"आपके लिए एक नया वॉइस मैसेज है": नकली वॉइसमेल वाला वह घोटाला जो बैंक खाते खाली कर देता है

आप अभी-अभी किसी मीटिंग से निकले हैं, या डॉक्टर के पास से लौटे हैं। फ़ोन वाइब्रेट होता है: "आपको 1 नया वॉइस मैसेज मिला है। इसे सुनें: [लिंक]"। कुछ भी चिंताजनक नहीं। न कोई धमकी, न 2,99 € की माँग, न कस्टम में अटका हुआ कोई पार्सल। बस किसी ने आपसे संपर्क करने की कोशिश की, जब आप उपलब्ध नहीं थे।

और ठीक इसीलिए यह तरकीब काम करती है।

पिछले दो सालों से, वॉइसमेल की सूचना फ़्रांस में स्मिशिंग (SMS फ़िशिंग) के सबसे मुनाफ़ेदार चारों में शामिल हो चुकी है। यह न डर पैदा करती है, न उत्तेजना — यानी वे दोनों भावनाएँ जिन्हें पहचानना हम सीख चुके हैं। यह एक कहीं ज़्यादा मुश्किल चीज़ को जगाती है: साधारण-सी जिज्ञासा।

यह ख़ास मैसेज हर चेतावनी-तंत्र से क्यों बच निकलता है

जागरूकता अभियान — चाहे Cybermalveillance.gouv.fr के हों या बैंकों के — कुछ संकेतों की सूची पर टिके होते हैं: जल्दबाज़ी, धमकी, वर्तनी की गलतियाँ, पैसे की माँग, अनजान भेजने वाला। नकला वॉइस मैसेज इनमें से एक भी खाने में फिट नहीं बैठता।

देखिए यह असल में क्या पेश करता है:

• कोई जल्दबाज़ी नहीं। एक वॉइस मैसेज इंतज़ार कर रहा है। वह कल भी इंतज़ार करेगा। कोई उल्टी गिनती नहीं, इसलिए कोई शक भी नहीं जागता।
• कोई लेन-देन नहीं। आपसे न बैंक कार्ड माँगा जाता है, न ट्रांसफ़र, न पहचान। कम से कम, तुरंत तो नहीं।
• 100 % भरोसेमंद लगने वाली बात। इस हफ़्ते आपने ज़रूर कुछ कॉल मिस की होंगी। इस मैसेज को विश्वसनीय होने की कोशिश तक नहीं करनी पड़ती: यह अपने आप ही विश्वसनीय है।
• एक रोज़मर्रा की क्रिया। वॉइसमेल सुनना पिछले तीस सालों से हर फ़ोन उपयोगकर्ता की दिनचर्या का हिस्सा है।

इसमें यह भी जोड़ लीजिए कि फ़्रांस के कई ऑपरेटर असली वॉइसमेल SMS सूचनाएँ भेजते हैं, कभी-कभी अपनी "विज़ुअल वॉइसमेल" सेवा के लिंक के साथ। ऐसे में उपयोगकर्ता के पास असली और नकली में फ़र्क़ करने का कोई भरोसेमंद पैमाना ही नहीं बचता। उसे लिंक से सावधान रहना सिखाया गया है, लेकिन उसका अपना ऑपरेटर ही उसे लिंक भेजता है।

जो नियम आज भी खरा है: कोई भी वैध वॉइस मैसेज आपके अपने फ़ोन से सुना जाता है — अपने वॉइसमेल नंबर पर कॉल करके या अपने ऑपरेटर की आधिकारिक ऐप से। कभी भी SMS में आए लिंक से नहीं।

क्लिक के बाद क्या होता है: तीन परिदृश्य

लिंक हमेशा एक ही जगह नहीं ले जाता। ठग परीक्षण करते हैं, लक्ष्यों को बाँटते हैं, और लैंडिंग पेज द्वारा पहचाने गए ऑपरेटिंग सिस्टम के हिसाब से चीज़ें बदल देते हैं। नतीजों की तीन बड़ी श्रेणियाँ सबसे आम हैं।

1. लॉगिन जानकारी चुराने वाला पेज

यह सबसे सरल रूप है। लिंक एक ऐसा पेज खोलता है जो आपके ऑपरेटर के इंटरफ़ेस की हूबहू नकल होता है: लोगो, रंग, कॉपी-पेस्ट की गई क़ानूनी सूचनाएँ। संदेश हमेशा एक-सा होता है: "अपना मैसेज सुनने के लिए अपने ग्राहक खाते में लॉग इन करें।"

आप यूज़रनेम और पासवर्ड डालते हैं। वे सीधे ठग के पास पहुँच जाते हैं। और ऑपरेटर का ग्राहक खाता एक ख़ज़ाना है: उसमें आपका पता, आपका बैंक विवरण (RIB), आपकी विस्तृत बिलिंग, और सबसे बढ़कर नया SIM कार्ड मँगवाने या सेवाएँ बदलने की सुविधा होती है। यहीं से लाइन हाईजैकिंग (SIM स्वैप) का रास्ता खुलता है।

2. इंस्टॉल करने के लिए दी गई ऐप

यह ज़्यादा आक्रामक संस्करण है, और मुख्य रूप से Android को निशाना बनाता है। पेज बताता है कि "सुनने के लिए विज़ुअल वॉइसमेल ऐप ज़रूरी है" और Play Store के बाहर से एक फ़ाइल डाउनलोड करने को कहता है।

इंस्टॉल की गई फ़ाइल एक बैंकिंग ट्रोजन होती है। सुरक्षा शोधकर्ताओं को ज्ञात परिवार — FluBot से निकले वेरिएंट, जिसे 2022 में Europol ने ध्वस्त किया था लेकिन तब से जिसकी जमकर नकल हुई है, या कई एंटीवायरस कंपनियों द्वारा चिह्नित Anatsa जैसी किस्में — सभी एक ही सिद्धांत पर काम करते हैं:

ऐप क्या अनुमति माँगती है	असल में वह उसका क्या करती है
SMS तक पहुँच	बैंकिंग सत्यापन कोड (OTP) पकड़ लेती है
संपर्कों तक पहुँच	वही जालसाज़ी वाला SMS आपकी पूरी फ़ोनबुक को भेज देती है
एक्सेसिबिलिटी सेवा	आपकी असली ऐप्स के ऊपर नकली लॉगिन स्क्रीन चढ़ा देती है
दूसरी ऐप्स के ऊपर प्रदर्शन	आप जो टाइप करते हैं वह सब कैप्चर कर लेती है, पासवर्ड समेत

यही आख़िरी बिंदु मामले को गंभीर बनाता है: पीड़ित का पैसा क्लिक करते ही नहीं जाता, बल्कि तीन दिन बाद जाता है — जब वह अपनी बैंकिंग ऐप खोलता है और बिल्कुल असली दिखती नकली स्क्रीन पर अपने कोड डाल देता है।

3. प्रीमियम दर वाले नंबर पर मोड़ देना

यह ज़्यादा चुपचाप काम करने वाला रूप है: लिंक "वॉइसमेल पर कॉल करें" बटन दिखाता है, जो 0899 या 0891 से शुरू होने वाला नंबर डायल कर देता है। इस कॉल का बिल कई यूरो प्रति मिनट होता है, और एक रिकॉर्डेड आवाज़ आपको जितना हो सके उतनी देर तक लटकाए रखती है। नुकसान मामूली होता है, कुछ दर्जन यूरो, लेकिन पूरे अभियान के पैमाने पर यह भारी रकम बन जाती है।

वह चेतावनी संकेत जिसे लगभग कोई नहीं देखता: पता (URL)

एक असली वॉइस मैसेज कभी किसी अजीब डोमेन पर नहीं भेजता। ठग छोटे पते इस्तेमाल करते हैं, जो अक्सर एक दिन पहले ही बनाए गए होते हैं और भरोसा जगाने वाले शब्द उधार लेते हैं।

हाल के अभियानों में देखे गए कुछ नमूने:

• messagerie-vocale-espaceclient.xyz
• repondeur-orange-fr.info
• voicemail-sfr.online
• सामान्य लिंक-शॉर्टनर, जो असली मंज़िल छिपा देते हैं

काम की आदत एक ही वाक्य में समा जाती है: डोमेन नाम वही है जो पहले / से ठीक पहले लिखा होता है। orange.fr-messagerie.xyz/ecoute में डोमेन orange.fr नहीं है, बल्कि fr-messagerie.xyz है। उससे पहले जो कुछ है, वह महज़ सजावट है।

स्मार्टफ़ोन की स्क्रीन पर यह पढ़ना तकलीफ़देह होता है: एड्रेस बार छोटा है, टेक्स्ट बहुत बारीक, और आधा URL कटा हुआ। यही एक वजह है कि मोबाइल धोखाधड़ी ई-मेल धोखाधड़ी से ज़्यादा कारगर है। जो लोग स्क्रीन के सामने आँखें सिकोड़ते हैं, उनके लिए मेज़ पर रखा ऊँचाई में एडजस्टेबल फ़ोन स्टैंड सचमुच फ़र्क़ पैदा करता है: पता हाथ फैलाकर अंदाज़ा लगाने के बजाय आराम से पढ़ा जाता है।

जब यह SMS आ जाए, तो ठीक-ठीक क्या करें

कुछ न करना भी अपने आप में एक सही कदम है

अगर आपको यकीन नहीं है, तो मैसेज को नज़रअंदाज़ करें और सामान्य तरीके से अपने वॉइसमेल पर कॉल करें। फ़्रांस की लगभग सभी लाइनों पर बस 888 (Orange), 123 (SFR), 660 (Bouygues) या 740 (Free) डायल करना काफ़ी है — या 1 की कुंजी को देर तक दबाए रखना। अगर कोई असली मैसेज है, वह वहीं मिलेगा। और अगर कुछ नहीं है, तो आपने अपनी जाँच आठ सेकंड में पूरी कर ली।

33700 पर शिकायत करें

संदिग्ध SMS को 33700 पर फ़ॉरवर्ड करें — यह धोखाधड़ी वाले SMS और कॉल की रिपोर्टिंग का आधिकारिक मंच है, जिसे ऑपरेटर सरकारी निगरानी में चलाते हैं। सेवा जवाब में भेजने वाले का नंबर पूछेगी: वह भी फ़ॉरवर्ड कर दें। यह मुफ़्त है, और इसी से भेजने वाले नंबर बंद कराए जाते हैं।

आप Cybermalveillance.gouv.fr पर भी शिकायत दर्ज कर सकते हैं, और किसी फ़र्ज़ी वेबसाइट के लिए Phishing Initiative मंच पर या internet-signalement.gouv.fr (PHAROS) के ज़रिए।

ब्लॉक करें और मिटा दें

iPhone हो या Android, किसी भेजने वाले को बातचीत की स्क्रीन से दो टैप में ब्लॉक किया जा सकता है। इससे अभियान नहीं रुकता — ठग हर घंटे नंबर बदल देते हैं — लेकिन आपका मैसेज-फ़ीड साफ़ रहता है और यह ख़तरा टलता है कि आपका फ़ोन इस्तेमाल करने वाला कोई कम सतर्क परिजन ग़लती से क्लिक कर बैठे।

अगर आप पहले ही क्लिक कर चुके हैं

सिर्फ़ क्लिक करना, बिना कुछ भरे या इंस्टॉल किए, शायद ही कभी विनाशकारी होता है। ख़तरा अगले चरण से शुरू होता है। कार्रवाई का क्रम यह है।

1. नेटवर्क काट दें। तुरंत एयरप्लेन मोड, जब तक स्थिति काबू में न आ जाए। इससे चल रहा डेटा-चोरी का सिलसिला रुक जाता है।
2. इंस्टॉल की गई ऐप्स की सूची जाँचें। सेटिंग्स → ऐप्लिकेशन, इंस्टॉल की तारीख़ के हिसाब से क्रमबद्ध। क्लिक के बाद के मिनटों में दिखी कोई भी अनजान ऐप हटा देनी चाहिए। Android पर, अगर ऐप अनइंस्टॉल होने से इनकार करे, तो फ़ोन को सेफ़ मोड में रीस्टार्ट करें।
3. संबंधित पासवर्ड बदलें, सबसे पहले ऑपरेटर का ग्राहक खाता, ई-मेल और बैंक — और यह सब किसी दूसरे डिवाइस से करें, संदिग्ध फ़ोन से नहीं। घर का लैपटॉप इसके लिए बिल्कुल उपयुक्त है।
4. अपने बैंक को सूचित करें। अगर आपने बैंकिंग जानकारी दर्ज की है तो कार्ड ब्लॉक कराएँ। याद रहे कि फ़्रांस के मौद्रिक एवं वित्तीय संहिता के अनुच्छेद L133-18 के तहत बैंक को अनधिकृत लेन-देन की भरपाई करनी होती है, सिवाय उस स्थिति के जब बैंक गंभीर लापरवाही साबित कर दे।
5. अपने संपर्कों को आगाह करें। ये मैलवेयर फ़ोनबुक के ज़रिए फैलते हैं: "मैंने जो भेजा है उस पर क्लिक मत करना" जैसा एक सामूहिक संदेश दस लोगों को शिकार बनने से बचा लेता है।
6. शिकायत दर्ज कराएँ अगर आर्थिक नुकसान हुआ है, और उसके साथ SMS तथा लेन-देन के स्क्रीनशॉट संलग्न करें।

सबसे गंभीर मामलों में — जब कोई मैलवेयर ऐप कई दिनों से इंस्टॉल हो, या असामान्य व्यवहार लगातार बना रहे — फ़ोन को पूरी तरह फ़ैक्ट्री रीसेट करना ही एकमात्र भरोसेमंद उपाय है। इसीलिए अपना डेटा पहले से सुरक्षित रखना ज़रूरी है: एक स्मार्टफ़ोन के लिए एक्सटर्नल हार्ड ड्राइव या बस एक चालू क्लाउड बैकअप किसी आपदा को महज़ एक अप्रिय दोपहर में बदल देता है।

ऐसे किसी अपने की सुरक्षा जिसे ये मैसेज बहुत आते हैं

सबसे ज़्यादा जोखिम में वे लोग नहीं होते जो कम समझदार हैं, बल्कि वे होते हैं जिन तक ऐसे संदेश सबसे ज़्यादा पहुँचते हैं और जो स्क्रीन के सामने सबसे अकेले होते हैं। रोज़ तीन सूचनाएँ पाने वाला कोई बुज़ुर्ग माता-पिता आँकड़ों के हिसाब से आख़िरकार एक न एक खोल ही लेगा।

कुछ कारगर उपाय, असर के क्रम में:

• बिल्ट-इन एंटी-स्पैम फ़िल्टर चालू करें। iPhone पर: सेटिंग्स → संदेश → अनजान भेजने वालों को फ़िल्टर करें। Android पर, Google Messages 2025 से ख़तरनाक लिंक के ख़िलाफ़ बेहतर सुरक्षा देता है, जिसे सुरक्षा सेटिंग्स में जाकर चालू है या नहीं, यह जाँच लेना चाहिए।
• Android पर अनजान स्रोतों से ऐप इंस्टॉल करने की अनुमति बंद कर दें। यही वह ताला है जो ऊपर बताए गए 90 % ट्रोजन को रोक देता है।
• एक अकेली आदत तय कर लें: "शक हो तो कुछ भी छूने से पहले मुझे मैसेज की फ़ोटो भेज देना"। कोई जटिल नियम नहीं, बस एक।
• जहाँ ज़रूरी हो, वहाँ डिवाइस को सरल बनाएँ। अगर इस्तेमाल सिर्फ़ कॉल और SMS तक सीमित है, तो बड़े बटनों वाला सीनियर फ़ोन वेब ब्राउज़र वाली हमले की पूरी सतह ही ख़त्म कर देता है।
• जानकारी को काग़ज़ पर रखें। सेंटर टेबल पर पड़ी डिजिटल सुरक्षा की एक व्यावहारिक गाइड मैसेज से भेजे गए लिंक की तुलना में कहीं ज़्यादा बार पढ़ी जाती है — ख़ासकर उनके द्वारा जो स्क्रीन से पहले से ही सतर्क रहते हैं।

यह घोटाला बाक़ी सब घोटालों के बारे में क्या सिखाता है

नकली वॉइस मैसेज तकनीकी रूप से कोई परिष्कृत चीज़ नहीं है। इसकी ताक़त कहीं और है: यह किसी आदत में खलल डालने के बजाय उसमें घुल जाता है।

पिछले दो-तीन सालों में मोबाइल धोखाधड़ी में यही सबसे बड़ा बदलाव आया है। स्मिशिंग की शुरुआती लहरें चीखती थीं: खाता ब्लॉक, बकाया जुर्माना, रोका गया पार्सल। वे घबराहट पर खेलती थीं, और घबराहट आख़िरकार सिखा देती है — हमें उसकी आदत पड़ जाती है, हम प्रतिरोधक क्षमता विकसित कर लेते हैं। आज के अभियान इसके उलट करते हैं: वे फुसफुसाते हैं। एक वॉइस मैसेज, एक ऐप अपडेट, एक अपॉइंटमेंट की पुष्टि, कुछ यूरो का रिफ़ंड। कुछ भी चिंताजनक नहीं, इसलिए जाँचने लायक भी कुछ नहीं।

ऐसे में चेतावनी संकेतों की सूची अब काफ़ी नहीं रही। उसकी जगह एक "यातायात नियम" अपनाना होगा, जिसे याद रखना और आगे बताना कहीं आसान है:

हम किसी सेवा तक कभी उस रास्ते से नहीं पहुँचते जो कोई संदेश हमें सुझाता है। हम वहाँ उसी रास्ते से जाते हैं जो हम पहले से जानते हैं: अपना वॉइसमेल नंबर, अपनी इंस्टॉल की हुई ऐप, हाथ से टाइप किया गया पता, अपने सलाहकार का नंबर।

इस नियम के लिए किसी तकनीकी कौशल की ज़रूरत नहीं। यह नकल की गुणवत्ता, वर्तनी, लोगो या डोमेन नाम पर निर्भर नहीं करता। यह नकली वॉइसमेल के ख़िलाफ़ उतना ही कारगर है जितना नकली डिलीवरी वाले, नकली बैंक या नकली टैक्स विभाग के ख़िलाफ़। और इसकी सबसे बड़ी ख़ूबी यह है कि यह एक ही वाक्य में समा जाता है, जिसे किसी किशोर से लेकर किसी दादा-दादी तक, सबको दोहराया जा सकता है।

वॉइस मैसेज की सूचना देने वाला अगला SMS आएगा ही। शायद कल ही। सही जवाब यह अंदाज़ा लगाना नहीं होगा कि वह असली है या नहीं: सही जवाब होगा अपने वॉइसमेल पर कॉल करना — ठीक वैसे ही जैसे हम तब करते थे, जब किसी को आपको लिंक भेजने का ख़याल तक नहीं आया था।