खबरों में क्यों?
भारत के प्रतिभूति नियामक (securities regulator) ने कंपनियों को बढ़ते "बॉस स्कैम" (boss scam) के बारे में चेतावनी दी है। अपराधी वरिष्ठ अधिकारियों का रूप धारण करते हैं और तत्काल वित्तीय कार्रवाई की मांग करते हैं। कुछ हमले डीपफेक कॉल या चुराए गए मैसेजिंग सत्रों का उपयोग करते हैं। नियामक ने फर्मों को भुगतान सत्यापन को मजबूत करने के लिए कहा।
पृष्ठभूमि
बॉस स्कैम एक कार्यकारी प्रतिरूपण (executive impersonation) धोखाधड़ी है; अपराधी एक भरोसेमंद वरिष्ठ संगठनात्मक अधिकारी होने का दिखावा करता है।
लक्ष्य आमतौर पर वह व्यक्ति होता है जो भुगतान को मंजूरी दे सकता है या संसाधित कर सकता है।
जालसाज अत्यावश्यकता, गोपनीयता और वरिष्ठ की बात न मानने का डर पैदा करता है।
ये दबाव किसी कर्मचारी को सामान्य सत्यापन चरणों को अनदेखा करने के लिए मजबूर कर सकते हैं。
धोखाधड़ी व्यावसायिक ईमेल समझौते (business email compromise) जैसी दिखती है, लेकिन यह कई संचार प्लेटफार्मों का उपयोग कर सकती है।
नवीनतम चेतावनी किसने जारी की?
भारतीय प्रतिभूति और विनिमय बोर्ड (Securities and Exchange Board of India) को संक्षेप में SEBI कहा जाता है; यह बाजारों को नियंत्रित करता है और निवेशकों के हितों की रक्षा करता है।
भारतीय साइबर अपराध समन्वय केंद्र (Indian Cyber Crime Coordination Centre) द्वारा अलर्ट जारी करने के बाद SEBI ने 17 जुलाई 2026 को चेतावनी जारी की।
इस केंद्र को संक्षेप में I4C कहा जाता है और यह केंद्रीय गृह मंत्रालय के तहत काम करता है।
SEBI ने विनियमित संस्थाओं और सूचीबद्ध कंपनियों को संबोधित किया क्योंकि हमलावर उनके वरिष्ठ कर्मियों को निशाना बना रहे थे।
सामान्य लक्ष्य कौन हैं?
- मुख्य वित्तीय अधिकारी (CFO) और वित्त अधिकारियों के पास बड़े भुगतान, रिकॉर्ड और बैंक निर्देशों का नियंत्रण हो सकता है।
- लेखा कर्मचारियों (Accounts staff) को वरिष्ठ अधिकारियों से तत्काल भुगतान अनुरोध प्राप्त हो सकते हैं।
- सचिवीय दल गोपनीय कंपनी जानकारी संभाल सकते हैं।
- वरिष्ठ प्रबंधकों को विक्रेताओं और प्रमुख लेनदेन पर अधिकार हो सकता है।
एक मुख्य कार्यकारी अधिकारी को संक्षेप में CEO कहा जाता है; एक प्रबंध निदेशक को संक्षेप में MD कहा जाता है।
अपराधी आमतौर पर इन अधिकारियों के नाम, तस्वीर या संचार शैली की नकल करते हैं।
पहली हमले की विधि कैसे काम करती है?
- हमलावर कंपनी का अध्ययन करता है और सार्वजनिक तस्वीरें, वीडियो और वॉयस रिकॉर्डिंग इकट्ठा करता है।
- कृत्रिम बुद्धिमत्ता (AI) एक आश्वस्त करने वाली कॉल या संदेश के लिए एक नकली आवाज या वीडियो बना सकती है।
- तथाकथित बॉस एक गोपनीय लेनदेन का वर्णन करता है और लक्ष्य को सहयोगियों से बचने का आदेश देता है।
- स्वतंत्र सत्यापन होने से पहले पैसा ट्रांसफर कर दिया जाता है।
डीपफेक एक सिंथेटिक ऑडियो, वीडियो या इमेजरी है जो किसी वास्तविक व्यक्ति की नकल करता है।
हमलावर व्हाट्सएप, माइक्रोसॉफ्ट टीम्स या इसी तरह के प्लेटफॉर्म पर फर्जी ग्रुप भी बना सकते हैं।
कई नकली प्रतिभागी अनुरोध को आंतरिक रूप से स्वीकृत दिखा सकते हैं।
बाजार-संवेदनशील जानकारी कहानी का हिस्सा कैसे बन सकती है?
जालसाज यह दावा कर सकता है कि गोपनीयता एक सौदे की रक्षा करती है; अनुरोध में अप्रकाशित मूल्य संवेदनशील जानकारी (Unpublished Price Sensitive Information) का उल्लेख हो सकता है।
इस शब्द को संक्षेप में UPSI कहा जाता है; इसका अर्थ गैर-सार्वजनिक जानकारी है जो किसी प्रतिभूति की कीमत को महत्वपूर्ण रूप से प्रभावित कर सकती है।
उदाहरणों में अप्रकाशित वित्तीय परिणाम, विलय (mergers) या बड़े व्यावसायिक परिवर्तन शामिल हैं।
कर्मचारी को दूसरों से जांच करने से हतोत्साहित करने के लिए एक अपराधी इस भाषा का उपयोग करता है।
चेतावनी संकेत: वास्तविक गोपनीयता कभी भी अधिकृत भुगतान-सत्यापन प्रक्रिया की आवश्यकता को समाप्त नहीं करती है।
दूसरी हमले की विधि कैसे काम करती है?
- लक्ष्य को एक ज़िप (ZIP) फ़ाइल प्राप्त होती है जिसमें एक्ज़ीक्यूटेबल (executable) या डायनेमिक लिंक लाइब्रेरी (Dynamic Link Library) घटक होते हैं।
- फ़ाइल खोलने से मैलवेयर इंस्टॉल हो जाता है जो एक सक्रिय व्हाट्सएप वेब सत्र टोकन चुरा लेता है।
- अपराधी खातों के कर्मचारियों को भुगतान निर्देश भेजने के लिए लाइव सत्र का उपयोग करता है।
- पैसा आपराधिक नेटवर्क द्वारा नियंत्रित खातों तक पहुंचता है।
एक एक्ज़ीक्यूटेबल फ़ाइल में ऐसे निर्देश होते हैं जिन्हें कंप्यूटर चला सकता है।
एक डायनेमिक लिंक लाइब्रेरी में वह कोड होता है जिसे सॉफ़्टवेयर आवश्यकता पड़ने पर लोड कर सकता है।
एक सत्र टोकन यह साबित करता है कि कोई उपयोगकर्ता पहले ही किसी ऑनलाइन सेवा में लॉग इन कर चुका है।
उस टोकन को चुराने से लॉगिन स्क्रीन को बायपास किया जा सकता है; हमलावर समझौता किए गए डिवाइस पर संपर्कों को भी बदल सकता है।
फिर CEO या MD के नाम के नीचे एक आपराधिक नंबर दिखाई दे सकता है।
म्यूल खाता (mule account) क्या है?
एक म्यूल खाता आपराधिक ऑपरेशन के लिए धन प्राप्त करता है या ले जाता है।
इसका धारक इसमें शामिल हो सकता है या उसे धोखा दिया जा सकता है; जालसाज जल्दी से चोरी किए गए धन को ऐसे कई खातों में विभाजित कर देते हैं।
यह आंदोलन वसूली और ट्रैसिंग को और अधिक कठिन बना देता है।
क्या बॉस के खाते को हमेशा हैक करने की आवश्यकता होती है?
नहीं; असली कार्यकारी के खाते से समझौता किए बिना भी आश्वस्त प्रतिरूपण सफल हो सकता है।
एक कॉपी की गई तस्वीर और समान प्रदर्शन नाम पर्याप्त हो सकता है।
एक नकली ईमेल पता वास्तविक पते से एक अक्षर से भिन्न हो सकता है।
एक छोटी कॉल के दौरान डीपफेक ऑडियो कार्यकारी की नकल कर सकता है।
कुछ हमले किसी खाते या सक्रिय सत्र से समझौता करते हैं, लेकिन यह आवश्यक नहीं है।
मुख्य स्पष्टीकरण: एक बॉस स्कैम प्रतिरूपण विधि का वर्णन करता है; यह हमेशा यह साबित नहीं करता है कि बॉस हैक हो गया था।
कर्मचारियों को किन चेतावनी संकेतों पर ध्यान देना चाहिए?
- अनुरोध में सामान्य अनुमोदन प्रक्रिया के बाहर तत्काल कार्रवाई की मांग की जाती है।
- प्रेषक जोर देकर कहता है कि किसी और को पता नहीं होना चाहिए।
- भुगतान किसी नए या हाल ही में बदले गए खाते में जाता है।
- संदेश किसी अपरिचित नंबर या थोड़े बदले हुए पते से आता है।
- प्रेषक टेलीफोन सत्यापन को हतोत्साहित करता है या अप्रत्याशित सॉफ़्टवेयर स्थापित करने का अनुरोध करता है।
- भाषा, समय या व्यवहार कार्यकारी के सामान्य व्यवहार से भिन्न होता है।
संगठन धोखाधड़ी को कैसे रोक सकते हैं?
- कर्मचारियों को पहले से ज्ञात नंबर के माध्यम से कार्यकारी को कॉल करना चाहिए।
- बड़े भुगतानों के लिए एक से अधिक अधिकृत व्यक्ति से अनुमोदन की आवश्यकता होनी चाहिए।
- बैंक-विवरण परिवर्तनों की पुष्टि एक अलग संचार चैनल के माध्यम से की जानी चाहिए।
- कर्मचारियों को कभी भी केवल डिजिटल संदेश पर निर्भर नहीं रहना चाहिए।
- अज्ञात एक्ज़ीक्यूटेबल फ़ाइलें नहीं खोली जानी चाहिए या इंस्टॉल नहीं की जानी चाहिए।
- कंपनियों को अप्रयुक्त व्हाट्सएप वेब सत्रों को लॉग आउट करना चाहिए और नियमित रूप से वित्त और खाता टीमों को प्रशिक्षित करना चाहिए।
- भुगतान प्रणालियों को मजबूत ऑडिट ट्रेल्स (audit trails) और लेनदेन अलर्ट बनाए रखना चाहिए।
स्वतंत्र सत्यापन का अर्थ है संदिग्ध प्रेषक द्वारा आपूर्ति नहीं किए गए चैनल के माध्यम से जांच करना।
उदाहरण के लिए, कर्मचारियों को संदेश के अंदर के नंबर के बजाय कंपनी निर्देशिका का उपयोग करना चाहिए।
पीड़ित को क्या करना चाहिए?
पीड़ित को तुरंत बैंक से संपर्क करना चाहिए और लेनदेन को ब्लॉक करने का अनुरोध करना चाहिए।
साइबर वित्तीय धोखाधड़ी की शिकायत राष्ट्रीय हेल्पलाइन नंबर 1930 के माध्यम से की जा सकती है।
राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल के माध्यम से भी शिकायत दर्ज की जा सकती है।
प्रभावित संगठन को संदेश, नंबर, फ़ाइलें और लेनदेन रिकॉर्ड सुरक्षित रखने चाहिए।
तेजी से रिपोर्टिंग करने से धन के आगे बढ़ने से पहले उसके फ्रीज होने की संभावना में सुधार होता है।
निष्कर्ष
बॉस स्कैम तकनीकी कमजोरी की तुलना में विश्वास का अधिक फायदा उठाते हैं; एक छोटी स्वतंत्र जांच एक बड़े और अपरिवर्तनीय भुगतान को रोक सकती है।