« Colissimo — आपका पार्सल डिलीवर नहीं किया जा सका। » संदेश स्क्रीन पर आता है, लेकिन कुछ बदल चुका है। भेजने वाले के नाम के बगल में कंपनी के रंगों वाला एक छोटा-सा गोल लोगो। नीचे एक नीला बॉक्स: « सत्यापित »। और तीन बटन: « मेरा पार्सल ट्रैक करें », « दोबारा शेड्यूल करें », « ग्राहक सेवा से संपर्क करें »।
यह अब SMS नहीं है। यह एक RCS संदेश है — और यह उन 160 अक्षरों वाले सादे टेक्स्ट से कहीं ज़्यादा WhatsApp की बातचीत जैसा लगता है, जिसे हम तीस साल से जानते आए हैं। जब से Apple ने 2024 के अंत में इस मानक को iOS में शामिल किया और Google ने इसे Android पर आम कर दिया, आपके फ़ोन का अपना मैसेजिंग ऐप चुपचाप अपनी प्रकृति बदल चुका है। ज़्यादातर उपयोगकर्ताओं को इसका पता ही नहीं चला।
यह बदलाव सुरक्षा के लिहाज़ से अच्छी ख़बर है। लेकिन यह एक ख़तरनाक स्थिति भी पैदा करता है: एक ऐसा जनसमूह जो छोटे लोगो और « सत्यापित » बैज पर भरोसा करना सीख रहा है, बिना यह जाने कि वे असल में किस बात की गारंटी देते हैं — और सबसे बढ़कर, किस बात की गारंटी नहीं देते।
RCS: आख़िर बात किस चीज़ की हो रही है?
इस संक्षिप्त नाम का मतलब है Rich Communication Services, यानी « समृद्ध संचार सेवाएँ »। यह एक मानक है जिसे मोबाइल ऑपरेटरों के वैश्विक संगठन GSMA आगे बढ़ाता है। इसे 2008 में ही SMS और MMS की जगह लेने के लिए सोचा गया था, क्योंकि इंटरनेट मैसेजिंग के मुक़ाबले वे तकनीकी रूप से पुराने पड़ चुके थे।
व्यावहारिक रूप से, RCS चार ऐसी चीज़ें लाता है जो SMS कभी नहीं कर सका:
- आकार की सीमा के बिना संदेश, पूरी रेज़ोल्यूशन में फ़ोटो, वीडियो और फ़ाइलों के साथ;
- पढ़े जाने की रसीदें और « टाइप कर रहे हैं » का संकेत, बिलकुल ऐप-आधारित मैसेजिंग की तरह;
- इंटरनेट के ज़रिए आवाजाही (Wi-Fi या मोबाइल डेटा), न कि टेलीफ़ोन नेटवर्क के सिग्नलिंग चैनल से;
- पहचाने गए पेशेवर प्रेषक, लोगो, पूरे नाम, ब्रांड रंग और सत्यापन बैज के साथ।
यहाँ हमारी दिलचस्पी इसी आख़िरी बिंदु में है। RCS की दुनिया में, कोई कंपनी जो आपको संदेश भेजना चाहती है, अब सिर्फ़ एक गेटवे का भुगतान करके प्रेषक वाले खाने में « SFR » या « CPAM » लिख देने भर से काम नहीं चला सकती। उसे एक पंजीकरण प्रक्रिया से गुज़रना पड़ता है: क़ानूनी पहचान का सत्यापन, लोगो की स्वीकृति, ऑपरेटर या Google द्वारा जाँच। इसी हिस्से को RCS Business Messaging कहा जाता है।
काग़ज़ पर, इससे SMS की ऐतिहासिक समस्या हल हो जाती है: प्रेषक के प्रमाणीकरण का पूरी तरह अभाव।
SMS का मूल पाप, और RCS उसे कैसे सुधारता है
यह समझना ज़रूरी है कि SMS कितना भोला प्रोटोकॉल है। 1980 के दशक के अंत में एक ही नेटवर्क के ग्राहकों के बीच इस्तेमाल के लिए बनाया गया, इसमें प्रेषक की जाँच का कोई तंत्र कभी सोचा ही नहीं गया। जब कोई कंपनी संदेश भेजती है, तो वह sender ID नाम के एक खुले टेक्स्ट फ़ील्ड को भर देती है। तकनीकी शृंखला में इस फ़ील्ड की जाँच कोई नहीं करता।
ठीक यही बात spoofing को संभव बनाती है: प्रेषक के नाम की नक़ल। जो ठग इस फ़ील्ड में « AMELI » लिख देता है, उसका संदेश आपके फ़ोन पर स्वास्थ्य बीमा (Assurance Maladie) की पहले से मौजूद बातचीत में, असली संदेशों के ठीक नीचे आ गिरता है। साइबर हमलों के पीड़ितों की सहायता के लिए बनी राष्ट्रीय व्यवस्था Cybermalveillance.gouv.fr वर्षों से smishing पर अपनी जानकारी-पत्रिकाओं में इस तंत्र का दस्तावेज़ीकरण करती आ रही है।
इसके जवाब में फ़्रांस ने अक्टूबर 2023 में SMS प्रेषक नामों की पंजिका शुरू की, जिसे Arcep की देखरेख में Association Française du Multimédia Mobile (AF2M) संचालित करती है। अल्फ़ान्यूमेरिक नाम इस्तेमाल करने की इच्छुक हर कंपनी को अब उसे घोषित करना होता है, और ऑपरेटर उन संदेशों को रोक देते हैं जिनका प्रेषक पंजीकृत नहीं है। यह सचमुच एक प्रगति है, पर यह राष्ट्रीय स्तर तक सीमित है: विदेशी गेटवे या नक़ली मोबाइल टावरों (कुख्यात SMS Blasters) से भेजे गए संदेश इस व्यवस्था को आंशिक रूप से चकमा दे देते हैं।
RCS इससे आगे जाता है, क्योंकि यहाँ सत्यापन घोषणा-आधारित नहीं बल्कि क्रिप्टोग्राफ़िक और दृश्य है: लोगो और बैज प्लेटफ़ॉर्म द्वारा भेजे जाते हैं, संदेश भेजने वाले द्वारा नहीं। कोई ठग उन्हें अपने संदेश के टेक्स्ट में गढ़ नहीं सकता।
« सत्यापित » बैज किस बात की गारंटी देता है — और किस बात की नहीं
यही असली मुद्दा है, और यहीं से ज़्यादातर ग़लतफ़हमियाँ पैदा होती हैं।
बैज किस बात की गारंटी देता है:
जो संस्था आपको लिख रही है, उसने कंपनी की पहचान से जुड़े दस्तावेज़ दिए हैं और प्लेटफ़ॉर्म ने उसे मान्य किया है। दिखाया गया लोगो उसी का है। संदेश किसी तीसरे पक्ष ने उसका रूप धरकर नहीं गढ़ा है।
बैज किस बात की बिलकुल गारंटी नहीं देता:
- कि संदेश की सामग्री ईमानदार है। एक सचमुच पंजीकृत व्यावसायिक कंपनी भी आपको भ्रामक ऑफ़र, जाल वाली सदस्यता या आक्रामक याचना भेज सकती है। सत्यापन पहचान का होता है, नीयत का नहीं।
- कि संदेश में मौजूद लिंक सुरक्षित है। कोई भी वैध संदेश किसी हैक की गई पेज की ओर इशारा कर सकता है, इसमें कुछ भी बाधा नहीं।
- कि हर असत्यापित संदेश धोखाधड़ी है। बहुत-सी छोटी संस्थाएँ, समितियाँ, डॉक्टरों के क्लिनिक या गैराज आज भी साधारण SMS भेजते हैं। बैज का न होना धोखाधड़ी का संकेत नहीं है।
यह बारीकी लोगों तक पहुँचाना बेहद ज़रूरी है, ख़ासकर सबसे संवेदनशील समूहों तक। हमने दस साल बुज़ुर्गों को यह सिखाने में लगाए कि « ब्राउज़र में हरा ताला यह नहीं कहता कि साइट ईमानदार है »। RCS बैज अब नया हरा ताला बनता जा रहा है: एक उपयोगी संकेत, जिसे वे लोग पूर्ण प्रमाण मान बैठते हैं जो नहीं जानते कि वह मापता क्या है।
RCS से खुली हमले की नई सतहें
सादे टेक्स्ट से समृद्ध मैसेजिंग की ओर जाना अपने आप खेल का मैदान बदल देता है। तीन बदलाव ध्यान देने योग्य हैं।
1. वह संदेश जो अब संदेश जैसा नहीं लगता
फ़र्ज़ी SMS अपनी भद्दी शक्ल से पहचाना जाता था: वर्तनी की ग़लतियाँ, खुला हुआ अजीब URL, कोई लेआउट नहीं। एक RCS संदेश तस्वीरों का कैरोसेल, एक्शन बटन, इंटरैक्टिव कार्ड और ब्रांड का रंग दिखा सकता है। वर्तनी की ग़लती अब भी रहती है, पर वह एक सुंदर, भरोसा जगाने वाले इंटरफ़ेस में डूब जाती है।
« क्लिक करने से पहले मैं लिंक देखता हूँ » वाली आदत भी मुश्किल हो जाती है: एक्शन बटन में गंतव्य URL बस दिखता ही नहीं। आप « मेरा पार्सल ट्रैक करें » दबा देते हैं, बिना कभी यह देखे कि वह आपको कहाँ ले जाएगा।
2. अटैचमेंट की वापसी
SMS सिर्फ़ एक लिंक ढो सकता था। RCS फ़ाइलें ढोता है, कई सौ मेगाबाइट तक। यानी मोबाइल मैसेजिंग पर वह ख़तरा लौट आया है जिसे हम ईमेल तक सीमित समझते थे: जाल वाला अटैचमेंट। Android पर, किसी बातचीत में भेजी गई और « आपके मामले की ट्रैकिंग वाला ऐप » बताकर पेश की गई APK फ़ाइल आज भी बैंकिंग जासूसी सॉफ़्टवेयर इंस्टॉल कराने के प्रमुख तरीकों में से एक है, जैसा कि ANSSI की टीमें और मोबाइल सुरक्षा कंपनियाँ नियमित रूप से दर्ज करती हैं।
3. इंटरनेट पर निर्भरता
RCS डेटा के ज़रिए चलता है। अगर आप नेटवर्क-विहीन इलाक़े में हैं या आपका डेटा ख़त्म हो गया है, तो भेजा गया संदेश अपने आप सामान्य SMS में बदल जाता है — यानी बिना बैज, बिना लोगो, बिना एन्क्रिप्शन के। यह चुपचाप होने वाला बदलाव एक दृश्य विसंगति पैदा करता है जिसका ठग फ़ायदा उठा सकते हैं: « आपका संदेश घटिया मोड में आया है, देखने के लिए क्लिक करें »। यहाँ अपना फ़ोन चार्ज और कनेक्टेड रखने का सचमुच सुरक्षा-संबंधी महत्व है, और इसीलिए मोबाइल के भारी उपयोगकर्ताओं के बीच जेब वाले पावर बैंक इतने लोकप्रिय हैं।
और इस सबमें एन्क्रिप्शन कहाँ है?
यह सबसे ज़्यादा ग़लत समझा जाने वाला विषय है। SMS एंड-टू-एंड एन्क्रिप्टेड नहीं होता: वह ऑपरेटर के ढाँचे में खुले रूप में गुज़रता है, ऑपरेटर तकनीकी रूप से उसे पढ़ सकता है, और वह कुछ समय तक उसके सर्वरों पर संग्रहित रहता है। इसी वजह से विशेषज्ञ लंबे समय से सलाह देते हैं कि बैंकिंग प्रमाणीकरण कोड SMS से न लिए जाएँ।
RCS को भी लंबे समय तक यही कमज़ोरी विरासत में मिली। Google ने अपने Messages ऐप में एंड-टू-एंड एन्क्रिप्शन जोड़ा, लेकिन सिर्फ़ इसी ऐप के दो उपयोगकर्ताओं के बीच। GSMA द्वारा 2025 में RCS Universal Profile 3.0 प्रोफ़ाइल प्रकाशित होने के बाद से, एंड-टू-एंड एन्क्रिप्शन मानक के स्तर पर ही तय है, Android और iPhone के बीच भी। इसका वास्तविक अमल ऑपरेटिंग सिस्टम और ऐप्स के अपडेट पर निर्भर करता है।
दो बातें याद रखें:
| सामान्य SMS | RCS (हालिया प्रोफ़ाइल) | |
|---|---|---|
| प्रेषक का प्रमाणीकरण | नहीं (फ़्रांस में AF2M पंजिका) | हाँ, सत्यापित पेशेवरों के लिए |
| एंड-टू-एंड एन्क्रिप्शन | नहीं | हाँ, संस्करण के अनुसार |
| परिवहन | ऑपरेटर नेटवर्क | इंटरनेट |
| अटैचमेंट | नहीं | हाँ |
| डेटा नेटवर्क के बिना पढ़ने योग्य | हाँ | नहीं |
एन्क्रिप्शन आपके निजी संवादों को बीच में पकड़े जाने से बचाता है। यह ठगी से बिलकुल भी नहीं बचाता: जो ठग आपको सीधे लिखता है, वह एन्क्रिप्टेड पाइप में ही लिखता है, और इससे उसका झूठ ज़्यादा सुरक्षित नहीं हो जाता। गोपनीयता और विश्वसनीयता को गड्डमड्ड कर देना इस विषय की सबसे आम तर्क-भूल है।
2026 में अपनी आदतें कैसे अपडेट करें
RCS के आने से मौजूदा कोई भी सतर्कता बेकार नहीं हुई है। बस उनमें कुछ और जुड़ गई हैं।
1. संदेश नहीं, चैनल जाँचिए। सुनहरा नियम वही है: कोई भी प्रशासन, कोई भी बैंक, कोई भी कूरियर कंपनी आपसे किसी प्राप्त संदेश के ज़रिए आपके लॉगिन या बैंक विवरण नहीं मँगवाएगी। लोगो चाहे जो दिखे, संदेश बंद कीजिए और ख़ुद जाकर आधिकारिक वेबसाइट या ऐप खोलिए।
2. दबाकर रखिए, टैप मत कीजिए। ज़्यादातर मैसेजिंग ऐप्स में किसी एक्शन बटन या लिंक पर देर तक दबाए रखने से गंतव्य पता खुले बिना दिख जाता है। यह आदत डालिए: RCS बटन कहाँ ले जाता है, यह देखने का यही एकमात्र तरीका है।
3. बातचीत में मिली हर फ़ाइल से सावधान रहिए। कोई भी सार्वजनिक सेवा, कोई भी फ़्रांसीसी बैंक App Store या Play Store के अलावा किसी और तरीक़े से अपना ऐप नहीं बाँटता। संदेश में मिली इंस्टॉलेशन फ़ाइल बिना किसी अपवाद के धोखाधड़ी है।
4. सुंदरता नहीं, संगति देखिए। कोई सत्यापित पेशेवर संदेश जो आपको बेतकल्लुफ़ी से संबोधित करे, 24 घंटे की समय-सीमा की धमकी दे या « 1,99 € का नियमितीकरण » माँगे, वह अपनी साज-सज्जा चाहे जैसी हो, संदिग्ध है। जल्दबाज़ी और छोटी रक़म का भुगतान ठगी के दो सबसे स्थिर लक्षण हैं।
5. 33700 हाथ के पास रखिए। फ़र्ज़ी SMS और कॉल की सूचना देने की यह राष्ट्रीय सेवा, जिसे सरकारी देखरेख में ऑपरेटर चलाते हैं, अवांछित संदेशों को फ़ॉरवर्ड करने की सुविधा देती है। इसके साथ ही, गंभीर मामलों के लिए Pharos प्लेटफ़ॉर्म और cybermalveillance.gouv.fr वेबसाइट प्रवेश-बिंदु बने हुए हैं।
6. मैसेजिंग ऐप्स की छँटाई कीजिए। कई Android फ़ोन में दो ऐसे ऐप होते हैं जो संदेश प्राप्त कर सकते हैं, जिससे प्रवेश-बिंदु बढ़ जाते हैं और पहचान के संकेत गड्डमड्ड हो जाते हैं। सिर्फ़ एक ऐप रखना, वह भी अपडेटेड, सतर्कता को काफ़ी आसान बना देता है।
बुज़ुर्गों और तकनीक में असहज उपयोगकर्ताओं का ख़ास मामला
इंटरफ़ेस का हर बदलाव एक दुष्प्रभाव पैदा करता है: यह उन लोगों के संकेत-बिंदु मिटा देता है जिन्होंने उन्हें बनाने में सालों लगाए थे। 80 साल की जो व्यक्ति आख़िरकार समझ पाई थी कि « मेरे बैंक के असली संदेश में कभी लिंक नहीं होता », वह अब रंगीन बुलबुलों, बटनों, लोगो और थंबनेल के सामने खड़ी है।
कुछ आसान उपाय जोखिम घटाते हैं:
- अगर उपयोगकर्ता को इसकी कोई ज़रूरत नहीं, तो Messages ऐप की सेटिंग्स में RCS बंद कर दीजिए। फ़ोन सामान्य SMS पर लौट आएगा — कम सुविधाओं वाला, पर ज़्यादा साफ़-सुथरा।
- अनजान स्रोतों से ऐप इंस्टॉल करने पर रोक लगाइए, यह विकल्प Android की सुरक्षा सेटिंग्स में मौजूद है और अटैचमेंट के ज़रिए होने वाले ज़्यादातर हमले नाकाम कर देता है।
- बहुत सीमित उपयोग के लिए बड़े बटनों वाला सीनियर फ़ोन पर विचार कीजिए, जिसकी मैसेजिंग जानबूझकर बुनियादी रखी जाती है: कम सुविधाएँ यानी हमले की कम सतह।
- ज़रूरी लॉगिन विवरण घर में रखी काग़ज़ की पासवर्ड डायरी में लिखिए, बजाय इसके कि उन्हें फ़ोन के नोट्स में रखा जाए या ऐन मौक़े पर दोबारा माँगना पड़े — ऐसे ही क्षणों का ठग फ़ायदा उठाते हैं।
- घर के कामकाजी कोने के पास मेज़ के लिए फ़ोन स्टैंड लगाइए, ताकि व्यक्ति को अपने संदेश आराम से, बैठकर पढ़ने की आदत पड़े, न कि सड़क पर चलते-चलते। जल्दबाज़ी ही क्लिक करने की सबसे बड़ी वजह है।
याद रखने लायक बातें
RCS एक वास्तविक सुधार है। पेशेवर प्रेषकों का प्रमाणीकरण « CPAM » या « La Poste » जैसी भद्दी नक़ल को कहीं ज़्यादा मुश्किल बना देता है — वही नक़ल जिसने दस साल तक smishing की चाँदी कराई। और एंड-टू-एंड एन्क्रिप्शन, जैसे-जैसे फैलता जाएगा, SMS की एक ढाँचागत कमज़ोरी भरता जाएगा।
लेकिन किसी तकनीकी सुधार ने आज तक कोई ठगी ख़त्म नहीं की: वह उसे बस जगह बदलने पर मजबूर करती है। फ़र्ज़ी अभियान अब सामान्य मोबाइल नंबरों की ओर, WhatsApp की ओर, बिक्री प्लेटफ़ॉर्मों की मैसेजिंग की ओर, नक़ली QR कोड की ओर खिसक रहे हैं। और सबसे बढ़कर, वे उसी पर टिके हैं जिसे तकनीक कभी ठीक नहीं कर पाएगी: डर, जल्दबाज़ी, थकान, और किसी लोगो पर किया गया भरोसा।
इसलिए किसी संदेश के सामने पूछने लायक सवाल यह नहीं है कि « क्या यह असली लगता है? », बल्कि यह है कि « क्या यह मुझसे ऐसी कोई चीज़ माँग रहा है जिसकी शुरुआत मैंने नहीं की? »। यह सवाल 1995 के SMS पर भी उतना ही कारगर है जितना 2026 के समृद्ध संदेश पर।
