భారత్‌ ని భయపెడుతున్న ‘Boss Scam’, ఏంటిది, ఎలా జరుగుతుంది?!

–సూర్య ప్రకాష్ జోశ్యుల

ఓ రోజు ఉదయం ఆఫీసులో ఎప్పటిలా పనులు జరుగుతున్నాయి. అకౌంట్స్ టీమ్ కు బాస్ నుంచి ఒక మెయిల్ వచ్చింది.

“ఈ పేమెంట్‌ను వెంటనే ఈ కొత్త బ్యాంక్ అకౌంట్‌కు పంపించండి.”

పెద్ద ఎమౌంట్. అయితే అంతకు ముందు బాస్ తో చర్చించిన సబ్జెక్టే.ఆయన మెయిల్ ఐడీ, ఆయన సంతకం, చెల్లించాల్సిన మొత్తం కూడా నిజమే.పెద్దగా అనుమానం కలిగించే విషయం ఏదీ లేదు. ఇదంతా రొటీన్ గా జరిగే తంతే. కాబట్టి అకౌంట్స్ టీమ్ పెద్దగా ఆలోచించలేదు.

పేమెంట్ ప్రాసెస్ చేసింది. కొద్దిసేపటి తర్వాత బాస్ ఆఫీసులోకి వచ్చాడు.

“నేను అలాంటి మెయిల్ ఏదీ పంపలేదు.” అని తేల్చాడు. అక్కడితో ఒక్కసారిగా అందరికీ విషయం అర్థమైంది.అయితే డబ్బు మాత్రం అప్పటికే వెళ్లిపోయింది. ఇదే Boss Scam.

ఇది ఒక సినిమా సీన్‌లా అనిపించొచ్చు. కానీ నిజంగా చాలా చోట్ల జరిగాయి. ఇప్పుడు ఇలాంటి మోసాల ఇక్కడా భారతదేశంలో ఇప్పటికే హెచ్చరికలు వస్తున్నాయి.

అయితే ఈ స్కామ్ ఎలా మొదలవుతోంది?

ఇక్కడే ఈ కథలో అసలు ట్విస్ట్ ఉంది. హ్యాకర్ మొదట CEOని టార్గెట్ చేయలేదు. ఒక కంపెనీలోని సాధారణ ఉద్యోగి ఈమెయిల్ ఖాతాతో మొదలుపెట్టాడు. ఎందుకంటే సాధారణం ఉద్యోగి ఈమెయిల్ హ్యాక్ చేయటం డెడ్ ఈజీ. దాంతో ఆ ఖాతా హ్యాకర్‌కు దొరికిన తర్వాత కంపెనీలో ఎవరు ఎవరి కింద పనిచేస్తున్నారు? CEO ఎవరు? ఎవరికి ఏ బాధ్యత ఉంది? ముఖ్యమైన వ్యక్తులతో ఎవరు తరచూ మాట్లాడుతున్నారు? వంటి సమాచారాన్ని అర్థం చేసుకునే అవకాశం వచ్చింది. అయితే ఇదంతా జరగటానికి చాలా టైమ్ పట్టేది గతంలో కానీ..ఇక్కడ AI రంగంలోకి వచ్చింది.

సైబర్ సెక్యూరిటీ సంస్థ Barracuda నిర్వహించిన ఒక controlled attack simulationలో attacker, compromised employee accountను ఉపయోగించి Microsoft Copilot సహాయంతో కంపెనీ organisational structureను అర్థం చేసుకుని, senior executivesను గుర్తించాడు.

అంటే AI హ్యాకర్‌కు ఏదో మాయా తాళం ఇవ్వలేదు. కంపెనీలో ఎవరిని టార్గెట్ చేస్తే ఎక్కువ ప్రయోజనం ఉంటుందో గుర్తించడానికి సహాయం చేసింది. అది మొదటి మెట్టు మాత్రమే.

ఇప్పుడు లక్ష్యం CEO. కానీ నేరుగా CEOకి ఒక అనుమానాస్పద మెయిల్ పంపితే అతను గుర్తించవచ్చు. అందుకే హ్యాకర్ ముందుగా తన చేతిలో ఉన్న ఉద్యోగి ఈమెయిల్ చరిత్రను పరిశీలించాడు. ఆ ఉద్యోగి ఎలా రాస్తాడు? ఎలాంటి పదాలు ఉపయోగిస్తాడు? ఎవరితో ఏ విషయంపై మాట్లాడాడు? ఏ project గురించి ఇప్పటికే సంభాషణ జరిగింది? ఈ సమాచారాన్ని ఆధారంగా చేసుకుని AI సాయింతో ఒక నమ్మదగిన phishing message తయారు చేసాడు. CEO కు పంపాడు.

ఇక్కడే ఈ మోసం సాధారణ fake emailల కంటే ప్రమాదకరంగా మారుతుంది. ఎందుకంటే అది కొత్తగా తయారు చేసిన నకిలీ ID నుంచి రాలేదు. నిజమైన ఉద్యోగి ఖాతా నుంచే వచ్చింది. అందులోని విషయం కూడా పూర్తిగా కొత్తది కాదు. ఇంతకుముందు జరిగిన నిజమైన సంభాషణకు కొనసాగింపులా ఉంది.

CEO ఆ లింక్‌ను క్లిక్ చేశారు. ఆ తర్వాత attacker authenticated sessionను takeover చేసి CEO accountలోకి చేరగలిగాడు. Barracuda simulationలో ఈ దశను చూపించారు. ఇప్పుడు హ్యాకర్ చేతిలో ఒక సాధారణ employee inbox లేదు. కంపెనీకి అత్యంత విలువైన inbox ఉంది. అదే CEO mailbox.

CEO Inboxలో హ్యాకర్‌కు ఏం కనిపించింది?

ఇక్కడి నుంచే అసలు Boss Scam మరింత ప్రమాదకరంగా మారుతుంది. CEO inboxలో ఏళ్ల తరబడి పేరుకుపోయిన వేలాది మెయిళ్లు ఉండొచ్చు. Bank transactions., Invoices., Investment discussions., Property deals., Upcoming payments., Finance teamతో సంభాషణలు. ఎవరు ఏ paymentను approve చేయాలి అన్న సమాచారం. వీటిని అన్నిటిని దగ్గర పెట్టుకుని ఒక్కో మెయిల్ తెరిచి చదవడం హ్యాకర్‌కు అవసరం లేదు.

అతని దగ్గర AI ఉంది. “ఇటీవల వచ్చిన financial emails ఏవి?”, “పెద్ద మొత్తంలో upcoming payments ఏవి?”, “ఏ transactions pendingలో ఉన్నాయి?” ఇలాంటి సమాచారాన్ని AI సహాయంతో వెతికించాడు. కొన్ని క్షణాల్లోనే ఒక పెద్ద payment బయటపడింది. $247,500. అంటే భారత కరెన్సీలో రూ.2 కోట్లకు పైగా విలువైన pending wire transfer. Barracuda simulationలో attacker CEO mailboxలోని financial correspondenceను AI ద్వారా విశ్లేషించి ఈ paymentను గుర్తించాడు.

ఇప్పుడు మిగిలింది ఒక్క అడుగు.

డబ్బు వెళ్లే దారిని మార్చడం. బాస్ పేరు.. బాస్ ఖాతా.. కానీ డబ్బు హ్యాకర్‌కు! CEO account నుంచే finance teamకు మరో మెయిల్ వెళ్లింది. పెండింగ్ paymentకు సంబంధించిన beneficiary bank details మార్చాలని అందులో కోరారు. ఇక్కడ finance teamకు అనుమానం రావాల్సిన కారణం పెద్దగా కనిపించకపోవటంతో డబ్బు ట్రాన్సఫర్ స్మూత్ గా జరిగింది. చివరికి ఆ డబ్బు attacker నియంత్రించే accountకు వెళ్లిపోయింది. ఇది Boss Scamలో అత్యంత ప్రమాదకరమైన మలుపు.

గమనించండి.. హ్యాకర్ ఒక నకిలీ బాస్‌ను సృష్టించలేదు. అసలైన బాస్ ఖాతానే ఉపయోగించాడు.

భారత్‌లో ఇదే ఎందుకు పెద్ద ప్రమాదం?

భారతదేశంలో senior executives లేదా ఉన్నతాధికారుల పేరుతో employeesను నమ్మించి పెద్ద మొత్తంలో డబ్బు బదిలీ చేయించే “Boss Scam” గురించి Indian Cyber Crime Coordination Centre (I4C) ఇప్పటికే హెచ్చరించింది. Finance departments ఇలాంటి మోసాలకు ప్రత్యేకంగా లక్ష్యంగా మారే అవకాశం ఉందని source కథనం పేర్కొంటోంది.

ఇలాంటి మోసం ఒక పెద్ద కంపెనీలో జరిగితే నష్టం ఒక్క ఉద్యోగి ఖాతాకు మాత్రమే పరిమితం కాకపోవచ్చు. ఒక పెద్ద vendor payment కావచ్చు. ఒక property transaction కావచ్చు. ఒక investment transfer కావచ్చు. ఒక acquisition payment కావచ్చు. లేదా సంస్థకు సంబంధించిన కోట్ల రూపాయల లావాదేవీ కావచ్చు. ఒక్క wrong approval.. మొత్తం chainను మార్చేయవచ్చు.

ఇదే కారణంగా Boss Scamను సాధారణ phishingగా చూడటం ప్రమాదకరం. ఇది ఒక వ్యక్తిని మోసం చేయడం కాదు. ఒక సంస్థలో ఉన్న నమ్మకాన్ని ఉపయోగించి డబ్బును కదిలించడం.