ग़लतफ़हमी यह है कि AI ने अपने आप दक्षिण कोरिया के बैंक हैक कर लिए। असल में दक्षिण कोरिया के बैंक हैक में AI का इस्तेमाल अभी संदिग्ध है, साबित नहीं: राष्ट्रपति Lee Jae Myung ने 6 अक्टूबर को AI के संकेत मिलने की बात कही, और पुलिस जांच कर रही है। शक एक खुले सुरक्षा-जांच टूल Artex पर है, पर सार्वजनिक सबूत सीमित हैं।
ज़्यादातर रिपोर्टें यहीं रुक जाती हैं। हमने दो चीज़ें जोड़ी हैं: किस संस्थान से कितना डेटा गया, इसका हिसाब, और भारत में RBI की उस चेतावनी से तुलना, जो जून में ही आ चुकी थी।
सात संस्थान, 68,000 लोग: क्या हुआ था
The Record के अनुसार ये घटनाएं 30 सितंबर को सामने आईं। प्रभावित संस्थानों में Shinhan Bank, KB Kookmin Bank और Hana Bank हैं। AFP के अनुसार वित्तीय सेवा आयोग (Financial Services Commission) ने 68,000 से ज़्यादा लोगों के प्रभावित होने की बात कही।
आँकड़े हर जगह एक जैसे नहीं हैं। BankInfoSecurity ने Korea Herald के हवाले से लगभग 66,000 व्यक्ति और 2,200 कॉर्पोरेट रिकॉर्ड बताए। The Record के अनुसार लीक डेटा में कर्ज़ का इतिहास, आमदनी, फ़ोन नंबर और नाम थे, और Shinhan के लगभग 25,000 ग्राहक प्रभावित हुए।
गणित सीधा है: 68,000 में से 25,000, यानी लगभग 37%, अकेले Shinhan से है। बाक़ी करीब 43,000 लोग कम से कम छह और संस्थानों में बँटे हैं; सात ही मानें तो औसतन 7,000 के आसपास। BankInfoSecurity के अनुसार नियामकों ने कहा कि जमाकर्ताओं को अपनी जमा-राशि को लेकर ज़्यादा चिंता नहीं करनी चाहिए।
AI का शक क्यों है, और सबूत कितना पक्का है
6 अक्टूबर की कैबिनेट बैठक में राष्ट्रपति Lee ने कहा कि AI के इस्तेमाल के संकेत उभरे हैं, और अब विशेष कौशल के बिना भी हैकिंग आसान हो गई है। पुलिस ने जांच शुरू की। BankInfoSecurity के अनुसार SBS के हवाले से 28 सदस्यों की टास्क फ़ोर्स बनी है।
AFP को एक सरकारी अधिकारी ने बताया कि Artex AI के इस्तेमाल की संभावना बहुत ज़्यादा है। Artex एक खुला (open-source) सुरक्षा-परीक्षण टूल है, जिसे चीनी माना जा रहा है। AFP के मुताबिक AI की भूमिका अपुष्ट है, और सिर्फ़ AI टूल या IP पतों से हमलावर की राष्ट्रीयता तय नहीं होती।
BankInfoSecurity के अनुसार Korea Financial Security Institute के एक अधिकारी ने Korea Herald से कहा कि Artex की मदद वाले हमले पूरी तरह स्वचालित नहीं रहे होंगे। यानी बीच में इंसान भी थे। Quartz के अनुसार अब तक किसी दोषी की पहचान नहीं हुई है।
पहले और अब: हैकिंग का तरीक़ा कितना बदला
नीचे की तालिका हमारी सरल व्याख्या है, ताकि फ़र्क़ एक नज़र में दिखे। असली घटनाओं में दोनों तरीक़े अक्सर साथ चलते हैं।
| पहलू | पहले | अब |
|---|---|---|
| कमज़ोरी ढूंढना | विशेषज्ञ हाथ से सिस्टम जांचते थे | AI एजेंट वाला टूल जांच को अर्ध-स्वचालित (semi-automated) बनाता है |
| ज़रूरी कौशल | गहरी तकनीकी विशेषज्ञता | राष्ट्रपति Lee के अनुसार बिना विशेष कौशल के भी संभव |
| गति और पैमाना | इंसान की मेहनत से सीमित | RBI के अनुसार AI से हमलों की गति, पैमाना और परिष्कार बढ़ सकते हैं |
ताले का उदाहरण लें। पहले हर ताले के लिए एक कारीगर बैठता था। अब एक मशीन एक साथ कई चाबियां आज़माती है, पर कौन-सी चाबी चलेगी और माल कहां से निकलेगा, यह तय करने के लिए इंसान अब भी चाहिए।
सुरक्षा-जांच का टूल हमलावर के हाथ में कैसे पहुंचा
Wall Street Journal के अनुसार Artex को चीनी सुरक्षा इंजीनियर Li Puhua ने इसलिए बनाया था कि संस्थाएं अपने ही नेटवर्क की कमज़ोरियां ढूंढ सकें। अधिकारियों का मानना है कि किसी ने इसे बैंकों के ख़िलाफ़ मोड़ दिया। यही ऐसे टूल की दोधारी धार है: जो बचाव करने वाले को कमज़ोरी दिखाता है, वही हमलावर को भी रास्ता दिखा सकता है।
Quartz के अनुसार बैंक हैक की ख़बरें आने के बाद Artex ने अपनी उपयोग-शर्तें बदलकर साफ़ किया कि इसे अनधिकृत पहुंच या डेटा चोरी के लिए नहीं चलाया जा सकता। The Record के अनुसार यह वित्तीय क्षेत्र में AI एजेंटों से हैकिंग का पहला ज्ञात उदाहरण है।
ऐसे दुरुपयोग का यह पहला संकेत नहीं है। हम OpenAI के AI Agent की सरकारी पोर्टल वाली घटना और Gemini के टेस्ट में 3 कंपनियों में सेंध पर पहले लिख चुके हैं।
भारत के लिए मतलब: RBI जून में ही चेता चुका है
RBI की जून 2026 की Financial Stability Report में बड़े बैंकों और NBFC के सर्वे के आधार पर AI साइबर हमलों को अगले 12 महीनों का सबसे बड़ा साइबर ख़तरा बताया गया। रिपोर्ट के मुख्य बिंदु:
- AI से हमलों की गति, पैमाना और परिष्कार बढ़ सकते हैं।
- निगरानी, पहचान, प्रतिक्रिया और कर्मचारियों की जागरूकता में सुधार ज़रूरी बताया गया।
- प्रस्तावित Financial Sector Cybersecurity Strategy तैयारी के अंतिम चरण में है।
यह हमारा आकलन है कि कोरिया जैसा मामला भारतीय ग्राहकों पर सबसे पहले फ़िशिंग के रूप में असर डालेगा। नाम, फ़ोन नंबर और कर्ज़ का ब्योरा हाथ लगे, तो ‘आपका लोन मंज़ूर हो गया है’ जैसी कॉल ज़्यादा भरोसेमंद लगती है।
इसलिए बैंक के नाम से आई कॉल पर OTP या लिंक साझा करने से पहले बैंक के आधिकारिक नंबर पर ख़ुद फ़ोन करके पुष्टि कर लें।
जो अभी पता नहीं है
सबसे बड़ा सवाल यह है कि हमलों का कितना हिस्सा AI एजेंट ने किया और कितना इंसानों ने। AFP के अनुसार AI की भूमिका अभी अपुष्ट है। सीधे सबूत के तौर पर जांचकर्ताओं ने हमले के सर्वरों पर Artex के निशान देखे हैं।
एक और अनिश्चितता औज़ार को लेकर है। BankInfoSecurity के अनुसार हमलावर के सर्वरों पर Artex के संकेत मिले, पर संकेत किसी औज़ार की मौजूदगी दिखाते हैं, उसके इस्तेमाल की पूरी कहानी नहीं। यह भी साफ़ नहीं कि किन बैंकों के हमलों में AI का हाथ था।
पीड़ितों की गिनती भी तय नहीं है, क्योंकि स्रोतों के बीच 66,000 और 68,000 का फ़र्क़ है। हमलावर कौन हैं और कहां से काम कर रहे थे, यह भी सामने नहीं आया है।
आगे क्या देखें
पहला इंतज़ार दक्षिण कोरियाई पुलिस की जांच का नतीजा है: हमलावरों की पहचान और AI की भूमिका पर आधिकारिक पुष्टि। Quartz के अनुसार अधिकारी इसके लिए अंतरराष्ट्रीय सहयोग भी मांग रहे हैं। दूसरा यह कि Artex जैसे खुले टूल पर रोक या नई शर्तें लगती हैं या नहीं।
भारत में देखने लायक़ बात RBI की Financial Sector Cybersecurity Strategy का अंतिम रूप है, और यह कि बैंक AI-संबंधी जोखिम के अपने आकलन कैसे पूरा करते हैं।
पहले हैकिंग का मतलब था किसी ख़ास आदमी की महारत। अब सवाल यह है कि वही महारत एक मुफ़्त टूल में मिलने लगे तो बचाव कितनी जल्दी बदलना पड़ेगा।
स्रोत: AFP, The Record, Wall Street Journal, Quartz, BankInfoSecurity, RBI Financial Stability Report