बिज़नेस ईमेल छेड़छाड़ (BEC) वित्तीय अपराध की एक अलग श्रेणी है, न कि फिशिंग का कोई ऐसा रूप जो संयोग से एग्जीक्यूटिव्स को निशाना बनाता है। फिशिंग किसी को ऐसी चीज़ पर क्लिक करवाकर कामयाब होती है जिस पर क्लिक नहीं करना चाहिए। बिज़नेस ईमेल छेड़छाड़ इन सबके बिना ही कामयाब हो जाती है: पूरा हमला एक अच्छी तरह रिसर्च की गई ईमेल होती है जो किसी खास व्यक्ति से कुछ ऐसा करवाती है जो सामान्य काम के दिन में आसानी से फिट बैठ जाता है। सबसे बड़ी घटनाओं में एक ही ट्रांसफर में छह अंकों की रकम गायब की जा सकती है, और जब तक किसी को पता चलता है, पैसा आमतौर पर पहले ही देश से बाहर निकल चुका होता है।
फिशिंग फिल्टर या अच्छी तरह प्रशिक्षित कर्मचारी जिन संकेतों को आमतौर पर देखते हैं, उनमें से कोई भी पकड़ा नहीं जाता। यही बात बिज़नेस ईमेल छेड़छाड़ को साधारण फिशिंग से अलग करती है, और यही वजह है कि सामान्य फिशिंग जागरूकता इसे रोकने में ज़्यादा काम नहीं आती। हम आपको दिखाएंगे कि बिज़नेस ईमेल छेड़छाड़ को कैसे पहचानें और अपने संगठन की सुरक्षा कैसे करें।
बिज़नेस ईमेल छेड़छाड़ क्या है?
बिज़नेस ईमेल छेड़छाड़ एक निशाना बनाकर किया गया हमला है जिसमें अपराधी किसी ऐसे व्यक्ति की नकल करता है जिस पर निशाना बनाया गया व्यक्ति भरोसा करता है, आमतौर पर कोई वरिष्ठ एग्जीक्यूटिव, सप्लायर, या अंदरूनी सहकर्मी, और वायर ट्रांसफर, भुगतान की जानकारी में बदलाव, या संवेदनशील प्रमाण मांगता है।
आमतौर पर इसमें कोई मालवेयर(नई विंडो) या दुर्भावनापूर्ण लिंक शामिल नहीं होता। सिर्फ यह बदलता है कि भेजने वाले की पहचान कैसे नकली बनाई जाती है, और हमलावरों के पास जितना ज़्यादातर लोग सोचते हैं, उससे ज़्यादा विकल्प होते हैं:
- मिलते-जुलते डोमेन: हमलावर असली डोमेन से लगभग एक जैसा डोमेन रजिस्टर करता है, एक अक्षर बदलकर या हाइफन जोड़कर, और भरोसा करता है कि कोई पते को ध्यान से नहीं पढ़ेगा।
- डिस्प्ले नाम स्पूफिंग: “from” डिस्प्ले नाम को विश्वसनीय व्यक्ति से मिलता-जुलता सेट कर दिया जाता है, जैसे “John Smith”, जबकि असली पता कुछ और ही होता है। कई मोबाइल ईमेल क्लाइंट डिफॉल्ट रूप से सिर्फ डिस्प्ले नाम दिखाते हैं, इसलिए असली पता स्क्रीन पर कभी दिखता ही नहीं।
- हैडर स्पूफिंग: SMTP, यानी ईमेल पहुंचाने वाला प्रोटोकॉल, अपने आप “From” हैडर की जांच नहीं करता, इसलिए हमलावर ऐसा संदेश भेज सकता है जो असली पते से आने का दावा करता है, भले ही वह पता कभी उसके कंट्रोल में न रहा हो। यह इंबॉक्स तक पहुंचता है या नहीं, यह प्राप्त करने वाले डोमेन के सत्यापन चेक पर निर्भर करता है।
- Reply-To में छेड़छाड़: दिखने वाला “From” पता वाजिब लगता है, लेकिन उसके पीछे एक अलग Reply-To पता सेट होता है, इसलिए जैसे ही निशाना बना व्यक्ति जवाब देने के लिए रिप्लाई दबाता है, पूरी बातचीत चुपचाप हमलावर के पास चली जाती है।
- खाते की छेड़छाड़: हमलावर किसी असली ईमेल खाते तक एक्सेस हासिल कर लेता है और अनुरोध उसी खाते से भेज देता है।
इनमें से आखिरी, यानी खाते की छेड़छाड़, पकड़ने में सबसे मुश्किल होती है, क्योंकि ईमेल में तकनीकी रूप से सचमुच कुछ भी गड़बड़ नहीं होता। वह असली पते से, असली कस्टम ईमेल डोमेन पे आई होती है, और हो सकता है वह किसी ऐसे थ्रेड को आगे बढ़ा रही हो जिसे निशाना बना व्यक्ति पहले भी देख चुका हो।
बिज़नेस ईमेल छेड़छाड़ का प्लेबुक कैसे काम करता है
बिज़नेस ईमेल छेड़छाड़ के हमले तैयार करके किए जाते हैं, मौके पर इम्प्रोवाइज़ नहीं किए जाते, और आमतौर पर तैयारी में ही अपराधी की सबसे ज़्यादा मेहनत लगती है।
रिसर्च
इसकी शुरुआत जानकारी जुटाने से होती है: LinkedIn प्रोफाइल बताती हैं कि किसके पास कौन सा पद है और कौन किसको रिपोर्ट करता है, कंपनी की प्रेस रिलीज़ मर्जर, फंडिंग राउंड, या सप्लायर के नए रिश्तों की घोषणा करती हैं, और आउट-ऑफ-ऑफिस जवाब हमलावर को वह एक जानकारी दे देता है जिसकी उसे सबसे ज़रूरत होती है, यानी इस पुष्टि कि असली एग्जीक्यूटिव अभी उपलब्ध नहीं है।
निशाना चुनना
यहां से हमलावर निशाना चुनने की तरफ बढ़ता है। हर कर्मचारी बिज़नेस ईमेल छेड़छाड़ की कोशिश के लिए काम का नहीं होता; निशाना ऐसा व्यक्ति होना चाहिए जिसके पास सचमुच पैसा हिलाने या भुगतान की जानकारी बदलने की ताकत हो, जिससे दायरा आमतौर पर फाइनेंस, देय खाते, HR, या पेरोल तक सीमित रह जाता है।
नकल शुरू होती है
जब निशाना और एक भरोसेमंद कहानी चुन ली जाती है, तब नकल शुरू होती है, चाहे स्पूफ किए गए मिलते-जुलते डोमेन से या सचमुच छेड़छाड़ किए गए मेलबॉक्स से, और उसे उस टोन, हस्ताक्षर, और औपचारिकता के स्तर से मैच किया जाता है जो असली भेजने वाला इस्तेमाल करता।
संपर्क बनाया जाता है
हमलावर कंपनी में किसी व्यक्ति से संपर्क करता है और कोई ज़रूरी अनुरोध या मांग रखता है। यह कोई ऐसा अधिग्रहण हो सकता है जिसे आज ही बंद करना ज़रूरी है, कोई ऑडिटर जिसे आंकड़े तुरंत चाहिए, या कोई फंसा हुआ सहकर्मी जो फोन पे बात नहीं कर पा रहा।
आमतौर पर अनुरोध वायर ट्रांसफर, बैंक की जानकारी में बदलाव, या लॉगइन प्रमाण मांगने का होगा, जिसे ऐसी चीज़ की तरह पेश किया जाएगा जो बस करनी ही है, न कि ऐसी जिस पर सवाल उठाए जाएं।
बिज़नेस ईमेल छेड़छाड़ के चार आम सिनेरियो
यहां बिज़नेस ईमेल छेड़छाड़ की कुछ सबसे आम तरकीबें हैं जो हमलावर इस्तेमाल करते हैं।
CEO फ्रॉड
एक ईमेल CEO, मैनेजिंग डायरेक्टर, या किसी और वरिष्ठ नेता की तरफ से आती दिखती है और फाइनेंस टीम के किसी सदस्य से कोई ज़रूरी, अक्सर गोपनीय, भुगतान करवाती है। यहां भेजने वाले की दिखने वाली वरिष्ठता ही ज़्यादातर काम करती है, क्योंकि बहुत कम कर्मचारी ही ऐसे अनुरोध पर सवाल उठाने में आरामदायक महसूस करते हैं जो ऊपर से आ रहा लगता है।
इनवॉइस फ्रॉड
कंपनी जिस सप्लायर के साथ पहले से काम करती है, वह बैंक की जानकारी में बदलाव की सूचना देता दिखता है, और यह आमतौर पर ऐसे समय पर आता है जब कोई असली इनवॉइस भुगतान के लिए देय होने वाली हो। चूंकि असली बिज़नेस रिश्ता और असली भुगतान पहले से मौजूद होते हैं, यह रूप फाइनेंस टीम के लिए अक्सर पकड़ने में सबसे मुश्किल होता है, और इसी वजह से कंपनियों द्वारा रिपोर्ट किए गए सबसे बड़े सिंगल नुकसान में से कुछ इसी से होते हैं।
पेरोल रीडायरेक्ट
एक ईमेल, जो किसी कर्मचारी या कभी-कभी खुद HR की नकल करता है, पेरोल से अगली पे प्रोसेसिंग से पहले बैंक की जानकारी अपडेट करने को कहता है। अनुरोध इतना छोटा और मामूली होता है कि उसे शायद ही कभी दूसरी नज़र से देखा जाता है, और यही वजह है कि यह कामयाब होता है।
IT सहायता की नकल
कोई संदेश, जो अंदरूनी IT या हेल्पडेस्क की तरह पेश होता है, किसी कर्मचारी से सिस्टम अपडेट से पहले पासवर्ड कन्फर्म करने या लॉगइन प्रॉम्प्ट को मंजूरी देने को कहता है। बाकी तीनों के उलट, यह सिनेरियो सीधे पैसे के पीछे नहीं होता। यह उन प्रमाण के पीछे होता है जो बिज़नेस ईमेल छेड़छाड़ के हर दूसरे रूप को चलाना आसान बनाते हैं।
बिज़नेस ईमेल छेड़छाड़ में असल में कितना नुकसान होता है
बिज़नेस ईमेल छेड़छाड़ के नुकसान की रिपोर्टिंग साधारण कार्ड फ्रॉड से अलग तरीके से होती है, और इसीलिए इस समस्या के दायरे का अंदाज़ा लगाना आसान हो जाता है। FBI के Internet Crime Complaint Center ने 2024 में 21,442 रिपोर्ट की गई घटनाओं में बिज़नेस ईमेल छेड़छाड़ से $2.77 अरब(नई विंडो) का नुकसान दर्ज किया, और इस घोटाले की उसकी चालू गिनती पिछले दशक में दुनिया भर में दांव पे लगे नुकसान को $55 अरब(नई विंडो) से ऊपर रखती है। हालांकि, औसत असली कहानी छिपा देते हैं। सुर्खियों में आए मामले दिखाते हैं कि एक अच्छी तरह तैयार की गई ईमेल कितनी रकम गायब कर सकती है।
2013 से 2015 के बीच, एक लिथुआनियाई ठग ने Facebook और Google से मिलाकर $121 मिलियन(नई विंडो) का बिल ठग लिया, जिसमें उसने Quanta Computer नाम की एक कंपनी की नकल करके नकली इनवॉइस इस्तेमाल किए, जो दोनों कंपनियां सचमुच इस्तेमाल करती थीं। चूंकि इनवॉइस एक मौजूदा बिज़नेस रिश्ते में फिट बैठते थे, अकाउंट्स टीमों ने उनका भुगतान किया, और दो साल तक करती रहीं।
2016 में, ऑस्ट्रियाई एयरोस्पेस सप्लायर FACC को एक ऐसी ईमेल का शिकार होना पड़ा जो उसके तत्कालीन CEO की नकल कर रही थी और किसी अधिग्रहण प्रोजेक्ट के लिए लगभग €50 मिलियन(नई विंडो) के ट्रांसफर को मांग रही थी, यानी वही बहाना जो इस लेख के शुरू में बताया गया है। कंपनी ने फ्रॉड का पता चलने पर ट्रांसफर का कुछ हिस्सा रोक लिया, लेकिन बाकी कभी रिकवर नहीं हो पाया।
ये मामले अपराध की ऐसी श्रेणी की बात करते हैं जो ज़्यादातर फिशिंग आंकड़ों से अलग तरीके से व्यवहार करती है। फिशिंग को मात्रा में नापा जाता है: करोड़ों लगभग एक जैसी ईमेल, जिनमें से ज़्यादातर को किसी को दिखने से पहले ही फिल्टर पकड़ लेता है।
बिज़नेस ईमेल छेड़छाड़ को अलग-अलग घटनाओं में नापा जाता है, और हर एक घटना एक निशाने और एक भुगतान के इर्द-गिर्द बनी होती है, और हर एक एक ही दोपहर में उतना नुकसान कर सकती है जितना हज़ार ब्लॉक किए गए फिशिंग ईमेल कभी नहीं कर सकते।
कोई भी संगठन जिसने पहले कभी वायर ट्रांसफर से पैसा हिलाया हो या किसी सप्लायर की बैंक जानकारी बदली हो, उसे इसे एक जीवंत वित्तीय जोखिम मानना चाहिए और शक वाली घटनाओं की रिपोर्ट अपने राष्ट्रीय फ्रॉड रिपोर्टिंग सेंटर को करनी चाहिए: अमेरिका में FBI का IC3, UK में Action Fraud, और बाकी जगहों पे इनके बराबर संस्थान।
वे नियंत्रण जो बिज़नेस ईमेल छेड़छाड़ को सचमुच रोकते हैं
चूंकि बिज़नेस ईमेल छेड़छाड़ उन तकनीकी लाल झंडों को दरकिनार कर देती है जिन पर फिशिंग ट्रेनिंग निर्भर करती है, इसलिए इसे रोकने वाले नियंत्रण भी अलग दिखते हैं। जागरूकता मदद करती है, लेकिन जो बचाव सचमुच टिकते हैं वे प्रक्रिया और तकनीक पे आधारित होते हैं, न कि कर्मचारियों का ईमेल को ज़्यादा ध्यान से पढ़ें।
दोहरा प्रमाणीकरण
किसी तय सीमा से ऊपर के किसी भी भुगतान पे दोहरा प्रमाणीकरण अनिवार्य होना चाहिए, न कि कोई विनम्रता जो तब दी जाए जब कोई पूछना याद रखे। पैसे की कोई अहम रकम हिलाने के लिए किसी एक व्यक्ति की मंजूरी कभी काफी नहीं होनी चाहिए, चाहे अनुरोध कितना भी वरिष्ठ या ज़रूरी दिखे।
कॉलबैक सत्यापन
कॉलबैक सत्यापन वह घेरा पूरा करता है जो अकेली ईमेल पूरा नहीं कर सकती। बैंक की जानकारी बदलने या कोई भुगतान जारी करने का कोई भी अनुरोध फोन पे पुष्टि किया जाना चाहिए, उस नंबर से जो पहले से रिकॉर्ड में मौजूद है, कभी भी उस नंबर से नहीं जो ईमेल में ही दिया गया हो, क्योंकि हमलावर द्वारा दिया गया नंबर निशाने को सीधे वापस हमलावर से ही जोड़ देता है।
भुगतान मंजूरी प्रक्रियाओं की समीक्षा करें
समय-समय पर भुगतान मंजूरी प्रक्रियाओं की समीक्षा भी समय के साथ बिज़नेस ईमेल छेड़छाड़ के जोखिम को घटाने में मदद करती है। जैसे-जैसे बिज़नेस बढ़ते हैं, अस्थायी अपवाद और अनौपचारिक शॉर्टकट अक्सर रोज़मर्रा के काम का हिस्सा बन जाते हैं बिना यह सवाल उठाए कि वे अब भी ठीक हैं या नहीं। इसकी समीक्षा करना कि कौन भुगतान मंजूर कर सकता है, बैंक जानकारी के बदलाव कैसे मंजूर किए जाते हैं, और किन लेन-देन को अतिरिक्त सत्यापन चाहिए, इसमें मदद करता है कि वित्तीय नियंत्रण संगठन के मौजूदा जोखिम स्तर से मेल खाते रहें। अच्छी तरह डिज़ाइन की गई प्रक्रियाएं भी बेअसर हो जाती हैं अगर बिज़नेस बदलने के साथ उन्हें दोबारा न देखा जाए।
ईमेल सत्यापन
तकनीकी ईमेल सत्यापन ईमेल सुरक्षा का एक अहम हिस्सा है, और यहां इसका महत्व उस तरह से है जो ज़्यादातर फिशिंग के लिए नहीं होता, क्योंकि बिज़नेस ईमेल छेड़छाड़ अक्सर किसी संगठन के अपने डोमेन की स्पूफिंग करके उसके एग्जीक्यूटिव्स की नकल करने पर निर्भर करती है।
DMARC, जो SPF और DKIM के साथ काम करता है, प्राप्त करने वाले मेल सर्वर को बताता है कि आपके डोमेन के मुकाबले सत्यापन में न गुजरने वाले संदेशों का क्या करना है, जिससे हमलावर के लिए ऐसी ईमेल भेजें काफी मुश्किल हो जाता है जो आपके अपने CEO की तरफ से आती दिखे।
खुली सुरक्षा संस्कृति
इनमें से कुछ भी तब तक काम नहीं करता जब तक नीचे एक सांस्कृतिक मानक न हो: अनुरोध को रोककर सत्यापित करना हमेशा ठीक है, चाहे मांगने वाला कोई भी दिखे। जो कर्मचारी किसी वरिष्ठ व्यक्ति के प्रति बाधा बनने या भरोसा न करने वाले दिखने से डरते हैं, बिज़नेस ईमेल छेड़छाड़ की कोशिश ठीक उन्हीं को पकड़ने के लिए बनाई जाती है, और वह डर तभी जाता है जब लीडरशिप बार-बार साफ करे कि असामान्य अनुरोध पर सवाल उठाना अपेक्षित है, वफादारी की कमी नहीं।
बिज़नेस ईमेल छेड़छाड़ की कोशिश के चेतावनी संकेत कैसे पहचानें
बिज़नेस ईमेल छेड़छाड़ शायद ही कभी साफ तकनीकी चेतावनी संकेतों के जरिए खुद की घोषणा करती है। ईमेल किसी जाने-पहचाने पते से आ सकती है, किसी असली प्रोजेक्ट का जिक्र कर सकती है, और पिछली बातचीत से मेल खाती भाषा इस्तेमाल कर सकती है। इसीलिए अनुरोध के इर्द-गिर्द का संदर्भ अक्सर ईमेल से ज़्यादा अहम होता है।
बिज़नेस ईमेल छेड़छाड़ की जांचों में कई पैटर्न बार-बार दिखते हैं। कोई अनुरोध जो सामान्य मंजूरी प्रक्रिया को दरकिनार करता हो, उस पर हमेशा सवाल उठने चाहिए। ऐसे ही सवाल उठने चाहिए अचानक मिले किसी निर्देश पे कि भुगतान गोपनीय रखा जाए, किसी सप्लायर की बैंक जानकारी में इनवॉइस देय होने से ठीक पहले हुए बदलाव पे, या उन अनुरोधों पे जो तब आते हैं जब कोई वरिष्ठ एग्जीक्यूटिव सफर पे हो और उस तक पहुंचना मुश्किल हो। हमलावर जान-बूझकर ऐसी स्थितियां चुनते हैं जहां कर्मचारियों के किसी और चैनल से अनुरोध सत्यापित करने की संभावना कम हो।
संवाद के अंदाज़ में छोटे बदलाव भी सुराग दे सकते हैं। कोई एग्जीक्यूटिव जो आमतौर पर वित्तीय मंजूरियां किसी और से करवाता है, अचानक खुद किसी भुगतान को मांग सकता है। कोई सप्लायर जो आमतौर पर किसी अकाउंट मैनेजर के जरिए संवाद करता है, बैंकिंग निर्देश किसी अलग संपर्क से भेज सकता है। इनमें से कोई भी संकेत अकेले हमले को साबित नहीं करता, लेकिन पैसा हिलने या खाते की जानकारी बदलने से पहले इन्हें अतिरिक्त सत्यापन के लिए प्रेरित करना चाहिए।
सबसे सुरक्षित तरीका यह है कि असामान्य वित्तीय अनुरोधों को ज़रूरी फैसले मांगने वाली स्थितियों की बजाय बिज़नेस प्रोसेस अपवाद माना जाए। किसी विश्वसनीय नंबर पे एक छोटा फोन कॉल, या किसी स्थापित अंदरूनी संवाद चैनल से पुष्टि, ऐसा नुकसान रोक सकती है जिसकी भरपाई में वरना हफ्तों या महीनों लग सकते हैं।
प्रमाण बिज़नेस ईमेल छेड़छाड़ को कैसे आसान बनाते हैं?
हर बिज़नेस ईमेल छेड़छाड़ की कोशिश स्पूफ किए गए मिलते-जुलते डोमेन पर निर्भर नहीं करती। कभी-कभी यह किसी सचमुच छेड़छाड़ किए गए ईमेल खाते से शुरू होती है, जहां हमलावर ने बस किसी ऐसे पासवर्ड से लॉगइन कर लिया जो पहले ही कहीं और उजागर हो चुका था।
अंदर आने के बाद उन्हें कुछ भी नकली करने की ज़रूरत नहीं रहती। वे पुराने थ्रेड पढ़ सकते हैं, टोन और फॉर्मैटिंग बिल्कुल मैच कर सकते हैं, और ऐसे पते से फ्रॉड अनुरोध भेज सकते हैं जो हर सत्यापन चेक पास कर लेता है, क्योंकि वह सचमुच भेजने वाले का अपना खाता होता है।
यहीं पे पासवर्ड हाइजीन और बिज़नेस ईमेल छेड़छाड़ की रोकथाम सीधे मिलती हैं। Proton का Data Breach Observatory ट्रैक करता है कि बिज़नेस प्रमाण क्रिमिनल डेटासेट में कितनी बार बाहर आते हैं, बहुत पहले, इससे पहले कि प्रभावित कंपनी के अंदर किसी को पता चले, और खाते की छेड़छाड़ ठीक वही नतीजा है जो यह डाटा सक्षम बनाता है।
एक सुरक्षित बिज़नेस ईमेल, हर खाते पे अलग-अलग पासवर्ड, और मल्टी-फैक्टर सत्यापन (MFA) के साथ मिलकर इसका मतलब है कि किसी एक लीक से निकला पासवर्ड दोबारा इस्तेमाल करके किसी मेलबॉक्स में घुसा नहीं जा सकता और अंदर से बिज़नेस ईमेल छेड़छाड़ की कोशिश शुरू नहीं की जा सकती।
Proton Pass for Business जैसा बिज़नेस पासवर्ड मैनेजर इस मानक को पूरे संगठन में बनाए रखना व्यावहारिक बना देता है, न कि ऐसी चीज़ जो इस बात पर निर्भर करे कि अलग-अलग कर्मचारी पासवर्ड दोबारा इस्तेमाल न करना याद रखें। जब प्रमाण ठीक तरह जनरेट और स्टोर किए जाते हैं, तो डाटा लीक के प्रति कमजोरियां और खाता टेकओवर काफी घट जाते हैं।
एक सुरक्षित बिज़नेस पासवर्ड मैनेजर से अपने बिज़नेस खातों को छेड़छाड़ से बचाएं।
