साल में एक दौर ऐसा आता है जब ठगों को अच्छा होने की ज़रूरत ही नहीं पड़ती: उन्हें बस सही समय पर मौजूद रहना होता है। यह दौर है छुट्टियों पर निकलने का, वापसी के सप्ताहांत का, लंबे वीकेंड का, आने-जाने वालों की भीड़ वाले उस हफ्ते का। इसलिए नहीं कि छुट्टी मनाने वाले ज़्यादा भोले होते हैं, बल्कि इसलिए कि वे एक बहुत ही खास मानसिक स्थिति में होते हैं: वे संदेशों का इंतज़ार कर रहे होते हैं, बहुत सारे संदेशों का, ऐसे लोगों से जिन्हें वे जानते तक नहीं।
एक बुकिंग की पुष्टि। की-बॉक्स का एक एक्सेस कोड। एयरलाइन का एक रिमाइंडर। कार किराए पर देने वाली कंपनी का SMS। शटल की ट्रैकिंग का लिंक। सामान्य जीवन में, किसी अनजान नंबर से आया संदेश जो आपसे क्लिक करने को कहे, तुरंत खतरे की घंटी बजा देता है। लेकिन यात्रा में यह रोज़मर्रा की बात बन जाती है। ठीक इसी "सामान्य हो जाने" का फायदा स्मिशिंग — यानी SMS के ज़रिए फिशिंग, जैसा कि Cybermalveillance.gouv.fr इसे परिभाषित करता है — छुट्टियों के मौसम में उठाता है।
यात्रा सतर्कता को क्यों कमज़ोर कर देती है
फर्जी SMS अभियान एक बेहद सरल सिद्धांत पर चलते हैं: एक विश्वसनीय-सा परिदृश्य लाखों नंबरों पर भेज दो और इंतज़ार करो कि संयोग से वह संदेश किसी प्राप्तकर्ता की असली स्थिति से मेल खा जाए। छुट्टियों के दौर में यह संयोग लगभग निश्चितता बन जाता है।
चार कारक एक साथ जुड़ते हैं।
आप सचमुच अनजान संदेशों की प्रतीक्षा कर रहे होते हैं। Airbnb का कोई मकान-मालिक, एक रियल एस्टेट एजेंसी, एक कैंपिंग साइट, हवाई अड्डे की पार्किंग: ये सब वैध पक्ष हैं जो आपको ऐसे नंबरों से लिखते हैं जिन्हें आपने पहले कभी नहीं देखा। "मैं इस नंबर को नहीं जानता" वाला मानसिक फ़िल्टर अब काम नहीं करता।
समय कम है। रवानगी से तीन दिन पहले बुकिंग में गड़बड़ी की सूचना देने वाला SMS आपको रुककर सोचने की गुंजाइश नहीं देता। यहाँ जल्दबाज़ी गढ़ने की ज़रूरत भी नहीं पड़ती: वह पहले से ही आपके कैलेंडर में मौजूद है।
पढ़ने की परिस्थितियाँ खराब होती हैं। बोर्डिंग की कतार में खड़े-खड़े, हाईवे के किसी विश्राम स्थल पर, स्क्रीन पर पड़ती धूप और आस्तीन खींचते बच्चे के साथ। ऐसी हालत में कोई डोमेन नाम की स्पेलिंग नहीं जाँचता।
फोन खुद कमज़ोर स्थिति में है। कम बैटरी, ग्रामीण इलाकों में अस्थिर नेटवर्क, होटल का साझा वाई-फाई। 8% बैटरी वाला स्मार्टफोन जल्दी कदम उठाने को उकसाता है — जाँचने के बजाय क्लिक कर देने को, यह सोचने को कि "बाद में ठीक से देख लूँगा"।
इसीलिए एक ट्रैवल पावर बैंक महज़ सुविधा का सामान नहीं, बल्कि सुरक्षा का असली उपकरण है: चार्ज किया हुआ फोन यानी ऐसा फोन जिससे आप आराम से होटल के असली नंबर पर कॉल करने का समय निकाल सकें, बजाय इसके कि मिले हुए लिंक पर क्लिक कर दें।
पाँच सबसे आम मौसमी परिदृश्य
1. वह बुकिंग जो "मान्य नहीं हुई"
संदेश पहुँचने से कुछ दिन पहले यह मैसेज आता है: « 12/08 की आपकी बुकिंग की पुष्टि नहीं हो सकी, भुगतान अस्वीकृत हो गया। रद्द होने से बचने के लिए 24 घंटे के भीतर नियमित करें। » लिंक ऐसे पेज पर ले जाता है जो किसी जाने-माने बुकिंग प्लेटफॉर्म की हूबहू नकल होता है।
जाल दोहरा है। पहले, महीनों पहले बुक किए गए ठिकाने के हाथ से निकल जाने का डर। फिर, छोटी-सी रकम: आपसे 800 € नहीं माँगे जाते, बल्कि कार्ड को "फिर से मान्य" करने या 50 € की सिक्योरिटी जमा करने को कहा जाता है। DGCCRF और खुद ये प्लेटफॉर्म बार-बार एक अटल नियम दोहराते हैं: कोई भी वैध भुगतान बुकिंग प्लेटफॉर्म के बाहर नहीं होता। जो मकान-मालिक सीधे बैंक ट्रांसफर, SMS से भेजे गए भुगतान लिंक या गिफ्ट कार्ड से भुगतान पर अड़ा हो, वह लगभग हर मामले में ठग होता है।
2. बकाया टोल का फर्जी नोटिस
यह परिदृश्य बैरियर-रहित (फ्री-फ्लो) टोल के प्रसार के साथ तेज़ी से बढ़ा है — वह व्यवस्था जिसमें बाद में किसी आधिकारिक साइट पर भुगतान किया जाता है। संदेश छोटा होता है: « 09/08 को A79 पर बिना भुगतान के गुज़रे। राशि: 4,20 €। जुर्माना लगने से पहले 72 घंटे में भुगतान करें। »
सब कुछ नपा-तुला होता है: रकम वास्तविक लगती है, हाईवे सचमुच मौजूद है, समय-सीमा विश्वसनीय है। बहुत-से वाहन चालकों को तो पता ही नहीं होता कि उन्होंने अपने गुज़रने का भुगतान किया था या नहीं। नियम यह है: फ्री-फ्लो टोल का भुगतान कभी भी SMS में मिले लिंक से न करें। संबंधित हाईवे कंपनी की आधिकारिक साइट का पता खुद टाइप करें, या अपने टोल बैज के ऐप से भुगतान करें। यही बात फर्जी चालान नोटिसों पर भी लागू होती है: उल्लंघनों के स्वचालित प्रसंस्करण की राष्ट्रीय एजेंसी की आधिकारिक साइट ही एकमात्र प्रवेश-बिंदु है, और वह आपको भुगतान लिंक वाला SMS कभी नहीं भेजेगी।
3. बदली हुई फ्लाइट और फर्जी बोर्डिंग पास
« आपकी फ्लाइट AF1234 में बदलाव हुआ है। अपना नया बोर्डिंग पास देखें। » लिंक आपसे बुकिंग नंबर, नाम, कभी-कभी पासपोर्ट और "पुनः जारी करने के शुल्क" के लिए बैंक कार्ड माँगता है।
यहाँ निशाने पर सिर्फ पैसा नहीं, बल्कि पहचान संबंधी डेटा होता है। एक पूरी ट्रैवल फाइल — नाम, जन्मतिथि, पासपोर्ट नंबर, पता — बेची जाती है और फिर उसका इस्तेमाल खाते खुलवाने या कर्ज़ लेने में होता है। सही प्रतिक्रिया: एयरलाइन का आधिकारिक ऐप खोलें, या डिस्प्ले बोर्ड देखें। फ्लाइट में हुआ असली बदलाव हमेशा आपकी बुकिंग फाइल में दिखता है, सिर्फ SMS में कभी नहीं।
4. की-बॉक्स और एक्सेस कोड
यह ज़्यादा चुपचाप और ज़्यादा शातिर तरीका है। पहुँचने से एक दिन पहले आपको संदेश मिलता है: « नमस्ते, चाबी सौंपने की व्यवस्था में आखिरी वक्त पर बदलाव हुआ है, कृपया यहाँ अपनी पहचान की पुष्टि करें। » लिंक स्कैन किया हुआ पहचान-पत्र इकट्ठा करता है, और कभी-कभी "सिक्योरिटी लौटाने के लिए" बैंक विवरण भी।
जिस संकेत पर चौकन्ना होना चाहिए वह है: संचार माध्यम का बदल जाना। अगर पूरी बातचीत प्लेटफॉर्म के मैसेजिंग सिस्टम में हुई हो और अचानक वह SMS पर चली जाए, तो यह लाल झंडी है। ठग सार्वजनिक विज्ञापनों से जानकारी उठाते हैं और यात्रियों से अंधाधुंध संपर्क करते हैं, इस उम्मीद में कि कोई ऐसा मिल जाए जिसने सचमुच बुकिंग की हो।
5. यात्रा के दौरान बैंक की "सहायता"
यह सबसे महँगी किस्म है। पहले एक चेतावनी SMS आता है ("विदेश में 749 € के भुगतान का प्रयास"), उसके तुरंत बाद एक कॉल आती है, अक्सर स्पूफिंग की मदद से आपके बैंक के ही नंबर के रूप में प्रदर्शित। शांत आवाज़ में कोई व्यक्ति आपसे कहता है कि "लेन-देन रोकने" के लिए अपने कोड बताइए या ऐप में एक नोटिफिकेशन को मंज़ूरी दीजिए।
Fédération bancaire française और खुद बैंकों द्वारा दोहराया गया नियम पूर्ण रूप से स्पष्ट है: कोई सलाहकार आपसे कभी किसी लेन-देन को मंज़ूरी देने, SMS से मिला कोड बताने या रिमोट कंट्रोल सॉफ्टवेयर इंस्टॉल करने को नहीं कहेगा। फोन काट दीजिए और अपने कार्ड के पीछे लिखे नंबर पर खुद कॉल कीजिए।
दस सेकंड में छँटाई की तालिका
जब कोई संदेश आए और आपके पास न समय हो, न जाँच-पड़ताल का सुकून, तो अधिकांश मामलों में यह छँटाई ही काफी है।
| संदेश क्या कहता है | वैध प्रतिक्रिया | जोखिम भरी प्रतिक्रिया |
|---|---|---|
| कोई भुगतान विफल हो गया | संबंधित ऐप खुद खोलें | दिए गए लिंक पर क्लिक करें |
| 24-72 घंटे में कोई रकम देनी है | आधिकारिक पता हाथ से टाइप करें | लिंक से भुगतान करें |
| आपसे पहचान-पत्र माँगा जाता है | प्लेटफॉर्म के मैसेजिंग से बात करें | SMS से स्कैन भेजें |
| SMS के बाद कोई सलाहकार कॉल करता है | फोन काटें, कार्ड वाले नंबर पर कॉल करें | लाइन पर बने रहें और मंज़ूरी दें |
| लिंक में ब्रांड का नाम अजीब तरह से लिखा है | अनदेखा करें और मिटा दें | "बस देख लेते हैं" कहकर पेज खोलें |
एक तकनीकी बात अक्सर गलत समझी जाती है: छोटे किए गए (शॉर्टन्ड) लिंक पर दिखने वाले पते का कोई मतलब नहीं होता। ये अभियान बड़े पैमाने पर लिंक शॉर्टनर और ऐसे डोमेन नामों का इस्तेमाल करते हैं जिनमें वैध ब्रांड सब-डोमेन के रूप में डाल दिया जाता है। secure-colissimo.paiement-xyz.top जैसे पते का उस सेवा से कोई लेना-देना नहीं जिसकी वह नकल करता है: मायने यह रखता है कि एक्सटेंशन के ठीक पहले क्या है, न कि शुरुआत में क्या लिखा है।
निकलने से पहले फोन को तैयार करें
यात्रा में सबसे अच्छी सुरक्षा रवानगी से एक दिन पहले, घर पर आराम से तैयार की जाती है।
आधिकारिक संचार माध्यमों की सूची बना लें। अपने बैंक, बीमा कंपनी और ठहरने की जगह का नंबर कॉन्टैक्ट्स में सेव करें। पहले से सेव किया नंबर नाम के साथ दिखता है: अगर कथित तौर पर बैंक से आई कॉल किसी अनजान नंबर से आए, तो शक तुरंत हो जाता है।
नोटिफिकेशन प्रीव्यू लॉक करें। एक बार इस्तेमाल होने वाले वेरिफिकेशन कोड डिफ़ॉल्ट रूप से लॉक स्क्रीन पर दिख जाते हैं। ट्रेन में, कतार में या साझा कमरे में, इतना ही किसी खाते को खतरे में डालने के लिए काफी है। यह सेटिंग नोटिफिकेशन सेटिंग्स में "प्रीव्यू" या "कंटेंट दिखाएँ" के अंतर्गत मिलती है। इसी तर्ज पर, स्मार्टफोन स्क्रीन के लिए प्राइवेसी फ़िल्टर स्क्रीन को तिरछे कोण से अपठनीय बना देता है — हवाई जहाज़ में भी उपयोगी और कैफे की छत पर भी।
सार्वजनिक चार्जिंग पॉइंट के बिना काम चलाने का इंतज़ाम रखें। हवाई अड्डों और स्टेशनों के खुले USB चार्जिंग पॉइंट एक असली समस्या पैदा करते हैं: बिना नियंत्रण वाला डेटा पोर्ट कुछ स्थितियों में गलत इस्तेमाल किया जा सकता है। दीवार के प्लग वाला एक साधारण USB अडैप्टर, या केवल चार्जिंग वाली, डेटा ट्रांसफर रहित केबल इस सवाल को ही खत्म कर देती है। यह पैरानोया नहीं, वही तर्क है जिसके तहत ज़मीन पर पड़ी USB ड्राइव को हम अपने कंप्यूटर में नहीं लगाते।
निकलने से पहले बैकअप लें। छुट्टियों में खोया या चोरी हुआ फोन यानी आपके मैसेज, ईमेल और बैंकिंग ऐप्स तक संभावित पहुँच। एक ताज़ा बैकअप और रिमोट लोकेशन चालू रखना पूरा नतीजा बदल देता है। डिवाइस की भौतिक सुरक्षा का इंतज़ाम भी करें: रेत, खारा पानी और बीच बैग जितना नुकसान करते हैं, उसका अंदाज़ा लोगों को नहीं होता, और एक वॉटरप्रूफ स्मार्टफोन कवर बदली हुई स्क्रीन से कहीं सस्ता पड़ता है।
होटल का वाई-फाई, सार्वजनिक नेटवर्क और फर्जी पोर्टल
कैंपिंग साइट या होटल लॉबी का मुफ्त वाई-फाई अलग से ज़िक्र के लायक है। आज मुख्य जोखिम डेटा की चोरी-छिपे रिकॉर्डिंग नहीं रह गया — ज़्यादातर साइटें और ऐप्स अपना आदान-प्रदान एन्क्रिप्ट करते हैं — बल्कि फर्जी कैप्टिव पोर्टल है: वह पेज जो नेटवर्क तक पहुँचने से पहले आपसे "पहचान सत्यापित करने" को कहता है और कभी-कभी ईमेल, पासवर्ड, यहाँ तक कि "सत्यापन के लिए" बैंक कार्ड भी माँगता है।
तीन नियम काफी हैं:
- कोई वैध कैप्टिव पोर्टल कभी आपका ईमेल पासवर्ड या कार्ड नंबर नहीं माँगता।
- नेटवर्क का सटीक नाम रिसेप्शन से पूछकर सत्यापित करें। असली "Hotel-Wifi" के बगल में "Hotel_Wifi_Free" नाम का नेटवर्क एक क्लासिक जाल है।
- संवेदनशील कामों के लिए — बैंकिंग, टैक्स, खरीदारी — अपने मोबाइल कनेक्शन को प्राथमिकता दें। अपने ही प्लान से हॉटस्पॉट साझा करना किसी खुले नेटवर्क से ज़्यादा सुरक्षित है, और यूरोप के बाहर लंबे प्रवास के लिए स्थानीय प्रीपेड सिम एक अच्छा विकल्प बनी रहती है।
अगर संदेश पहले ही खोला जा चुका है
फर्जी SMS खोल लेना अपने आप में खतरनाक नहीं है। जोखिम क्लिक से शुरू होता है, और जानकारी भरने पर गंभीर हो जाता है।
- आपने सिर्फ क्लिक किया, कुछ भरा नहीं। पेज बंद कर दें, दोबारा उस पर न जाएँ, कुछ न भरें। जाँचें कि आपकी जानकारी के बिना कोई ऐप इंस्टॉल तो नहीं हो गया, खासकर Android पर जहाँ बाहरी स्रोत से इंस्टॉलेशन संभव रहता है।
- आपने बैंकिंग जानकारी भर दी। अपने बैंक के ऐप से या कार्ड के पीछे लिखे नंबर से तुरंत कार्ड ब्लॉक कराएँ। विदेश से भी यह नंबर उपलब्ध रहता है। स्क्रीनशॉट संभालकर रखें।
- आपने पहचान-पत्र भेज दिया। इसकी सूचना दें और अपने नाम पर किसी भी खाते के खुलने पर नज़र रखें। शिकायत दर्ज कराना, चाहे दूर से ही क्यों न हो, एक उपयोगी दस्तावेज़ बनता है।
- संदेश की रिपोर्ट करें। फ्रांस में 33700 नंबर फर्जी SMS की सूचनाएँ लेता है: संदेश को 33700 पर फॉरवर्ड करें, फिर पूछे जाने पर भेजने वाले का नंबर भेजें। यह सेवा निःशुल्क है। आप आधिकारिक प्लेटफॉर्म Cybermalveillance.gouv.fr पर भी रिपोर्ट कर सकते हैं, जो उपयुक्त कार्रवाई की दिशा बताता है, और अवैध सामग्री के लिए internet-signalement.gouv.fr (PHAROS) पर।
- अपने आसपास के लोगों को सचेत करें। ये अभियान नंबरों के पूरे-पूरे खंडों को निशाना बनाते हैं। अगर आपको यह संदेश मिला है, तो आपके साथ ही निकले परिजनों को भी शायद मिला होगा।
बुज़ुर्ग यात्रियों का खास मामला
बुज़ुर्ग लोग अक्सर डिजिटल दुनिया की कम मज़बूत समझ के साथ छुट्टियों पर जाते हैं और, सबसे बढ़कर, "कोई गलती कर बैठने" के डर के साथ, जो उन्हें जाँचने के बजाय आज्ञा मानने की ओर धकेलता है। तीन आसान इंतज़ाम बहुत मदद करते हैं।
रवानगी से पहले एक भरोसेमंद व्यक्ति तय कर लें जिससे संदेह होने पर संपर्क किया जा सके: किसी बच्चे या पड़ोसी को तीस सेकंड की एक कॉल किसी भी ठगी को बेअसर कर देती है। बैंक और बीमा के असली नंबर एक कागज़ पर लिखकर बटुए में रख लें, क्योंकि तनाव की स्थिति में कोई फोन में खोजबीन नहीं करता। और जिन्हें यात्रा में स्मार्टफोन की ज़रूरत नहीं, उनके लिए बड़े बटनों वाला मोबाइल फोन हमले की गुंजाइश को यंत्रवत ही सीमित कर देता है: न ब्राउज़र, न क्लिक करने लायक लिंक, न बैंकिंग ऐप।
एक नियम एक वाक्य में समा जाता है और 95% स्थितियों को कवर कर लेता है: मिले हुए किसी लिंक से कभी भुगतान न करें और न ही अपनी पहचान दर्ज करें, भेजने वाला चाहे जो दिखाई दे। हमेशा उसी माध्यम पर लौटें जिसे आपने खुद चुना है।
याद रखने लायक बातें
छुट्टियों की SMS ठगी बाकी ठगियों से ज़्यादा परिष्कृत नहीं होती। वह बस आपकी ज़िंदगी के साथ बेहतर तालमेल बिठाकर आती है। इसका इलाज साइबर सुरक्षा का विशेषज्ञ बन जाना नहीं है, बल्कि पढ़ने और कार्रवाई करने के बीच एक बहुत छोटी-सी देरी वापस ले आना है: ऐप खुद खोलना, पता खुद टाइप करना, आधिकारिक नंबर पर खुद कॉल करना।
इस देरी की कीमत है तीस सेकंड। और ठीक यही वह चीज़ है जिसे देने का जोखिम ठग नहीं उठा सकते।
