सुरक्षित भनिएको बैंकिङ प्रणालीबाट कसरी भयो सजिलै चोरी ?

A+ A A-

गत शनिवार (१४ भदौ) चिनिया ह्याकरले नेपालका एटिएम मेसिनबाट गैरकानुनी रुपमा रकम निकाले । नक्कली भिसा कार्ड प्रयोग गरेर रकम निकालिएको नेपाल प्रहरीको प्रारम्भिक अनुसन्धानले देखाएको छ ।

नक्कली कार्डबाट पैसा निकाल्न सम्भव छ ? कसरी निकालियो पैसा ? यस्ता केही प्रश्नको जवाफ खोज्नुअघि नेपालका एटिएम मेसिनबाट कसरी पैसा निस्कन्छ भन्ने बुझौं ।

तपाईं हामीले कुनै पनि एटिएम मेसिनमा आफ्नो डेविट वा क्रेडिट कार्ड छिराएपछि मेसिनले पिन (पर्सनल आइडेन्टिफिकेसन नम्बर) माग्छ । पिन नम्बर हालेपछि जुन बैंकको एटिएम मेसिन हो, त्यसले आफ्नो बैंकलाई यस्तो विवरण भएको कार्डले यति नम्बरको खाताबाट पैसा झिक्न खोजेको छ, त्यसलाई दिन हुन्छ कि हुदैन भनेर सोध्छ ।

यसलाई उदाहरणबाट बुझौं ।

जस्तो कि प्रभु बैंकले गकुमार भन्ने व्यक्तिलाई दिएको एटिएम (डेविड) कार्ड वानेश्वरमा रहेको नविल बैंकको एटिएम बुथमा छिराइयो भने पिन नम्बर हालेपछि त्यो एटिएम मेसिनले कार्डको चिप्समा राखिएको विवरण अध्ययन (रिड) गर्छ । अहिले सबै बैंकले दिने कार्ड चिप्समा आधारित छन् । कार्डमा राखिएको चिप्समा १६ अंकको कार्ड नम्बरलगायतका अन्य केही विवरण हुन्छ । र, कार्डबाट कारोबार भइसकेपछि त्यसको विवरण पनि चिप्समा रेकर्ड हुन्छ । कार्डमा रहेको चिप्सको काम यत्ति हो ।

माथिको उदाहरण अनुसार नविलको एटिएम मेसिन (मेसिनको भित्र एउटा कम्प्युटर नै हुन्छ, मेसिनले काम गर्ने भनेको त्यही कम्प्युटरले काम गर्ने हो) ले कार्डको चिप्स रिड गरिसकेपछि यति नम्बरको कार्ड वाहकले एटिएमबाट पैसा निकाल्न खोजिरहेको छ भनेर नविल बैंकको कोर बैंकिङ प्रणाली (सिविएस) लाई जानकारी गराउँछ ।

अनि नविल बैंकको सिविएसले एटिएम मेसिनबाट प्राप्त भएको नम्बरको कार्ड आफूले जारी गरेको हो कि होइन, हो भने कसको हो भनेर पहिचान गर्छ । नविल बैंकको कार्ड भए उसले सो कार्ड नम्बर र आफूसँग रेकर्ड भएको नम्बर मिलेको आधारमा भुक्तानीको अर्डर दिन्छ । चिप्समा भएको कार्ड नम्बर र बैंकको सिविएसमा भएको कार्ड नम्बर नमिले भुक्तानी हुदैन ।

माथिको उदाहरणमा हामीले प्रभु बैंकको कार्ड बोक्ने गकुमार हो भनेका छौं । त्यसैले नविल बैंकले वानेश्वरको एटिएम मेसिनलाई भुक्तानीको अर्डर दिदैन । र, त्यो कार्ड भिसा कार्ड हो भन्ने मानौं ।

यति भएपछि नविल बैंकले यति नम्बरको कार्डबाट भुक्तानी अर्डर आएको छ, नविलको कार्ड होइन, के गरौं भनेर भिसा नेटवर्कलाई सोध्छ । भिसा नेटवर्कले कार्डमा भएको पहिलो ६ वटा नम्बर (जसलाई बैंक आइडेन्टिफिकेसन नम्बर (बिन) भनिन्छ) को आधारमा आफ्नो संजालमा भएको बैंकको पहिचान गर्छ ।

यसरी पहिचान गर्दा प्रभु बैंक हो भन्ने भिसाले चिन्छ । पहिचान भएपछि भिसाले प्रभु बैंकको नेपाली स्थानीय स्वीच अपरेटर नेसनल इलेक्ट्रोनिक पेमेन्ट सिस्टम (नेप्स) लाई प्रभु बैंकको यति नम्बरको कार्डले भुक्तानी मागेको छ, त्यसलाई भुक्तानी दिन मिल्छ कि मिल्दैन भनेर सोध्छ ।

भिसाले यसरी सोधेपछि त्यो जानकारी नेप्सले प्रभु बैंकलाई पठाउँछ । प्रभु बैंकले सो नम्बरको कार्ड बाहकले कति रकम झिक्न मिल्ने हो, कार्डको चिप्समा भएको विवरण आफूसँग भएको सिविएससँग मिले नमिलेको अध्ययन गरेर नेप्सलाई सोही अनुसारको अर्डर दिन्छ । अनि पैसा झिक्न मिल्ने अवस्था देखियो भने नेप्सेले भिसा नेटवर्कलाई, भिसा नेटवर्कले नविल बैंकलाई अनि नविल बैंकले आफ्नो वानेश्वरमा भएको एटिएम बुथलाई गकुमारलाई भुक्तानी दिन अर्डर दिन्छ । अनि मात्रै वानेश्वरको नविल बैंकको एटिएम बुथबाट प्रभु बैंकको कार्ड वाहक गकुमारले भुक्तानी पाउँछ ।

र, नविल बैंकले फेरि भिसा नेटवर्क मार्फत आफूले गकुमारलाई दिएको भुक्तानी लिन्छ । भिसाले नेप्ससँग, नेप्सले प्रभु बैंकसँग भुक्तानी लिन्छ र प्रभु बैंकले सम्बन्धित खातावालाको रकम घटाउँछ । एउटा बैंकको एटिएम कार्ड प्रयोग गरेर अर्काे बैंकबाट पैसा झिक्दा हुने भुक्तानी प्रक्रिया यही हो । यो सवै प्रक्रिया स्वचालित रुपमा यति छिटो हुन्छ कि साधारणतया हामीलाई यति लामो प्रक्रियाबारे थाहा नै हुदैन ।

गत शनिवार के भयो ?

गत शनिवार अनौठो घटना घट्यो । प्रहरीको प्रारम्भिक अनुसन्धान अनुसार नविल, एसबीआई, नेपाल इन्भेष्टमेन्ट लगायतका बैंकको एटिएम मेसिनबाट चिनिया ह्याकरले पैसा निकाले ।

ह्याकरले एटिएम मेसिनबाट पैसा निकाल्दा हामीले माथि उल्लेख गरेको प्रक्रिया पूरा भएन । जुन बैंकको बिन प्रयोग गरेर पैसा निकालियो, त्यो बैंकले भुक्तानीको अर्डर गरेकै थिएन । अझ भनौं, बैंकलाई थाहा नै भएन ।

एटिएमबाट पैसा झिक्न कुनै खातावालाको पैसा झिक्नुपर्छ । तर, कुनै खातावालको पैसा पनि झिकिएन । खाली मेसिनमा भएको पैसा मात्रै निकालियो ।

त्यसो भए एटिएम मेसिनमा कुनै प्रकारको आक्रमण गरेर पैसा निकालिएको हो त ? त्यो पनि होइन । जुन बैंकको एटिएमले भुक्तानी दिएको छ, उसले भुक्तानीको लागि आवश्यक सवै प्रक्रिया पूरा भएर आएपछि भुक्तानी दिएको छ ।

यसलाई अझै प्रष्ट पार्न नविल बैंकको प्रधान कार्यालयको एटिएमबाट झिकिएको पैसाको उदाहरण हेरौं ।

चिनिया ह्याकरले प्रभु बैंकको बिन राखिएको नक्कली भिसा कार्ड नविल बैंकको एटिएममा छिराए । एटिएम मेसिनले नविल बैंकलाई सोको जानकारी गरायो । नविल बैंकले जारी गरेको नभएको र भिसा कार्ड भएको पुष्टी भएपछि नविल बैंकको सिविएसले त्यसको जानकारी भिसा नेटवर्कलाई गरायो । भिसाले सोध्ने नेप्सलाई हो । नेप्सलाई नै सोध्यो ।

प्रारम्भिक अनुसन्धान अनुसार नेप्सेले भुक्तानीको अर्डर भिसालाई दियो । अनि भिसाले नविल बैंकलाई भुक्तानी गर्न भन्यो । र, ह्याकरले झोला भरी पैसा निकाल्न सके । तर, नेप्सका प्रमुख कार्यकारी अधिकृत प्रविन क्षेत्री भिसा र नेप्सबीचमा केही समस्या भएको अनुमान गर्छन् ।

‘भुक्तानी अर्डरका लागि भिसा नेटवर्कसम्म जुन प्रकारको कम्युनिकेट हुनुपर्ने हो, त्यो भएको जस्तो देखिन्छ, भिसापछि नेप्ससँग कम्युनिकेट नभएको हो कि भन्ने शंका छ,’ नेप्सका प्रमुख कार्यकारी अधिकृत क्षेत्रीले शिलापत्रसँग भने ।

आइटी विज्ञ, बैंकर र अनुसन्धान प्रक्रियामा संलग्न सरकारी अधिकारीहरुको अनुमान एउटै छ । उनीहरुका अनुसार प्रभु बैंकको बिन भएको नक्कली भिसा कार्ड नविल बैंकको एटिएम मेसिनमा छिराइयो । नविल बैंकको सिविएसले आफ्नो कार्ड नभएपछि भिसा नेटवर्कलाई जानकारी गरायो ।

भिसा नेटवर्कले नेप्ससँग अर्डर माग्यो । तर, भिसाको यस्तो अर्डर नेप्स पुगेन । भिसा र नेप्सको बीचमा नक्कली भर्चुअल नेप्स खडा गरियो । र, त्यही नक्कली भर्चुअल नेप्सले भिसालाई भुक्तानीको अर्डर दियो । स्रोतका अनुसार भिसाको सर्भरमा चिनिया ह्याकरले गरेको कारोबार देखिन्छ । तर, नेप्सको सर्भरमा यस्तो कारोबार देखिदैन ।

यो कुरा कसरी पनि पुष्टी हुन्छ भने भिसाले नविललगायत केही बैंकलाई चिनिया ह्याकरले उनीहरुको एटिएमबाट चोरी भएको रकमको भुक्तानी दिइसकेको छ । तर, जुन बैंकको बिन प्रयोग भएको छ, त्यो बैंकसँग नेप्सले भुक्तानी दाबी गरेको छैन ।

एटिएममा सयौं पटक कारोबार, करोडौं भुक्तानी सम्भव छ ?

नेपालका बैंकले एउटा एटिएम कार्डले एक दिनमा कति पटक पैसा झिक्न मिल्ने र कति रकम निकाल्न पाइने भन्ने तय गरेका छन् । यसको सीमा नेपाल राष्ट्र बैंकले नै तोकेको छ ।

अहिलेको व्यवस्था अनुसार एउटा एटिएमबाट एक दिनमा ५ पटकसम्म पैसा झिक्न पाइन्छ । र, एक दिनमा एक लाख रुपैयाँसम्म मात्रै रकम निकाल्न मिल्छ ।

अब प्रश्न उठ्छ– एउटै कार्ड सयौं पटक एटिएममा छिराएर ह्याकरले एकै दिनमा करोडौं रकम कसरी झिके भन्ने अर्काे प्रश्न पनि आउँछ ।

यसको कारण छ । बैंकहरुको कार्ड विभागका प्रमुखहरुले यसको कारण खुलाएका छन् । तर, सम्बेदनशील अवस्था भएको भन्दै उनीहरुले नाम उल्लेख गर्न चाहेनन् ।

कार्डबाट भुक्तानीको लागि प्राविधिक भाषामा इसुअर र अक्वायर बैंक भनिन्छ । अर्थात प्रभु बैंकले जारी गरेको भिसा कार्ड प्रयोग गरेर नविल बैंकको एटिएमबाट पैसा झिकियो भने प्रभु बैंक इसुअर बैंक हो र नविल अक्वायर बैंक हो ।

बैंकहरुको कार्ड विभागका अधिकारीहरुका अनुसार एक दिनमा बढीमा ५ पटक वा एक लाख रुपैयाँसम्म मात्रै एटिएमबाट झिक्न मिल्छ भन्ने कुराको नियन्त्रण गर्ने काम कार्ड जारी गर्ने (इसुअर) बैंकको हो । रकम भुक्तानी गर्ने बैंकले नियन्त्रण गर्न सक्दैन ।

गत शनिवारको ह्याकिङ प्रकरणमा यो अवस्था पनि लागू भएन । किनभने प्रभु बैंकको बिन प्रयोग गरेर नविल बैंकबाट पैसा झिक्दा वा एनआइसी एसिया बैंकको एटिएम कार्ड प्रयोग गरेर एनआइसी एसिया बैंकबाट नै पैसा झिक्दा पनि त्यसरी पैसा झिक्न लागेको जानकारी बैंकसम्म नै गएन । त्यसैले एक दिनमा यति पटक पैसा झिक्ने वा यति रकमसम्म मात्रै निकाल्न मिल्ने भन्ने शर्त लागू भएन ।

एटिएम मेसिनमा कैफियत छ ?

केही वर्ष अगाडिसम्म नेपालमा म्याग्नेटिक कार्ड मात्रै प्रयोगमा थिए । करिब ५ वर्ष अगाडि नै नेपाल राष्ट्र बैंकले म्याग्नेटिक कार्डलाई चिप्समा आधारित कार्डमा परिणत गर्न सबै बैंकहरुलाई निर्देशन दिएको थियो ।

कार्ड मात्रै चिप्सबेस्ड भएर भएन । अनि राष्ट्र बैंकले गत पुससम्मको अन्तिम समय दिएर सबै बैंकका एटिएम मेसिन चिप्समा आधारित कार्ड रिड गर्न सक्ने हुनेगरी प्रतिस्थापन गर्न निर्देशन दिएको थियो । अहिले सबै बैंकले जारी गर्ने कार्ड चिप्समा आधारित छन् र सबै एटिएम मेसिन चिप्समा आधारित कार्ड रिड गर्न सक्ने खालका छन् ।

तर, नेपालका सबै बैंकका एटिएम मेसिनले म्याग्नेटिक कार्ड पनि रिड गर्छन् । चिनिया ह्याकरले गत शनिवार एटिएमबाट पैसा निकाल्न प्रयोग गरेका नक्कली भिसा कार्ड सबै म्याग्नेटिक थिए । चिप्समा आधारित थिएनन् ।

सम्बन्धित क्षेत्रका जानकारहरुले दिएको जानकारी अनुसार अन्तराष्ट्रिय बजारमा एटिएम कार्ड बनाउन प्रयोग हुने प्लाष्टिक कार्ड सहजै उपलब्ध हुन्छन् । र, त्यस्ता कार्डलाई म्याग्नेटिक बनाउन सकिन्छ । अनि त्यस्ता कार्डको म्याग्नेटिक इन्फरमेसन राख्न मिल्ने मेसिन पनि किन्न पाइन्छ ।

प्रारम्भिक जानकारी अनुसार चिनिया ह्याकरले बजारबाट प्लाष्टिक कार्ड किने, त्यस्ता कार्डलाई म्याग्नेटिक बनाए अनि बजारमा पाइने मेसिनको सहयोगले म्याग्नेटिक इन्फरमेसन राखे । तिनै कार्ड प्रयोग गरेर एटिएमबाट पैसा निकाले ।

सवै एटिएम मेसिन चिप्समा आधारित कार्ड मात्रै रिड गर्न सक्ने खालका प्रयोग गरेको भए यो समस्या आउथ्यो त ? नआउन सक्थ्यो । किनभने चिप्समा इन्क्रिप्ट गरेर इन्फरमेसन राखिएको हुन्छ । यस्ता कार्डमा म्याग्नेटिक कार्डकोभन्दा एक तह माथिल्लो सुरक्षा सतर्कता अपनाइएको हुन्छ ।

तर, नेपालमा चिप्समा आधारित कार्ड मात्रै रिड गर्ने एटिएम मेसिन प्रयोग गर्न गाह्रो हुने बैंकर बताउँछन् । अमेरिकाले भर्खर मात्रै चिप्समा आधारित कार्ड प्रयोगमा ल्याउन थालेको छ । कतिपय देशले अझै पनि चिप्समा आधारित कार्ड प्रयोगमा ल्याएका छैनन् । नेपाल आउने पर्यटकले म्याग्नेटिक कार्ड पनि प्रयोग गर्न सकून भनेर दुबै प्रकारका कार्ड चल्ने मेसिन प्रयोगमा ल्याइएको बैंकरको दाबी छ ।

नविलका एटिएममा किन आउँछ चिनिया भाषा ?

नविल बैंकका एटिएममा चिनिया भाषाको अप्सन पनि रहेको र सोही बैंकका एटिएम बुथबाट चिनिया ह्याकरले पैसा निकालेको विषय सार्वजनिक भएपछि बजारमा विभिन्न प्रकारका हल्ला चलेका छन् । नविल बैंकका उच्च अधिकारीहरु पनि आफ्नो बैंकको एटिएम मेसिनमा चिनिया भाषाको अप्सन रहेको स्वीकार गर्छन् ।

‘नविल बैंक भिसा, मास्टर र युनियन पे इन्टरनेसनलको सदस्य बैंक हो, युनियन पे चाइना बेस्ड नेटवर्क हो, पछिल्लो समय चिनिया पर्यटकको संख्या बढेको छ, उनीहरु अग्रेजी भाषाप्रति त्यति जानकार हुदैनन्, त्यसैले हामीले चिनिया भाषाको अप्सन राखेका हौं,’ नविल बैंकका एक अधिकारीले भने ।

ह्याकिङमा संगठित गिरोह छ ?

अनुसन्धान प्रक्रियामा संलग्न सरकारी अधिकारीहरुले संगठिन गिरोहको संलग्नताबाट एटिएमबाट पैसा निकालिएको शंका गरेका छन् । शुक्रबार नेपाल आएका चिनिया ह्याकरले शनिवार पैसा झिकेका थिए । यस्तै उनीहरुको चीन फर्कने हवाइ टिकेट गत सोमवारको रहेको बताइएको छ ।

‘समातिएका व्यक्तिहरु नेपालमा पहिलो पटक आएका भनिएको छ, शुक्रवार आएर शनिवार पैसा निकाल्ने र त्यसलाई अमेरिकी डलरमा परिणत गरिसकेर सोमवार चीन फर्कने कुरा त्यति सहज हुदैन, त्यसैले यसमा संगठित गिरोह संलग्न रहेको अनुमान हाम्रो छ,’ अनुसन्धान प्रक्रियामा संलग्न एक अधिकारीले भने ।

परीक्षण मात्रै त होइन यो ह्याकिङ ?

यो ह्याकिङ प्रकरणमा भिसा र नेप्सबीच नक्कली भर्चुअल नेप्स तयार पारिएको प्रारम्भिक अनुमान छ । यदि यस्तै हो भने मुख्य ह्याकरलाई समातेर उसले बनाएको नक्कली सर्भरमा पस्न सक्नु पर्यो र नक्कली भर्चुअल नेप्स ध्वस्त पार्न सक्नु पर्यो । नभए अर्काे जोखिम निम्तिन सक्छ ।

शंका अर्काे पनि छ । यति उच्च तहको साइबर आक्रमण गर्न सक्ने ह्याकरको टोलीले केही प्रतिशत कमिसन दिएर एटिएम बुथमा पैसा संकलन गर्न भरिया किन पठायो ? ह्याकरले विद्युतीय माध्यमबाट नेपालका बैंक खातामा भएको पैसा आफूलाई अनुकुल हुने अर्काे देशको बैंक खातामा पठाएर लुट्न सक्दैनथ्यो होला र ? नेपाल बाहेक अन्यत्र करिब नचल्ने नेपाली मुद्रा झिकेर नेपालकै बजारमा अबैध डलर साट्ने जोखिम किन उठायो ?

अनुसन्धान प्रक्रियामा संलग्न अधिकारीहरुले यस्ता प्रश्नको जवाफ पनि खोजी गर्छन् होला । अहिले केही प्रतिशत कमिसन दिएर एटिएम बुथमा पैसा संकलन गर्न पठाइएका भरिया केबल परीक्षणको लागि मात्रै हो र नेपाल वा अन्य देशमा लामो समय बैंक बन्द हुने मौका छोपेर चोरहरुले ठूलो खतरा उत्पन्न गर्न सक्दैन भन्नेमा ढुक्क हुन सक्ने अवस्था भने छैन ।

प्रकाशित मिति: बुधबार, भदौ १८, २०७६ ०६:०३