பொறியியல் நிறுவனமான Arup-ன் ஹாங்காங் அலுவலகத்தில் நடந்த ஒரு அதிர்ச்சிகரமான சம்பவம், முதலீட்டாளர்களுக்கு AI மூலம் நிகழும் நிதி மோசடிகள் பற்றிய ஒரு முக்கிய பாடமாக அமைந்துள்ளது. இந்த சம்பவம், டிஜிட்டல் அச்சுறுத்தல்களில் இருந்து நிதிநிலையைப் பாதுகாக்க, இந்திய நிறுவனங்கள் கண்டிப்பான, பல அடுக்கு சரிபார்ப்பு முறைகளை உடனடியாகச் செயல்படுத்த வேண்டியதன் அவசியத்தை உணர்த்துகிறது.
AI மூலம் ₹200 கோடிக்கு மேல் மோசடி!
நடப்பு 2024 ஜனவரியில், பன்னாட்டு பொறியியல் நிறுவனமான Arup-ன் ஹாங்காங் அலுவலகம் ஒரு சிக்கலான நிதி மோசடிக்கு ஆளானது. இதில் சுமார் $25.6 மில்லியன் (இந்திய மதிப்பில் சுமார் ₹200 கோடிக்கு மேல்) இழப்பு ஏற்பட்டது. இதில், தாக்குதல் நடத்தியவர்கள் செயற்கை நுண்ணறிவால் (AI) உருவாக்கப்பட்ட டீப்ஃபேக் வீடியோ மற்றும் ஆடியோவைப் பயன்படுத்தி, வீடியோ கான்ஃபரன்ஸில் நிறுவனத்தின் CFO மற்றும் பிற மூத்த அதிகாரிகளைப் போல நடித்து ஏமாற்றியுள்ளனர். இது டிஜிட்டல் யுகத்தில் கார்ப்பரேட் நிர்வாகத்திற்கு ஒரு நிரந்தர எச்சரிக்கையாக அமைந்துள்ளது.
இது புதியதல்ல, ஆனால் முக்கிய பாடம்!
இந்த சம்பவம் புதிதானதல்ல என்றாலும், ஜெனரேட்டிவ் AI (Generative AI) நிறுவனங்களின் நிதிநிலைக்கு ஏற்படுத்தும் ஆபத்துக்களைப் புரிந்துகொள்வதற்கான ஒரு அடிப்படை ஆய்வு உதாரணமாக இது விளங்குகிறது. முதலீட்டாளர்களுக்கு, சைபர் அச்சுறுத்தல்கள் வெறும் ஈமெயில் ஃபிஷிங்கோடு நின்றுவிடவில்லை என்பதை இது நினைவூட்டுகிறது. தாக்குதல் நடத்துபவர்கள் இப்போது, வழக்கமான பாதுகாப்பு அடுக்குகளைத் தாண்டி, நிகழ்நேர ஆள்மாறாட்டத்தைப் பயன்படுத்தி, உள் நிதி கட்டுப்பாட்டு அமைப்புகளைவே முதல் பாதுகாப்பு அரணாக மாற்றியுள்ளனர்.
எப்படி இந்த மோசடி நடந்தது?
இந்த மோசடியின் பின்னணி 'ஜெனரேட்டிவ் அட்வர்சரியல் நெட்வொர்க்ஸ்' (Generative Adversarial Networks) என்ற தொழில்நுட்பம். சுருக்கமாகச் சொன்னால், இது ஒரு வகை AI ஆகும். இதில் ஒரு சிஸ்டம் போலியான உள்ளடக்கத்தை உருவாக்குகிறது, மற்றொரு சிஸ்டம் அது உண்மையிலிருந்து வேறுபடுத்த முடியாத அளவுக்கு துல்லியமாக உள்ளதா எனச் சோதிக்கிறது. இந்த தொடர்ச்சியான செயல்முறை மூலம், குற்றவாளிகள் நிறுவன அதிகாரிகளின் நம்பத்தகுந்த டிஜிட்டல் பிரதிகளை உருவாக்கி, ஒரு ஊழியரை 15 தனித்தனி கம்பி பரிமாற்றங்களுக்கு (wire transfers) அங்கீகரிக்கச் செய்துள்ளனர். இந்த பணம் மாற்றப்பட்ட பின்னரே, ஊழியர் நிறுவனத்தின் தலைமையகத்துடன் வழக்கமான சரிபார்ப்பு படிகளை மேற்கொண்டபோதுதான் இந்த மோசடி கண்டுபிடிக்கப்பட்டது.
இந்திய சந்தைக்கு என்ன பாடம்?
இந்திய சந்தையில், நிறுவனங்கள் டிஜிட்டல் அங்கீகாரத்தை எவ்வாறு கையாளுகின்றன என்பது குறித்து இந்த சம்பவம் முக்கியமான கேள்விகளை எழுப்புகிறது. வணிகங்கள் செயல்பாடுகளை விரைவுபடுத்த புதிய தொழில்நுட்பத்தை அதிகமாக ஏற்றுக்கொள்வதால், 'செயற்கை உண்மை' (synthetic truth) - அதாவது, ஆடியோ-விஷுவல் ஆதாரங்கள் போலியாக உருவாக்கப்படலாம் - ஒரு முக்கிய பிரச்சனையாக மாறுகிறது. முதலீட்டாளர்கள், நிறுவனங்கள் தங்கள் சைபர் பாதுகாப்பு கட்டமைப்புகளை எவ்வாறு வெளிப்படுத்துகின்றன என்பதைக் கவனிக்க வேண்டும். இன்றைய வலுவான நிர்வாகம் என்பது வெறும் IT பாதுகாப்பு மட்டுமல்ல, 'மனிதனை மையமாகக் கொண்ட' (human-centric) நெறிமுறைகளையும் உள்ளடக்கியது. உதாரணமாக, ஒரு உயர் மதிப்பு பரிவர்த்தனைக்கு, கோரிக்கை ஒரு மூத்த நிர்வாகியிடமிருந்து வருவது போல் தோன்றினாலும், இரட்டை காரணி அங்கீகாரம் (dual-factor approval) தேவை.
சட்டங்களும், நிர்வாகத்தின் பொறுப்பும்
ஒழுங்குமுறை அமைப்புகள் மற்றும் சட்ட கட்டமைப்புகளும் இந்த யதார்த்தங்களுக்கு ஏற்ப மாறி வருகின்றன. இந்தியாவில், 2023 ஆம் ஆண்டின் பாரதிய சக்ஷியா அதினியம் (Bharatiya Sakshya Adhiniyam, 2023) மின்னணு ஆதாரங்கள் தொடர்பான விதிகளை நவீனமாக்கியுள்ளது. இருப்பினும், இத்தகைய இழப்புகளைத் தடுக்கும் இறுதிப் பொறுப்பு கார்ப்பரேட் நிர்வாகம் மற்றும் அவர்களின் உள் தணிக்கைக் குழுக்களிடமே உள்ளது. நிதி செயல்முறைகளைப் பாதுகாக்கத் தவறினால், பங்குதாரர் மதிப்பு கணிசமாக குறையக்கூடும். எனவே, நீண்ட கால முதலீட்டாளர்கள் கண்காணிக்க வேண்டிய முக்கிய காரணியாக சைபர் பாதுகாப்பு முதிர்ச்சி (cybersecurity maturity) விளங்குகிறது.
முதலீட்டாளர்கள் கவனிக்க வேண்டியவை
முதலீட்டாளர்களுக்கான மிக முக்கியமான செய்தி என்னவென்றால், நிறுவனங்கள் இந்த அபாயங்களை எவ்வாறு நிர்வகிக்கின்றன என்பதைக் கண்காணிக்க வேண்டும். ஆண்டு அறிக்கைகளைப் படிக்கும்போது, சைபர் பின்னடைவு (cyber-resilience), AI ஆள்மாறாட்டத்தைக் கண்டறிய ஊழியர்களுக்கான பயிற்சி, மற்றும் டிஜிட்டல் கோரிக்கை எவ்வளவு நம்பத்தகுந்ததாகத் தோன்றினாலும், ஒரு தனி நபரால் கடக்க முடியாத வலுவான உள் தணிக்கை வழிமுறைகள் போன்ற குறிப்புகளைத் தேட வேண்டும்.