सितंबर का पहला हफ्ता। तीन दिन में आपने चौदह फॉर्म भरे हैं, क्लास फोटो के लिए एक बॉक्स पर टिक लगाया है, सहकारी समिति की सदस्यता का भुगतान किया है, और एक फैमिली पोर्टल पर खाता बनाया है जिसका पासवर्ड आप पहले ही भूल चुके हैं। फोन कंपकंपाता है: « कैंटीन सेवा — आपके बच्चे के खाते में ऋणात्मक शेष पाया गया। स्कूल भोजनालय की सुविधा बनाए रखने के लिए 08/09 से पहले भुगतान करें: [लिंक] »।
आपको यह बेतुका नहीं लगता। पिछले हफ्ते आपने वाकई कुछ भुगतान किया था, पर आपको पक्का याद नहीं कि वह कैंटीन का ही था। आपको यह भी नहीं पता कि ऑटोमैटिक डेबिट फिर से चालू हुआ या नहीं। और यह ख्याल कि गुरुवार दोपहर आपके बच्चे को खाना नहीं मिलेगा, पलड़ा झुका देने के लिए काफी है।
स्कूल से जुड़ी स्मिशिंग किसी तकनीकी करामात पर टिकी नहीं है। यह कहीं ज्यादा साधारण चीज़ पर टिकी है: सितंबर में अभिभावकों को खुद अपनी ही औपचारिकताओं का हिसाब याद नहीं रहता।
नया सत्र ठगों के लिए सबसे मुफीद मौका क्यों है
SMS के ज़रिए होने वाले ठगी अभियान कैलेंडर के हिसाब से चलते हैं। फर्जी पार्सल वाले संदेश नवंबर-दिसंबर में उफान पर होते हैं, फर्जी चालान लंबे सप्ताहांत के बाद, और फर्जी टैक्स रिफंड गर्मियों में। सितंबर स्कूल का महीना है — और तीन वजहों से यह मैदान ठगों के लिए बेहद अनुकूल है।
असली संदेशों की संख्या असामान्य रूप से ज्यादा होती है। स्कूली जीवन के ऐप, नगरपालिका के फैमिली पोर्टल, अभिभावक संघ, खेल क्लब और स्कूल बस सेवा — इन सबको मिलाकर एक परिवार को पंद्रह दिनों में दर्जन भर आधिकारिक सूचनाएँ मिल सकती हैं। इस बहाव में घुसा एक फर्जी संदेश अलग से नज़र नहीं आता।
भुगतान के रास्ते बिखरे हुए हैं। शहर के हिसाब से कैंटीन का भुगतान कभी नगरपालिका पोर्टल पर होता है, कभी किसी निजी सेवा प्रदाता के ज़रिए, कभी ऑटो-डेबिट से, कभी कार्ड से, तो कभी किसी सरकारी वसूली इकाई के पास। किसी भी अभिभावक को अपने शहर के सेवा प्रदाता का नाम रटा हुआ नहीं होता। यही स्वाभाविक अनभिज्ञता ठग का असली हथियार है: उसे सही संस्था की नकल करने की जरूरत भी नहीं, क्योंकि आपको खुद पता नहीं कि किसका संदेश आना चाहिए।
दांव पर एक बच्चा है। फर्जी बैंकिंग SMS से असली फर्क यही है। किसी खाते की जाँच कल पर टाली जा सकती है। लेकिन ऐसी बात कल पर नहीं टलती जिससे बच्चा भोजन से वंचित रह जाए, स्कूल ट्रिप पर न जा पाए या किसी गतिविधि से बाहर हो जाए। यहाँ दबाव पैसे खोने के डर का नहीं, बुरा अभिभावक होने के डर का है।
इस साल सबसे ज्यादा दिखने वाले हथकंडे
शब्द बदलते हैं, तरकीब वही रहती है। नए सत्र की शिकायतों में सबसे अधिक मिलने वाले रूप ये हैं।
| बहाना | नमूना संदेश | असल में आपसे क्या माँगा जा रहा है |
|---|---|---|
| कैंटीन का बकाया | « ऋणात्मक शेष, 48 घंटे में भुगतान करें » | फर्जी पोर्टल पर बैंक कार्ड की जानकारी |
| स्टेशनरी या पाठ्यपुस्तकें | « पुस्तकों का ऑर्डर अधूरा, शेष राशि चुकाएँ » | छोटा भुगतान + बैंकिंग डेटा |
| स्कूल ट्रिप / यात्रा | « यात्रा की अग्रिम राशि दर्ज नहीं हुई » | फर्जी IBAN पर पैसा ट्रांसफर |
| स्कूल बीमा | « अनिवार्य प्रमाणपत्र गायब है, यहाँ बीमा लें » | झूठी पॉलिसी + पूरी पहचान संबंधी जानकारी |
| स्कूल परिवहन | « बस कार्ड मान्य नहीं, अपना बैज दोबारा चालू करें » | क्षेत्रीय पोर्टल के लॉगिन विवरण |
| क्लास फोटो | « आपका फोटो ऑर्डर समाप्त हो रहा है » | नकली साइट पर भुगतान |
| ENT / स्कूली जीवन खाता | « आपकी पहुँच बंद कर दी जाएगी, दोबारा लॉगिन करें » | ऐसे लॉगिन जो कहीं और भी काम आ जाएँ |
दो प्रवृत्तियाँ खास ध्यान देने लायक हैं।
पहली है आर्थिक सहायता के नाम पर ठगी। कुछ संदेश स्कूल सत्र भत्ते की बकाया राशि, किसी « कैंटीन बोनस » या जिला स्तर की सहायता लेने की बात करते हैं। तरीका वही है जो CAF या स्वास्थ्य बीमा के फर्जी रिफंड में होता है: आपको पैसे का लालच देकर बैंक विवरण और पहचान पत्र लिए जाते हैं, जिनका इस्तेमाल बाद में कर्ज़ लेने या असली भुगतान हड़पने में होता है। साफ कह दें: स्कूल सत्र भत्ता पात्र परिवारों को CAF या MSA द्वारा अपने आप भेजा जाता है — न कोई SMS वाली प्रक्रिया, न कोई लिंक क्लिक करना।
दूसरी है कथित रूप से स्कूल की ओर से भेजा गया आपातकालीन संदेश: « विद्यालय में घटना, परिवारों के लिए सूचना देखें », साथ में एक लिंक। यह बहाना पैसे नहीं माँगता। इसका मकसद कोई ऐप इंस्टॉल कराना या लॉगिन जानकारी जुटाना है, और यह ऐसी भावना का सहारा लेता है जो हर तर्क को दरकिनार कर देती है। कोई भी स्कूल किसी अनजान मोबाइल नंबर से भेजे गए बाहरी लिंक के ज़रिए सुरक्षा चेतावनी जारी नहीं करता।
ये संदेश भरोसेमंद क्यों लगते हैं
भेजने वाले का नाम कुछ साबित नहीं करता
इनमें से कई SMS नंबर के बजाय एक टेक्स्ट नाम के साथ दिखते हैं — « ECOLE », « CANTINE », « MAIRIE »। हेडर की यह नकल, यानी स्पूफिंग, कुछ अंतरराष्ट्रीय गेटवे के ज़रिए तकनीकी रूप से बेहद आसान है। इससे भी बुरा: जब दिखने वाला नाम आपके इतिहास में पहले से मौजूद किसी भेजने वाले से मेल खाता है, तो फर्जी संदेश स्कूल के असली SMS वाली उसी बातचीत में जुड़ सकता है, पिछले हफ्ते मिले असली संदेश के ठीक नीचे।
अभिभावकों को सबसे ज्यादा हैरानी इसी बात पर होती है। चैट का सिलसिला प्रामाणिकता का सबूत नहीं है: आपका फोन संदेशों को दिखने वाले नाम के आधार पर समूहबद्ध करता है, सत्यापित पहचान के आधार पर नहीं।
निजी जानकारी भी कुछ साबित नहीं करती
कुछ संदेशों में बच्चे का नाम, शहर, कभी-कभी स्कूल का नाम तक होता है। लगता है कि स्कूल की फाइलों तक पहुँच के बिना यह नामुमकिन है — पर ये आँकड़े घूमते रहते हैं: स्कूल के बाद की गतिविधियों से जुड़े सेवा प्रदाताओं का डेटा लीक, संघों की मेलिंग लिस्ट, गतिविधियों के लिए पंजीकरण, और सोशल मीडिया जहाँ अभिभावक हर नए सत्र पर तस्वीरें और स्कूलों के नाम पोस्ट करते हैं। जाना-पहचाना नाम कोई हस्ताक्षर नहीं है।
यह नियम हमेशा टिकता है: संदेश में मौजूद कोई सही जानकारी संदेश को सही साबित नहीं करती। वह सिर्फ इतना बताती है कि भेजने वाले तक किसी न किसी तरह वह जानकारी पहुँची है।
रकम जानबूझकर मामूली रखी जाती है
12,40 €। 6,90 €। 23 €। माँगी जाने वाली रकम इस तरह तय की जाती है कि शक न हो: नगरपालिका को फोन करने लायक भी नहीं, और कुछ भोजनों के हिसाब से एकदम मुमकिन। मकसद लगभग कभी यह छोटी वसूली नहीं होता। मकसद है नकली पेज पर आपके कार्ड का नंबर, समाप्ति तिथि और CVV दर्ज करवाना — यही डेटा बाद में कहीं बड़े लेनदेन में इस्तेमाल होगा, जिसकी पुष्टि कुछ दिन बाद फोन करने वाला एक फर्जी बैंक सलाहकार आपसे चालाकी से करवा लेगा।
तीस सेकंड में जाँच
आपको विशेषज्ञ होने की जरूरत नहीं। आपको सिर्फ एक आदत चाहिए: संदेश में सुझाए गए रास्ते का कभी इस्तेमाल न करें।
- लिंक पर क्लिक न करें। « बस देखने के लिए » भी नहीं। कुछ पेज Android पर अपने आप डाउनलोड शुरू करने की कोशिश करते हैं।
- हमेशा वाला पोर्टल खुद खोलें। पहले से इंस्टॉल ऐप से, या सेव किए गए बुकमार्क से, या नगरपालिका का पता खुद टाइप करके। अगर सचमुच कोई बकाया है, तो वह वहीं दिखेगा।
- स्कूल के कार्यालय या नगरपालिका के शिक्षा विभाग को फोन करें, उसी नंबर पर जो सत्र की शुरुआत में मिले कागज़ी दस्तावेज़ पर छपा है — कभी भी SMS में दिए नंबर पर नहीं।
- लिंक को खोले बिना उसका डोमेन देखें, लंबे प्रेस से URL दिख जाता है। फ्रांस के आधिकारिक पते
.gouv.fr, नगरपालिका के.fr, या किसी जाने-पहचाने सेवा प्रदाता के नाम पर खत्म होते हैं — अजीबोगरीब एक्सटेंशन या बहुत लंबे डोमेन नामों पर नहीं। - किसी दूसरे अभिभावक से पूछें। कक्षा के अभिभावक प्रतिनिधियों को भेजा गया एक संदेश अक्सर तीस सेकंड में बता देता है कि पूरी कक्षा को वही SMS मिला है या नहीं।
इस आखिरी बात को कम आँका जाता है। स्कूल से जुड़े स्मिशिंग अभियान बड़े पैमाने पर चलते हैं: अगर आपके पड़ोसी को भी वही संदेश मिला है जबकि उसका बच्चा दूसरे स्कूल में है, तो शक तुरंत दूर हो जाता है।
हालात बिगाड़ने वाला कारक: बच्चे का फोन
सितंबर वह महीना भी है जब कई बच्चों को उनका पहला फोन मिलता है। और फर्जी संदेश सिर्फ अभिभावकों तक नहीं रुकते: किशोरों को अपने अलग संस्करण मिलते हैं — फर्जी गेम कोड, फर्जी मोबाइल प्लान ऑफर, फर्जी प्रतियोगिता के इनाम — और आँकड़ों के हिसाब से वे क्लिक करने में ज्यादा जल्दबाज़ होते हैं।
लंबे उपदेश से बेहतर हैं तीन एहतियात:
- अनजान भेजने वालों के लिए फ़िल्टर चालू करें मैसेज ऐप में (Android और iOS दोनों में गैर-सहेजे गए नंबरों के संदेशों की स्वचालित छँटाई का विकल्प होता है)।
- आधिकारिक स्टोर के बाहर से ऐप इंस्टॉल करने की सुविधा बंद कर दें Android उपकरणों पर।
- पासवर्ड के लिए एक भौतिक साधन रखें: घर में रखी एक पासवर्ड डायरी कई परिवारों के लिए आज भी फोन के नोट्स में पड़ी « codes.txt » फाइल से ज्यादा सुरक्षित है।
और अगर उपकरण बहुत सीमित इस्तेमाल के लिए है, तो बिना ब्राउज़र और बिना ऐप इंस्टॉलेशन वाला एक बड़े बटनों वाला साधारण मोबाइल फोन हमले की गुंजाइश अपने आप घटा देता है — जाल वाला संदेश आ तो सकता है, पर वह कहीं ले नहीं जाता। यही समाधान कई परिवार उस दादा-दादी के लिए भी अपनाते हैं जिन्हें ये संदेश तो मिलते हैं, पर उन्हें छाँटने की समझ नहीं होती।
जिस उपकरण पर ये संदेश आते हैं, उसे सुरक्षित रखें
जो स्मार्टफोन पूरे परिवार की प्रशासनिक जिंदगी का इकलौता दरवाज़ा है, उसके लिए कुछ बुनियादी भौतिक एहतियात जरूरी हैं, जिन्हें अक्सर नज़रअंदाज़ किया जाता है।
सिस्टम अपडेट रखें। ज्यादातर फिशिंग पेज भोलेपन का फायदा उठाते हैं, तकनीकी खामियों का नहीं — पर जो पेज जासूसी सॉफ्टवेयर इंस्टॉल करने की कोशिश करते हैं, वे पुराने और बिना पैच वाले संस्करणों को ही निशाना बनाते हैं।
स्क्रीन और बॉडी की रक्षा करें। टूटे हुए फोन को आखिरकार जल्दबाज़ी में बदलना पड़ता है, अक्सर आनन-फानन में बैकअप बहाल करके और बेतरतीब ढंग से ऐप दोबारा इंस्टॉल करके: सुरक्षा की चूक ठीक यहीं होती है। एक टेम्पर्ड ग्लास स्क्रीन प्रोटेक्टर और एक शॉकप्रूफ कवर देखने में भले ही आकर्षक न हों, पर वे इस तरह की हड़बड़ी वाली अदला-बदली से बचा देते हैं।
बैटरी पर नज़र रखें। गलत वक्त पर बंद हो जाने वाला फोन आपको आपके बैंकिंग ऐप और दो-चरणीय प्रमाणीकरण से काट देता है — ठीक उसी समय जब आपको जाँच करनी होती है। बैग में रखी एक छोटी पावर बैंक स्कूल के पूरे दिन के लिए यह समस्या हल कर देती है।
अगर आपने क्लिक कर दिया, या भुगतान कर दिया
सबसे बुरी प्रतिक्रिया है शर्म के मारे चुप रह जाना। ये संदेश पेशेवरों ने सतर्क लोगों को धोखा देने के लिए ही बनाए हैं; इनमें फँस जाना बुद्धि की कमी नहीं है।
एक घंटे के भीतर:
- अपने बैंक से संपर्क करके इस्तेमाल हुए कार्ड को ब्लॉक कराएँ और लेनदेन की शिकायत दर्ज कराएँ।
- संबंधित पोर्टल का पासवर्ड बदलें, और हर उस सेवा का भी जहाँ आप वही पासवर्ड इस्तेमाल करते थे।
- अपने बैंक के नाम पर आने वाली किसी भी कॉल का जवाब न दें: डेटा दर्ज होने के बाद फर्जी सलाहकार लगभग हमेशा फोन करता है।
आने वाले दिनों में:
- संदेश की शिकायत 33700 पर करें, जो फ्रांस में फर्जी SMS की आधिकारिक शिकायत प्लेटफॉर्म है (SMS को 33700 पर फॉरवर्ड करें, फिर पूछे जाने पर भेजने वाले का नंबर भेजें)।
- ऑनलाइन या थाने में शिकायत दर्ज कराएँ। बैंक अक्सर इसकी रसीद माँगता है।
- Cybermalveillance.gouv.fr देखें, जो चरणबद्ध जाँच उपलब्ध कराता है और उपयुक्त कार्रवाई की दिशा बताता है, साथ ही निःशुल्क सेवा Info Escroqueries (0 805 805 817)।
- स्कूल को सूचित करें: वह दूसरे परिवारों को सतर्क कर सकता है, जो अकेली शिकायत से कहीं ज्यादा असरदार ढंग से पूरे अभियान को रोक देता है।
फ्रांसीसी मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L. 133-18 अनधिकृत लेनदेन की वापसी का प्रावधान करता है, बशर्ते ग्राहक की ओर से गंभीर लापरवाही न हुई हो। किसी फर्जी साइट पर जानबूझकर अपने कोड बताना बैंकों की नज़र में अक्सर लापरवाही मानी जाती है, पर विश्वसनीय स्पूफिंग के शिकार लोगों के पक्ष में न्यायिक रुख बदला है। डटे रहें, और इनकार की स्थिति में बैंकिंग लोकपाल के पास जाने में हिचकें नहीं।
वह आदत जो हमेशा के लिए अपना लेनी चाहिए
नया सत्र बीत जाएगा, और बहाने बदल जाएँगे: हैलोवीन, क्रिसमस के तोहफे, जनवरी के दाखिले, वसंत की स्कूल यात्राएँ। जो नहीं बदलेगा, वह है जाल की बनावट।
एक असली संस्था + एक छोटी समय-सीमा + एक मामूली रकम + एक लिंक। जैसे ही ये चारों चीज़ें एक ही संदेश में साथ दिखें, उसे तब तक फर्जी मानिए जब तक उल्टा साबित न हो जाए — और सबूत संदेश के भीतर नहीं, कहीं और ढूँढिए।
यह बात अपने बच्चों को, अपने माता-पिता को, कक्षा के दूसरे परिवारों को समझाइए। पारिवारिक साइबर सुरक्षा पर एक सरल भाषा की किताब किशोरों के साथ बुनियाद रखने में मदद कर सकती है, पर असल बात एक ही वाक्य में है जिसे कोई भी याद रख सकता है: किसी संदेश की जाँच कभी उसी संदेश से नहीं की जाती।
और अगर आपको जल्दी से दूसरे अभिभावकों को बताना है कि कोई ठगी अभियान चल रहा है, तो किसी ऑनलाइन सेवा से भेजा गया एक साधारण टेक्स्ट, बिना कुछ इंस्टॉल किए, बखूबी काम कर देता है। स्मिशिंग अभियान के खिलाफ सबसे अच्छा सामूहिक बचाव आज भी वही है — पड़ोसियों के बीच सूचना कितनी तेज़ी से फैलती है।
