First Horizon Bank के खिलाफ दो मुकदमों में आरोप है कि कारोबारियों का रूप धारण कर फोन करने वालों ने नया iPhone लेने का बहाना बनाकर बैंक कर्मचारियों से सुरक्षा टोकन दोबारा जारी करवाए और 24 मिलियन डॉलर से अधिक की वायर ट्रांसफर कर दी। कुछ रकम अब तक वापस नहीं मिली है। मामले बैंक की पहचान-जांच प्रक्रिया, कारोबारी खातों की सुरक्षा और पहले हुई ऐसी ही घटना के बाद धोखाधड़ी के पैटर्न पर बैंक की प्रतिक्रिया पर सवाल उठाते हैं।
दो कारोबारी समूहों के खाते से दो दिन में करीब 6.5 मिलियन डॉलर गए
ऑरलैंडो क्षेत्र की कंपनियों K&A Rosario Holdings और MJR Fund ने मई में ऑरलैंडो की संघीय अदालत में First Horizon के खिलाफ मुकदमा दायर किया। शिकायत के मुताबिक, 3 मार्च को एक फोन करने वाले ने खुद को K&A का प्रबंधक और MJR का जिम्मेदार व्यक्ति Misael Rosario बताया। उसने कहा कि उसने “iPhone 14 में बदलाव किया है” और कंपनियों के खातों तक पहुंचने के लिए नया सुरक्षा टोकन चाहिए।
First Horizon के ग्राहक सेवा प्रतिनिधि ने टोकन दोबारा जारी कर दिया। बैंक की कारोबारी खाता मार्गदर्शिका के अनुसार, मोबाइल ऐप में लोड किया गया टोकन हर 60 सेकंड में नया कोड बनाता है। भुगतान शुरू करने के लिए कारोबारी ग्राहकों को इस कोड और पासवर्ड, दोनों की जरूरत होती है।
करीब 80 मिनट बाद एक खाते से छह वायर ट्रांसफर के जरिए 4.85 मिलियन डॉलर भेजे गए। 5 मार्च तक दोनों कंपनियों के खातों से 12 ट्रांसफर में करीब 6.5 मिलियन डॉलर जा चुके थे। शिकायत के अनुसार, 4.5 मिलियन डॉलर से अधिक की रकम अब भी वापस नहीं मिली है।
कंपनियों के वकील Victor Velarde ने कहा कि उन्हें नहीं पता कि फोन करने वाले को ऑनलाइन बैंकिंग के लॉगिन विवरण कैसे मिले। शिकायत में कहा गया है कि कॉल कैलिफोर्निया से आई थी, जबकि कंपनियों के प्रबंधक फ्लोरिडा में रहते हैं और उन्होंने बैंक को केवल फ्लोरिडा के फोन नंबर दिए थे। यह भी आरोप है कि फोन करने वाले ने Rosario का उपनाम दो अलग-अलग तरीकों से बोला।
लॉ फर्म के एस्क्रो खाते से 17.3 मिलियन डॉलर के ट्रांसफर
करीब पांच सप्ताह पहले फ्लोरिडा के पाम बीच स्थित लॉ फर्म Rabideau Klein के साथ भी ऐसा ही मामला हुआ था। अलग मुकदमे की शिकायत के मुताबिक, फोन करने वाले ने नए iPhone का वही बहाना देकर सुरक्षा टोकन बदलने की मांग की। कुछ ही घंटों में फर्म के एस्क्रो खाते से 13 वायर ट्रांसफर के जरिए करीब 17.3 मिलियन डॉलर भेजे गए।
इस खाते में रियल एस्टेट लेनदेन की रकम रखी गई थी। शिकायत के मुताबिक, फर्म करीब 10.7 मिलियन डॉलर वापस पा चुकी है और लगभग 6.55 मिलियन डॉलर की वसूली बाकी है।
घटना 27 जनवरी को एक फिशिंग ईमेल से शुरू हुई, जिसने हमलावर को फर्म के Microsoft 365 ईमेल खातों में से एक तक पहुंच दिलाई। अगले दिन हमलावर ने फर्म के फोन सेवा प्रदाता को उसके कॉल एक ऐसे नंबर पर भेजने के लिए राजी कर लिया, जिस पर उसका नियंत्रण था। उसी शाम उसने First Horizon की ऑनलाइन बैंकिंग सुविधा “Forgot User ID or Password” के जरिए Guy Rabideau का पासवर्ड रीसेट किया और उनका यूजर आईडी हासिल कर लिया।
इसके बाद हमलावर ने बैंक को फोन कर खुद को Rabideau बताया और नया टोकन मांगा। खाता संख्या पूछे जाने पर उसने पहले कहा कि वह “उनका” खाता नंबर तलाश रहा है, फिर संबंधित जानकारी दी। उसने ऐसा कारोबारी नाम भी बताया जो बैंक के रिकॉर्ड से पूरी तरह मेल नहीं खाता था, साथ ही Rabideau के Social Security नंबर के आखिरी चार अंक और बैंक की वेबसाइट से अभी-अभी मिला यूजर आईडी दिया।
कॉल बैंक के ट्रेजरी प्रबंधन विभाग को भेजे जाने के बाद दूसरे प्रतिनिधि ने यूजर आईडी, पूरा नाम, ईमेल पता और खाता संख्या के आखिरी चार अंक पूछे। प्रतिनिधि ने फर्म के पंजीकृत फोन नंबर पर सत्यापन कोड भेजने की पेशकश की। फोन करने वाले ने इसके बजाय वॉइस कॉल से कोड देने को कहा और प्रतिनिधि मान गया। उस नंबर पर आने वाली कॉल हमलावर तक पहुंचा दी गई। बैंक ने इसके बाद टोकन सक्रिय करने का लिंक ईमेल किया, जिसे भी हमलावर ने हासिल कर लिया।
शिकायत के मुताबिक, अगले कुछ घंटों में बैंक के लॉग में शिकागो से लॉगिन दर्ज हुए। हमलावर ने Rabideau के नाम से दूसरा यूजर आईडी भी बनाया और उसे अपने ईमेल तथा फोन नंबर से जोड़ा। इसके बाद फर्म के चार अन्य कर्मचारियों की ऑनलाइन बैंकिंग तक पहुंच बंद हो गई।
दोनों मामलों के वायर ट्रांसफर में Shaoxing Fanshun Import and Export नाम की एक ही कंपनी को भुगतान शामिल था। K&A की शिकायत के अनुसार, उसके खाते से इस कंपनी को कुल 2.29 मिलियन डॉलर के चार ट्रांसफर हुए। अदालती दस्तावेज यह नहीं बताते कि दोनों कारोबारों के बीच कोई अन्य संबंध था या नहीं।
First Horizon का कहना है कि सुरक्षा व्यवस्था ने तय तरीके से काम किया
टेनेसी के मेम्फिस में मुख्यालय वाला First Horizon, Rabideau Klein मामले में जोखिम प्रबंधन में नाकामी के आरोप से इनकार करता है और दोनों मुकदमों का बचाव कर रहा है। बैंक के प्रवक्ता ने कहा कि उसकी “प्रणालियों, नियंत्रणों और सुरक्षा उपायों ने तय तरीके से काम किया।” बैंक ने कहा कि वह K&A और MJR के दावों का जोरदार बचाव करेगा।
Rabideau Klein मामले में First Horizon ने नुकसान के लिए लॉ फर्म की सुरक्षा व्यवस्था को जिम्मेदार ठहराया है। बैंक का कहना है कि घटना फिशिंग ईमेल से शुरू हुई और फर्म ने बैंक के सुझाए वायर ट्रांसफर नियंत्रण को स्वीकार नहीं किया था। इस व्यवस्था में हर ट्रांसफर भेजने से पहले दूसरे यूजर की मंजूरी जरूरी होती है। फर्म द्वारा अदालत में दाखिल दस्तावेजों में इस सुविधा को अस्वीकार करने वाला हस्ताक्षरित फॉर्म शामिल है।
Velarde ने कहा कि K&A और MJR ने किसी सुरक्षा प्रक्रिया को सक्रिय रूप से माफ नहीं किया था। हालांकि, उन्होंने यह नहीं बताया कि कंपनियों ने दोहरी मंजूरी की व्यवस्था अपनाई थी या नहीं। First Horizon ने सार्वजनिक रूप से यह भी स्पष्ट नहीं किया है कि नया सुरक्षा टोकन मांगने वालों की पहचान कैसे जांची जाती है या जनवरी की घटना के बाद प्रक्रिया में कोई बदलाव हुआ था या नहीं।
मुकदमे में पहले से मिले धोखाधड़ी संकेतों पर सवाल
K&A और MJR का तर्क है कि मार्च के ट्रांसफर से पहले First Horizon को इसी तरीके की धोखाधड़ी की जानकारी हो सकती थी। शिकायत के मुताबिक, Rabideau Klein ने 29 जनवरी को धोखाधड़ी की सूचना दी थी। इसके बाद बैंक को “वास्तविक जानकारी” थी कि किसी ने iPhone बदलने का दावा कर ग्राहक खातों तक पहुंच बनाई थी और Shaoxing Fanshun को किए गए वायर ट्रांसफर संदिग्ध माने गए थे।
K&A का कहना है कि ये तथ्य यूनिफॉर्म कमर्शियल कोड के अनुच्छेद 4A के तहत बैंक की सुरक्षा प्रक्रियाओं के “व्यावसायिक रूप से उचित” होने के आकलन को प्रभावित कर सकते हैं। यह प्रावधान आम तौर पर वायर ट्रांसफर में नुकसान की जिम्मेदारी तय करता है। अनधिकृत ट्रांसफर का नुकसान बैंक पर आ सकता है, लेकिन नतीजा इस बात पर निर्भर कर सकता है कि बैंक ने सद्भावना से काम किया और ग्राहक के साथ तय व्यावसायिक रूप से उचित सुरक्षा प्रक्रियाओं का पालन किया या नहीं।
First Horizon ने अदालत से K&A की शिकायत के इन आरोपों को हटाने की मांग की है। बैंक का तर्क है कि वादी के वकीलों ने उन्हें असंबंधित मुकदमों से लिया है और वे अप्रासंगिक तथा अनुचित हैं। अपने पक्ष में K&A ने 2012 के एक अदालती फैसले का हवाला दिया है, जिसके अनुसार बैंक के पास मौजूद धोखाधड़ी संबंधी चेतावनियों पर कार्रवाई न करना उसकी सुरक्षा प्रक्रियाओं की उचितता के आकलन में मायने रख सकता है।
संघीय मार्गदर्शन में पंजीकृत नंबर पर सत्यापन की सलाह
Federal Financial Institutions Examination Council ने 2021 के दिशानिर्देशों में ग्राहक सेवा और IT हेल्प डेस्क को निशाना बनाने वाले सोशल इंजीनियरिंग हमलों के बारे में बैंकों को चेताया था। सुझाए गए नियंत्रणों में पहले से पंजीकृत डिवाइस पर एकबारगी कोड भेजना, ग्राहक को उसके रिकॉर्ड में मौजूद नंबर पर वापस फोन करना, अनजान कॉलर आईडी को चिह्नित करना और फोन नंबर या सेवा प्रदाता में बदलाव के लिए तय प्रक्रिया रखना शामिल था।
Rabideau Klein मामले में बैंक ने फर्म के पंजीकृत नंबर पर कोड भेजा था, लेकिन हमलावर पहले ही फोन सेवा प्रदाता से उस नंबर की कॉल फॉरवर्ड करवा चुका था। मामला दिखाता है कि पंजीकृत नंबर पर कोड भेजना अपने आप में यह साबित नहीं करता कि कोड सही ग्राहक तक पहुंचा।
Datos Insights में धोखाधड़ी और मनी लॉन्ड्रिंग-रोधी मामलों के रणनीतिक सलाहकार Jim Mortensen ने कहा कि नाम की स्पेलिंग बताने या Social Security नंबर के आखिरी चार अंक देने जैसे ज्ञान-आधारित सवाल अब बेहतर प्रक्रियाओं के मानक पूरे करने के लिए पर्याप्त नहीं हैं। कारोबारियों के लिए नया सुरक्षा टोकन जारी करते समय उनका सुझाव है कि बैंक पंजीकृत नंबर पर कॉल करे और दूसरे प्रशासक से भी पुष्टि ले।
Mortensen के मुताबिक, जब टोकन रीसेट की मंजूरी मुख्य रूप से ग्राहक सेवा प्रतिनिधि के विवेक पर निर्भर हो और प्रणाली-आधारित पहचान जांच सीमित हो, तो सोशल इंजीनियरिंग हमले सफल होने की आशंका बढ़ती है। मुकदमों का नतीजा इस पर निर्भर करेगा कि अदालत First Horizon की सत्यापन प्रक्रिया, ग्राहकों की खाता-सुरक्षा सेटिंग और कथित धोखाधड़ी के पैटर्न के बारे में बैंक की जानकारी का आकलन कैसे करती है।