AI डीपफेक 'बॉस स्कैम' से डिजिटल धोखाधड़ी में 40% का उछाल

औद्योगिक स्तर पर ऑटोमेशन। धोखाधड़ी अब एकल, बड़ी घटनाओं से हटकर स्वचालित, वॉल्यूम-आधारित हमलों में तब्दील हो रही है । सिर्फ 2025 में प्रतिरूपण (impersonation) स्कैम में 1,400% से अधिक की वृद्धि हुई । ये बदलाव इस कदर स्पष्ट है कि कुल नुकसान स्थिर रहने पर भी पीड़ितों की संख्या बढ़ रही है — जो बड़े पैमाने पर AI-ऑटोमेटेड फ्रॉड की पहचान है ।

सिंथेटिक आइडेंटिटी फ्रॉड (Synthetic Identity Fraud)। 2024 में इसने वैश्विक वित्तीय सेवा उद्योग को अनुमानित 22 बिलियन डॉलर का नुकसान पहुंचाया, जो 2025 में बढ़कर 31 बिलियन डॉलर और 2026 में 40 बिलियन डॉलर से अधिक होने का अनुमान है — और डीपफेक तकनीक इस वृद्धि का प्रमुख चालक है । AI-जनरेटेड पहचान का उपयोग करने वाले परिष्कृत फ्रॉड में साल-दर-साल 180% की वृद्धि हुई ।

Vectra AI के आंकड़ों के अनुसार, डीपफेक अब दुनिया भर की सभी धोखाधड़ी गतिविधियों का 11% हिस्सा हैं । 2026 में डीपफेक पहचान धोखाधड़ी में 2025 की तुलना में 495% वृद्धि होने का अनुमान है । अकेले वित्तीय सेवाओं में 2022 के बाद से डीपफेक फ्रॉड के प्रयासों में 2,137% की वृद्धि हुई ।

'बॉस स्कैम' कैसे काम करते हैं: AI वॉइस क्लोनिंग और नकली वीडियो

बॉस स्कैम में, धोखेबाज किसी वरिष्ठ अधिकारी (CEO, MD या CFO) का रूप धारण करके वित्त टीमों को तत्काल फंड ट्रांसफर करने के लिए मना लेते हैं। ये तकनीकें कई तरह की होती हैं:

AI वॉइस क्लोनिंग। अपराधी एक छोटे ऑडियो सैंपल (अक्सर पब्लिक कमाई कॉल, रिकॉर्ड की गई मीटिंग या सोशल मीडिया क्लिप से) का उपयोग करके एक विश्वसनीय आवाज़ को संश्लेषित (synthesize) करते हैं । इस नकली आवाज़ का इस्तेमाल फोन कॉल या वॉइसमेल में किया जाता है ताकि किसी अधीनस्थ को फंड ट्रांसफर करने का निर्देश दिया जा सके। जनवरी 2026 में, एक स्विस उद्यमी को एक भरोसेमंद बिज़नेस पार्टनर की AI-क्लोन की गई आवाज़ से किए गए फोन कॉल्स के बाद कई मिलियन स्विस फ़्रैंक का नुकसान हुआ ।

डीपफेक वीडियो कॉल। अरुप (Arup) का मामला सबसे मशहूर है, लेकिन यह कोई अकेली घटना नहीं है। मार्च 2025 में, सिंगापुर में एक वित्त निदेशक ने एक वीडियो कॉल के बाद लगभग 42 मिलियन डॉलर के ट्रांसफर को मंज़ूरी दे दी, जिसमें सामने वाला व्यक्ति कंपनी का CFO लग रहा था । हमलावरों ने CFO और अन्य अधिकारियों की AI-जनरेटेड वीडियो और ऑडियो प्रतिकृतियों का उपयोग किया था ।

परिवारिक आपातकाल का ढोंग। इसके समानांतर एक वेरिएंट में वॉइस क्लोनिंग का उपयोग किसी रिश्तेदार — अक्सर बच्चे या पोते — का रूप धारण करने के लिए किया जाता है, जो कार दुर्घटना, गिरफ़्तारी, अपहरण या चिकित्सा आपातकाल का दावा करके तत्काल भुगतान की मांग करता है । फैमिली-इमरजेंसी डीपफेक स्कैम से दस्तावेज़ित नुकसान 5 मिलियन डॉलर से अधिक है ।

मल्टी-चैनल रणनीति। स्कैमर्स व्हाट्सएप, ईमेल, माइक्रोसॉफ्ट टीम्स और फोन कॉल का उपयोग करके अधिकार और तात्कालिकता की भावना पैदा करते हैं। वे अक्सर सार्वजनिक रूप से उपलब्ध जानकारी पर शोध करते हैं ताकि नकल और भी विश्वसनीय लगे, और पीड़ितों पर नकली तात्कालिकता और गोपनीयता का दबाव डालते हैं । जुलाई 2026 में, अमेरिकी संघीय अभियोजकों ने 14 आरोपियों पर 47 मिलियन डॉलर के डीपफेक फ्रॉड स्कीम में आरोप लगाए, जिसमें बैंक अधिकारियों और परिवार के सदस्यों का रूप धारण करके 1,200 से अधिक बुजुर्गों को निशाना बनाया गया ।

बैंकों की पहचान पुष्टि प्रणाली क्यों विफल हो रही है?

बैंकों और फिनटेक कंपनियों ने पिछले एक दशक में रिमोट आइडेंटिटी वेरिफिकेशन एक सरल पैटर्न पर बनाया था: सरकारी आईडी दिखाएं, सेल्फी लें, शायद एक छोटी लाइवनेस जांच करें। 2026 में, यह पैटर्न ठोस तरीकों से विफल हो रहा है।

डॉक्यूमेंट + सेल्फी KYC को हराया जा रहा है। फेस-स्वैप और कैमरा-इंजेक्शन टूल्स के ज़रिए इस प्रणाली को आसानी से बायपास किया जा रहा है। इंजेक्शन अटैक — जहां हमलावर पहले से रिकॉर्ड किए गए डीपफेक वीडियो को सीधे लाइव कैमरा फीड में डाल देते हैं — में 2024 में 783% की वृद्धि हुई । डीपफेक फेस स्वैप 58% मामलों में मानक लाइवनेस चेक को बायपास कर देते हैं ।

सिंथेटिक आइडेंटिटी ऑनबोर्डिंग को बायपास कर रही हैं। धोखेबाज चोरी या खोई हुई पहचान पत्रों पर तस्वीरें बदलते हैं और रिमोट वेरिफिकेशन चेक पास करने के लिए डीपफेक का उपयोग करते हैं। फिर वे लोन, क्रेडिट कार्ड फ्रॉड और मनी लॉन्ड्रिंग के लिए इस्तेमाल किए जाने वाले खाते खोलते हैं । अब हर 100 वेरिफिकेशन प्रयासों में से एक में किसी न किसी तरह का डीपफेक शामिल होता है ।

इंजेक्शन और रीप्ले अटैक आम हो गए हैं। हमलावर OBS वर्चुअल कैमरा या कस्टम ड्राइवर जैसे टूल का उपयोग करके एक पूर्व-रिकॉर्डेड या AI-जनरेटेड वीडियो स्ट्रीम को वेरिफिकेशन सेशन में रूट करते हैं । ये सॉफ्टवेयर अब आम वस्तुओं (commodity tools) के रूप में बेचे जाते हैं ।

पैमाना चौंका देने वाला है। अकेले 2025 की पहली तिमाही में अमेरिका में डीपफेक फ्रॉड के प्रयासों में 1,100% की वृद्धि हुई । अनुमान है कि 85% पहचान धोखाधड़ी के मामलों में अब जनरेटिव AI टूल का उपयोग होता है । एंट्रस्ट (Entrust) की 2026 आइडेंटिटी फ्रॉड रिपोर्ट में पाया गया कि पांच में से एक बायोमेट्रिक फ्रॉड प्रयास में डीपफेक शामिल हैं, और 2025 में डीपफेक सेल्फी में 58% की वृद्धि हुई ।

SEBI की 'बॉस स्कैम' पर चेतावनी (जुलाई 2026)

भारतीय प्रतिभूति और विनिमय बोर्ड (SEBI) ने 17 जुलाई 2026 को एक औपचारिक एडवाइजरी (प्रेस रिलीज़ नं. 40/2026) जारी कर सभी सूचीबद्ध कंपनियों और विनियमित संस्थाओं को बॉस स्कैम के बारे में आगाह किया । एडवाइजरी के मुख्य बिंदु:

• SEBI ने कहा कि धोखेबाज वरिष्ठ अधिकारियों का रूप धारण करने और वित्त विभागों को फंड ट्रांसफर करने के लिए बरगलाने हेतु डीपफेक वॉइस क्लोनिंग और AI-जनरेटेड वीडियो कॉल का उपयोग कर रहे हैं ।
• यह एडवाइजरी भारतीय साइबर अपराध समन्वय केंद्र (I4C) के अलर्ट के बाद जारी की गई ।
• SEBI ने फर्मों से सभी फंड ट्रांसफर के लिए सख्त सत्यापन प्रक्रियाएं लागू करने का आग्रह किया, जिसमें आउट-ऑफ-बैंड पुष्टि (जैसे, किसी ज्ञात, स्वतंत्र रूप से सत्यापित नंबर पर वापस कॉल करना) और एक निश्चित सीमा से ऊपर के भुगतानों के लिए बहु-व्यक्ति अनुमोदन शामिल है ।
• नियामक ने चेतावनी दी कि स्कैमर्स सार्वजनिक रूप से उपलब्ध जानकारी पर शोध करके विश्वसनीय नकल बनाते हैं और अक्सर पीड़ितों पर नकली तात्कालिकता और गोपनीयता का दबाव डालते हैं ।

SEBI की यह चेतावनी एक व्यापक प्रवृत्ति का हिस्सा है। Q4 2025 में, अमेरिकी वित्तीय अपराध प्रवर्तन नेटवर्क (FinCEN) ने वित्तीय संस्थानों को पहचान धोखाधड़ी में डीपफेक के उपयोग के बारे में एक परामर्श जारी किया था । यूरोपीय संसद, INTERPOL और कई राष्ट्रीय नियामकों ने भी इसी तरह के अलर्ट जारी किए हैं ।

कंपनियां अब क्या कर सकती हैं?

नियामकों और सुरक्षा विशेषज्ञों द्वारा लगातार एक ही सेट के नियंत्रणों की सिफारिश की जाती है:

• आउट-ऑफ-बैंड सत्यापन। किसी भी वायर ट्रांसफर को केवल फोन कॉल, वीडियो कॉल या ईमेल के आधार पर कभी भी मंजूर न करें। उस व्यक्ति को एक ज्ञात, स्वतंत्र रूप से सत्यापित नंबर पर वापस कॉल करें — न कि उस नंबर पर जिसने आपको कॉल किया ।
• बहु-व्यक्ति अनुमोदन। एक निश्चित सीमा से ऊपर के भुगतानों को मंज़ूरी देने के लिए कम से कम दो लोगों की आवश्यकता हो ।
• लेन-देन की सीमाएं। ऐसी दैनिक या प्रति-लेन-देन सीमाएं निर्धारित करें जिन्हें एस्केलेशन की आवश्यकता हो ।
• स्टाफ प्रशिक्षण। वित्त टीमों को पता होना चाहिए कि कॉल पर परिचित आवाज़ या चेहरा अब पहचान का विश्वसनीय प्रमाण नहीं है ।
• सतत KYC (Continuous KYC)। 'एक बार ऑनबोर्डिंग पर सत्यापन करो' का पुराना मॉडल पर्याप्त नहीं है। पहचान और व्यवहार की निरंतर निगरानी आवश्यक होती जा रही है ।

जैसा कि एक उद्योग पर्यवेक्षक ने कहा, "विश्वास डिजिटल युग में एक हथियार बनता जा रहा है। वॉइस क्लोनिंग, डीपफेक तकनीक और फ्रॉड-एज़-अ-सर्विस प्लेटफॉर्म के आसानी से उपलब्ध होने के साथ, जांचकर्ताओं को एकीकृत फोरेंसिक प्लेटफॉर्म, रीयल-टाइम खुफिया जानकारी साझाकरण और नए साक्ष्य ढांचे की आवश्यकता है" ।

निष्कर्ष सरल लेकिन असुविधाजनक है: हमने हमेशा जिन संवेदी संकेतों पर भरोसा किया है कि हम किससे बात कर रहे हैं — एक परिचित आवाज़, एक पहचानने योग्य चेहरा — अब विश्वसनीय नहीं रहे। संगठनों को ऐसी सत्यापन प्रक्रियाएं बनाने की ज़रूरत है जो मान लें कि हर संचार चैनल से समझौता किया जा सकता है।