آپ کی کمپنی کو ملنے والی سب سے مہنگی فشنگ ای میل میں نہ کوئی وائرس ہوتا ہے نہ کوئی عجیب لنک۔ یہ کسی جانے پہچانے سپلائر کا عام پیغام لگتا ہے، جس میں لکھا ہوتا ہے کہ ان کا بینک اکاؤنٹ بدل گیا ہے اور اگلی انوائس نئے IBAN پر ادا کی جائے۔ FBI کی 2025 انٹرنیٹ جرائم رپورٹ میں اس قسم کے فراڈ، جسے بزنس ای میل کمپرومائز (BEC) کہا جاتا ہے، کی 24,768 شکایات درج ہوئیں اور $3,046,598,558 کا نقصان ہوا، یعنی ہر شکایت پر تقریباً $123,000، یا لگ بھگ SAR 461,000۔ اس کا حل تقریباً مفت ہے: کسی وصول کنندہ کی بینک تفصیلات کبھی صرف ای میل کی بنیاد پر نہ بدلیں۔ اپنے ریکارڈ کے نمبر پر فون کر کے تصدیق کریں، اور تبدیلی کے لیے دوسرے شخص کی منظوری لازمی بنائیں۔ (ادائیگیوں کی منظوری کے پہلو پر ہم نے Binance ہیک اور ادائیگی کی منظوری کے کنٹرولز والے مضمون میں بات کی ہے۔)
2026 میں فشنگ ای میل کیسی دکھتی ہے
پرانا مشورہ تھا کہ ہجے کی غلطیاں دیکھیں۔ یہ اب کام نہیں کرتا۔ FBI رپورٹ کہتی ہے کہ چیٹ جنریٹر تیزی سے ایسی سرکاری انداز کی ای میلز بنا سکتے ہیں جو کمپنی کے CEO یا دوسرے عہدیداروں کی نقل کرتی ہیں، اور آواز کی کلوننگ سے رقم کی منتقلی مانگی جا سکتی ہے۔ 2025 میں FBI کو مصنوعی ذہانت کا ذکر کرنے والی 22,000 سے زیادہ شکایات ملیں جن میں نقصان $893 ملین سے زیادہ تھا، اور کمپنیوں نے AI والے بزنس ای میل کمپرومائز میں $30 ملین سے زیادہ کھونے کی اطلاع دی۔
اس لیے تحریر کو نہیں، درخواست کو پرکھیں۔ یہ خطرے کی علامات اب بھی کارآمد ہیں:
- بینک تفصیلات میں تبدیلی، خاص طور پر کسی بڑی ادائیگی سے عین پہلے۔
- جلدی اور رازداری: "آج ہی ادائیگی کریں"، "میں میٹنگ میں ہوں، فون نہ کریں"، "یہ بات کسی کو نہ بتائیں"۔
- بھیجنے والے کا تقریباً درست پتا: ڈومین میں ایک حرف بدلا ہوا، یا کمپنی ڈومین کے بجائے مفت ای میل اکاؤنٹ۔
- آپ کے معمول کے طریقہ کار کو بائی پاس کرنے والی درخواست: کوئی مینیجر براہ راست اکاؤنٹنٹ سے سسٹم کے باہر رقم بھیجنے کو کہے۔
مسئلے کے پیچھے اعداد و شمار
FBI کے انٹرنیٹ کرائم کمپلینٹ سینٹر (IC3) کو 2025 میں 1,008,597 شکایات ملیں، جن میں رپورٹ شدہ نقصان $20.877 ارب تھا، جو 2024 کے مقابلے میں 26% زیادہ ہے۔ صرف فشنگ اور اسپوفنگ سے 191,561 شکایات آئیں۔ بزنس ای میل کمپرومائز کی شکایات 2024 میں 21,442 سے بڑھ کر 2025 میں 24,768 ہو گئیں۔ یہ امریکہ میں درج شکایات ہیں، سعودی اعداد و شمار نہیں، لیکن طریقہ ہر جگہ ایک ہے: مجرم آپ کے بینک میں نقب نہیں لگاتا، وہ آپ کے اپنے ملازم کو رقم بھیجنے پر قائل کر لیتا ہے۔
اسی رپورٹ میں ہر فنانس ٹیم کے لیے سب سے مفید سبق ہے: تیزی۔ جب متاثرین نے جلد رپورٹ کی تو FBI کی ریکوری ایسٹ ٹیم نے بینکوں کے ساتھ مل کر رقوم منجمد کرائیں۔ 2025 میں 3,900 واقعات میں اس نے $679,013,183 منجمد کیے، کامیابی کی شرح 58% رہی۔ FBI کا اپنا مشورہ ہے کہ وقت سب سے اہم ہے: فوراً اپنے بینک سے رابطہ کریں اور ٹرانسفر واپس منگوانے کی درخواست کریں۔
آپ کی کمپنی کو بچانے والے 6 اقدامات
- بینک تفصیلات کی ہر تبدیلی پر کال بیک کا اصول۔ کسی سپلائر، ملازم یا پارٹنر کا اکاؤنٹ بدلنے کی ہر درخواست کی تصدیق آپ کے ریکارڈ میں پہلے سے موجود نمبر پر فون کر کے کی جائے، ای میل والے نمبر پر کبھی نہیں۔ اسے تحریری پالیسی بنائیں تاکہ پوچھنے میں کسی کو جھجک نہ ہو۔
- ہر نئے وصول کنندہ کے لیے دو افراد۔ ایک شخص نیا IBAN درج کرے اور دوسرا شخص الگ ڈیوائس سے اسے منظور کرے۔ اپنے بینک سے کہیں کہ وہ کارپوریٹ پورٹل پر یہ سہولت فعال کرے۔
- ای میل پر ملٹی فیکٹر تصدیق۔ سعودی نیشنل سائبر سکیورٹی اتھارٹی (NCA) کا ای میل تحفظ کے معیار کا ٹیمپلیٹ ویب میل اور موبائل ای میل ایپس تک رسائی کے لیے، اور ای میل منتظمین کے لیے MFA لازمی قرار دیتا ہے۔ زیادہ تر بزنس ای میل کمپرومائز ایک چوری شدہ ای میل پاس ورڈ سے شروع ہوتے ہیں۔
- اپنے ڈومین پر SPF، DKIM اور DMARC۔ وہی NCA ٹیمپلیٹ ان تین ریکارڈز کو لازمی قرار دیتا ہے، تاکہ دوسرے سرورز آپ کے ڈومین کا بہروپ بھرنے والی ای میلز مسترد کر سکیں۔ یہ آپ کے گاہکوں اور سپلائرز کو آپ کے نام سے آنے والی جعلی ای میلز سے بچاتے ہیں۔
- فلٹرنگ اور بیرونی بھیجنے والے کی وارننگ۔ NCA ٹیمپلیٹ نقصان دہ لنکس یا فشنگ کی کوششوں والے آنے والے پیغامات کو بلاک کرنے اور درمیانے خطرے والے پیغامات کو قرنطینہ میں رکھنے کا تقاضا کرتا ہے۔ کمپنی سے باہر سے آنے والی ہر ای میل پر واضح وارننگ پٹی لگائیں۔
- ایک صفحے کا ردعمل منصوبہ۔ اگر رقم نکل گئی ہے: فوراً بینک کو فون کر کے واپسی کی درخواست کریں، ای میل پاس ورڈ بدلیں، میل باکس میں ایسے فارورڈنگ اصول دیکھیں جو آپ نے نہیں بنائے، اور اس سپلائر کو خبردار کریں جس کا نام استعمال ہوا۔
ملازمین کو 15 منٹ میں کیا سکھائیں
لمبے کورس کی ضرورت نہیں۔ تین عادتیں سکھائیں: بھیجنے والے کا مکمل پتا چیک کریں، صرف ای میل سے آئی ادائیگی کی درخواست پر کبھی عمل نہ کریں، اور مشکوک پیغام کو حذف کرنے کے بجائے رپورٹ کریں۔ پھر ہر سہ ماہی ایک بے ضرر ٹیسٹ ای میل بھیجیں اور کسی کو الزام دیے بغیر نتائج پر بات کریں۔ جلد رپورٹ کرنے والی ٹیم اس ٹیم سے زیادہ قیمتی ہے جو سمجھتی ہے کہ وہ کبھی کلک نہیں کرتی۔
Origami کی رائے
ہم فشنگ کو ٹیکنالوجی سے زیادہ طریقہ کار کا مسئلہ سمجھتے ہیں۔ ای میل فلٹرز ہمیشہ کچھ پیغامات چھوڑ دیں گے، اور AI ہر مہینے جعلی ای میلز کو زیادہ قائل کرنے والا بنا رہا ہے۔ جو نہیں بدلتا وہ آپ کے سسٹمز کے اندر کا اصول ہے: تصدیق اور دوسری منظوری کے بغیر بینک تفصیلات بدلنا ناممکن ہونا چاہیے۔ جب ہم اکاؤنٹنگ، خریداری یا ادائیگیوں کے لیے کسٹم سسٹمز بناتے ہیں تو یہ اصول سسٹم کے اندر ہی رکھتے ہیں، ساتھ میں وصول کنندہ کے ڈیٹا کی ہر تبدیلی کا لاگ، تاکہ یہ کسی کی یادداشت پر منحصر نہ رہے۔ اگر آپ اپنی ای میل سیٹنگز اور ادائیگی کی منظوریوں کا جائزہ چاہتے ہیں تو ہم سے رابطہ کریں یا ہماری خدمات دیکھیں۔
ذرائع
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: کل شکایات اور نقصانات، بزنس ای میل کمپرومائز اور فشنگ کے اعداد و شمار، AI سے متعلق شکایات اور ریکوری ایسٹ ٹیم کے رقوم منجمد کرنے کے نتائج۔
- نیشنل سائبر سکیورٹی اتھارٹی (NCA) — Email Protection Standard template: MFA، SPF، DKIM، DMARC اور فشنگ پیغامات کو بلاک کرنے سے متعلق تقاضے۔
عام سوالات
کیسے پتا چلے کہ سپلائر کا بینک اکاؤنٹ بدلنے والی ای میل فراڈ ہے؟
اکثر ای میل سے خود پتا نہیں چلتا، کیونکہ اب AI قائل کرنے والے پیغامات لکھتا ہے۔ بینک تفصیلات میں ہر تبدیلی کو اس وقت تک مشکوک سمجھیں جب تک آپ اپنے ریکارڈ میں پہلے سے موجود سپلائر کے نمبر پر فون کر کے اس کی تصدیق نہ کر لیں، ای میل میں دیے گئے نمبر پر نہیں۔
ہم نے ایک دھوکے باز کو رقم بھیج دی۔ سب سے پہلے کیا کریں؟
فوراً اپنے بینک کو فون کریں اور ٹرانسفر واپس منگوانے کی درخواست کریں؛ سب سے اہم چیز تیزی ہے۔ پھر ای میل کا پاس ورڈ بدلیں، میل باکس میں ایسے فارورڈنگ اصول دیکھیں جو آپ نے نہیں بنائے، اور اس سپلائر کو خبردار کریں جس کا نام استعمال ہوا۔
کیا SPF، DKIM اور DMARC فشنگ روکنے کے لیے کافی ہیں؟
نہیں۔ یہ دوسروں کو آپ کے اپنے ڈومین کے نام سے ای میل بھیجنے سے روکتے ہیں، جس سے آپ کے گاہک اور سپلائر محفوظ رہتے ہیں۔ یہ ملتے جلتے ڈومین یا ہیک شدہ سپلائر میل باکس کو نہیں روکتے، اس لیے کال بیک کا اصول اور دو افراد کی منظوری اب بھی ضروری ہے۔
اگر AI بے عیب ای میلز لکھتا ہے تو کیا ملازمین کی تربیت اب بھی مفید ہے؟
جی ہاں، لیکن جو سکھاتے ہیں اسے بدلیں۔ ہجے کی غلطیاں ڈھونڈنے کے بجائے ملازمین کو درخواست کو پرکھنا سکھائیں: بینک تفصیلات میں کوئی بھی تبدیلی، جلدی، رازداری یا معمول کے طریقہ کار سے باہر کوئی ادائیگی، ان سب کی تصدیق اور رپورٹ ہونی چاہیے۔
