इस लेख में
2 सितंबर 2026 को Palo Alto Networks की Unit 42 ने एक एंटरप्राइज़ नेटवर्क में सेंध की जाँच का विवरण प्रकाशित किया। रिपोर्ट का केंद्रीय आँकड़ा यह था: हमलावर ने एक सार्वजनिक रूप से सुलभ वेब सेवा से शुरुआत की और दस घंटे से कम में पूरे परिवेश पर root स्तर का एक्सेस हासिल कर लिया, जबकि इंसानी टीम को यही काम करने में लगभग दो हफ़्ते लगते हैं।
इससे भी अहम बात यह है कि इसमें क्या शामिल नहीं था। कोई ज़ीरो-डे नहीं। कोई दुर्लभ तरीका नहीं। इस घुसपैठ में MITRE ATT&CK फ़्रेमवर्क में पहले से सूचीबद्ध 50 से अधिक तकनीकों का इस्तेमाल हुआ, यानी ऐसी प्रलेखित और प्रकाशित तकनीकें जिन्हें बचाव करने वाले जानते हैं। जो बदला वह तरीका नहीं, बल्कि रफ़्तार थी। हर चरण को हाथ से चलाने के बजाय, ऑपरेटर ने AI एजेंटों को निर्देशित किया, जो एक ही अटूट लूप में निगरानी करते, आकलन करते, कार्रवाई करते और दोबारा योजना बनाते रहे, न कभी रुके और न कभी सोए।
उन दस घंटों में क्या हुआ
रिपोर्ट के अनुसार घटनाक्रम:
- प्रवेश। एक सार्वजनिक रूप से सुलभ वेब सेवा में सेंध लगाई गई, फिर आंतरिक नेटवर्क में टनल बनाई गई।
- टोही। एक स्वचालित एजेंट ने बिना किसी इंसानी भागीदारी के आंतरिक माइक्रोसर्विसेज़ का नक्शा बनाया।
- सीक्रेट्स की चोरी। सब-एजेंटों ने सीधे कोड में लिखे एक्सेस टोकन और सेवा पासवर्ड के लिए कोड रिपॉज़िटरी खंगालीं।
- विशेषाधिकार बढ़ाना। इन टोकनों ने सीक्रेट्स मैनेजमेंट सिस्टम खोल दिया, जिससे मास्टर एडमिनिस्ट्रेटिव क्रेडेंशियल मिले जो पूरे परिवेश पर root एक्सेस देते थे।
- पाइपलाइन। बिल्ड और डिप्लॉय पाइपलाइनों को कस्टम वर्कफ़्लो के ज़रिए हाइजैक किया गया ताकि क्लाउड एक्सेस कुंजियाँ बाहर निकाली जा सकें।
- उलटफेर। इन कुंजियों का इस्तेमाल पीड़ित के अपने AI एंडपॉइंट्स को हमलावर के लिए पोस्ट-कॉम्प्रोमाइज़ इन्फ्रास्ट्रक्चर में बदलने के लिए किया गया।
उस आखिरी कदम को फिर से पढ़िए। कंपनी की अपनी AI सदस्यता घुसपैठिए के हाथ का औज़ार बन गई, जो कंपनी के ही खाते पर और कंपनी के ही बिल पर चल रही थी। यह एक नया पैटर्न है जिसे अपने जोखिम रजिस्टर में जोड़ना चाहिए: किसी AI मॉडल की हर API कुंजी एक साथ परिचालन संपत्ति भी है और खर्च की एक मद भी।
आपके लिए अहम आँकड़ा दस घंटे नहीं है
दस घंटे एक चौंकाने वाला आँकड़ा है, लेकिन यह एक ही घटना से आया है। जो आँकड़ा सच में आपकी योजना बदलना चाहिए, वह CrowdStrike 2026 Global Threat Report में है, जो ब्रेकआउट टाइम मापती है: हमलावर के पहले एक्सेस और नेटवर्क के भीतर दूसरे सिस्टमों की ओर बढ़ना शुरू करने के क्षण के बीच का अंतर।
- eCrime का औसत ब्रेकआउट टाइम घटकर 29 मिनट रह गया है, यानी साल-दर-साल रफ़्तार में 65% की बढ़ोतरी।
- अब तक का सबसे तेज़ दर्ज मामला: 27 सेकंड।
- AI का इस्तेमाल करने वाले हमलावरों से जुड़े हमलों में 89% की बढ़ोतरी।
- 2025 में 82% डिटेक्शन मैलवेयर-रहित थे, यानी हमलावर वायरस डालने के बजाय वैध क्रेडेंशियल से लॉग इन करता है।
- राज्य-संबद्ध तत्वों द्वारा क्लाउड को निशाना बनाने वाली घुसपैठ में 266% की बढ़ोतरी।
व्यवहार में 29 मिनट का मतलब: ऐसी रिस्पॉन्स योजना जो मानकर चलती है कि कोई सुबह अलर्ट देखेगा और टीम दोपहर के खाने के बाद बैठक करेगी, वह एक बीत चुके दौर की योजना है। और 82% का आँकड़ा इससे भी कठोर बात कहता है। आपका एंटीवायरस हमले को नहीं देख पाता, क्योंकि हमले में उसके देखने लायक कुछ होता ही नहीं। आधुनिक सेंध कोई दुर्भावनापूर्ण फ़ाइल का आना नहीं है, बल्कि एक वैध खाते का गलत इस्तेमाल है।
यह कामयाब क्यों हुआ: कोड में लिखे सीक्रेट्स
एजेंटों ने न कोई एन्क्रिप्शन तोड़ा और न कोई कमज़ोरी ईजाद की। उन्हें पासवर्ड वहाँ लिखे मिले जहाँ पासवर्ड कभी नहीं होने चाहिए, यानी प्रोजेक्ट की फ़ाइलों के भीतर। एक वैध टोकन ने सीक्रेट्स मैनेजर खोला, और सीक्रेट्स मैनेजर ने सब कुछ खोल दिया।
यह समस्या सिर्फ़ बड़े उद्यमों की नहीं है। इस सूची को अपने प्रोजेक्ट्स पर लागू करके देखिए:
- पेमेंट गेटवे या मैसेजिंग सेवा की कुंजियाँ, जो कोड के साथ कमिट की गई कॉन्फ़िग फ़ाइल में पड़ी हैं।
- एक पुरानी डिप्लॉयमेंट स्क्रिप्ट में डेटाबेस पासवर्ड, जिसे कोई नहीं खोलता।
- एक साल पहले जा चुके किसी कर्मचारी या बाहरी डेवलपर के एक्सेस टोकन, जो अब भी वैध हैं।
- एक रिपॉज़िटरी जो निजी थी और माइग्रेशन या खाता बदलने के बाद सार्वजनिक हो गई।
- किसी के लैपटॉप पर कॉन्फ़िग फ़ाइल की बैकअप कॉपी।
यहाँ एजेंट और इंसानी हमलावर के बीच का अंतर बुद्धि नहीं, बल्कि धैर्य और काम करने की क्षमता है। एजेंट पूरी रिपॉज़िटरी पढ़ता है, हर ब्रांच और इतिहास का हर पुराना संस्करण, कोई फ़ाइल नहीं छोड़ता और मिनटों में काम पूरा कर लेता है। कोई भी सीक्रेट जिसे आपने एक बार कमिट किया और बाद में हटा दिया, वह रिपॉज़िटरी के इतिहास में अब भी ज़िंदा है, और वह इतिहास ही वह जगह है जहाँ वह खोजता है।
इस हफ़्ते क्या करें
पाँच कदम। पहले के लिए न बजट चाहिए, न कोई बाहरी वेंडर:
- अपनी रिपॉज़िटरी में सीक्रेट्स के लिए स्कैन करें। सीक्रेट स्कैनिंग टूल उपलब्ध हैं और प्रमुख कोड प्लेटफ़ॉर्म में पहले से मौजूद हैं। इन्हें सिर्फ़ मौजूदा संस्करण पर नहीं, पूरे इतिहास पर चलाएँ।
- कुंजी रोटेशन को आपातकालीन उपाय नहीं, नियमित काम बनाएँ। जो कुंजी दो साल से नहीं बदली, वह एक लीक हुई कुंजी है जिसका आपको अभी पता नहीं चला है। और लीक के बाद रोटेट करते समय, उसे हर उस जगह रोटेट करें जहाँ वह इस्तेमाल होती थी, सिर्फ़ एक जगह नहीं।
- एक एकीकृत रिवोकेशन प्लेबुक तैयार करें। यह Unit 42 की सीधी सिफ़ारिश है: ऐसी समन्वित रोकथाम चला पाने में सक्षम होना जो क्रेडेंशियल, OAuth सेशन, CI/CD पाइपलाइन और क्लाउड खातों को एक साथ रद्द करे। सिर्फ़ आधे को रद्द करेंगे तो हमलावर को बाकी आधे से दोबारा घुसने का समय दे देंगे।
- AI को मुख्य इन्फ्रास्ट्रक्चर की तरह नियंत्रित करें। इस्तेमाल हो रहे हर मॉडल और हर कुंजी की सूची रखें, रेट लिमिट तय करें, न्यूनतम विशेषाधिकार लागू करें और डायग्नोस्टिक लॉगिंग चालू करें। रिपोर्ट स्पष्ट रूप से इसकी सिफ़ारिश करती है, और यही ऊपर वाली घटना को एक खामोश आपदा से शुरुआती चेतावनी में बदलता है।
- कई लोगों द्वारा कोड रिव्यू और ब्रांच सुरक्षा अनिवार्य करें। खासकर इन्फ्रास्ट्रक्चर-एज़-कोड रिपॉज़िटरी पर, क्योंकि यही वह दरवाज़ा है जिससे एक पंक्ति का बदलाव बैकडोर लगा देता है। साथ ही, सिग्नेचर के बजाय व्यवहार पर नज़र रखें: अचानक बढ़े API अनुरोध और तेज़ी से बदलती स्थितियाँ एक स्वचालित एजेंट की उंगलियों के निशान हैं।
सऊदी संदर्भ में ये कदम वैकल्पिक अच्छी प्रथा नहीं हैं। राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) के आवश्यक साइबर सुरक्षा नियंत्रणों में पहचान और एक्सेस प्रबंधन तथा परिवर्तन और विकास सुरक्षा के लिए स्पष्ट क्षेत्र शामिल हैं, और व्यक्तिगत डेटा संरक्षण कानून (PDPL) के तहत व्यक्तिगत डेटा की सुरक्षा की ज़िम्मेदारी संगठन की है। सोर्स कोड में लिखी एक कुंजी से शुरू हुई सेंध इस ज़िम्मेदारी को ज़रा भी कम नहीं करती।
Origami का नज़रिया
हम इस घटना को एक धारणा के अंत के रूप में देखते हैं: कि सुरक्षा खरीदे जाने वाले टूल्स का एक सेट है। यहाँ हमलावर का कभी किसी फ़ायरवॉल से सामना नहीं हुआ और उसने कभी किसी एंटीवायरस को चकमा नहीं दिया, क्योंकि दोनों में से कोई भी उसके रास्ते में नहीं था। वह एक वैध कुंजी के साथ अंदर आया जो उसे लिखी हुई मिली, और उसने उन अनुमतियों के साथ काम किया जो वास्तव में दी गई थीं। आप जो भी प्रोडक्ट खरीदें, वह इसे ठीक नहीं करता। इसे ठीक करता है अनुशासन: कोड कैसे लिखा जाता है, सीक्रेट्स कैसे रखे जाते हैं, और अनुमतियाँ कैसे दी और वापस ली जाती हैं।
एक पैटर्न जो हम ग्राहकों के यहाँ बार-बार देखते हैं: सबसे खतरनाक सीक्रेट्स शायद ही कभी मुख्य सिस्टम में होते हैं। वे साइड प्रोजेक्ट्स में होते हैं, एक बार लिखी गई डेटा माइग्रेशन स्क्रिप्ट, किसी कॉन्ट्रैक्टर का बनाया आंतरिक रिपोर्टिंग डैशबोर्ड, एक अस्थायी सप्लायर इंटीग्रेशन जो दो साल से चल रहा है। ये कभी सुरक्षा समीक्षा में नहीं आते क्योंकि कोई इन्हें सिस्टम नहीं गिनता। हमलावर ऐसा कोई भेद नहीं करता। जब हम किसी ग्राहक के परिवेश की समीक्षा करते हैं तो ठीक यहीं से शुरू करते हैं: कुंजियाँ कहाँ हैं, किसके पास कौन-सी अनुमति है, और अगर आज रात एक कुंजी लीक हो जाए तो क्या होगा। अगर आप इस नज़रिए से समीक्षा चाहते हैं, तो हम आपको संपर्क पेज पर मिलेंगे।
निष्कर्ष
हमले का तरीका नहीं बदला। उसकी रफ़्तार बदली है। 50 से अधिक जानी-मानी तकनीकें दस घंटे से कम में चलीं क्योंकि स्वचालित एजेंटों ने उन्हें बिना रुके चलाया, और नेटवर्क के भीतर औसत ब्रेकआउट टाइम अब 29 मिनट है। ऐसा बचाव जो इस पर निर्भर हो कि कोई समय रहते ध्यान दे, अब काफ़ी नहीं है। सबसे सरल और सबसे कठिन सवाल से शुरुआत कीजिए: क्या आप जानते हैं कि इस समय आपकी कुंजियाँ कहाँ हैं, और उन्हें कौन पढ़ सकता है?
स्रोत
- Unit 42 — An AI-Assisted Cyber Attack: Inside a Unit 42 Investigation, Palo Alto Networks, 2 सितंबर 2026: सेंध की अवधि, हमले की श्रृंखला, MITRE ATT&CK तकनीकों की संख्या और बचाव संबंधी सिफ़ारिशें।
- CrowdStrike 2026 Global Threat Report: 29 मिनट का ब्रेकआउट टाइम और 27 सेकंड का रिकॉर्ड, AI का इस्तेमाल करने वाले हमलावरों के हमलों में 89% की बढ़ोतरी, और 82% मैलवेयर-रहित डिटेक्शन का आँकड़ा।
- Check Point AI Security Report 2026: वास्तविक घुसपैठों में AI का सहायक से ऑपरेटर बनना।
- राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) — आवश्यक साइबर सुरक्षा नियंत्रण, और सऊदी डेटा और आर्टिफ़िशियल इंटेलिजेंस प्राधिकरण (SDAIA) — व्यक्तिगत डेटा संरक्षण कानून (PDPL)।
सामान्य प्रश्न
क्या यह हमला किसी नई, अज्ञात कमज़ोरी पर निर्भर था?
नहीं। Unit 42 की रिपोर्ट स्पष्ट रूप से कहती है कि यह घुसपैठ किसी ज़ीरो-डे या असामान्य रूप से परिष्कृत तरीके पर निर्भर नहीं थी, बल्कि MITRE ATT&CK फ़्रेमवर्क में पहले से सूचीबद्ध 50 से अधिक तकनीकों पर निर्भर थी। गति AI एजेंटों को लगातार लूप में चलाने की परिचालन दक्षता से आई, न कि तकनीकों में किसी तकनीकी बढ़त से।
हमलावर इतनी जल्दी root एक्सेस तक कैसे पहुँचा?
एक सार्वजनिक रूप से सुलभ वेब सेवा में सेंध लगाने के बाद, सब-एजेंटों ने कोड रिपॉज़िटरी खंगालीं और कोड में लिखे एक्सेस टोकन और सेवा पासवर्ड ढूँढ़ निकाले। इन टोकनों से सीक्रेट्स मैनेजमेंट सिस्टम में प्रवेश किया गया, जिससे मास्टर एडमिनिस्ट्रेटिव क्रेडेंशियल मिले जो पूरे परिवेश पर root स्तर का एक्सेस देते थे।
छोटी या मझोली कंपनी के लिए पहला व्यावहारिक कदम क्या है?
अपनी कोड रिपॉज़िटरी को उनमें कमिट किए गए सीक्रेट्स के लिए स्कैन करें, केवल मौजूदा संस्करण नहीं बल्कि रिपॉज़िटरी का पूरा इतिहास, क्योंकि हटाया गया सीक्रेट भी लॉग में बना रहता है। सीक्रेट स्कैनिंग टूल प्रमुख कोड प्लेटफ़ॉर्म में पहले से मौजूद हैं और इनके लिए किसी बजट की ज़रूरत नहीं है। इसके बाद, ऐसी हर कुंजी को रोटेट करें जो लंबे समय से नहीं बदली गई है।
क्या एंटीवायरस सॉफ़्टवेयर और फ़ायरवॉल काफ़ी हैं?
अकेले नहीं। CrowdStrike की रिपोर्ट में पाया गया कि 2025 में 82% डिटेक्शन मैलवेयर-रहित थे, यानी हमलावर वैध क्रेडेंशियल के साथ प्रवेश करता है और पारंपरिक टूल के पकड़ने के लिए कोई फ़ाइल नहीं छोड़ता। यहाँ प्रभावी सुरक्षा एक्सेस प्रबंधन, कुंजी रोटेशन और असामान्य व्यवहार की निगरानी से आती है।
Google पर Origami को फ़ॉलो करें
Origami को अपना पसंदीदा स्रोत बनाइए, तो हमारे लेख आपको Google Search और प्रमुख ख़बरों में सबसे पहले दिखेंगे।
