"आपका अतिरिक्त भुगतान वापस मिलना है": फर्जी रिफंड का वह घोटाला जो आपसे रिफंड पाने के लिए ही पैसे वसूल लेता है

« DGFiP: आपके कर निर्धारण की पुनर्गणना के बाद, 284.17 € का अतिरिक्त भुगतान आपको देय है। 18/09 से पहले अपना विवरण दर्ज करें: impots-remboursement-gouv[.]net »

इस संदेश में डरने जैसा कुछ नहीं है। कोई धमकी नहीं, कोई अटका हुआ पार्सल नहीं, कोई दोगुना होने वाला जुर्माना नहीं, फोन पर कोई हड़बड़ाया बैंक सलाहकार नहीं। सिर्फ़ एक रकम, जो आपकी है और जिसे वापस लेने की पेशकश की जा रही है। और ठीक इसीलिए यह इतना खतरनाक है।

स्मिशिंग के खिलाफ चलाए जाने वाले जागरूकता अभियानों का बड़ा हिस्सा डर के दायरे पर हमला करता है: फर्जी पार्सल, फर्जी जुर्माना, फर्जी ओवरड्राफ्ट। लोगों को घबराहट पैदा करने वाली तात्कालिकता से सावधान रहना सिखाया जाता है। लेकिन कोई भी, या लगभग कोई भी, अच्छी खबर से सावधान रहना नहीं सिखाता। ठगों ने यह बात बहुत पहले समझ ली थी।

रिफंड का चारा: उलटी हुई मनोवैज्ञानिक मशीनरी

पारंपरिक घोटाले तनाव की प्रतिक्रिया जगाते हैं। तनाव में इंसान जल्दी क्लिक करता है, लेकिन बहुत लोगों में यह जाँच-परख की प्रवृत्ति भी जगा देता है: हम जीवनसाथी को फोन करते हैं, इंटरनेट पर खोजते हैं, आधिकारिक पार्सल ट्रैकिंग देखते हैं। डर बुरा सलाहकार है, लेकिन वह शोर मचाता है — वह आसपास के लोगों को सतर्क कर देता है।

रिफंड की उम्मीद इसका उलटा असर करती है। वह भरोसे और चुप्पी का माहौल बना देती है। कोई अपनी बेटी को फोन करके यह नहीं बताता कि उसे 284 € मिलने वाले हैं। कोई सहकर्मी से नहीं पूछता, "तुम्हें भी यह मिला क्या?" इंसान बस मन में सोच लेता है: हाँ, ठीक ही है, इस साल मेरी स्थिति तो बदली थी।

निर्णय-मनोविज्ञान में अच्छी तरह प्रलेखित तीन पूर्वाग्रह यहाँ मिलकर काम करते हैं:

• पुष्टि पूर्वाग्रह: फ्रांस के ज़्यादातर परिवारों को कभी न कभी यह धुँधला अहसास होता है कि उन्होंने किसी चीज़ का ज़्यादा भुगतान कर दिया है। संदेश एक पहले से मौजूद अंतर्ज्ञान की पुष्टि करता है, उसे गढ़ता नहीं।
• पारस्परिकता: जो संस्था आपको पैसे लौटा रही है, वह हितैषी दिखती है। और हितैषी पर शक करने में मन हिचकता है।
• मध्यम रकमों पर कम सतर्कता: 284 € न तो इतना है कि सच होने के लिए बहुत अच्छा लगे, न इतना कम कि आदमी प्रक्रिया छोड़ दे। ठग इस आंकड़े को बहुत सावधानी से तय करते हैं।

पीड़ितों की राष्ट्रीय सहायता व्यवस्था Cybermalveillance.gouv.fr के अनुसार, कई वर्षों से लगातार फिशिंग ही आम नागरिकों द्वारा संपर्क करने का सबसे बड़ा कारण है, सभी माध्यमों को मिलाकर। और इस्तेमाल किए जाने वाले बहानों में रिफंड की जगह संरचनात्मक रूप से मजबूत है, क्योंकि इसे अनंत बार दोहराया जा सकता है: आयकर, स्वास्थ्य बीमा, CAF, Urssaf, बिजली आपूर्तिकर्ता, टेलीफोन ऑपरेटर, एयरलाइन, टोल।

कर और सामाजिक कैलेंडर: ठगों की कार्य-डायरी

रिफंड वाला घोटाला कभी बेतरतीब समय पर नहीं आता। वह फ्रांसीसी प्रशासनिक कैलेंडर के साथ कदम मिलाकर चलता है, क्योंकि विश्वसनीय संदेश वही होता है जो सही समय पर पहुँचे।

अवधि	सबसे ज़्यादा इस्तेमाल किया जाने वाला बहाना	यह क्यों कारगर होता है
जुलाई – सितंबर	कर निर्धारण सूचना, DGFiP का अतिरिक्त भुगतान	असली सूचनाएँ आती हैं, समायोजन भी
सितंबर – अक्टूबर	स्कूल सत्र की शुरुआत: CAF, भत्ते, छात्रवृत्तियाँ	परिवार से जुड़ी औपचारिकताओं की भरमार
नवंबर – जनवरी	बिजली-गैस बिल का समायोजन	वार्षिक रीडिंग और टैरिफ में बदलाव
पूरे साल	स्वास्थ्य बीमा / मेडिकल रिफंड	विवरणों का लगातार प्रवाह
घर बदलने के बाद	ऑपरेटर या बीमा कंपनी का अतिरिक्त भुगतान	असली रद्दीकरण और आनुपातिक हिसाब

नियम सीधा है: अगर आप इस महीने किसी संस्था के पत्र का इंतज़ार कर रहे हैं, तो ठग को भी यह पता है। वह आपको व्यक्तिगत रूप से निशाना नहीं बनाता, वह आँकड़ों के आधार पर लाखों लोगों को निशाना बनाता है, जिनमें से एक हिस्सा वाकई इस तरह की खबर का इंतज़ार कर रहा होता है। सामूहिक भेजाई में कुछ प्रतिशत संयोग ही पूरे अभियान को मुनाफ़े में ले आते हैं।

तकनीकी जाल: आप रिफंड पाने के लिए "भुगतान" क्यों करते हैं

यहीं इस पूरी कहानी का सबसे अंतर्ज्ञान-विरोधी हिस्सा आता है, वही जो सतर्क लोगों को भी फँसा लेता है। धोखाधड़ी वाला पेज पैसे नहीं माँगता। वह पूछता है कि पैसे कहाँ भेजे जाएँ। यानी आपका बैंक विवरण — और बहुत बार, उससे भी बहुत ज़्यादा।

आम रास्ता चार स्क्रीन में तय होता है:

1. पहचान: नाम, उपनाम, जन्मतिथि, पता, कभी-कभी कर संख्या या सामाजिक सुरक्षा संख्या। ऊपर से देखने पर चिंता की कोई बात नहीं, संस्था को तो आपको जानना ही चाहिए।
2. बैंक विवरण: IBAN, और फिर "तत्काल ट्रांसफर के लिए" कार्ड नंबर, समाप्ति तिथि और पीछे लिखा CVV कोड। यही निर्णायक क्षण है: कोई भी सार्वजनिक संस्था बैंक कार्ड पर रिफंड कभी नहीं करती।
3. फोन नंबर: इसे पुष्टि के लिए ज़रूरी बताया जाता है। असल में यह ठग को बाद में आपके बैंक के नाम पर आपको फोन करने का ज़रिया देता है।
4. सत्यापन: 1 € या 2 € का छोटा "जाँच" डेबिट, जो कार्ड को "टेस्ट" करने के नाम पर होता है। हकीकत में यह भुगतान आपके कार्ड को ठग के डिजिटल वॉलेट में जोड़ने की प्रक्रिया शुरू कर देता है।

यह आखिरी चरण सबसे आधुनिक और सबसे कम जाना-पहचाना है। यूरोपीय DSP2 निर्देश द्वारा अनिवार्य किए गए मजबूत प्रमाणीकरण के आम हो जाने के बाद, केवल कार्ड नंबर से खाते से पैसे निकालना संभव नहीं रहा: बैंकिंग ऐप में सत्यापन करना पड़ता है। इसलिए ठगों ने अपना लक्ष्य बदल दिया है। वे अब सीधे आपके कार्ड से भुगतान करने की कोशिश नहीं करते, बल्कि उसे अपने फोन में जोड़ना चाहते हैं, ताकि बाद में दुकानों में कॉन्टैक्टलेस भुगतान करते रहें, पूरी चुपचाप, जब तक आपको भनक न लगे।

इसीलिए फॉर्म भरने के कुछ मिनट या कुछ घंटे बाद अक्सर एक फोन कॉल आती है: एक शांत, पेशेवर आवाज़, जो आपसे कहती है कि "आपको जो नोटिफिकेशन अभी मिला है, उसे सत्यापित कर दीजिए"। आप सत्यापित कर देते हैं। और आपने कार्ड जोड़ने की अनुमति दे दी।

सात संकेत जो फर्जी रिफंड SMS की पोल खोल देते हैं

इनमें से कोई भी संकेत अकेले निर्णायक नहीं है। लेकिन इनमें से दो एक साथ मिल जाएँ, तो संदेश का वर्गीकरण हो गया।

• वह लिंक जो .gouv.fr पर खत्म नहीं होता। फ्रांसीसी प्रशासन की वेबसाइटें हमेशा .gouv.fr पर खत्म होती हैं, कभी -gouv.net, gouv-fr.com या impots-service.info पर नहीं। हाइफ़न फर्जी डोमेन का सबसे पसंदीदा भेस है।
• पैसों में दशमलव तक सटीक रकम। यह लेखा-जोखा वाली प्रामाणिकता की नकल करने के लिए होती है। असल में DGFiP की सच्ची सूचनाएँ SMS से कोई रकम नहीं बताती।
• बैंक विवरण की मांग। कर विभाग, CAF, स्वास्थ्य बीमा और Urssaf के पास आपका बैंक विवरण पहले से है: आपने ही उन्हें अपनी औपचारिकताओं के दौरान दिया था। SMS से दोबारा नहीं माँगा जाता।
• बहुत छोटी अंतिम तिथि। वैध रिफंड 72 घंटों में बासी नहीं हो जाता। यह कृत्रिम तात्कालिकता है, डर के दायरे से उठाकर यहाँ लगा दी गई।
• "क्रिप्टोग्राम", "CVV" या "पीछे के 3 अंक" जैसे शब्द। यह कोड सिर्फ़ भुगतान करने के काम आता है, पैसे पाने के लिए कभी नहीं।
• नकली अल्फ़ान्यूमेरिक प्रेषक। धोखाधड़ी वाला संदेश किसी विश्वसनीय प्रेषक नाम से दिख सकता है, और कभी-कभी किसी असली संस्था की बातचीत की शृंखला में ही घुस जाता है। इसलिए बातचीत की शृंखला प्रामाणिकता का सबूत नहीं है।
• लगभग निर्दोष वर्तनी। भद्दी गलतियाँ अब गायब हो चुकी हैं। व्याकरण की गलती ढूँढना छोड़िए: डोमेन ढूँढिए।

हर प्रशासनिक SMS के लिए लागू होने वाला जीवनरक्षक नियम: संदेश में कभी क्लिक न करें, हमेशा अपने ही तरीके से आधिकारिक साइट पर जाएँ — impots.gouv.fr, caf.fr, ameli.fr, urssaf.fr — या अपने फोन में पहले से इंस्टॉल ऐप में। अगर रिफंड मौजूद है, तो वहाँ दिखेगा। अगर वहाँ नहीं दिखता, तो वह मौजूद ही नहीं है।

सबसे ज़्यादा जोखिम में कौन, और क्यों

सेवानिवृत्त लोग और डिजिटल दुनिया में असहज लोग

स्रोत पर कर कटौती ने बहुत परिवारों के लिए कराधान को और अपारदर्शी बना दिया है: अब हमेशा पता नहीं रहता कि हम क्या चुका रहे हैं और क्यों। ऐसे में किसी समायोजन की घोषणा प्रामाणिक लगने लगती है। इसमें एक व्यावहारिक कारण भी जुड़ता है: छोटी स्क्रीन पर अधूरा दिख रहा वेब पता पढ़ना वाकई मुश्किल है। कई परिवार इस समस्या का एक हिस्सा फोन के डिस्प्ले फॉन्ट को स्थायी रूप से बड़ा करके, या कुर्सी के पास एक एडजस्टेबल फोन स्टैंड लगाकर हल कर लेते हैं, ताकि स्क्रीन हाथ फैलाकर नहीं, बल्कि सही दूरी पर पढ़ी जाए। डोमेन नाम को साफ़ देख पाना ही आधी सतर्कता है।

विद्यार्थी और युवा कामकाजी लोग

छात्रवृत्तियाँ, आवास सहायता, गतिशीलता अनुदान, यात्रा भत्ते की वापसी: इस वर्ग में छोटी-छोटी रकमों वाले प्रशासनिक लेनदेन बहुत हैं और मोबाइल पर सब कुछ करने की आदत भी गहरी है। 120 € के ट्रांसफर की घोषणा उन्हें बिल्कुल सामान्य लगती है।

स्वतंत्र पेशेवर और सूक्ष्म-उद्यमी

उन्हें वाकई Urssaf से संदेश आते हैं, वे वाकई बैंक विवरण साझा करते हैं, और अपनी नकदी रोज़ के हिसाब से चलाते हैं। एक फर्जी "अंशदान का अतिरिक्त भुगतान" यहाँ आदर्श ज़मीन पा जाता है। उनके लिए इस्तेमाल को अलग-अलग रखना सुरक्षा में असली बढ़त है: पेशेवर काम के लिए एक दूसरा फोन, या कम से कम प्रशासनिक संपर्कों के लिए आरक्षित एक प्रीपेड SIM कार्ड, जोखिम के दायरे को यंत्रवत् घटा देता है।

अगर आप क्लिक कर चुके हैं, या डेटा दर्ज कर चुके हैं, तो क्या करें

शर्म से ज़्यादा समय मायने रखता है। प्राथमिकताओं का क्रम यह है।

1. तुरंत कार्ड ब्लॉक कराएँ — अपने बैंक से, ऐप के ज़रिए या कार्ड के पीछे लिखे नंबर पर; SMS से मिले नंबर पर कभी नहीं। फ्रांस में कार्ड ब्लॉक करने की अंतर-बैंकीय सेवा 0 892 705 705 पर चौबीसों घंटे उपलब्ध है।
2. जोड़े गए उपकरण जाँचें अपने बैंकिंग खाते में: अब ज़्यादातर बैंक मोबाइल भुगतान के लिए आपके कार्ड से जुड़े फोनों की सूची दिखाते हैं। किसी भी अपरिचित उपकरण को हटा दें।
3. पासवर्ड बदलें उन खातों के, जो प्रभावित हुए हैं, खासकर अगर आपने वही पासवर्ड कहीं और भी इस्तेमाल किया है। घर में रखी एक कागज़ की पासवर्ड डायरी बहुत परिवारों के लिए आज भी अंदाज़े से याद रखने की कोशिश से ज़्यादा व्यावहारिक हल है — बशर्ते उसकी कभी फोटो न ली जाए और उसे साथ लेकर न घूमा जाए।
4. संदेश की शिकायत करें। 33700 फ्रांस में अवांछित और धोखाधड़ी वाले SMS की शिकायत की आधिकारिक सेवा है: संदेश 33700 पर फॉरवर्ड करें, और जब सेवा पूछे तो प्रेषक का नंबर भेज दें। आप धोखाधड़ी वाले पते की शिकायत Phishing Initiative प्लेटफ़ॉर्म पर भी कर सकते हैं और गृह मंत्रालय के आधिकारिक शिकायत पोर्टल पर घटना की सूचना दे सकते हैं।
5. शिकायत दर्ज कराएँ पुलिस थाने या जेंडरमरी में, अगर आपके खाते से पैसे निकल चुके हैं। रिफंड पाने के लिए यह अक्सर एक अनिवार्य शर्त होती है।
6. रिफंड की मांग करें। फ्रांसीसी मौद्रिक और वित्तीय संहिता के अनुसार, अनधिकृत भुगतान लेनदेन की स्थिति में बैंक खाताधारक को पैसे लौटाता है, सिवाय उसकी घोर लापरवाही के मामलों में। Banque de France और विवेकपूर्ण नियंत्रण एवं समाधान प्राधिकरण (ACPR) ने कई बार दोहराया है कि केवल किसी हेराफेरी का शिकार होना अपने आप में घोर लापरवाही नहीं मानी जाती। अगर आपका बैंक मना करता है, तो उसके मध्यस्थ (मीडिएटर) के पास जाएँ।

जोखिम स्थायी रूप से कम करें, बिना अतिशंकालु बने

लक्ष्य हर चीज़ पर शक करना नहीं है, बल्कि शक करना आसान बना देना है। कुछ आदतें काफ़ी हैं।

• आधिकारिक ऐप इंस्टॉल करें (impots.gouv, ameli, CAF – Mon Compte) और लिंक के बजाय उनके भीतर जाँचने की आदत डालें। यह एक ही आदत इन अभियानों के 90 % को बेअसर कर देती है।
• रीयल-टाइम बैंकिंग नोटिफिकेशन चालू करें हर लेनदेन के लिए, छोटी रकमों के लिए भी: 1 € का वही डेबिट धोखाधड़ी वाले कार्ड-जोड़ने की पोल खोलता है।
• फोन को अपडेट रखें, सिस्टम और ब्राउज़र दोनों। इनमें बने एंटी-फिशिंग फ़िल्टर चिह्नित डोमेनों का एक हिस्सा रोक देते हैं।
• बैटरी को फैसले तय करने न दें। आवेश में किए जाने वाले क्लिकों का एक अच्छा-खासा हिस्सा तब होता है जब आदमी फोन बंद होने से पहले "जल्दी से निपटा देना" चाहता है। बैग में रखी एक कॉम्पैक्ट पावर बैंक सोचने का वक्त भी बचाती है।
• मिले हुए प्रयासों की चर्चा करें। धोखाधड़ी पर हुए सभी अध्ययनों में सबसे बड़ा सुरक्षा-कारक यही रहता है कि आपने इस बारे में किसी से बात की। रोज़मर्रा की साइबर सुरक्षा पर एक आम पाठक के लिए लिखी किताब, ड्राइंग रूम की मेज़ पर पड़ी रहकर, लंबे उपदेश से ज़्यादा घरेलू बातचीत शुरू कराती है।

आखिर में, एक वाक्य जो याद रखने और आगे पहुँचाने लायक है, खासकर माता-पिता और दादा-दादी तक: कोई भी फ्रांसीसी सार्वजनिक संस्था आपको पैसे देने के लिए आपका बैंक कार्ड नंबर कभी नहीं मांगेगी। रिफंड ट्रांसफर से होता है, पहले से ज्ञात बैंक विवरण पर, और आपको कुछ करने की ज़रूरत नहीं पड़ती। इस नियम से हटने वाला हर संदेश घोटाला है, चाहे लोगो कोई भी हो, लहजा कैसा भी हो या रकम कितनी भी बताई जाए।

असली अच्छी खबर यह है कि यह घोटाला नाम लेते ही ढह जाता है। यह किसी तकनीकी करतब पर टिका नहीं है: यह सिर्फ़ इस बात पर टिका है कि हमें खतरों से सावधान रहना सिखाया गया है, तोहफ़ों से कभी नहीं।