ഫിൻടെക് കമ്പനികളുടെ പണമിടപാട് സംവിധാനങ്ങൾ ഹാക്കർമാരുടെ പിടിയിൽ? എഐ ആക്രമണത്തിന് പിന്നിലെ അപകടമെന്ത്?

ഇന്ത്യയിലെ ഡിജിറ്റൽ വായ്പാ മേഖലയിൽ പ്രതിവർഷം കൈമാറുന്നത് ലക്ഷക്കണക്കിന് കോടി രൂപയുടെ തുകകളാണ്. പണം കൈമാറുന്ന ആപ്ലിക്കേഷൻ പ്രോഗ്രാമിംഗ് ഇന്റർഫേസ് (API) സംവിധാനങ്ങളിലെയും ക്ലൗഡ് സുരക്ഷയിലെയും പഴുതുകൾ മുതലെടുത്ത് എഐ ഹാക്കർമാർ നടത്തുന്ന ആക്രമണങ്ങൾ കമ്പനികൾക്കും ധനകാര്യ സേവനമേഖലയ്ക്കും പുതിയ വെല്ലുവിളികൾ ഉയർത്തുന്നു.

സൈബർ ആക്രമണങ്ങളെ ചെറുക്കാനുള്ള ആയുധമെന്ന നിലയിലാണ് ആർട്ടിഫിഷ്യൽ ഇന്റലിജൻസിനെ (എഐ) ഇതുവരെ പ്രധാനമായും കണ്ടിരുന്നത്. എന്നാൽ അതേ സാങ്കേതികവിദ്യ ഉപയോഗിച്ച് ധനകാര്യ സ്ഥാപനങ്ങളുടെ പേയ്മെന്റ് സംവിധാനങ്ങളിലൂടെ പണം തട്ടിയെടുക്കുന്ന ആക്രമണങ്ങൾ ഇന്ത്യയിൽ വർധിക്കുന്നതായാണ് റിപ്പോർട്ട്. 'ക്രാഫ്റ്റി ഫാൽക്കൺ' (Crafty Falcon) എന്ന പേരിൽ തിരിച്ചറിഞ്ഞ ഹാക്കിങ് സംഘത്തെക്കുറിച്ച് കഴിഞ്ഞ ദിവസം (നവംബർ 4) കേന്ദ്ര സൈബർ സുരക്ഷാ ഏജൻസിയായ സെർട്ട്-ഇൻ (CERT-In) അതീവ ​ഗുരുതര സുരക്ഷാ മുന്നറിയിപ്പ് നൽകിയിരിക്കുകയാണ്.

എൻ.ബി.എഫ്.സികൾ, ഡിജിറ്റൽ വായ്പാ കമ്പനികൾ, ഫിൻടെക് സ്ഥാപനങ്ങൾ, പേയ്മെന്റ് അഗ്രിഗേറ്റർമാർ, ക്രിപ്റ്റോ എക്സ്ചേഞ്ചുകൾ എന്നിവയാണ് എഐ ഹാക്കർമാരുടെ പ്രധാന ലക്ഷ്യങ്ങൾ.

കോടികളുടെ ഇടപാടുകൾ; എത്രത്തോളം സുരക്ഷിതം?

ഇന്ത്യയുടെ ഡിജിറ്റൽ വായ്പാ വിപണിയുടെ വലുപ്പമാണ് ഭീഷണിയുടെ ഗൗരവം വർധിപ്പിക്കുന്നത്. ഫിൻടെക് അസോസിയേഷൻ ഫോർ കൺസ്യൂമർ എംപവർമെന്റിന്റെ (FACE) കണക്കനുസരിച്ച് 2025-26സാമ്പത്തിക വർഷം, ഡിജിറ്റൽ എൻ.ബി.എഫ്.സികൾ വഴി അനുവദിച്ചത് 13.2 കോടി രൂപയുടെ വ്യക്തിഗത വായ്പകളാണ്. മൂല്യം ഏകദേശം 2.14 ലക്ഷം കോടി രൂപ. രാജ്യത്തെ വ്യക്തിഗത വായ്പകളുടെ എണ്ണത്തിൽ 77 ശതമാനവും ഈ വിഭാഗത്തിൽ നിന്നുള്ളതാണ്.

എന്നാൽ ഇവയെല്ലാം എപിഐ വഴിയാണ് വിതരണം ചെയ്തിരിക്കുന്നതെന്ന കണക്കുകൾ ലഭ്യമല്ല. അതേസമയം, വായ്പാ വിതരണത്തിനും പണമിടപാടുകൾക്കും പരസ്പരം ബന്ധിപ്പിച്ച സോഫ്റ്റ്‌‍വെയർ സംവിധാനങ്ങളെ ആശ്രയിക്കുന്നത് സുരക്ഷാ ഭീഷണിയുടെ വ്യാപ്തി കൂട്ടുന്നു.

എപിഐ സുരക്ഷയിലെ വീഴ്ചകൾ മുതലെടുക്കുന്നു

പരമ്പരാഗത രീതിയിൽ വിവരങ്ങൾ മോഷ്ടിച്ചുകൊണ്ട് സൈബർ ആക്രമണം നടത്തുന്നതിൽ നിന്നും വ്യത്യസ്തമായി, കോർപ്പറേറ്റ് സ്ഥാപനങ്ങളുടെ ഡിജിറ്റൽ പേയ്‌മെന്റ്, വായ്പാ വിതരണ സംവിധാനങ്ങളെയാണ് ആക്രമണകാരികളായ ഹാക്കർമാർ ദുരുപയോഗം ചെയ്യുന്നത്. സ്ഥാപനങ്ങളുടെ ഔദ്യോഗിക എ.പി.ഐ നേരിട്ട് ഹാക്ക് ചെയ്താണ് സൈബർ ക്രിമിനലുകൾ പണം തട്ടുന്നത്.

ഉപഭോക്താക്കളുടെ മോഷ്ടിക്കപ്പെട്ട ലോഗിൻ വിവരങ്ങളും എപിഐ സംവിധാനങ്ങളിലെ സുരക്ഷാപഴുതുകളും ഉപയോഗിച്ചാണ് അനധികൃത ഇടപാടുകൾ നടത്തുന്നത്. ആദ്യം ഒരു രൂപ പോലുള്ള ചെറിയ തുകകൾ കൈമാറി, സുരക്ഷാ സംവിധാനങ്ങൾ മറികടക്കാനാകുമോ എന്ന് പരിശോധിക്കുകയും നീക്കം വിജയിച്ചാൽ പിന്നാലെ വലിയ തുകകൾ മറ്റ് അക്കൗണ്ടുകളിലേക്ക് മാറ്റുന്നതായും സെർട്ട്-ഇൻ വ്യക്തമാക്കുന്നു.

ധനകാര്യ സ്ഥാപനങ്ങളുടെ എപിഐകളിലെ ഐഡന്റിറ്റി വെരിഫിക്കേഷൻ, ടോക്കൺ സുരക്ഷ, ട്രാൻസാക്ഷൻ ഓതറൈസേഷൻ എന്നിവ എത്രത്തോളം ഫലപ്രദമാണെന്ന ചോദ്യമാണ് ഇതുയർത്തുന്നത്.

ക്ലൗഡിലും സുരക്ഷാപഴുതുകൾ

പരിശോധനയ്ക്കുള്ള ടെസ്റ്റിങ് സർവറുകളിൽ നിന്ന് പ്രധാന സംവിധാനങ്ങളിലേക്ക് കടക്കാനും ക്ലൗഡ് മാനേജ്മെന്റ് സേവനങ്ങളെ ദുരുപയോഗം ചെയ്യാനും സൈബർ ആക്രമണകാരികൾക്ക് കഴിഞ്ഞതായി സെർട്ട്-ഇന്നിന്റെ മുന്നറിയിപ്പിലുണ്ട്. ARTEX, PentAGI, Cairn, CyberStrikeAI തുടങ്ങിയ എഐ ടൂളുകൾ ഉപയോഗിച്ച് അതിവേഗം ആക്രമണങ്ങൾ നടത്തുന്നതായും കണ്ടെത്തിയിട്ടുണ്ട്.

ചൈനയിൽ വികസിപ്പിക്കപ്പെട്ട ARTEX മുൻപ്, ചൈനയുമായി ബന്ധപ്പെടുത്തിയ വിദേശ ആക്രമണങ്ങളിലും ഉപയോഗിച്ചിട്ടുണ്ട്. എന്നാൽ ഇന്ത്യയിലെ ആക്രമണങ്ങൾക്ക് പിന്നിൽ ചൈനീസ് സംഘങ്ങളാണെന്നോ സർക്കാർ പിന്തുണയുണ്ടെന്നോ സെർട്ട്-ഇൻ സ്ഥിരീകരിച്ചിട്ടില്ല എന്നതും ശ്രദ്ധേയം.

തുടർച്ചയായ നിരീക്ഷണം അനിവാര്യം

വർധിച്ചുവരുന്ന സൈബർ ആക്രമണ ഭീഷണികളുടെ പശ്ചാത്തലത്തിൽ, ധനകാര്യ സേവന കമ്പനികൾ ഡിജിറ്റൽ ഇടപാടുകളിൽ 24 മണിക്കൂറും തുടർച്ചയായ നിരീക്ഷണം ഉറപ്പാക്കണമെന്ന് സുരക്ഷാ ഏജൻസികൾ നിർദേശിക്കുന്നു. എപിഐ റിക്വസ്റ്റ് സൈനിങ്, ടോക്കൺ സുരക്ഷ, ക്ലൗഡ് ആക്സസ് നിയന്ത്രണങ്ങൾ എന്നിവ കർശനമാക്കുന്നതിനൊപ്പം എല്ലാത്തരം ഇടപാടുകൾക്കും ടു-ഫാക്ടർ ഓഥന്റിക്കേഷൻ നിർബന്ധമാക്കണം എന്നാണ് പുതിയ ശുപാർശ. അവധി ദിവസങ്ങളിൽ പോലും തടസ്സമില്ലാത്ത സുരക്ഷാ മേൽനോട്ടം ഉറപ്പാക്കേണ്ടതുണ്ട്.

രാജ്യത്ത് ഡിജിറ്റൽ വായ്പാ വിപണി കൈവരിക്കുന്ന വൻ വളർച്ചയ്ക്ക് അനുസൃതമായി സ്ഥാപനങ്ങൾ സുരക്ഷാ മാനദണ്ഡങ്ങൾ പരിഷ്കരിച്ചില്ലെങ്കിൽ ഗുരുതരമായ പ്രത്യാഘാതങ്ങൾ ഉണ്ടാകുമെന്നാണ് സൈബർ വിദഗ്ദ്ധർ ചൂണ്ടിക്കാണിക്കുന്നത്. ഏതെങ്കിലും ഒരു ധനകാര്യ സ്ഥാപനത്തിന്റെ സാങ്കേതിക സംവിധാനത്തിലുണ്ടാകുന്ന ചെറിയൊരു സുരക്ഷാ പഴുത് പോലും, സെക്ടറിന് ആകമാനം വൻ സാമ്പത്തിക നഷ്ടം വരുത്തിവെക്കുമെന്നതാണ് സെർട്ട്-ഇൻ നൽകുന്ന മുന്നറിയിപ്പിന്റെ കാതൽ.

CERT-In has warned of an escalating AI-assisted cyber campaign targeting payment and disbursement APIs, cloud infrastructure and cryptocurrency platforms across India’s financial sector.