पोइपेट एआई स्कैम नेटवर्क ने धोखे का औद्योगीकरण कैसे किया

पीड़ित को व्हाट्सएप पर एक ऐसे नंबर से संदेश मिला जिसे वे नहीं पहचानते थे। यह एक साधारण अभिवादन के रूप में शुरू हुआ, एक डिजिटल हैंडशेक जो आकस्मिक महसूस हुआ। अगले तीन हफ्तों में, वह संदेश साझा की गई तस्वीरों, जीवन की कहानियों और अंततः, एक आकर्षक स्पॉट गोल्ड ट्रेडिंग अवसर के बारे में सुझाव के दैनिक अनुष्ठान में विकसित हो गया। जब तक पीड़ित को एहसास हुआ कि वह प्लेटफॉर्म एक कल्पना थी, तब तक उनकी जीवन भर की बचत खत्म हो चुकी थी। यह विशिष्ट हमला श्रृंखला, जिसे पिंग-ज़िंग-स्टिंग (ping-zing-sting) के रूप में जाना जाता है, ओपनएआई (OpenAI) द्वारा हाल ही में किए गए एक व्यवधान को परिभाषित करती है। कंपनी ने हाल ही में कंबोडिया के पोइपेट से उत्पन्न चैटजीपीटी (ChatGPT) खातों के एक समन्वित नेटवर्क को प्रतिबंधित कर दिया है। यह शहर स्कैम कंपाउंड्स और मानव तस्करी के लिए एक ज्ञात केंद्र है। इस ऑपरेशन ने न केवल पैसे चुराए, बल्कि इसने एक आधुनिक दास कॉलोनी की प्रशासनिक क्रूरता को स्वचालित करने के लिए जनरेटिव एआई का उपयोग किया।

मैंने कल रात एक एन्क्रिप्टेड सिग्नल कनेक्शन पर एक इंसिडेंट रिस्पोंडर से इन विशिष्ट चैटजीपीटी लॉग्स में मिले आर्टिफैक्ट्स के बारे में बात की। सामग्री की विशाल मात्रा वह है जो सबसे अलग दिखती है। अब हम केवल टूटी-फूटी अंग्रेजी में संदेश टाइप करने वाले व्यक्तिगत स्कैमर्स को नहीं देख रहे हैं। हम एक औद्योगिक असेंबली लाइन देख रहे हैं जहाँ लार्ज लैंग्वेज मॉडल्स (LLMs) बाहरी धोखाधड़ी और आंतरिक प्रबंधन दोनों के लिए प्राथमिक इंजन के रूप में कार्य करते हैं। संचार की अखंडता पहले शब्द से ही समझौतापूर्ण है। हमलावरों ने भाषा की खाई को पाटने के लिए एआई का उपयोग किया, जिससे जटिल मनोवैज्ञानिक हेरफेर को उनके लक्ष्यों की मूल भाषाओं में अनुवादित किया गया। यह खतरे के परिदृश्य की नई वास्तविकता है।

स्वचालित शोषण का भूगोल

पोइपेट कंबोडिया और थाईलैंड के बीच सीमा पर स्थित है। यह लंबे समय से व्यापार के लिए एक पारगमन बिंदु रहा है, लेकिन हाल के वर्षों में, यह संगठित अपराध समूहों का केंद्र बन गया है। ये समूह अक्सर विशाल, बाड़ वाले परिसरों (compounds) से संचालित होते हैं। ओपनएआई की रिपोर्ट स्पष्ट करती है कि नेटवर्क ने इन परिसरों के बुनियादी ढांचे को बनाए रखने के लिए चैटजीपीटी का उपयोग किया। प्रतिबंधित खातों का एक सबसेट प्रशासनिक कार्यों पर केंद्रित था। उन्होंने आंतरिक घोषणाओं का मसौदा तैयार किया और कर्मचारियों के ऋणों का दस्तावेजीकरण किया। उन्होंने परिसर के भीतर श्रमिकों के लिए वेतन कटौती, जुर्माने और ऋण चुकौती पर नज़र रखी।

एक वास्तुशिल्प स्तर से, स्कैमर्स ने चैटजीपीटी को एक कम लागत वाले मानव संसाधन विभाग के रूप में माना। उन्होंने जबरन श्रम के रसद (logistics) का प्रबंधन करने के लिए इस टूल का उपयोग किया। खातों ने वीजा ओवरस्टे, वर्क परमिट और आव्रजन स्थिति के संबंध में सामग्री तैयार की। यह प्रशासनिक परत ही इन परिसरों को बड़े पैमाने पर कार्य करने की अनुमति देती है। जब कोई कर्मचारी कोटा पूरा करने में विफल रहता है, तो सिस्टम जुर्माने का एक औपचारिक नोटिस तैयार करता है। यह केवल एक वित्तीय अपराध नहीं है। यह मानव तस्करी को सुविधाजनक बनाने के लिए एआई का उपयोग है। अभिनेताओं ने परिसरों में नए पीड़ितों को लुभाने के लिए प्रचार सामग्री बनाने के लिए भी मॉडल का उपयोग किया। उन्होंने बांग्लादेश और भारत के लोगों से $800 के मूल वेतन और $100 के उपस्थिति बोनस के साथ नौकरियों का वादा किया। आगमन पर उन्हें जो वास्तविकता मिली, वह एक जब्त पासपोर्ट और एक डिजिटल धोखाधड़ी कारखाने में मजबूर भूमिका थी।

पिंग-ज़िंग-स्टिंग के पर्दे के पीछे

हमला श्रृंखला एक कठोर तीन-चरणीय प्रक्रिया का पालन करती है। पहला चरण पिंग (ping) है। यह व्हाट्सएप या टेलीग्राम जैसे प्लेटफॉर्म पर प्रारंभिक पहुंच है। लक्ष्य लक्ष्य के संदेह को ट्रिगर किए बिना संपर्क स्थापित करना है। स्कैमर्स एआई के साथ बनाई गई सिंथेटिक पहचान का उपयोग करते हैं। वे वैधता का आभास देने के लिए जाली पासपोर्ट और कानूनी नोटिस की छवियां उत्पन्न करते हैं। इस संदर्भ में फ़िशिंग एक डिजिटल ट्रोजन हॉर्स है। प्रारंभिक संदेश हानिरहित लगता है, लेकिन यह दीर्घकालिक मनोवैज्ञानिक ऑपरेशन का पेलोड वहन करता है।

अगला ज़िंग (zing) है। यह विश्वास-निर्माण का अभ्यास है। थ्रेट एक्टर्स विस्तृत बातचीत में संलग्न होते हैं। वे तालमेल बनाने वाले संदेशों को उत्पन्न और अनुवाद करने के लिए ओपनएआई के मॉडल का उपयोग करते हैं। वे एक रोमांटिक रुचि या ऑनलाइन जुआ प्लेटफॉर्म के प्रतिनिधि के रूप में पेश आ सकते हैं। एआई उन्हें प्रत्येक पीड़ित से बोले गए विशिष्ट झूठ का ट्रैक खोए बिना एक साथ सैकड़ों बातचीत बनाए रखने की अनुमति देता है। नतीजतन, स्कैमर पीड़ित की प्रतिक्रिया के आधार पर विभिन्न आख्यानों—निवेश सलाह, रोमांटिक लालसा, या कानूनी खतरों—के बीच स्विच कर सकता है। उन्होंने लक्ष्यों को यह सूचित करने के लिए कानून प्रवर्तन एजेंसियों का रूप भी धारण किया कि उन्हें गंभीर आपराधिक अपराधों के लिए जुर्माना भरने की आवश्यकता है। एआई यह सुनिश्चित करता है कि स्वर पेशेवर और तत्काल बना रहे।

अंत में, स्टिंग (sting) होता है। एक बार जब विश्वास काफी गहरा हो जाता है, तो स्कैमर्स पीड़ितों को जमा करने या सक्रियण शुल्क का भुगतान करने का निर्देश देते हैं। वे भुगतान के प्रमाण के रूप में स्थानान्तरण और खाते की जानकारी के नकली स्क्रीनशॉट प्रदान करते हैं। पीड़ित को एक पेशेवर दिखने वाला जुआ इंटरफ़ेस या स्टॉक-खरीद पुष्टिकरण दिखाई देता है। ये संपत्तियां अक्सर प्रामाणिक दिखने के लिए एआई द्वारा उत्पन्न या स्वरूपित की जाती हैं। एक बार पैसा भेजे जाने के बाद, स्कैमर्स गायब हो जाते हैं या गैर-मौजूद मुनाफे को जारी करने के लिए अधिक शुल्क की मांग करते हैं। लक्ष्य कुछ ही दिनों में हजारों डॉलर खो देते हैं।

परिसर का प्रशासनिक इंजन

इस व्यवधान के सबसे भयावह पहलुओं में से एक यह है कि कैसे स्कैमर्स ने अपने स्वयं के कर्मचारियों को प्रबंधित करने के लिए एआई का उपयोग किया। एक पारंपरिक कॉर्पोरेट वातावरण में, एक प्रबंधक छुट्टी के कार्यक्रम के बारे में मेमो का मसौदा तैयार करने के लिए एलएलएम का उपयोग कर सकता है। पोइपेट परिसरों में, थ्रेट एक्टर्स ने अपने बंदी कार्यबल के लिए भर्ती प्रोत्साहन और वेतन कटौती का दस्तावेजीकरण करने के लिए चैटजीपीटी का उपयोग किया। उन्होंने विभिन्न भाषाएं बोलने वाले स्टाफ सदस्यों के बीच संदेशों का अनुवाद करने के लिए टूल का उपयोग किया। इसने एक बहुभाषी आपराधिक संगठन को उच्च स्तर की आंतरिक दक्षता के साथ संचालित करने की अनुमति दी।

एआई का यह अनुप्रयोग थ्रेट एक्टर के टूलकिट में एक बदलाव का प्रतिनिधित्व करता है। वे अब केवल दुर्भावनापूर्ण पेलोड के लिए एआई का उपयोग नहीं कर रहे हैं। वे अपराध सिंडिकेट की मिशन-महत्वपूर्ण व्यावसायिक प्रक्रियाओं के लिए इसका उपयोग कर रहे हैं। सक्रिय रूप से कहें तो, यह पूरे ऑपरेशन को अधिक लचीला बनाता है। मानव तस्करी के कागजी कार्रवाई को स्वचालित करके, इन संगठनों का नेतृत्व अपनी पहुंच बढ़ाने पर ध्यान केंद्रित कर सकता है। खातों ने 'चैटर' नौकरियों के लिए सोशल मीडिया विज्ञापन भी बनाए, जिसमें उड़ान टिकट, मुफ्त भोजन और एक साल के कंबोडिया वीजा के बारे में विवरण शामिल थे। ये विज्ञापन दक्षिण एशिया के कई श्रमिकों के लिए शोषण के चक्र में पहला कदम थे।

सहयोगात्मक रक्षा और मेटा की भूमिका

ओपनएआई ने अकेले काम नहीं किया। उन्होंने व्हाट्सएप के साथ साझेदारी में इस ऑपरेशन की जांच की, जिसका स्वामित्व मेटा (Meta) के पास है। यह सहयोग आवश्यक है क्योंकि स्कैम नेटवर्क शायद ही कभी खुद को एक मंच तक सीमित रखते हैं। अभिनेता पीड़ितों को एक सार्वजनिक सोशल मीडिया विज्ञापन से एक निजी मैसेजिंग ऐप और फिर एक धोखाधड़ी वाले वेब इंटरफ़ेस पर ले जाते हैं। एआई प्रदाता और मैसेजिंग प्लेटफॉर्म के बीच टेलीमेट्री साझा करके, कंपनियों ने खातों के समन्वित नेटवर्क की पहचान की।

यह संयुक्त प्रयास क्रॉस-प्लेटफॉर्म रक्षा रणनीति की आवश्यकता पर प्रकाश डालता है। जब किसी थ्रेट एक्टर को चैटजीपीटी से प्रतिबंधित किया जाता है, तो वे अपने संचालन को एक अलग एलएलएम में स्थानांतरित करने का प्रयास कर सकते हैं। हालांकि, ऐतिहासिक डेटा और उनकी "चैटर" नौकरियों को प्रबंधित करने के लिए उपयोग किए जाने वाले विशिष्ट संकेतों को खोना उनकी गति को बाधित करता है। इन खातों के नुकसान से आपराधिक समूह को अपने प्रशासनिक बुनियादी ढांचे के पुनर्निर्माण के लिए मजबूर होना पड़ता है। यह फोरेंसिक साक्ष्य भी प्रदान करता है जिसका उपयोग कानून प्रवर्तन एजेंसियों द्वारा धन की आवाजाही और परिसरों के स्थान को ट्रैक करने के लिए किया जा सकता है। पोइपेट शहर का इस प्रकार के ऑपरेशनों के साथ एक लंबा इतिहास रहा है, और यह डेटा यह स्पष्ट करने में मदद करता है कि वे जनरेटिव एआई के युग में कैसे विकसित हुए हैं।

बड़े पैमाने पर आक्रामक एआई क्षमताएं

एआई-संवर्धित आक्रामक क्षमताओं का विकास अब एक सैद्धांतिक जोखिम नहीं है। यह एक व्यापक वास्तविकता है। फ्रंटियर मॉडल को कैप्चर-द-फ्लैग मूल्यांकन के दौरान वास्तविक प्रणालियों को लक्षित करते हुए देखा गया है, लेकिन सोशल इंजीनियरिंग में उनका उपयोग बहुत अधिक सामान्य है। पोइपेट नेटवर्क दिखाता है कि एक स्कैमर के लिए एआई का प्राथमिक लाभ जरूरी नहीं कि चतुराई हो। प्राथमिक लाभ गति और पैमाना (scale) है। एक एकल ऑपरेटर नकली व्यक्तित्वों के बेड़े का प्रबंधन कर सकता है जिसके लिए पहले दर्जनों की टीम की आवश्यकता होती थी।

जोखिम के दृष्टिकोण से, यह संगठित अपराध के लिए प्रवेश की बाधा को कम करता है। उन्हें उन क्षेत्रों को लक्षित करने के लिए धाराप्रवाह अंग्रेजी या हिंदी बोलने वालों के कर्मचारियों की आवश्यकता नहीं है। उन्हें केवल एक एपीआई कुंजी और मॉडल के लिए निर्देशों के एक सेट की आवश्यकता है। इन परिसरों की विकेंद्रीकृत प्रकृति उन्हें स्थायी रूप से बंद करना मुश्किल बनाती है। जब एक स्थान पर छापा मारा जाता है, तो डिजिटल बुनियादी ढांचा अक्सर क्लाउड में बना रहता है। एआई ऑपरेशन की स्मृति और मांसपेशी बन जाता है। यह समूह को न्यूनतम डाउनटाइम के साथ एक नए स्थान पर अपने अभियान फिर से शुरू करने की अनुमति देता है।

डिजिटल रेड फ्लैग्स की पहचान करना

जैसे-जैसे ये ऑपरेशन अधिक परिष्कृत होते जा रहे हैं, स्कैम के पारंपरिक संकेत गायब हो रहे हैं। व्याकरण एकदम सही है। स्वर उचित है। जाली दस्तावेज असली लगते हैं। हालांकि, पिंग-ज़िंग-स्टिंग का अंतर्निहित तर्क वही रहता है। यदि कोई अज्ञात व्यक्ति मैसेजिंग ऐप पर बातचीत शुरू करता है और अंततः विषय को पैसे की ओर ले जाता है, तो यह एक धोखाधड़ी है। इससे कोई फर्क नहीं पड़ता कि उन्होंने कितना विश्वास बनाया है या कितनी तस्वीरें साझा की हैं। लक्ष्य हमेशा स्टिंग होता है।

संगठनों को यह भी पता होना चाहिए कि उनके कर्मचारियों को इन्हीं नेटवर्क द्वारा लक्षित किया जा सकता है। बांग्लादेश स्थित एक फर्म का कर्मचारी पोइपेट भर्ती विज्ञापन देख सकता है और अनजाने में एक वैध नौकरी साक्षात्कार के दौरान संवेदनशील कंपनी डेटा प्रदान कर सकता है। हमले की सतह केवल नेटवर्क की तकनीकी परिधि नहीं है। यह उन लोगों की सामाजिक और आर्थिक भेद्यता है जो इसके साथ बातचीत करते हैं।

मानव फ़ायरवॉल का ऑडिट करना

एआई-संचालित स्कैम नेटवर्क के खिलाफ बचाव के लिए सुरक्षा जागरूकता के प्रति हमारे दृष्टिकोण में बदलाव की आवश्यकता है। मानव फ़ायरवॉल की अवधारणा पहले से कहीं अधिक महत्वपूर्ण है। हमें साधारण फ़िशिंग सिमुलेशन से आगे बढ़ना चाहिए जो गलत वर्तनी वाले शब्दों की तलाश करते हैं। हमें लोगों को पिंग-ज़िंग-स्टिंग के मनोवैज्ञानिक पैटर्न को पहचानने के लिए प्रशिक्षित करने की आवश्यकता है। इन ऑपरेशनों के पैमाने का मतलब है कि स्मार्टफोन वाला हर व्यक्ति एक संभावित लक्ष्य है।

पर्दे के पीछे, एआई प्रदाता इस प्रकार के दुरुपयोग को रोकने के लिए अपने सुरक्षा फिल्टर को लगातार परिष्कृत कर रहे हैं। हालांकि, थ्रेट एक्टर्स रचनात्मक हैं। वे हमेशा इन नियंत्रणों को बायपास करने के तरीके खोजेंगे। नतीजतन, सबसे प्रभावी बचाव तकनीकी प्रवर्तन और सार्वजनिक शिक्षा का संयोजन है। हमें हर अनचाहे संदेश को एक आपराधिक नेटवर्क के लिए संभावित प्रवेश बिंदु के रूप में मानना चाहिए। पोइपेट व्यवधान एक सफलता है, लेकिन यह एक बहुत लंबे युद्ध में एक लड़ाई है।

अपने संगठन की संचार नीतियों का ऑडिट करें और सुनिश्चित करें कि कर्मचारी जानते हैं कि संदिग्ध पहुंच की रिपोर्ट कैसे करें। सभी कॉर्पोरेट और व्यक्तिगत खातों पर सख्त मल्टी-फैक्टर ऑथेंटिकेशन (MFA) लागू करें। ये कदम रक्षा की एक ऐसी परत प्रदान करते हैं जिसे एआई-जनरेटेड आकर्षण आसानी से पार नहीं कर सकता।

स्रोत: OpenAI Threat Intelligence Report, Meta Security Research, MITRE ATT&CK Framework for Social Engineering.

अस्वीकरण: यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है। यह पेशेवर साइबर सुरक्षा ऑडिट या इंसिडेंट रिस्पॉन्स सेवा का स्थान नहीं लेता है।