फर्जी SMS पहचानने के तरीकों पर ढेर सारी सामग्री उपलब्ध है: वर्तनी की गलतियाँ, छोटा किया गया लिंक, डराने वाला लहजा, अनजान नंबर। लेकिन लगभग कोई यह नहीं बताता कि जब उंगली लिंक पर फिसल ही चुकी हो, तब क्या करना चाहिए। जबकि असली खेल ठीक उसी क्षण से शुरू होता है। क्लिक और ठगों द्वारा डेटा के वास्तविक इस्तेमाल के बीच अक्सर कुछ घंटे, कभी-कभी कुछ दिन बीतते हैं। यही खिड़की आपके पास बचाव का मौका है।
यह गाइड कोई सैद्धांतिक पाठ नहीं है। यह एक आपातकालीन प्रोटोकॉल है, जिसे क्रम से पालन करने के लिए बनाया गया है, और इसका उद्देश्य सरल है: नुकसान सीमित करना, फिर नियंत्रण वापस पाना। यह हर किसी के लिए है — उन लोगों के लिए भी जो कुछ मिनट पहले तक यकीन रखते थे कि «ऐसा तो दूसरों के साथ ही होता है»। 2026 में Assurance maladie, डिलीवरी सेवाओं, कर विभाग या यहाँ तक कि Banque de France के नाम पर चलने वाले स्मिशिंग अभियानों की ग्राफिक गुणवत्ता इतनी अच्छी है कि केवल सतर्कता की सहज प्रवृत्ति हमेशा काफी नहीं रह गई है।
सबसे पहले: आकलन करें कि आपने वास्तव में क्या किया है
हर क्लिक एक जैसा नहीं होता। घबराने से पहले तीस सेकंड लेकर अपनी स्थिति का आकलन करें। गंभीरता का स्तर ही तय करेगा कि प्रतिक्रिया कितनी व्यापक होनी चाहिए।
| आपने क्या किया | जोखिम का स्तर | मुख्य प्रतिक्रिया |
|---|---|---|
| SMS खोला, पर क्लिक नहीं किया | बहुत कम | हटा दें, 33700 पर शिकायत करें |
| लिंक पर क्लिक किया, पेज खुला फिर बंद कर दिया | कम से मध्यम | डिवाइस जाँचें, महत्वपूर्ण पासवर्ड बदलें |
| यूज़र आईडी और पासवर्ड दर्ज किया | उच्च | तुरंत पासवर्ड बदलें, संबंधित सेवा को सूचित करें |
| बैंकिंग जानकारी या SMS से मिला कोड दर्ज किया | अत्यंत गंभीर | तुरंत कार्ड ब्लॉक कराएँ, शिकायत दर्ज कराएँ |
| लिंक से कोई ऐप इंस्टॉल किया | अत्यंत गंभीर | डिवाइस को अलग करें, ऐप हटाएँ, ज़रूरत हो तो रीसेट करें |
एक बात स्पष्ट कर देना ज़रूरी है, क्योंकि यह बेवजह बहुत चिंता पैदा करती है: अपडेटेड स्मार्टफोन पर केवल किसी जालसाज़ी वाले वेब पेज को खोल देने भर से जादुई तरीके से वायरस इंस्टॉल नहीं हो जाता। तथाकथित «बिना किसी इंटरैक्शन वाले» हमले मौजूद तो हैं, लेकिन वे दुर्लभ, महँगे और उच्च-मूल्य वाले लक्ष्यों तक सीमित होते हैं। आम जनता को निशाना बनाने वाले स्मिशिंग के अधिकांश मामलों में खतरा उसी से आता है जो आपने पेज पर टाइप किया, न कि उस पर मौजूद कोड से। यह अच्छी खबर है: अगर आपने कुछ दर्ज नहीं किया और कुछ इंस्टॉल नहीं किया, तो आप संभवतः सुरक्षित हैं।
पहले दस मिनट: कनेक्शन काटें और अलग करें
1. अगर आपने कुछ इंस्टॉल किया है तो कनेक्शन काट दें
अगर उस लिंक ने आपके Android पर कोई .apk फ़ाइल डाउनलोड करा दी है, या आपने iPhone पर किसी «कॉन्फ़िगरेशन प्रोफ़ाइल» की अनुमति दे दी है, तो तुरंत एयरप्लेन मोड चालू करें। इससे आप दुर्भावनापूर्ण ऐप और हमलावरों के सर्वर के बीच संचार का रास्ता बंद कर देते हैं। इनमें से कई ऐप आने वाले SMS — यानी बैंक के सत्यापन कोड — को रोककर उन्हें वास्तविक समय में आगे भेजने के लिए ही बनाए जाते हैं।
2. फिलहाल इस डिवाइस पर कुछ भी दर्ज न करें
जब तक आप फोन की स्थिति की जाँच नहीं कर लेते, उस पर अपने पासवर्ड टाइप करने से बचें। किसी दूसरे डिवाइस का इस्तेमाल करें: घर का कंप्यूटर, टैबलेट, या किसी करीबी का फोन। यही वह क्षण है जब सरकारी कामकाज के लिए घर पर रखा गया एक बैकअप लैपटॉप या एक सरल टच टैबलेट अपनी उपयोगिता साबित करता है: ऐसी परिस्थिति में एक दूसरा सुरक्षित उपकरण होना पूरा फर्क डाल देता है।
3. सब कुछ तुरंत नोट कर लें
SMS का स्क्रीनशॉट (भेजने वाले का नंबर सहित), आने का समय, लिंक का पता, क्लिक का समय, और आपने जो कुछ दर्ज किया उसका विवरण। शिकायत दर्ज कराते समय और ज़रूरत पड़ने पर पुलिस में रिपोर्ट लिखवाते समय ये सब माँगे जाएँगे। फोन के पास रखी एक साधारण स्पाइरल नोटबुक इस काम को जल्दबाजी में कोई फ़ाइल बनाने की तुलना में कहीं आसान बना देती है।
अगला एक घंटा: खातों तक पहुँच सुरक्षित करें
4. पासवर्ड बदलें, लेकिन सही क्रम में
आम गलती यह होती है कि लोग सबसे पहले उसी सेवा का पासवर्ड बदलते हैं जिसके नाम पर ठगी हुई। यह प्राथमिकता नहीं है। शुरुआत अपने मुख्य ई-मेल पते से करें: यही आधारशिला है, क्योंकि इसी के ज़रिए बाकी सभी खातों को रीसेट किया जा सकता है। उसके बाद ही, संवेदनशीलता के क्रम में बाकी खातों को संभालें।
- मुख्य ई-मेल
- बैंक खाता और भुगतान ऐप
- मोबाइल ऑपरेटर का खाता (अक्सर भुला दिया जाता है, जबकि यह बेहद अहम है)
- सरकारी खाते: कर विभाग, Ameli, France Connect
- सोशल नेटवर्क और ऑनलाइन शॉपिंग
हर पासवर्ड अलग होना चाहिए। अगर आप हर जगह एक ही संयोजन दोहराते हैं, तो किसी एक सेवा की सेंध आपकी पूरी डिजिटल ज़िंदगी की सेंध बन जाती है। हमलावर सबसे पहले यही आज़माते हैं, जिसे «credential stuffing» कहा जाता है। एक पासवर्ड मैनेजर, या उसके अभाव में नज़रों से दूर रखी गई कागज़ की पासवर्ड डायरी, आपके बच्चों के नाम के किसी रूपांतर से अनगिनत गुना बेहतर है।
5. दो-चरणीय प्रमाणीकरण और खुले सत्रों की जाँच करें
अपने मुख्य खातों की सुरक्षा सेटिंग्स में «कनेक्टेड डिवाइस» या «सक्रिय सत्र» वाला हिस्सा खोजें। जो कुछ भी आप नहीं पहचानते, उसे लॉग आउट कर दें। यह भी जाँचें कि रिकवरी के लिए दर्ज फोन नंबर और ई-मेल पता बदला तो नहीं गया: हमलावर सबसे पहले यही बदलता है ताकि पीड़ित अपने ही खाते से बाहर हो जाए।
इसी मौके पर दो-चरणीय प्रमाणीकरण को मज़बूत करें। अगर आपके संवेदनशील खाते अब भी सिर्फ SMS से भेजे गए कोड पर टिके हैं, तो किसी ऑथेंटिकेटर ऐप पर विचार करें, या मुख्य ई-मेल के लिए एक भौतिक USB सुरक्षा कुंजी पर: आज यही एकमात्र ऐसा कारक है जो वास्तव में फिशिंग के आगे टिकता है, क्योंकि यह कुछ भी देने से पहले साइट का पता जाँचता है।
अगर आपकी बैंकिंग जानकारी चली गई है
यही सबसे तनावपूर्ण स्थिति है, और यहीं गति सबसे ज़्यादा मायने रखती है।
6. बिना देर किए कार्ड ब्लॉक कराएँ
तुरंत अपने बैंक के आपातकालीन नंबर पर कॉल करें, जो आपके कार्ड के पीछे और आपके बैंकिंग ऐप में मौजूद होता है। अगर वह उपलब्ध न हो, तो बैंक कार्ड ब्लॉक कराने वाला अंतर-बैंक सर्वर, जो चौबीसों घंटे उपलब्ध है, सभी संस्थानों में कार्ड ब्लॉक करा देता है। स्पष्ट रूप से माँग करें:
- संबंधित कार्ड को ब्लॉक करना;
- खाते पर कड़ी निगरानी लगाना;
- ऑनलाइन भुगतान को अस्थायी रूप से निष्क्रिय करना;
- यह जाँच कि ट्रांसफर के लिए कोई नया लाभार्थी तो नहीं जोड़ा गया।
यह आखिरी बिंदु बेहद अहम है। हाल की धोखाधड़ियों में ठग हमेशा कार्ड का इस्तेमाल नहीं करता: वह एक लाभार्थी जोड़ता है और ट्रांसफर शुरू करता है, फिर आपको फोन करके «आपका खाता सुरक्षित करने» के बहाने पुष्टि कोड मान्य करवाता है। Banque de France, जिसकी पहचान का इन गिरोहों द्वारा नियमित रूप से दुरुपयोग होता है, याद दिलाता है कि कोई भी आधिकारिक संस्था आपसे कभी कोड मान्य करने, पासवर्ड बताने या अपना पैसा किसी «सुरक्षित खाते» में भेजने को नहीं कहेगी।
कोई वास्तविक बैंक सलाहकार आपसे कभी SMS से मिला कोड बताने को नहीं कहेगा। अगर वह ऐसा करता है, तो वह बैंक सलाहकार है ही नहीं।
7. रिफंड को लेकर अपने अधिकार जानें
फ्रांस का मौद्रिक एवं वित्तीय संहिता (code monétaire et financier) कहता है कि बैंक को अनधिकृत भुगतान लेनदेन की भरपाई करनी होगी, बशर्ते वह यह साबित न कर दे कि आपकी ओर से गंभीर लापरवाही हुई है। यह सीमा-रेखा कभी-कभी विवाद का विषय बनती है, लेकिन यह तथ्य कि आपको आपके बैंक की हूबहू नकल करती किसी साइट या किसी नकली नंबर से आए कॉल ने धोखा दिया, आपके पक्ष में जाता है। लिखित रूप में, रजिस्टर्ड डाक से आपत्ति दर्ज कराएँ और अपनी पुलिस शिकायत की प्रति संभालकर रखें। इनकार की स्थिति में बैंकिंग लोकपाल और फिर ACPR से संपर्क किया जा सकता है।
शिकायत दर्ज कराना: उपयोगी, मुफ़्त, और बहुत कम इस्तेमाल किया जाने वाला
8. SMS को 33700 पर फॉरवर्ड करें
33700 फ्रांस में अवांछित SMS और कॉल की शिकायत दर्ज कराने का आधिकारिक मंच है, जिसे सार्वजनिक प्राधिकरणों की देखरेख में टेलीकॉम ऑपरेटर चलाते हैं। तरीका दो चरणों में है: प्राप्त संदेश को 33700 पर फॉरवर्ड करें, फिर पुष्टि वाले SMS का जवाब देते हुए फर्जी प्रेषक का नंबर बताएँ। यह मुफ़्त है और इससे एक डेटाबेस तैयार होता है जिसकी मदद से भेजने वाले नंबर बंद कराए जाते हैं।
9. आधिकारिक मंचों पर उस साइट की शिकायत करें
- Cybermalveillance.gouv.fr: ऑनलाइन आकलन, सेवा प्रदाताओं से संपर्क, विस्तृत कार्रवाई-पत्रक।
- Phishing Initiative / Signal Spam: फर्जी साइट के पते को ब्राउज़रों में ब्लैकलिस्ट कराने के लिए।
- Internet-signalement.gouv.fr (PHAROS): गैरकानूनी सामग्री की शिकायत।
- शिकायत दर्ज कराना: पुलिस थाने में, जेंडरमरी में, या ठगी के लिए ऑनलाइन शिकायत प्रणाली के ज़रिए। बैंक आपसे इस प्रक्रिया का नंबर माँगेगा।
अगर आपने अपनी पूरी पहचान संबंधी जानकारी (नाम, पता, सामाजिक सुरक्षा नंबर, पहचान पत्र की प्रति) दर्ज कर दी है, तो इसकी भी सूचना दें: पहचान की चोरी इन्हीं तत्वों से गढ़ी जाती है, और अक्सर कई महीनों बाद।
10. अपने करीबियों को सचेत करें
अगर आपका ई-मेल खाता या मैसेजिंग ऐप का खाता हैक हो गया है, तो आपके संपर्कों को भी जालसाज़ी वाले संदेश मिलेंगे — और उन पर आपके नाम का भरोसा भी होगा। परिवार को भेजा गया एक छोटा-सा चेतावनी संदेश शृंखला प्रतिक्रिया को रोक देता है। यह खासकर बुज़ुर्ग परिजनों के लिए सच है, जो आँकड़ों के हिसाब से ज़्यादा निशाना बनते हैं और कम सुसज्जित होते हैं।
डिवाइस की सफाई: क्या काम आता है, क्या नहीं
अगर आपने लिंक से कोई ऐप इंस्टॉल किया है, तो उसे केवल अनइंस्टॉल कर देना हमेशा काफी नहीं होता। Android पर सबसे पहले एक्सेसिबिलिटी सेटिंग्स में और «विशेष पहुँच वाले ऐप» में जाँचें कि किसी अनजान ऐप के पास विस्तृत अधिकार तो नहीं हैं: स्क्रीन पढ़ने और SMS रोकने के लिए बैंकिंग ट्रोजन यही तरीका सबसे ज़्यादा पसंद करते हैं। अनइंस्टॉल करने से पहले ये अनुमतियाँ हटाएँ, वरना ऐप हटाना ब्लॉक हो जाएगा।
फिर सेफ मोड में रीस्टार्ट करके ज़िद्दी ऐप को हटाएँ। अगर संदेह फिर भी बना रहे, तो फ़ैक्टरी रीसेट ही एकमात्र सच्ची गारंटी है — इसीलिए ताज़ा बैकअप इतना ज़रूरी है। महीने में एक बार अपडेट की जाने वाली एक एक्सटर्नल हार्ड ड्राइव या बैकअप वाला microSD कार्ड आपातकालीन रीसेट को महज़ एक औपचारिकता बना देता है।
iPhone पर, Réglages → Général → VPN और डिवाइस प्रबंधन में जाएँ, और हर वह कॉन्फ़िगरेशन प्रोफ़ाइल हटा दें जिसे आपने खुद इंस्टॉल नहीं किया। सब्सक्रिप्शन और सहेजे गए भुगतान माध्यमों की भी जाँच करें।
हर हाल में, लंबित सिस्टम अपडेट लागू करें। अधिकांश दुर्भावनापूर्ण कोड उन्हीं खामियों का फायदा उठाते हैं जिन्हें महीनों पहले ठीक किया जा चुका होता है: अपडेट रहना आज भी सबसे किफायती सुरक्षा है।
आने वाले हफ्ते: लंबी सतर्कता
SMS के ज़रिए हुई ठगी एक दोपहर में खत्म नहीं होती। चोरी हुआ डेटा घूमता है, बिकता है, और महीनों बाद फिर सामने आता है।
अपने बैंक विवरण एक-एक पंक्ति पढ़कर जाँचें, कुछ सेंट के छोटे-छोटे डेबिट भी: ये किसी बड़े लेनदेन से पहले कार्ड की वैधता जाँचने के परीक्षण होते हैं।
कॉल और SMS की बाढ़ के लिए तैयार रहें। एक बार «चारा निगल चुके» पीड़ित को ग्रहणशील लक्ष्य के रूप में दर्ज कर लिया जाता है और उसी रूप में बेचा जाता है। ठग अक्सर «धोखाधड़ी रोधी विभाग» के नाम से दोबारा संपर्क करते हैं और खोई हुई रकम वापस दिलाने की पेशकश करते हैं — यह दूसरी ठगी होती है, जिसे «वसूली धोखाधड़ी» कहा जाता है।
अपने सरकारी खातों की जाँच करें। Ameli, कर विभाग या CAF खाते तक अनधिकृत पहुँच से केवल बैंक विवरण (RIB) बदलकर ही रिफंड की रकम दूसरी जगह भेजी जा सकती है। Assurance maladie इन अभियानों को लेकर नियमित रूप से चेतावनियाँ जारी करता है और याद दिलाता है कि वह SMS से कभी बैंकिंग जानकारी नहीं माँगता।
सब कुछ एक ही फ़ाइल में दर्ज करें। पत्र, स्क्रीनशॉट, केस नंबर, कॉल की तारीखें। अगर बैंक या किसी विभाग के साथ विवाद खिंच जाए, तो यही रिकॉर्ड फर्क डालता है।
अगली बार के लिए हमले की गुंजाइश घटाएँ
स्मिशिंग के खिलाफ कोई स्थायी टीका नहीं आने वाला: जब तक थोक में संदेश भेजना कुछ सेंट में पड़ता रहेगा, ये अभियान चलते रहेंगे। लेकिन अपनी उपस्थिति ज़रूर घटाई जा सकती है।
- अपने इस्तेमाल अलग-अलग रखें। खरीदारी और रजिस्ट्रेशन के लिए एक ई-मेल पता, बैंक और सरकारी कामकाज के लिए दूसरा। जिस दिन पहला लीक होगा, दूसरा पहुँच से बाहर रहेगा।
- अपना नंबर कम बाँटें। भरा गया हर फॉर्म बिकने वाले डेटाबेस में घुसने का एक संभावित दरवाज़ा है।
- SIM कार्ड लॉक करें। एक आसान न रखा गया SIM PIN लाइन की चोरी को, और इस तरह सत्यापन कोड की चोरी को कठिन बना देता है।
- अपने आसपास के लोगों को सिखाएँ। घरेलू साइबर सुरक्षा पर एक सरल भाषा की किताब ड्राइंग रूम की मेज़ पर पड़ी रहे, तो वह अक्सर लंबे भाषण से ज़्यादा असर करती है।
- किसी संदेश में दिए गए नंबर पर कभी वापस कॉल न करें। संस्था का आधिकारिक नंबर खुद खोजें।
याद रखने लायक मुख्य बातें
किसी फर्जी लिंक पर क्लिक कर देना न तो कोई नैतिक अपराध है, न भोलेपन का सबूत। ये संदेश उन पेशेवरों द्वारा तैयार किए जाते हैं जो अपनी भाषा को उसी तरह परखते, मापते और बेहतर बनाते हैं जैसे कोई विज्ञापन अभियान को अनुकूलित करता है। इसके बाद आने वाली शर्म की भावना ही असल में पीड़ितों की सबसे बड़ी दुश्मन है: यही शिकायत, कार्ड ब्लॉक कराने और रिपोर्ट दर्ज कराने में देरी कराती है — यानी वह सब कुछ जो नुकसान कम कर सकता था।
सही सोच तीन चरणों में है: जो अब भी संचार कर सकता है उसे काटें, महत्व के क्रम में खातों की पहुँच सुरक्षित करें, और खुद को कानूनी रूप से तथा दूसरों को बचाने के लिए शिकायत दर्ज कराएँ। बाकी सब धैर्य और निगरानी का मामला है।
और आगे के लिए एक सरल सिद्धांत घर में कहीं टाँग देने लायक है: कोई भी वैध संस्था — बैंक, सरकारी विभाग, ऑपरेटर, कूरियर कंपनी — आपसे कभी SMS के ज़रिए, जल्दबाज़ी में कोई कोड, पासवर्ड या बैंक विवरण की पुष्टि करने को नहीं कहेगी। जिस दिन कोई संदेश आप पर चौबीस घंटे के भीतर कार्रवाई करने का दबाव बनाए, ठीक वही क्षण है कुछ भी न करने का, फोन बंद कर देने का और असली नंबर पर खुद कॉल करने का।
