# आईटी विभाग के नकली SMS: वर्क फ्रॉम होम कर्मचारियों को निशाना बनाने वाला घोटाला

> « Support IT » के नाम से आया एक SMS आपसे पासवर्ड रीसेट करने या लॉगिन मंज़ूर करने को कहता है: कॉर्पोरेट स्मिशिंग, MFA फटीग और घर से काम करते समय अपनाई जाने वाली सावधानियों की पूरी पड़ताल।

- Source: https://www.envoyer-sms-gratuit.com/hi/blog/2026-09-09/arnaques-sms-teletravail-materiel-informatique-entreprise
- Published: 2026-09-09 (9 सितंबर 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: hi
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Guide, SMS, Protection des données, France 2026

---
« SUPPORT IT: आपका Microsoft 365 खाता 12 घंटे में समाप्त हो रहा है। ब्लॉक होने से पहले अपना पासवर्ड रीसेट करें: portail-rh-connexion[.]net »

यह संदेश गुरुवार को सुबह 8:47 बजे आता है। आप घर पर हैं, पहली मीटिंग तेरह मिनट में शुरू होने वाली है, कॉफ़ी मशीन चल रही है और आपका ऑफ़िस का कंप्यूटर पहले ही लॉगिन की माँग दिखा रहा है। आप इस नंबर को नहीं पहचानते, लेकिन आपको आईटी विभाग का नंबर भी ज़ुबानी याद नहीं है — वह आपके पास कभी था ही नहीं। इसलिए आप क्लिक कर देते हैं।

पार्सल वाले नकली SMS या फ़र्ज़ी चालान से यही सबसे बड़ा फ़र्क है: यह घोटाला पैसे खोने के डर पर नहीं, बल्कि **अपना काम ठप हो जाने के डर** पर खेलता है। और इसका निशाना एक ख़ास किस्म का व्यक्ति है: घर पर अकेला बैठा कर्मचारी, जिसके पास बगल के केबिन में कोई नहीं है जिससे वह पूछ सके « तुम्हें भी यह मिला क्या? »।

![सूट पहने एक व्यक्ति दोनों हाथों में स्मार्टफ़ोन थामे हुए, मेज़ पर बैंक कार्ड और लिफ़ाफ़े रखे हैं](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-1.jpg)

## ठग आम लोगों से हटकर कर्मचारियों पर क्यों आ गए

हैक किया गया बैंक खाता ज़्यादा से ज़्यादा कुछ हज़ार यूरो देता है, और बैंक अक्सर लेन-देन रोक भी देता है। लेकिन हैक किया गया दफ़्तर का खाता एक अलग ही चीज़ है: आंतरिक ईमेल तक पहुँच, साझा फ़ाइलें, बिलिंग टूल, कभी-कभी कंपनी का VPN तक। हमलावर के लिए मुनाफ़े का पैमाना ही अलग है।

ANSSI (राष्ट्रीय सूचना प्रणाली सुरक्षा एजेंसी) हर साल अपने *Panorama de la cybermenace* में इसे दर्ज करती है: **लॉगिन जानकारी की चोरी** फ़्रांसीसी कंपनियों और स्थानीय निकायों पर होने वाले रैनसमवेयर हमलों के सबसे आम प्रवेश द्वारों में से एक बनी हुई है। और सार्वजनिक सहायता तंत्र cybermalveillance.gouv.fr के अनुसार, लगातार कई वर्षों से फ़िशिंग पेशेवरों द्वारा दर्ज की जाने वाली सहायता माँगों में पहले स्थान पर है।

SMS एक साधारण और आईटी विभागों के लिए थोड़े शर्मनाक कारण से पसंदीदा ज़रिया बन गया है: **निजी फ़ोन कंपनी के फ़िल्टरों की पहुँच से बाहर है**। पेशेवर ईमेल एक एंटीस्पैम गेटवे, एंटीवायरस, क्वारंटाइन नियमों और कभी-कभी « बाहरी प्रेषक » वाले लाल बैनर से सुरक्षित रहता है। निजी स्मार्टफ़ोन पर आया SMS इनमें से कुछ भी नहीं झेलता। वह सीधे, उसी थ्रेड में आ जाता है जिसमें परिवार के संदेश आते हैं।

## « आईटी विभाग » के नकली SMS की बनावट

ये अभियान लगभग हमेशा एक ही ढाँचे पर चलते हैं। इसे पहचान लेना ही 90% कोशिशों को नाकाम करने के लिए काफ़ी है।

### 1. एक प्रेषक जो भीतरी लगता है

संदेश किसी अल्फ़ान्यूमेरिक प्रेषक नाम — « SupportIT », « MS-Securite », « DSI-Alerte » — या किसी सामान्य 06/07 मोबाइल नंबर के साथ दिखता है। ज़रूरी याद दिलाना: **SMS पर दिखने वाला प्रेषक का नाम पहचान का प्रमाण नहीं है**। वह भेजने वाला ख़ुद भेजते समय घोषित करता है। फ़्रांस में Arcep और Fédération française des télécoms ने 2023-2024 से नकली प्रेषक नामों को छानने की एक व्यवस्था (« MEF », प्रेषक प्रमाणीकरण तंत्र) लागू की है, जिसने घोषित ब्रांडों की नकल को काफ़ी हद तक घटा दिया है। लेकिन 200 कर्मचारियों वाली कंपनी ने आमतौर पर ऑपरेटरों के पास अपना शॉर्ट नाम दर्ज नहीं कराया होता: ऐसे में ठग के पास नकल करने को कुछ है ही नहीं, वह गढ़ लेता है।

### 2. तारीख़ के साथ जुड़ी हड़बड़ी

« 12 घंटे के भीतर », « आज शाम से पहले », « आख़िरी सूचना »। यह छोटी समय-सीमा शैली की कोई बारीकी नहीं है: यही पूरी चाल का दिल है। यह उस एकमात्र काम को रोकती है जो सचमुच बचाता है — किसी को फ़ोन करके पुष्टि करना।

### 3. एक विश्वसनीय और दफ़्तरी बहाना

रिपोर्ट किए गए अभियानों में सबसे अधिक देखे गए बहाने:

| SMS का बहाना | ठग वास्तव में क्या चाहता है |
|---|---|
| « आपका पासवर्ड समाप्त हो रहा है » | नकली लॉगिन पेज पर आपकी लॉगिन जानकारी |
| « नई सुरक्षा नीति, अपना डिवाइस दोबारा रजिस्टर करें » | आपसे कोई प्रोफ़ाइल या रिमोट कंट्रोल ऐप इंस्टॉल करवाना |
| « असामान्य लॉगिन को मंज़ूरी दें » | आपकी दो-चरणीय प्रमाणीकरण से *उसका* लॉगिन मंज़ूर करवाना |
| « वेतन के लिए अपनी बैंक जानकारी अपडेट करें » | आपका खाता विवरण, ताकि आपकी तनख़्वाह मोड़ी जा सके |
| « सीईओ को आपकी ज़रूरत है, इस नंबर पर जवाब दें » | बातचीत शुरू करना और फिर « सीईओ फ़्रॉड » तक ले जाना |

### 4. एक लंबा-चौड़ा लिंक

डोमेन कॉर्पोरेट शब्दावली की नकल करता है — `portail-rh`, `intranet-connexion`, `sso-securite` — और उसके बाद कोई अजीब एक्सटेंशन होता है। स्मार्टफ़ोन की स्क्रीन पर पता कटा हुआ दिखता है। ठीक इसी वजह से यह घोटाला कंप्यूटर की तुलना में मोबाइल पर ज़्यादा कामयाब होता है: आपको लिंक की सिर्फ़ शुरुआत दिखती है।

## MFA फटीग: जब दो-चरणीय प्रमाणीकरण ही हथियार बन जाता है

यह 2025-2026 की सबसे चालाक तरकीब है, और आम जनता के बीच सबसे कम जानी-पहचानी।

आपने अपने दफ़्तरी खाते पर दो-चरणीय प्रमाणीकरण चालू कर रखा है। बढ़िया आदत। लेकिन ठग के पास पहले से आपका पासवर्ड है — किसी डेटा लीक से निकाला हुआ, चंद यूरो में ख़रीदा हुआ। वह लॉगिन करने की कोशिश करता है। आपके फ़ोन पर सूचना आती है: « क्या आप इस लॉगिन को मंज़ूरी देते हैं? »। आप मना कर देते हैं।

वह फिर कोशिश करता है। तीन बार। दस बार। रात के 2 बजे। फिर SMS आता है: *« Support IT: हम आपके खाते की सुरक्षा जाँच रहे हैं, कृपया चल रही सूचना को मंज़ूरी दें। »*

थका हुआ, झुँझलाया हुआ, और उस संदेश से आश्वस्त जो गड़बड़ी की वजह समझाता लगता है, उपयोगकर्ता « मंज़ूर करें » दबा देता है। हमलावर भीतर पहुँच गया। इस तकनीक का एक नाम है: **MFA fatigue** या *push bombing*। पिछले कुछ वर्षों में दर्ज कई बड़ी सेंधों में इसका इस्तेमाल हुआ है, और अमेरिकी CISA तथा ANSSI दोनों अब सिर्फ़ बटन दबाकर मंज़ूरी देने की जगह *number matching* अपनाने की सलाह देते हैं — यानी लॉगिन स्क्रीन पर दिखने वाला कोड टाइप करना।

> अटल नियम: ऐसी कोई भी लॉगिन सूचना जिसे **आपने ख़ुद उसी क्षण शुरू नहीं किया है**, हमेशा अस्वीकार करें। बिना अपवाद, और SMS से मिली किसी सफ़ाई के बावजूद।

सबसे संवेदनशील खातों के लिए सबसे मज़बूत बचाव हार्डवेयर ही है: USB में लगाई या NFC से छुआई जाने वाली **[FIDO2 सुरक्षा कुंजी](https://www.amazon.fr/s?k=cl%C3%A9+de+s%C3%A9curit%C3%A9+FIDO2+USB+NFC&tag=ds050-21)** को फ़िश नहीं किया जा सकता, क्योंकि जवाब देने से पहले वह साइट के पते की क्रिप्टोग्राफ़िक जाँच करती है। कितना भी बेहतरीन नकली लॉगिन पेज हो, उसे कुछ नहीं मिलता।

![दाढ़ी वाला, गंजे सिर वाला व्यक्ति अँधेरे में शक भरी नज़र से अपने स्मार्टफ़ोन की स्क्रीन देखता हुआ](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-2.jpg)

## वर्क फ्रॉम होम, ठगों का आदर्श मैदान

घर से काम करते समय तीन कारक एक साथ जुड़ जाते हैं।

**सामाजिक अलगाव।** दफ़्तर में पुष्टि तुरंत और मुफ़्त होती है: आप बगल के सहकर्मी की ओर मुड़ जाते हैं। घर पर पुष्टि करने के लिए Teams खोलना, सही व्यक्ति ढूँढ़ना और जवाब का इंतज़ार करना पड़ता है। मानसिक लागत बढ़ती है, सतर्कता घटती है।

**दायरों का घालमेल।** वही स्मार्टफ़ोन बच्चों के डॉक्टर का SMS, जिम ग्रुप की सूचना और « सूचना सुरक्षा » की चेतावनी — सब एक साथ पाता है। दिमाग़ पेशेवर मोड में नहीं जाता, वह सब कुछ एक ही स्तर के ध्यान से निपटाता है — यानी लापरवाही से।

**निजी उपकरण।** बहुत से कर्मचारी अपना दफ़्तरी ईमेल अपने ही फ़ोन पर देखते हैं, बिना किसी सुरक्षा सेटिंग के जो नियोक्ता ने लागू की हो। कई साल तक सुरक्षा अपडेट की गारंटी वाला [नया Android स्मार्टफ़ोन](https://www.amazon.fr/s?k=smartphone+Android+mises+%C3%A0+jour+s%C3%A9curit%C3%A9+longue+dur%C3%A9e&tag=ds050-21) यहाँ सचमुच फ़र्क पैदा करता है: जिस डिवाइस को अब पैच नहीं मिलते, वह छलनी बन जाता है, चाहे उसका उपयोगकर्ता कितना ही सावधान क्यों न हो।

एक समय-संबंधी कारक भी जोड़ लें: पेशेवर स्मिशिंग अभियान बड़े पैमाने पर **सोमवार सुबह, शुक्रवार शाम और स्कूल की छुट्टियों के दौरान** भेजे जाते हैं। ये वही समय होते हैं जब आईटी विभाग या तो लदे होते हैं या कम स्टाफ़ पर चल रहे होते हैं, और तब एक आपात संदेश सबसे विश्वसनीय लगता है।

## स्क्रीन छूने से पहले ख़ुद से पूछने वाले पाँच सवाल

इनमें से किसी के लिए तकनीकी जानकारी ज़रूरी नहीं है।

1. **क्या मेरे आईटी विभाग ने पहले कभी मुझे SMS किया है?** ज़्यादातर संगठनों में जवाब है — नहीं। बातचीत आंतरिक ईमेल, इंट्रानेट या फ़ोन से होती है।
2. **क्या संदेश मुझसे जल्दी में कुछ *करने* को कह रहा है?** असली सुरक्षा सूचना जानकारी देती है। घोटाला आदेश देता है।
3. **क्या लिंक मेरी कंपनी के सामान्य डोमेन के अलावा कहीं और ले जाता है?** अगर आप पूरा पता पढ़ नहीं सकते, तो मान लीजिए जवाब हाँ है।
4. **क्या यह कार्रवाई मैंने ख़ुद शुरू की थी?** मेरी ओर से रीसेट का कोई अनुरोध नहीं = कोई वैध रीसेट नहीं।
5. **अगर मैं इस संदेश को दो घंटे नज़रअंदाज़ कर दूँ तो क्या होगा?** लगभग हमेशा: कुछ नहीं। यह अकेला सवाल हड़बड़ी को ख़त्म कर देता है।

## क्लिक कर चुके हों तो क्या करें

सबसे बुरी प्रतिक्रिया है शर्म के मारे चुप रह जाना। ठगा जाना कोई पेशेवर ग़लती नहीं है: यह पेशेवरों द्वारा डिज़ाइन किए गए हमलों का अपेक्षित नतीजा है। दस मिनट के भीतर दी गई सूचना नुकसान सीमित करती है; तीन दिन बाद दी गई सूचना चोरी के बाद पहुँचती है।

**क्रम से:**

- **संबंधित पासवर्ड तुरंत बदलें**, हो सके तो किसी दूसरे डिवाइस से, और सबसे अहम — हाथ से टाइप किए गए आधिकारिक पते से; कभी भी SMS के लिंक से नहीं।
- **अपने आईटी विभाग या मैनेजर को सूचित करें**, संदेह होने पर भी, भले ही आपने कुछ टाइप न किया हो। सिर्फ़ वही खुले सत्रों को रद्द कर सकते हैं।
- **अपने ईमेल के नियम जाँचें**: हमलावर अक्सर एक अदृश्य ऑटो-फ़ॉरवर्ड नियम बना देते हैं ताकि पासवर्ड बदलने के बाद भी आपके ईमेल पढ़ते रहें।
- **SMS की सूचना 33700 पर दें** — पहले संदेश फ़ॉरवर्ड करें, फिर प्रेषक का नंबर भेजें। Fédération française des télécoms द्वारा संचालित यह सेवा भेजने वाले नंबरों को ब्लॉक करवाने में मदद करती है।
- **अगर डेटा चुराया गया हो तो शिकायत दर्ज कराएँ**, और घटना की सूचना cybermalveillance.gouv.fr पर दें, जो ExpertCyber प्रमाणित सेवा प्रदाताओं तक पहुँचाता है।

अगर कंपनी में व्यक्तिगत डेटा का उल्लंघन होता है, तो उस पर एक कानूनी दायित्व भी है: GDPR के अनुच्छेद 33 के अनुसार 72 घंटे के भीतर CNIL को सूचित करना। आपकी तेज़ सूचना इसी शृंखला का हिस्सा है।

![हिजाब और गुलाबी कोट पहने एक युवती सड़क पर रेलिंग के पास अपना स्मार्टफ़ोन देखती हुई](/images/blog/2026-09-09-arnaques-sms-teletravail-materiel-informatique-entreprise/body-3.jpg)

## कर्मचारी के स्तर पर जोखिम कैसे घटाएँ

आप अपने नियोक्ता की सुरक्षा नीति नहीं तय करते, लेकिन कई चीज़ें आपके हाथ में हैं।

**इस्तेमाल अलग-अलग रखें।** सबसे साफ़ हल दो लाइनें रखना है: एक [प्रीपेड सिम कार्ड](https://www.amazon.fr/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds050-21) रजिस्ट्रेशन, डिलीवरी और ऑनलाइन सेवाओं के लिए, और दूसरी सिर्फ़ भरोसेमंद संपर्कों के लिए। eSIM वाले स्मार्टफ़ोन पर यह अलगाव अब जगह भी नहीं घेरता। आपका पेशेवर नंबर जितना कम घूमेगा, उतना कम वह बिकने वाले डेटाबेस में पहुँचेगा।

**अपना नंबर यहाँ-वहाँ न छोड़ें।** ठगों द्वारा नंबर जुटाने पर WeLiveSecurity के लेख ने इस वसंत याद दिलाया था: ई-कॉमर्स साइटों के डेटा लीक, प्रतियोगिताएँ और साइन-अप फ़ॉर्म ही स्मिशिंग में इस्तेमाल होने वाली सूचियों का बड़ा हिस्सा भरते हैं। हर भरा गया फ़ॉर्म एक अतिरिक्त जोखिम है।

**डिवाइस को ही सुरक्षित रखें।** जिस फ़ोन से दफ़्तरी लॉगिन मंज़ूर होते हैं, वह एक अहम वस्तु है। मज़बूत कवर और टेम्पर्ड ग्लास शौक़ की बात नहीं हैं: टूटी स्क्रीन जिसे ठीक कराने में देर होती है, यानी जल्दबाज़ी में बदला गया फ़ोन, जल्दबाज़ी में किए गए अकाउंट ट्रांसफ़र और पुराने डिवाइस पर छूटे हुए सेशन। इसी तरह, एक [कॉम्पैक्ट पावर बैंक](https://www.amazon.fr/s?k=batterie+externe+compacte+smartphone&tag=ds050-21) उस पुरानी मुसीबत से बचाता है जब फ़ोन ठीक उसी वक़्त बंद हो जाए जब किसी लॉगिन को मंज़ूर — या अस्वीकार — करना हो।

**पासवर्ड सही तरीके से सँभालें।** किसी शौक़िया फ़ोरम और दफ़्तरी खाते पर एक ही पासवर्ड दोहराना इन हमलों की पहली वजह है। पासवर्ड मैनेजर, चाहे मुफ़्त हो या पेड, एक शाम की सेटअप में यह समस्या ख़त्म कर देता है। जो कागज़-कलम पसंद करते हैं, उनके लिए बंद दराज़ में रखी [पासवर्ड डायरी](https://www.amazon.fr/s?k=carnet+de+mots+de+passe+papier&tag=ds050-21) हर जगह एक ही चाबी इस्तेमाल करने से कहीं ज़्यादा सुरक्षित है — बशर्ते वह घर से कभी बाहर न जाए।

## नियोक्ता को क्या करना चाहिए (और आप क्या माँग सकते हैं)

अगर आप सुझाव देने की स्थिति में हैं, तो तीन उपाय सब कुछ बदल देते हैं, और इनमें से कोई महँगा नहीं है:

- **एक ही, सबको पता हो ऐसा सत्यापन चैनल घोषित करें**: एक आंतरिक नंबर, एक पता, एक तयशुदा वाक्य। « आईटी विभाग आपको कभी SMS नहीं करेगा » अग्नि-सुरक्षा निर्देशों जितनी ही स्पष्टता से लिखा होना चाहिए।
- **दो-चरणीय प्रमाणीकरण को number matching पर लाएँ**, सिर्फ़ मंज़ूरी बटन की जगह, और विशेषाधिकार वाले खातों के लिए फ़िज़िकल कुंजियाँ लागू करें।
- **बिना दंड वाली रिपोर्टिंग संस्कृति बनाएँ।** जो संगठन फँसे हुए कर्मचारी को डाँटता है, वह यह पक्का कर लेता है कि उसे ख़बर तभी मिलेगी जब रैनसमवेयर इंस्टॉल हो चुका होगा।

ANSSI और cybermalveillance.gouv.fr की मुफ़्त गाइड — ख़ासकर *Guide des bonnes pratiques de l'informatique* और छोटे-मझोले उद्यमों के लिए बने जागरूकता किट — बिना किसी बजट के सीधे इस्तेमाल लायक सामग्री देती हैं।

## एक वाक्य में निचोड़

कोई वैध आईटी विभाग आपको कभी ऐसी स्थिति में नहीं डालता कि आप अपने निजी फ़ोन से घबराहट में कुछ करें। जब भी कोई संदेश **हड़बड़ी, लिंक और दफ़्तरी खाते** को एक साथ जोड़े, तो एकमात्र सही जवाब है SMS बंद करना और वह नंबर मिलाना जो आपको यह संदेश मिलने से पहले से मालूम था।

और अगर संदेह बना रहे, तो यह असमान शक्ति-संतुलन याद रखिए: ठग को चाहिए कि आप पाँच मिनट में जवाब दें। आपके पास कल तक इंतज़ार करने का पूरा हक़ है।

{/* image-sources: https://images.pexels.com/photos/15697340/pexels-photo-15697340.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/7534799/pexels-photo-7534799.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6406709/pexels-photo-6406709.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6084425/pexels-photo-6084425.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}