ਭਾਰਤ ਦੇ ਵਿੱਤੀ ਢਾਂਚੇ ਨੂੰ ਲੈ ਕੇ ਚਿੰਤਾਜਨਕ ਖੁਲਾਸਾ ਸਾਹਮਣੇ ਆਇਆ ਹੈ। ਦਿ ਇਕੋਨਾਮਿਕ ਟਾਈਮਜ਼ ਦੀ ਜਾਂਚ ਰਿਪੋਰਟ ਮੁਤਾਬਕ, ਇਸ ਮਹੀਨੇ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਹੋਏ ਸਾਈਬਰ ਹਮਲਿਆਂ ਦੇ ਇੱਕ ਸਿਲਸਿਲੇ ਵਿੱਚ ਲਗਭਗ 20 ਭਾਰਤੀ ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ ਪ੍ਰਭਾਵਿਤ ਹੋਈਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਬੈਂਕ, ਗੈਰ-ਬੈਂਕਿੰਗ ਵਿੱਤੀ ਕੰਪਨੀਆਂ (NBFCs) ਅਤੇ ਫਿਨਟੈਕ ਫਰਮਾਂ ਸ਼ਾਮਲ ਹਨ। ਹਮਲਾਵਰਾਂ ਨੇ ਭੁਗਤਾਨ ਅਤੇ ਕਰਜ਼ਾ-ਵੰਡ ਨਾਲ ਜੁੜੇ API (ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰੋਗਰਾਮਿੰਗ ਇੰਟਰਫੇਸ) ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਸਾਥੀ ਬੈਂਕਾਂ ਦੇ ਚੋਰੀ ਕੀਤੇ ਲੌਗਇਨ ਕਰੇਡੈਂਸ਼ਲਾਂ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ।

ਰਿਪੋਰਟ ਅਨੁਸਾਰ ਹਮਲਾਵਰ ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ ਦੇ ਆਪਣੇ ਹੀ ਭਰੋਸੇਯੋਗ (ਵ੍ਹਾਈਟਲਿਸਟਡ) ਸਿਸਟਮਾਂ ਦੇ ਅੰਦਰੋਂ ਭੁਗਤਾਨ API ਨੂੰ ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਬੁਲਾ ਕੇ ਰਕਮਾਂ ਟਰਾਂਸਫਰ ਕਰ ਰਹੇ ਸਨ। ਇਸ ਤਰ੍ਹਾਂ ਗ੍ਰਾਹਕ ਦੀ ਪਛਾਣ (KYC), ਕਰਜ਼ਾ ਮੰਜ਼ੂਰੀ, ਲਾਭਾਰਥੀ ਦੀ ਤਸਦੀਕ ਅਤੇ ਪ੍ਰਤੀ-ਲੈਣ-ਦੇਣ ਸੀਮਾ ਵਰਗੇ ਸਾਰੇ ਆਮ ਕੰਟਰੋਲ ਬਾਈਪਾਸ ਹੋ ਗਏ। ਚੋਰੀ ਕੀਤੀ ਰਕਮ IMPS ਅਤੇ NEFT ਰੇਲਾਂ ਰਾਹੀਂ ਕਈ ਬੈਂਕਾਂ ਦੇ ਖਾਤਿਆਂ ਵਿੱਚ ਮੂਲ ਖਾਤਿਆਂ (mule accounts) ਵੱਲ ਭੇਜੀ ਗਈ ਅਤੇ ਤੁਰੰਤ ਕੱਢ ਲਈ ਗਈ। ਕੁੱਲ ਨੁਕਸਾਨ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਰਕਮ ਹਾਲੇ ਜਨਤਕ ਨਹੀਂ ਹੋਈ।

ਇਸ ਮੁਹਿੰਮ ਦੇ ਜਵਾਬ ਵਿੱਚ ਭਾਰਤ ਦੀ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਏਜੰਸੀ CERT-In ਨੇ ਆਪਣੀ ਵਿੱਤੀ-ਸੈਕਟਰ ਟੀਮ CSIRT-Fin ਦੇ ਨਾਲ ਮਿਲ ਕੇ 9 ਅਕਤੂਬਰ 2026 ਨੂੰ ਇੱਕ “ਗੰਭੀਰ” (Critical) ਸਲਾਹਕਾਰੀ ਜਾਰੀ ਕੀਤੀ ਸੀ, ਜਿਸ ਨੂੰ CIAD-2026-0046 ਨੰਬਰ ਦਿੱਤਾ ਗਿਆ। ਸਲਾਹਕਾਰੀ ਵਿੱਚ NBFCs, ਡਿਜੀਟਲ ਕਰਜ਼ਾ ਪਲੇਟਫਾਰਮਾਂ, ਫਿਨਟੈਕ ਫਰਮਾਂ, ਭੁਗਤਾਨ ਸੇਵਾ ਪ੍ਰਦਾਤਾਵਾਂ ਅਤੇ ਵਾਲਟ ਆਪਰੇਟਰਾਂ ਨੂੰ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਗਈ ਹੈ ਕਿ ਹਮਲਾਵਰ ਇੰਟਰਨੈੱਟ ‘ਤੇ ਖੁੱਲ੍ਹੇ ਐਪਲੀਕੇਸ਼ਨਾਂ, API ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਲੇ ਪੁਆਇੰਟਾਂ ਨੂੰ ਤੋੜ ਕੇ ਪੇਮੈਂਟ ਐਗਰੀਗੇਟਰ ਅਤੇ ਗੇਟਵੇ ਕਰੇਡੈਂਸ਼ਲ ਚੋਰੀ ਕਰ ਰਹੇ ਹਨ। ਇਸ ਵਿੱਚ ਇਹ ਵੀ ਕਿਹਾ ਗਿਆ ਹੈ ਕਿ ਹਮਲਿਆਂ ਵਿੱਚ AI-ਸਹਾਇਤਾ ਵਾਲੇ ਹਥਿਆਰਾਂ ਦੀ ਸੰਭਾਵੀ ਵਰਤੋਂ ਹੋ ਸਕਦੀ ਹੈ, ਹਾਲਾਂਕਿ ਇਸ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੋਈ।

CERT-In ਨੇ ਸੰਸਥਾਵਾਂ ਨੂੰ ਚੋਰੀ ਹੋਏ ਇੰਟਰਫੇਸ ਤੁਰੰਤ ਬੰਦ ਕਰਨ, ਲੈਣ-ਦੇਣ ਦੀ ਸੁਰੱਖਿਆ ਮਜ਼ਬੂਤ ਕਰਨ ਅਤੇ ਗ੍ਰਾਹਕ ਤਸਦੀਕ ਕਸਣ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਹੈ। ਫਰਮਾਂ ਨੇ ਹਮਲਿਆਂ ਤੋਂ ਬਾਅਦ ਆਪਣੇ ਭੁਗਤਾਨ ਅਤੇ ਵੰਡ API ‘ਤੇ ਅਪਾਤਕਾਲੀ ਪਾਬੰਦੀਆਂ ਲਗਾ ਦਿੱਤੀਆਂ ਹਨ।

ਮਾਹਰਾਂ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਇਹ ਘਟਨਾ ਭਾਰਤ ਦੇ ਤੇਜ਼ੀ ਨਾਲ ਫੈਲ ਰਹੇ ਡਿਜੀਟਲ ਭੁਗਤਾਨ ਢਾਂਚੇ ਲਈ ਸਭ ਤੋਂ ਗੰਭੀਰ ਹਾਲੀਆ ਖਤਰਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ, ਅਤੇ API ਸੁਰੱਖਿਆ, ਕਰੇਡੈਂਸ਼ਲ ਰੋਟੇਸ਼ਨ ਅਤੇ ਲਾਭਾਰਥੀ ਤਸਦੀਕ ਹੁਣ ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ ਲਈ ਸਭ ਤੋਂ ਉੱਚ ਤਰਜੀਹ ਬਣ ਗਏ ਹਨ।

ਮੁੱਖ ਗੱਲਾਂ

• ਭਾਰਤ ਦੀਆਂ ਲਗਭਗ 20 ਵਿੱਤੀ ਸੰਸਥਾਵਾਂ — ਬੈਂਕ, NBFCs ਅਤੇ ਫਿਨਟੈਕ ਕੰਪਨੀਆਂ — ‘ਤੇ ਸਾਈਬਰ ਹਮਲਿਆਂ ਦਾ ਖੁਲਾਸਾ (ਦਿ ਇਕੋਨਾਮਿਕ ਟਾਈਮਜ਼ ਦੀ ਜਾਂਚ, 15 ਅਕਤੂਬਰ)
• ਹਮਲਾਵਰਾਂ ਨੇ ਚੋਰੀ ਕੀਤੇ ਸਾਥੀ-ਬੈਂਕ API ਕਰੇਡੈਂਸ਼ਲਾਂ ਰਾਹੀਂ ਭੁਗਤਾਨ ਅਤੇ ਕਰਜ਼ਾ-ਵੰਡ API ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ
• KYC, ਕਰਜ਼ਾ ਮੰਜ਼ੂਰੀ, ਲਾਭਾਰਥੀ ਤਸਦੀਕ ਅਤੇ ਲੈਣ-ਦੇਣ ਸੀਮਾਵਾਂ ਵਰਗੇ ਕੰਟਰੋਲ ਬਾਈਪਾਸ; ਰਕਮਾਂ ਮੂਲ ਖਾਤਿਆਂ ਵਿੱਚ IMPS/NEFT ਰਾਹੀਂ ਭੇਜੀਆਂ ਗਈਆਂ
• CERT-In ਨੇ CSIRT-Fin ਨਾਲ ਮਿਲ ਕੇ 9 ਅਕਤੂਬਰ ਨੂੰ CIAD-2026-0046 “ਗੰਭੀਰ” ਸਲਾਹਕਾਰੀ ਜਾਰੀ ਕੀਤੀ; ਹਮਲਿਆਂ ਵਿੱਚ AI ਹਥਿਆਰਾਂ ਦੀ ਸੰਭਾਵੀ ਵਰਤੋਂ ਦਾ ਜ਼ਿਕਰ
• ਸੰਸਥਾਵਾਂ ਨੇ API ‘ਤੇ ਅਪਾਤਕਾਲੀ ਪਾਬੰਦੀਆਂ ਲਗਾਈਆਂ; ਕੁੱਲ ਵਿੱਤੀ ਨੁਕਸਾਨ ਦੀ ਪੁਸ਼ਟੀ ਰਕਮ ਹਾਲੇ ਜਨਤਕ ਨਹੀਂ