ब्राज़ील में टेलीकॉम का KYC: SIM स्वैप और अन्य धोखाधड़ी कैसे रोकें

Key takeaways
 

SIM स्वैप और “Mão Fantasma” आज ब्राज़ील में मोबाइल धोखाधड़ी के मुख्य वेक्टर हैं; श्रृंखला की पहली कड़ी होने के कारण टेलको नंबर व क्रिटिकल फ्लो न बचाने पर नुकसान, दंड और भरोसा खोते हैं।

पारंपरिक वेरिफिकेशन उजागर स्थिर डेटा, समझौता हो चुके SMS-OTP और मानवीय प्रक्रियाओं पर निर्भरता से विफल होता है; नंबर पोर्टेबिलिटी और SIM डुप्लीकेट/रीइश्यू सबसे क्रिटिकल हैं—मजबूत पहचान, लाइन-सिग्नल, वैकल्पिक चैनल कन्फर्मेशन और कूल-ऑफ अवधि जरूरी हैं।

विनियमन: Anatel पोर्टेबिलिटी के लिए SMS कन्फर्मेशन (उत्तर-विंडो सहित) अनिवार्य करता है; अपडेटेड RGST और RGC पारदर्शिता व ट्रेसएबिलिटी मज़बूत करते हैं। SMS अनिवार्य है, पर हाई-रिस्क में मजबूत ऑथेंटिकेशन के लिए अपर्याप्त।

प्रभावी रणनीति और Didit की भूमिका: रियल-टाइम KYC (डॉक्यूमेंट, सेल्फी, लाइवनेस), हाई-इम्पैक्ट फ्लो में बायोमेट्रिक्स+MFA, लाइन-सिग्नल-आधारित फैसले; स्वचालित व लचीला प्लेटफॉर्म मैनुअल समीक्षा पर निर्भरता घटाता, डिटेक्शन बढ़ाता और आसान इंटीग्रेशन व स्पष्ट कीमतें देता है।

ब्राज़ील डिजिटल अपराध के उछाल से जूझ रहा है और मोबाइल लाइन इसकी कमजोर कड़ी है: SIM स्वैप हमलावर को नंबर का नियंत्रण देकर SMS-आधारित OTP (one-time password) इंटरसेप्ट कराने देता है, जिससे बैंक खातों और संवेदनशील फिनटेक ऐप्स में प्रवेश मिल जाता है। नतीजा? FEBRABAN (Federação Brasileira de Bancos) के अनुसार 2024 में बैंकिंग नुकसान R$ 10,1 bilhões रहे।

पीड़ित सिर्फ वित्तीय संस्थाएँ नहीं हैं। अक्सर पहली कड़ी होने के नाते टेलीकॉम कंपनियाँ भी आइडेंटिटी-फ्रॉड से सीधा नुकसान, रेगुलेटरी दंड और ग्राहक भरोसे का क्षरण झेलती हैं।

ठगों का modus operandi स्पष्ट है। सोशल इंजीनियरिंग से वे ऑपरेटर-प्रोसेस की कमज़ोरियों का फायदा उठाते हैं और डार्क वेब में लीक (या चोरी) डेटा से वेरिफिकेशन पार कर लेते हैं। साथ ही “Mão Fantasma” भी उभरता खतरा है—इसमें पीड़ित को रिमोट-एक्सेस ऐप इंस्टॉल कराने को उकसाया जाता है; इसके बाद अपराधी बिना आभास दिए फोन संभाल लेते हैं और फर्जी बैंकिंग ऑपरेशन गाइड करते हैं। बैंक और FEBRABAN सलाह देते हैं कि फोन पर कहे जाने पर ऐप इंस्टॉल न करें और किसी तीसरे को रिमोट-एक्सेस न दें।

SIM स्वैप क्या है और ब्राज़ील में यह क्यों बढ़ रहा है

SIM स्वैप ब्राज़ील के टेलीकॉम सेक्टर के लिए बड़ी धमकियों में से एक है। इस फ्रॉड में अपराधी सोशल इंजीनियरिंग व डार्क वेब के डेटा मिलाकर ऑपरेटर को पीड़ित के नंबर पर नई SIM जारी करने के लिए राज़ी कर लेता है।

नंबर पर नियंत्रण पाते ही अटैकर वैध ग्राहक के लिए आने वाले SMS-OTP (लॉगिन/रिकवरी हेतु) पकड़ लेता है, जिससे अकाउंट-टेकओवर (Account Takeover) हो जाता है।

SIM स्वैप का खतरा बढ़ रहा है और उद्योग द्वारा बताई गई उल्लेखनीय “सफलता दर” इसे फ्रॉड/सिक्योरिटी टीमों की प्राथमिकता बनाए रखती है।

टेल्को में पारंपरिक पहचान-पुष्टि क्यों विफल होती है?

ब्राज़ील दुनिया के सबसे आक्रामक साइबरक्राइम परिदृश्यों में से एक का सामना करता है। हर दो सेकंड में पहचान-धोखाधड़ी का प्रयास होता है और कई मामलों में कंपनियाँ समय पर पहचान, रोकथाम व निवारण नहीं कर पातीं।

हालाँकि SIM स्वैप की सटीक आधिकारिक गिनती नहीं है, अनुमान है कि हर साल दसियों हज़ार उपयोगकर्ता प्रभावित हो सकते हैं।

फोकस होना चाहिए मौजूदा टूल्स व प्रोसेस की कमज़ोरी पर। ब्राज़ील में प्रचलित कई समाधान स्थिर वैलिडेशन, मैनुअल रिव्यू और अकड़ू प्रक्रियाओं पर निर्भर रहने के कारण अपर्याप्त सिद्ध हुए हैं। समस्या सिर्फ टूल्स नहीं—अपरोच भी है।

डेटा-लीक और ऑपरेटर की भंगुरता

डार्क वेब पर बड़े-पैमाने डेटा-एक्सपोज़र का मतलब है कि स्थिर डेटा (जैसे CPF या जन्मतिथि) से बुनियादी शुरुआती जांच पार की जा सकती है। जब ये डेटा सार्वजनिक हैं, तो “जो आप जानते हैं” पर आधारित वेरिफिकेशन पहचान सिद्ध नहीं करता।

साथ ही कई टेल्को-प्रोसेस आज भी मानव-आधारित वैलिडेशन (रिटेल स्टोर/कॉल-सेंटर) पर बोझिल हैं और रियल-टाइम रिस्क-सिग्नल एनालिसिस से कटे हुए हैं।

नतीजा, ऐसा इकोसिस्टम बनता है जहाँ:

• वैध ग्राहक को घर्षण झेलना पड़ता है, जो हमलावर को हमेशा नहीं रोकता।
• अपराधी लीक जानकारी से SIM डुप्लीकेट, अकाउंट रिकवरी या ज़बरन पोर्टेबिलिटी कराते हैं।
• फैसले कमज़ोर प्रूफ़ (स्थिर डेटा) पर होते हैं, जबकि मज़बूत प्रूफ़ (लाइवनेस सहित बायोमेट्रिक्स, लाइन-सिग्नल, डिवाइस-रेप्यूटेशन) चाहिए।

लीक और पोर्टेबिलिटी: अदृश्य ब्लाइंड-स्पॉट

ऑपरेटर-बीच पोर्टेबिलिटी (MNP) और SIM रीइश्यू/डुप्लीकेट सबसे बड़ा ऑपरेशनल रिस्क समेटते हैं। इन्हें पार होते ही अटैकर नंबर पर कब्ज़ा कर लेता है और उससे जुड़ी अन्य ऑथेंटिकेशन भी।

इसका मुकाबला करने को ऑपरेटरों को हाई-अश्‍योर्ड स्टैंडर्ड्स अपनाने होंगे:

• रिक्वेस्ट पर स्ट्रॉन्ग-ID (डॉक्यूमेंट + सेल्फी + लाइवनेस)—ऐप/वेब, कॉल-सेंटर और स्टोर सभी चैनलों में।
• ऑथ चैनल तय करने से पहले लाइन-सिग्नल देखें (लाइन-टाइप, SIM की आयु, हालिया स्वैप के संकेत)।
• वैकल्पिक चैनल (पुश या वेरिफाइड ई-मेल) से कन्फर्मेशन और संवेदनशील बदलावों पर कूल-ऑफ पीरियड रखें।

ब्राज़ील में नियम क्या कहते हैं (व्यावहारिक सार)

Anatel (Agência Nacional de Telecomunicações) मोबाइल नंबर-पोर्टेबिलिटी की SMS से पुष्टि अनिवार्य करती है, संदेश उपयोगकर्ता की मौजूदा लाइन पर जाता है। होल्डर के पास जवाब देने को अधिकतम 6 घंटे होते हैं; जवाब न देने या “नहीं” कहने पर अनुरोध स्वतः रद्द। यह उपाय हाई-रिस्क में मजबूत ऑथेंटिकेशन का विकल्प नहीं, बल्कि सभी टेल्को हेतु न्यूनतम नियामकीय आवश्यकता है।

एजेंसी ने Regulamento Geral dos Serviços de Telecomunicações (RGST) भी स्वीकृत किया है, जो सेक्टर के नियम समेकित व अपडेट करता है।

साथ ही Regulamento Geral de Direitos do Consumidor (RGC) को सितंबर 2025 में अपडेट व समेकित किया गया—उपभोक्ता संबंधों में पारदर्शिता, गुणवत्ता और रिवर्सिबिलिटी की बाध्यताएँ और मज़बूत हुईं। इससे पोर्टेबिलिटी, SIM-रीइश्यू और डेटा-परिवर्तनों की सूचना/क्रियान्वयन तथा विवाद-स्थिति में ट्रेसएबिलिटी प्रभावित होती है।

ब्राज़ील के ऑपरेटरों के लिए KYC रणनीति (2025)

सही टूल्स व प्रोसेस के साथ ऑपरेटर आइडेंटिटी-फ्रॉड को काफी हद तक घटा सकते हैं।

• ऑनबोर्डिंग में रियल-टाइम KYC। डॉक्यूमेंट वेरिफिकेशन, 1:1 फेस-मैच और लाइवनेस डिटेक्शन—सिंथेटिक/छद्म पहचान से नए कनेक्शन रोकें।
• SIM रीइश्यू व पोर्टेबिलिटी में फेस-बायोमेट्रिक्स + MFA। क्रिटिकल प्रोसेस में बायोमेट्रिक MFA जोड़ने से सोशल-इंजीनियरिंग मुश्किल होती है।
• रिस्क-सिग्नल-आधारित ऑर्केस्ट्रेशन। SMS-OTP भेजने से पहले रिस्क आँकें: लाइन-टाइप, SIM-आयु, हालिया स्वैप संकेत। हाई-रिस्क हो तो वैकल्पिक रूट (बायोमेट्रिक्स, पुश/वेरिफाइड ई-मेल); लो-रिस्क हो तो सामान्य फ्लो।
• AI व व्यवहार-विश्लेषण। समय, लोकेशन और रिक्वेस्ट-कैडेंस से विसंगतियाँ पकड़ें और प्रोऐक्टिव ब्लॉक करें।

Didit ऑपरेटरों को आइडेंटिटी-फ्रॉड घटाने में कैसे मदद करता है

ब्राज़ील असाधारण फ्रॉड-वॉल्यूम झेल रहा है और ऑपरेटरों के लिए प्राथमिकता #1 है SIM स्वैप, धोखाधड़ीपूर्ण पोर्टेबिलिटी और संवेदनशील डेटा-बदलाव से होने वाले नुकसान घटाना। Didit इसी लक्ष्य के लिए डिज़ाइन किया गया आइडेंटिटी-वेरिफिकेशन प्लेटफॉर्म है।

ऑपरेशनल असर क्या दिखता है?

• मैनुअल सुपरविजन पर कम निर्भरता। Didit हाई-वॉल्यूम परिदृश्यों में मैनुअल रिव्यू घटाकर डिटेक्शन बढ़ाता है—ऑडिट हेतु नियंत्रण व ट्रेसएबिलिटी बनाए रखते हुए।
• ग्लोबल फ्रॉड-इंटेलिजेंस। दुनिया भर के हजारों केस-पैटर्न से सीखकर पहचानता और उसी अनुसार कार्रवाई करता है।
• सरकारी स्रोतों से कनेक्शन। ज़रूरी एंटी-फ्रॉड चेक के लिए सरकारी डेटाबेस से इंटीग्रेशन।
• एंड-टू-एंड ऑटोमेशन। मैनुअल-बॉटलनेक हटाकर ऑनबोर्डिंग/सर्विसिंग तेज़, बिना नियंत्रण छोड़े।
• लचीले, कस्टमाइज़ेबल वर्कफ़्लो। टिकट-बिना नियम बदलें; रिस्क पर अतिरिक्त स्टेप जोड़ें।
• पारदर्शिता और आसान इंटीग्रेशन। API और नो-कोड मॉड्यूल से तेज़ लॉन्च, स्पष्ट प्राइसिंग।

क्यों Didit आम बाज़ार-सीमाएँ पार कर देता है

जहाँ पारंपरिक वेंडर स्थिर वैलिडेशन, मैनुअल रिव्यू और कड़े प्रोसेस पर टिके हैं, Didit एक ऑटोमेटेड, ऑर्केस्ट्रेबल लेयर जोड़ता है—सरकारी स्रोतों से जुड़ा—जो मैनुअल निर्भरता घटाकर डिटेक्शन बढ़ाता और UX को नियंत्रित रखता है। यह पूर्ण पहचान-पुष्टि को ग्लोबल फ्रॉड-पैटर्न बेस से मिलाकर नई एक्टिवेशन, पोर्टेबिलिटी और SIM रीइश्यू पर रियल-टाइम निर्णय लेता है।