यूपीआई अकाउंट के लिए नया साइबर खतरा: ‘डिजिटल लुटेरा’ टूलकिट
डिजिटल पेमेंट के बढ़ते चलन के साथ साइबर ठगों ने भी अपने तरीकों में बड़ा बदलाव किया है। हाल ही में सरकार द्वारा सिम बाइंडिंग को अनिवार्य किए जाने के बाद ऑनलाइन धोखाधड़ी में कमी आई थी। इस नियम के तहत कोई भी यूपीआई या बैंकिंग ऐप केवल उसी मोबाइल में काम करता है जिसमें आपका रजिस्टर्ड सिम लगा हो। लेकिन अब साइबर अपराधियों ने इस सुरक्षा व्यवस्था को भी तोड़ने का एक नया और खतरनाक तरीका ढूंढ लिया है। साइबर सुरक्षा शोधकर्ताओं ने एक ऐसे टूलकिट का पर्दाफाश किया है जिसे ‘डिजिटल लुटेरा’ नाम दिया गया है।
क्या है ‘डिजिटल लुटेरा’ टूलकिट?
यह एक विशेष प्रकार का फ्रॉड सॉफ्टवेयर है जिसे खासतौर पर भारत के डिजिटल भुगतान तंत्र को निशाना बनाने के लिए विकसित किया गया है। आम मैलवेयर के विपरीत यह सीधे आपके पेटीएम, फोनपे या अन्य बैंकिंग ऐप को हैक नहीं करता। बल्कि यह आपके एंड्रॉयड फोन के मुख्य सिस्टम में सेंध लगाकर उसमें बदलाव कर देता है। खतरे की बात यह है कि यह टूलकिट टेलीग्राम जैसे प्लेटफॉर्म पर साइबर अपराधियों के बीच खुलेआम बेचा और बांटा जा रहा है।
हमला कैसे होता है?
यह हमला सीधे आपके फोन के एसएमएस सिस्टम को निशाना बनाकर किया जाता है। पूरी प्रक्रिया कई चरणों में पूरी होती है:
- फर्जी एपीके फाइल का झांसा: शुरुआत आपके फोन में एक फर्जी एप इंस्टॉल कराने से होती है। हैकर्स व्हाट्सएप या एसएमएस के जरिए ट्रैफिक चालान, बिजली बिल कटने की चेतावनी या शादी के ई-कार्ड के रूप में एक एपीके फाइल भेजते हैं।
- एसएमएस की अनुमति लेना: जैसे ही आप अनजाने में यह एप इंस्टॉल करते हैं, यह आपसे आपके मैसेज पढ़ने और भेजने की परमिशन मांग लेता है।
- ओटीपी की चोरी: अब यह एप आपके फोन के बैकग्राउंड में छुपकर काम करता है। जैसे ही बैंक से कोई ओटीपी आता है, यह उसे तुरंत चुराकर हैकर को भेज देता है।
- हैकर्स की लॉगिन कोशिश: हैकर अपने फोन में एप का एक संशोधित वर्जन खोलकर आपके खाते में लॉगिन करने की कोशिश करता है।
- सिस्टम को चकमा देना: चूंकि वेरिफिकेशन का मैसेज आपके असली सिम से ही भेजा जाता है, टेलीकॉम कंपनियों और बैंक को लगता है कि लॉगिन आप ही कर रहे हैं।
- खाते पर कब्जा: इसके बाद हैकर आपके यूपीआई पिन को रीसेट कर देता है, नया पिन सेट करता है और आपके बैंक खाते पर पूरा नियंत्रण हासिल कर लेता है।
यह खतरा इतना गंभीर क्यों है?
इस हमले की सबसे चिंताजनक बात यह है कि पूरी प्रक्रिया के दौरान आपको किसी भी तरह की कोई जानकारी नहीं मिलती। आपका यूपीआई अकाउंट किसी दूसरे के फोन में रजिस्टर हो जाता है और सारा काम बैकग्राउंड में चुपचाप हो जाता है। ऐसा इसलिए संभव हो पाता है क्योंकि मौजूदा वित्तीय प्रणाली में सिर्फ मोबाइल नंबर को ही डिवाइस के असली मालिक की पहचान के लिए पर्याप्त मान लिया जाता है।
राहत की बात यह है कि साइबर सुरक्षा फर्म क्लाउडएसईके ने अपनी यह रिपोर्ट बैंकों और सुरक्षा एजेंसियों के साथ साझा कर दी है। इससे इस तरह के हमलों को रोकने के लिए जल्द ही नए सुरक्षा उपाय विकसित किए जा सकेंगे। फिलहाल उपयोगकर्ताओं को सलाह दी जाती है कि वे किसी भी अनजान स्रोत से आई एपीके फाइल को इंस्टॉल न करें और अपने फोन की सुरक्षा सेटिंग्स को हमेशा अपडेट रखें।