अगर आपके कर्मचारी ऑफिस कंप्यूटर पर नौकरी ढूंढते हैं या नए सॉफ्टवेयर आजमाते हैं, तो क्रिप्टो इतिहास की सबसे बड़ी चोरी ठीक इसी रास्ते से हुई। 3 नवंबर 2026 को Binance ने अपनी शुरुआती जांच के नतीजे जारी किए: 29 अक्टूबर को लगभग 6.34 अरब डॉलर को प्रभावित करने वाला हमला एक इंजीनियर के साथ दो फर्जी जॉब इंटरव्यू से शुरू हुआ और एक कोडिंग टेस्ट पर खत्म हुआ, जिसे उसने अपने ऑफिस लैपटॉप पर डाउनलोड किया। आपकी कंपनी के लिए व्यावहारिक सबक: ऑफिस डिवाइस पर बाहरी रिक्रूटर की कोई फाइल नहीं, मंजूर सूची के बाहर कोई सॉफ्टवेयर नहीं, और काम की जरूरत से ज्यादा कोई अधिकार नहीं। 31 अक्टूबर को हमने लिखा था कि आपकी मंजूरी के बिना आपकी कंपनी का पैसा कौन भेज सकता है; यह लेख उस दरवाजे के बारे में है जिससे हमलावर अंदर आया।
कदम दर कदम क्या हुआ?
Binance की शुरुआती जांच के ब्योरे के अनुसार हमला चार चरणों से गुजरा:
- जून 2026: वॉलेट टीम का एक इंजीनियर AI कोडिंग टूल ढूंढ रहा था और उसने मैलवेयर वाला छेड़छाड़ किया हुआ Homebrew इंस्टॉलर डाउनलोड कर लिया। सुरक्षा टीम ने इसे पकड़ा, डिवाइस बदला और उसके लॉगिन क्रेडेंशियल बदले, लेकिन उसके और उसके साथियों के बारे में जानकारी पहले ही लीक हो चुकी थी।
- सितंबर 2026: खुद को प्रोजेक्ट डायरेक्टर बताने वाले एक व्यक्ति ने जॉब प्लेटफॉर्म के जरिए दूसरे इंजीनियर से संपर्क किया और दो इंटरव्यू लिए: पहला एक कथित HR प्रतिनिधि के साथ वीडियो कॉल, फिर एक काल्पनिक कंपनी का CEO होने का दावा करने वाले व्यक्ति के साथ। दूसरे इंटरव्यू में उससे ऑफिस कंप्यूटर पर एक कोडिंग असाइनमेंट डाउनलोड करने को कहा गया; सेटअप के दौरान खतरनाक कोड चल गया और सुरक्षा टूल उसे पकड़ नहीं पाए।
- 20 अक्टूबर 2026: हमलावर ने हैक किए गए कंप्यूटर और Binance के एक आंतरिक AI टूल का इस्तेमाल करके दो और इंजीनियरों के कंप्यूटरों पर नियंत्रण कर लिया।
- 29 अक्टूबर 2026: UTC समय 17:15 से 19:56 के बीच हमलावर ने पहले इंजीनियर से चुराए गए क्रेडेंशियल से तीसरे इंजीनियर के कंप्यूटर में प्रवेश किया, एक कंटेनर तैनात किया और एक खतरनाक स्क्रिप्ट चलाई; इसके बाद 20:05 से 20:09 के बीच हॉट वॉलेट से ट्रांसफर हुए।
Binance का कहना है कि लगभग 2.85 अरब डॉलर फ्रीज या रोके गए, 31 अक्टूबर तक प्रभावित संपत्तियों का 98% हिस्सा भरपाई कर दिया गया, और 2026 में उसने उत्तर कोरिया से जुड़े होने के संदेह वाले 57 खतरे के मामलों को पकड़कर रोका। यानी एक्सचेंज ने दर्जनों कोशिशें नाकाम कीं, फिर एक में फंस गया।
फर्जी इंटरव्यू कामयाब क्यों हुआ?
क्योंकि यह फिशिंग ईमेल जैसा बिल्कुल नहीं दिखता। कर्मचारी ने किसी अनजान भेजने वाले के संदिग्ध लिंक पर क्लिक नहीं किया; वह एक असली लगने वाली भर्ती प्रक्रिया में शामिल हुआ: एक जाना-माना प्लेटफॉर्म, वीडियो इंटरव्यू, भरोसा जीतने के लिए अपने निजी अकाउंट की सामग्री शेयर करने वाली HR प्रतिनिधि, और फिर एक CEO। प्रोजेक्ट डाउनलोड करके चलाना डेवलपर टेस्ट का सामान्य हिस्सा है, इसलिए यह अनुरोध खटका नहीं।
यह तरीका नया नहीं है। TechCrunch बताता है कि CrowdStrike की एक रिपोर्ट ने पिछले साल अमेरिकी टेक कंपनियों में हुई करीब आधी घुसपैठों को रिमोट IT कर्मचारी या रिक्रूटर बनकर आए उत्तर कोरियाई लोगों से जोड़ा। निशाना सिर्फ क्रिप्टो एक्सचेंज नहीं, बल्कि हर वह व्यक्ति है जिसकी सिस्टम या पैसे तक पहुंच है।
दूसरी कमजोरी: सर्च नतीजों से डाउनलोड किया गया सॉफ्टवेयर
कहानी इंटरव्यू से शुरू नहीं हुई। तीन महीने पहले एक दूसरे इंजीनियर ने AI टूल ढूंढते हुए छेड़छाड़ किया हुआ सॉफ्टवेयर इंस्टॉल कर लिया था। यह कई कंपनियों में रोज होता है: कर्मचारी किसी नए टूल के बारे में सुनता है, उसे सर्च करता है, पहले नतीजे पर क्लिक करता है और एडमिन अधिकार से इंस्टॉल कर देता है। बड़ा सबक यह है कि Binance ने डिवाइस बदला और पासवर्ड बदले, लेकिन टीम के बारे में जो जानकारी पहले ही लीक हो चुकी थी वह हमलावर के पास रही और उसने महीनों बाद उसका इस्तेमाल किया।
इस हफ्ते आपके कर्मचारियों के डिवाइस के लिए 6 नियम
- ऑफिस डिवाइस पर बाहरी भर्ती फाइलें नहीं: किसी बाहरी पक्ष का भेजा हर टेस्ट, प्रोजेक्ट या फाइल एक अलग मशीन पर खुले जिसकी कंपनी के सिस्टम तक पहुंच न हो। यही सलाह TechTarget में उद्धृत विशेषज्ञों की है: इंटरव्यू कोड को प्रोडक्शन के पास वाली किसी भी मशीन से दूर रखें।
- सिर्फ मंजूर सूची के सॉफ्टवेयर: कर्मचारियों से लोकल एडमिन अधिकार हटाएं और इंस्टॉलेशन अपने IT प्रमुख के जरिए, कंपनी की आधिकारिक वेबसाइट से करवाएं, सर्च नतीजों के किसी विज्ञापन से नहीं।
- न्यूनतम अधिकार: जो पैसा भेज सकता है या संवेदनशील सिस्टम बदल सकता है, वह यह काम एक अलग अकाउंट और अलग डिवाइस से करे, उस मशीन से नहीं जिस पर वह ब्राउजिंग करता है और टूल आजमाता है।
- आंतरिक AI टूल के अधिकार सीमित रखें: Binance में एक आंतरिक AI टूल डिवाइसों के बीच पुल बना। जो भी टूल कर्मचारियों के डिवाइस या आपके सिस्टम तक पहुंचता है, उसे सीमित अधिकार और अपने हर काम का लॉग चाहिए।
- पकड़ लेना घटना का अंत नहीं: अगर कोई डिवाइस हैक हो जाए तो सिर्फ उसे बदलना काफी नहीं। मान लें कि उस पर मौजूद जानकारी लीक हो चुकी है, उससे और उसकी टीम से जुड़े सभी पासवर्ड, कुंजियां और टोकन बदलें, और साथियों के अकाउंट पर नजर रखें।
- टीम को नौकरी के ऑफर वाली फिशिंग की ट्रेनिंग दें: फाइल डाउनलोड करने या कोड चलाने को कहने वाला आकर्षक ऑफर खतरे की घंटी है, और ऑफिस डिवाइस से नौकरी ढूंढना पूरी कंपनी को जोखिम में डालता है। अगर आप रिमोट भर्ती करते हैं, तो कोई भी पहुंच देने से पहले उम्मीदवार की पहचान सत्यापित करें।
आवश्यक साइबर सुरक्षा नियंत्रण क्या कहते हैं?
सऊदी राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) के आवश्यक साइबर सुरक्षा नियंत्रण ECC-2:2024 सरकारी संस्थाओं और उन संस्थाओं के लिए अनिवार्य हैं जो महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे की मालिक हैं, उसे चलाती हैं या होस्ट करती हैं, और NCA बाकी सभी संस्थाओं को इनका इस्तेमाल करने के लिए जोरदार प्रोत्साहन देता है। इनमें से तीन सीधे इस घटना पर लागू होते हैं:
- नियंत्रण 1-10-3: जागरूकता कार्यक्रम में ईमेल और फिशिंग से सुरक्षित तरीके से निपटना, सुरक्षित इंटरनेट ब्राउजिंग और सोशल मीडिया का सुरक्षित इस्तेमाल शामिल है।
- नियंत्रण 2-2-3-3: जानने और इस्तेमाल की जरूरत, न्यूनतम अधिकार और कर्तव्यों के बंटवारे के सिद्धांतों पर आधारित अनुमति।
- नियंत्रण 2-3-3-1: आधुनिक तकनीकों से वर्कस्टेशन और सर्वर को वायरस, संदिग्ध प्रोग्राम और मैलवेयर से सुरक्षा।
Origami की राय
सऊदी कंपनियों में हम वही पैटर्न देखते हैं जिसने Binance को गिराया: एक ही डिवाइस जिसे कर्मचारी काम, ब्राउजिंग, नौकरी के अवसर ढूंढने और हर नया टूल आजमाने के लिए इस्तेमाल करता है, और वह भी पूरे एडमिन अधिकार के साथ क्योंकि यह आसान है। अगर कर्मचारी खुद फाइल चला देगा तो हमलावर को किसी जटिल कमजोरी की जरूरत नहीं।
समाधान कर्मचारियों को सीखने या AI टूल आजमाने से रोकना नहीं, बल्कि उन्हें ऐसी जगह आजमाने देना है जहां से पैसे और डेटा तक न पहुंचा जा सके। जब हम ग्राहकों के लिए सिस्टम बनाते हैं, तो शुरू से ही रोजमर्रा के अकाउंट को विशेषाधिकार वाले अकाउंट से अलग रखते हैं और उन तक हर पहुंच का रिकॉर्ड रखते हैं।
निष्कर्ष
6.34 अरब डॉलर की सेंध किसी सर्वर की कमजोरी से नहीं, बल्कि एक जॉब इंटरव्यू और सर्च से डाउनलोड किए गए ऐप से शुरू हुई। इस हफ्ते अपने IT प्रमुख के साथ एक घंटा निकालें: कर्मचारियों से लोकल एडमिन अधिकार हटाएं, मंजूर सॉफ्टवेयर की सूची लिखें, संवेदनशील पहुंच वाले डिवाइस अलग करें, और टीम को बताएं कि रिक्रूटर की कोई भी फाइल ऑफिस डिवाइस पर नहीं खुलेगी। अगर आप अपने सिस्टम के अधिकारों की समीक्षा चाहते हैं, तो हमसे संपर्क करें या हमारी सेवाएं देखें।
स्रोत
- Binance — Security incident investigation update, 3 नवंबर 2026: जून, सितंबर, 20 अक्टूबर और 29 अक्टूबर का घटनाक्रम, दोनों इंटरव्यू, फ्रीज और भरपाई की गई रकम, और 57 खतरे के मामले।
- राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) — Essential Cybersecurity Controls ECC-2:2024: दायरा और नियंत्रण 1-10-3, 2-2-3-3 और 2-3-3-1।
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 नवंबर 2026: CrowdStrike का आंकड़ा और पहले की चेतावनियां।
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 नवंबर 2026: डेवलपर डिवाइस पर विशेषज्ञों की सलाह।
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, नवंबर 2026: FBI द्वारा हमले को उत्तर कोरिया से जोड़ना।
सामान्य प्रश्न
हमारी कंपनी क्रिप्टो में काम नहीं करती। क्या Binance हैक से हमें कोई फर्क पड़ता है?
हां, क्योंकि हमले का निशाना क्रिप्टो से जुड़ी कोई खास चीज नहीं, बल्कि पहुंच वाला एक कर्मचारी था। एक फर्जी जॉब इंटरव्यू और सर्च नतीजों से मिला छेड़छाड़ किया हुआ सॉफ्टवेयर किसी भी ऐसी कंपनी में सेंध लगा सकता है जहां कोई कर्मचारी बैंक पोर्टल, अकाउंटिंग सिस्टम या ग्राहक डेटा तक पहुंचता है।
मेरे कर्मचारी कैसे पहचानें कि नौकरी का ऑफर फर्जी है?
सबसे साफ संकेत है अपने डिवाइस पर कोई फाइल या प्रोजेक्ट डाउनलोड करके चलाने को कहा जाना, खासकर किसी ऐसी कंपनी के साथ जल्दबाजी वाले इंटरव्यू के बाद जिसके बारे में भरोसेमंद जानकारी न मिले। ऑफर असली लगे तब भी नियम वही रहता है: रिक्रूटर की कोई भी फाइल ऑफिस डिवाइस पर नहीं खोली जाती।
क्या ऐसे हमले को रोकने के लिए एंटीवायरस काफी है?
नहीं। Binance के मामले में खतरनाक कोड चला और सुरक्षा टूल उसे पकड़ नहीं पाए। सुरक्षा सॉफ्टवेयर सिर्फ एक परत है; इसके साथ कर्मचारियों से लोकल एडमिन अधिकार हटाना, मंजूर सॉफ्टवेयर की सूची रखना और संवेदनशील पहुंच वाले डिवाइस को ब्राउजिंग वाले डिवाइस से अलग रखना जरूरी है।
क्या NCA के आवश्यक साइबर सुरक्षा नियंत्रण मेरी निजी कंपनी के लिए अनिवार्य हैं?
ये सरकारी संस्थाओं और उन संस्थाओं के लिए अनिवार्य हैं जो महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे की मालिक हैं, उसे चलाती हैं या होस्ट करती हैं। बाकी कंपनियों को राष्ट्रीय साइबर सुरक्षा प्राधिकरण इनका इस्तेमाल करने के लिए जोरदार प्रोत्साहन देता है, और जागरूकता, पहुंच और डिवाइस सुरक्षा वाले इसके नियंत्रण एक तैयार जांच सूची हैं।
