ब्रिटेन ने 2028 तक महत्वपूर्ण बुनियादी ढांचे पर AI-संचालित रैंसमवेयर की चेतावनी दी

ब्रिटेन की शीर्ष साइबर एजेंसी ने उस डर की एक समय-सीमा तय कर दी है जो कई सुरक्षा टीमों को पहले से था। यह पूर्वानुमान 2028 के बारे में है, लेकिन इसमें जिस समस्या का उल्लेख किया गया है वह आज चल रहे सिस्टम्स में मौजूद है।

आज 5 नवंबर, 2026 है, और यह बात अभी इसलिए मायने रखती है क्योंकि ब्रिटेन के नेशनल साइबर सिक्योरिटी सेंटर (NCSC) ने 3 नवंबर को अपनी वार्षिक समीक्षा के साथ यह चेतावनी जारी की है। इसका आकलन है कि 2028 तक ब्रिटेन के महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे पर AI-संचालित मैलवेयर से जुड़ा रैंसमवेयर हमला होने की अत्यधिक संभावना है। महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे का अर्थ वे आवश्यक सेवाएं हैं जिन पर कोई देश चलता है, जैसे कि ऊर्जा। रैंसमवेयर एक ऐसा दुर्भावनापूर्ण सॉफ़्टवेयर है जो किसी संगठन के सिस्टम्स को लॉक कर देता है और भुगतान की मांग करता है।

NCSC के मुख्य कार्यकारी Dr Richard Horne ने अपना संदेश सिर्फ IT टीमों तक सीमित न रखकर लीडर्स पर लक्षित किया। उन्होंने उन लोगों को चुनौती दी जो "सस्ती तकनीक के सहारे काम चलाते रहे हैं", और चेतावनी दी कि यदि वे कदम नहीं उठाते हैं तो सेवा में विफलता और व्यावसायिक नुकसान के लिए उन्हें जवाबदेह होना पड़ सकता है।

AI परिदृश्य को क्यों बदल देता है

AI को खतरनाक होने के लिए नए प्रकार के हमलों का आविष्कार करने की आवश्यकता नहीं है। तत्काल चिंता यह है कि यह मौजूदा हमलों को तेज़, सस्ता और अधिक सुलभ बना देता है।

NCSC का कहना है कि जिन कार्यों के लिए पहले विशेषज्ञ ज्ञान की आवश्यकता होती थी, जैसे कोड लिखना, सिस्टम डिज़ाइन का अध्ययन करना और सुरक्षा संबंधी कमजोरियां खोजना, उन्हें अब तेज़ी से स्वचालित किया जा सकता है। कम कुशल हमलावर अधिक उन्नत ऑपरेशन्स का प्रयास कर सकते हैं, और अनुभवी समूह एक साथ अधिक काम कर सकते हैं। जिन कमजोरियों पर कभी बहुत कम ध्यान जाता था, वे स्वचालित टूल्स के साथ आसानी से मिल सकती हैं।

एजेंसी का अब भी मानना है कि लंबे समय में AI सुरक्षा में सुधार कर सकता है। लेकिन बुनियादी बातों को ठीक किए बिना नए टूल्स खरीदने से बड़ी खामियां छूट जाएंगी।

यह कोई अचानक मिली चेतावनी नहीं है

ब्रिटेन के बुनियादी ढांचे पर दबाव पहले से ही मौजूद है। जून 2026 के एक संबोधन में, Horne ने कहा कि NCSC ने मई तक के एक वर्ष में महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे और उसके सहायक इकोसिस्टम को प्रभावित करने वाली 200 से अधिक साइबर घटनाओं का प्रबंधन किया था। लगभग तीन-चौथाई घटनाओं के संबंध स्टेट एक्टर्स (state actors) से होने का अनुमान था।

ये आंकड़े उन घटनाओं को कवर करते हैं जिन्हें एजेंसी ने उस अवधि में संभाला था। ये किए गए प्रत्येक हमले के प्रयास की गिनती नहीं हैं।

शोध क्या दिखाता है, और क्या नहीं

UK AI Security Institute ने सिम्युलेटेड कॉर्पोरेट और औद्योगिक वातावरण में अगस्त 2024 और फरवरी 2026 के बीच जारी सात मॉडलों का परीक्षण किया। एक निश्चित प्रोसेसिंग बजट पर, 32-चरणीय कॉर्पोरेट हमले के माध्यम से औसत प्रगति GPT-4o के 1.7 चरणों से बढ़कर Claude Opus 4.6 के लिए 9.8 चरण हो गई। सबसे अच्छे एकल प्रयास (सिंगल रन) में 22 चरण पूरे हुए।

यह एक तीव्र वृद्धि है, लेकिन इसे ध्यान से पढ़ें:

• औद्योगिक-नियंत्रण (industrial-control) परिदृश्य में परिणाम काफी कमजोर रहे, जिसके लिए जटिल चरणों में अधिक विशेषज्ञ कार्य और मेमोरी की आवश्यकता थी।
• किसी भी वातावरण में एजेंट्स को रोकने या धीमा करने वाले सक्रिय डिफेंडर्स मौजूद नहीं थे।
• यह शोध यह नहीं दिखाता है कि स्वायत्त AI किसी चालू पावर स्टेशन या अन्य आवश्यक सेवा पर पूरी तरह से हमला करने में सक्षम है।

इसलिए दिशा चिंताजनक है, जबकि अंतिम परिणाम अभी सिद्ध नहीं हुआ है।

पुराने सिस्टम्स इसे कठिन क्यों बनाते हैं

बुनियादी ढांचे को लैपटॉप की तरह नहीं बदला जा सकता। मई में प्रकाशित सरकार की Energy Sector Cyber Security Strategy स्वीकार करती है कि ब्रिटेन के ऊर्जा बुनियादी ढांचे के कुछ हिस्से आज की जुड़ी हुई और विकेंद्रीकृत दुनिया के लिए डिज़ाइन नहीं किए गए थे। यह लीगेसी उपकरणों को नई तकनीक के साथ मिलाने, और साइबर सुरक्षा व इंजीनियरिंग दोनों में कुशल लोगों की कमी की ओर इशारा करती है।

प्रत्येक सुधार में सेवा की उपलब्धता और भौतिक प्रक्रियाओं पर भी विचार किया जाना चाहिए। जो बदलाव किसी कार्यालय के सर्वर पर सामान्य होता है, वह यहाँ वास्तविक परिचालन परिणाम ला सकता है।

प्रतिक्रिया देने का समय घटता जा रहा है

2027 तक के NCSC के पूर्व मूल्यांकन में कहा गया था कि AI लगभग निश्चित रूप से किसी भेद्यता (vulnerability) के उजागर होने और उसका शोषण (exploit) किए जाने के बीच के समय को कम कर देगा। कुछ मामलों में यह अंतर पहले से ही घटकर कुछ दिनों का रह गया था।

इसने तालमेल बनाए रखने वाले और पीछे छूट जाने वाले संगठनों के बीच बढ़ते अंतर की भी चेतावनी दी थी। यह इसलिए मायने रखता है क्योंकि आपकी सुदृढ़ता (resilience) आपके सप्लायर्स पर भी निर्भर करती है।

अलग से, NCSC "patch wave" की चेतावनी देता है: AI-सहायता प्राप्त खोज कमर्शियल, प्रोप्राइटरी और ओपन-सोर्स सॉफ़्टवेयर में वर्षों के तकनीकी ऋण (technical debt), यानी पुराने शॉर्टकट और अनसुलझी खामियों को उजागर कर सकती है। इसका मतलब है कि अधिक सुरक्षा अपडेट अधिक बार आएंगे।

अब क्या करें

ये कदम NCSC के प्रकाशित मार्गदर्शन से लिए गए हैं, उसी क्रम में जिसमें अधिकांश टीमें उन पर अमल कर सकती हैं।

कदम 1: अपने जोखिम (exposure) को जानें और असमर्थित तकनीक को हटाएं

पता लगाएं कि इंटरनेट के सीधे संपर्क में क्या है और पैचिंग के लिए उसे प्राथमिकता दें। जहाँ किसी सिस्टम को अब पैच नहीं मिल सकते, उसे बदलने या वेंडर सपोर्ट में वापस लाने की योजना बनाएं।

कदम 2: ज़रूरत पड़ने से पहले ही तेज़ पैचिंग के लिए तैयार रहें

अत्यावश्यक कमजोरियों का आकलन करने, परिवर्तनों का परीक्षण करने और डिप्लॉयमेंट को मंजूरी देने के लिए एक प्रक्रिया स्थापित करें। जांचें कि महत्वपूर्ण सप्लायर्स समान गति से आगे बढ़ सकते हैं या नहीं। स्वचालित अपडेट कुछ परिचालन तकनीक (operational technology) और सुरक्षा-महत्वपूर्ण सिस्टम्स के लिए उपयुक्त नहीं हो सकता है, इसलिए लक्ष्य सुरक्षित संचालन से समझौता किए बिना टालने योग्य देरी को कम करना है।

कदम 3: मानकर चलें कि कोई अंदर घुस गया है, और नुकसान को सीमित करें

विशेषाधिकारों (privileges) को सीमित करें, नेटवर्क को विभाजित (segment) करें ताकि कोई उल्लंघन आसानी से न फैल सके, और महत्वपूर्ण सिस्टम्स में दृश्यता (visibility) में सुधार करें। प्रशासनिक खातों और बैकअप बुनियादी ढांचे को अतिरिक्त सुरक्षा प्रदान करें, क्योंकि इनमें से किसी को भी खोना स्थिति को और बदतर बना देता है।

कदम 4: साबित करें कि आप रिकवर कर सकते हैं

हमलावर अक्सर बैकअप को निशाना बनाते हैं, इसलिए क्लाउड और ऑन-प्रेमिसिस दोनों प्रतियों को सुरक्षित रखें। केवल फ़ाइलों को ही नहीं, बल्कि एप्लिकेशन, पहचान प्रणालियों (identity systems) और कॉन्फ़िगरेशन को पुनर्स्थापित (restore) करने की योजना बनाएं। याद रखें कि एन्क्रिप्टेड सिस्टम को पुनर्स्थापित करने से चोरी हुए डेटा या बाद में होने वाली जबरन वसूली से सुरक्षा नहीं मिलती। फिर अभ्यास (exercises) चलाएं। असली सवाल यह नहीं है कि बैकअप मौजूद हैं या नहीं, बल्कि यह है कि क्या आवश्यक परिचालन वास्तव में दोबारा शुरू हो सकते हैं।

कदम 5: अपने खुद के AI एजेंट्स पर सीमाएं तय करें

यदि आप रक्षात्मक रूप से AI का उपयोग करते हैं, तो तय करें कि इसे वास्तव में कितनी स्वायत्तता की आवश्यकता है और यदि यह अनुचित व्यवहार करता है तो क्या होगा। कार्रवाई की सिफारिश करने वाला सहायक उस सहायक की तुलना में बहुत अलग जोखिम पैदा करता है जो अकेले ही प्रोडक्शन सिस्टम्स को बदल सकता है। केवल मॉडल में अंतर्निहित सुरक्षा उपायों पर निर्भर न रहें। पर्यावरणीय प्रतिबंधों, निगरानी, गतिविधि लॉगिंग और एजेंट को रोकने के साधन का उपयोग करें।

निष्कर्ष

2028 की समय-सीमा संगठनों को योजना बनाने के लिए एक दायरा देती है, लेकिन इसके पीछे की कमजोरियां पहले से मौजूद हैं। बोर्डों को स्पष्ट परिचालन शब्दों में प्रगति देखनी चाहिए: कम खुले (exposed) सिस्टम, विशेषाधिकार प्राप्त पहुंच (privileged access) पर कड़ा नियंत्रण, मजबूत सप्लायर्स और परीक्षित रिकवरी। AI हमलों की गति और अर्थशास्त्र को बदल सकता है। परिणाम इस बात पर निर्भर करेगा कि पहले से उपयोग में आ रही तकनीक के बारे में अब क्या निर्णय लिए जाते हैं।

सकारात्मक पहलू

• लीडर्स को किसी अस्पष्ट खतरे के बजाय योजना बनाने के लिए एक स्पष्ट समय-सीमा देता है।
• उन व्यावहारिक नियंत्रणों पर ध्यान केंद्रित करता है जिन्हें अधिकांश संगठन पहले से समझते हैं।
• सुरक्षा को केवल एक IT मुद्दा नहीं, बल्कि बोर्ड स्तर का परिचालन मुद्दा बनाता है।
• मापी गई शोध प्रगति को उस हिस्से से अलग करता है जो अभी भी अप्रमाणित है।

कमियां

• पूर्वानुमान एक आकलन है, कोई निश्चितता नहीं, और यह समय से पहले या बाद का साबित हो सकता है।
• शोध परिणाम बिना किसी सक्रिय डिफेंडर्स वाले सिम्युलेटेड वातावरण से आए थे।
• लीगेसी सिस्टम्स को बदलना धीमा, खर्चीला और परिचालन के लिहाज से कठिन है।
• अधिक बार-बार पैचिंग पहले से ही दबाव में काम कर रही टीमों पर अतिरिक्त बोझ डालती है।

सावधानी

यह लेख शैक्षणिक है और सरल भाषा में प्रकाशित आकलनों का सार प्रस्तुत करता है। इसमें कोई प्लेसहोल्डर मान नहीं हैं, लेकिन आपके द्वारा अपनाई जाने वाली कोई भी सेटिंग या प्रक्रिया आपके अपने परिवेश के अनुकूल होनी चाहिए। उन पर भरोसा करने से पहले मूल NCSC और सरकारी प्रकाशनों से दावों को सत्यापित करें, और परिवर्तनों का सुरक्षित रूप से परीक्षण करें, विशेष रूप से परिचालन और सुरक्षा-महत्वपूर्ण प्रणालियों पर।

अक्सर पूछे जाने वाले प्रश्न

• नवंबर 2026 में NCSC ने किस बारे में चेतावनी दी थी? — इसने आकलन किया कि 2028 तक ब्रिटेन के महत्वपूर्ण राष्ट्रीय बुनियादी ढांचे पर AI-संचालित मैलवेयर से जुड़ा रैंसमवेयर हमला होने की अत्यधिक संभावना है।
• महत्वपूर्ण राष्ट्रीय बुनियादी ढांचा (critical national infrastructure) क्या है? — यह उन आवश्यक प्रणालियों का समूह है जिन पर कोई देश निर्भर करता है, जैसे कि ऊर्जा और अन्य सेवाएँ जिन पर जनता प्रतिदिन निर्भर रहती है।
• क्या AI पहले से ही अपने दम पर किसी पावर स्टेशन पर हमला कर सकता है? — उद्धृत शोध यह नहीं दिखाता है; परीक्षण सिम्युलेटेड थे, उनमें कोई सक्रिय डिफेंडर्स नहीं थे, और औद्योगिक-नियंत्रण (industrial-control) परिणाम काफी कमजोर थे।
• पैच वेव (patch wave) क्या है? — यह सुरक्षा अपडेट्स की बाढ़ के लिए NCSC का एक शब्द है, क्योंकि AI-सहायता प्राप्त खोज कई प्रकार के सॉफ़्टवेयर में पुरानी खामियों को उजागर करती है।
• क्या महत्वपूर्ण सिस्टम्स को स्वचालित रूप से पैच होना चाहिए? — हमेशा नहीं, क्योंकि NCSC मानता है कि स्वचालित अपडेट कुछ परिचालन प्रौद्योगिकी और सुरक्षा-महत्वपूर्ण प्रणालियों के अनुकूल नहीं हो सकता है।
• क्या रैंसमवेयर के खिलाफ बैकअप ही पर्याप्त हैं? — नहीं, क्योंकि हमलावर बैकअप को निशाना बनाते हैं और सिस्टम्स को पुनर्स्थापित करने से चोरी हुआ डेटा वापस सुरक्षित नहीं होता, इसलिए रिकवरी को संरक्षित और परीक्षित किया जाना चाहिए।
• संगठनों को रक्षा के लिए AI एजेंट्स का उपयोग कैसे करना चाहिए? — उनकी स्वायत्तता को सीमित करें, उनकी गतिविधियों को लॉग करें, निगरानी रखें और सुनिश्चित करें कि उन्हें रोका जा सके।

टैग्स

#NCSC #Ransomware #CriticalInfrastructure #AISecurity #Cybersecurity #OperationalTechnology #PatchManagement #CyberResilience #UKCyber #LegacySystems