डीपफेक अब परिचालन खर्च है: जब CEO की आवाज प्रमाण नहीं रह जाती, तो छोटे और मध्यम उद्यम वित्तीय नियंत्रण कैसे खोते हैं

डीपफेक अब परिचालन खर्च है: जब CEO की आवाज प्रमाण नहीं रह जाती, तो छोटे और मध्यम उद्यम वित्तीय नियंत्रण कैसे खोते हैं

कॉर्पोरेट धोखाधड़ी की सामान्य कहानी पहले सीधी होती थी: एक फर्जी ईमेल, एक नया बैंक खाता, एक असावधान कर्मचारी और एक ऐसा भुगतान जो नहीं होना चाहिए था। डीपफेक तकनीक ने इस कहानी को बदलकर ऐसी चुनौती खड़ी कर दी है जिससे बचाव अधिक महंगा पड़ता है, क्योंकि यह उस बिंदु पर हमला करती है जहां संगठन का बहुत-सा मूल्य केंद्रित होता है: अधिकार।

जोखिम केवल तकनीकी नहीं है; यह भुगतान स्वीकृत करने वालों की तैयारी पर भी निर्भर करता है। business.com ने मई 2024 में 244 कारोबारी नेताओं का सर्वेक्षण किया। उसमें 32% को भरोसा नहीं था कि उनके कर्मचारी डीपफेक के जरिए धोखाधड़ी के प्रयास पहचान पाएंगे, और 61% ने कहा कि उन्होंने इस जोखिम से निपटने की प्रक्रियाएं स्थापित नहीं की थीं। ये एक विशिष्ट नमूने के उत्तर हैं, न कि सभी कंपनियों की तैयारी का माप या कॉर्पोरेट नुकसान का अनुमान। प्रबंधन के लिए महत्वपूर्ण संकेत यह है कि किसी निर्देश को कितना अधिकार दिया जाता है और उसे लागू करने के लिए कितने प्रमाण मांगे जाते हैं।

छोटे और मध्यम उद्यमों के लिए यह जटिल शासन व्यवस्था या समितियों का प्रश्न नहीं है। यह कारोबार की निरंतरता का प्रश्न है: जब कोई कंपनी असली और नकली निर्देश में अंतर नहीं कर पाती, तो उसकी भुगतान प्रणाली लाभ मार्जिन के लिए कमजोरी बन जाती है।

हमले की कार्यप्रणाली: डीपफेक तात्कालिकता को अनुमति में बदल देता है

हांगकांग सरकार द्वारा दर्ज एक मामला यह कार्यप्रणाली दिखाता है। जनवरी 2024 के अंत में पुलिस को एक शिकायत मिली जिसमें पहले से रिकॉर्ड की गई वीडियो कॉन्फ्रेंस के जरिए किसी कंपनी के मुख्य वित्तीय अधिकारी का रूप धारण किया गया था। पीड़ित ने धन हस्तांतरण स्वीकृत किए और लगभग 20 करोड़ हांगकांग डॉलर गंवा दिए। उसी वर्ष जून में बताई गई जांच के अनुसार, वीडियो सार्वजनिक रूप से उपलब्ध तस्वीरों और आवाजों से बनाया गया था; बैठक में वास्तविक बातचीत नहीं हुई और आगे के निर्देश संदेशों के जरिए दिए गए। यह मामला दिखाता है कि कई माध्यम एक ही अधिकार की पुष्टि करते हुए दिखाई दे सकते हैं, जबकि वे स्वतंत्र सत्यापन नहीं देते।

छोटे और मध्यम उद्यमों के लिए खास रकम नहीं, बल्कि विश्वास दिलाने की संरचना महत्वपूर्ण है।

1) डीपफेक किसी प्रणाली में पहले घुसे बिना मानवीय प्रक्रियाओं को भेद सकता है। वीडियो कॉल या ऑडियो संदेश आधुनिक दौर के “कृपया इसे आगे भेज दें, जरूरी है” की तरह काम कर सकते हैं। कमजोर नियंत्रण वाले संगठनों में तात्कालिकता सत्यापन की जगह ले लेती है। इसका मतलब यह नहीं कि दूसरे हमले पहचान की नकल को तकनीकी घुसपैठ के साथ नहीं जोड़ सकते।

2) हमला पहले से ही कई माध्यमों का उपयोग करता है। संदेश में तस्वीर, Teams पर कॉल, औपचारिक ईमेल और कभी-कभी समय का दबाव। यह संयोजन झूठी “परस्पर पुष्टि” का एहसास पैदा करता है। जब हमलावर कई स्रोतों की नकल करता है, तो पीड़ित मान लेता है कि सत्यापन हो गया।

3) निशाना वह जगह है जहां कंपनी भरोसे को पैसे में बदलती है: नकदी प्रबंधन। यदि प्रक्रिया केवल “अधिकार होने के आभास” पर भुगतान निर्देश जारी होने देती है, तो ERP में घुसपैठ की जरूरत नहीं पड़ती।

सरल वित्तीय भाषा में, डीपफेक तरलता पर एक कर जैसा है: यह बिना वास्तविक प्रतिफल के नकदी बाहर जाने की संभावना बढ़ाता है। इस तरह की कमी विपणन या अधिक बिक्री से पूरी नहीं होती; इसके लिए नियंत्रणों में अनुशासन या बाहरी पूंजी चाहिए।

छोटे और मध्यम उद्यमों की वास्तविक लागत: धोखाधड़ी नहीं, आंतरिक नियंत्रण का पुनर्गठन

छोटे और मध्यम उद्यम अक्सर साइबर सुरक्षा को वैकल्पिक खर्च मानते हैं, जब तक कोई घटना न हो जाए। डीपफेक उसे संरचनात्मक लागत मानने को मजबूर करता है, क्योंकि वह भुगतान संबंधी हर अपवाद की अपेक्षित लागत बढ़ाता है।

मुख्य माप हानि का अपेक्षित मूल्य है। इसके लिए जटिल गणित नहीं चाहिए: घटना की संभावना को औसत प्रभाव से गुणा किया जाता है।

सुरक्षा प्रदाताओं के अवलोकन उनके अपने ग्राहक नेटवर्क के भीतर की गतिविधियां बताते हैं; उनसे किसी भी छोटे या मध्यम उद्यम के लिए धोखाधड़ी की सटीक संभावना नहीं निकाली जा सकती। इसलिए वित्तीय नेतृत्व को किसी उद्योगगत दर को अपने-आप नुकसान के पूर्वानुमान में नहीं बदलना चाहिए। उसे अपना जोखिम देखना होगा: कौन भुगतान का निर्देश दे सकता है, किन माध्यमों से और किन नियंत्रणों के तहत? अनौपचारिक प्रक्रियाओं वाली कंपनी में जोखिम बढ़ाने वाले दो संभावित कारक सामने आते हैं।

• अधिकार का केंद्रीकरण। छोटे और मध्यम उद्यमों में CEO या CFO अक्सर भुगतान, खाता परिवर्तन और अपवाद मंजूर करता है। यदि उस पहचान की नकल बन जाए, तो कंपनी की “मुहर” की भी नकल बन जाती है।

• अपवादों के प्रति परिचालन सहनशीलता। छोटे और मध्यम उद्यम शॉर्टकट से गति पाते हैं: WhatsApp पर भुगतान, ऑडियो से मंजूरी और फोन पर पुष्टि किए गए खाता परिवर्तन। डीपफेक उसी गति को नुकसान के रास्ते में बदल देता है।

दूसरा प्रभाव भी उतना ही महंगा है: परिचालन ठहराव। कंपनी देर से प्रतिक्रिया दे तो भुगतान रोकती है, खरीद धीमी करती है, आपूर्तिकर्ताओं के साथ संबंध बिगाड़ती है और जुर्माने या दंड का सामना कर सकती है। धोखाधड़ी सीधा नकदी बहिर्वाह है; परिचालन क्षति अक्षमता और आपात स्थितियों के कारण लाभ मार्जिन पर दबाव है।

सामान्य प्रबंधन के लिए सही निष्कर्ष यह है: बचाव का अर्थ एंटीवायरस की तरह “डीपफेक पहचानना” नहीं, बल्कि यह सुनिश्चित करना है कि भुगतान की मंजूरी किसी ऐसे माध्यम पर निर्भर न हो जिसे जाली बनाया जा सकता है। आवाज और वीडियो पहले ही कम लागत पर नकली बनाए जा सकते हैं।

ऐसे नियम जो वास्तव में फर्क डालते हैं: अधिकार को क्रियान्वयन से अलग करना

business.com के 2024 के सर्वेक्षण में 61% का प्रक्रियाएं न होने की बात कहना उस विशेष नमूने की ठोस कमी दिखाता है। यह साबित नहीं करता कि सभी कंपनियां एक जैसे जोखिम में हैं, लेकिन एक व्यावहारिक प्रश्न जरूरी बनाता है: यदि कल नकली आवाज या तस्वीर वाला भुगतान निर्देश आए, तो कौन-सी प्रक्रिया सुनिश्चित करेगी कि तात्कालिकता जांच की जगह न ले?

छोटे और मध्यम उद्यमों का लक्ष्य नौकरशाही बढ़ाना नहीं, ऐसी व्यवस्था बनाना है जिसमें धोखाधड़ी करने के लिए एक साथ कई सुरक्षा व्यवस्थाएं तोड़नी पड़ें। तीन व्यावहारिक निर्णय नकदी नियंत्रण पर सीधा असर डालते हैं।

1) भुगतान की सीमाएं जिन पर वास्तविक, न कि केवल नाममात्र का, दोहरा नियंत्रण हो।
दोहरा नियंत्रण यानी दो लोग और दो अलग माध्यम, प्रमाण के साथ। यदि हस्तांतरण तय सीमा से अधिक हो, तो मंजूरी केवल ऑडियो, वीडियो कॉल या संदेश से नहीं मिल सकती। एक दूसरा परिचालन सत्यापन जरूरी है: अलग-अलग अधिकारों वाला व्यावसायिक बैंकिंग प्रवाह, या पहले से सहमत और दर्ज माध्यम से पुष्टि।

2) आपूर्तिकर्ताओं के बैंक खातों में परिवर्तन के लिए प्रतीक्षा अवधि।
खाता परिवर्तन धोखाधड़ी का पारंपरिक निशाना है। वित्तीय रूप से उचित नियम सरल है: बड़े भुगतानों के लिए खाता परिवर्तन उसी दिन लागू नहीं किया जाता। बदलाव दर्ज होता है, पहले से तय माध्यम से सत्यापित किया जाता है और न्यूनतम प्रतीक्षा अवधि के बाद लागू होता है। इससे तात्कालिकता पर आधारित हमले का मूल्य घटता है, जो उसका मुख्य हथियार है।

3) ऐसी अपवाद प्रक्रिया जिसका पता लगाया जा सके।
डीपफेक अपवादों में फलता है: “जल्दी करो”, “यह गोपनीय है”, “इसे ऊपरी अधिकारी तक मत पहुंचाओ”। छोटे और मध्यम उद्यमों को जरूरी भुगतानों के लिए “लेखा समापन” जैसी व्यवस्था चाहिए: हर अपवाद के लिए रिकॉर्ड, कारण और प्रमाण हों। उद्देश्य दंड देना नहीं, बल्कि टीम को यह समझाना है कि अपवाद भी जांच योग्य घटना है।

इन उपायों के लिए जरूरी नहीं कि विशाल बजट हो। इनके लिए एक असुविधाजनक बात स्वीकार करनी होगी: आंतरिक भरोसा अपने-आप पर्याप्त प्रमाण नहीं है। Pindrop ने अपने कॉल विश्लेषण में 2024 के दौरान डीपफेक गतिविधि में साल-दर-साल 680% वृद्धि बताई। अलग से, Ontinue ने अपनी ATO टीम द्वारा 2025 की पहली तिमाही में पहचानी गई वॉइस फिशिंग से जुड़ी घटनाओं में 1,633% वृद्धि की सूचना दी; उसकी रिपोर्ट इसकी तुलना पिछली तिमाही से करती है। ये अलग प्रदाताओं और अलग घटनाक्रमों के अवलोकन हैं, न कि एक-दूसरे के बदले इस्तेमाल की जा सकने वाली वैश्विक दरें या नकदी नुकसान के माप। छोटे और मध्यम उद्यमों के लिए इनका उपयोग सत्यापन योग्य नियंत्रणों की जरूरत समझना है, न कि भविष्य में खोने वाली रकम का अनुमान लगाना।

वह पहलू जिसे बोर्ड अक्सर अनदेखा करता है: डीपफेक नकदी प्रवाह को भी चोट पहुंचाता है

मीडिया की सुर्खियां अक्सर प्रतिष्ठा या “CEO की छवि के जोखिम” पर केंद्रित होती हैं। छोटे और मध्यम उद्यमों के लिए वास्तविक चोट पहले लगती है: रोजमर्रा के नकदी प्रबंधन में।

जब कंपनी धोखाधड़ी वाले हस्तांतरण से प्रभावित होती है, तो वह केवल पैसे नहीं खोती। वह विकल्प भी खोती है।

• गलत समय पर तरलता खत्म हो जाए, तो आपूर्तिकर्ताओं से मोलभाव करने की शक्ति खोती है।
• नकदी की कमी भरने के लिए महंगा वित्त जुटाना पड़े, तो लाभ मार्जिन खोती है।
• कमी पूरी करने के लिए बजट मोड़ना पड़े, तो निवेश क्षमता खोती है।

अपने ग्राहकों से वित्तपोषित कंपनियों के लिए नकदी प्रवाह ऑक्सीजन है। प्रसिद्ध मामलों से छोटी धोखाधड़ी भी जल्दी नकदी जुटाने के लिए भारी छूट देने, वसूली नीति बदलने या जरूरी खरीद टालने पर मजबूर कर सकती है। इससे सेवा बिगड़ती है, ग्राहक चले जाते हैं और भविष्य की आय घटती है। हमले की कीमत दो बार चुकानी पड़ती है: पहले एकबारगी नुकसान, फिर परिचालन क्षरण के रूप में।

इसलिए “बोर्ड कृत्रिम बुद्धिमत्ता के युग के लिए तैयार नहीं है” वाली बहस छोटे और मध्यम उद्यमों में एक ठोस निर्देश बनती है: CEO और वित्तीय टीम को ऐसी मंजूरी व्यवस्था पर सहमत होना चाहिए जो पहचान की जालसाजी के बावजूद काम करे।

धारणा भी मायने रखती है: business.com के मई 2024 के सर्वेक्षण में 31% उत्तरदाताओं का मानना था कि डीपफेक ने उनके धोखाधड़ी जोखिम को नहीं बढ़ाया था। सर्वेक्षण यह नहीं मापता कि यह मान्यता किसी हमले की लागत कितनी बढ़ाती या घटाती है। प्रबंधन के लिए मेरी व्याख्या यह है कि जोखिम कम आंकने से नियंत्रणों में निवेश टल सकता है और कमजोर प्रक्रियाएं जारी रह सकती हैं। हमलावर को सभी कंपनियां कमजोर नहीं चाहिए; उसे ऐसी एक कंपनी मिलना पर्याप्त है जहां स्वतंत्र सत्यापन के बिना भुगतान का रास्ता खुला हो।

सही दिशा: भुगतानों को सत्यापन योग्य प्रणाली बनाना, केवल विश्वास का कार्य नहीं

प्रभावी जवाब तकनीक और प्रक्रिया को जोड़ता है, लेकिन क्रम महत्वपूर्ण है। छोटा या मध्यम उद्यम अपनी मंजूरी प्रक्रिया बदले बिना उपकरण खरीदता है तो लागत बढ़ती है और जोखिम रहता है। पहले प्रक्रिया बदले तो तकनीक उसका प्रभाव बढ़ाती है।

पूरी तरह वित्तीय संरचना के नजरिए से मेरी सिफारिश है कि हर नकदी बहिर्वाह को छोटे अनुबंध की तरह लिया जाए: प्रमाण, पता लगाने की क्षमता और जिम्मेदारियों का पृथक्करण। कंपनी को अतिशय संदेह नहीं, लेखांकन का अनुशासन चाहिए।

आवाज और तस्वीर की नकल संभव होने से परिचालन संस्कृति बदलनी जरूरी है: पैसे का मामला हो तो किसी आवाज को अकेला प्रमाण मानकर “आज्ञा का पालन” नहीं करना चाहिए। तय प्रक्रिया का पालन किया जाता है। इस निर्णय के लिए वैश्विक धोखाधड़ी की रकम मान लेना जरूरी नहीं: दर्ज मामलों का अस्तित्व ही यह जांचने के लिए पर्याप्त है कि भुगतान की मंजूरी जाली बनाए जा सकने वाले संकेतों पर निर्भर तो नहीं। प्रमाण और जिम्मेदारियों के पृथक्करण वाली दोहराने योग्य प्रणाली बनाकर छोटे और मध्यम उद्यम अपना नियंत्रण बेहतर बचाते हैं।

नकदी भाषणों या पदानुक्रम से नहीं बचती, बल्कि उन व्यवस्थाओं से बचती है जो गलती करना सत्यापन से अधिक महंगा बनाती हैं। क्योंकि कंपनी का नियंत्रण बनाए रखने वाला एकमात्र वित्तपोषण ग्राहक का वह पैसा है जो लाभ मार्जिन के साथ वसूल किया गया हो और प्रक्रियाओं से सुरक्षित हो।