मुंबई: भारतीय रिजर्व बैंक (आरबीआई) ने अपने दायरे में आने वाले बैंकों, भुगतान प्रणाली ऑपरेटरों और अन्य संस्थाओं को निर्देश दिया है कि वे अपने तकनीकी वातावरण को तब तक समझौता के रूप में मानें जब तक कि क्रेडेंशियल्स के किसी भी जोखिम या अनधिकृत पहुंच की पुष्टि के बाद फोरेंसिक रूप से मंजूरी नहीं मिल जाती।
भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम (CERT-In) द्वारा साइबर हमलों को अंजाम देने के लिए कृत्रिम बुद्धिमत्ता एजेंटों के बढ़ते उपयोग के बारे में चेतावनी देने के तुरंत बाद, RBI ने 19 अक्टूबर को सलाह जारी की।
एडवाइजरी, जिसकी ईटी ने समीक्षा की है, में कहा गया है कि वित्तीय संस्थाओं को अपने सिस्टम और तीसरे पक्ष के सेवा प्रदाताओं के सिस्टम पर साइबर सुरक्षा नियंत्रण मजबूत करना चाहिए।
यह भी पढ़ें: दर वृद्धि चक्र की सीमा विकास-मुद्रास्फीति के दृष्टिकोण पर निर्भर करेगी: आरबीआई गवर्नर
आरबीआई ने वित्तीय संस्थाओं से सार्वजनिक इंटरनेट एक्सेस से प्रबंधन और प्रशासनिक इंटरफेस को हटाने, प्रशासनिक पहुंच के लिए बहु-कारक प्रमाणीकरण लागू करने और कम से कम विशेषाधिकार के आधार पर क्लाउड और बैकएंड सिस्टम तक पहुंच को प्रतिबंधित करने के लिए भी कहा है। उपायों में स्रोत कोड, रिपॉजिटरी, कॉन्फ़िगरेशन फ़ाइलें, क्लाइंट एप्लिकेशन और उजागर क्रेडेंशियल्स के लिए क्लाउड स्टोरेज का ऑडिट करना और समझौता किए गए क्रेडेंशियल्स को तुरंत घुमाना और शुद्ध करना शामिल है।
संस्थाओं को एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) की एक सूची बनाए रखने और निष्क्रिय, अप्रचलित और परीक्षण एपीआई और खातों को बंद करने के लिए भी निर्देशित किया गया है। आरबीआई ने विनियमित संस्थाओं से ऐसी घटनाओं की सूचना निर्धारित समय सीमा के भीतर अपने केंद्रीय कार्यालय और संबंधित क्षेत्रीय कार्यालय को देने को भी कहा है।
एडवाइजरी में कहा गया है, "विनियमित संस्थाओं को सलाह दी जाती है कि वे CERT-in एडवाइजरी में दी गई जानकारी का लाभ उठाएं और उनके और उनके तीसरे पक्ष के सेवा प्रदाताओं द्वारा उचित उपायों का कार्यान्वयन सुनिश्चित करें।"
आरबीआई ने विनियमित संस्थाओं से एपीआई की वास्तविक समय की निगरानी को मजबूत करने के लिए कहा है, जिसमें स्वचालित अनुरोधों के अचानक विस्फोट, थोक डेटा निष्कर्षण और संदिग्ध खाता पंजीकरण का पता लगाने में सक्षम सिस्टम शामिल हैं।
यह भी पढ़ें: मुद्रास्फीति अभी भी दिमाग में सबसे ऊपर है, एमपीसी मिनटों से पता चलता है
15 अक्टूबर को, CERT-In ने चेतावनी दी कि हमलावर कमजोरियों की पहचान करने, आदेशों को निष्पादित करने और निरंतर मानवीय हस्तक्षेप के बिना सुरक्षा कमजोरियों का फायदा उठाने के लिए स्वायत्त एआई उपकरणों का तेजी से उपयोग कर रहे थे।
CERT-In ने आरबीआई संचार के साथ संलग्न सलाह में कहा, "भारतीय संस्थाओं के खिलाफ वित्तीय रूप से प्रेरित अभियान में, एजेंट टूलींग ने प्रारंभिक पहुंच और अंतिम प्रभाव के बीच के समय को दिनों से घटाकर कुछ घंटों तक सीमित कर दिया।"
साइबर सुरक्षा एजेंसी ने पाया कि हमलावर टोह लेने, कमजोरियों का फायदा उठाने और संवेदनशील जानकारी तक पहुंचने के लिए एक साथ कई एआई एजेंटों का उपयोग कर रहे थे।
CERT-In ने कहा कि कई भारतीय प्रतिष्ठान इस बात से अनजान थे कि उनके सिस्टम तक AI एजेंटों द्वारा पहुंच बनाई गई है। ये घटनाएं एआई मॉडल प्रदाताओं द्वारा स्वैच्छिक खुलासे के बाद ही सामने आईं, जिनके सिस्टम ने उनके निर्दिष्ट प्राधिकरण से परे लाइव बिजनेस रिकॉर्ड, व्यक्तिगत जानकारी और गोपनीय डेटा तक पहुंच बनाई थी।
हाल के सप्ताहों में, साइबर सुरक्षा घटनाओं की एक श्रृंखला ने भारतीय वित्तीय और प्रौद्योगिकी संस्थाओं को प्रभावित किया है। इस महीने की शुरुआत में, ईटी ने बताया कि लगभग 20 वित्तीय संस्थानों को निशाना बनाया गया था, जिसमें चोरी किए गए पार्टनर-बैंक क्रेडेंशियल्स और भुगतान और संवितरण एपीआई में कमजोरियों का कथित तौर पर धन निकालने के लिए शोषण किया गया था।
