मौलिक प्रतीकात्मक चित्र: pcsmantra.com
एडवाइज़री के मुख्य बिंदु
- तरीका: हमलावर AI टूल्स से लक्ष्यों का सर्वेक्षण कर, पीड़ित संस्था के अपने payment/disbursement API को invoke करके अनधिकृत फंड-ट्रांसफर करा रहे हैं — “मशीन गति” से, यानी स्वचालित और तेज़।
- एस्केलेशन: यह 9 अक्टूबर की एडवाइज़री (CIAD-2026-0046) का अद्यतन है — उसके बाद से घटनाओं के विश्लेषण में “उल्लेखनीय तीव्रता” पाई गई।
- सिफ़ारिशें: API-प्रमाणीकरण मज़बूत करना, एनोमली-डिटेक्शन, transaction-सीमाएँ और घटना-रिपोर्टिंग (CERT-In को निर्धारित समय में)।
संस्थागत पहचान (परीक्षा-पसंद)
- CERT-In: सूचना-प्रौद्योगिकी अधिनियम 2000 की धारा 70B के तहत राष्ट्रीय नोडल एजेंसी; MeitY के अधीन।
- CSIRT-Fin: वित्तीय क्षेत्र के लिए क्षेत्रीय (sectoral) प्रतिक्रिया दल।
- अन्य: NCIIPC (क्रिटिकल सूचना-बुनियादी ढाँचा संरक्षण, NTRO के तहत), I4C (गृह मंत्रालय — साइबर-अपराध समन्वय), राष्ट्रीय साइबर सुरक्षा रणनीति।
खबर विस्तार से
- प्रयुक्त AI-टूल्स: CERT-In के विश्लेषण में तीन सार्वजनिक रूप से उपलब्ध AI-आधारित आक्रामक सुरक्षा-टूल पाए गए — ARTEX (ओपन-सोर्स, मल्टी-एजेंट पेनेट्रेशन-टेस्टिंग व कमांड-एंड-कंट्रोल प्लेटफॉर्म), PentAGI (स्वायत्त बहु-एजेंट पेनेट्रेशन-टेस्टिंग प्रणाली) और Cairn अटैक सर्च-इंजन (CyberStrikeAI फ्रेमवर्क के साथ)। ये टूल पूरी अटैक-चेन स्वतः चलाते हैं, तेज़ी से स्क्रिप्ट बनाते-सुधारते हैं और लक्ष्य की प्रतिक्रिया के अनुसार payload बदलते हैं; हमलावर इंफ्रास्ट्रक्चर के IP कुछ घंटों-दिनों में बदल जाते हैं।
- हमले का पैटर्न: AWS/Lambda क्लाउड-इंफ्रास्ट्रक्चर निशाने पर; टेस्टिंग जैसे नॉन-प्रोडक्शन वातावरण से घुसकर साझा क्रेडेंशियल/टोकन से लाइव सिस्टम में लैटरल मूवमेंट; एप्लिकेशन कोडबेस रिवर्स-इंजीनियर कर संशोधित पैकेज से अनधिकृत API कॉल; CDN और ऐप-स्टोर रिव्यू टूल जैसी विश्वसनीय सेवाओं के रास्ते ट्रैफ़िक को वैध दिखाना।
- राशि निकालने की विधि: बड़ी ट्रांज़ैक्शन से पहले ₹1 की टेस्ट-ट्रांज़ैक्शन; पेमेंट-एग्रीगेटरों के मर्चेंट सेटलमेंट API का दुरुपयोग; क्रिप्टो एक्सचेंजों और वर्चुअल डिजिटल एसेट सेवा-प्रदाताओं के विरुद्ध चुराई गई wallet keys का उपयोग।
- समय-चयन: त्योहारी दौर में निगरानी-कमी और विलंबित पहचान का फायदा; अधूरा सुधार करने वाली संस्थाओं को “जानबूझकर फिर से निशाना” बनाया गया — एडवाइज़री में 24×7 निगरानी, सुरक्षित क्लाउड, अलग टेस्टिंग वातावरण, API-प्रमाणीकरण, एनोमली-डिटेक्शन और निर्धारित समय में घटना-रिपोर्टिंग की सिफारिश।
परीक्षा-दृष्टि से महत्व
- प्रीलिम्स: CERT-In का कानूनी आधार (IT Act 70B), CSIRT-Fin, threat actor नामकरण की परिपाटी, APT बनाम साइबर-अपराधी।
- मुख्य (GS-3): AI-युग में साइबर-ख़तरे (social engineering, API-दुरुपयोग), BFSI की resilience, DPDP अधिनियम 2023 से जुड़ाव, zero-trust आर्किटेक्चर।
प्रिलिम्स परीक्षा अभ्यास प्रश्न
प्रश्न 1. CERT-In की स्थापना का कानूनी आधार क्या है?
(a) IT अधिनियम 2000 की धारा 70B
(b) टेलीग्राफ अधिनियम
(c) DPDP अधिनियम 2023
(d) राष्ट्रीय सुरक्षा अधिनियम
उत्तर और व्याख्या
उत्तर: (a) — धारा 70B (2008 संशोधन से) — साइबर-घटनाओं की राष्ट्रीय नोडल एजेंसी, MeitY के अधीन।
प्रश्न 2. 'Crafty Falcon' अभियान की खासियत क्या है?
(a) रैनसमवेयर से फाइल-एन्क्रिप्शन
(b) AI से सर्वेक्षण कर पीड़ित के अपने API से अनधिकृत ट्रांसफर
(c) DDoS से सेवा-रुकावट
(d) क्रिप्टो-माइनिंग मैलवेयर
उत्तर और व्याख्या
उत्तर: (b) — CERT-In के अनुसार हमलावर AI टूल्स से लक्ष्य-सर्वेक्षण कर payment/disbursement API का दुरुपयोग कर रहे हैं — घटनाएँ NBFC, लेंडिंग, पेमेंट-एग्रीगेटर, क्रिप्टो एक्सचेंज तक फैली हैं।
स्रोत
- Indian Express / Times of India, 5 नवंबर 2026 (CERT-In एडवाइज़री CIAD-2026-0058)।
इस लेख को डाउनलोड करें: PDF
अक्सर पूछे जाने वाले प्रश्न (FAQ)
संक्षिप्त उत्तर: CERT-In की नवीनतम एडवाइज़री के अनुसार ‘Crafty Falcon’ अभियान में हमलावर AI टूल्स से लक्ष्य-सर्वेक्षण कर पीड़ित संस्था के अपने payment/disbursement API से अनधिकृत फंड-ट्रांसफर करा रहे हैं; भारतीय बैंक-फिनटेक क्षेत्र निशाने पर है।
प्रश्न: ‘Crafty Falcon’ अभियान क्या है?
CERT-In के विश्लेषण के अनुसार हमलावर AI टूल्स से लक्ष्यों का सर्वेक्षण कर पीड़ित संस्था के अपने payment/disbursement API को invoke करके अनधिकृत फंड-ट्रांसफर करा रहे हैं – स्वचालित और तेज़, यानी ‘मशीन गति’ से। यह 9 अक्टूबर की एडवाइज़री (CIAD-2026-0046) का अद्यतन है, जिसके बाद से घटनाओं के विश्लेषण में ‘उल्लेखनीय तीव्रता’ पाई गई; घटनाएँ NBFC, लेंडिंग, पेमेंट-एग्रीगेटर और क्रिप्टो एक्सचेंज तक फैली हैं।
प्रश्न: CERT-In क्या है और इसका कानूनी आधार क्या है?
CERT-In सूचना-प्रौद्योगिकी अधिनियम 2000 की धारा 70B के तहत साइबर-घटनाओं की राष्ट्रीय नोडल एजेंसी है, जो MeitY के अधीन काम करती है; CSIRT-Fin वित्तीय क्षेत्र के लिए क्षेत्रीय प्रतिक्रिया दल है, जबकि NCIIPC क्रिटिकल सूचना-बुनियादी ढाँचा संरक्षण (NTRO के तहत) और I4C गृह मंत्रालय के अधीन साइबर-अपराध समन्वय से जुड़े हैं।
प्रश्न: संस्थाओं के लिए क्या सिफारिशें दी गई हैं?
एडवाइज़री में API-प्रमाणीकरण मज़बूत करना, एनोमली-डिटेक्शन, transaction-सीमाएँ, 24×7 निगरानी, सुरक्षित क्लाउड, अलग टेस्टिंग वातावरण और CERT-In को निर्धारित समय में घटना-रिपोर्टिंग की सिफारिश है। त्योहारी दौर में निगरानी-कमी और विलंबित पहचान का फायदा उठाया गया, और अधूरा सुधार करने वाली संस्थाओं को जानबूझकर फिर से निशाना बनाया गया।
PCSMANTRA संपादकीय टीम
शोध और संपादन
हम UPSC, राज्य PCS, PCS-J और अन्य प्रतियोगी परीक्षाओं के लिए हिंदी और अंग्रेज़ी में सामयिक घटनाओं का विश्लेषण, परीक्षा-अपडेट और अध्ययन-सामग्री तैयार करते हैं। हर लेख आधिकारिक स्रोतों से सत्यापित कर प्रकाशित किया जाता है; स्रोत प्रत्येक लेख के अंत में दिए जाते हैं।
हमारी संपादकीय नीति पढ़ें
