क्रेडेंशियल चोरी

सरल परिभाषा

क्रेडेंशियल चोरी का मतलब है कि कोई हमलावर धोखाधड़ी, मैलवेयर, डेटा लीक या अन्य तरीकों से उपयोगकर्ता के लॉगिन क्रेडेंशियल हासिल कर ले। इनमें यूज़रनेम, पासवर्ड, SMS कोड, वन-टाइम पासकोड, API कुंजी या ट्रेडिंग प्लेटफॉर्म के एक्सेस टोकन शामिल हो सकते हैं।

वित्तीय और ट्रेडिंग संदर्भ में क्रेडेंशियल चोरी से खाते में अनधिकृत लॉगिन, धन निकासी, पोज़िशन में बिना अनुमति ट्रेडिंग, व्यक्तिगत जानकारी का दुरुपयोग या API के ज़रिए असामान्य ऑर्डर लगने जैसी स्थितियां बन सकती हैं। यह निवेश जोखिम नहीं, बल्कि खाता सुरक्षा और साइबर सुरक्षा जोखिम है।

क्रेडेंशियल चोरी कैसे होती है

हमलावर आमतौर पर सीधे ट्रेडिंग सिस्टम को “हैक” नहीं करते। वे उपयोगकर्ता से खुद क्रेडेंशियल दिलवाने की कोशिश करते हैं, या उपयोगकर्ता के डिवाइस, ईमेल या किसी तीसरी सेवा से क्रेडेंशियल चुराते हैं। आम तरीके ये हैं:

सामान्य ट्रेडिंग परिदृश्य

1. नकली लॉगिन पेज

एक नया ट्रेडर ईमेल प्राप्त करता है जिसमें लिखा होता है कि खाते को “फिर से सत्यापित” करना जरूरी है। ईमेल के लिंक से खुलने वाला पेज वास्तविक ट्रेडिंग प्लेटफॉर्म जैसा दिखता है। उपयोगकर्ता जैसे ही खाता संख्या, पासवर्ड और कोड दर्ज करता है, हमलावर वास्तविक खाते में लॉगिन की कोशिश कर सकता है।

ध्यान रखने योग्य बात: केवल पेज के दिखने पर भरोसा न करें। डोमेन, सुरक्षा प्रमाणपत्र, सेव किए गए बुकमार्क और आधिकारिक App की जांच करें। अनजान ईमेल या SMS लिंक से ट्रेडिंग खाते में लॉगिन न करें।

2. कस्टमर सपोर्ट बनकर OTP मांगना

हमलावर सोशल मीडिया या चैट ऐप में प्लेटफॉर्म के कस्टमर सपोर्ट के रूप में संपर्क करता है और कहता है कि “खाता बहाल करने”, “निकासी प्रोसेस करने” या “असामान्य ऑर्डर रद्द करने” के लिए OTP चाहिए। OTP आमतौर पर लॉगिन, फंड ट्रांसफर या संवेदनशील कार्रवाई की पुष्टि के लिए होता है। किसी और को OTP देना, खाते पर कार्रवाई की अनुमति देने जैसा हो सकता है।

ध्यान रखने योग्य बात: वैध कस्टमर सपोर्ट सामान्यतः पूरा पासवर्ड, वन-टाइम पासकोड या टू-फैक्टर ऑथेंटिकेशन कोड नहीं मांगता।

3. API कुंजी गलती से सार्वजनिक हो जाना

कुछ ट्रेडर क्वांट टूल या थर्ड-पार्टी सॉफ्टवेयर से ट्रेडिंग खाते को जोड़ते हैं। यदि API कुंजी सार्वजनिक कोड रिपॉज़िटरी, स्क्रीनशॉट, ग्रुप चैट या अविश्वसनीय सॉफ्टवेयर में कॉपी हो जाती है, तो हमलावर उस कुंजी से खाते की जानकारी देख सकता है, ऑर्डर लगा सकता है या अन्य कार्रवाई कर सकता है। यह इस बात पर निर्भर करता है कि कुंजी को कौन-कौन सी अनुमतियां दी गई हैं।

ध्यान रखने योग्य बात: API कुंजी को न्यूनतम अनुमति के साथ सेट करें। उदाहरण के लिए, केवल आवश्यक रीड या ट्रेडिंग अनुमति दें; निकासी की अनुमति आसानी से न खोलें। उपयोग न होने पर कुंजी को समय पर हटाएं।

नए ट्रेडरों के लिए यह क्यों महत्वपूर्ण है

क्रेडेंशियल चोरी का असर केवल “किसी ने लॉगिन कर लिया” तक सीमित नहीं होता। ट्रेडिंग खाते में हमलावर:

• व्यक्तिगत पहचान जानकारी, ट्रेडिंग रिकॉर्ड, बैलेंस और पोज़िशन देख सकता है;
• ईमेल, मोबाइल नंबर या सुरक्षा सेटिंग बदल सकता है;
• बिना अनुमति ऑर्डर, पोज़िशन क्लोज़ या उच्च-जोखिम वाली कार्रवाई कर सकता है;
• प्लेटफॉर्म की प्रक्रिया और सुरक्षा नियंत्रण के आधार पर धन या संपत्ति ट्रांसफर करने की कोशिश कर सकता है;
• खाते का उपयोग धोखाधड़ी, मनी लॉन्ड्रिंग या अन्य नियम-विरुद्ध गतिविधियों के लिए कर सकता है।

अलग-अलग प्लेटफॉर्म, क्षेत्रों और खाता प्रकारों में सुरक्षा नियम अलग हो सकते हैं। नुकसान की भरपाई संभव होगी या नहीं, यह प्लेटफॉर्म की शर्तों, स्थानीय कानून, खाते की सुरक्षा सेटिंग, रिपोर्टिंग और शिकायत से जुड़े दस्तावेजों जैसे कारकों पर निर्भर करता है। यह मानकर नहीं चलना चाहिए कि धन हमेशा वापस मिल जाएगा या ट्रेड हमेशा रद्द हो जाएंगे।

बचाव के मुख्य उपाय

नीचे दिए गए उपाय जोखिम को पूरी तरह समाप्त नहीं करते, लेकिन क्रेडेंशियल चोरी और खाते के दुरुपयोग की संभावना को काफी कम कर सकते हैं:

1. हर खाते के लिए अलग और मजबूत पासवर्ड रखें: ट्रेडिंग खाते, ईमेल और बैंक खाते में एक ही पासवर्ड इस्तेमाल न करें।
2. मल्टी-फैक्टर ऑथेंटिकेशन (MFA) चालू करें: ऑथेंटिकेटर App या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। SMS कोड, MFA न होने से बेहतर है, लेकिन SIM स्वैप जैसे जोखिम हो सकते हैं।
3. डोमेन और App स्रोत जांचें: आधिकारिक वेबसाइट, आधिकारिक App Store या सेव किए गए बुकमार्क से लॉगिन करें। अनजान लिंक पर क्लिक करने से बचें।
4. “तत्काल” दबाव वाली भाषा से सावधान रहें: जैसे “खाता अभी फ्रीज़ होगा”, “तुरंत सत्यापन जरूरी है” या “नहीं किया तो निकासी बंद हो जाएगी”।
5. ईमेल खाते की सुरक्षा करें: ईमेल अक्सर ट्रेडिंग खाते का पासवर्ड रीसेट करने के लिए इस्तेमाल होता है। ईमेल चोरी होने पर ट्रेडिंग खाता भी कब्जे में लिया जा सकता है।
6. API अनुमतियां सीमित रखें: केवल जरूरी अनुमति दें, प्लेटफॉर्म समर्थन करे तो IP व्हाइटलिस्ट लगाएं, और समय-समय पर अनुपयोगी कुंजियां हटाएं या बदलें।
7. लॉगिन और गतिविधि रिकॉर्ड जांचें: अनजान डिवाइस, असामान्य IP, अज्ञात ऑर्डर या बदली हुई सुरक्षा सेटिंग दिखे तो तुरंत कार्रवाई करें।
8. डिवाइस सुरक्षित रखें: अज्ञात स्रोतों के ट्रेडिंग सॉफ्टवेयर, क्रैक किए गए प्लगइन या संदिग्ध ब्राउज़र एक्सटेंशन इंस्टॉल करने से बचें।

संदिग्ध क्रेडेंशियल चोरी दिखे तो क्या करें

यदि आपको लगता है कि ट्रेडिंग खाते के क्रेडेंशियल लीक हो गए हैं, तो जल्द से जल्द ये कदम उठाएं:

• आधिकारिक चैनल से लॉगिन करके पासवर्ड तुरंत बदलें;
• संदिग्ध डिवाइस, सत्र और API कुंजियां रद्द करें;
• मल्टी-फैक्टर ऑथेंटिकेशन चालू करें या रीसेट करें;
• हाल के ऑर्डर, फंड ट्रांसफर, निकासी पते और प्रोफाइल बदलाव जांचें;
• प्लेटफॉर्म के आधिकारिक कस्टमर सपोर्ट या सुरक्षा टीम से संपर्क करें, और ईमेल, SMS, लिंक, स्क्रीनशॉट व समय रिकॉर्ड सुरक्षित रखें;
• यदि धन हानि या पहचान जानकारी चोरी हुई है, तो अपने क्षेत्र के कानून और प्लेटफॉर्म की आवश्यकताओं के अनुसार संबंधित संस्था में रिपोर्ट या शिकायत दर्ज करें।

नए OTP, पहचान दस्तावेजों की तस्वीरें या पूरी खाता जानकारी किसी अप्रमाणित “कस्टमर सपोर्ट” या समुदाय के सदस्य को न भेजें।

संबंधित शब्द

• फिशिंग: भरोसेमंद संस्था का रूप धारण करके उपयोगकर्ता से जानकारी निकलवाने वाला हमला।
• मल्टी-फैक्टर ऑथेंटिकेशन: पासवर्ड के अलावा वन-टाइम कोड, हार्डवेयर कुंजी या बायोमेट्रिक जैसे अतिरिक्त सत्यापन कारक जोड़ना।
• क्रेडेंशियल स्टफिंग: हमलावर लीक हुए यूज़रनेम-पासवर्ड संयोजनों से अन्य वेबसाइटों या प्लेटफॉर्म पर लॉगिन की सामूहिक कोशिश करते हैं।
• खाता कब्जा: हमलावर खाते का नियंत्रण लेकर जानकारी बदलता है, डेटा देखता है या कार्रवाई करता है।
• API कुंजी: ट्रेडिंग प्लेटफॉर्म को प्रोग्राम के जरिए एक्सेस करने वाला क्रेडेंशियल। इसके लीक होने से ऑटोमेटेड कार्रवाई का जोखिम हो सकता है।

संदर्भ स्रोत

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.cisa.gov/MFA
• https://www.sec.gov/oiea/investor-alerts-and-bulletins/ib_safeguardingaccount
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
• https://www.finra.org/investors/insights/cybersecurity-and-your-brokerage-account