बॉस स्कैम (CEO इम्पपर्सनेशन फ्रॉड) की चेतावनी: कैसे बचें और साइबर क्राइम में रिपोर्ट कैसे करें

1. त्वरित कार्रवाई योजना: यदि आपको बॉस स्कैम का मैसेज मिले तो क्या करें

यदि आपको किसी वरिष्ठ अधिकारी के नाम से गोपनीय फंड ट्रांसफर या गिफ्ट कार्ड खरीदने का अप्रत्याशित संदेश मिले:

आपातकालीन कार्रवाई योजना:

किसी भी लिंक पर क्लिक न करें, बैंक ट्रांसफर न करें और न ही गिफ्ट कार्ड खरीदें। तुरंत संचार रोकें और अपने प्रबंधक या अधिकारी को उनके आधिकारिक फोन नंबर पर कॉल करके पुष्टि करें। यदि पैसे स्थानांतरित हो चुके हैं, तो तुरंत राष्ट्रीय साइबर अपराध हेल्पलाइन 1930 पर कॉल करके बैंक खाते को फ्रीज कराएं, cybercrime.gov.in पर रिपोर्ट दर्ज करें और अपनी कंपनी के आईटी सुरक्षा व वित्त विभाग को सूचित करें।

2. बॉस स्कैम क्या है और सीईओ इम्पपर्सनेशन फ्रॉड कैसे काम करता है?

"बॉस स्कैम" एक लक्षित सोशल इंजीनियरिंग साइबर हमला है जहां अपराधी कंपनी के उच्च अधिकारियों—जैसे सीईओ, सीएफओ, एमडी या संस्थापकों—का झूठा रूप धारण करते हैं। अपराधी अधिकारियों के नाम, पद और रिपोर्टिंग संरचना का पता लगाने के लिए लिंक्डइन, कंपनी की वेबसाइटों और सार्वजनिक मंचों से जानकारी जुटाते हैं।

जानकारी एकत्र करने के बाद, ठग वित्त, लेखा, एचआर या कार्यकारी सहायकों से संपर्क करते हैं। आम संचार माध्यम:

• व्हाट्सएप और टेलीग्राम संदेश: ठग अधिकारी की चोरी की गई प्रोफाइल फोटो लगाकर संदेश भेजते हैं: *"मैं एक जरूरी गोपनीय बोर्ड बैठक में हूँ और कॉल नहीं ले सकता। कृपया इस विक्रेता भुगतान को तुरंत पूरा करें।"*
• जाली (Spoofed) कॉर्पोरेट ईमेल: अपराधी सीईओ के नाम से ईमेल भेजते हैं जो असली जैसे दिखने वाले डोमेन से आते हैं (जैसे ceo@company.com के बजाय ceo@cornpany.com)।
• माइक्रोसॉफ्ट टीम्स व आंतरिक उपकरण: समझौता किए गए क्रेडेंशियल्स का उपयोग करके कर्मचारियों को आंतरिक रूप से संदेश भेजा जाता है।

मुख्य उद्देश्य कर्मचारी पर दबाव बनाकर मानक वित्तीय नियंत्रणों को दरकिनार कराना और फर्जी खातों में वायर ट्रांसफर या गिफ्ट वाउचर खरीदना होता है।

3. एग्जीक्यूटिव इम्पपर्सनेशन के प्रमुख चेतावनी संकेत

बॉस स्कैम के पैटर्न को पहचानकर कर्मचारी वित्तीय नुकसान से बच सकते हैं:

• अत्यधिक जल्दबाजी और गोपनीयता की मांग: संदेशों में बात को *"अत्यंत गोपनीय"*, *"समय-संवेदनशील"* या *"गुप्त कॉर्पोरेट सौदे"* से जुड़ा बताकर सहकर्मियों या प्रबंधकों से चर्चा करने पर रोक लगाई जाती है।
• फोन पर बात करने में असमर्थता: भेजने वाला मीटिंग, फ्लाइट या कॉन्फ्रेंस में होने का बहाना बनाकर वॉइस या वीडियो कॉल से इनकार करता है।
• ईमेल पते या फोन नंबर में विसंगति: नाम सीईओ का दिखता है, लेकिन ईमेल हेडर जांचने पर सार्वजनिक डोमेन (@gmail.com) या स्पेलिंग में मामूली अंतर मिलता है।
• असामान्य भुगतान विधियों की मांग: आपातकालीन गिफ्ट कार्ड खरीदने (Apple, Google Play, Amazon), क्रिप्टोकरेंसी ट्रांसफर या किसी अज्ञात तीसरे पक्ष के व्यक्तिगत बैंक खाते में ट्रांसफर की मांग।
• मानक संचालन प्रक्रियाओं (SOP) का उल्लंघन: निर्देश में स्पष्ट रूप से मानक खरीद आदेशों, दोहरे हस्ताक्षर अप्रूवल या वित्त विभाग सत्यापन प्रोटोकॉल को छोड़ने के लिए कहा जाता है।

4. आधिकारिक विनियामक चेतावनियाँ: SEBI और I4C निर्देश

भारत में विनियामकों और कानून प्रवर्तन एजेंसियों ने कॉर्पोरेट कर्मचारियों को निशाना बनाने वाले एग्जीक्यूटिव इम्पपर्सनेशन घोटालों पर ध्यान आकर्षित किया है:

• SEBI सार्वजनिक चेतावनी: भारतीय प्रतिभूति और विनिमय बोर्ड (SEBI) ने एक आधिकारिक सार्वजनिक चेतावनी जारी कर बाजार सहभागियों, सूचीबद्ध कंपनियों और निवेशकों को अधिकारियों की जाली पहचान का उपयोग करने वाले साइबर अपराधियों के प्रति सचेत किया।
• I4C साइबर अपराध डेटा: गृह मंत्रालय (MHA) के तहत कार्यरत भारतीय साइबर अपराध समन्वय केंद्र (I4C) भारत में उभरते वित्तीय साइबर खतरों की निगरानी करता है। I4C के आंकड़ों के अनुसार, पेशेवर नेटवर्किंग प्लेटफॉर्म पर संगठनात्मक चार्ट की उपलब्धता के कारण बिजनेस ईमेल समझौते के मामलों में वृद्धि हुई है।

दोनों प्राधिकरण इस बात पर जोर देते हैं कि वैध संगठन या कॉर्पोरेट अधिकारी कभी भी अनधिकृत व्यक्तिगत मैसेजिंग हैंडल के जरिए गोपनीय फंड ट्रांसफर की मांग नहीं करते हैं।

5. भारत में बॉस स्कैम की रिपोर्ट दर्ज कराने की चरणबद्ध प्रक्रिया

चरण 1: तत्काल सत्यापन और आंतरिक सूचना

• संदिग्ध चैनल पर सभी बातचीत रोकें।
• कॉर्पोरेट डायरेक्टरी में सूचीबद्ध आधिकारिक मोबाइल नंबर पर सीधे कॉल करके अधिकारी से पुष्टि करें।
• अपनी कंपनी के मुख्य सूचना सुरक्षा अधिकारी (CISO), आईटी हेल्पडेस्क और वित्त प्रमुख को तुरंत सूचित करें।

चरण 2: राष्ट्रीय साइबर अपराध हेल्पलाइन 1930 पर कॉल करें (गोल्डन ऑवर)

यदि व्यक्तिगत या कॉर्पोरेट खाते से धन स्थानांतरित हो चुका है:

• राज्य साइबर पुलिस द्वारा संचालित वित्तीय धोखाधड़ी निवारण प्रणाली से जुड़ने के लिए तुरंत 1930 डायल करें।
• लेनदेन ब्योरा (बैंक का नाम, खाता संख्या, UTR/लेनदेन संदर्भ संख्या, प्राप्तकर्ता खाता, राशि और समय) प्रदान करें।
• 1930 प्रणाली प्राप्तकर्ता बैंक के नोडल अधिकारी को सचेत कर जालसाज द्वारा पैसे निकालने से पहले खाते पर लीन/फ्रीज (Hold) लगाती है।

चरण 3: राष्ट्रीय साइबर अपराध पोर्टल (cybercrime.gov.in) पर शिकायत दर्ज करें

• cybercrime.gov.in पर जाएं और Report Financial Fraud पर क्लिक करें।
• अपने मोबाइल नंबर और ओटीपी से लॉगिन करें।
• घटना का विवरण दर्ज करें: उपयोग किया गया प्लेटफॉर्म (व्हाट्सएप/ईमेल), अपराधी का ब्योरा (फोन नंबर/ईमेल आईडी), बैंक रसीदें और चैट के स्क्रीनशॉट।
• शिकायत दर्ज करके पावती संख्या (Acknowledgement Number) प्राप्त करें।

चरण 4: स्थानीय पुलिस स्टेशन / साइबर सेल में एफआईआर दर्ज कराएं

• ईमेल हेडर, चैट ट्रांसक्रिप्ट, बैंक स्टेटमेंट और ऑनलाइन साइबर क्राइम पावती की कॉपी का प्रिंट लें।
• फर्स्ट इंफॉर्मेशन रिपोर्ट (FIR) दर्ज करने के लिए स्थानीय पुलिस स्टेशन के SHO या जिला साइबर अपराध सेल को लिखित शिकायत दें।

6. एचआर और वित्त टीमों के लिए कॉर्पोरेट रोकथाम चेकलिस्ट

कंपनियां सीईओ इम्पपर्सनेशन जोखिमों को बेअसर करने के लिए नीतियां लागू कर सकती हैं:

• सख्त दोहरा-अनुमोदन नियंत्रण (Dual-Authorization): यह अनिवार्य करें कि सीमा से अधिक के सभी वित्तीय भुगतानों के लिए स्थापित कॉर्पोरेट बैंकिंग चैनलों के माध्यम से कम से कम दो स्वतंत्र अधिकृत हस्ताक्षरकर्ताओं की मंजूरी आवश्यक हो।
• आउट-ऑफ़-बैंड सत्यापन नीति: नियम बनाएं कि ईमेल/मैसेज पर प्राप्त बैंक खाते बदलने या तत्काल भुगतान के किसी भी अनुरोध को ज्ञात नंबर पर फोन कॉल द्वारा सत्यापित करना अनिवार्य होगा।
• ईमेल सुरक्षा प्रोटोकॉल लागू करें: कंपनी डोमेन से आने का नाटक करने वाले जाली ईमेल को रोकने के लिए SPF, DKIM और DMARC कॉन्फ़िगर करें।
• बाहरी ईमेल टैगिंग: बाहरी संदेशों को हाइलाइट करने वाले स्वचालित ईमेल बैनर सक्षम करें (जैसे [EXTERNAL EMAIL])।
• कर्मचारी साइबर सुरक्षा प्रशिक्षण: वित्त, एचआर और कार्यकारी सहायकों के लिए त्रैमासिक फ़िशिंग और BEC जागरूकता प्रशिक्षण आयोजित करें।

7. प्रासंगिक भारतीय कानूनी प्रावधान

एग्जीक्यूटिव इम्पपर्सनेशन फ्रॉड से प्रभावित पीड़ित और कंपनियां भारतीय साइबर और आपराधिक कानून के तहत कार्रवाई कर सकती हैं:

• सूचना प्रौद्योगिकी अधिनियम 2000 की धारा 66D: किसी संचार उपकरण या कंप्यूटर संसाधन का उपयोग करके छद्मवेश (Personation) द्वारा धोखाधड़ी करने पर 3 साल तक की जेल और ₹1 लाख तक के जुर्माने का प्रावधान।
• सूचना प्रौद्योगिकी अधिनियम 2000 की धारा 66C: पहचान की चोरी (Identity Theft), जिसमें किसी अन्य व्यक्ति के डिजिटल हस्ताक्षर या क्रेडेंशियल का कपटपूर्ण उपयोग शामिल है, के लिए सजा।
• भारतीय न्याय संहिता (BNS) 2023 की धारा 319: छद्मवेश द्वारा छल (Cheating by Personation - पूर्व IPC धारा 416) को परिभाषित करती है, जिसमें 5 साल तक की जेल और जुर्माना है।
• भारतीय न्याय संहिता (BNS) 2023 की धारा 318(4): छल करना और संपत्ति का परिदान करने के लिए बेईमानी से उत्प्रेरित करना (पूर्व IPC धारा 420), जिसमें 7 साल तक की जेल और जुर्माना है।

8. संबंधित संसाधन और आंतरिक लिंक

डिजिटल धोखाधड़ी निवारण पर अधिक जानकारी के लिए हमारे सत्यापित संसाधनों को देखें:

• हमारी विस्तृत साइबर क्राइम शिकायत गाइड पर डिजिटल खतरों की रिपोर्ट करना सीखें।
• हमारे व्हाट्सएप स्कैम गाइड में मैसेजिंग फ्रॉड तकनीकों को समझें।
• दबाव वाले इम्पपर्सनेशन फ्रॉड के लिए हमारी डिजिटल अरेस्ट स्कैम गाइड पढ़ें।
• भारत में साइबर अपराध रिपोर्टिंग के चरणों के लिए साइबर क्राइम रिपोर्टिंग गाइड देखें।
• बैंक चार्जबैक प्रक्रिया के लिए हमारी बैंकिंग शिकायत समाधान गाइड पढ़ें।