"அலுவலகத்தில் வரும் ஒவ்வொரு மின்னஞ்சலும் உண்மையா?.." நம்பிக்கையையே ஆயுதமாக மாற்றிய புதிய சைபர் மோசடி நிறுவனங்களுக்கு விடுக்கும் அமைதியான எச்சரிக்கை!

சில ஆண்டுகளுக்கு முன்பு இணைய மோசடிகளை அடையாளம் காண்பது ஒப்பீட்டளவில் எளிதாக இருந்தது. இலக்கணப் பிழைகள் நிறைந்த மின்னஞ்சல்கள், சந்தேகத்திற்குரிய இணைய இணைப்புகள், "உடனே பணம் செலுத்துங்கள்" என்ற அவசரமான வாசகங்கள் போன்றவை பெரும்பாலானோருக்கு எச்சரிக்கை மணியாக இருந்தன. ஆனால் இன்று நிலைமை முற்றிலும் மாறியுள்ளது. தொழில்நுட்ப வளர்ச்சியோடு, சைபர் குற்றவாளிகளின் அணுகுமுறையும் மிகவும் நுட்பமானதாக மாறியுள்ளது. இப்போது அவர்கள் கணினிகளை ஹேக் செய்வதற்குப் பதிலாக, மனிதர்களின் நம்பிக்கையையே ஹேக் செய்ய முயல்கிறார்கள். ஒரு நிறுவனத்தின் பணியாளர்கள் எவ்வாறு பேசுகிறார்கள், யார் யாருடன் தொடர்பில் இருக்கிறார்கள், நிறுவனத்தின் நிர்வாக அமைப்பு எப்படி செயல்படுகிறது என்பதையெல்லாம் முன்கூட்டியே ஆய்வு செய்து, அதற்கேற்றவாறு மோசடித் திட்டங்களை வடிவமைக்கும் நிலை உருவாகியுள்ளது.

சமீபத்தில் இந்தியாவைச் சேர்ந்த ஒரு ஸ்டார்ட்அப் நிறுவனத்தில் நடந்த மோசடி முயற்சி, இந்த புதிய சைபர் குற்றங்களின் செயல்முறையை தெளிவாக எடுத்துக்காட்டியுள்ளது. அந்த நிறுவனத்தின் தலைமை நிர்வாக அதிகாரியின் பெயரையும், அலுவலக தொடர்பு முறையையும் பயன்படுத்தி, ஊழியர்களிடம் நம்பிக்கை ஏற்படுத்தும் வகையில் மின்னஞ்சல்கள் அனுப்பப்பட்டன. வெளிப்படையாகப் பார்த்தால், அது ஒரு வழக்கமான அலுவலக தகவல் பரிமாற்றம் போலவே இருந்தது. எந்த எழுத்துப் பிழையும் இல்லை. எந்த சந்தேகத்திற்குரிய இணைய முகவரியும் இல்லை. அலுவலகத்தில் தினசரி நடக்கும் உரையாடல்களில் ஒன்றாகவே அது தோன்றியது.

முதலில் மிகவும் சாதாரணமான கேள்விகள் மட்டுமே கேட்கப்பட்டன. பணியாளர் அலுவலகத்தில் இருக்கிறாரா, ஒரு சிறிய வேலை செய்து தர முடியுமா போன்ற எளிய உரையாடல்களின் மூலம் நம்பிக்கை உருவாக்கப்பட்டது. பின்னர், "நிறுவனத்தின் தேவைக்காக சில கிப்ட் கார்டுகளை வாங்க வேண்டும்; அதன் பணம் உடனே திருப்பி வழங்கப்படும்" என்று கூறி நிதி தொடர்பான கோரிக்கை வைக்கப்பட்டது. எந்தவித மிரட்டலும் இல்லை. அவசரப்படுத்தும் மொழியும் இல்லை. ஆனால் அந்த கோரிக்கை மிகவும் இயல்பாக இருந்ததால், பலர் அதை உண்மையாகவே நம்பியிருக்கலாம்.

இந்தச் சம்பவத்தில் முக்கியமான விஷயம், மோசடிக்காரர்கள் நிறுவனத்தின் உள்நாட்டு செயல்முறைகளை நன்றாகப் புரிந்துகொண்டிருந்ததே. எந்த ஊழியரை குறிவைத்தால் சந்தேகம் குறைவாக இருக்கும், யாரிடம் இத்தகைய கோரிக்கையை வைத்தால் வெற்றி பெறலாம் என்பதையும் அவர்கள் கணித்திருந்தனர். இது ஒரு சாதாரண இணைய மோசடி அல்ல; மனிதர்களின் உளவியலைப் பயன்படுத்திய சமூகப் பொறியியல் (Social Engineering) தாக்குதல் என்று சைபர் பாதுகாப்பு நிபுணர்கள் விளக்குகின்றனர்.

இன்றைய சைபர் குற்றங்களில் மிகவும் வேகமாக அதிகரித்து வரும் வகைகளில் ஒன்று, நிறுவனங்களின் தலைமை அதிகாரிகளின் பெயரில் நடைபெறும் மோசடிகள். இதனை "Business Email Compromise (BEC)" அல்லது "CEO Fraud" என்று அழைக்கின்றனர். இதில், நிறுவனத்தின் தலைமை நிர்வாகி, நிதி அதிகாரி அல்லது மூத்த மேலாளர் அனுப்பியதாகத் தோன்றும் மின்னஞ்சல் மூலம் பணப் பரிவர்த்தனை செய்யவோ, கிப்ட் கார்டுகள் வாங்கவோ அல்லது முக்கியமான தகவல்களை பகிரவோ ஊழியர்கள் தூண்டப்படுகின்றனர். பல சமயங்களில், அதிகாரியின் பெயர், பதவி, கையொப்பம், நிறுவனத்தின் மின்னஞ்சல் வடிவமைப்பு ஆகியவை மிகவும் துல்லியமாகப் போலியாக உருவாக்கப்படுவதால், அனுபவமுள்ள ஊழியர்களுக்குக் கூட அதை உடனடியாகக் கண்டறிவது சிரமமாகிறது.

சைபர் பாதுகாப்பு ஆய்வாளர்கள் கூறுவதாவது, இத்தகைய தாக்குதல்களுக்கு தொழில்நுட்ப திறன் மட்டுமல்ல, சமூக வலைத்தளங்களும் காரணமாகின்றன. இன்று நிறுவனங்கள் தங்களது ஊழியர்கள், நிர்வாகிகள், நிகழ்ச்சிகள் மற்றும் உள்நாட்டு தகவல்களை லிங்க்ட்இன், இன்ஸ்டாகிராம், நிறுவன இணையதளங்கள் போன்றவற்றில் பகிர்கின்றன. அவற்றை சேகரித்து, யார் எந்தப் பொறுப்பில் இருக்கிறார்கள், யாருக்கு யார் அறிக்கை அளிக்கிறார்கள், நிறுவனத்தின் தகவல் பரிமாற்ற முறை என்ன என்பதையெல்லாம் குற்றவாளிகள் ஆய்வு செய்கின்றனர். அதன்பிறகே மோசடி முயற்சி தொடங்குகிறது.

இந்த வகை தாக்குதல்களில் மிகவும் ஆபத்தான அம்சம் என்னவென்றால், பாதுகாப்பு மென்பொருட்கள் அனைத்தையும் தாண்டியும் அவை வெற்றி பெறும் வாய்ப்பு உள்ளது. காரணம், இதில் வைரஸ் அல்லது தீங்கிழைக்கும் கோப்புகள் பயன்படுத்தப்படுவதில்லை. ஒரு ஊழியர் தானாகவே நம்பி பணம் செலுத்துகிறார். அதனால், உலகின் மிக வலுவான பாதுகாப்பு அமைப்புகளைக் கொண்ட நிறுவனங்களுக்குக் கூட மனிதர்களின் கவனக்குறைவு காரணமாக இழப்புகள் ஏற்படுகின்றன.

நிபுணர்கள் இதற்கு எளிய ஆனால் மிகவும் முக்கியமான சில நடைமுறைகளை பரிந்துரைக்கின்றனர். நிறுவனத்தில் யாராவது பணம் செலுத்துமாறு அல்லது கிப்ட் கார்டுகள் வாங்குமாறு கேட்டால், அதனை வேறு ஒரு அதிகாரப்பூர்வ தொடர்பு வழி மூலம் உறுதிப்படுத்த வேண்டும். ஒரு மின்னஞ்சலை மட்டும் நம்பி எந்த நிதி நடவடிக்கையையும் மேற்கொள்ளக் கூடாது. குறிப்பாக "இது ரகசியம்", "உடனே செய்யுங்கள்", "நான் கூட்டத்தில் இருக்கிறேன்" போன்ற வாசகங்கள் இடம்பெற்றால் கூடுதல் எச்சரிக்கையுடன் செயல்பட வேண்டும்.

நிறுவனங்களும் இந்தப் பிரச்சினையை தொழில்நுட்ப கோணத்தில் மட்டும் பார்க்காமல், மனிதவள மேலாண்மை கோணத்திலும் அணுக வேண்டும் என்று சைபர் பாதுகாப்பு நிபுணர்கள் கூறுகின்றனர். புதிய ஊழியர்களுக்கு சைபர் பாதுகாப்பு பயிற்சி வழங்குவது, நிதி தொடர்பான ஒவ்வொரு கோரிக்கைக்கும் இரட்டை உறுதிப்படுத்தல் (Two-Step Verification Process) நடைமுறை அமைப்பது, நிர்வாகிகளின் பெயரில் வரும் மின்னஞ்சல்களை சரிபார்க்கும் உள்நாட்டு விதிமுறைகளை உருவாக்குவது போன்றவை இன்றைய காலத்தில் அத்தியாவசியமாக மாறியுள்ளன.

செயற்கை நுண்ணறிவு வேகமாக வளர்ந்து வரும் இந்தக் காலத்தில், போலியான குரல், வீடியோ, மின்னஞ்சல் மற்றும் தகவல்களை உருவாக்குவது மேலும் எளிதாகி வருகிறது. இதனால் எதிர்காலத்தில் இதுபோன்ற தாக்குதல்கள் இன்னும் அதிகரிக்கலாம் என்று சைபர் பாதுகாப்பு ஆய்வாளர்கள் எச்சரிக்கின்றனர். எனவே, தொழில்நுட்ப பாதுகாப்புடன் சேர்த்து, ஒவ்வொரு ஊழியரின் விழிப்புணர்வும் நிறுவனத்தின் மிகப்பெரிய பாதுகாப்பு சுவராக இருக்கும்.

இந்தச் சம்பவம் ஒரு நிறுவனத்தில் நடந்த தோல்வியடைந்த மோசடி முயற்சி மட்டுமல்ல. டிஜிட்டல் உலகில் "நம்பிக்கை" என்பதையே குற்றவாளிகள் ஆயுதமாக பயன்படுத்தத் தொடங்கியிருப்பதற்கான தெளிவான உதாரணமாகவும் இது பார்க்கப்படுகிறது. ஒரு மின்னஞ்சல் உண்மையா என்பதை உறுதிப்படுத்த சில நிமிடங்கள் எடுத்துக்கொள்வது, பல லட்சம் ரூபாய் நிதி இழப்பையும், நிறுவனத்தின் நம்பகத்தன்மைக்கு ஏற்படக்கூடிய பாதிப்பையும் தவிர்க்க உதவும் என்பதே இந்த சம்பவம் சொல்லும் மிக முக்கியமான பாடமாகும்.

உள்ளூர் முதல் உலகம் வரை பரபரப்பான ஹாட் செய்திகளை உடனுக்குடன் அறிய மாலைமுரசு யூடியூப் சேனலை காண இங்கே கிளிக் செய்யவும்.