डिजिटल फ्रॉड का नया खतरा: 'डिजिटल लुटेरा' टूलकिट से यूपीआई अकाउंट हो सकते हैं हैक, शोधकर्ताओं ने दी चेतावनी

क्या है 'डिजिटल लुटेरा' टूलकिट?

यह एक नया फ्रॉड सॉफ्टवेयर है जिसे खास तौर पर भारत के यूपीआई और डिजिटल पेमेंट सिस्टम को निशाना बनाने के लिए तैयार किया गया है। यह आम वायरसों की तरह सीधे आपके पेटीएम, फोनपे या बैंकिंग एप को हैक नहीं करता। बल्कि इसके उलट यह सीधे आपके एंड्रॉयड फोन के मुख्य सिस्टम में ही सेंध लगाकर बदलाव कर देता है। साइबर विशेषज्ञों की मानें तो खतरे की बात यह है कि आजकल यह खतरनाक टूलकिट टेलीग्राम ग्रुप्स पर साइबर अपराधियों के बीच खुलेआम बांटा और बेचा जा रहा है।

यह हमला कैसे होता है? (स्टेप-बाय-स्टेप)

हैकर्स इस हमले को अंजाम देने के लिए सीधे आपके एप को नहीं, बल्कि आपके फोन के एसएमएस सिस्टम को हाईजैक करते हैं।
फर्जी एप (APK File) का झांसा: शुरुआत आपके फोन में एक फर्जी एप इंस्टॉल कराने से होती है। हैकर्स अक्सर व्हाट्सएप या एसएमएस के जरिए ट्रैफिक चालान, बिजली बिल कटने की चेतावनी या शादी के ई-कार्ड के रूप में एक APK फाइल भेजते हैं।

एसएमएस की परमिशन लेना: जैसे ही आप अनजाने में यह एप इंस्टॉल करते हैं, ये आपसे आपके मैसेज पढ़ने और भेजने की परमिशन मांग लेता है।
OTP की चोरी: अब ये एप आपके फोन के बैकग्राउंड में छुपकर चलता रहता है। जैसे ही आपके पास बैंक से कोई ओटीपी आता है, ये एप उसे तुरंत बीच में ही चुरा करके हैकर को भेज देता है।
हैकर्स की लॉग-इन कोशिश: हैकर अपने फोन में एप का एक संशोधित वर्जन खोलकर आपके खाते में लॉग-इन करने की कोशिश करता है।
सिस्टम को चकमा देना: हैकर चुराए गए OTP का इस्तेमाल करता है। क्योंकि वेरिफिकेशन का मैसेज आपके असली सिम से ही भेजा गया होता है। इसलिए टेलीकॉम कंपनियों और बैंक को लगता है कि यह लॉग-इन आप ही कर रहे हैं।
खाता पूरी तरह हैक: इसके बाद हैकर आपके खाते का यूपीआई पिन रीसेट कर देता है। नया पिन सेट करता है और आपके बैंक खाते पर पूरा नियंत्रण हासिल कर लेता है।

ये इतना खतरनाक क्यों है?

इस हमले की सबसे डरावनी बात यह है कि पूरी प्रक्रिया के दौरान आपको भनक तक नहीं लगती। आपका यूपीआई अकाउंट किसी दूसरे के फोन में रजिस्टर हो जाता है और पूरा काम बैकग्राउंड में शांति से हो जाता है। ऐसा इसलिए हो पाता है क्योंकि हमारे मौजूदा वित्तीय सिस्टम में सिर्फ मोबाइल नंबर को ही यह साबित करने के लिए काफी मान लिया जाता है कि डिवाइस का असली मालिक कौन है। राहत की बात यह है कि CloudSEK ने अपनी यह रिपोर्ट बैंकों और सुरक्षा एजेंसियों के साथ साझा कर दी है। ताकि इसे रोकने के लिए नए सुरक्षा उपाय जल्द से जल्द बनाए जा सकें।