AI ഉപയോഗിച്ച് നിർമ്മിച്ച വ്യാജ ബാങ്കിംഗ് ആപ്പുകൾ: ഉത്തരവാദി ആര്?

കാൺപൂരിൽ നിന്നുള്ള 18 വയസ്സുള്ള, 11-ാം ക്ലാസ്സിൽ പഠനം നിർത്തിയ ഒരു യുവാവ്, സൗജന്യ യൂട്യൂബ് ട്യൂട്ടോറിയലുകളും AI കോഡിംഗ് ടൂളുകളും ഉപയോഗിച്ച് 121 വ്യാജ ബാങ്കിംഗ് ആപ്പുകൾ നിർമ്മിച്ചു. ജാർഖണ്ഡിലെ ജാംതാരയിലും ഹരിയാനയിലും രാജസ്ഥാനിലും ഉള്ള സൈബർ കുറ്റവാളി സംഘങ്ങൾക്ക് പ്രതിമാസം ഓരോ ആപ്പിനും ₹15,000 എന്ന സബ്സ്ക്രിപ്ഷൻ നിരക്കിൽ അവൻ അവ വിറ്റു — അപ്ഡേറ്റുകൾ ഉൾപ്പെടെ, ഒരു SaaS സോഫ്റ്റ്‌വെയർ പോലെ തന്നെ. ഈ ആപ്പുകൾ SBI, PNB, ആക്സിസ് ബാങ്ക്, ICICI, UCO ബാങ്ക്, കൂടാതെ ആധാർ, PM-കിസാൻ പോർട്ടലുകൾ എന്നിവയുടെ ഏതാണ്ട് അതേപടിയുള്ള പകർപ്പുകളായിരുന്നു.

സൂററ്റ് പോലീസ് സൈബർ സെൽ അവനെ പിടികൂടുന്നതിന് മുമ്പ് 2,928 പേർക്ക് ₹64.38 കോടി നഷ്ടപ്പെട്ടിരുന്നു.

ഹാക്കിംഗ് വൈദഗ്ധ്യം ആവശ്യമില്ല. ക്രിമിനൽ ശൃംഖലകളുമായുള്ള ബന്ധവും ആവശ്യമില്ല. ഒരു ലാപ്ടോപ്പ്, കുറച്ച് ട്യൂട്ടോറിയലുകൾ, വിശ്വസനീയമായ ആപ്പ് കോഡ് എഴുതുന്ന ഒരു AI മോഡൽ — ഇത്രമാത്രം മതി. ഫീൽഡ് കളക്ഷൻ നടത്തുന്ന ഏതൊരു ധനകാര്യ സ്ഥാപനവും ആശങ്കപ്പെടേണ്ട കാര്യം ഇതാണ് — നിങ്ങളുടെ ആപ്പിന്റെ വ്യാജ പതിപ്പ് നിർമ്മിക്കാനുള്ള തടസ്സം ഇപ്പോൾ ഏതാണ്ട് പൂജ്യമായി ചുരുങ്ങിയിരിക്കുന്നു.

ഇത് വെറും "നഗര തട്ടിപ്പ്" പ്രശ്നം മാത്രമല്ല

സൂററ്റ് കേസ് സ്വയം ആപ്പ് ഇൻസ്റ്റാൾ ചെയ്യുന്നവരെ ലക്ഷ്യമിട്ടതായിരുന്നു — വ്യാജ SBI ആപ്പ്, വ്യാജ ലോൺ ആപ്പ്. പിഗ്മി, ഡോർസ്റ്റെപ്പ് ബാങ്കിംഗിൽ ലക്ഷ്യം വ്യത്യസ്തമാണ്, ഒരുപക്ഷേ കൂടുതൽ എളുപ്പവും: അംഗം ഒരിക്കലും ഒന്നും ഇൻസ്റ്റാൾ ചെയ്യുന്നില്ല. ഏജന്റ് ചെയ്യുന്നു.

ഫീൽഡ് കളക്ഷനിൽ യഥാർത്ഥത്തിൽ എവിടെയൊക്കെ പിഴവ് സംഭവിക്കാം എന്ന് ചിന്തിക്കുക:

ഏജന്റിന്റെ കളക്ഷൻ ആപ്പിന്റെ വ്യാജ പതിപ്പ്. ഏജന്റിന്റെ ഫോൺ ഒരു ഓപ്പൺ ആൻഡ്രോയിഡ് ഉപകരണമാണെങ്കിൽ, യഥാർത്ഥ കളക്ഷൻ ആപ്പ് പോലെ തന്നെ കാണപ്പെടുന്ന ഒരു APK സൈഡ്‌ലോഡ് ചെയ്യുന്നത് ഒന്നും തടയുന്നില്ല — അതേ ഐക്കൺ, അതേ ലോഗിൻ സ്ക്രീൻ. ഇത് ക്രെഡൻഷ്യലുകൾ പിടിച്ചെടുത്ത ശേഷം നിശബ്ദമായി യഥാർത്ഥ ആപ്പിലേക്ക് കൈമാറുന്നു, ഏജന്റ് ഒന്നും ശ്രദ്ധിക്കുന്നില്ല. രോഹിത് ശാക്യയുടെ ബിസിനസ് മോഡൽ, ഇത് ഇപ്പോൾ ഒരു സാധാരണ, പ്രതിമാസ സബ്സ്ക്രിപ്ഷൻ സേവനമായി മാറിയെന്ന് തെളിയിക്കുന്നു — പണം നൽകാൻ തയ്യാറുള്ള ആർക്കും.

അംഗത്തിന് കാണിക്കുന്ന വ്യാജ പേയ്‌മെന്റ് സ്ഥിരീകരണം. അംഗം ഡോർസ്റ്റെപ്പ് പിഗ്മി നിക്ഷേപത്തിൽ ₹500 നൽകുന്നു. ഏജന്റിന്റെ ഉപകരണത്തിലെ ആപ്പ് ബാങ്കിന്റെ യഥാർത്ഥ സിസ്റ്റവുമായി ക്രിപ്റ്റോഗ്രാഫിക് ആയി ബന്ധിപ്പിച്ചിട്ടില്ലെങ്കിൽ, പണം യഥാർത്ഥത്തിൽ ബാങ്കിന്റെ ലെഡ്ജറിൽ എത്തിയോ അതോ വെറും വ്യാജ സ്ക്രീനിൽ രേഖപ്പെടുത്തിയോ എന്ന് അംഗത്തിനോ ബാങ്കിനോ സ്വതന്ത്രമായി സ്ഥിരീകരിക്കാൻ വഴിയില്ല.

യഥാർത്ഥ ആപ്പിനൊപ്പം സഞ്ചരിക്കുന്ന മാൽവെയർ. യഥാർത്ഥ കളക്ഷൻ ആപ്പ് പ്രവർത്തിക്കുന്ന അതേ വ്യക്തിഗത ഫോണിൽ തന്നെ, വാട്സ്ആപ്പ് ഫോർവേഡോ പരസ്യമോ ബോധ്യപ്പെടുത്തുന്നതെന്തും ഏജന്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്നു. സൂററ്റ് കേസിൽ വിവരിച്ച വ്യാജ ബാങ്കിംഗ് ആപ്പുകൾക്ക് കൃത്യമായി ഇത്തരത്തിലുള്ള ഒരു ഉപകരണം ആവശ്യമാണ് — ഏത് APK ഇൻസ്റ്റാളേഷനെയും ഒന്നും തടയാത്തത്.

ഈ സാമ്പത്തിക സാഹചര്യം ഇനി കൂടുതൽ വഷളാകുമെന്നല്ലാതെ മെച്ചപ്പെടില്ല. മുമ്പ് വ്യാജ ആപ്പ് നിർമ്മിക്കാൻ ഒരു ഡെവലപ്പർ വേണമായിരുന്നു. ഇപ്പോൾ വേണ്ടത് ഒരു പ്രോംപ്റ്റ് മാത്രമാണ്.

ഇത് സംഭവിക്കുമ്പോൾ യഥാർത്ഥത്തിൽ ഉത്തരവാദി ആരാണ്?

ബാങ്ക് മാനേജ്മെന്റിന് ഏറ്റവും പ്രധാനപ്പെട്ട ചോദ്യം ഇതാണ്, സത്യസന്ധമായ ഉത്തരത്തിന് പല തലങ്ങളുണ്ട്.

ഉപഭോക്തൃ ബാധ്യതയ്ക്ക് RBI ഒരു കുറഞ്ഞ പരിധി നിശ്ചയിക്കുന്നു. അനധികൃത ഇലക്ട്രോണിക് ഇടപാടുകളിൽ ഉപഭോക്തൃ ബാധ്യത പരിമിതപ്പെടുത്തുന്ന RBI-യുടെ 2017-ലെ സർക്കുലർ, മൂന്നാം കക്ഷിയുടെ ലംഘനത്തിൽ നിന്ന് ഉത്ഭവിക്കുകയും ഉപഭോക്താവ് ന്യായമായ സമയത്തിനുള്ളിൽ പരാതിപ്പെടുകയും ചെയ്യുന്ന നഷ്ടങ്ങൾക്ക് ബാങ്കുകളെ ഉത്തരവാദികളാക്കുന്നു. ആ സർക്കുലർ ഡിജിറ്റൽ ബാങ്കിംഗ് തട്ടിപ്പ് മുൻനിർത്തി എഴുതിയതാണ് — എന്നാൽ ഇടപാട് നെറ്റ് ബാങ്കിംഗിന് പകരം ഡോർസ്റ്റെപ്പ് കളക്ഷൻ ചാനൽ വഴി നടന്നു എന്നതുകൊണ്ട് അത് ഇല്ലാതാകുന്നില്ല.

ബാങ്ക് അധികാരപ്പെടുത്തുന്ന ചാനലിന്റെ ഉത്തരവാദിത്തം ബാങ്കിനാണ്. ഒരു സഹകരണ ബാങ്ക് തന്റെ പിഗ്മി ഏജന്റുമാരോട് "നിങ്ങളുടെ സ്വന്തം ഫോൺ ഉപയോഗിക്കൂ" എന്ന് പറഞ്ഞാൽ, ബാങ്ക് യഥാർത്ഥത്തിൽ നിയന്ത്രണമില്ലാത്ത ഒരു ഉപകരണത്തെ തന്നെ തന്റെ കളക്ഷൻ ചാനലായി അധികാരപ്പെടുത്തിയിരിക്കുന്നു. ആ ഉപകരണത്തിൽ എന്തെങ്കിലും തെറ്റ് സംഭവിക്കുമ്പോൾ, "ഇത് ഞങ്ങളുടെ ഇൻഫ്രാസ്ട്രക്ചർ അല്ല" എന്ന് ബാങ്കിന് വിശ്വസനീയമായി പറയാനാവില്ല — അത് നിയന്ത്രിക്കാതിരിക്കാൻ ബാങ്ക് തന്നെയാണ് തിരഞ്ഞെടുത്തത്.

ഏജന്റ് അപൂർവ്വമായേ വില്ലനാകൂ, പ്രതിരോധിക്കാൻ കഴിവുള്ള അവസ്ഥയിലും അപൂർവ്വമായേ ഉണ്ടാകൂ. ഇത്തരം മിക്കവാറും എല്ലാ കേസുകളിലും ഫീൽഡ് ഏജന്റ് പങ്കാളിയല്ല — അവരാണ് ആദ്യ ഇര, പൊതുജനങ്ങൾ വഞ്ചിക്കപ്പെടുന്ന അതേ രീതിയിൽ വഞ്ചിക്കപ്പെടുന്നു. പിന്നീട് ഏജന്റിനെ കുറ്റപ്പെടുത്തുന്നത് നഷ്ടം പരിഹരിക്കില്ല, തട്ടിപ്പിന് മുമ്പ് ബാങ്കിന് എന്തെല്ലാം നിയന്ത്രണങ്ങൾ ഉണ്ടായിരുന്നു എന്ന് ചോദിക്കുന്ന നിയന്ത്രകനെയും തൃപ്തിപ്പെടുത്തില്ല.

അംഗത്തിന് സ്വതന്ത്രമായി ഒന്നും സ്ഥിരീകരിക്കാൻ വഴിയില്ല. ഡോർസ്റ്റെപ്പ് ഏജന്റിന് പണം കൈമാറുന്ന വ്യക്തി തന്റെ കൈയിലുള്ള രസീതിനെ വിശ്വസിക്കുകയാണ്. ആ രസീത് ഒരു വ്യാജ ആപ്പിൽ നിന്നാണ് വന്നതെങ്കിൽ, താൻ ഒരിക്കലും കാണാത്ത രേഖകളിൽ നിന്ന് പണം കാണാതാകുന്നത് വരെ അയാൾക്ക് അറിയാൻ വഴിയില്ല.

അന്തിമഫലം: ബാങ്ക് കളക്ഷൻ ചാനലിനെ അവസാനം വരെ നിയന്ത്രിച്ചു എന്ന് തെളിയിക്കാത്ത പക്ഷം, ബാധ്യത മിക്കവാറും സ്വയമേവ ബാങ്കിന്റെ മേൽ വീഴുന്നു.

യഥാർത്ഥ പ്രശ്നം: വ്യാജ ആപ്പുകൾ ട്രാക്ക് ചെയ്യാൻ ഒരു തുമ്പും ബാക്കിവയ്ക്കുന്നില്ല

രോഹിത് ശാക്യയുടേത് പോലുള്ള കേസുകളെ ഇത്രയേറെ ദോഷകരമാക്കുന്നത് ഇതാണ് — 2,928 പേർക്ക് പണം നഷ്ടപ്പെട്ട സമയത്ത്, ഒരു ആന്തരിക സംവിധാനവും അത് അടയാളപ്പെടുത്തിയില്ല. ഈ തട്ടിപ്പ് പൂർണ്ണമായും ഏതെങ്കിലും ബാങ്കിന്റെ നിരീക്ഷണത്തിന് പുറത്ത്, ബാങ്കുകൾ ഒരിക്കലും തൊടാത്ത ഉപകരണങ്ങളിലാണ് നടന്നത്.

"ട്രാക്ക് ചെയ്യാൻ കഴിയുന്നത്" എന്നതിന് യഥാർത്ഥത്തിൽ എന്താണ് വേണ്ടതെന്ന് താരതമ്യം ചെയ്യുക:

ഒരു വ്യാജ ആപ്പിന് ഒരു രസീത് കെട്ടിച്ചമയ്ക്കാൻ കഴിയും. എന്നാൽ ഒരിക്കലും പ്രവേശനമില്ലാതിരുന്ന ഒരു സെർവർ-സൈഡ് ഓഡിറ്റ് ലോഗ് കെട്ടിച്ചമയ്ക്കാൻ അതിന് കഴിയില്ല.

ഒരു നിയന്ത്രിത ഉപകരണം ഈ പ്രത്യേക പഴുത് എങ്ങനെ അടയ്ക്കുന്നു

സൂററ്റ് കേസ് വിജയിച്ചത് വഞ്ചകർക്ക് ഒരു വ്യാജ APK അത് സ്വീകരിക്കുന്ന ഒരു ഫോണിലേക്ക് എത്തിക്കാൻ കഴിഞ്ഞതുകൊണ്ടാണ്. പിഗ്മി കളക്ഷനുള്ള ezPigmy-യുടെ ഓരോ സംരക്ഷണവും ആ ഒരൊറ്റ ദുർബല ബിന്ദുവിൽ നേരിട്ട് പ്രയോഗിക്കുന്നു:

സൈഡ്‌ലോഡിംഗ് സാധ്യമേയല്ല. ezPigmy സ്മാർട്ട് POS ഒരൊറ്റ ഒപ്പിട്ട ആപ്ലിക്കേഷൻ മാത്രം പ്രവർത്തിപ്പിക്കുന്നു. പ്ലേ സ്റ്റോർ ഇല്ല, ബ്രൗസർ ഇല്ല, ഡൗൺലോഡ് ചെയ്ത APK തുറക്കാൻ ഫയൽ മാനേജറും ഇല്ല. രോഹിത് ശാക്യയുടെ ഉപഭോക്താക്കൾ ആശ്രയിച്ചിരുന്ന അതേ ഡെലിവറി രീതി — വ്യാജ ആപ്പ് ഇൻസ്റ്റാൾ ചെയ്യിക്കുക — ലോക്ക് ചെയ്ത ഉപകരണത്തിൽ നിലവിലേ ഇല്ല.

ഓരോ ഇടപാടും സെർവർ-സ്ഥിരീകരിക്കപ്പെടുന്നു, ആപ്പ്-റിപ്പോർട്ട് ചെയ്യപ്പെടുന്നതല്ല. നിക്ഷേപം വിജയിച്ചോ എന്ന് ഉപകരണം തീരുമാനിക്കുന്നില്ല — ബാങ്കിന്റെ സെർവർ തീരുമാനിക്കുന്നു, അത് സൃഷ്ടിച്ച സെഷനിൽ മുദ്ര പതിപ്പിക്കുന്നു. ക്ലോൺ ചെയ്തതോ വ്യാജമോ ആയ ആപ്പിന് എഴുതാൻ സാധുവായ സെഷൻ ഇല്ല — വിശ്വസനീയമായി വ്യാജമാക്കാൻ അതിന്റെ കൈയിൽ ഒന്നുമില്ല.

ഉപകരണ-ബന്ധിത സെഷനുകൾ, വെറും പാസ്‌വേഡ് ലോഗിൻ അല്ല. മോഷ്ടിക്കപ്പെട്ട പാസ്‌വേഡ് പോലും അത് നൽകപ്പെട്ട ഉപകരണമല്ലാതെ മറ്റേതൊരു ഉപകരണത്തിലും ഉപയോഗശൂന്യമാണ്. ഇതേ സെഷൻ-ബൈൻഡിംഗ് ഞങ്ങളുടെ ബാങ്കിംഗ്-ഡാറ്റ സുരക്ഷാ ഘടന പോസ്റ്റിലും ഏജന്റുമാർ ഒരിക്കലും വ്യക്തിഗത ഫോൺ ഉപയോഗിക്കരുതാത്തത് എന്തുകൊണ്ട് എന്നതിൽ വിവരിച്ച ലോക്ക്ഡൗൺ മോഡലിലും വിവരിച്ചിട്ടുണ്ട്.

പൂർണ്ണവും സ്വതന്ത്രവുമായ ഓഡിറ്റ് ട്രെയിൽ. ഓരോ ലോഗിനും, ഓരോ കളക്ഷനും, ഓരോ ഉപകരണവും കേന്ദ്രീകൃതമായി ലോഗ് ചെയ്യപ്പെടുന്നു — ബാങ്കിന് തത്സമയം കാണാം, ആഴ്ചകൾക്ക് ശേഷം കടലാസിൽ നിന്ന് പുനർനിർമ്മിക്കേണ്ട ആവശ്യമില്ല.

പ്രധാന കാര്യം "ezPigmy-ക്ക് കൂടുതൽ സുരക്ഷാ ഫീച്ചറുകൾ ഉണ്ട്" എന്നതല്ല. ഇത് കൂടുതൽ കൃത്യവും സങ്കുചിതവുമാണ്: ₹64.38 കോടിയുടെ തട്ടിപ്പിൽ ഉപയോഗിച്ച കൃത്യമായ രീതി — സ്വീകരിക്കുന്ന ഉപകരണത്തിലേക്ക് ഇറങ്ങുന്ന വ്യാജ APK — ഒപ്പിടാത്ത സോഫ്റ്റ്‌വെയർ അംഗീകരിക്കാത്ത ഒരു ഉപകരണത്തിൽ ഒരു ചുവടുറപ്പും നേടുന്നില്ല.

ഈ ആഴ്ച നിങ്ങളുടെ ബാങ്കിനോട് ചോദിക്കേണ്ട മൂന്ന് ചോദ്യങ്ങൾ

1. ഇന്ന് നിങ്ങളുടെ കളക്ഷൻ ആപ്പിന്റെ ഒരു വ്യാജ പതിപ്പ് ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ ഏജന്റുമാരുടെ ഫോണുകൾ അത് ഇൻസ്റ്റാൾ ചെയ്യാൻ അനുവദിക്കുമോ?
2. ഒരു അംഗം ഡോർസ്റ്റെപ്പ് നിക്ഷേപത്തെക്കുറിച്ച് തർക്കമുന്നയിച്ചാൽ, ഉപകരണത്തിൽ നിന്ന് സ്വതന്ത്രമായ ഒരു സെർവർ-സൈഡ് രേഖ നിങ്ങൾക്ക് കാണിക്കാമോ — അതോ ആ ഫോണിലെ ആപ്പ് റിപ്പോർട്ട് ചെയ്തത് മാത്രമോ?
3. ഈ രണ്ട് ചോദ്യങ്ങളിൽ ഏതെങ്കിലും ഒന്നിന്റെ ഉത്തരം "ഞങ്ങൾക്ക് ഉറപ്പില്ല" എന്നാണെങ്കിൽ, രേഖാമൂലം ഇതിന് ആരാണ് ഉത്തരവാദി?

ഇത്തരം കേസുകൾ എവിടെയും പോകുന്നില്ല — വ്യാജ ആപ്പ് നിർമ്മിക്കുന്നത് AI എളുപ്പമാക്കി എന്നു മാത്രം. പ്രതിരോധിക്കാവുന്ന നിലപാട് ഏജന്റുമാരോട് ജാഗ്രത പാലിക്കാൻ പറയുന്ന ഒരു നയമല്ല. ഇത് ആക്രമണത്തെ തന്നെ സാങ്കേതികമായി അസാധ്യമാക്കുന്ന ഒരു ഉപകരണമാണ്.

സ്മാർട്ട് POS നിങ്ങളുടെ ബാങ്കിന്റെ പിഗ്മി പ്രവർത്തനങ്ങൾക്ക് ഈ പഴുത് എങ്ങനെ അടയ്ക്കുന്നു എന്ന് കാണണമെങ്കിൽ, സൗജന്യ ഡെമോ ബുക്ക് ചെയ്യുക.