्ले केले जात आहेत.

बँका आणि फिनटेक कंपन्या अधिक बळी का पडत आहेत?

कर्जपुरवठा, पेमेंट आणि इतर सेवा देण्यासाठी बँका फिनटेक कंपन्या, NBFCs, पेमेंट एग्रीगेटर्स, तंत्रज्ञान विक्रेते आणि क्लाउड सेवा प्रदात्यांसोबत मोठ्या प्रमाणावर काम करत आहेत. APIs या विविध सिस्टीम्सना एकमेकांशी संवाद साधण्याची परवानगी देतात.

परंतु, या सुलभतेमुळे सुरक्षिततेचे अनेक नवे मुद्दे निर्माण होतात:

• तृतीय-पक्ष (Third-Party) जोखीम: फिनटेक कंपनीच्या ॲप्लिकेशनमधील त्रुटी, उघडा API किंवा विक्रेत्याची तडजोड झालेली क्रेडेन्शियल्स यामुळे हॅकर्सना मुख्य बँकेच्या सिस्टीममध्ये सहज प्रवेश मिळतो. लहान कर्जदाते आणि तंत्रज्ञान विक्रेत्यांकडे अत्याधुनिक सुरक्षा नियंत्रणांचा अभाव असतो.

• नियंत्रणांना बगल: एकदा आत शिरल्यानंतर हॅकर्स कर्ज निर्मिती, KYC पडताळणी, लाभार्थी पडताळणी आणि प्रति-व्यवहार मर्यादा यांसारख्या ॲप्लिकेशन-स्तरीय नियंत्रणांना सहज बगल देऊन IMPS व NEFT द्वारे पैसे लांबवतात.

सहकारी बँकांसाठी (Co-operative Banks) धोक्याची घंटा आणि आवश्यक उपाययोजना

शहरी आणि ग्रामीण भागांत आर्थिक सेवा पोहोचवण्यात सहकारी बँकांचे योगदान अत्यंत महत्त्वाचे आहे. परंतु, डिजिटल बँकिंग, मोबाईल ॲप्स आणि यूपीआयच्या वाढत्या वापरामुळे सहकारी बँकांसमोरही मोठे सायबर आव्हान उभे ठाकले आहे:

1. थर्ड-पार्टी व API ऑडिट: सहकारी बँका अनेकदा तंत्रज्ञानासाठी बाहेरील विक्रेत्यांवर (Tech Vendors) अवलंबून असतात. हॅकर्स मुख्य सिस्टीमऐवजी API मधील त्रुटी हेरत असल्याने, बँकांनी आपल्या तंत्रज्ञान पुरवठादारांची कसून सुरक्षा तपासणी (Vendor Audit) करणे अनिवार्य आहे.

2. ६ तासांच्या आत अहवाल देण्याची सक्ती: रिझर्व्ह बँकेच्या निर्देशानुसार, कोणत्याही प्रकारची सायबर सुरक्षेची घटना किंवा अनधिकृत प्रवेश आढळल्यास, बँकांना ६ तासांच्या आत CERT-In आणि रिझर्व्ह बँकेच्या 'दक्ष' (DAKSH) पोर्टलद्वारे माहिती देणे बंधनकारक आहे. क्रेडेंशियल्स लीक झाल्यास संपूर्ण प्रणाली तात्काळ आयसोलेट (Lock) करावी.

3. २४ तास (24x7) देखरेख आणि सुट्ट्यांमधील सतर्कता: हॅकर्स सहसा शनिवार-रविवार किंवा सण-सुट्ट्यांच्या दिवशी हल्ले करतात. सहकारी बँकांनी अशा कालावधीतही मॉनिटरिंग सिस्टीम सक्रिय ठेवावी.

4. प्रशासकीय खात्यांची सुरक्षा (Admin Controls): सर्व्हर आणि क्लाउड व्यवस्थापनासाठी मल्टी-फॅक्टर ऑथेंटिकेशन (MFA) सक्तीचे करावे. कोणतेही प्रशासकीय इंटरफेस थेट सार्वजनिक इंटरनेटवर उघडे असणार नाहीत याची खात्री करावी.

5. दैनिक व प्रति-व्यवहार मर्यादा: अनधिकृत किंवा मोठ्या रकमेचे झटपट स्थानांतरण रोखण्यासाठी कठोर दैनिक आणि प्रति-व्यवहार मर्यादा लागू कराव्यात. नवीन लाभार्थी जोडताना किंवा चाचणी व्यवहार झाल्यानंतर त्वरित मॅन्युअल मंजुरीची पडताळणी असावी.

निष्कर्ष आणि पुढील पावले

I4C च्या आकडेवारीनुसार, आर्थिक वर्ष २४ ते २६ दरम्यान ५३.८७ लाखांहून अधिक सायबर फसवणुकीच्या तक्रारी नोंदवण्यात आल्या असून ५६,०८७ कोटी रुपयांपेक्षा जास्त रक्कम समोर आली आहे.

आता वित्तीय क्षेत्रातील सायबर सुरक्षा ही केवळ 'आयटी' किंवा अनुपालन (Compliance) कार्य राहिलेली नसून, ती प्रत्येक बँकेच्या व्यावसायिक आणि आर्थिक अस्तित्वाचा कणा बनली आहे. सहकारी बँकांसह सर्वच वित्तीय संस्थांनी परिमिती-आधारित सुरक्षेच्या पलीकडे जात, क्लाउड इन्फ्रास्ट्रक्चरचे रिअल-टाइम निरीक्षण आणि कठोर प्रमाणीकरण प्रणाली तातडीने अंमलात आणण्याची गरज आहे.