अंडरग्राउंड बाजार डिजिटल वित्त के एक मूल भरोसे के तंत्र को निशाना बना रहा है
MIT Technology Review की रिपोर्ट के अनुसार, स्कैमर Telegram पर बेचे जाने वाले अवैध टूल्स का इस्तेमाल बैंकों और क्रिप्टो प्लेटफ़ॉर्म्स द्वारा की जाने वाली पहचान जाँच, खासकर “Know Your Customer” या KYC चेहरे की स्कैनिंग, को बायपास करने के लिए कर रहे हैं। अपनी जाँच में, प्रकाशन ने 22 सार्वजनिक चीनी, वियतनामी और अंग्रेज़ी Telegram चैनलों और समूहों की पहचान की, जो बायपास किट्स और चोरी किए गए बायोमेट्रिक डेटा का विज्ञापन कर रहे थे। इन टूल्स को ऐसे साधन के रूप में पेश किया जा रहा है जिनसे उन अनुपालन प्रणालियों को दरकिनार किया जा सके जो यह पुष्टि करने के लिए बनाई गई हैं कि खाता किसी वास्तविक व्यक्ति का है और उपयोगकर्ता का चेहरा मूल रूप से जमा किए गए पहचान दस्तावेज़ों से मेल खाता है।
इसका असर गंभीर है, क्योंकि KYC जाँचें डिजिटल वित्त में धोखाधड़ी, म्यूल खातों और मनी लॉन्ड्रिंग को रोकने की आधारशिला हैं। यदि इन जाँचों को मैसेजिंग चैनलों के ज़रिए खुलेआम बेचे जाने वाले एक उत्पाद में बदल दिया जाए, तो जो चीज़ सुरक्षा परत लगती है, वह आपराधिक विशेषज्ञों के लिए एक बाज़ार अवसर की तरह काम करने लगती है। यह कहानी सिर्फ़ एक चालाक exploit की नहीं है। यह पहचान से बच निकलने की एक आपूर्ति शृंखला के बारे में है।
रिपोर्टिंग इस चिंता को एक स्पष्ट उदाहरण से सामने लाती है। कंबोडिया के एक मनी-लॉन्ड्रिंग केंद्र से काम करने वाला एक स्कैमर एक वियतनामी बैंकिंग ऐप को दिखाता है, जो खाते से जुड़ी तस्वीर और फिर वीडियो liveness check मांगता है। वास्तविक लाइव कैमरा फ़ीड के बजाय, स्कैमर एक मेल न खाने वाली छवि का उपयोग करता है और फिर भी पास हो जाता है। जाँच के अनुसार, ऐसा इसलिए संभव है क्योंकि कई बायपास किट्स virtual camera तकनीक के ज़रिए अपेक्षित लाइव कैमरा स्ट्रीम को अन्य वीडियो या छवियों से बदल देती हैं।
कमज़ोरी इस बात में है कि “liveness” को डिवाइस स्तर पर कैसे नकली बनाया जा सकता है
दिए गए पाठ का मुख्य तकनीकी बिंदु यह है कि ये टूल आमतौर पर बायोमेट्रिक प्रणालियों को प्लेटफ़ॉर्म स्तर पर किसी वास्तविक उपयोगकर्ता की सही नकल करके नहीं हराते। इसके बजाय, वे फ़ोन के ऑपरेटिंग सिस्टम या ऐप वातावरण से समझौता करते हैं ताकि कैमरा फ़ीड को बदला जा सके। जैसे ही कोई liveness check नकली इनपुट को वास्तविक-समय वीडियो की तरह स्वीकार कर लेता है, सुरक्षा प्रक्रिया का बाकी हिस्सा ढह सकता है।
यह महत्वपूर्ण है, क्योंकि बहुत से उपयोगकर्ता मानते हैं कि चेहरे की जाँचें पासवर्ड या साधारण दस्तावेज़ अपलोड से स्वाभाविक रूप से अधिक मज़बूत होती हैं। सिद्धांत रूप में, वे अक्सर होती भी हैं। लेकिन MIT Technology Review की रिपोर्ट दिखाती है कि उनकी प्रभावशीलता डिवाइस और एप्लिकेशन पाइपलाइन की अखंडता पर कितनी निर्भर करती है। अगर स्कैमर यह नियंत्रित कर सकें कि ऐप क्या देखता है, तो face check एक बायोमेट्रिक सुरक्षा से कम और एक प्रस्तुति परीक्षण से अधिक बन सकता है, जो टूलिंग और धोखाधड़ी सेवाओं के लिए संवेदनशील है।
जाँच में कहा गया है कि ये किट्स Binance जैसे बड़े crypto exchanges से लेकर स्पेन के BBVA जैसे बैंकों तक को निशाना बनाने का दावा करती हैं। कुछ चैनलों में हज़ारों सदस्य या सब्सक्राइबर थे। भले ही उन चैनलों के हर दावे सही न हों, स्रोत सामग्री में बताई गई विज्ञापन की व्यापकता एक ऐसे परिपक्व बाज़ार की ओर संकेत करती है, जिसे लेकर चिंता वाजिब है।
