2028-க்குள் முக்கிய உள்கட்டமைப்புகள் மீது AI-மூலம் இயங்கும் ரான்சம்வேர் தாக்குதல் சாத்தியம்: UK எச்சரிக்கை

பிரிட்டனின் முதன்மை சைபர் பாதுகாப்பு அமைப்பு, பல பாதுகாப்பு குழுக்களுக்கு ஏற்கனவே இருந்த ஒரு அச்சத்திற்கு ஒரு காலக்கெடுவை நிர்ணயித்துள்ளது. இந்தக் கணிப்பு 2028-ஐப் பற்றியது, ஆனால் அது விவரிக்கும் பிரச்சனை இன்று இயங்கிக் கொண்டிருக்கும் அமைப்புகளிலேயே உள்ளது.

இன்று நவம்பர் 5, 2026, UK-இன் நேஷனல் சைபர் செக்யூரிட்டி சென்டர் (NCSC) நவம்பர் 3 அன்று தனது வருடாந்திர மதிப்பாய்வுடன் இந்த எச்சரிக்கையையும் வெளியிட்டிருப்பதால் இது இப்போது முக்கியத்துவம் பெறுகிறது. UK-இன் முக்கியமான தேசிய உள்கட்டமைப்புக்கு எதிராக AI-மூலம் இயங்கும் மால்வேர் உடனான ரான்சம்வேர் தாக்குதல் 2028-க்குள் நிகழ அதிக வாய்ப்புள்ளது என்று அது மதிப்பிடுகிறது. முக்கியமான தேசிய உள்கட்டமைப்பு என்பது எரிசக்தி போன்ற ஒரு நாடு இயங்குவதற்குத் தேவையான அத்தியாவசிய சேவைகளைக் குறிக்கிறது. ரான்சம்வேர் என்பது ஒரு நிறுவனத்தின் அமைப்புகளை முடக்கி பணம் கோரும் தீங்கிழைக்கும் மென்பொருள் ஆகும்.

NCSC தலைமை நிர்வாகி Dr Richard Horne தனது செய்தியை IT குழுக்களுக்கு மட்டுமல்லாமல் தலைவர்களுக்கும் தெரிவித்துள்ளார். "தொழில்நுட்பத்தை மலிவாகப் பயன்படுத்தித் தப்பித்துக்கொண்டவர்களை" எச்சரித்த அவர், அவர்கள் உரிய நடவடிக்கை எடுக்காவிட்டால், சேவை முடக்கங்களுக்கும் வணிக இழப்புகளுக்கும் விளக்கம் அளிக்க வேண்டியிருக்கும் என்று கூறினார்.

AI இந்தச் சூழலை ஏன் மாற்றுகிறது

ஆபத்தை விளைவிக்க AI புதிய வகை தாக்குதல்களைக் கண்டுபிடிக்க வேண்டிய அவசியமில்லை. தற்போதுள்ள தாக்குதல்களை அது வேகமானதாகவும், மலிவானதாகவும் மற்றும் எளிதில் செயல்படுத்தக்கூடியதாகவும் மாற்றுகிறது என்பதே உடனடி கவலையாகும்.

குறியீடுகளை எழுதுதல், கணினி வடிவமைப்புகளை ஆய்வு செய்தல் மற்றும் பாதுகாப்பு பலவீனங்களைக் கண்டறிதல் போன்ற முன்னர் நிபுணத்துவம் வாய்ந்த அறிவை கோரிய பணிகளை இப்போது பெருமளவில் தானியக்கமாக்க முடியும் என்று NCSC கூறுகிறது. குறைந்த திறனுடைய தாக்குதல்தாரர்கள் கூட மேம்பட்ட நடவடிக்கைகளை மேற்கொள்ள முடியும், மேலும் அனுபவம் வாய்ந்த குழுக்கள் ஒரே நேரத்தில் பல தாக்குதல்களை நடத்த முடியும். ஒரு காலத்தில் பெரிதும் கவனிக்கப்படாத பலவீனங்களை தானியங்கு கருவிகள் மூலம் எளிதாகக் கண்டறிய முடியும்.

நீண்ட கால நோக்கில் AI பாதுகாப்பை மேம்படுத்தும் என்று இந்த அமைப்பு இன்னமும் நம்புகிறது. ஆனால் அடிப்படை விஷயங்களைச் சரிசெய்யாமல் புதிய கருவிகளை வாங்குவது பெரிய இடைவெளிகளை ஏற்படுத்தும்.

இது திடீரென வந்த எச்சரிக்கை அல்ல

UK உள்கட்டமைப்பு மீதான அழுத்தம் ஏற்கனவே நிலவி வருகிறது. ஜூன் 2026 உரையில், மே மாதம் வரையிலான ஓராண்டில் முக்கியமான தேசிய உள்கட்டமைப்பு மற்றும் அதன் துணை சுற்றுச்சூழல் அமைப்பைப் பாதித்த 200-க்கும் மேற்பட்ட சைபர் சம்பவங்களை NCSC கையாண்டதாக Horne கூறினார். இதில் சுமார் முக்கால்வாசி சம்பவங்கள் அரசு ஆதரவு பெற்ற அமைப்புகளுடன் தொடர்புடையவை என நம்பப்படுகிறது.

அந்தப் புள்ளிவிவரங்கள் குறிப்பிட்ட காலத்தில் அவ்வமைப்பு கையாண்ட சம்பவங்களை மட்டுமே குறிக்கின்றன. அவை முயற்சிக்கப்பட்ட ஒவ்வொரு தாக்குதலின் எண்ணிக்கை அல்ல.

இந்த ஆய்வு எதைக் காட்டுகிறது, எதைக் காட்டவில்லை

UK AI Security Institute, ஆகஸ்ட் 2024 முதல் பிப்ரவரி 2026 வரை வெளியான ஏழு மாதிரிகளை போலி கார்ப்பரேட் மற்றும் தொழில்துறை சூழல்களில் பரிசோதித்தது. ஒரு குறிப்பிட்ட செயலாக்க பட்ஜெட்டில், 32-படி கார்ப்பரேட் தாக்குதலின் சராசரி முன்னேற்றம் GPT-4o-க்கு 1.7 படிகளிலிருந்து Claude Opus 4.6-க்கு 9.8 ஆக உயர்ந்தது. மிகச் சிறந்த ஒற்றை சோதனையில் 22 படிகள் பூர்த்தி செய்யப்பட்டன.

இது ஒரு குறிப்பிடத்தக்க உயர்வு, ஆனால் இதை கவனமாகப் படியுங்கள்:

• சிக்கலான நிலைகளில் கூடுதல் நிபுணத்துவ வேலையும் நினைவகமும் தேவைப்பட்ட தொழில்துறை-கட்டுப்பாட்டு (industrial-control) சூழலில் முடிவுகள் மிகவும் பலவீனமாக இருந்தன.
• இரண்டு சூழல்களிலும் ஏஜென்ட்களைத் தடுக்கும் அல்லது அவற்றின் வேகத்தைக் குறைக்கும் செயலில் உள்ள பாதுகாவலர்கள் எவரும் இல்லை.
• தன்னாட்சி கொண்ட AI-ஆல் இயங்கிக்கொண்டிருக்கும் மின் நிலையம் அல்லது பிற அத்தியாவசிய சேவையின் மீது நம்பகத்தன்மையுடன் முழுமையான தாக்குதலை நடத்த முடியும் என்பதை இந்த ஆய்வு காட்டவில்லை.

எனவே இதன் போக்கு கவலையளிப்பதாக இருந்தாலும், இறுதி நிலை இன்னும் நிரூபிக்கப்படவில்லை.

பழைய அமைப்புகள் இதை ஏன் கடினமாக்குகின்றன

உள்கட்டமைப்பை ஒரு மடிக்கணினி போல எளிதில் மாற்றிவிட முடியாது. மே மாதத்தில் வெளியிடப்பட்ட அரசாங்கத்தின் Energy Sector Cyber Security Strategy, பிரிட்டனின் ஆற்றல் உள்கட்டமைப்பின் சில பகுதிகள் இன்றைய இணைக்கப்பட்ட மற்றும் பரவலாக்கப்பட்ட உலகத்திற்காக வடிவமைக்கப்படவில்லை என்பதை ஒப்புக்கொள்கிறது. இது பழைய உபகரணங்களை புதிய தொழில்நுட்பத்துடன் கலப்பதையும், சைபர் பாதுகாப்பு மற்றும் பொறியியல் ஆகிய இரண்டிலும் திறமையான நபர்களின் பற்றாக்குறையையும் சுட்டிக்காட்டுகிறது.

ஒவ்வொரு தீர்வும் சேவையின் கிடைக்கும் தன்மை மற்றும் இயற்பியல் செயல்முறைகளையும் கருத்தில் கொள்ள வேண்டும். ஓர் அலுவலக சேவையகத்தில் வழக்கமான ஒன்றாக இருக்கும் ஒரு மாற்றம், இங்கு உண்மையான செயல்பாட்டு விளைவுகளை ஏற்படுத்தக்கூடும்.

எதிர்வினையாற்றுவதற்கான கால அவகாசம் குறைந்து வருகிறது

2027 வரையிலான NCSC-இன் முந்தைய மதிப்பீடு, ஒரு பாதிப்பு வெளிப்படுத்தப்படுவதற்கும் அது தவறாகப் பயன்படுத்தப்படுவதற்கும் இடையிலான கால இடைவெளியை AI நிச்சயமாகக் குறைக்கும் என்று கூறியது. சில சந்தர்ப்பங்களில் அந்த இடைவெளி ஏற்கனவே சில நாட்களாகக் குறைந்துவிட்டது.

வேகத்திற்கு ஏற்ப செயல்படும் நிறுவனங்களுக்கும் பின்தங்கிய நிறுவனங்களுக்கும் இடையே விரிவடையும் இடைவெளியைப் பற்றியும் அது எச்சரித்தது. உங்கள் நிறுவனத்தின் மீள்தன்மை உங்கள் சப்ளையர்களையும் சார்ந்துள்ளது என்பதால் இது முக்கியமானது.

தனியாக, NCSC ஒரு "பேட்ச் அலை" (patch wave) குறித்து எச்சரிக்கிறது: வணிக, தனியுரிம மற்றும் திறந்த மூல (open-source) மென்பொருட்களில் AI-உதவியுடனான கண்டறிதல் பல வருட தொழில்நுட்பக் கடன்களை (technical debt), அதாவது பழைய குறுக்குவழிகள் மற்றும் சரிசெய்யப்படாத குறைபாடுகளை அம்பலப்படுத்தக்கூடும். இதன் பொருள் அதிக பாதுகாப்பு புதுப்பிப்புகள் அடிக்கடி வரும் என்பதாகும்.

இப்போது என்ன செய்ய வேண்டும்

பெரும்பாலான குழுக்கள் செயல்படக்கூடிய வரிசையில், NCSC வெளியிட்ட வழிகாட்டுதலிலிருந்து இந்த வழிமுறைகள் பெறப்பட்டுள்ளன.

படி 1: உங்கள் பாதிப்பு நிலையை அறிந்து ஆதரிக்கப்படாத தொழில்நுட்பத்தை நீக்குங்கள்

இணையத்தை எதிர்கொள்ளும் பகுதிகளைக் கண்டறிந்து, பேட்ச் செய்வதற்கு அவற்றுக்கு முன்னுரிமை கொடுங்கள். ஒரு கணினி அமைப்பு இனி பேட்ச்களைப் பெற முடியாத நிலையில், அதை மாற்றவோ அல்லது விற்பனையாளர் ஆதரவுக்கு (vendor support) மீண்டும் கொண்டுவரவோ திட்டமிடுங்கள்.

படி 2: தேவைப்படுவதற்கு முன்பே விரைவான பேட்ச் முறைக்கு தயாராகுங்கள்

அவசர பாதிப்புகளை மதிப்பீடு செய்வதற்கும், மாற்றங்களைச் சோதிப்பதற்கும் மற்றும் வரிசைப்படுத்தலை (deployment) அங்கீகரிப்பதற்கும் ஒரு செயல்முறையை உருவாக்குங்கள். முக்கியமான சப்ளையர்களும் அதே வேகத்தில் செயல்பட முடிகிறதா என்பதைச் சரிபாருங்கள். தானியங்கி புதுப்பித்தல் சில செயல்பாட்டு தொழில்நுட்பங்களுக்கும் பாதுகாப்புக்கு அவசியமான அமைப்புகளுக்கும் பொருந்தாமல் போகலாம்; எனவே பாதுகாப்பான செயல்பாட்டை இழக்காமல் தவிர்க்கக்கூடிய தாமதத்தைக் குறைப்பதே இதன் இலக்காகும்.

படி 3: யாரோ உள்ளே நுழைந்துவிட்டார்கள் என அனுமானித்து, பாதிப்பைக் கட்டுப்படுத்துங்கள்

சிறப்புரிமைகளைக் கட்டுப்படுத்துங்கள், ஊடுருவல் எளிதில் பரவாமல் இருக்க நெட்வொர்க்குகளைப் பிரியுங்கள் (segment networks), மேலும் முக்கியமான அமைப்புகள் முழுவதும் தெரிவுநிலையை மேம்படுத்துங்கள். நிர்வாகக் கணக்குகளுக்கும் காப்புப்பிரதி (backup) உள்கட்டமைப்புக்கும் கூடுதல் பாதுகாப்பை வழங்குங்கள், ஏனெனில் இரண்டில் எதை இழந்தாலும் நிலைமை மேலும் மோசமாகும்.

படி 4: மீண்டு வர முடியும் என்பதை நிரூபியுங்கள்

தாக்குதல்தாரர்கள் பெரும்பாலும் காப்புப்பிரதிகளைக் குறிவைப்பதால், கிளவுட் மற்றும் ஆன்-பிரைமிசஸ் (on-premises) பிரதிகள் இரண்டையும் பாதுகாக்கவும். வெறும் கோப்புகளை மட்டுமல்லாமல் பயன்பாடுகள், அடையாள அமைப்புகள் மற்றும் உள்ளமைவுகளையும் மீட்டெடுக்கத் திட்டமிடுங்கள். குறியாக்கம் செய்யப்பட்ட அமைப்புகளை மீட்டெடுப்பது திருடப்பட்ட தரவுக்கோ அல்லது பின்னர் நிகழும் மிரட்டிப் பணம் பறித்தலுக்கோ தீர்வாகாது என்பதை நினைவில் கொள்ளுங்கள். பின்னர் ஒத்திகைகளை நடத்துங்கள். உண்மையான கேள்வி காப்புப்பிரதிகள் உள்ளனவா என்பது அல்ல, அத்தியாவசிய செயல்பாடுகள் உண்மையில் மீண்டும் செயல்பட முடியுமா என்பதுதான்.

படி 5: உங்கள் சொந்த AI ஏஜென்ட்களுக்கு வரம்புகளை நிர்ணயியுங்கள்

நீங்கள் தற்காப்புக்காக AI-ஐப் பயன்படுத்தினால், அதற்கு உண்மையில் எவ்வளவு தன்னாட்சி தேவை என்பதையும், அது தவறாகச் செயல்பட்டால் என்ன நடக்கும் என்பதையும் முடிவு செய்யுங்கள். நடவடிக்கைகளைப் பரிந்துரைக்கும் ஓர் உதவியாளர் ஏற்படுத்தும் ஆபத்தும், தயாரிப்பு அமைப்புகளை (production systems) தானாகவே மாற்றக்கூடிய ஒன்று ஏற்படுத்தும் ஆபத்தும் முற்றிலும் வேறுபட்டவை. மாடலில் கட்டமைக்கப்பட்ட பாதுகாப்புகளை மட்டுமே நம்பியிருக்க வேண்டாம். சுற்றுச்சூழல் கட்டுப்பாடுகள், மேற்பார்வை, செயல்பாட்டுப் பதிவு (activity logging) மற்றும் ஏஜென்ட்டை நிறுத்துவதற்கான வழி ஆகியவற்றைப் பயன்படுத்துங்கள்.

முடிவுரை

2028 ஆம் ஆண்டுக் காலக்கெடு நிறுவனங்களுக்குத் திட்டமிடுவதற்கான ஒரு கால வரம்பை வழங்குகிறது, ஆனால் அதன் பின்னணியில் உள்ள பலவீனங்கள் ஏற்கனவே உள்ளன. நிர்வாகக் குழுக்கள் வெளிப்படையான செயல்பாட்டு அடிப்படையில் முன்னேற்றத்தை எதிர்பார்க்க வேண்டும்: குறைந்த வெளிப்படும் அமைப்புகள், சிறப்புரிமை அணுகலின் மீதான கடுமையான கட்டுப்பாடு, வலிமையான சப்ளையர்கள் மற்றும் சோதிக்கப்பட்ட மீட்பு முறை. AI தாக்குதல்களின் வேகத்தையும் பொருளாதாரத்தையும் மாற்றக்கூடும். ஏற்கனவே பயன்பாட்டில் உள்ள தொழில்நுட்பம் குறித்து இப்போது எடுக்கப்படும் முடிவுகளையே இதன் முடிவு சார்ந்திருக்கும்.

நிறைகள்

• தெளிவற்ற அச்சுறுத்தலுக்குப் பதிலாகத் தலைவர்களுக்குத் தெளிவான திட்டமிடல் கால வரம்பை வழங்குகிறது.
• பெரும்பாலான நிறுவனங்கள் ஏற்கனவே புரிந்து கொண்டுள்ள நடைமுறைக் கட்டுப்பாடுகளில் கவனம் செலுத்துகிறது.
• பாதுகாப்பை வெறும் IT விவகாரமாக மட்டுமல்லாமல், நிர்வாகக் குழு அளவிலான செயல்பாட்டு விவகாரமாக மாற்றுகிறது.
• அளவிடப்பட்ட ஆராய்ச்சி முன்னேற்றத்தை இன்னும் நிரூபிக்கப்படாதவற்றிலிருந்து பிரிக்கிறது.

குறைகள்

• ஒரு கணிப்பு என்பது ஒரு மதிப்பீடே தவிர உறுதியானது அல்ல; அது முன்கூட்டியோ அல்லது தாமதமாகவோ நிகழலாம்.
• ஆராய்ச்சி முடிவுகள் செயலில் உள்ள பாதுகாவலர்கள் இல்லாத உருவகப்படுத்தப்பட்ட சூழல்களிலிருந்தே வந்தவை.
• பழைய அமைப்புகளை மாற்றுவது மெதுவானது, அதிக செலவுடையது மற்றும் செயல்பாட்டு ரீதியாகக் கடினமானது.
• அடிக்கடி பேட்ச் செய்வது ஏற்கனவே அதிக பணிச்சுமையில் உள்ள குழுக்களுக்கு கூடுதல் அழுத்தத்தை ஏற்படுத்துகிறது.

எச்சரிக்கை

இந்தக் கட்டுரை கல்வி நோக்கிலானது மற்றும் வெளியிடப்பட்ட மதிப்பீடுகளை எளிய மொழியில் சுருக்கமாகக் கூறுகிறது. இதில் ஒதுக்கிட மதிப்புகள் (placeholder values) எதுவும் இல்லை, ஆனால் நீங்கள் பின்பற்றும் எந்தவொரு அமைப்பும் அல்லது செயல்முறையும் உங்கள் சொந்த சூழலுக்குப் பொருந்த வேண்டும். அசல் NCSC மற்றும் அரசாங்க வெளியீடுகளைச் சரிபார்த்த பின்னரே அவற்றை நம்புங்கள், மேலும் மாற்றங்களை பாதுகாப்பாகச் சோதிக்கவும், குறிப்பாக செயல்பாட்டு மற்றும் பாதுகாப்புக்கு அவசியமான அமைப்புகளில் சோதிக்கவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• நவம்பர் 2026 இல் NCSC எதைப் பற்றி எச்சரித்தது? — UK-இன் முக்கியமான தேசிய உள்கட்டமைப்புக்கு எதிராக AI-மூலம் இயங்கும் மால்வேர் உடனான ரான்சம்வேர் தாக்குதல் 2028-க்குள் நிகழ அதிக வாய்ப்புள்ளது என்று அது மதிப்பிட்டது.
• முக்கியமான தேசிய உள்கட்டமைப்பு என்றால் என்ன? — இது ஒரு நாடு சார்ந்துள்ள அத்தியாவசிய அமைப்புகளின் தொகுப்பாகும்; உதாரணமாக எரிசக்தி மற்றும் பொதுமக்கள் அன்றாடம் நம்பியிருக்கும் பிற சேவைகள்.
• AI-ஆல் ஏற்கனவே ஒரு மின் நிலையத்தை தானாகவே தாக்க முடியுமா? — மேற்கோள் காட்டப்பட்ட ஆய்வு அதைக் காட்டவில்லை; சோதனைகள் உருவகப்படுத்தப்பட்டவை, செயலில் உள்ள பாதுகாவலர்கள் எவரும் இல்லை, மேலும் தொழில்துறை-கட்டுப்பாட்டு முடிவுகள் மிகவும் பலவீனமாக இருந்தன.
• பேட்ச் அலை (patch wave) என்றால் என்ன? — பல வகையான மென்பொருட்களில் AI-உதவியுடனான கண்டறிதல் பழைய குறைபாடுகளை அம்பலப்படுத்துவதால் பாதுகாப்பு புதுப்பிப்புகள் பெருகுவதைக் குறிக்க NCSC பயன்படுத்தும் சொல்லாகும்.
• முக்கியமான அமைப்புகள் தானாகவே பேட்ச் செய்யப்பட வேண்டுமா? — எப்போதும் இல்லை, ஏனெனில் தானியங்கி புதுப்பித்தல் சில செயல்பாட்டு தொழில்நுட்பங்களுக்கும் பாதுகாப்புக்கு அவசியமான அமைப்புகளுக்கும் பொருந்தாமல் போகலாம் என்பதை NCSC அங்கீகரிக்கிறது.
• ரான்சம்வேருக்கு எதிராக காப்புப்பிரதிகள் (backups) போதுமானவையா? — இல்லை, ஏனெனில் தாக்குதல்தாரர்கள் காப்புப்பிரதிகளைக் குறிவைக்கின்றனர் மற்றும் அமைப்புகளை மீட்டெடுப்பது திருடப்பட்ட தரவுக்குத் தீர்வாகாது, எனவே மீட்பு முறையைப் பாதுகாக்க வேண்டும் மற்றும் சோதிக்க வேண்டும்.
• தற்காப்புக்காக நிறுவனங்கள் AI ஏஜென்ட்களை எவ்வாறு பயன்படுத்த வேண்டும்? — அவற்றின் தன்னாட்சியைக் கட்டுப்படுத்துங்கள், அவற்றின் செயல்பாட்டைப் பதிவு செய்யுங்கள், மேற்பார்வையில் வைத்திருங்கள் மற்றும் அவற்றை நிறுத்த முடியும் என்பதை உறுதிப்படுத்துங்கள்.

குறிச்சொற்கள்

#NCSC #Ransomware #CriticalInfrastructure #AISecurity #Cybersecurity #OperationalTechnology #PatchManagement #CyberResilience #UKCyber #LegacySystems