दोपहर के 2 बजकर 12 मिनट हुए हैं, आप मेट्रो में हैं। आपका फ़ोन दिखा रहा है «कोई सेवा नहीं»। ऐसा पहली बार नहीं हुआ, लाइन 4 पर अक्सर दिक़्क़त रहती है। आप बाहर खुली हवा में आते हैं: फिर भी कुछ नहीं। आप डिवाइस रीस्टार्ट करते हैं, SIM कार्ड निकालते हैं, उस पर वैसे ही फूँक मारते हैं जैसे कभी वीडियो गेम के कार्ट्रिज पर मारते थे। कुछ नहीं होता।
इसी दौरान, तीस किलोमीटर दूर, कोई और आपके SMS पढ़ रहा है। उनमें आपके बैंक का वह संदेश भी शामिल है जिसमें 4,800 यूरो के ट्रांसफ़र का वेरिफ़िकेशन कोड है।
SIM स्वैप — शाब्दिक अर्थ में «SIM कार्ड की अदला-बदली» — उन गिने-चुने मोबाइल हमलों में से एक है जिसमें हमलावर आपके फ़ोन को कभी छूता तक नहीं। वह कोई जासूसी सॉफ़्टवेयर इंस्टॉल नहीं करता, हमले के वक़्त कोई जाल वाला लिंक नहीं भेजता, आपका अनलॉक कोड नहीं ताड़ता। वह इससे कहीं आसान काम करता है: वह आपके ऑपरेटर से विनम्रता से कहता है कि आपका नंबर उसके पास मौजूद एक कार्ड पर शिफ़्ट कर दिया जाए। और उसे यह मिल भी जाता है।
आपका नंबर अब पता नहीं, चाबी बन चुका है
बीस साल तक फ़ोन नंबर का बस एक ही काम था: आप तक पहुँचा जा सके। आज यह आपकी डिजिटल ज़िंदगी का मास्टर चाबी-गुच्छा बन चुका है।
ज़रा सोचिए कि आपकी लाइन पर SMS या कॉल के ज़रिए क्या-क्या आता है:
- आपके बैंक के ट्रांसफ़र वेरिफ़िकेशन कोड;
- Google, Apple, Microsoft, Facebook, Instagram के अकाउंट रिकवरी कोड;
- आपके टैक्स पोर्टल, बीमा और स्वास्थ्य कवर के लॉगिन कन्फ़र्मेशन;
- आप जिन सेवाओं का इस्तेमाल करते हैं, उनमें से आधी के पासवर्ड रीसेट लिंक।
जो हमलावर आपके नंबर पर क़ब्ज़ा कर लेता है, वह कोई एक संपर्क नहीं चुराता: वह आपके सभी अकाउंट्स की बैकअप प्रक्रिया चुरा लेता है। यही वजह है कि पुराना होने के बावजूद SIM स्वैप मोबाइल धोखाधड़ी के परिदृश्य में सबसे मुनाफ़ेदार हमलों में से एक बना हुआ है। Cybermalveillance.gouv.fr और ANSSI भी मोबाइल लाइन हाइजैकिंग को आम लोगों के लिए सबसे विनाशकारी पहचान-समझौता वेक्टरों में गिनते हैं — ठीक इसलिए क्योंकि यह एक ही कार्रवाई में बाक़ी सब कुछ तक पहुँच दे देता है।
तीन चरणों में ठग कैसे आपकी लाइन हासिल करता है
चरण 1: पहले से जानकारी जुटाना
SIM स्वैप की शुरुआत कभी ऑपरेटर से नहीं होती। यह आपसे शुरू होता है, या यूँ कहें कि आपके सार्वजनिक और लीक हुए डेटा से। हमलावर एक फ़ाइल तैयार करता है: नाम, उपनाम, जन्मतिथि, डाक पता, फ़ोन नंबर, कभी-कभी बैंक कार्ड के आख़िरी चार अंक या ग्राहक संख्या।
यह जानकारी मुख्य रूप से तीन स्रोतों से आती है:
- बड़े पैमाने पर डेटा लीक — ऑपरेटरों, कूरियर कंपनियों या ई-कॉमर्स साइटों से; फ़्रांस ने 2024 के बाद से ऐसी कई चर्चित लहरें देखी हैं;
- सोशल मीडिया, जहाँ हम बिना सोचे-समझे जन्मतिथि, शहर, माँ का विवाह-पूर्व नाम या पालतू जानवर का नाम पोस्ट कर देते हैं;
- तैयारी वाला स्मिशिंग, यानी ऑपरेटर या डिलीवरी सेवा के नाम पर आया एक फ़र्ज़ी SMS, जिसका मक़सद सिर्फ़ फ़ाइल के बाक़ी ख़ाली खाने भरना होता है।
यह तैयारी का काम पूरी तरह अदृश्य होता है। यही SIM स्वैप को इतना उलझाऊ बनाता है: पीड़ित को कोई ग़लत क्लिक याद नहीं आता, क्योंकि निर्णायक क्षण में कोई क्लिक हुआ ही नहीं था।
चरण 2: डुप्लीकेट SIM की माँग
यह फ़ाइल हाथ में लेकर हमलावर ऑपरेटर से संपर्क करता है — स्टोर में, फ़ोन पर, या ग्राहक पोर्टल के ज़रिए अगर पासवर्ड भी लीक हो चुका हो। बहाना बिल्कुल आम, सार्वभौमिक और कभी संदिग्ध न लगने वाला होता है:
«नमस्ते, कल रात ट्रेन में मेरा फ़ोन चोरी हो गया। मैंने नया डिवाइस ख़रीद लिया है, मुझे अपने उसी नंबर के साथ नया SIM चाहिए।»
इस माँग में कुछ भी असामान्य नहीं है। हज़ारों ईमानदार ग्राहक हर दिन यही कहते हैं। सलाहकार सत्यापन के सवाल पूछता है — जिनकी तैयारी हमलावर पहले ही कर चुका होता है। डुप्लीकेट जारी हो जाता है, या eSIM ईमेल से QR कोड के रूप में भेज दी जाती है।
चरण 3: स्विच
जिस पल नया कार्ड सक्रिय होता है, उसी पल आपका कार्ड निष्क्रिय हो जाता है। यह एक अटल तकनीकी नियम है: एक नंबर एक ही समय में सिर्फ़ एक सक्रिय SIM से जुड़ा रह सकता है। आपका फ़ोन नेटवर्क खो देता है। आपकी लाइन पर आने वाले कॉल और SMS अब हमलावर के पास पहुँचते हैं।
इस्तेमाल की खिड़की छोटी होती है — अक्सर एक घंटे से भी कम — लेकिन वह काफ़ी से ज़्यादा है। पहले ईमेल का पासवर्ड रीसेट, फिर बैंक का, और फिर उन कोड्स से ट्रांसफ़र की पुष्टि जो अब उसकी स्क्रीन पर आ रहे हैं।
eSIM ने हमले का भूगोल बदल दिया है
कुछ समय पहले तक SIM स्वैप की एक भौतिक बाध्यता थी: प्लास्टिक का कार्ड हासिल करना पड़ता था, यानी स्टोर जाना पड़ता या डाक का इंतज़ार करना पड़ता। यह घर्षण थोड़ी सुरक्षा देता था।
eSIM ने यह घर्षण ख़त्म कर दिया। डिजिटल SIM दूर से ही, कुछ मिनटों में, ईमेल से मिले एक साधारण QR कोड के ज़रिए सक्रिय हो जाती है। असली उपयोगकर्ता के लिए यह वाक़ई एक प्रगति है: कोई देरी नहीं, कार्ड काटने का झंझट नहीं, डिवाइस बदलना तुरंत। हमलावर के लिए यह एक शॉर्टकट है।
फ़्रांसीसी ऑपरेटरों ने प्रक्रियाएँ सख़्त करके प्रतिक्रिया दी है: मौजूदा लाइन पर पुष्टि कोड भेजना, सक्रियण से पहले 24 से 72 घंटे की प्रतीक्षा अवधि, और ईमेल से नियमित सूचना। ये सुरक्षा-कवच काम करते हैं — बशर्ते आप सूचनाएँ पढ़ें। «आपका eSIM अनुरोध दर्ज कर लिया गया है» वाला वह ईमेल, जो आपने माँगा ही नहीं था, इस पूरे लेख का सबसे अहम ख़तरे का संकेत है।
अगर आपको ऐसे डुप्लीकेट SIM अनुरोध की पुष्टि करने वाला SMS या ईमेल मिले जो आपने शुरू नहीं किया: तुरंत किसी दूसरे फ़ोन से अपने ऑपरेटर को कॉल करें। हो सकता है आप हमलावर से कुछ घंटे आगे हों।
वे संकेत जिन पर आपको चौकन्ना हो जाना चाहिए
जासूसी सॉफ़्टवेयर के उलट, SIM स्वैप शोर मचाता है। यह बहुत पहचाने जाने योग्य लक्षण पैदा करता है — बशर्ते आप उन्हें किसी मामूली गड़बड़ी का नाम देकर टाल न दें।
| देखा गया संकेत | भोली-भाली व्याख्या | असल में क्या समझें |
|---|---|---|
| बिना वजह पूरा नेटवर्क चला जाना | «ऑपरेटर की ख़राबी» | लाइन संभवतः निष्क्रिय कर दी गई है |
| ऐसी सेवा से SMS जो आपने माँगी ही नहीं | «स्पैम» | पासवर्ड रीसेट की कोशिश चल रही है |
| «आपकी eSIM तैयार है» वाला ईमेल | «ऑपरेटर की ग़लती» | धोखाधड़ी वाला अनुरोध चल रहा है |
| परिचित कहें कि वे आपसे संपर्क नहीं कर पा रहे | «नेटवर्क की समस्या» | आपकी कॉल्स दूसरी जगह मोड़ी जा रही हैं |
| आपके अकाउंट्स से अचानक लॉगआउट | «ऐप का बग» | खाते पर क़ब्ज़ा जारी है |
बचाने वाली आदत एक ही वाक्य में है: जब आपके आसपास के लोगों को सामान्य नेटवर्क मिल रहा हो और सिर्फ़ आपका नेटवर्क गायब हो, तो यह कभी मामूली बात नहीं होती। ट्रेन में पास बैठे व्यक्ति से पूछिए, किसी सहकर्मी का फ़ोन देखिए। अगर सबको नेटवर्क है और सिर्फ़ आपको नहीं, तो मामला नेटवर्क का नहीं, आपकी लाइन का है।
हमले से पहले अपनी लाइन लॉक करें: छह कारगर उपाय
1. SIM कार्ड का PIN कोड चालू करें
यह सबसे बुनियादी और सबसे ज़्यादा नज़रअंदाज़ किया जाने वाला उपाय है। बहुत से उपयोगकर्ता स्टार्टअप पर तीन सेकंड बचाने के लिए PIN कोड बंद कर देते हैं। यह कोड ख़ुद SIM स्वैप से नहीं बचाता, लेकिन फ़ोन के साथ चोरी हुई भौतिक SIM के तुरंत इस्तेमाल को रोक देता है — और यह स्थिति अक्सर बनती है। सबसे ज़रूरी: ऑपरेटर द्वारा दिया गया डिफ़ॉल्ट कोड (0000, 1234) बदल दीजिए।
2. अपने बैंकिंग और अहम अकाउंट्स के प्रमाणीकरण से SMS हटाइए
यही ढाँचागत बचाव है। जब तक SMS आपका दूसरा कारक बना रहेगा, आपकी सुरक्षा किसी अनजान कॉल-सेंटर सलाहकार पर टिकी रहेगी। इन्हें प्राथमिकता दें:
- अपने बैंक का ऐप, जिसमें फ़िंगरप्रिंट या चेहरे की पहचान से पुष्टि होती हो (बैंक के अनुसार «Sécur'Pass» या उसके समकक्ष व्यवस्था);
- एक ऑथेंटिकेशन ऐप, जो आपके Google, Microsoft या सोशल मीडिया अकाउंट्स के लिए ऑफ़लाइन कोड बनाता हो;
- USB-C या NFC वाली भौतिक सुरक्षा कुंजी वाक़ई संवेदनशील अकाउंट्स के लिए: यह एकमात्र कारक है जिसे दूर बैठा हमलावर पकड़ नहीं सकता, चाहे आपके नंबर पर उसका कितना भी नियंत्रण क्यों न हो।
3. अपने ऑपरेटर से लाइन लॉक करने को कहें
Orange, SFR, Bouygues Telecom और Free — सभी अलग-अलग नामों से सुरक्षा व्यवस्थाएँ देते हैं: खाते पर अतिरिक्त पासवर्ड, गुप्त सवाल, दूर से डुप्लीकेट अनुरोध पर रोक, पहचान पत्र के साथ स्टोर में ख़ुद जाने की अनिवार्यता। ये विकल्प लगभग कभी डिफ़ॉल्ट रूप से चालू नहीं होते। ग्राहक सेवा को दस मिनट का एक कॉल इन्हें चालू करवाने के लिए काफ़ी है — और यही इस पूरे लेख में लगाए गए समय का सबसे बेहतरीन प्रतिफल है।
4. आपका नंबर आपके बारे में जो बताता है, उसकी सफ़ाई करें
हर लॉयल्टी फ़ॉर्म, हर प्रतियोगिता, हर न्यूज़लेटर सब्सक्रिप्शन हमले की सतह बढ़ाता है। Have I Been Pwned सेवा के ज़रिए नियमित रूप से जाँचिए कि आपका पता और नंबर किसी ज्ञात लीक में तो नहीं है, और संबंधित साइटों से अपने डेटा मिटाने का अधिकार इस्तेमाल कीजिए — CNIL इस प्रक्रिया और इनकार की स्थिति में उपलब्ध उपायों का ब्योरा देता है।
इसी तर्ज़ पर, अपने मुख्य नंबर को सिर्फ़ गंभीर कामों के लिए रखिए। एक बार देखी गई किसी ई-कॉमर्स साइट, किसी क्लासिफ़ाइड विज्ञापन या किसी एक-बार के रजिस्ट्रेशन के लिए, बिना अनुबंध वाला प्रीपेड SIM कार्ड फ़ॉर्म भरने के लिए अलग रखिए, ताकि बैंक से जुड़ी लाइन हर जगह न बिखरे।
5. बग़ल की कड़ी सुरक्षित कीजिए: आपका ई-मेल पता
SIM स्वैप तभी पूरी तरह कामयाब होता है जब उसके साथ आपके ईमेल तक पहुँच भी हो। एक अनोखे, लंबे पासवर्ड से सुरक्षित पता, जो पासवर्ड मैनेजर में रखा हो, हमले की आधी पटकथा वहीं ख़त्म कर देता है। अगर आपको काग़ज़ ज़्यादा भाता है, तो घर में रखी एक सुरक्षित पासवर्ड डायरी डेस्कटॉप पर पड़ी «codes.txt» फ़ाइल से अनगिनत गुना सुरक्षित है।
6. एक बैकअप डिवाइस तैयार रखें
लाइन गँवाने की स्थिति में आपको अपने ऑपरेटर और बैंक को अपने नंबर के बिना कॉल करना होगा। कई घरों में अब कोई विकल्प बचा ही नहीं है। एक साधारण बैकअप मोबाइल फ़ोन चार्ज करके, किसी दूसरे ऑपरेटर के प्रीपेड SIM के साथ रखना घबराहट की स्थिति को महज़ एक छोटी असुविधा में बदल देता है। मुख्य डिवाइस बंद पड़ने पर आपातकालीन सेवाओं को कॉल करने के लिए भी यही काम आएगा।
अगले एक घंटे में क्या करें
अगर आपको लाइन गँवाने का संदेहास्पद मामला दिखे, तो रफ़्तार से ज़्यादा कार्रवाइयों का क्रम मायने रखता है।
- किसी दूसरे फ़ोन से अपने ऑपरेटर को कॉल करें। फ़र्ज़ी डुप्लीकेट का संदेह बताएँ और लाइन तुरंत निलंबित करने को कहें। यही वह क़दम है जो हमलावर की पहुँच काट देता है।
- अपने बैंक को कॉल करें — कार्ड के पीछे लिखे ब्लॉकिंग नंबर पर, किसी SMS में मिले नंबर पर नहीं। ट्रांसफ़र ब्लॉक करवाएँ और अपने दूसरे कारक के समझौते की सूचना दें।
- अपने मुख्य ईमेल का पासवर्ड बदलें — किसी कंप्यूटर से — और ऑटोमैटिक फ़ॉरवर्डिंग नियम जाँचें: हमलावर अक्सर ऐसे नियम बना देते हैं ताकि बाद में भी संदेश पकड़ते रहें।
- सभी सक्रिय सत्र लॉगआउट करें — अपने Google, Apple, Microsoft और सोशल मीडिया अकाउंट्स पर।
- शिकायत दर्ज कराएँ पुलिस थाने या जेंडरमरी में। बैंकिंग धोखाधड़ी के मामले में, शिकायत ही मौद्रिक एवं वित्तीय संहिता के अनुच्छेद L133-18 के लागू होने की शर्त है, जो अनधिकृत लेनदेन की वापसी का प्रावधान करता है।
- धोखाधड़ी वाले SMS या संदेश की सूचना 33700 पर दें, अगर इस पूरे सिलसिले में कोई ऐसा संदेश हो, और सहायता पाने के लिए Cybermalveillance.gouv.fr पर घटना की घोषणा करें।
पैसा वापस मिलना अपने आप नहीं होता — पर मुमकिन है
यही बात पीड़ितों को सबसे ज़्यादा परेशान करती है। सैद्धांतिक नियम ग्राहक के पक्ष में है: कोई अनधिकृत भुगतान लेनदेन बैंक द्वारा वापस किया जाना चाहिए, बशर्ते खाताधारक की ओर से घोर लापरवाही न हुई हो।
इसलिए सारा दारोमदार «घोर लापरवाही» की इस अवधारणा पर है। फ़्रांस के सर्वोच्च न्यायालय (Cour de cassation) ने कई अहम फ़ैसले दिए हैं जिनमें याद दिलाया गया है कि सिर्फ़ SMS से मिला कोई कोड बता देना, अपने आप में घोर लापरवाही साबित नहीं करता, अगर पीड़ित को किसी विश्वसनीय दिखने वाले तंत्र से धोखा दिया गया हो। SIM स्वैप के मामले में यह तर्क और भी मज़बूत है: आपने कुछ बताया ही नहीं, हमलावर ने कोड सीधे हासिल किए।
इसलिए सब कुछ सँभालकर रखें: नेटवर्क गँवाने के स्क्रीनशॉट, ऑपरेटर के ईमेल, ग्राहक सेवा को की गई कॉल्स का रिकॉर्ड, शिकायत की रसीद। इनकार की स्थिति में बैंकिंग लोकपाल से संपर्क करें, और ज़रूरत पड़े तो Banque de France से।
यह ठगी हमें क्या सिखाती है
SIM स्वैप आपकी व्यक्तिगत सावधानी के बारे में ख़ास कुछ नहीं कहता। यह मुख्य रूप से यह बताता है कि हमने बातचीत के लिए बने एक ढाँचे — टेलीफ़ोन नेटवर्क — को पूरी डिजिटल ज़िंदगी की पहचान का आधार बना दिया है।
जब तक यह आधार फ़ोन के दूसरे छोर पर बैठे किसी सलाहकार द्वारा, और उन जानकारियों के आधार पर, बदला जा सकता है जो पहले ही चोरी हुई फ़ाइलों में घूम रही हैं, तब तक यह हमले के लिए खुला रहेगा। अच्छी ख़बर यह है कि बचाव पूरी तरह आपके हाथ में है: आप जिस भी अकाउंट को SMS से अलग करते हैं, वह अकाउंट SIM स्वैप की पहुँच से बाहर हो जाता है।
सबसे ज़रूरी से शुरुआत कीजिए — अपना ईमेल और अपना बैंक — और यह इसी हफ़्ते कीजिए, «किसी दिन» नहीं। इसमें बीस मिनट लगते हैं। चोरी में तो पाँच ही लगते हैं।
