नेशनल बैंक चार्टर्स और सत्यापित डोमेन खतरा: सार्वजनिक सूचीबद्धता से पहले फिनटेक लीडर्स को किन बातों पर पुनर्विचार करना चाहिए

यू.एस. ऑफिस ऑफ द कॉम्प्ट्रोलर ऑफ द करेंसी ने इस महीने रिवोल्यूट (Revolut) को एक सशर्त नेशनल बैंक चार्टर जारी किया। यह नियामक प्रगति डिजिटल वॉलेट प्रदाता से प्रणालीगत रूप से महत्वपूर्ण वित्तीय संस्थान में फर्म के संक्रमण का संकेत देती है। साथ ही, रिवोल्यूट ने पुष्टि की कि एक अनधिकृत तीसरे पक्ष ने एक वैध डोमेन के माध्यम से एक सरकारी एजेंसी का रूप धारण करके संवेदनशील ग्राहक डेटा निकाला। यह घटना दर्शाती है कि उच्च-मूल्य वाली पहचान संपत्तियों की सुरक्षा के लिए ईमेल स्रोत का तकनीकी सत्यापन अपर्याप्त है।

विश्वास प्रॉक्सी के रूप में डोमेन वैधता का पतन

रिवोल्यूट में हुआ उल्लंघन एक्सेस एसिमेट्री (access asymmetry) का एक प्रदर्शन है। एक हमलावर ने धोखाधड़ी वाले सूचना अनुरोध सबमिट करने के लिए एक वैध सरकारी एजेंसी ईमेल डोमेन का उपयोग किया। चूंकि डोमेन प्रामाणिक था, इसलिए ईमेल ने SPF, DKIM और DMARC सहित मानक प्रमाणीकरण जांच पास कर ली। इसने हमलावर को उन स्वचालित फिल्टरों को बायपास करने की अनुमति दी जो आमतौर पर फ़िशिंग प्रयासों को रोकते हैं। विश्वास अनुरोध के इरादे के बजाय बुनियादी ढांचे (infrastructure) पर रखा गया था।

200 अरब डॉलर के मूल्यांकन का लक्ष्य रखने वाली फिनटेक फर्म के लिए, यह घटना एक सख्त याद दिलाती है कि परिधि (perimeter) कोई दीवार नहीं बल्कि एक पारगम्य झिल्ली (permeable membrane) है। पारंपरिक सुरक्षा मॉडल मानते हैं कि एक सत्यापित प्रेषक एक सुरक्षित प्रेषक है। यह धारणा अब एक दायित्व बन गई है। व्यवहार में इसका अर्थ यह है कि प्रेषक की पहचान का सत्यापन विशिष्ट डेटा तक पहुंचने के प्रेषक के अधिकार के सत्यापन से अलग है। रिवोल्यूट ने पुष्टि की कि उजागर किए गए डेटा में पासपोर्ट, ड्राइवर लाइसेंस और सत्यापन सेल्फी शामिल थे। ये पहचान की चोरी के लिए सबसे महत्वपूर्ण संपत्तियां हैं।

हाई नेट वर्थ इकोसिस्टम को लक्षित करना

सुरक्षा शोधकर्ता ZachXBT ने नोट किया कि यह घटना हाई नेट वर्थ व्यक्तियों को लक्षित करती प्रतीत होती है। यह व्यापक, स्वचालित हमलों से उच्च-सटीक सोशल इंजीनियरिंग की ओर बदलाव का सुझाव देता है। हमलावर मात्रा (volume) की तलाश में नहीं थे; वे मूल्य (value) की तलाश में थे। जब कोई हमलावर उपयोगकर्ताओं के एक विशिष्ट वर्ग को लक्षित करता है, तो खतरा मॉडल एक सामान्य रक्षा से लक्षित काउंटर-इंटेलिजेंस ऑपरेशन में बदल जाता है।

खाता विवरण और लेनदेन इतिहास की चोरी हमलावरों को भविष्य के शोषण के लिए एक रोडमैप प्रदान करती है। यह डेटा अत्यधिक विश्वसनीय अनुवर्ती घोटालों के निर्माण की अनुमति देता है। यदि कोई हमलावर ग्राहक के सटीक बैलेंस और हाल के लेनदेन को जानता है, तो वह पूर्ण विश्वसनीयता के साथ बैंक अधिकारी के रूप में पेश आ सकता है। इस उल्लंघन का प्रभाव प्रारंभिक डेटा हानि से कहीं अधिक फैला हुआ है। यह ग्राहक आधार के सबसे मूल्यवान वर्ग के लिए एक निरंतर जोखिम पैदा करता है।

प्रशासनिक विश्वास की वास्तुशिल्प विफलता

आधुनिक साइबर सुरक्षा में बदलाव का मूल यह अहसास है कि आंतरिक प्रक्रियाएं बाहरी पोर्ट्स की तरह ही असुरक्षित हैं। इस मामले में, विफलता नियामक अनुपालन और डेटा गोपनीयता के चौराहे पर हुई। रिवोल्यूट के कर्मचारियों या स्वचालित प्रणालियों ने सूचना के लिए एक वैध कानूनी अनुरोध प्रतीत होने वाली बात पर प्रतिक्रिया दी। विफलता डेटा के एन्क्रिप्शन में नहीं, बल्कि प्रकटीकरण प्रक्रिया के तर्क में थी।

एक सरकारी डोमेन कोई मास्टर की (master key) नहीं है, बल्कि एक अनुरोधित आमंत्रण है। संगठन अक्सर सरकारी संस्थाओं को एक अंतर्निहित विश्वास प्रदान करते हैं जो वे कभी भी किसी वाणिज्यिक भागीदार को नहीं देंगे। यह जीरो ट्रस्ट (Zero Trust) आर्किटेक्चर में एक ब्लाइंड स्पॉट बनाता है। यदि कोई सिस्टम अनुरोध के पीछे के विशिष्ट कानूनी जनादेश को सत्यापित नहीं करता है, तो ईमेल डोमेन की वैधता अप्रासंगिक है। डेटा इसलिए सौंप दिया गया क्योंकि प्रक्रिया में उच्च-दांव वाले डेटा अनुरोधों के लिए द्वितीयक, आउट-ऑफ-बैंड सत्यापन चरण की कमी थी।

परिधि रक्षा से सूक्ष्म प्राधिकरण तक

स्पष्टता के लिए, वर्तमान खतरे के वातावरण में संचार और प्राधिकरण के पूर्ण अलगाव की आवश्यकता है। माइक्रोसेगमेंटेशन पर आमतौर पर नेटवर्क ट्रैफ़िक के संदर्भ में चर्चा की जाती है, लेकिन इसे मानवीय वर्कफ़्लो पर भी लागू किया जाना चाहिए। पासपोर्ट कॉपी के अनुरोध के लिए मेलिंग पता बदलने के अनुरोध की तुलना में एक अलग सुरक्षा प्रोटोकॉल ट्रिगर होना चाहिए। रिवोल्यूट ने विशिष्ट ईमेल पते को ब्लॉक कर दिया है, लेकिन अंतर्निहित भेद्यता—डोमेन-आधारित विश्वास पर निर्भरता—तब तक बनी रहती है जब तक कि वर्कफ़्लो को पुन: इंजीनियर नहीं किया जाता है।

विरासत प्रणालियाँ (Legacy systems) अक्सर कानूनी घर्षण से बचने के लिए नियामक अनुरोधों को एक फास्ट-ट्रैक प्रक्रिया के रूप में मानती हैं। यह दक्षता ही वह विशेषज्ञता घाटा है जिसका हमलावर फायदा उठाते हैं। वे जानते हैं कि अनुपालन टीमें सरकारी पूछताछ का त्वरित जवाब देने के दबाव में होती हैं। तर्क एक ऐसे मॉडल में बदल जाता है जहां संवेदनशील PII के लिए हर बाहरी अनुरोध को संभावित उल्लंघन प्रयास के रूप में माना जाता है। सत्यापन एक पूर्व-स्थापित, सुरक्षित पोर्टल या संबंधित एजेंसी में एक ज्ञात मानव संपर्क के साथ द्वितीयक पुष्टि के माध्यम से होना चाहिए।

नियामक निहितार्थ और आईपीओ की तैयारी

रिवोल्यूट वर्तमान में गहन जांच के दायरे में है क्योंकि यह सार्वजनिक सूचीबद्धता (public listing) की तैयारी कर रहा है और यूके, फ्रांस और अमेरिका में अपने बैंकिंग पदचिह्न का विस्तार कर रहा है। नियामक डेटा सुरक्षा को परिचालन स्थिरता के लिए एक प्रॉक्सी के रूप में देखते हैं। एक फर्म जिसे खराब या समझौता किए गए सरकारी डोमेन द्वारा धोखा दिया जा सकता है, उसे अपने आंतरिक नियंत्रणों के बारे में सवालों का सामना करना पड़ता है। ओसीसी (OCC) की सशर्त मंजूरी संभवतः वास्तुशिल्प लचीलेपन की बढ़ती मांगों के साथ आएगी।

फिनटेक क्षेत्र राज्य-प्रायोजित और परिष्कृत आपराधिक तत्वों के लिए एक प्रमुख लक्ष्य है क्योंकि यह पारंपरिक वित्त और तीव्र सॉफ्टवेयर पुनरावृत्ति के चौराहे पर स्थित है। तेज़ विकास और सुरक्षा के बीच घर्षण निरंतर बना रहता है। हालांकि, एक बैंक के रूप में, रिवोल्यूट अब महत्वपूर्ण बुनियादी ढांचे का एक हिस्सा है। सुरक्षा का मानक अब "सर्वोत्तम प्रयास" नहीं, बल्कि "फेलसेफ" (failsafe) है। एक उच्च-नेट-वर्थ खाते के एक भी समझौते के परिणामस्वरूप नियामक जुर्माना और बाजार के विश्वास की हानि हो सकती है जो वर्षों की वृद्धि से अधिक भारी पड़ती है।

सी-लेवल नेतृत्व के लिए कार्य योजना

CISOs और CTOs को बुनियादी स्वच्छता से आगे बढ़ना चाहिए और प्रशासनिक कार्यों के लिए रक्षा-इन-डेप्थ रणनीति लागू करनी चाहिए। लक्ष्य यह सुनिश्चित करना है कि एक एकल विश्वास संकेत का समझौता पूर्ण डेटा उल्लंघन का कारण न बने। संवेदनशील PII और पहचान दस्तावेजों को संभालने वाले संगठनों के लिए निम्नलिखित कदम आवश्यक हैं।

• नियामक प्रतिक्रिया वर्कफ़्लो का ऑडिट करें: हर उस पथ का मानचित्रण करें जिसके माध्यम से ग्राहक डेटा संगठन से बाहर निकलता है। हर उस उदाहरण की पहचान करें जहां डेटा प्रकटीकरण के लिए सत्यापित ईमेल डोमेन एकमात्र आवश्यकता है।
• आउट-ऑफ-बैंड (OOB) सत्यापन लागू करें: सभी तृतीय-पक्ष डेटा अनुरोधों के लिए एक अनिवार्य माध्यमिक सत्यापन प्रक्रिया स्थापित करें। इसमें एक अलग संचार चैनल शामिल होना चाहिए, जैसे कि सत्यापित एजेंसी नंबर पर फोन कॉल या एक सुरक्षित सरकारी पोर्टल।
• डेटा न्यूनीकरण और अल्पकालिक भंडारण लागू करें: केवाईसी (KYC) उद्देश्यों के लिए कानूनी रूप से आवश्यक समय से अधिक समय तक पहचान दस्तावेजों को संग्रहीत न करें। डाउनस्ट्रीम सिस्टम में संवेदनशील दस्तावेजों का प्रतिनिधित्व करने के लिए टोकनाइजेशन का उपयोग करें, जिससे डेटा चोरी के लिए उपलब्ध कच्चे डेटा की मात्रा कम हो सके।
• एआई-संचालित व्यवहार विश्लेषण तैनात करें: आने वाले अनुरोधों की भाषा और पैटर्न का विश्लेषण करने के लिए फ्रंटियर मॉडल का उपयोग करें। परिष्कृत प्रतिरूपण घोटाले अक्सर विशिष्ट भाषाई टेम्पलेट्स का पालन करते हैं जिन्हें किसी मानव द्वारा ईमेल देखने से पहले मशीन लर्निंग द्वारा पहचाना जा सकता है।
• अनुपालन DMZ को माइक्रोसेगमेंट करें: अनुपालन विभाग को उच्च जोखिम वाले क्षेत्र के रूप में मानें। बहु-पक्षीय प्राधिकरण के बिना संवेदनशील डेटा को थोक में निर्यात करने की अनुपालन कर्मियों की क्षमता को सीमित करें।

वास्तुशिल्प लचीलेपन के माध्यम से उत्तरजीविता

साइबर सुरक्षा की नई वास्तविकता यह है कि पहचान ही प्राथमिक हमला वेक्टर है। चाहे वह एक समझौता किया गया उपयोगकर्ता खाता हो या एक समझौता किया गया सरकारी डोमेन, हमलावर का लक्ष्य एक विश्वसनीय इकाई का मुखौटा पहनना है। उत्तरजीविता एक ऐसे आर्किटेक्चर पर निर्भर करती है जो यह मानती है कि मुखौटा पहले से ही लगा हुआ है। लक्ष्य विश्वास श्रृंखला में विफलता के एक बिंदु को तबाही बनने से रोकना है। जैसे-जैसे रिवोल्यूट अपने आईपीओ की ओर बढ़ता है, यह साबित करने की उसकी क्षमता कि उसने विश्वसनीय प्रतिरूपण की समस्या को हल कर लिया है, उसकी सबसे महत्वपूर्ण संपत्ति होगी।

स्रोत:

• U.S. Office of the Comptroller of the Currency (OCC) official filings.
• Revolut Corporate Press Office and customer notifications.
• ZachXBT crypto-security research reports.
• Financial Conduct Authority (FCA) data protection guidelines.

अस्वीकरण: यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है। यह पेशेवर साइबर सुरक्षा ऑडिट, कानूनी सलाह या समर्पित घटना प्रतिक्रिया सेवा का स्थान नहीं लेता है। वर्णित रणनीतियों का मूल्यांकन आपके विशिष्ट संगठनात्मक ढांचे और नियामक वातावरण के संदर्भ में किया जाना चाहिए।