हम सब हैकों, घोटालों, हमारी खुद की गलतियों या खराब फैसलों की वजह से भी पैसे खोने (जैसे, बेकार ऑल्टकॉइन की खरीदी, काफी देर बाद से या जल्दी उन्हें बेचना, आदि) से डरते हैं। ऐसे मुद्दों पर अनेक विषयों में बात की गई है। लेकिन जब बात नुकसान की आती है, तो आपका जानना जरूरी है पैसे के अलावा भी आप काफी कुछ खो सकते हैं। इससे मेरा मतलब है, पर्सनल जानकारी की चोरी यानि पहचान की चोरी। इस जानकारी की सुरक्षा करना और प्राइवेसी पर ध्यान देना आपके पैसे की सुरक्षा जितनी ही महत्वपूर्ण होनी चाहिए। आखिरकार, पैसे बदलने योग्य है; यह "सिर्फ" एक फाइनेंसियल नुकसान है। एक बार पहचान की चोरी हो जाती है, इसे बदलने का मौका नहीं मिलता है।
यहीं से मुद्दे शुरू होते हैं। पहचान की चोरी से अपने आप को बचाने का एक सबसे अच्छा तरीका है KYC की गलत मान्यताओं को समझना। आजकल कुछ क्रिप्टो सेवाओं के लिए अपने उपयोगकर्ताओं की "KYC" करना जरूरी बन चुका है। KYC का मतलब होता है "अपने ग्राहक को जानना" और इसमें उपयोगकर्ताओं को मजबूरन अपने पर्सनल (निजी) दस्तावेज किसी कंपनी या आर्गेनाइजेशन को भेजना पड़ता है। यह अभी से ही एक बड़ी समस्या का मुद्दा बन रहा है कि कुछ कंपनियां बहुत स्ट्रिक्ट हैं और वे इसे पूरा करने तक आपको अपनी सेवाओं का इस्तेमाल करने नहीं देंगी, चाहे आपको सिर्फ कुछ सौ डॉलर के क्रिप्टो ही क्यों ना खरीदना पड़े।
KYC का मुख्य उद्देश्य पैसों की हेरा फेरी ( जिसे AML , काला धन शोधन कहा जाता है) और आतंकवाद वित्तपोषण को रोकना होना चाहिए। 9/11 के बाद अमेरिका ने मुख्य रूप से सख्त KYC और AML प्रक्रियाओं को शुरू किया था और कई देशों को SEC से निर्देश मिलता है कि वे एक आवश्यकता के तौर पर KYC करें। AML पहले भी होता था लेकिन सिर्फ संस्थानों (इंस्टिट्यूशन और धन की बड़ी संख्या के लिए। आम ग्राहकों पर इसका असर तभी पड़ा जब SEC ने रोक लगाई।
पहले-पहले, आपराधिक कार्यों पर रोक लगाने के लिए KYC करना अच्छा तरीका लगता है। दुर्भाग्य से, असलियत में यह काफी अलग है। क्रिप्टो में KYC काला धन पर रोक लगाने या आपराधिक कार्यों को कम करने में मददगार साबित नहीं होता है; न ही यह आतंकवाद कार्यों के वित्तपोषण को रोकने में मदद करता है। बल्कि, इससे अलग - KYC की प्रक्रिया हमारी प्राइवेसी को खतरे में डालती है और आपराधिक गतिविधियों (KYC घोटालों, पहचान की चोरी और बाकी तरीकों से) को बढ़ावा देती है।
KYC से पहचान की चोरी को बढ़ावा मिलता हैजब भी कोई KYC करता है, तब उन्हें मजबूरन अपने पर्सनल पहचान पत्र किसी बाहरी दल (जैसे एक्सचेंज, ICO, आदि)। उसके बाद, इस प्रक्रिया की गतिविधीयों की खबर उन्हें नहीं होती है और वे अपने गुप्त डेटा की सुरक्षा की जिम्मेदारी पूर्ण रूप से बाहरी दल पर छोड़ देते हैं। अगर कोई डेटा हैक हो जाता है, तो इससे प्रभावित लोग कुछ भी नहीं कर सकते हैं।
जो लोग अपने डेटा की सुरक्षा के बारे में चिंतित है और KYC के लिए जरूरी निजी जानकारी नहीं भेजते हैं, उन्हें सेवा का इस्तेमाल करने से वंचित रखा जाता है।
एक चीज़ स्पष्ट है कि आम उपयोगकर्ताओं को यह खतरा उठाना ही पड़ता है जब उन्हें मजबूरन अपने निजी डेटा को अज्ञात लोगों या एक सेंट्रलाइज्ड सेवा के हाथ सौंपना पड़ता है। इसकी कोई गारंटी नहीं है कि हमारा निजी डेटा वहां सुरक्षित है और कड़े सुरक्षा स्टेंडर्ड वाली बड़ी कंपनियां भी हैक हो सकती है।
डिजीटल दुनिया की चीजों के साथ जैसा होता है, वैसे ही KYC दर्ज करने वाली कंपनियों/संगठन के मामले में भी हैक होने का खतरा बना रहता है। हमने देखा है कि जब बड़ी कंपनियां जैसे Binance हैक हो जाती हैं, तब हैकर बड़ी संख्या में KYC विषय-वस्तु चुरा लेते हैं।
ये सिर्फ ऐसी घटनाएं हैं जो सूचित की गई है। इसलिए, यह अविश्वसनीय नहीं है कि यह सिर्फ मुट्ठी-भर ऐसे KYC हैक हैं जिन्हें अभी तक खुले रूप से स्वीकार नहीं गया है, क्योंकि इसका खुलासा निश्चित रूप से एक्सचेंजों या KYC प्रोवाइडरों के लिए काफी नुकसानदायक साबित होगा। इसमें कोई शक नहीं, कि पेशेवर हैकर KYC पास करने के लिए निजी डेटा को सफलतापूर्वक हैक करके प्राप्त करने के तरीके खोज रहे हैं।
इससे एक और समस्या सामने आ जाती है: हर जगह KYC को लागू करने से, निजी दस्तावेज एक मूल्यवान काला बाजार चीज बनता जा रहा है और पहचान हैक करने या चोरी करने की कीमत भी काफी बड़ी है। इसलिए, KYC को अगर हर जगह लागू किया जाएगा तो पहचान पत्रों के लिए एक अवैध बाज़ार को पैदा होने से रोका नहीं जा सकता है।
ऐसे उपयोगकर्ताएं, जिन्हें किसी भी प्रकार का KYC करने के लिए मजबूर किया जाता है, अपने निजी डेटा के काले बाज़ार पर नीलाम होने का खतरा उठाते हैं। इससे अपराधी आसानी से काला बाजार पर हैक से बने "पहचान पैकेज" खरीद पाएंगे, जिसमें ऐसी सारी जानकारी मौजूद होगी जिसकी मदद से वह उस उपयोगकर्ता का रूप ले सकता है जिसका डेटा हैक किया गया है, और वह उस उपयोगकर्ता के नाम से एक खाता खोल पाएगा जिसके जरिए वह अवैध गतिविधियों को अंजाम देगा।
दो दिन पहले ccn.com ने यह लेख "
डार्क वेब पर बिक्री के लिए दुनिया के जाने-माने क्रिप्टोमुद्रा एक्सचेंजों से हैक किया गया ग्राहक डेटा?” जहां "Dread"नामक एक डार्कनेट बाज़ार पर," ExploitDOT" नामक एक विक्रेता, अधिकतर अधिकार क्षेत्रों द्वारा आवश्यक, बड़े क्रिप्टोमुद्रा एक्सचेंजों द्वारा पूछे गए KYC डेटा से उपयोगकर्ता डेटा बेचने का प्रयास कर रहा है।
आज मेरे साथ काम करने वाले व्यक्ति ने उस विक्रेता से संपर्क किया, जिसने हर दस्तावेज़ (पासपोर्ट या ID, पते का सबूत, सेल्फी फोटो) की कीमत 15 डॉलर बताई, जिसका मतलब हर व्यक्ति की जानकारी 45 डॉलर के लिए उपलब्ध थी। कम से कम 100 KYC पहचान पत्रों (4500 डॉलर के लिए) खरीदना जरूरी है। यह विक्रेता एक क्रिप्टो सौदे के लिए किसी विश्वसनीय एस्क्रो सेवा का इस्तेमाल करने के लिए तैयार था, जिसका मलतब यह है कि यह ऑफर विश्वसनीय हो सकता है।
हैक किए गए पहचान पत्र अपराधियों के लिए काफी मूल्यवान हो सकते हैं, खासकर तब जब पहचान ऐसी जानकारी से जुड़े हो जो उस प्रभावित व्यक्ति के खिलाफ अपराधों से संबंधित हों। इनमें से कुछ इस प्रकार हैं:
- नाम और पता (अनेक दस्तावेजों या बिलों से)
- सरकार-ID, पासपोर्ट, चित्र या सेल्फी
- बायोमेट्रिक डेटा (फिंगरप्रिंट, चेहरे का - या आईरिस (आँखों की पुतलियों का) का -स्कैन)
- यूटिलिटी बिल, धन प्राप्त करने का माध्यम, एम्प्लायर या बैंक खाते से प्राप्त अन्य डेटा
- पासवर्ड, उपयोग किए गए ई-मेल पते
- जमा राशियाँ/निकासी सहित उपयोग किए गए क्रिप्टो पते (ब्लॉकचेन शोध के जरिए अन्य संबंधित पते जोड़ने के साथ)
अपराधी इस डेटा का इस्तेमाल अनेक बुरे तरीकों से कर सकते हैं:
- वे इस डेटा का इस्तेमाल कर उस उपयोगकर्ता का रूप ले सकता है जिसका डेटा हैक किया गया है और आपराधिक गतिविधियां कर सकता है और उस उपयोगकर्ता के नाम से एक खाता खोलकर उसके जरिए वह अवैध गतिविधियों को अंजाम दे सकता है।
- अपराधी हैक किए गए व्यक्ति की जानकारी का इस्तेमाल करके उस व्यक्ति के बाकी खातों तक पहुँच सकता है:
- ई-मेल पतों के जरिए खातों को रीसेट करना
- बायोमेट्रिक डेटा की मदद से से खातों को रीसेट करना
- एक ही पासवर्ड का इस्तेमाल कर दूसरी साइटों को हैक करने की कोशिश करना
- इसके सबसे बुरे प्रभावों में से एक संभवना यह होगी कि अपराधी पर्याप्त हैक किया डेटा एकत्र करके अनुमान लगाएगा कि चोरी करके कितना मुनाफा हो सकता है। इसके लिए इन चीजों की आवश्कयता होगी:
- किसी विपत्ति-ग्रस्त व्यक्ति का पता (उसके निजी दस्तावेज से प्राप्त), और
- उनके धन-संपत्ति की जानकारी (संबंधित क्रिप्टो पतों, या दस्तावेज़ जैसे धन का सोर्स, संपत्ति का सोर्स आदि से खाते पर डिपाजिट/निकासी सूची से प्राप्त)।
यह डेटा काफी होगा किसी विपत्ति-ग्रस्त व्यक्ति का आकलन कर उसे ठगने के लिए। अगर स्कैमर किसी अलग देश में भी स्थित हैं, तो भी वे विपत्ति-ग्रस्त व्यक्ति के देश में बसे बाकी अपराधियों को "आशाजनक लूट के टार्गट" के बारे में जानकारी बेच सकते हैं।
- इसके अलावा, अपराधी रीसेल के लिए डेटा को अधिक मूल्यवान बनाने के लिए दूसरे हैक किए गए डेटा के साथ डेटा को एकत्र और मेच कर सकते हैं।
KYC घोटालों को बढ़ावा दे रहा हैपहचान की चोरी के साथ-साथ, KYC स्कैमरों के लिए मुनाफे का एक नया जरिया बना रहा है, जो फिलहाल एक उभरता घोटाला रणनीति है जिसे “KYC घोटाले" का नाम दिया गया है और उन्हें इस प्रकार अंजाम दिया जाता है:
- उपयोगकर्ता ऐसी सेवा पर क्रिप्टो जमा करता है जिसके लिए KYC की आवश्यकता नहीं पड़ती है।
- पर्याप्त लोगों के डिपाजिट करने के बाद, साइट यह घोषणा करती है कि KYC अब अनिवार्य है और सारा धन लॉक्ड है।
- KYC करने के लिए साइट उपयोगकर्ताओं को ब्लैकमेल करती है। अगर कोई उपयोगकर्ता यह करना नहीं चाहता है, तो वह क्रिप्टो खो देगा, एक्सचेंज उसे जब्त कर लेगा। अगर एक्सचेंज धोखेबाज है, तो उनके पास अपने ग्राहकों की कीमती पहचान दस्तावेज भी होंगे जिन्हें वे खुद के लिए बेच सकते हैं या इस्तेमाल कर सकते हैं।
- उपयोगकर्ताओं के पास खुद का बचाव करने का कोई मौका नहीं होता है।
यही रणनीति इनाम कार्यक्रम भी इस्तेमाल करते हैं, खासकर बेकार ICOs से ऑल्टकॉइन इनाम कार्यक्रम। इसलिए, जरूरी है कि हम KYC घोटालों के बारे में सचेत रहें। ये खासकर अज्ञात एक्सचेंज या बेकार इनाम कार्यक्रमों के साथ होता है। हम सुझाव देते हैं कि सिर्फ भरोसेमंद, बड़े एक्सचेंजों का इस्तेमाल करें जो KYC घोटालों के जरिए अपनी इज्ज़त दांव पर नहीं लगा सकते।
किसी भी हाल में उपयोगकर्ताओं को KYC धोखेबाजों के लिए KYC नहीं करनी चाहिए। कोई भी जाना-माना एक्सचेंज हमेशा ऐसे नियमों और शर्तों का इस्तेमाल करेगा जिनके तहत उपयोगकर्ताओं ने अपना पैसा जमा किया था, और वह एक KYC लागू करने की सूचना देगा जिसके दौरान उपयोगकर्ताएं तभी भी कम सीमाओं का धन निकाल सकेंगे। इस तरह, उपयोगकर्ताएं धोखा खाए बिना अपने क्रिप्टो धन निकाल पाएंगे।
KYC की मदद से धोखेबाज किसी के नज़र में नहीं आएंगेसभी ठग KYC को काफी पसंद करते हैं क्योंकि अपराधी किसी के नज़र में नहीं आएंगे और KYC पास करने के लिए हैक या चोरी के पहचान पत्रों का इस्तेमाल कर अपनी अवैध गतिविधियों को जारी रख पाएंगे। जब बात किसी बड़ी रकम की आती है, तो कोई भी उन्हें रोक नहीं पाएगा:
- काले बाज़ार में पहले से काफी सारे पहचान सेट मौजूद हैं, ज्यादातर होस्ट किए गए दूसरे KYC या ठगों द्वारा हैक किए गए दस्तावेज़। डेटा सेट जितने हद तक पूरे होते हैं, वे उतने ही मूल्यवान होते हैं। KYC पास करने के लिए, अपराधियों को सिर्फ काले बाजार पर संबंधित डेटा रिकॉर्ड ढूंढना पड़ता है।
- इसके साथ, धोखेबाज़ ICO को खुद संचालित कर सकते हैं या कोई स्कैम एक्सचेंज शुरू कर सकते हैं और उसके जरिए KYC मांग सकते हैं। वे उस डेटा का पता लगा सकते हैं जो इस चीज पर आधारित होगा कि वे बाद में इसका इस्तेमाल कैसे करेंगे। इससे अपराधी किसी विशिष्ट ICO या एक्सचेंज के लिए खास KYC डेटा प्राप्त कर पाएंगे।
कभी-कभी इससे अलग, कुछ "माहिर व्यक्ति" प्रस्ताव रख रहे हैं कि वे क्रिप्टो सेवा ग्राहकों के लिए एक अधिक कठिन KYC प्रक्रिया लागू करेंगे जिनका पालन ग्राहकों को करना पड़ेगा, जिसमें अच्छे क्वालिटी के स्कैन या अधिक जानकारी जिसमें बायोमेट्रिक डेटा शामिल होगा। यह सोच बहुत ही गलत है क्योंकि ऐसे उपयोगकर्ताओं की सुरक्षा और भी खतरे में आ जाएगी:
- बायोमेट्रिक डेटा (फिंगरप्रिंट, चहरे या आईरिस का स्कैन) अवैध कारणों के लिए भी किया जा सकता है, जब आपराधी उन्हें हैक करते हैं। प्रभावित लोगों को और भी हानि हो सकते हैं क्योंकि बायोमेट्रिक डेटा सबसे संवेदनशील होता है जिसका खुलासा खतरनाक हो सकता है।
- सबमिट किए गए डेटा की क्वालिटी में सुधार करने का मतलब है कि हैकरों को और भी अधिक सही और अधिक मूल्यवान डेटा प्राप्त हो सकता है। इस बेहतर क्वालिटी से आपराधी आसानी से दूसरों पर नकेल का रूप धारण कर सकेंगे।
- मौजूदा, चोरी के KYC रिकॉर्ड के आधार पर अपराधी अज्ञात पहलुओं को फिर से बनाना शुरू कर रहे हैं। "नकली (डीप-फेक) वीडियो" जैसे वीडियो आइडेंटिफिकेशन को बिगाड़ने के तरीके तेजी से बढ़ रहे हैं। वास्तविक मुखौटों का निर्माण, जिसे वास्तविक लोगों से अलग कर पाना आसान नहीं है, पहचान प्रक्रिया को नाकाम करने एक और तरीका है। लीपज़िग में 2018 35c3 पर पहले से ही ऐसे तरीके प्रस्तुत किए जा चुके हैं, जिसके जरिए वीडियो पहचान प्रक्रियाओं को नाकाम किया जा सकता है।
ये तकनीक भले ही शुरुआती दौर में हैं, और उनके नतीजे परफेक्ट नहीं हैं, लेकिन वास्तव में इनकी संभावना काफी है। अगर KYC को हर जगह लागू किया जाता है तो मुनाफे को बढ़ाने की संभावनाएं देखकर ठग और भी KYC के बेईमान तरीके विकसित करने के लिए प्रोत्साहित होंगे।
वास्तव में, सिर्फ कुछ अपराधियों की जरूरत पड़ती है: जो हैक किए गए डेटा के साथ खातों को वेरीफाई कर सकते हैं। यह सेवा डार्कनेट के थ्रू बाकी अपराधियों को बेची जा सकती है, जो KYC प्रक्रिया को पूरी तरह से खोखला करने के लिए काफी होगी।
इसलिए, अगर KYC अपराधियों को अपनी अवैध गतिविधियों को बंद करने के लिए तैयार किया गया था, तो यह पहले से ही बुरी तरह नाकामयाब रहा है। शायद काले बाज़ार में KYC के लाखों डेटा सेट पड़े हैं, जहाँ इनकी संख्या दिन-ब-दिन बढती जा रही है क्योंकि KYC प्रक्रिया काफी जगहों पर लागू की गई है।
