सोचिए. किसी कंपनी की फाइनेंस टीम के कर्मचारी के पास अचानक वॉट्सऐप पर मैसेज आता है. प्रोफाइल पर कंपनी के चीफ एग्जीक्यूटिव ऑफिसर यानी सीईओ का नाम दिखाई दे रहा है. मैसेज में कहा जाता है कि एक बेहद जरूरी भुगतान करना है और इसके बारे में किसी को बताया नहीं जाना चाहिए. साथ में एक बैंक अकाउंट भेजा जाता है. कर्मचारी को निर्देश मिलता है कि वह बिना देर किए कंपनी के खाते से रकम ट्रांसफर कर दे. मैसेज भेजने वाला बार-बार बताता है कि मामला बहुत गोपनीय है और भुगतान तुरंत होना चाहिए.
कर्मचारी को लगता है कि निर्देश सीधे कंपनी के सबसे बड़े अधिकारी ने दिया है. बॉस का नाम देखकर वह मैसेज की सच्चाई जांचे बिना भुगतान कर देता है. कुछ समय बाद पता चलता है कि मैसेज सीईओ ने भेजा ही नहीं था. कंपनी का पैसा साइबर ठगों के खाते में जा चुका था.
साइबर फ्रॉड के इसी उभरते हुए तरीके को “बॉस स्कैम” कहा जा रहा है. शेयर बाजार रेगुलेटर सेबी ने रेगुलेटेड एंटिटीज और लिस्टेड कंपनियों को इस नए खतरे को लेकर सावधान किया है.
यह स्कैम सिर्फ फर्जी वॉट्सऐप मैसेज तक सीमित नहीं है. ठग ईमेल, माइक्रोसॉफ्ट टीम्स और दूसरे सोशल मीडिया प्लैटफॉर्म का इस्तेमाल कर रहे हैं. अब आर्टिफिशियल इंटेलिजेंस यानी एआई, वॉइस क्लोनिंग और डीपफेक वीडियो कॉल ने इस धोखे को और ज्यादा खतरनाक बना दिया है.
आखिर क्या है ‘बॉस स्कैम’?
बॉस स्कैम में साइबर अपराधी किसी कंपनी के सीईओ, मैनेजिंग डायरेक्टर यानी एमडी या दूसरे वरिष्ठ अधिकारी की पहचान का इस्तेमाल करते हैं. ठग खुद को कंपनी का बड़ा अधिकारी बताकर फाइनेंस, अकाउंट्स या अन्य जिम्मेदार कर्मचारियों से संपर्क करते हैं.
संपर्क करने के बाद कर्मचारियों को किसी खास बैंक खाते में तुरंत रकम ट्रांसफर करने का निर्देश दिया जाता है. मैसेज को इस तरह तैयार किया जाता है कि कर्मचारी को सोचने या किसी दूसरे अधिकारी से बात करने का समय न मिले.
जल्दबाजी और गोपनीयता इस साइबर फ्रॉड के दो बड़े हथियार हैं. जब किसी कर्मचारी को अपने सीईओ या एमडी के नाम से तत्काल भुगतान का निर्देश मिलता है, तो वह नौकरी और जिम्मेदारी के दबाव में बिना सवाल किए आदेश मान सकता है. इसी भरोसे का फायदा उठाकर साइबर अपराधी कंपनी की रकम अपने बैंक खातों में ट्रांसफर करा लेते हैं.
सेबी की यह चेतावनी इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर यानी आई4सी के अलर्ट के बाद सामने आई है. आई4सी ने संगठनों को निशाना बनाने वाले सीईओ और एमडी इम्पर्सोनेशन फ्रॉड में बढ़ोतरी की जानकारी दी है.
ईमेल से लेकर माइक्रोसॉफ्ट टीम्स तक बिछाया जा रहा जाल
सेबी के मुताबिक, साइबर अपराधी सिर्फ एक माध्यम का इस्तेमाल नहीं कर रहे हैं. वे ईमेल, वॉट्सऐप, माइक्रोसॉफ्ट टीम्स और दूसरे सोशल मीडिया प्लैटफॉर्म के जरिए कंपनी के कर्मचारियों से संपर्क कर सकते हैं.
फ्रॉड करने वाला व्यक्ति खुद को सीईओ या किसी वरिष्ठ अधिकारी के रूप में पेश करता है. इसके बाद वह अपने अधीन काम करने वाले कर्मचारी या कंपनी के दूसरे अधिकारी को भुगतान से जुड़े निर्देश देता है. मैसेज में किसी बैंक खाते का विवरण भेजा जा सकता है. कर्मचारी से कहा जाता है कि वह एक जरूरी कारोबारी भुगतान के नाम पर रकम ट्रांसफर कर दे.
सामने वाले व्यक्ति को शक न हो, इसलिए साइबर ठग कंपनी के वरिष्ठ अधिकारियों से जुड़ी जानकारी का इस्तेमाल कर सकते हैं. मैसेज भेजने का तरीका ऐसा रखा जाता है कि कर्मचारी को लगे कि निर्देश वास्तव में उसके बॉस की तरफ से आया है.
अगर कर्मचारी ने किसी दूसरे माध्यम से वरिष्ठ अधिकारी से पुष्टि नहीं की और केवल मैसेज के आधार पर भुगतान कर दिया, तो रकम सीधे ठगों तक पहुंच सकती है.
आवाज भी बॉस की और वीडियो में चेहरा भी वही
बॉस स्कैम का सबसे डरावना पहलू एआई का इस्तेमाल है. सेबी ने बताया कि कुछ मामलों में साइबर अपराधी वॉइस क्लोनिंग और डीपफेक वीडियो कॉल जैसी तकनीक का इस्तेमाल कर सकते हैं.
वॉइस क्लोनिंग के जरिए किसी वरिष्ठ अधिकारी जैसी आवाज तैयार की जा सकती है. कर्मचारी के पास फोन आता है और दूसरी तरफ से उसे अपने सीईओ या एमडी जैसी आवाज सुनाई देती है. आवाज पहचान में आने के कारण उसका शक कम हो सकता है.
डीपफेक वीडियो कॉल में खतरा और बढ़ जाता है. कर्मचारी को स्क्रीन पर ऐसा चेहरा दिखाई दे सकता है, जो उसके वरिष्ठ अधिकारी जैसा लगता है. आवाज और चेहरा दोनों देखकर कर्मचारी यह मान सकता है कि निर्देश असली है.
यहीं एआई साइबर ठगों के लिए एक खतरनाक हथियार बन जाता है. पहले केवल किसी वरिष्ठ अधिकारी का नाम और तस्वीर लगाकर फर्जी मैसेज भेजा जाता था. अब आवाज और वीडियो की नकल करके धोखे को ज्यादा भरोसेमंद बनाया जा सकता है. ऐसे में केवल आवाज पहचान लेना या वीडियो कॉल पर चेहरा देख लेना भुगतान की सच्चाई जांचने के लिए पर्याप्त नहीं माना जा सकता.
एक जिप फाइल और वॉट्सऐप वेब पर ठगों का कब्जा
बॉस स्कैम का दूसरा तरीका और भी चौंकाने वाला है. इसमें कर्मचारी या वरिष्ठ अधिकारी को एक कम्प्रेस्ड जिप फाइल भेजी जाती है. इस फाइल के अंदर खतरनाक सॉफ्टवेयर छिपा हो सकता है.
अगर किसी विंडोज डिवाइस पर इस फाइल को खोल दिया जाता है, तो मैलवेयर सक्रिय हो सकता है. सेबी के मुताबिक, यह मैलवेयर डिवाइस पर चल रहे वॉट्सऐप वेब सेशन को हाईजैक कर सकता है.
इसका मतलब है कि ठग पीड़ित के सक्रिय वॉट्सऐप अकाउंट तक पहुंच बना सकते हैं. इसके बाद उसी असली वॉट्सऐप अकाउंट से फाइनेंस या अकाउंट्स टीम के कर्मचारियों को भुगतान के निर्देश भेजे जा सकते हैं.
यह तरीका इसलिए ज्यादा खतरनाक है, क्योंकि मैसेज किसी फर्जी नंबर के बजाय वरिष्ठ अधिकारी के वास्तविक वॉट्सऐप अकाउंट से आ सकता है. कर्मचारी नंबर, पुरानी बातचीत और प्रोफाइल देखकर मैसेज को असली मान सकता है. इस स्थिति में साइबर अपराधी सिर्फ पहचान की नकल नहीं करते, बल्कि सक्रिय वॉट्सऐप वेब सेशन पर ही कब्जा कर लेते हैं.
कॉन्टैक्ट लिस्ट में बदल दिया जाता है नंबर
साइबर ठग कर्मचारियों को धोखा देने के लिए कॉन्टैक्ट लिस्ट में भी बदलाव कर सकते हैं. सेबी के मुताबिक, किसी डिवाइस पर कब्जा करने के बाद अपराधी अपना मोबाइल नंबर सीईओ या मैनेजिंग डायरेक्टर के नाम से सेव कर सकते हैं.
इसके बाद जब उस नंबर से कॉल या मैसेज आता है, तो स्क्रीन पर बॉस का नाम दिखाई देता है. कर्मचारी को लगता है कि संपर्क करने वाला व्यक्ति कंपनी का वरिष्ठ अधिकारी है.
स्क्रीन पर दिखाई देने वाला नाम देखकर वह बैंक अकाउंट की जानकारी मांगने, रकम ट्रांसफर करने या दूसरे वित्तीय निर्देशों को पूरा करने के लिए तैयार हो सकता है.
यानी कर्मचारी को धोखा देने के लिए साइबर अपराधियों को हमेशा सीईओ का वास्तविक नंबर हासिल करने की जरूरत नहीं है. कॉन्टैक्ट लिस्ट में बदलाव करके भी अपना नंबर बॉस के नाम से दिखाया जा सकता है.
सेबी ने बताया कैसे बचेगी कंपनी की रकम
सेबी ने लिस्टेड कंपनियों और रेगुलेटेड एंटिटीज को किसी भी भुगतान निर्देश पर आंख बंद करके भरोसा नहीं करने की सलाह दी है.
अगर वॉट्सऐप, ईमेल, माइक्रोसॉफ्ट टीम्स या किसी सोशल मीडिया प्लैटफॉर्म के जरिए रकम ट्रांसफर करने का मैसेज मिलता है, तो उसकी स्वतंत्र रूप से पुष्टि की जानी चाहिए.
सबसे सुरक्षित तरीका संबंधित वरिष्ठ अधिकारी को सीधे कॉल करना है. जिस मैसेज या कॉल के जरिए भुगतान का निर्देश मिला है, उसी पर जवाब देकर पुष्टि करने के बजाय अधिकारी के पहले से मौजूद और भरोसेमंद नंबर पर संपर्क किया जाना चाहिए.
सेबी ने साफ कहा है कि केवल सोशल मीडिया प्लैटफॉर्म पर मिले निर्देश के आधार पर फंड ट्रांसफर नहीं किया जाना चाहिए. भले ही मैसेज भेजने वाले की प्रोफाइल पर सीईओ या एमडी का नाम दिखाई दे रहा हो, भुगतान से पहले उसकी सच्चाई जांचना जरूरी है.
कंपनियों को किसी एक्जीक्यूटेबल फाइल को इंस्टॉल करने से पहले भेजने वाले व्यक्ति की पहचान जांचने की सलाह भी दी गई है. अनजान या संदिग्ध जिप फाइल को खोलना डिवाइस और वॉट्सऐप अकाउंट दोनों के लिए खतरा बन सकता है.
पुराने वॉट्सऐप वेब सेशन तुरंत करें लॉगआउट
सेबी ने कंपनियों और कर्मचारियों को निष्क्रिय वॉट्सऐप वेब सेशन से लॉगआउट करने के लिए भी कहा है. अगर वॉट्सऐप वेब किसी ऐसे कम्प्यूटर या डिवाइस पर खुला है, जिसका अब इस्तेमाल नहीं किया जा रहा, तो सेशन को सक्रिय छोड़ना खतरे को बढ़ा सकता है.
मैलवेयर के जरिए सक्रिय सेशन पर कब्जा होने की स्थिति में साइबर अपराधी पीड़ित की पहचान का इस्तेमाल करके दूसरे कर्मचारियों को मैसेज भेज सकते हैं.
ऐसे मैसेज खास तौर पर फाइनेंस और अकाउंट्स विभाग को निशाना बना सकते हैं, क्योंकि इन्हीं कर्मचारियों के पास कंपनी की रकम ट्रांसफर करने की जिम्मेदारी होती है.
ठगी होते ही 1930 पर करें शिकायत
अगर किसी कंपनी या कर्मचारी को इस तरह की साइबर ठगी का पता चलता है, तो उसे तुरंत राष्ट्रीय साइबर क्राइम हेल्पलाइन नंबर 1930 पर शिकायत करनी चाहिए.
इसके अलावा साइबर क्राइम पोर्टल के जरिए भी घटना की जानकारी दी जा सकती है. सेबी ने साइबर फ्रॉड के मामलों की तुरंत रिपोर्ट करने की सलाह दी है.
बॉस स्कैम का पूरा खेल भरोसे, डर और जल्दबाजी पर टिका है. ठग जानते हैं कि वरिष्ठ अधिकारी के नाम से आया जरूरी आदेश कर्मचारी पर दबाव बना सकता है. इसी दबाव में किया गया एक फंड ट्रांसफर कंपनी को बड़ी आर्थिक चोट पहुंचा सकता है.
इसलिए अगली बार ईमेल, वॉट्सऐप या माइक्रोसॉफ्ट टीम्स पर बॉस के नाम से भुगतान का निर्देश आए तो केवल नाम, आवाज या चेहरे पर भरोसा न करें. पहले सीधे कॉल करके पुष्टि करें. क्योंकि स्क्रीन पर दिखाई देने वाला बॉस असल में कोई साइबर ठग भी हो सकता है.
