इंटरनेट पर हमले बढ़ रहे हैं। जानिए कैसे सुरक्षित रखें खुद को और अपने परिवार को।

इसे अपनी ज़िंदगी के लोगों को भेजें। इंटरनेट का इस्तेमाल करने वाले हर किसी को, यानी लगभग सभी को, यह जानना ज़रूरी है कि क्या हो रहा है और खुद को बचाने के लिए वे क्या कर सकते हैं।

अभी, जब आप इसे पढ़ रहे हैं, AI एजेंट्स के झुंड संभवतः उन वेबसाइट्स में घुसने की कोशिश कर रहे हैं जिनका आप इस्तेमाल करते हैं। कोई एक नहीं। बहुत सारे।

हम सालों के सबसे बड़े साइबर सुरक्षा संकट के बीचों-बीच हैं। कुछ सुरक्षा विशेषज्ञ इसे पहले ही ब्लैक अक्टूबर कहने लगे हैं।

मैं आपको डराने के लिए यह नहीं लिख रहा हूँ। इसमें से बहुत कुछ आपके हाथ में नहीं है। लेकिन कुछ आसान चीज़ें हैं जो आप खुद को बचाने के लिए कर सकते हैं, और कुछ न करना हमेशा कुछ करने से बेहतर होता है।

इस हफ्ते हर घंटे एक नया हमला सामने आ रहा है। जब तक आप इसे पूरा पढ़ेंगे, शायद एक और हमला हो चुका होगा।

तो आइए जानते हैं कि क्या चल रहा है, और आपको इसके बारे में क्या करना चाहिए।

अभी क्या हो रहा है

अगर अभी यह सब बहुत ज़्यादा लग रहा है, तो सीधे इसके बारे में क्या करें पर जाएँ। लेकिन मैं सच में पूरी बात पढ़ने की सलाह दूँगा।

कल, PHP में एक गंभीर खामी सामने आई, जो लगभग 70% वेबसाइट्स के पीछे काम करने वाला सॉफ्टवेयर है।

इसे ऐसे समझिए: किसी ने पता लगा लिया कि देश की लाखों इमारतों में एक ही तरह का टूटा हुआ ताला लगा है, और अब हर किसी को पता है कि उसे कैसे खोलना है। ताला बनाने वाली कंपनी ने सुधार भेज दिया है, लेकिन हर इमारत के मालिक को इसे खुद लगाना होगा, और कई ने अभी तक नहीं लगाया है।

Cloudflare के CEO के अनुसार, खबर आने के दो घंटे के भीतर ही हमलावर उस ताले को लाखों बार आज़मा रहे थे। अब यह संख्या करोड़ों में है। Amazon का कहना है कि कोई इसे घोषणा से चार दिन पहले ही आज़मा रहा था, और इसके सुरक्षा प्रमुख का कहना है कि इस खामी का "अब बड़े पैमाने पर फायदा उठाया जा रहा है।" (यह Amazon द्वारा चेतावनी देना है, Amazon का हैक होना नहीं।) अब तक किसी ने इसके ज़रिए सफल सेंधमारी की पुष्टि नहीं की है, लेकिन हमलावर हर जगह कोशिश कर रहे हैं। एहतियातन, Wikipedia चलाने वाले संगठन ने अपनी कुछ प्रणालियाँ बंद कर दीं, और नीदरलैंड, फिनलैंड, जर्मनी, फ्रांस और अन्य देशों की सरकारों ने वेबसाइट्स को ऑफलाइन कर दिया।

यह सिर्फ एक कहानी है, और यह तो बस हिमखंड का ऊपरी हिस्सा है। मैं कुछ सबसे बड़ी घटनाएँ बता रहा हूँ। अगर मैं सब कुछ बताऊँ, तो आपको घंटों पढ़ना पड़ेगा।

• Microsoft का कहना है कि चीनी सरकार से जुड़े एक हैकिंग ग्रुप ने IT कंपनियों द्वारा इस्तेमाल की जाने वाली बैकअप सर्विस के ज़रिए 2,000 से ज़्यादा संगठनों में घुसने के लिए AI हैकिंग टूल का इस्तेमाल किया।
• लगभग बीस लाख डेवलपर्स द्वारा इस्तेमाल किए जाने वाले एक क्लाउड प्लेटफॉर्म ने कहा कि ग्राहकों की सीक्रेट कीज़ तक पहुँचा गया हो सकता है। आज सुबह मेरे एक दोस्त का कोई व्यक्ति इनमें से एक का इस्तेमाल करके उसका अकाउंट खाली कर रहा था।
• भारत के सबसे बड़े बैंक ने कहा कि लगभग 3,900 ग्राहकों की निजी जानकारी डार्क वेब पर लीक हो गई।
• अपराधियों के एक गिरोह ने AI टूल्स का इस्तेमाल करके लैटिन अमेरिका भर में 400 से ज़्यादा बैंकों और वित्तीय कंपनियों पर हमला किया।
• हैकर्स ने बड़े बैंकों सहित दक्षिण कोरिया की 16 वित्तीय कंपनियों में सेंध लगाई।
• जापान की सरकार ने उन सेंधमारी के बाद कंपनियों को अपनी सुरक्षा कड़ी करने को कहा जिसमें करोड़ों लोगों का डेटा लीक होने की आशंका थी।
• Stop & Shop, Hannaford और Food Lion की वेबसाइट्स और ऐप्स एक हफ्ते से ज़्यादा समय तक बंद रहीं।
• FBI, NSA और तीन अन्य एजेंसियों ने चेतावनी दी कि AI से लिखे गए अटैक स्क्रिप्ट का इस्तेमाल करने वाले हैकर्स उन प्रणालियों की रेकी कर रहे हैं जो पानी, ऊर्जा और विनिर्माण संयंत्रों को चलाती हैं।

सरकारों को इसका अंदाज़ा पहले से था। जून में, अमेरिका और उसके सबसे करीबी सहयोगियों ने AI-संचालित हैकिंग को लेकर चेतावनी दी थी: "समय-सीमा सालों की नहीं, महीनों की है।" चार महीने बाद, हम आज उसी मुकाम पर हैं।

इस पोस्ट का मूल वर्ज़न यहाँ उपलब्ध है।

यह मामला अलग क्यों है

आपने सालों से हैकिंग के बारे में सुना है। लेकिन अब जो बदला है वो यह है।

हर इमारत में कमज़ोर जगहें होती हैं: कोई खिड़की जो ठीक से बंद नहीं होती, या पिछले दरवाज़े पर सस्ता ताला। सॉफ्टवेयर भी ऐसा ही है। यह छिपी हुई कमज़ोरियों से भरा है। दशकों तक, इन्हें ढूँढने के लिए दुर्लभ और बेहद कुशल लोगों की ज़रूरत होती थी, और ऐसे लोग बहुत कम थे। यही हमारी सुरक्षा थी। अच्छे ताले नहीं। बस चोरों की कमी।

वह कमी अब खत्म हो गई है। एक साथ तीन चीज़ें हुई हैं।

पहली, AI अब कमज़ोर जगहें ढूँढ सकता है। PHP की यह खामी AI की मदद से पाई गई थी, और AI टूल्स ऐसे हज़ारों बग ढूँढ रहे हैं जो सालों से अनदेखे पड़े थे।

दूसरी, AI अब खुद से सेंध लगा सकता है। किसी कुशल हैकर की ज़रूरत नहीं। एक व्यक्ति ने AI एजेंट्स को एक ट्वीट से भी छोटे, 100 से कम चीनी अक्षरों वाले निर्देश दिए, और उन्हें काफी हद तक अपने आप काम करने दिया। उन्होंने John Deere सहित 100 से ज़्यादा कंपनियों की वेबसाइट्स में सेंध लगाई, और अनुमानित लागत प्रति सेंधमारी सिर्फ $50 रही। वे न सोते हैं, न बोर होते हैं। वे बस तब तक कोशिश करते रहते हैं जब तक अंदर घुसने का रास्ता न मिल जाए।

तीसरी, बचाव करने वाले तेज़ी से उनके साथ कदम मिलाने की दौड़ में हैं। हर कमज़ोरी को अभी भी ठीक करना, टेस्ट करना और इंस्टॉल करना होता है, और यह उन लाखों प्रणालियों पर करना होता है जिन्हें चलाने वाले लोग पहले से ही बहुत व्यस्त हैं। सबसे गंभीर बग्स के लिए भी, सिर्फ सुधार जारी करने में औसतन लगभग दो हफ्ते लगते हैं, और बहुत सी वेबसाइट्स तो कभी ठीक ही नहीं होतीं। सुरक्षा कंपनी Cisco का अनुमान है कि उस सॉफ्टवेयर को चलाने वाले लगभग आधे इंटरनेट-कनेक्टेड सर्वर इतने पुराने हैं कि उन्हें आधिकारिक सुधार मिल ही नहीं सकता।

इन सबको मिला दें तो यह बिल्ली-चूहे का खेल बन जाता है जिसमें हमलावरों को सिर्फ एक बार जीतना होता है। हमलावरों और बचावकर्ताओं के बीच का यही अंतर आपको अगले कुछ दिनों में खबरों में देखने को मिलेगा।

यह होता रहेगा, और और भी बुरा होगा

यह कोई एक बुरा हफ्ता नहीं है। यह उस दौर की शुरुआत है जिसके लिए हम सबको तैयार रहना होगा।

ज़रा आँकड़े देखिए। सुरक्षा कंपनी CrowdStrike का कहना है कि जिन हमलों में AI एजेंट्स शामिल होने की संभावना है, वे अगस्त में दोगुने से ज़्यादा हो गए, और फिर सितंबर में फिर से दोगुने हो गए। और अगर यह हफ्ता कोई संकेत है, तो यह रफ्तार और बढ़ रही है। AI हर कुछ महीनों में बेहतर होता जा रहा है और साथ ही इसे चलाना सस्ता भी हो रहा है। आज हैकर्स जिन टूल्स का इस्तेमाल कर रहे हैं, वे उनके पास मौजूद सबसे खराब टूल्स हैं।

ये टूल्स अब बाहर भी आ चुके हैं। जब एक AI हैकिंग टूल का कोरियाई बैंकों पर हुए हमलों से संबंध सामने आया, तो उसके निर्माता ने इसे सार्वजनिक रूप से जारी करना बंद कर दिया और उसका डाउनलोड पेज हटा दिया गया। लेकिन इससे कोई फर्क नहीं पड़ा। जिसने भी इसे पहले डाउनलोड कर लिया था, वह अभी भी इसका इस्तेमाल कर सकता है।

हालाँकि अच्छी खबर यह है कि बचावकर्ताओं के पास भी AI है, और यह पहले से कहीं तेज़ी से कमज़ोरियाँ ढूँढ और ठीक कर रहा है। आखिरकार, सॉफ्टवेयर में सेंध लगाना आज की तुलना में बहुत मुश्किल हो जाएगा। लेकिन अभी हमला बचाव से आगे है, और कुछ समय तक ऐसा ही रह सकता है।

इसका आपके लिए क्या मतलब है

Axios के अनुसार, अभी JPMorgan, Bank of America और Wells Fargo सहित बड़े अमेरिकी बैंक ग्राहक खातों के अंदर अनधिकृत AI एजेंट्स पा रहे हैं। कुछ ग्राहकों ने खुद सेटअप किए थे, लेकिन कई बैंक यह नहीं बता पा रहे हैं कि कौन से एजेंट ग्राहक के लिए काम कर रहे हैं और कौन से नहीं। बैंक अधिकारियों ने इस स्थिति को "भयावह" बताया। Axios ने पैसे चोरी होने की कोई खबर नहीं दी।

लेकिन आज ज़्यादातर लोगों के लिए बड़ा खतरा अभी भी तीन चीज़ें हैं। आपकी जानकारी लीक हो जाती है, इसलिए स्कैमर्स को आपका नाम, जन्मदिन, पता और बैंक पता होता है, और उनकी कॉल और मैसेज असली लगते हैं। आपके अकाउंट्स किसी ऐसी साइट के ज़रिए हैक हो जाते हैं जिसे आपने सालों पहले एक बार इस्तेमाल किया था, और उसमें वही पासवर्ड था जो आप हर जगह इस्तेमाल करते हैं। और जिन चीज़ों पर आप निर्भर हैं, जैसे कोई ऐप, फार्मेसी या स्टोर की वेबसाइट, वे दिनों तक बंद रहती हैं।

स्पष्ट कर दूँ: यह सब चल रहा है, लेकिन जिन सबसे बुरी स्थितियों से लोग सबसे ज़्यादा डरे हुए हैं, वे अभी नहीं हुई हैं। मुझे उम्मीद है कि कभी होंगी भी नहीं। लेकिन एहतियात बरतना बेहतर है, खासकर क्योंकि यह सिलसिला जारी रहेगा।

आज क्या करें

पहला, जब तक यह तूफान शांत न हो, उन साइट्स से दूर रहें जिन्हें आप नहीं जानते। बड़ी, जानी-मानी साइट्स पर टिके रहें: आपका बैंक, Amazon, Google। छोटी साइट्स में सुधार (patch) होने की संभावना सबसे कम होती है, और आप बाहर से यह पता नहीं लगा सकते। अगले कुछ हफ्तों तक, किसी भी अनजान चीज़ में पासवर्ड या कार्ड नंबर टाइप न करें।

दूसरा, सब कुछ अपडेट करें: अपना फोन, कंप्यूटर, टैबलेट और वेब ब्राउज़र। जब आपके फोन या कंप्यूटर की अपनी Settings बताए कि अपडेट उपलब्ध है, तो उसे इंस्टॉल करें। यही आपका ताला है। अपने राउटर के लिए भी ऐसा ही करें, और अगर वह इतना पुराना है कि अब अपडेट नहीं मिलते, तो उसे बदल दें। लेकिन किसी वेबसाइट पर आए पॉप-अप या मैसेज/ईमेल में दिए गए लिंक से कभी "अपडेट" इंस्टॉल न करें। यह एक आम धोखाधड़ी है। पता नहीं कि ये सब कैसे करें? यहाँ एक आसान स्टेप-बाय-स्टेप गाइड है।

तीसरा, वे दरवाज़े बंद करें जिनका आप इस्तेमाल नहीं कर रहे। जिन स्मार्ट गैजेट्स की ज़रूरत नहीं है उन्हें अनप्लग करें और जिन ऐप्स का इस्तेमाल नहीं करते उन्हें डिलीट कर दें। कनेक्टेड हर चीज़ अंदर घुसने का एक और रास्ता है।

चौथा, अपने बैंक अकाउंट को सुरक्षित रखें। अगर कोई आपको कॉल, मैसेज या ईमेल करता है और आपका पासवर्ड या आपके फोन पर अभी-अभी भेजा गया कोड माँगता है, तो वह धोखाधड़ी है। हर बार। वे कोड सिर्फ आपके बैंक की अपनी ऐप या वेबसाइट में टाइप करने के लिए हैं। अपने बैंक से जुड़ी हर कॉल, मैसेज या ईमेल को तब तक संदिग्ध मानें जब तक आप खुद इसकी जाँच न कर लें: उनके लिंक पर क्लिक न करें, और उनके दिए गए नंबर पर वापस कॉल न करें। फोन काट दें और अपने कार्ड के पीछे लिखे नंबर पर कॉल करें। अगर वह सच में आपका बैंक था, तो वे आपकी मदद कर पाएँगे।

अपना बैंक यूज़रनेम और पासवर्ड सिर्फ अपने बैंक की ऐप या वेबसाइट में टाइप करें। इन्हें किसी और को न दें, चाहे वह AI असिस्टेंट हो या कोई दूसरी ऐप, भले ही वह कितनी भी मददगार क्यों न लगे। Chase का कहना है कि इन्हें किसी को न दें। अपनी ईमेल और बैंक के लिए टू-स्टेप लॉगिन चालू करें (यहाँ जानें कैसे), और एक ही पासवर्ड बार-बार इस्तेमाल करना बंद करें। पासवर्ड मैनेजर इसे आसान बना देता है, और आपके iPhone या Android फोन में यह पहले से ही बना हुआ आता है।

अगर आप और भी सावधान रहना चाहते हैं, तो घर पर थोड़े कैश रखें, इतने कि कुछ दिनों का राशन आ सके, साथ में कुछ खाना और पानी भी। यह एक सामान्य इमरजेंसी किट है, और वैसे भी इसे रखना फायदेमंद है।

जो मैं नहीं करूँगा वह है बैंक से अपना पैसा निकाल लेना। घबराहट ही वह चीज़ है जिस पर स्कैमर्स भरोसा करते हैं। अगर कोई बैंक खुद फेल हो जाता है, तो FDIC-बीमित बैंकों में जमा राशि प्रति व्यक्ति, प्रति बैंक $250,000 तक सुरक्षित होती है। यह बीमा हैक किए गए अकाउंट से चोरी हुए पैसे को कवर नहीं करता। लेकिन संघीय नियम आमतौर पर यह सीमित करते हैं कि अगर आप अनधिकृत ट्रांसफर की तुरंत रिपोर्ट करें तो आपका कितना नुकसान होगा, इसलिए अपने अकाउंट्स बार-बार चेक करें और कुछ भी गड़बड़ लगे तो तुरंत अपने बैंक को कॉल करें। जो पैसा आपको धोखे से खुद भेजने के लिए मना लिया जाए, उसे वापस पाना बहुत मुश्किल होता है, यही कारण है कि स्कैम कॉल्स बड़ा खतरा हैं।

अगले कुछ दिन अजीब होने वाले हैं। और भी घोषणाएँ आने वाली हैं। मुझे उम्मीद है कि ज़्यादातर चीज़ें काम करती रहेंगी। बस आज ये नीरस काम कर लीजिए।

इसे अभी अपनी ज़िंदगी के लोगों को भेजें। अपने माता-पिता, दादा-दादी, दोस्तों, ग्रुप चैट्स को। इंटरनेट से जुड़ा हर कोई, यानी सचमुच हर कोई, यह जानना ज़रूरी है कि क्या हो रहा है। जिन लोगों के इस बारे में सुनने की संभावना सबसे कम है, वे ही इससे सबसे ज़्यादा नुकसान उठाने वाले हैं।

इस पोस्ट का मूल वर्ज़न यहाँ उपलब्ध है।