फिसिङ ठगीबाट कनेक्ट आईपीएस प्रयोगकर्ताको २ करोड चोरी, तीन महिनामा ८३ उजुरी

गोरखाका सुजन खनाल र काठमाडौंका सुजन चित्रकारको नाम मात्र मिलेको छैन, उनीहरूमाथि भएको ठगी पनि ठ्याक्कै मिलेको छ। यी दुई सुजनको अनलाइन भुक्तानी सेवा कनेक्ट आईपीएस ह्याक गरेर रकम चोरी भएको छ। गोरखाको सुजनले आफ्नो खाताबाट २५ लाख ४४ हजार १ सय रुपैयाँ र काठमाडौंका सुजनले ७ लाख ५४ हजार रुपैयाँ चोरिएको भन्दै उजुरी दिएका छन्।

गोरखाका सुजनले दिएको विवरणअनुसार जेठ २९, २०८२ को दिउँसो सवा ४ बजे उनको मोबाइलमा एउटा एसएमएस आयो। अंग्रेजी भाषामा ‘द अलर्ट’ नामबाट आएको एसएमएसमा लेखिएको थियो, ‘योर कनेक्ट आइपीएस लिंङ्क्ट अकाउन्ट ह्याब बिन सस्पेन्डेड ड्युटु सेक्युरिटी कन्सर्न। प्लिज कम्प्लिट द सेल्फ-भेरिफाइ प्रोसेस। (तपाईँको कनेक्ट आईपीएससँग जोडिएका खाताहरू सुरक्षाका कारण निलम्बन गरिएको छ। पुनः सञ्चालन गर्न यो लिंकमा गई स्व-प्रमाणित गर्नुहोस्)।’

म्यासेजमा सँगै थियो— अनौठो लिंक।

उनले मोबाइलमा देखिएको त्यो म्यासेज आधिकारिक ठाने र दिइएको लिंकमा क्लिक गरे। लिंक खोल्दा कनेक्ट आईपीएसको आधिकारिक पोर्टल जस्तै देखिने पेज खुल्यो, जहाँ उनलाई केही बैंकिङ विवरणहरू भर्न लगाइएको थियो। सुजनले विवरण भर्दै गए। केही विवरण भरेपछि मनमा चिसो पस्यो र उनले शंका लागेर प्रक्रिया रोके। “ मैले आधिकारिक म्यासेज होला भनी लिंकमा क्लिक गरेकोमा विवरण भर्नुपर्ने देखी केही विवरण भरेकोमा पछि शंका लागि रद्द गरेको थिएँ,” साइबर ब्युरोमा दिएको उजुरीमा सुजनले भनेका छन्। प्रक्रिया रोकिएपछि उनलाई लागेको थियो— खतरा टर्‍यो।

तर मध्यरातमा उनको कनेक्ट आईपीएससँग जोडिएका बैंक खाताबाट रकम अरुकै खातामा ट्रान्सफर भयो। सुरुमा उनको राष्ट्रिय वाणिज्य बैंकमा रहेको ओभर ड्राफ्ट खाताबाट सुरुमा १०० रुपैयाँ आकाशकुमार पासवानको नाममा रहेको नेपाल एसबीआई बैंकको खातामा ट्रान्सफर भएको विवरछ। लगत्तै १० लाख ३० हजार रुपैयाँ र नबिल बैंकको बचत खाताबाट १ लाख ४४ हजार रुपैयाँ आकाशकुमार पासवानको खातामा ट्रान्सफर भयो।

उनकै राष्ट्रिय वाणिज्य बैंककै खाताबाट १३ लाख ७० हजार रुपैयाँ चण्डेश्वर महतोको नाममा रहेको लक्ष्मी सनराइज बैंकको खातामा ट्रान्सफर भयो। बिहान उठेर मोबाइल खोल्दा उनको खाताबाट २५ लाख ४४ हजार १०० रुपैयाँ गायब भइसकेको थियो।

पैसा चोरी भए लगत्तै उनले भोटाहिटीस्थित साइबर ब्युरोमा पुगेर उजुरी दिए। उनको ८ लाख १० हजार ३ सय ९७ रुपैयाँ फिर्ता भए पनि अरु रकम एक वर्ष बितिसक्दा पनि फिर्ता पाएका छैनन्। “१ वर्ष भयो प्रहरीले अनुसन्धान गर्दै छ,” सुजनले भने, “तर यी दुई जनाकोबाट विभिन्न खाताहरुमा पैसा गएका छन्।”

गोरखाका सुजनकै जस्तो काठमाडौंका सुजन चित्रकारको पनि पोहोर वैशाख १६, २०८२ मा खाताको पैसा चोरिएको थियो। डेस्कटप कम्प्युटरमा इमेल लगइन गरेर काम गरिरहेको बेला पासवर्ड परिवर्तन गर्नका लागि करिब १०० वटा अनावश्यक म्यासेजहरू लगातार आए। जसले गर्दा उनले काम गर्न सकेनन्। काममा अप्ठ्यारो भएपछि उनले पासवर्ड परिवर्तन गरी गुगलमा सेभ गरे। उनको अनुसार त्यसको केही समयपछि उनको कम्प्युटरमा ‘समथिङ इज अपडेटिङ (केही अपडेट हुँदै छ)’ भन्ने सन्देश देखियो।

तर त्यसको एकैछिनपछि उनको लुम्बिनी विकास बैंक र लक्ष्मी सनराइज बैंकको खाताबाट पैसा ट्रान्सफर भएको म्यासेज आउन थाल्यो। उनको खाताबाट मात्रै होइन उनको परिवारको खातामा रहेको रकमसहित गरी ७ लाख ५४ हजार रुपैयाँ ६ वटा फरक फरक खातामा ट्रान्सफर भयो।

यसरी रकम खाताबाटै रकम चोरी भएपछि उनले साइबर ब्युरोमा उजुरी दर्ता गराए। साइबर ब्युरोका अनुसार सञ्जीवकुमार शर्माको नाममा रहेको गरिमा विकास बैंकको खातामा दुईपटक गरी ५ लाख ४९ हजार, सरोज विष्टको नाममा रहेको कुमारी बैंकमा १ लाख, उज्वल बस्नेतको नाममा रहेको सिद्धार्थ बैंकको खातामा ५० हजार रुपैयाँ ट्रान्सफर भएको देखिन्छ।

काठमाडौंका सुजनको व्यक्तिगत खाताबाट मात्रै ट्रान्सफर भएको छैन, उनको नाममा दर्ता रहेको आरएससी इन्टरप्राइजेजको लक्ष्मी सनराइज बैंकको खाताबाट डनिस शाहीको नाममा रहेको लक्ष्मी सनराइज बैंकको खातामा ५० हजार रुपैयाँ ट्रान्सफर भएको छ। त्यस्तै क्रान्ति चित्रकारको नाममा दर्ता रहेको जय श्री महालक्ष्मी सर्जिकल हाउसको लक्ष्मी सनराइज बैंकको खाताबाट रुपाकुमारी थापाको नाममा रहेको महालक्ष्मी विकास बैंकको खातामा ५ हजार ट्रान्सफर भएको देखिन्छ।

कनेक्ट आईपीएस नेपाल क्लियरिङ हाउस (एनसीएचएल) को एकीकृत डिजिटल भुक्तानी प्रणाली हो। सरकारी संरक्षणमा रहेको यो भुक्तानी प्रणाली ह्याक हुँदा ठगिनेमा दुई सुजन मात्र छैनन्। साइबर ब्युरोमा  पछिल्लो ३ महिनामा मात्रै कनेक्ट आईपीएसबाट रकम चोरी भएको ८३ वटा उजुरी दर्ता भएका छन्। ब्युरोका अनुसार कनेक्ट आईपीएस जोडिएका यी घटनाबाट २ करोड १३ लाख ७२ हजार २ सय ४९ नेपाली रुपैयाँ चोरी भएको उजुरी छ।

साइबर ब्युरोमा परेको उजुरीको अध्ययनबाट के देखिएको छ भने स्क्यामरले कनेक्ट आईपीएस जस्तै देखिने नक्कली लगइन डोमेन बनाएर प्रयोगकर्ताको पासवर्डसहितका विवरणहरु चोर्छन्। पछि त्यही पासवर्ड र विवरण प्रयोग गरेर रकम पनि ट्रान्सफर गर्छन्।

इथिकल ह्याकर नरेश लामगादे यसलाई ‘फिसिङ अट्याक’ भन्छन्। “अहिले कनेक्ट आईपीएसमा धेरै नै फिसिङ अट्याकहरू भइरहेका छन्। मान्छेहरूले झुक्किएर कसैले बनाएको फेक फिसिङ लिंकलाई सक्कली ठानेर आफ्ना लगइन विवरणहरू हालिरहेका छन्,” उनी भन्छन्।

नरेशका अनुसार यसलाई प्रविधिक भाषामा ओटीपी स्पुफिङ पनि भनिन्छ। “अट्याकरले एउटा फेक सिस्टम बनाएको हुन्छ, जहाँ प्रयोगकर्तालाई ओटीपी हाल्न लगाइन्छ,” उनले भने, “प्रयोगकर्ताले त्यहाँ ओटीपी हाल्नेबित्तिकै अट्याकरले त्यसलाई कपी गर्छ र अर्कोतिर रियल टाइममा रियल कारोबार गर्न प्रयोग गर्छ।”

“यसरी सिस्टम कम्प्रमाइज हुनुमा धेरैजसो प्रयोगकर्ताकै कमजोरी देखिन्छ। प्रयोगकर्ताहरूलाई पर्याप्त जानकारी नहुँदा ‘यही नै होला’ भन्दै झुक्किएर विवरणहरू हाल्नुहुन्छ। त्यसैले अहिले डिजिटल सचेतना फैलाउनु एकदमै आवश्यक छ।”

प्रयोगकर्ताको खातामा पहुँच पाएपछि उनीहरूले पहिलो चरणमा फरक-फरक व्यक्तिका खातामा रकम ट्रान्सफर गर्छन्। पछि ती व्यक्तिका खाताबाट पनि रकम दुई-तीन लेयरमा फरक-फरक व्यक्तिका खातामा ट्रान्सफर गर्छन्। पछि ती खाता खाली गरेर पैसा निकालिसकेका हुन्छन्।

सन्तोषकुमार चौधरीले काठमाडौं जिल्ला अदालतमा जेठ १२, २०८३ मा दिएको जाहेरीअनुसार उनका खाताबाट चोरीएको रकम १४ जनाको खातामा ट्रान्सफर भएको थियो। उनले प्रयोग गर्ने कनेक्ट आईपीएस ह्याक गरेर एसकेसी एन्ड एसोसिएट्सको नाममा नेपाल बैंकमा रहेको खाता र सन्तोषको लक्ष्मी सनराइज बैंकको खाताबाट ३४ लाख ८२ हजार ३ सय ७७ रुपैयाँ चोरी भएको थियो। यी रकम ती खाताबाटविवश बम्जनको लक्ष्मी सनराइज बैंकमा, जयकुमार केवट र दुर्गेश केवटको आईएमई पेमा तथा सजिन प्रजाको एनआईसी एसिया बैंकको खातामा ट्रान्सफर भएको थियो।

त्यसपछि उनीहरुको खाताबाट रकम अरु १० जनाको खातामा ट्रान्सफर भएको जाहेरीमा उल्लेख छ। जसमध्ये २० लाख ८ हजार २८ रुपैयाँ फिर्ता भए पनि १४ लाख ५६ हजार ६ सय रुपैयाँ अझै फिर्ता नभएको सन्तोषकुमार चौधरीले बताएका छन्। वैशाख १२, २०८२ मा द अलर्टबाट आएको म्यासेज क्लिक गरेको राति उनको खाताबाट पैसा ट्रान्सफर भएको थियो र त्यसको जानकारी उनले भोलिपल्ट बिहान उठेपछि मात्र पाएका थिए।

एनसीएचएल नेपाल राष्ट्र बैंकको अगुवाइमा २०६५ पुस ८ गते स्थापना भएको सार्वजनिक लिमिटेड कम्पनी हो, जसमा राष्ट्र बैंकसँगै वाणिज्य बैंक, विकास बैंक र वित्त कम्पनीहरूको लगानी छ। यो सार्वजनिक लिमिटेड कम्पनी हो जसको मातहत कनेक्ट आईपीएस सञ्चालन हुँदै आएको छ। राष्ट्र बैंकको २०८२/०८३ को भुक्तानी प्रणाली सुपरिवेक्षण प्रतिवेदनअनुसार सन् २०२४ मध्य जुलाई सम्ममा कनेक्ट आईपीएसका प्रयोगकर्ता १ करोड २७ लाख ६ हजार ८ सय ८६ छन्।

एनसीएचएलकी सूचना अधिकारी मुन्नी राजभण्डारी कनेक्ट आईपीएसको नाम दुरुपयोग गरेर प्रयोगकर्ताहरू ठगिएको स्विकार्दै यो चिन्ताको विषय भएको बताउँछिन्। उनी संस्थाको आन्तरिक प्रणाली भने पूर्ण रूपमा सुरक्षित रहेको दाबी पनि गर्छिन्। “हाम्रो सिस्टममा कुनै समस्या वा सुरक्षा कमजोरी छैन। यदि हाम्रो सिस्टम कमजोर हुन्थ्यो भने स्क्यामरहरूले नक्कली यूआरएल बनाउने झन्झट नै गर्ने थिएनन्, सिधै हाम्रै सिस्टमबाट डेटा लिन सक्थे,” उनले भनिन्, “स्क्यामरहरूले कनेक्ट आईपीएसको जस्तै देखिने नक्कली लिंकहरू पठाएर प्रयोगकर्ताहरूलाई भ्रममा पारिरहेका छन्।”

प्रयोगकर्ताहरूले आधिकारिक यूआरएल ख्याल नगरी आफ्नो युजरनेम, पासवर्ड, ट्रान्ज्याक्सन पिन र ओटीपीजस्ता गोप्य विवरणहरू त्यस्ता नक्कली पोर्टलमा राख्दा उनीहरूको खाता स्क्यामरको नियन्त्रणमा पुगिरहेको उनको भनाइ छ।

यो विषय सिस्टमको कमजोरीभन्दा पनि प्रयोगकर्ताको सचेतनासँग बढी जोडिएको सूचना अधिकारी मुन्नी बताउँछिन्। “कतिपय अवस्थामा लिंकमार्फत डिभाइस नै कम्प्रमाइज गरेर प्रयोगकर्ता सुतिरहेको बेला समेत अनधिकृत कारोबार भएका केसहरू पनि देखिएका छन्,” उनले भनिन्।

इथिकल ह्याकर नरेश पनि सिस्टम कम्प्रमाइज हुनुमा धेरैजसो प्रयोगकर्ताकै कमजोरी देखिएको तर्क गर्छन्। भन्छन्, “यसरी सिस्टम कम्प्रमाइज हुनुमा धेरैजसो प्रयोगकर्ताकै कमजोरी देखिन्छ। प्रयोगकर्ताहरूलाई पर्याप्त जानकारी नहुँदा ‘यही नै होला’ भन्दै झुक्किएर विवरणहरू हाल्नुहुन्छ। त्यसैले अहिले डिजिटल सचेतना फैलाउनु एकदमै आवश्यक छ।”

नेपाल क्लियरिङ हाउसले पनि यस्ता ठगी रोक्न र जोखिम न्यूनीकरण गर्न विभिन्न प्राविधिक तथा सचेतनामूलक प्रयासहरू गरिरहेको जनाएको छ। सूचना अधिकारी मुन्नीका अनुसार सामाजिक सञ्जालमार्फत प्रयोगकर्ताहरूलाई निरन्तर सचेत गराउने काम भइरहेको छ। उनले भनिन्, “शंकास्पद र नक्कली यूआरएलहरू थाहा पाउनेबित्तिकै प्रहरी र सम्बन्धित निकायसँग समन्वय गरेर त्यस्ता साइटहरू डाउन गराउने काम भइरहेको छ।”

साथै, रातिको समयमा हुने अनधिकृत कारोबार रोक्न वेब कारोबारको सीमा लगाइएको र भविष्यमा बायोमेट्रिक लगइनजस्ता थप सुरक्षित फिचरहरू ल्याउने विषयमा प्राविधिक अध्ययन भइरहेको उनले जानकारी दिइन्।

(यो सामग्री मूलरूपमा निमजिनमा प्रकाशित भएको हो।)