आपकी कंपनी को मिलने वाले सबसे महँगे फ़िशिंग ईमेल में न कोई वायरस होता है, न कोई अजीब लिंक। यह किसी जाने-पहचाने सप्लायर का सामान्य संदेश लगता है, जिसमें लिखा होता है कि उनका बैंक खाता बदल गया है और अगला इनवॉइस नए IBAN पर भेजें। FBI की 2025 इंटरनेट अपराध रिपोर्ट में, बिज़नेस ईमेल कॉम्प्रोमाइज़ (BEC) कहलाने वाली इस धोखाधड़ी की 24,768 शिकायतें आईं और $3,046,598,558 का नुकसान हुआ, यानी हर शिकायत पर लगभग $123,000, या मोटे तौर पर SAR 461,000। इसका इलाज लगभग मुफ़्त है: किसी भी प्राप्तकर्ता का बैंक विवरण केवल ईमेल के आधार पर कभी न बदलें। अपने रिकॉर्ड के नंबर पर फ़ोन करके पक्का करें, और बदलाव के लिए दूसरे व्यक्ति की मंज़ूरी अनिवार्य करें। (भुगतान मंज़ूरी के पहलू पर हमने Binance हैक और भुगतान मंज़ूरी नियंत्रण वाले लेख में लिखा है।)
2026 में फ़िशिंग ईमेल कैसा दिखता है
पुरानी सलाह थी कि वर्तनी की गलतियाँ देखें। यह अब काम नहीं करती। FBI रिपोर्ट कहती है कि चैट जनरेटर जल्दी से ऐसे आधिकारिक लगने वाले ईमेल बना सकते हैं जो कंपनी के CEO या दूसरे अधिकारियों की नकल करते हैं, और वॉइस क्लोनिंग से वायर ट्रांसफ़र माँगा जा सकता है। 2025 में FBI को आर्टिफ़िशियल इंटेलिजेंस का ज़िक्र करने वाली 22,000 से ज़्यादा शिकायतें मिलीं, जिनमें नुकसान $893 मिलियन से ऊपर था, और कंपनियों ने AI वाले बिज़नेस ईमेल कॉम्प्रोमाइज़ में $30 मिलियन से ज़्यादा गँवाने की जानकारी दी।
इसलिए लिखावट नहीं, अनुरोध को परखें। ये चेतावनी संकेत अब भी काम के हैं:
- बैंक विवरण में बदलाव, ख़ासकर किसी बड़े भुगतान से ठीक पहले।
- जल्दबाज़ी और गोपनीयता: "आज ही भुगतान करें", "मैं मीटिंग में हूँ, फ़ोन मत करना", "यह बात किसी को मत बताना"।
- लगभग सही भेजने वाले का पता: डोमेन में एक अक्षर बदला हुआ, या कंपनी डोमेन की जगह मुफ़्त ईमेल खाता।
- आपकी सामान्य प्रक्रिया को छोड़ने वाला अनुरोध: कोई मैनेजर सीधे अकाउंटेंट से सिस्टम के बाहर पैसे भेजने को कहे।
समस्या के पीछे के आँकड़े
FBI के इंटरनेट क्राइम कंप्लेंट सेंटर (IC3) को 2025 में 1,008,597 शिकायतें मिलीं, जिनमें बताया गया नुकसान $20.877 बिलियन था, जो 2024 से 26% ज़्यादा है। अकेले फ़िशिंग और स्पूफ़िंग से 191,561 शिकायतें आईं। बिज़नेस ईमेल कॉम्प्रोमाइज़ की शिकायतें 2024 में 21,442 से बढ़कर 2025 में 24,768 हो गईं। ये अमेरिका में दर्ज शिकायतें हैं, सऊदी आँकड़े नहीं, लेकिन तरीका हर जगह एक है: अपराधी आपके बैंक में सेंध नहीं लगाता, वह आपके ही कर्मचारी को पैसे भेजने के लिए मना लेता है।
इसी रिपोर्ट में हर फ़ाइनेंस टीम के लिए सबसे काम की सीख है: तेज़ी। जब पीड़ितों ने जल्दी रिपोर्ट की, तो FBI की रिकवरी एसेट टीम ने बैंकों के साथ मिलकर पैसे फ़्रीज़ कराए। 2025 में 3,900 मामलों में उसने $679,013,183 फ़्रीज़ किए, सफलता दर 58% रही। FBI की अपनी सलाह है कि समय सबसे अहम है: तुरंत अपने बैंक से संपर्क करें और ट्रांसफ़र वापस मंगाने का अनुरोध करें।
आपकी कंपनी को बचाने वाले 6 कदम
- बैंक विवरण के हर बदलाव पर कॉलबैक नियम। किसी सप्लायर, कर्मचारी या पार्टनर का खाता बदलने का हर अनुरोध आपके रिकॉर्ड में पहले से मौजूद नंबर पर फ़ोन करके पक्का किया जाए, ईमेल में दिए नंबर पर कभी नहीं। इसे लिखित नीति बनाएँ ताकि पूछने में किसी को झिझक न हो।
- हर नए प्राप्तकर्ता के लिए दो लोग। एक व्यक्ति नया IBAN दर्ज करे, दूसरा व्यक्ति अलग डिवाइस से उसे मंज़ूर करे। अपने बैंक से कहें कि वह कॉर्पोरेट पोर्टल पर यह सुविधा चालू करे।
- ईमेल पर मल्टी-फ़ैक्टर ऑथेंटिकेशन। सऊदी राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) का ईमेल सुरक्षा मानक टेम्पलेट वेबमेल और मोबाइल ईमेल ऐप तक पहुँच के लिए, और ईमेल एडमिनिस्ट्रेटरों के लिए MFA ज़रूरी करता है। ज़्यादातर बिज़नेस ईमेल कॉम्प्रोमाइज़ एक चोरी हुए ईमेल पासवर्ड से शुरू होते हैं।
- अपने डोमेन पर SPF, DKIM और DMARC। वही NCA टेम्पलेट इन तीन रिकॉर्ड को ज़रूरी करता है, ताकि दूसरे सर्वर आपके डोमेन का दिखावा करने वाले ईमेल अस्वीकार कर सकें। ये आपके ग्राहकों और सप्लायरों को आपके नाम से आने वाले नकली ईमेल से बचाते हैं।
- फ़िल्टरिंग और बाहरी प्रेषक की चेतावनी। NCA टेम्पलेट दुर्भावनापूर्ण लिंक या फ़िशिंग प्रयास वाले आने वाले संदेशों को ब्लॉक करने और मध्यम जोखिम वाले संदेशों को क्वारंटीन करने की माँग करता है। कंपनी के बाहर से आने वाले हर ईमेल पर एक साफ़ दिखने वाली चेतावनी पट्टी जोड़ें।
- एक पन्ने की प्रतिक्रिया योजना। अगर पैसा चला गया है: तुरंत बैंक को फ़ोन करके रिकॉल माँगें, ईमेल पासवर्ड बदलें, मेलबॉक्स में ऐसे फ़ॉरवर्डिंग नियम देखें जो आपने नहीं बनाए, और उस सप्लायर को सावधान करें जिसके नाम का इस्तेमाल हुआ।
अपने कर्मचारियों को 15 मिनट में क्या सिखाएँ
लंबे कोर्स की ज़रूरत नहीं है। तीन आदतें सिखाएँ: भेजने वाले का पूरा पता जाँचें, केवल ईमेल से आए भुगतान अनुरोध पर कभी अमल न करें, और संदिग्ध संदेश को मिटाने के बजाय रिपोर्ट करें। फिर हर तिमाही एक हानिरहित टेस्ट ईमेल भेजें और किसी को दोष दिए बिना नतीजों पर बात करें। जल्दी रिपोर्ट करने वाली टीम उस टीम से ज़्यादा कीमती है जो सोचती है कि वह कभी क्लिक नहीं करती।
Origami की राय
हम फ़िशिंग को तकनीक से ज़्यादा प्रक्रिया की समस्या मानते हैं। ईमेल फ़िल्टर हमेशा कुछ संदेश छोड़ देंगे, और AI हर महीने नकली ईमेल को और भरोसेमंद बना रहा है। जो नहीं बदलता, वह है आपके सिस्टम के अंदर का नियम: जाँच और दूसरी मंज़ूरी के बिना बैंक विवरण बदलना असंभव होना चाहिए। जब हम अकाउंटिंग, खरीद या भुगतान के लिए कस्टम सिस्टम बनाते हैं, तो यह नियम सिस्टम में ही डालते हैं, साथ में प्राप्तकर्ता डेटा के हर बदलाव का लॉग, ताकि यह किसी की याददाश्त पर निर्भर न रहे। अगर आप अपनी ईमेल सेटिंग और भुगतान मंज़ूरियों की समीक्षा चाहते हैं, तो हमसे संपर्क करें या हमारी सेवाएँ देखें।
स्रोत
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: कुल शिकायतें और नुकसान, बिज़नेस ईमेल कॉम्प्रोमाइज़ और फ़िशिंग के आँकड़े, AI से जुड़ी शिकायतें और रिकवरी एसेट टीम के फ़्रीज़ करने के नतीजे।
- राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) — Email Protection Standard template: MFA, SPF, DKIM, DMARC और फ़िशिंग संदेशों को ब्लॉक करने से जुड़ी आवश्यकताएँ।
सामान्य प्रश्न
कैसे पता करें कि सप्लायर का बैंक खाता बदलने वाला ईमेल धोखाधड़ी है?
अक्सर ईमेल से ही पता नहीं चलता, क्योंकि AI अब भरोसेमंद संदेश लिखता है। बैंक विवरण में हर बदलाव को तब तक संदिग्ध मानें जब तक आप उसे अपने रिकॉर्ड में पहले से मौजूद सप्लायर नंबर पर फ़ोन करके पक्का न कर लें, ईमेल में दिए नंबर पर नहीं।
हमने किसी ठग को पैसे भेज दिए। सबसे पहले क्या करें?
तुरंत अपने बैंक को फ़ोन करें और ट्रांसफ़र वापस मंगाने (रिकॉल) का अनुरोध करें; सबसे ज़रूरी है तेज़ी। फिर ईमेल का पासवर्ड बदलें, मेलबॉक्स में ऐसे फ़ॉरवर्डिंग नियम देखें जो आपने नहीं बनाए, और उस सप्लायर को सावधान करें जिसके नाम का इस्तेमाल हुआ।
क्या SPF, DKIM और DMARC फ़िशिंग रोकने के लिए काफ़ी हैं?
नहीं। ये दूसरों को आपके अपने डोमेन के नाम से ईमेल भेजने से रोकते हैं, जिससे आपके ग्राहक और सप्लायर सुरक्षित रहते हैं। ये मिलते-जुलते डोमेन या हैक हुए सप्लायर मेलबॉक्स को नहीं रोकते, इसलिए कॉलबैक नियम और दो लोगों की मंज़ूरी अब भी ज़रूरी है।
अगर AI बिना गलती के ईमेल लिखता है, तो क्या कर्मचारियों की ट्रेनिंग अब भी काम की है?
हाँ, लेकिन आप क्या सिखाते हैं उसे बदलें। वर्तनी की गलतियाँ ढूँढने के बजाय कर्मचारियों को अनुरोध को परखना सिखाएँ: बैंक विवरण में कोई भी बदलाव, जल्दबाज़ी, गोपनीयता या सामान्य प्रक्रिया से बाहर कोई भुगतान, इन सबकी जाँच और रिपोर्ट होनी चाहिए।
