« CIC : आपके खाते में एक नए डिवाइस से असामान्य लॉगिन का पता चला है। यदि यह आपने नहीं किया है, तो यहां सुरक्षित करें: cic-verification-acces[.]com »
आपको यह मैसेज शाम 6:40 बजे मिलता है, जब आप स्टेशन से बाहर निकल रहे होते हैं। ठीक उसी क्षण आपके बगल में खड़ा व्यक्ति अपना फोन देखता है और माथे पर बल डालता है। मैसेज बिल्कुल वही है। आपका ऑपरेटर अलग है, बैंक अलग है, आप दोनों के बीच कोई संबंध नहीं। फिर भी आपको ठीक एक ही सेकंड में एक ही SMS मिला है।
यह कोई सामान्य स्मिशिंग अभियान नहीं है। यहां काले बाज़ार से खरीदी गई नंबरों की कोई सूची नहीं है, कोई भेजने वाला गेटवे नहीं, दूसरे छोर पर कोई ऑपरेटर नहीं। यहां है 150 मीटर दूर खड़ी एक कार, बैटरी से चलता एक बॉक्स, और एक नकली मोबाइल टावर जिसने आसपास के सभी फोनों को अपने साथ जुड़ने पर मजबूर किया और सीधे उनके इनबॉक्स में मैसेज ठेल दिया। इसी को SMS ब्लास्टर कहते हैं।
SMS ब्लास्टर आखिर क्या बदल देता है
अब तक इस पत्रिका में हमने जितने भी फर्जी SMS की पड़ताल की है, उन सबमें एक बात समान है: वे नेटवर्क का इस्तेमाल करते हैं। ठग किसी बल्क-मैसेजिंग सेवा को भुगतान करता है, अक्सर विदेश में, नंबरों की सूची डालता है और « भेजें » दबा देता है। मैसेज ऑपरेटरों से होकर गुज़रता है, एंटी-स्पैम फिल्टरों को पार करता है, और पीछे इस्तेमाल लायक निशान छोड़ जाता है। इसीलिए 33700 पर शिकायत का मतलब है — यह वॉइस और SMS स्पैम की आधिकारिक रिपोर्टिंग सेवा है, जिसे Association Française du Multimédia Mobile फ्रांसीसी ऑपरेटरों के साथ मिलकर चलाती है, और यह एक असली ब्लॉकिंग चेन को सक्रिय करती है।
SMS ब्लास्टर इस पूरी परत को ही छलांग लगाकर पार कर जाता है। यह उपकरण एक मोबाइल बेस स्टेशन की तरह व्यवहार करता है — यानी एक छोटा-सा मोबाइल टावर। आसपास के फोन, जो सबसे मजबूत सिग्नल से जुड़ने के लिए ही बनाए गए हैं, अपने आप इससे चिपक जाते हैं। कनेक्शन बनते ही यह उपकरण फोन में वैसे ही मैसेज भेज देता है, जैसे कोई असली नेटवर्क भेजता। इसके सिलसिलेवार नतीजे:
- कोई ऑपरेटर शामिल ही नहीं है। न Orange, न SFR, न Bouygues, न Free — किसी ने यह मैसेज गुज़रते नहीं देखा। ऑपरेटरों के एंटी-स्मिशिंग फिल्टर, जो हर साल करोड़ों फर्जी SMS रोकते हैं, यहां पूरी तरह बाहर हैं।
- किसी नंबर की ज़रूरत ही नहीं पड़ी। ठग आपका नंबर नहीं जानता, उसने इसे कभी खरीदा नहीं, कभी देखा भी नहीं। वह एक भौगोलिक इलाके पर बौछार करता है, किसी सूची पर नहीं।
- दिखने वाला प्रेषक पूरी तरह उसकी मर्ज़ी का है। बॉक्स तय करता है कि हेडर क्या होगा: « CIC », « Ameli », « Chronopost », « ANTAI »। उस पर किसी भरोसेमंद नंबर-फॉर्मेट की कोई पाबंदी नहीं।
- मैसेज किसी मौजूदा चैट थ्रेड में भी आ सकता है। यही सबसे परेशान करने वाली बात है: अगर दिखने वाला प्रेषक ठीक उसी ब्रांड से मेल खाता है जिसके असली SMS आपको पहले मिल चुके हैं, तो कुछ फोन इस फर्जी मैसेज को उसी बातचीत में, असली मैसेजों के ठीक नीचे जोड़ देते हैं।
यह आखिरी बिंदु उस मुख्य जांच-आदत को ही ध्वस्त कर देता है जो आम लोगों ने बड़ी मुश्किल से सीखी थी। « देखिए कि मैसेज पिछले मैसेजों वाले उसी थ्रेड में आया है या नहीं » — यह सलाह लंबे समय तक सही थी, लेकिन इस तकनीक के सामने अब यह सुरक्षा नहीं देती।
एक छोटा-सा बॉक्स टावर होने का नाटक कैसे कर लेता है?
जवाब एक शब्द में है: 2G। GSM, जो 1990 के दशक की शुरुआत में लागू हुआ, उस दौर में बनाया गया था जब मुख्य चिंता यह थी कि आम लोग बातचीत न सुन सकें। नेटवर्क फोन की पहचान सत्यापित करता है, लेकिन फोन नेटवर्क की पहचान वास्तव में सत्यापित नहीं करता। यानी: आपका मोबाइल टावर के सामने अपनी पहचान साबित करता है, पर टावर को आपके मोबाइल के सामने कुछ भी साबित नहीं करना पड़ता।
अगली पीढ़ियों ने इस खामी को दुरुस्त किया। 3G, फिर 4G और 5G पारस्परिक प्रमाणीकरण अनिवार्य करती हैं: कोई अवैध उपकरण अब खुद को वैध नेटवर्क नहीं बता सकता। लेकिन दिक्कत यह है कि बहुत-से फोनों में पुरानी पीढ़ियों के साथ संगतता डिफ़ॉल्ट रूप से चालू रहती है। ऐसे में हमलावर को बस स्थानीय स्तर पर 4G/5G बैंड को जाम करना या उन पर हावी होना है, ताकि बेहतर विकल्प से वंचित फोन आज्ञाकारी ढंग से 2G पर « उतर » आएं। इसी को डाउनग्रेड हमला कहते हैं।
तकनीकी सिद्धांत नया नहीं है: यह « IMSI catchers » का चचेरा भाई है — वे इंटरसेप्शन सूटकेस जिनका इस्तेमाल कुछ एजेंसियां लंबे समय से करती आई हैं और जिन्हें सुरक्षा शोधकर्ता पंद्रह साल से भी ज़्यादा समय से जानते हैं। नया है इसका दाम, इसका आकार में सिमटना और अपराध के लिए बड़े पैमाने पर इसका इस्तेमाल।
जो उपकरण कभी सिर्फ सरकारों के पास होता था, वह आज एक बैकपैक में समा जाता है और लैपटॉप से चलाया जा सकता है। पिछले कुछ वर्षों में कई देशों — खासकर Royaume-Uni, Thaïlande, Vietnam, Nouvelle-Zélande — के अधिकारियों ने ऐसे उपकरण ज़ब्त किए हैं, जो अक्सर शहर के बीचोंबीच घूमते वाहनों में लगे मिले। फ्रांस में, ऑपरेटरों को आवंटित आवृत्तियों पर बिना अनुमति रेडियो ट्रांसमीटर चलाना, ठगी से अलग, अपने आप में कई अलग-अलग अपराध बनता है: जैमिंग और अवैध प्रसारण पर डाक एवं इलेक्ट्रॉनिक संचार संहिता के तहत दंड का प्रावधान है, और इसकी निगरानी ANFR (Agence nationale des fréquences) करती है।
दायरा छोटा, पर रफ्तार ज़बरदस्त
एक SMS ब्लास्टर पूरे शहर को कवर नहीं करता। इसकी उपयोगी रेंज कुछ सौ मीटर की होती है — घनी बस्ती में कुछ दर्जन मीटर, खुले इलाके में उससे ज़्यादा। लेकिन इस दायरे में यह प्रति घंटे कई हज़ार फोन तक पहुंच सकता है। इसीलिए जगहों का चुनाव ऐसा होता है: रेलवे स्टेशन, मेट्रो के निकास, बाज़ार, शॉपिंग क्षेत्र, स्टेडियम के आसपास, फेस्टिवल की कतारें। हर वह जगह जहां भीड़ सबसे घनी हो और लोग चलते-चलते फोन देख रहे हों।
विशेषज्ञ मीडिया द्वारा बताया गया तरीका लगभग हमेशा एक जैसा होता है: एक साधारण-सी गाड़ी, डिक्की में रखा उपकरण जो बड़ी क्षमता वाली एक्सटर्नल बैटरी से चलता है, बीस से चालीस मिनट की पार्किंग, फिर जगह बदल लेना। पीड़ितों से कोई संपर्क नहीं। कोई शारीरिक मुलाकात नहीं। यहां कोई « डिलीवरी बॉय » नहीं है, « बैंक सलाहकार » अभी फोन नहीं करता — सारा खेल क्लिक में है।
SMS ब्लास्टर से भेजे गए मैसेज को कैसे पहचानें
चूंकि प्रेषक का हेडर अब कुछ साबित नहीं करता, इसलिए ध्यान दूसरे संकेतों पर ले जाना होगा। चार संकेत अक्सर साथ-साथ मिलते हैं:
| संकेत | आप क्या देखते हैं | यह क्यों महत्वपूर्ण है |
|---|---|---|
| एक ही समय पर | आपके आसपास कई लोगों को वही मैसेज मिलता है | सामान्य अभियान किसी भौगोलिक इलाके को निशाना नहीं बनाता |
| नेटवर्क का पल भर टूटना | ठीक पहले आपका फोन « E », « G » पर चला गया या डेटा गायब हो गया | 2G की ओर जबरन डाउनग्रेड का संकेत |
| बेमेल ब्रांड | ऐसे बैंक का SMS जिसके आप ग्राहक ही नहीं हैं | हमला लक्षित नहीं है: यह बौछार है |
| जुगाड़ू डोमेन वाला लिंक | cic-verification-acces.com, ameli-mise-a-jour.net | कोई सरकारी विभाग या बैंक ऐसे डोमेन इस्तेमाल नहीं करता |
दूसरा संकेत सबसे तकनीकी है, पर सबसे भरोसेमंद भी। अगर शहर के बीचोंबीच, जहां 4G/5G कवरेज है, आपका फोन अचानक कुछ मिनटों के लिए « E » या « G » पर चला जाए और फिर एक चौंकाने वाला SMS आ जाए, तो यह संयोग शक के काबिल है। जो लोग अपने बैग में कॉम्पैक्ट पावर बैंक रखते हैं, वे अक्सर इन बदलावों को नोटिस करते हैं, क्योंकि सफर में चार्ज करते वक्त वे स्टेटस बार पर ज़्यादा ध्यान देते हैं।
फिर भी तीसरा संकेत सबसे आसान है: इलाके पर की गई ठगी परिभाषा से ही खराब तरीके से लक्षित होती है। अगर आपको ऐसी दुकान से « भुगतान में समस्या » का मैसेज मिलता है जहां से आपने कुछ मंगाया ही नहीं, या ऐसे बैंक से चेतावनी जो आपका है ही नहीं, तो मामला वहीं खत्म।
वह सेटिंग जो हमले को बेअसर कर देती है: 2G बंद कर दें
यही सबसे कारगर उपाय है, और यह मुफ्त है। चूंकि हमला 2G पर जबरन लौटने पर टिका है, इसलिए फोन को 2G से जुड़ने से रोकना उसी डाल को काट देना है जिस पर ठग बैठा है।
Android पर
Android के ज़्यादातर हालिया संस्करणों में इसके लिए अलग स्विच मौजूद है, जो Google द्वारा Android 12 से शुरू की गई सुविधा से आया है:
- सेटिंग्स → नेटवर्क और इंटरनेट → SIM कार्ड (या « मोबाइल नेटवर्क »)
- « 2G की अनुमति दें » विकल्प खोजें और उसे बंद कर दें।
कुछ निर्माता इसे अलग नाम देते हैं, या इसे « पसंदीदा नेटवर्क प्रकार » मेनू में रखते हैं जहां « केवल 4G/5G » चुना जा सकता है। जिन डिवाइसों में यह सेटिंग सीधे नहीं दिखती, वहां भी यह अक्सर एडवांस्ड ऑपरेटर मेनू से उपलब्ध रहती है।
Android के सबसे नए संस्करणों में Advanced Protection नाम से एक व्यापक « उन्नत सुरक्षा » मोड भी मौजूद है: यह एक ही झटके में 2G बंद कर देता है, बिना एन्क्रिप्शन वाले कनेक्शन रोक देता है और कई नेटवर्क व्यवहारों को सख्त बना देता है।
iPhone पर
Apple अलग से « 2G » का स्विच नहीं देता, लेकिन Mode Isolement (सेटिंग्स → गोपनीयता और सुरक्षा → Mode Isolement) असुरक्षित मोबाइल कनेक्शन, जिनमें 2G शामिल है, बंद कर देता है। यह मोड जानबूझकर प्रतिबंधात्मक है: यह अटैचमेंट, कुछ वेब सुविधाओं और आने वाले निमंत्रणों को भी सीमित कर देता है। यह उन लोगों के लिए है जो वाकई खतरे में हैं, हर किसी के रोज़मर्रा इस्तेमाल के लिए नहीं।
इसके अभाव में, कम से कम सेटिंग्स → सेल्युलर डेटा → विकल्प → वॉइस और डेटा में जांच लें कि फोन 5G या LTE पर सेट है, किसी पुराने-संगत मोड पर नहीं।
और अगर आपको 2G की ज़रूरत हो?
दो वाजिब स्थितियां बची रहती हैं। पहली, कुछ ग्रामीण इलाकों में वॉइस कॉल के लिए सुरक्षा-जाल के तौर पर बची-खुची 2G कवरेज अब भी है। दूसरी, बहुत-से कनेक्टेड उपकरण — ट्रैकर, अलार्म, बुज़ुर्गों के लिए बड़े बटन वाला मोबाइल फोन, बच्चों की GPS घड़ियां — सिर्फ 2G में ही मिलते हैं। अगर आप किसी अपने के लिए फोन खरीद रहे हैं, तो चुनाव मायने रखता है: 4G VoLTE सपोर्ट वाला मॉडल, भले ही इस्तेमाल में बेहद सरल हो, 2G में अटके उपकरण से बेहतर है। वैसे फ्रांसीसी ऑपरेटरों ने इस दशक के अंत तक 2G और 3G को चरणबद्ध ढंग से बंद करने की प्रक्रिया शुरू कर दी है, जिससे यह मुद्दा अपने आप खत्म हो जाएगा — लेकिन अभी हम वहां नहीं पहुंचे हैं।
वे बाकी आदतें जो आज भी काम की हैं
2G बंद करने से सबसे आम प्रवेश-मार्ग बंद हो जाता है। लेकिन ठगी का बाकी हिस्सा वैसा ही रहता है: मैसेज चाहता है कि आप लिंक पर क्लिक करें और अपनी लॉगिन जानकारी डालें। इसलिए परंपरागत बचाव आज भी उतने ही ज़रूरी हैं।
- कभी भी मिले हुए लिंक का इस्तेमाल न करें। अपने बैंक का आधिकारिक ऐप खोलें, या पता खुद टाइप करें। यह अकेला नियम अधिकांश अभियानों को नाकाम कर देता है, ब्लास्टर हो या न हो।
- स्वतंत्र माध्यम से पुष्टि करें। अपने बैंक कार्ड के पीछे लिखे नंबर पर कॉल करें, कभी भी SMS में दिए नंबर पर नहीं।
- मज़बूत टू-फैक्टर प्रमाणीकरण चालू करें। FIDO2 फिजिकल सिक्योरिटी की या कोई ऑथेंटिकेटर ऐप, SMS से भेजे गए कोड से बेहतर है — ठीक इसीलिए कि SMS चैनल ही सबसे कमज़ोर कड़ी है।
- सिस्टम अपडेट करते रहें। Android और iOS के मासिक सुरक्षा पैच नेटवर्क स्टैक की खामियां नियमित रूप से बंद करते हैं। जिस फोन को निर्माता ने छोड़ दिया है, वह ज़्यादा असुरक्षित है — सिर्फ ब्लास्टर के मामले में नहीं।
- दूसरे चरण से सावधान रहें। SMS शायद ही कभी पूरी ठगी होता है: यह कुछ घंटों या कुछ दिनों बाद आने वाली « नकली बैंक सलाहकार » की कॉल की भूमिका भर है। Banque de France के अवलोकनों के अनुसार तेज़ी से बढ़ता यह जोड़-तोड़ वाला परिदृश्य ही पीड़ितों को सबसे महंगा पड़ता है।
जो परिवार डिजिटल स्वच्छता की कुछ बुनियादी आदतें ढांचे में ढालना चाहते हैं, उनके लिए नज़रों से दूर रखी गई एक पासवर्ड डायरी — विरोधाभासी लगे तो लगे — उन लोगों के लिए आज भी पूरी तरह जायज़ सुरक्षा उपकरण है जो सॉफ्टवेयर मैनेजर नहीं चाहते — बशर्ते उसमें बैंकिंग कोड न लिखे हों और वह कभी बैग में लेकर न घूमे।
अगर आपने क्लिक कर दिया हो तो क्या करें
यहां कदमों की संख्या से ज़्यादा उनका क्रम मायने रखता है।
- तुरंत डेटा बंद करें (एयरप्लेन मोड), अगर आपको शक हो कि कोई ऐप डाउनलोड हो रहा है। ब्लास्टर Android पर किसी दुर्भावनापूर्ण ऐप का इंस्टॉल लिंक भी भेज सकता है।
- अपने पासवर्ड बदलें, किसी दूसरे डिवाइस से, सबसे पहले मुख्य ईमेल और बैंकिंग खाते के।
- अपने बैंक को कॉल करें आधिकारिक नंबर पर, और अगर आपने कार्ड की जानकारी दर्ज कर दी है तो कार्ड ब्लॉक करवाएं। याद रखें कि मौद्रिक एवं वित्तीय संहिता के अनुसार, अनधिकृत लेन-देन की भरपाई सिद्धांततः बैंक को करनी होती है, बशर्ते आपकी ओर से गंभीर लापरवाही न हुई हो — इसीलिए जल्दी और लिखित रूप में सूचित करना ज़रूरी है।
- 33700 पर शिकायत करें SMS के ज़रिए (मैसेज फॉरवर्ड करके) और पुलिस में शिकायत दर्ज कराएं। भले ही ऑपरेटर ने यह मैसेज नहीं पहुंचाया हो, शिकायत से अभियान का दस्तावेज़ीकरण होता है और जुड़े हुए डोमेन ब्लॉक किए जा सकते हैं।
- अपने आसपास के लोगों को सचेत करें: सहकर्मी, पड़ोसी, मोहल्ले के दुकानदार। इलाके पर किया गया हमला किसी एक व्यक्ति को नहीं, पूरे समुदाय को प्रभावित करता है।
आधिकारिक पोर्टल cybermalveillance.gouv.fr मुफ्त सहायता प्रक्रिया और सेवा प्रदाताओं से संपर्क कराता है, और service-public.fr शिकायत दर्ज कराने की प्रक्रिया विस्तार से बताता है। दूसरी ओर Arcep अवांछित संचार की शिकायत के माध्यमों की नियमित रूप से याद दिलाता रहता है।
यह तकनीक आगे के बारे में क्या बताती है
SMS ब्लास्टर एक चुपचाप लेकिन गहरे बदलाव का प्रतीक है: SMS ठगी अब आस-पड़ोस का, भौतिक खतरा बनती जा रही है। बीस साल तक लोगों को सिखाया गया कि खतरा « कहीं दूर » से आता है, विदेश में मौजूद किसी गुमनाम सर्वर से। यहां वह बगल की सड़क से आता है, एक आम-सी गाड़ी से, आधे घंटे के लिए।
इसके दो व्यावहारिक नतीजे हैं। पहला, सतर्कता की पूरी ज़िम्मेदारी अब ऑपरेटरों को नहीं सौंपी जा सकती: कोई भी नेटवर्क फिल्टर, चाहे कितना भी बेहतरीन हो, ऐसे मैसेज को देख ही नहीं सकता जो नेटवर्क से गुज़रता ही नहीं। दूसरा, फोन की सेटिंग्स, जिन्हें लंबे समय तक विशेषज्ञों की बारीकी समझा जाता था, अब बचाव की अग्रिम पंक्ति बन चुकी हैं — ठीक वैसे ही जैसे स्क्रीन के लिए टेम्पर्ड ग्लास प्रोटेक्टर होता है।
और जो सलाह हर हाल में टिकी रहती है, वह रत्ती भर नहीं बदली है: कोई बैंक, कोई सरकारी विभाग, कोई कूरियर कंपनी आपसे कभी नहीं कहेगी कि SMS में मिले लिंक से अपनी लॉगिन जानकारी डालें। प्रेषक चाहे जो दिखे, बातचीत का थ्रेड चाहे जो हो, और मैसेज को पहुंचाने वाला टावर चाहे असली हो या नकली — फर्क नहीं पड़ता।
