’باس سکیم‘: واٹس ایپ پر ایک میسج اور ڈیڑھ کروڑ روپے غائب — کارپوریٹ فراڈ کی نئی لہر

سائبر جرائم کی دنیا میں ’باس سکیم‘ کے نام سے ایک خطرناک حربہ تیزی سے پھیل رہا ہے، جس نے کارپوریٹ سیکٹر کی سیکیورٹی کی دھجیاں اڑا دی ہیں۔ ہیکرز اور جعل ساز جعلی شناختی دستاویزات پر حاصل کی گئی سمز کا استعمال کرتے ہوئے کمپنیوں کے سربراہان (سی ای اوز) کے واٹس ایپ اکاؤنٹس کی نقل تیار کرتے ہیں، اور پھر کمپنی کے مالیاتی شعبے سے وابستہ اہلکاروں کو ہنگامی بنیادوں پر رقم کی منتقلی کا حکم دے کر کروڑوں روپے بٹور لیتے ہیں۔ حالیہ کارروائی میں ایک نامور کمپنی کے اکاؤنٹنٹ نے جعلی واٹس ایپ میسج پر بھروسہ کرتے ہوئے ڈیڑھ کروڑ روپے کی بھاری رقم نادانستہ طور پر سائبر مجرموں کے سپرد کر دی۔

ڈیڑھ کروڑ روپے کی چوری: واٹس ایپ فراڈ کا طریقہ کار

یہ پورا فراڈ کسی پیچیدہ ہیکنگ سافٹ ویئر کے بجائے انسانی نفسیات اور خوف کا فائدہ اٹھا کر انجام دیا گیا۔ پولیس تحقیقات کے مطابق، متاثرہ اکاؤنٹنٹ کو واٹس ایپ پر ایک پیغام موصول ہوا جس میں لگے پروفائل نام اور تصویر سے ظاہر ہوتا تھا کہ یہ پیغام ان کی کمپنی کے مالک کی طرف سے ہے۔ پیغام میں انتہائی سخت اور اضطراری لہجہ اپنایا گیا، اور کہا گیا کہ باس اس وقت ایک انتہائی اہم اور خفیہ میٹنگ میں ہیں، اور انہیں ایک ہنگامی ڈیل کو حتمی شکل دینے کے لیے فوراً ڈیڑھ کروڑ روپیہ بتائے گئے بینک اکاؤنٹ میں منتقل کرنے کی ضرورت ہے۔

کمپنی کے اعلیٰ ترین عہدیدار کا حکم سمجھتے ہوئے اور ملازمت پر حرف آنے کے ڈر سے، اکاؤنٹنٹ نے مروجہ تصدیقی مراحل کو نظر انداز کر دیا اور رقم مختلف اقساط میں فراہم کردہ کھاتوں میں منتقل کر دی۔ جب تک حقیقی کمپنی سربراہ اپنی میٹنگ سے فارغ ہوئے، تب تک شاطر مجرم ڈیڑھ کروڑ روپے کی تمام رقم ملٹیپل اکاؤنٹ نیٹ ورک کے ذریعے نکلوا چکے تھے۔

پولیس کا کہنا ہے کہ اس کارروائی میں استعمال ہونے والے تمام واٹس ایپ اکاؤنٹس غیر قانونی اور جعلسازی سے حاصل کردہ سم کارڈز پر قائم کیے گئے تھے۔ مجرم سوشل میڈیا پلیٹ فارمز خصوصاً لنکیڈ ان اور کمپنی کی آفیشل ویب سائٹس سے مالکان کی تصاویر اور معلوماتی مواد چراتے ہیں تاکہ واٹس ایپ پروفائل کو بالکل اصلی دکھایا جا سکے۔

ای میل سپوفنگ سے موبائل ڈائریکٹ میسجنگ تک کا سفر

ماضی میں سائبر مجرم 'بزنس ای میل کنپرومائز' (BEC) کا سہارا لیتے تھے جہاں جعلی ای میلز کے ذریعے رقم منگوائی جاتی تھی۔ تاہم، ای میلز پر اب کارپوریٹ اداروں نے سخت سیکیورٹی فلٹرز لگا دیے ہیں۔ اس کے برعکس، واٹس ایپ یا دیگر میسجنگ ایپس پر آنے والا پیغام زیادہ شخصی اور فوراً توجہ طلب محسوس ہوتا ہے۔ موبائل پر موصول ہونے والے میسجز ملازمین میں شک کرنے کی صلاحیت کو کم کر دیتے ہیں۔

یہ سائبر نیٹ ورکس کسی بھی حملے سے قبل باقاعدہ ریکی کرتے ہیں۔ وہ کمپنی کے تنظیمی ڈھانچے، اکاؤنٹنٹس اور فنانس مینیجرز کی معلومات اکٹھی کرتے ہیں۔ یہ حملے اکثر بینکنگ کے اوقات ختم ہونے سے ٹھیک پہلے یا تعطیلات کے قریب کیے جاتے ہیں تاکہ اکاؤنٹنٹ کے پاس تصدیق کرنے کا وقت کم سے کم ہو اور وہ جلدی میں غلطی کر بیٹھے۔

کارپوریٹ اکاؤنٹس کو اس فراڈ سے کیسے محفوظ بنایا جائے؟

روایتی اینٹی وائرس یا کمپیوٹر سیکیورٹی سسٹمز واٹس ایپ پر ہونے والے اس قسم کے دھوکے کو روکنے میں مکمل طور پر ناکام ہیں۔ اس خطرے سے بچنے کے لیے کمپنیوں کو اپنے مالیاتی قوانین اور رقم کی منتقلی کے طریقہ کار میں بنیادی تبدیلیاں لانی ہوں گی۔

سب سے اہم قدم 'آؤٹ آف بینڈ ویریفکیشن' (ایک سے زائد ذرائع سے تصدیق) کو لازمی قرار دینا ہے۔ اس اصول کے تحت، کسی بھی غیر معمولی يا بڑی رقم کی منتقلی کو صرف میسجنگ ایپ کے حکم پر سرانجام نہیں دیا جا سکتا، بلکہ پہلے سے طے شدہ آفیشل فون نمبر پر براہ راست بات چیت یا ذاتی ملاقات کے ذریعے تصدیق ضروری ہونی چاہیے۔

اس کے ساتھ ساتھ کمپنیوں کو ایسا ماحول بنانا ہوگا جہاں جونیئر ملازمین بغیر کسی خوف کے اپنے سینئرز کے احکامات کی دوبارہ تصدیق کر سکیں۔ سائبر مجرم صرف اور صرف ملازمین کی عدم توجہی اور خوف کا فائدہ اٹھاتے ہیں۔ جب ادارے تصدیقی عمل کو اپنی پالیسی کا حصہ بنا لیں گے تو اس قسم کے فراڈ کا خاتمہ خود بخود ممکن ہو جائے گا۔

اکثر پوچھے گئے سوالات

How do hackers execute the 'Boss Scam' on WhatsApp?

Hackers acquire fake SIM cards using forged IDs, create WhatsApp accounts using executive photos taken from public profiles, and send urgent wire transfer demands to finance staff. The high-pressure messages trick employees into ignoring standard accounting verification protocols.

How was 15 million rupees stolen from the company in India?

An accountant received a high-urgency WhatsApp message posing as the company boss requesting an immediate payment for a vendor contract. Believing the fake executive profile was authentic, the employee processed transfers totaling 15 million INR to accounts controlled by cybercriminals.

What verification protocol prevents executive impersonation wire fraud?

Organizations must mandate out-of-band dual-channel verification, requiring employees to confirm any text-based payment order via a direct voice call to a pre-registered internal phone number. Financial controls should also require two separate authorized signatures for high-value external payments.