एक AI हैकिंग टूल ने हर मिनट 2,900 लॉगिन प्रयास किए: क्या आपकी कंपनी के खातों पर टू-फैक्टर ऑथेंटिकेशन चालू है?

AI एजेंटों से हमले चलाने वाला हैकिंग टूल ARTEX अब किसी भी हमलावर की पहुँच में है: 5 नवंबर 2026 को Censys ने इंटरनेट पर खुले ऐसे 1,465 से ज़्यादा सर्वर गिने जिन पर यह चल रहा है, और चीन से जुड़ा एक समूह इसका इस्तेमाल पासवर्ड अनुमान लगाने के एक अभियान में कर चुका है, जो चरम पर हर मिनट 2,900 लॉगिन प्रयासों तक पहुँचा। सबसे सस्ता और तेज़ बचाव टू-फैक्टर ऑथेंटिकेशन है: Microsoft के एक अध्ययन में पाया गया कि यह खाते में सेंध का जोखिम 99.22% घटाता है। इस हफ़्ते तीन काम करें: सभी ईमेल और एडमिन खातों पर टू-फैक्टर ऑथेंटिकेशन अनिवार्य करें, पुराने मेल प्रोटोकॉल बंद करें और उन लोगों की रिपोर्ट माँगें जिन्होंने अभी तक पंजीकरण नहीं किया। अगर आपकी कंपनी बाहरी ऐप्स को Microsoft 365 से जोड़ती है, तो ConnectWise सेंध पर हमारा लेख भी पढ़ें, क्योंकि वह कमी अकेले टू-फैक्टर ऑथेंटिकेशन से बंद नहीं होती।

ARTEX क्या है और यह आपके लिए क्यों मायने रखता है?

ARTEX स्वचालित पेनिट्रेशन टेस्टिंग के लिए एक ओपन-सोर्स फ़्रेमवर्क है, जिसे इसके डेवलपर ने 26 जुलाई 2026 को GitHub पर प्रकाशित किया। 5 नवंबर 2026 को प्रकाशित Censys रिपोर्ट के अनुसार, एक AI एजेंट हमले की योजना बनाकर उसे कार्यों में बाँटता है, दूसरे एजेंट स्कैनिंग टूल चलाकर नतीजे लौटाते हैं, और लक्ष्य पूरा होने तक यह चक्र दोहराया जाता है। Microsoft इसे ऐसा टूल बताता है जो बहुत कम मानवीय दख़ल के साथ टोही से लेकर डेटा चोरी तक पूरा हमला चलाता है।

असली हमलों में इसके इस्तेमाल की बात सामने आने के बाद डेवलपर ने इसे क्लोज़्ड-सोर्स करने की घोषणा की और रिपॉज़िटरी हटा दी, लेकिन संग्रहीत प्रतियाँ और नए नामों वाले संस्करण अब भी फैल रहे हैं। एक जैसी सेटिंग वाले सर्वर हटाने के बाद Censys ने लगभग 815 स्वतंत्र इंस्टॉलेशन गिने, जिनमें 726 सर्वर अमेरिका में, 387 हांगकांग में और 177 चीन में हैं। व्यवहार में, जिस काम के लिए पहले हमलावरों की टीम चाहिए थी, अब वह एक व्यक्ति और एक मुफ़्त टूल से हो जाता है।

हमलावरों ने इससे असल में क्या किया?

21 अक्टूबर 2026 को प्रकाशित अपनी रिपोर्ट में Microsoft ने उस समूह के एक अभियान का दस्तावेज़ीकरण किया जिसे वह Storm-0940 नाम से ट्रैक करता है; इस समूह ने 10 से 14 अक्टूबर के बीच ARTEX से अपने-आप पासवर्ड का अनुमान लगाया:

• 8 संगठनों के 327 खातों पर पासवर्ड स्प्रेइंग हुई, यानी आम पासवर्ड को बहुत सारे खातों पर आज़माया गया।
• 151,000 से ज़्यादा लॉगिन विफल हुए, जिनमें से 111,000 से ज़्यादा एक ही दिन में थे, और 11 अक्टूबर को चरम हर मिनट 2,900 प्रयासों तक पहुँचा।
• 48 खातों में से हर एक पर 1,000 से ज़्यादा विफल प्रयास हुए।
• उसी समूह के दूसरे हमलों में पहले निशाने से क्लाउड इन्फ्रास्ट्रक्चर तक विशेषाधिकार वाली पहुँच में 3 घंटे से कम लगे।

Microsoft का कहना है कि इस ख़ास अभियान से उसने कोई सफल लॉगिन नहीं देखा, क्योंकि खाता लॉकआउट ने ज़्यादातर प्रयास रोक दिए। लेकिन TechCrunch ने 6 नवंबर को सार दिया कि ऐसे कई हमलों ने साधारण कमज़ोरियों का फ़ायदा उठाया: कमज़ोर या जाने-पहचाने पासवर्ड, और मल्टी-फैक्टर ऑथेंटिकेशन का न होना।

अब सिर्फ़ पासवर्ड क्यों काफ़ी नहीं

काफ़ी नहीं है। मशीन न थकती है न सोती है, और दोबारा इस्तेमाल हुए या पहले लीक हो चुके पासवर्ड वाला हर खाता देर-सबेर आज़माया जाएगा। टू-फैक्टर ऑथेंटिकेशन एक दूसरा फैक्टर जोड़ता है जो हमलावर के पास नहीं होता: कर्मचारी के फ़ोन के ऐप में कोड, सिक्योरिटी की या पासकी। Microsoft के शोधकर्ताओं ने संदिग्ध गतिविधि वाले असली खातों का विश्लेषण किया और अपने प्रकाशित अध्ययन में पाया कि टू-फैक्टर ऑथेंटिकेशन सेंध का जोखिम 99.22% घटाता है, और पासवर्ड पहले ही लीक हो चुका हो तब भी 98.56% घटाता है। उन्होंने यह भी पाया कि ऑथेंटिकेटर ऐप SMS कोड से बेहतर हैं, हालाँकि दोनों कुछ न होने से कहीं बेहतर हैं।

Microsoft दस्तावेज़ों की एक अहम चेतावनी: IMAP, POP3 और SMTP जैसे पुराने मेल प्रोटोकॉल टू-फैक्टर ऑथेंटिकेशन का समर्थन नहीं करते, इसलिए हमलावर इनके ज़रिए लॉगिन करके पूरी सुरक्षा को दरकिनार कर सकता है। जब तक इन्हें बंद न किया जाए, सुरक्षा चालू करना पूरा नहीं होता।

राष्ट्रीय साइबर सुरक्षा प्राधिकरण के नियंत्रण क्या कहते हैं?

सऊदी अरब के राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) द्वारा जारी आवश्यक साइबर सुरक्षा नियंत्रण ECC-2:2024 कम से कम तीन जगह मल्टी-फैक्टर ऑथेंटिकेशन माँगते हैं:

• नियंत्रण 2-2-3-2: रिमोट एक्सेस और विशेषाधिकार वाले खातों के लिए।
• नियंत्रण 2-4-3-2: ईमेल तक रिमोट और वेबमेल पहुँच के लिए।
• नियंत्रण 2-15-3-5: बाहरी वेब ऐप्लिकेशन तक उपयोगकर्ताओं की पहुँच के लिए।

ये नियंत्रण सरकारी संस्थाओं, उनकी संबद्ध कंपनियों और महत्वपूर्ण राष्ट्रीय बुनियादी ढाँचे के मालिक, संचालक या होस्ट करने वाली निजी संस्थाओं पर बाध्यकारी हैं, और प्राधिकरण राज्य की बाकी सभी संस्थाओं को भी इनका इस्तेमाल करने के लिए ज़ोरदार प्रोत्साहन देता है। अगर आप किसी सरकारी संस्था को सेवाएँ देते हैं, तो विक्रेता मूल्यांकन में इनके बारे में पूछे जाने की उम्मीद रखें।

इस हफ़्ते इसे चालू करने के कदम

• Microsoft 365: Microsoft Entra एडमिन सेंटर में Entra ID, फिर Overview, फिर Properties, फिर Manage security defaults खोलें और इन्हें चालू करें। सिक्योरिटी डिफ़ॉल्ट्स मुफ़्त हैं, किसी अतिरिक्त लाइसेंस की ज़रूरत नहीं, ये एडमिन पर टू-फैक्टर ऑथेंटिकेशन लागू करते हैं और पुराने प्रोटोकॉल रोकते हैं। Microsoft दो आपातकालीन एडमिन खातों की सलाह देता है जो किसी एक कर्मचारी से जुड़े न हों, ताकि आप कभी ख़ुद को बाहर न कर बैठें।
• Google Workspace: Menu, फिर Security, फिर Authentication, फिर 2-step verification में पहले कर्मचारियों को पंजीकरण की अनुमति दें, फिर तय तारीख़ से इसे अनिवार्य करें। Google नए उपयोगकर्ताओं के लिए 1 दिन से 6 महीने तक की पंजीकरण अवधि की अनुमति देता है, और आप प्रबंधन व फ़ाइनेंस के लिए सिक्योरिटी की या पासकी अनिवार्य कर सकते हैं।
• प्राथमिकता: एडमिन, फ़ाइनेंस और ईमेल खातों से शुरू करें, फिर बाकी कर्मचारी, फिर अकाउंटिंग सिस्टम, ऑनलाइन स्टोर और होस्टिंग पैनल जैसे दूसरे सिस्टम।
• फ़ॉलो-अप: हर हफ़्ते उन लोगों की रिपोर्ट माँगें जिन्होंने पंजीकरण नहीं किया, और लिखित कारण वाले अस्थायी अपवादों के अलावा कोई छूट न दें।

Origami का नज़रिया

बदला हमले का प्रकार नहीं है, क्योंकि पासवर्ड का अनुमान लगाना पुराना तरीका है, बल्कि उसकी लागत बदली है: अब यह स्वचालित, सस्ता और हर किसी के लिए उपलब्ध है। जिस कारोबार का ईमेल और अकाउंटिंग सिस्टम अब भी सिर्फ़ पासवर्ड से खुलता है, वह इस बात पर दाँव लगा रहा है कि हमलावर उस तक कभी नहीं पहुँचेगा, और समय के साथ यह दाँव हार जाता है।

इसीलिए Origami जो भी सिस्टम सौंपता है, उसे इस तरह बनाया जाता है कि लॉगिन कम से कम दो फैक्टर से होकर गुज़रे, और कारोबार के पास पहले से Microsoft या Google खाता हो तो सिंगल साइन-ऑन से जुड़ा हो, जैसा हमने सुरक्षित ऑथेंटिकेशन और SSO पर अपने लेख में समझाया था। अगर आप जानना चाहते हैं कि आपकी टीम आपके सिस्टम में कैसे लॉगिन करती है, या उन्हें एक सुरक्षित खाते से जोड़ना चाहते हैं, तो हमसे संपर्क करें।

निष्कर्ष

एक मुफ़्त AI हमला टूल अब बिना थके हर मिनट हज़ारों पासवर्ड आज़माता है। टू-फैक्टर ऑथेंटिकेशन और पुराने प्रोटोकॉल बंद करना मिलकर इस दरवाज़े का ज़्यादातर हिस्सा बंद कर देते हैं, और Microsoft 365 व Google में इसे बिना अतिरिक्त लागत के कुछ ही दिनों में चालू किया जा सकता है। आज ही प्रबंधन और फ़ाइनेंस से शुरुआत करें, और इंतज़ार न करें कि अगली रिपोर्ट की पीड़ितों की सूची में आपका खाता दिखे।

स्रोत

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 अक्टूबर 2026
• Censys: ARTEX और खुले सर्वरों पर रिपोर्ट, 5 नवंबर 2026
• राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 नवंबर 2026