FBI और CISA ने 16 अक्टूबर 2026 को अमेरिका में चुनाव अधिकारियों और प्रचार अभियान कर्मचारियों के सामने साइबर खतरों को लेकर चेतावनी जारी की। इनमें ऐसे फ़िशिंग संदेश भी हैं जिन्हें AI अधिक विश्वसनीय बना सकता है। व्यावहारिक संदेश यह है कि अच्छी भाषा, या परिचित आवाज़ भी, जानकारी साझा करने या खाते में प्रवेश की अनुमति देने के लिए पर्याप्त नहीं है। संवेदनशील अनुरोध की अलग माध्यम से पुष्टि होनी चाहिए।
यह चेतावनी अमेरिकी मध्यावधि चुनावों से पहले आई है, लेकिन किसी मतदान प्रणाली में नई सेंध की घोषणा नहीं है। इसमें चुनाव परिणाम बदलने का प्रमाण भी नहीं दिया गया है। यह अंतर महत्वपूर्ण है: अभियान कर्मचारी का खाता चोरी होना, आंतरिक दस्तावेज़ उजागर होना और चुनावी बुनियादी ढाँचे में सेंध अलग घटनाएँ हैं, जिनके प्रभाव और प्रमाण की जरूरत अलग हैं।
एजेंसियाँ किन आशंकाओं के प्रति चेतावनी दे रही हैं
संयुक्त सूचना के अनुसार, दुर्भावनापूर्ण लोग ईमेल और टेक्स्ट संदेशों की फ़िशिंग से लॉगिन विवरण और संवेदनशील जानकारी चुरा सकते हैं। चुनाव अधिकारियों, उम्मीदवारों और राजनीतिक संगठनों का सूचना तथा पदाधिकारियों तक पहुँच होना उन्हें आकर्षक निशाना बनाता है। एजेंसियाँ पहचान की नकल को मजबूत करने वाले नकली ऑडियो और दृश्य सामग्री का भी उल्लेख करती हैं तथा फ़िशिंग-प्रतिरोधी बहु-कारक प्रमाणीकरण और दूसरे माध्यम से अनुरोध जाँचने की सलाह देती हैं।
दस्तावेज़ AI से लिखे संदेशों और सामान्य संदेशों की सफलता दर की तुलना नहीं देता, न ऐसी तुलना का आधार बनने वाला कोई खास हमला अभियान बताता है। इसलिए चेतावनी से नुकसान का आँकड़ा निकालना या हर संदिग्ध संदेश को मॉडल का बनाया मान लेना उचित नहीं है। भेजने वाले के औजार मालूम न हों, तब भी खातों की सुरक्षा उपयोगी है।
प्रकाशन सामग्री निर्माण और स्वचालन की क्षमताओं के लिए SI, जिसका शाब्दिक अर्थ सुपर इंटेलिजेंस है, शब्द इस्तेमाल करता है। लेकिन इसके साथ ऐसी प्रणाली के अस्तित्व या किसी घटना में शामिल होने का प्रदर्शन नहीं है। जोखिम समझने के लिए असाधारण क्षमता मानने की जरूरत नहीं: विश्वसनीय दिखता संदेश जो वह काम करने को कहे जिसे व्यक्ति अन्यथा मना कर देता, पर्याप्त है।
अच्छी भाषा अब प्रामाणिकता की कसौटी क्यों नहीं
संदेश जाँचते समय वर्तनी और लहजे पर ध्यान देना आसान है। ये सुविधाजनक संकेत हैं, लेकिन जरूरी निर्णय दूसरे सवालों पर है: मुझसे क्या कहा जा रहा है, कौन ऐसा कहने का अधिकृत है, और अनुरोध जिस रास्ते आया क्या वह प्रक्रिया के अनुरूप है? सहज वाक्य किसी सवाल का जवाब नहीं देता। भेजने वाले का परिचित नाम भी पहचान की जाँच की जगह नहीं लेता।
मिसाल के लिए, तुरंत कोई दस्तावेज़ पढ़ने का अनुरोध सामान्य काम हो सकता है। यदि नए लिंक से प्रवेश माँगा जाए, तो सेवा को पुराने बुकमार्क से खोलकर वहाँ दस्तावेज़ खोजना बेहतर है। वह न मिले तो संबंधित व्यक्ति से पहले से ज्ञात नंबर या माध्यम पर पूछें। यह सुझाए गए व्यवहार का उदाहरण है, चेतावनी में पहचाने गए हमले का वर्णन नहीं।
यही सिद्धांत तब लागू होता है जब सहकर्मी जैसी आवाज़ वाला व्यक्ति फाइल माँगता है। उसी क्षण तय करना जरूरी नहीं कि आवाज़ कंप्यूटर से बनी है या नहीं। कार्रवाई रोककर तय कार्य-माध्यम से पुष्टि माँगी जा सकती है। तब निर्णय जाँची जा सकने वाली प्रक्रिया पर आधारित होगा, परिचित आवाज़ या लेखन शैली से पैदा भरोसे पर नहीं।
फ़िशिंग-प्रतिरोधी प्रमाणीकरण सिर्फ एक और कोड नहीं
NIST की डिजिटल पहचान संबंधी दिशानिर्देशों के अनुसार, उपयोगकर्ता द्वारा हाथ से दर्ज कोड फ़िशिंग-प्रतिरोधी प्रमाणीकरण नहीं माने जाते। कोड जरूरी नहीं कि खास कनेक्शन या उस सेवा से जुड़ा हो जहाँ व्यक्ति जाना चाहता था। इसके उलट, FIDO2 में इस्तेमाल WebAuthn प्रमाणीकरण को सेवा के नाम से जोड़ सकता है। अंतर तंत्र में है, उपयोगकर्ता को दिखने वाले चरणों की संख्या में नहीं।
इससे प्रशासक के लिए उपयोगी सवाल निकलता है: संवेदनशील खातों में वास्तव में कौन-सा तरीका सक्रिय है? सूची में सामान्य बहु-कारक प्रमाणीकरण पर निशान लगाने से जवाब नहीं मिलता। प्रदाता से पूछें कि कौन-से प्रतिरोधी विकल्प उपलब्ध हैं, किन उपयोगकर्ताओं के लिए चालू हैं, और उपकरण खोने या पहुँच बहाली माँगने पर क्या होता है।
मजबूत प्रमाणीकरण लागू करने में लोगों की जरूरतों की योजना भी चाहिए। अस्थायी कर्मचारी को पहले दिन सुरक्षित प्रवेश और समस्या आने पर संपर्क व्यक्ति पता होना चाहिए। आधिकारिक रास्ता जटिल या अस्पष्ट हो तो शॉर्टकट खोजने का दबाव बनता है। इसलिए पहले से पंजीकरण और सहायता प्रक्रिया भी जाँचें, सिर्फ सामान्य लॉगिन स्क्रीन नहीं।
छोटी टीम इस सप्ताह क्या बदल सकती है
पहला सुझाया कदम है तय करना कि कौन-से अनुरोध एक संदेश के आधार पर कभी मंजूर नहीं होंगे। उदाहरण हैं अनुमति बदलना, संपर्क सूची देना या प्रशासनिक पहुँच रीसेट करना। हर कार्रवाई के लिए नामित मंजूरी देने वाला और ज्ञात पुष्टि-माध्यम होना चाहिए। नियम इतना छोटा हो कि व्यस्त कर्मचारी दबाव में भी याद रख सके।
इसके बाद देखें कि संदिग्ध संदेश की सूचना देना आसान है या नहीं। पता या रिपोर्ट बटन तभी उपयोगी है जब कोई सूचनाएँ संभाले और उत्तर दे। इंतजार में क्या करना है यह स्पष्ट करें, जैसे दूसरा संलग्नक न खोलना या जानकारी न देना, लेकिन सारा काम बंद किए बिना और संदेश अन्य समूहों में फैलाए बिना।
एक छोटा अभ्यास भी करें: प्रबंधक से आया दिखने वाला जरूरी अनुरोध, जबकि सामान्य अनुमोदक उपलब्ध नहीं है। उद्देश्य कर्मचारी की गलती पकड़ना नहीं, बल्कि देखना है कि टीम को वास्तव में कोई सुरक्षित विकल्प मालूम है या नहीं। सिर्फ सबके उपलब्ध और आश्वस्त होने पर चलने वाली प्रक्रिया असामान्य अनुरोध के समय मदद नहीं करेगी।
यदि जानकारी पहले ही दे दी गई हो
यदि कर्मचारी ने पासवर्ड डाल दिया या संदिग्ध अनुरोध मंजूर किया, तो व्यावहारिक सलाह है कि ज्ञात माध्यम से सुरक्षा या सहायता टीम से तुरंत संपर्क कर घटना ठीक-ठीक बताए। संदेश खोलना, फाइल डाउनलोड करना, पासवर्ड भरना और प्रवेश मंजूर करना अलग कार्रवाइयाँ हैं। इन विवरणों से विशेषज्ञ जाँच तय कर सकता है, कर्मचारी को खुद घटना का निदान नहीं करना पड़ता।
संदेश और घटना का समय सुरक्षित रखें तथा लॉगिन जानकारी बदलने और खाते की गतिविधि जाँचने के लिए जिम्मेदार टीम के निर्देश मानें। पहचान की नकल साबित करने के लिए भेजने वाले से बातचीत जारी रखना जरूरी नहीं। कर्मचारी को पता होना चाहिए कि नुकसान निश्चित होने का इंतजार करने से जल्दी सूचना देना बेहतर है और गलती उसे छिपाने का कारण नहीं है।
इज़राइली संगठन के लिए अमेरिकी चेतावनी कामकाजी प्रक्रियाएँ जाँचने का कारण है, यह प्रमाण नहीं कि वह खुद निशाना बना है या उसी लक्षित खतरे में है। उपयोगी सवाल है: क्या विश्वसनीय दिखता अनुरोध नियमों को पार कर सकता है? हाँ हो तो छोटा, मापने योग्य सुधार शुरू करें: एक संवेदनशील अनुरोध, एक पुष्टि-माध्यम और स्पष्ट जिम्मेदार व्यक्ति जो प्रक्रिया का काम करना जाँचे।