नकली बॉस, नकली वेंडर: AI के जरिए पेमेंट फ्रॉड
बिजनेस ईमेल कॉम्प्रोमाइज (BEC) और फर्जी इनवॉइस की वजह से संस्थाओं का असली नुकसान होता है। पेमेंट से जुड़े कुछ आसान नियम इनमें से ज्यादातर को रोक सकते हैं।
60 सेकंड में
नकली बॉस, नकली वेंडर: AI के जरिए पेमेंट फ्रॉड
बिजनेस ईमेल कॉम्प्रोमाइज (BEC) और फर्जी इनवॉइस की वजह से संस्थाओं का असली नुकसान होता है। पेमेंट से जुड़े कुछ आसान नियम इनमें से ज्यादातर को रोक सकते हैं।
आम तरीके
| तरीका | यह कैसा दिखता है |
|---|---|
| नकली बॉस | "मैं CEO बोल रहा हूँ। किसी कंपनी के अधिग्रहण (acquisition) के लिए मुझे तुरंत और गोपनीय तरीके से ट्रांसफर करने की जरूरत है।" |
| बैंक डिटेल्स में बदलाव | एक 'वेंडर' कहता है कि उसका बैंक खाता बदल गया है और अगली पेमेंट से पहले इसे अपडेट करने के लिए कहता है। |
| फर्जी इनवॉइस | एक ऐसा इनवॉइस जो बिल्कुल असली दिखता है, ऐसी किसी सर्विस के लिए जो आपको शायद मिली हो या न मिली हो, लेकिन उसमें पेमेंट डिटेल्स थोड़ी अलग होती हैं। |
| असली ईमेल थ्रेड में इनवॉइस | हमलावर वेंडर के साथ चल रही असली ईमेल बातचीत के अंदर ही रिप्लाई करता है, ताकि सब कुछ बिल्कुल सामान्य लगे। |
| पेरोल में बदलाव | एक 'कर्मचारी' HR से अपनी सैलरी का बैंक खाता बदलने के लिए कहता है। |
| गिफ्ट कार्ड | एक 'मैनेजर' किसी कर्मचारी से क्लाइंट्स के लिए गिफ्ट कार्ड खरीदने और उनके कोड भेजने को कहता है। |
AI इसे और खतरनाक कैसे बनाता है
- इनवॉइस, चिट्ठियाँ और ईमेल जो वेंडर के अंदाज की हूबहू नकल करते हैं।
- चुराए गए मेलबॉक्स की फटाफट समरी तैयार करना, ताकि हमलावर को पता चल जाए कि कौन किसे और कब पैसे देता है।
- फोन पर रिक्वेस्ट को 'कन्फर्म' करने के लिए क्लोन की गई आवाज (cloned voice)।
- वेंडर या कर्मचारी की अपनी ही भाषा और लहजे में लिखे गए मैसेज।
कारगर सुरक्षा उपाय (Controls)
- 1
दोहरा अप्रूवल (Dual approval)
एक तय रकम से ज्यादा के पेमेंट के लिए दो लोगों की जरूरत होती है। दूसरा व्यक्ति सिर्फ ईमेल देखने के बजाय बाकी डिटेल्स की अलग से जाँच करता है। - 2
कॉलबैक करके बैंक बदलाव वेरिफाई करें
वेंडर को अपने पुराने रिकॉर्ड या कॉन्ट्रैक्ट वाले नंबर पर कॉल करें, उस ईमेल या इनवॉइस वाले नंबर पर कभी नहीं जिसने बदलाव की माँग की हो। - 3
नए पेयी (payee) को होल्ड पर रखें
नई या बदली गई बैंक डिटेल्स के लिए एक तय समय तक रुकें और पहली पेमेंट से पहले दूसरी बार जाँच करें। - 4
जल्दबाजी या गोपनीयता के नाम पर कोई छूट नहीं
जल्दबाजी और गोपनीय वाली रिक्वेस्ट में भी उसी प्रक्रिया का पालन किया जाता है। इसे लिखकर नियम बना लें। - 5
जिम्मेदारियाँ अलग रखें (Separate duties)
जो व्यक्ति वेंडर को जोड़ता या उसमें बदलाव करता है, वह पेमेंट अप्रूव करने वाला व्यक्ति नहीं होना चाहिए। - 6
सैलरी के बदलाव खुद मिलकर कन्फर्म करें
पेरोल बैंक खाते के बदलाव HR सिस्टम के जरिए या खुद मिलकर कन्फर्म किए जाते हैं, सिर्फ ईमेल से नहीं।
- ईमेल रिप्लाई के आधार पर बैंक डिटेल्स में बदलाव मान लेना
- एक ही व्यक्ति वेंडर बनाता है और पेमेंट भी करता है
- "CEO ने कहा है" कहकर अप्रूवल छोड़ देना
- इनवॉइस पर लिखे फोन नंबर का इस्तेमाल करना
- पहले से मौजूद जाने-पहचाने नंबर पर कॉलबैक करके बैंक बदलाव कन्फर्म करना
- अलग-अलग लोग पेमेंट बनाते, अप्रूव करते और भेजते हैं
- हर रिक्वेस्ट के लिए एक ही नियम लागू होते हैं
- अपने वेंडर मास्टर रिकॉर्ड से फोन नंबर लेना
और देखें और पढ़ें
लैब
वेंडर के बैंक बदलाव की एक पन्ने की प्रक्रिया, जिसे दो फर्जी स्थितियों में परखा गया हो।
समस्या
वेंडर के बैंक डिटेल्स में बदलाव को संभालने के लिए एक पन्ने की प्रक्रिया (procedure) लिखें। चाहें तो किसी काल्पनिक कंपनी का नाम ले सकते हैं। इसमें शामिल करें:
- रिक्वेस्ट कौन ले सकता है और इसे किसे अप्रूव करना होगा।
- इसे कैसे वेरिफाई किया जाएगा (कौन सा नंबर, और कहाँ से लिया गया)।
- नए पेयी को कितने समय तक होल्ड पर रखा जाएगा, और इस दौरान क्या किया जाएगा।
- अगर कुछ गलत लगे तो क्या करना है, और किसे रिपोर्ट करना है।
फिर कागज़ पर अपनी इस प्रक्रिया को इन दो स्थितियों में परखें:
- A: वेंडर के साथ महीनों पुराने असली ईमेल थ्रेड में ही एक रिक्वेस्ट आती है, जिसमें वेंडर के लेटरहेड पर एक दम असली दिखने वाला PDF लेटर लगा है।
- B: 'वेंडर' पहले फोन करता है, जिसकी आवाज आपके जाने-पहचाने संपर्क जैसी लगती है, और फिर ईमेल भेजता है।
दोनों के लिए लिखें कि आपकी प्रक्रिया में यह फ्रॉड किस स्टेप पर पकड़ा जाएगा और रुकेगा।
आपका काम तब पूरा होगा जब
कठिन सवाल
उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।
Q1असली ईमेल थ्रेड के अंदर आने वाली रिक्वेस्ट इतनी खतरनाक क्यों होती है, और इससे क्या पता चलता है?दिखाएं
यह पूरी तरह सामान्य दिखती है: वही जाने-पहचाने लोग, वही पुरानी बातचीत की हिस्ट्री और वही अंदाज। इसका आमतौर पर मतलब होता है कि कोई मेलबॉक्स (आपका या वेंडर का) हैक हो चुका है, इसलिए हमलावर सब कुछ पढ़ सकता है और जवाब भी दे सकता है। यहाँ सिर्फ कंटेंट देखकर की जाने वाली जाँच फेल हो जाती है। सिर्फ किसी जाने-पहचाने नंबर पर अलग से कॉलबैक करना और IT को रिपोर्ट करना ही काम आता है ताकि वे मेलबॉक्स की जाँच कर सकें।
Q2हमलावर कॉलबैक के नियम से कैसे बच सकते हैं, और आप इससे कैसे बचाव करते हैं?दिखाएं
वे पहले आपके वेंडर रिकॉर्ड में मौजूद फोन नंबर को बदलने की कोशिश कर सकते हैं (जैसे कि पहले "कृपया हमारी कॉन्टैक्ट डिटेल्स अपडेट करें" वाला ईमेल भेजकर), या हेल्पडेस्क पर कॉल करके नंबर को किसी और तरफ मोड़ सकते हैं। इसके लिए खुद वेंडर मास्टर डेटा को सुरक्षित रखें: फोन नंबर और ईमेल में बदलाव के लिए भी बैंक बदलाव जैसी ही वेरिफिकेशन और अप्रूवल की जरूरत होनी चाहिए, और इसका पूरा रिकॉर्ड (log) रखा जाना चाहिए।
अक्सर पूछे जाने वाले सवाल
हम सिर्फ दो लोगों का छोटा सा बिजनेस हैं। हम दोहरा अप्रूवल (dual approval) कैसे रख सकते हैं?
इसे आसान रखें: जहाँ तक मुमकिन हो, पेमेंट की एंट्री करने वाला और उसे भेजने वाला व्यक्ति अलग होना चाहिए। अगर आप अकेले हैं, तो नए पेयी (payee) के लिए कुछ समय तक रुकने का नियम (waiting period) बनाएँ और हमेशा जाने-पहचाने नंबर पर ही वापस कॉल करें। कई बैंक आपको नए बेनिफिशियरी के लिए अप्रूवल के नियम या लिमिट सेट करने की सुविधा भी देते हैं; अपने बैंक से इसके बारे में पूछें।
कन्फर्म करने के लिए हमारे कॉल करने से वेंडर चिढ़ जाता है। हम क्या कहें?
उन्हें समझाएँ कि इससे उनकी भी सुरक्षा होती है: अगर धोखेबाज पेमेंट को किसी और खाते में मोड़ देते हैं, तो वेंडर को पैसे नहीं मिलेंगे। ज्यादातर बिजनेस इस बात को समझते हैं। आप वेंडर्स को पहले ही बता सकते हैं कि बैंक डिटेल्स में बदलाव होने पर आप हमेशा फोन करके कन्फर्म करेंगे।
क्या होगा अगर हमलावर वेंडर के साथ चल रही असली ईमेल बातचीत (thread) के अंदर ही मौजूद हो?
इसका मतलब है कि किसी का मेलबॉक्स हैक हो चुका है—या तो आपका या फिर उनका। इसलिए ईमेल बिल्कुल असली दिखेगा। यही वजह है कि कॉलबैक के लिए नंबर अपने रिकॉर्ड से लेना चाहिए, न कि उस ईमेल थ्रेड से। इस बारे में वेंडर और अपनी IT टीम को तुरंत बताएँ।
क्या हम पैसे वापस पा सकते हैं?
कभी-कभी हाँ, अगर आप बहुत जल्दी शिकायत दर्ज करा दें। तुरंत अपने बैंक से संपर्क करें और 1930 पर या cybercrime.gov.in पर रिपोर्ट करें। इसकी कोई गारंटी नहीं होती, इसीलिए बचाव ही सबसे जरूरी है।
पाठ का टेस्ट
5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।