Digital Security 2

किसी कंप्यूटर, डिजिटल डिवाइस या नेटवर्क का माध्यम या लक्ष्य (Target/Tool) के रूप में उपयोग कर किए गए गैर-कानूनी कार्य को साइबर अपराध कहते हैं।

इंटरनेट तथा डिजिटल उपकरणों का उपयोग करके वित्तीय या व्यक्तिगत लाभ प्राप्त करने के लिए की गई छल-कपट आधारित गतिविधि।

किसी सर्वर या नेटवर्क पर अत्यधिक फर्जी ट्रैफिक भेजकर उसकी सेवाओं को वैध उपयोगकर्ताओं के लिए अनुपलब्ध (Unavailable) बनाना।

इसमें हमलावर केवल एक कंप्यूटर की बजाय बॉटनेट्स (Botnets) नामक कई संक्रमित डिवाइसों के नेटवर्क का एक साथ उपयोग करता है।

यह पीड़ित के सिस्टम या फ़ाइलों को एन्क्रिप्ट (Encrypt) कर देता है और उन्हें अनलॉकिंग कुंजी हेतु फिरौती (Ransom) की मांग करता है।

उपयोगकर्ता की अनुमति के बिना उसके कंप्यूटर या मोबाइल की प्रोसेसिंग क्षमता का क्रिप्टोकरेंसी माइनिंग (Cryptocurrency Mining) के लिए अनधिकृत उपयोग करना।

प्रतिस्पर्धी कंपनियों या विरोधी देशों के गोपनीय डेटा, बौद्धिक संपदा या सामरिक जानकारी को अनधिकृत रूप से प्राप्त करने की प्रक्रिया।

इंटरनेट, सोशल मीडिया या ईमेल के माध्यम से किसी व्यक्ति की निरंतर निगरानी करना, उसे डराना या मानसिक रूप से परेशान करना।

डिजिटल प्लेटफॉर्म्स (जैसे सोशल मीडिया, मैसेजिंग ऐप्स) पर किसी व्यक्ति को अपमानित करने, धमकाने या नीचा दिखाने वाले संदेश व फोटो साझा करना।

अपराधी टेलीकॉम प्रदाता को गुमराह कर पीड़ित के मोबाइल नंबर का दूसरा (डुप्लीकेट) सिम कार्ड हासिल कर लेता है, जिससे सभी 2FA ओटीपी अपराधी को मिलने लगते हैं।

एटीएम मशीन के कार्ड रीडर स्लॉट में एक गुप्त इलेक्ट्रॉनिक उपकरण (Skimmer) लगाकर कार्ड का मैग्नेटिक स्ट्रिप डेटा चुराना।

विशिंग में धोखाधड़ी वॉइस कॉल (Voice Call) के माध्यम से होती है, जबकि स्मिशिंग में एसएमएस (SMS) का उपयोग किया जाता है।

हमलावर दो उपयोगकर्ताओं या सर्वर के बीच हो रहे संचार के मध्य में चुपके से स्थित होकर डेटा को इंटरसेप्ट तथा संशोधित (Interception & Modification) करता है।

किसी सॉफ्टवेयर की ऐसी सुरक्षा खामी जिसका फायदा हमलावर डेवलपर द्वारा पैच या समाधान जारी करने से पहले ही उठा लेते हैं।

किसी व्यक्ति की निजी या संदेहास्पद तस्वीरों/वीडियो का उपयोग कर ब्लैकमेल करना तथा धन या अन्य अनुचित मांगों की आपूर्ति कराना।

फर्जी ई-कॉमर्स वेबसाइट बनाकर अत्यधिक कम दामों पर वस्तुएं दिखाना और भुगतान लेने के बाद डिलीवरी न करना।

पीड़ित को शुरुआती समय में फर्जी उच्च रिटर्न दिखाकर विश्वास में लेना और बाद में बड़ी धनराशि निवेश कराकर गायब हो जाना।

किसी दुर्भावनापूर्ण या हैक की गई वेबसाइट पर केवल जाने (Visit करने) मात्र से ही बिना किसी क्लिक के पृष्ठभूमि में मालवेयर डाउनलोड होना।

यह ई-कॉमर्स वेबसाइट के चेकआउट फॉर्म में जासूसी कोड डालकर ग्राहकों के पेमेंट कार्ड विवरण (Credit/Debit Card Details) चुराता है।

उपयोगकर्ता को पारदर्शी या फर्जी यूजर इंटरफेस (UI) दिखाकर उससे अनजाने में किसी अन्य हानिकारक बटन पर क्लिक कराना।

अवैध रूप से चुराए गए धन के लेनदेन का स्रोत छुपाने और मनी लॉन्ड्रिंग को अंजाम देने के लिए किसी तीसरे व्यक्ति के बैंक खाते का उपयोग करना।

इसमें यूजर सही URL टाइप करने पर भी DNS पॉइजनिंग के कारण स्वतः फर्जी वेबसाइट पर रिडायरेक्ट हो जाता है।

किसी विशेष समूह या संगठन द्वारा अक्सर उपयोग की जाने वाली वैध वेबसाइट को संक्रमित करना ताकि उस समूह के सदस्यों को निशाना बनाया जा सके।

सार्वजनिक स्थानों (जैसे एयरपोर्ट, रेलवे स्टेशन) पर उपलब्ध सार्वजनिक यूएसबी चार्जिंग पोर्ट के माध्यम से डेटा चुराना या मालवेयर डालना।

पुलिस या कस्टम अधिकारी बनकर वीडियो कॉल पर पीड़ित को गैर-कानूनी पार्सल का डर दिखाकर डिजिटल हिरासत में रखना और पैसे ऐंठना।

उपयोगकर्ता की सहमति के बिना लगातार अवांछित विज्ञापन प्रदर्शित करना और ब्राउज़िंग व्यवहार की जासूसी करना।

उपयोगकर्ता की जानकारी के बिना उसकी गतिविधियों, की-स्ट्रोक्स और निजी जानकारी पर निगरानी रखना और उसे दूरस्थ सर्वर पर भेजना।

जब मालवेयर से संक्रमित अनेक कंप्यूटर और IoT डिवाइसें एक ही केंद्रीय सर्वर (C&C Server) के नियंत्रण में आ जाती हैं।

मनोवैज्ञानिक हेरफेर (Psychological Manipulation) के जरिए व्यक्तियों को गोपनीय जानकारी उजागर करने या सुरक्षा नियमों को तोड़ने के लिए गुमराह करना।

अनुसंधान (Information Gathering), संबंध निर्माण (Developing Relationship), शोषण (Exploitation), निष्पादन (Execution) और निष्क्रमण (Exit)।

एक विश्वसनीय संस्था के रूप में प्रच्छन्न होकर ईमेल/संदेश के माध्यम से संवेदनशील क्रेडेंशियल (पासवर्ड, ओटीपी) प्राप्त करना।

यह एक लक्षित (Targeted) हमला है जो किसी विशेष व्यक्ति या संगठन को ध्यान में रखकर तैयार किया जाता है।

संगठन के शीर्ष अधिकारियों जैसे सीईओ (CEO), सीएफओ (CFO) या उच्च सरकारी पदस्थ अधिकारियों को।

कंपनी के उच्च अधिकारी का फर्जी ईमेल बनाकर कर्मचारियों को तत्काल फंड ट्रांसफर करने का निर्देश देना।

एक काल्पनिक स्थिति या झूठी भूमिका (Pretext) बनाकर पीड़ित का विश्वास जीतना और उससे संवेदनशील डेटा प्राप्त करना।

पीड़ित को किसी लालच (जैसे मुफ़्त सॉफ़्टवेयर, संक्रमित पेनड्राइव छोड़ना) द्वारा मालवेयर लोड करने हेतु उकसाना।

सेवा या सहायता के बदले (जैसे फर्जी तकनीकी सहायता) उपयोगकर्ता से पासवर्ड या सिस्टम एक्सेस की मांग करना।

किसी अधिकृत व्यक्ति के पीछे-पीछे बिना ऑथेंटिकेशन के भौतिक रूप से प्रतिबंधित क्षेत्र (Physical Restricted Area) में प्रवेश कर जाना।

किसी कंपनी या व्यक्ति के कचरे/कूड़ेदान से फेंके गए संवेदनशील दस्तावेज, पासवर्ड पर्चियाँ या हार्डवेयर ढूँढना।

गोपनीय जानकारी दर्ज करते समय कीपैड को ढकना और प्राइवेसी स्क्रीन फ़िल्टर का प्रयोग करना।

किसी अन्य व्यक्ति के व्यक्तिगत पहचान क्रेडेंशियल (जैसे आधार, पैन, नाम) का उसकी सहमति के बिना वित्तीय या आपराधिक लाभ हेतु प्रयोग करना।

वास्तविक और काल्पनिक जानकारियों का मिश्रण बनाकर एक नई फर्जी पहचान (Fake Identity) का निर्माण करना।

पूर्व डेटा उल्लंघन से लीक हुए यूज़रनेम-पासवर्ड का उपयोग कर अन्य वेबसाइटों पर स्वचालित लॉगिन का प्रयास करना।

सही पासवर्ड खोजने के लिए संभावनाओं के सभी सम्मिश्रणों का स्वचालित रूप से तब तक प्रयास करना जब तक सही पासवर्ड न मिल जाए।

यह सभी सम्मिश्रणों के बजाय केवल शब्दकोश के सामान्य शब्दों और प्रचलित पासवर्डों की सूची का परीक्षण करता है।

लोकप्रिय वेबसाइटों के नाम की गलत वर्तनी वाले डोमेन पंजीकृत कर उपयोगकर्ताओं को धोखा देना (जैसे goggle.com)।

वैध सार्वजनिक वाई-फाई नेटवर्क के नाम से मिलता-जुलता फर्जी हॉटस्पॉट बनाकर उपयोगकर्ताओं के डेटा ट्रैफिक की निगरानी करना।

सोशल मीडिया पर कंपनियों के फर्जी ग्राहक सेवा अकाउंट बनाकर शिकायतकर्ताओं से उनकी खाता जानकारी चुराना।

एआई (AI) का उपयोग कर किसी व्यक्ति के चेहरे और आवाज की अत्यंत यथार्थवादी फर्जी वीडियो या ऑडियो बनाना।

रिश्तेदार या परिचित की आवाज की नकल बनाकर आपातस्थिति का बहाना बनाकर तत्काल पैसे की मांग करना।

सोशल मीडिया पर साझा की गई सार्वजनिक जानकारी का उपयोग हमलावर लक्षित हमलों की योजना बनाने में करते हैं।

एक्टिव फुटप्रिंट स्वेच्छा से साझा डेटा है, जबकि पैसिव फुटप्रिंट ब्राउज़िंग के दौरान अनजाने में दर्ज हुआ डेटा (IP, लोकेशन) है।

पूर्व में प्राप्त वैध ईमेल के कंटेंट की नकल कर उसमें केवल लिंक या फाइल को हानिकारक बनाकर पुनः भेजना।

तकनीकी सुरक्षा उपायों के साथ-साथ मानव जागरूकता (Human Awareness) और निरंतर साइबर सुरक्षा प्रशिक्षण।

'MFA फटीग अटैक' द्वारा, जिसमें अपराधी पीड़ित के फोन पर बार-बार ऑथेंटिकेशन नोटिफिकेशन भेजकर उसे गलती से स्वीकृत कराता है।

इंटरनेट पर उपलब्ध सार्वजनिक स्रोतों से लक्ष्य (Target) की अधिकतम व्यक्तिगत व संगठनात्मक जानकारी एकत्र करना।

हमलावरों को सुरक्षा प्रश्नों के उत्तर जैसे पेट का नाम, जन्म स्थान, प्राथमिक विद्यालय आदि आसानी से मिल जाते हैं।

Know Your Customer प्रक्रिया से वित्तीय संस्थानों को ग्राहक की वास्तविक पहचान की पुष्टि (Authentication) करने में मदद मिलती है।

Confidentiality (गोपनीयता), Integrity (अखंडता), और Availability (उपलब्धता)।

यह सुनिश्चित करना कि डेटा केवल अधिकृत व्यक्तियों (Authorized Personnel) की पहुँच में ही रहे।

डेटा को किसी भी अनधिकृत संशोधन, परिवर्तन या विनाश से सुरक्षित और सटीक बनाए रखना।

जब भी अधिकृत उपयोगकर्ताओं को आवश्यकता हो, डेटा तथा प्रणालियों का सहजता से उपलब्ध रहना।

यह सिद्ध करना कि कोई संदेश या लेनदेन विशिष्ट प्रेषक द्वारा ही किया गया है, जिसे वह बाद में नकार नहीं सकता।

प्लेनटेक्स्ट (Readable Data) को क्रिप्टोग्राफिक एल्गोरिदम द्वारा साइफरटेक्स्ट (Unreadable Ciphertext) में परिवर्तित करने की प्रक्रिया।

सममित में एन्क्रिप्शन व डिक्रिप्शन हेतु एक ही गुप्त कुंजी (Single Key) का प्रयोग होता है, जबकि असममित में कुंजी युग्म (Public & Private Key) का प्रयोग होता है।

यह एक अत्यधिक सुरक्षित सममित ब्लॉक साइफर (Symmetric Block Cipher) एल्गोरिदम है (जैसे AES-128, AES-256)।

यह एक असममित सार्वजनिक कुंजी क्रिप्टोग्राफी (Asymmetric Public Key Cryptography) प्रणाली है।

डेटा प्रेषक की डिवाइस पर एन्क्रिप्ट होता है और केवल प्राप्तकर्ता की डिवाइस पर ही डिक्रिप्ट हो सकता है; बीच का कोई सर्वर भी इसे पढ़ नहीं सकता।

संदेश/दस्तावेज की प्रामाणिकता (Authenticity), अखंडता (Integrity) और गैर-अस्वीकरण (Non-repudiation) की पुष्टि करना।

सर्टिफिकेट अथॉरिटी (Certificate Authority - CA) जो डिजिटल प्रमाणपत्र जारी व सत्यापित करती है।

क्लाइंट ब्राउज़र और वेब सर्वर के बीच एन्क्रिप्टेड तथा सुरक्षित संचार चैनल (Secure HTTPS Channel) स्थापित करना।

HTTPS में डेटा ट्रांसमिशन TLS/SSL द्वारा एन्क्रिप्टेड होता है (Port 443), जबकि HTTP में डेटा प्लेनटेक्स्ट रूप में जाता है (Port 80)।

उपयोगकर्ता के इंटरनेट ट्रैफिक को एक एन्क्रिप्टेड टनल (Encrypted Tunnel) के माध्यम से दूरस्थ सर्वर पर भेजकर IP एड्रेस छुपाता है।

डेटा को एन्क्रिप्शन की कई परतों (Onion Layers) में लपेटकर कई वॉलंटियर रिले से री-रूट किया जाता है।

नागरिकों के व्यक्तिगत डेटा के प्रसंस्करण में निजता के अधिकार और डेटा सुरक्षा को विनियमित करने पर।

उस व्यक्ति को जिससे संबंधित व्यक्तिगत डेटा का प्रसंस्करण (Processing) किया जा रहा है।

जो संस्था डेटा प्रसंस्करण के उद्देश्य निर्धारित करती है, उसकी जिम्मेदारी डेटा की सुरक्षा और वैध उपयोग सुनिश्चित करना है।

सर्वोच्च न्यायालय ने निजता के अधिकार (Right to Privacy) को अनुच्छेद 21 के तहत मौलिक अधिकार (Fundamental Right) घोषित किया।

केवल उतना ही डेटा एकत्र किया जाना चाहिए जो घोषित उद्देश्य की पूर्ति के लिए अत्यंत आवश्यक हो।

ये उपयोगकर्ता की विभिन्न वेबसाइटों पर ऑनलाइन गतिविधियों और ब्राउज़िंग आदतों को ट्रैक करती हैं।

एक पक्ष दूसरे पक्ष को कोई भी गुप्त जानकारी उजागर किए बिना यह सिद्ध कर सकता है कि वह उस गुप्त जानकारी को जानता है।

डेटा को एक निश्चित लंबाई वाले अद्वितीय मान (Hash Digest) में बदलना जो एक-तरफा (One-way) होता है और डेटा अखंडता जांचने में काम आता है।

SHA-256 (Secure Hash Algorithm 256-bit)।

किसी संगठन के सुरक्षित/गोपनीय डेटा तक अनधिकृत पहुंच, निष्कर्षण या प्रकटीकरण होना।

डेटा में से पहचान योग्य तत्वों को संकेतों द्वारा प्रतिस्थापित करना ताकि अतिरिक्त जानकारी के बिना व्यक्ति की पहचान न की जा सके।

कम से कम 12-16 अक्षर, अपरकेस, लोअरकेस, संख्या और विशेष वर्णों (Special Characters) का मिश्रण।

पासवर्ड को हैश करने से पहले उसमें एक यादृच्छिक डेटा स्ट्रिंग (Random Data) जोड़ना ताकि रेनबो टेबल हमलों से बचाव हो।

यह सभी खातों के लिए जटिल और अद्वितीय पासवर्ड उत्पन्न तथा सुरक्षित एन्क्रिप्टेड तिजोरी में संग्रहीत करता है।

ज्ञान (Something you know), स्वामित्व (Something you have), और जैविक गुण (Something you are)।

एक ऑथेंटिकेटर ऐप द्वारा उत्पन्न कोड जो समय के आधार पर प्रत्येक 30 सेकंड में स्वतः बदलता रहता है।

यह पासवर्ड-रहित प्रमाणीकरण प्रदान करता है जो सार्वजनिक-निजी कुंजी क्रिप्टोग्राफी पर आधारित और फिशिंग-प्रतिरोधी है।

सॉफ्टवेयर अपडेट्स को समय पर इंस्टॉल करके प्रणाली की ज्ञात सुरक्षा खामियों (Vulnerabilities) को बंद करना।

डेटा की 3 प्रतियां रखें, 2 अलग-अलग मीडिया प्रकारों पर, और 1 प्रति ऑफ-साइट/क्लाउड पर।

पूर्व-निर्धारित नियमों के आधार पर आने वाले और जाने वाले नेटवर्क ट्रैफिक की निगरानी तथा अनधिकृत एक्सेस को ब्लॉक करना।

नेटवर्क से जुड़ी अंतिम डिवाइसों (Endpoints) पर निरंतर निगरानी रखकर उन्नत खतरों का वास्तविक समय में पता लगाना और रोकना।

केवल सत्यापित डेवलपर्स के एक्सटेंशन इंस्टॉल करना और न्यूनतम अनुमतियां (Permissions) देना।

वित्तीय लेनदेन से बचना और वीपीएन (VPN) का प्रयोग अनिवार्य रूप से करना।

यह वाई-फाई नेटवर्क के लिए अधिक मजबूत क्रिप्टोग्राफ़िक सुरक्षा (SAE Handshake) प्रदान करता है जो ब्रूट फोर्स हमलों से बचाती है।

Indian Computer Emergency Response Team - भारत में साइबर सुरक्षा घटनाओं की प्रतिक्रिया, चेतावनी और सुरक्षा दिशानिर्देश जारी करने वाली नोडल एजेंसी।

cybercrime.gov.in जिस पर नागरिक किसी भी साइबर वित्तीय धोखाधड़ी या अपराध की शिकायत दर्ज करा सकते हैं।

1930 (राष्ट्रीय साइबर हेल्पलाइन नंबर)।

अपराध के शुरुआती 1 से 2 घंटे के भीतर शिकायत दर्ज कराना ताकि चुराए गए धन को संदिग्ध खाते में होल्ड कराया जा सके।

"Never Trust, Always Verify" (कभी भरोसा न करें, हमेशा सत्यापित करें)।

एक ऐसा अत्यंत संवेदनशील कंप्यूटर जो इंटरनेट या किसी भी अन्य नेटवर्क से पूरी तरह से अलग (Physically Disconnected) रहता है।

सिस्टम और डेटा को सुरक्षित रखने हेतु नियमित रूप से की जाने वाली सुरक्षा दिनचर्या (जैसे पासवर्ड बदलना, स्कैनिंग, बैकअप)।

क्लाउड इंफ्रास्ट्रक्चर की सुरक्षा सेवा प्रदाता की होती है, जबकि डेटा एक्सेस व क्रेडेंशियल की सुरक्षा ग्राहक की होती है।

मानव कारक (Human Factor / Employees), जिन्हें सोशल इंजीनियरिंग से आसानी से बरगलाया जा सकता है।

संगठन के कर्मचारियों को फर्जी फिशिंग ईमेल भेजकर उनकी जागरूकता के स्तर की जांच और सुधार करना।

ऐप्स को केवल आधिकारिक ऐप स्टोर से डाउनलोड करना और ऑटो-सेव पासवर्ड बंद रखना।

साइबर हमला होने की स्थिति में नुकसान को कम करने और प्रणालियों को तेजी से पुनः चालू करने हेतु पूर्व-निर्धारित कदम उठाना।