"सुरक्षा चेतावनी: आपके डिवाइस पर 3 खतरे पाए गए हैं। आपकी बैंकिंग जानकारी असुरक्षित है। तुरंत अधिकृत सपोर्ट से 01 84 XX XX XX पर संपर्क करें।"
यह संदेश आप ठीक उसी डिवाइस की स्क्रीन पर पढ़ते हैं जिसे कथित रूप से संक्रमित बताया जा रहा है। इस पूरी पटकथा की ताकत यहीं है: सबूत और लक्षण एक ही चीज़ बन जाते हैं। और यहां हम जिन 90% धोखाधड़ी वाले SMS का विश्लेषण करते हैं, उनके विपरीत इसमें कोई लिंक नहीं होता। न कोई अजीब-सा डोमेन, न पहचानने के लिए कोई [.]info, न ही कुछ जिस पर कर्सर घुमाकर जांचा जाए। बस 01 से शुरू होने वाला एक बिल्कुल फ्रेंच दिखने वाला फोन नंबर, जिसे सिर्फ एक चीज़ का इंतजार है: कि आप कॉल करें।
साइबर सुरक्षा की शब्दावली में इस किस्म का एक नाम है: कॉलबैक फिशिंग, यानी वापस कॉल कराकर की जाने वाली ठगी। यह सामान्य तर्क को उलट देती है। अब ठग आपको किसी वेबसाइट की ओर नहीं धकेलता, बल्कि आप खुद स्वेच्छा से उसका नंबर डायल करते हैं। और उसके बाद आपके सामने कोई फॉर्म नहीं होता, बल्कि एक प्रशिक्षित इंसान होता है।
ठग जालसाजी वाले लिंक से पीछे क्यों हट रहे हैं
क्लिक करने लायक लिंक लंबे समय तक स्मिशिंग का सबसे कारगर हथियार रहा है। अब वह धीरे-धीरे बेअसर हो रहा है, और इसकी तीन बिल्कुल ठोस वजहें हैं।
फिल्टर बेहतर हो गए हैं। फ्रांसीसी ऑपरेटर और iOS तथा Android में मौजूद एंटी-स्पैम सिस्टम अब संदेशों में मौजूद URL का विश्लेषण करते हैं। एक दिन पहले बनाया गया डोमेन, किसी दूरदराज़ देश में होस्ट किया गया और किसी जानी-मानी ब्रांड की नकल करता हुआ — उसकी उम्र अब घंटों में गिनी जाती है। वहीं बिना लिंक वाला SMS लगभग कोई भी स्वचालित चेतावनी नहीं जगाता: उसमें सिर्फ टेक्स्ट और एक राष्ट्रीय फोन नंबर होता है।
लोगों को जागरूक किया गया — लेकिन सिर्फ एक आदत के बारे में। Cybermalveillance.gouv.fr के जागरूकता अभियानों ने एक सीधा संदेश बड़े पैमाने पर फैलाया: "लिंक पर क्लिक न करें।" सलाह बेहतरीन है, पर इससे एक अंधा कोना बन जाता है। बहुत-से लोगों ने "लिंक = खतरा" तो समझ लिया, लेकिन "अनजान नंबर = खतरा" नहीं। कॉल करना तो उल्टा सतर्क व्यवहार लगता है: क्लिक करने के बजाय लोग "किसी असली इंसान से पुष्टि करना" बेहतर समझते हैं।
इंसान किसी फॉर्म से कहीं बेहतर 'कन्वर्ज़न' देता है। एक फिशिंग पेज सिर्फ यूजरनेम और पासवर्ड चुरा पाता है। फोन पर बैठा ठग इससे कहीं ज्यादा हासिल करता है: आपके बैंक का नाम, आपकी उपलब्धता, आपकी तकनीकी समझ का स्तर, आपकी भावनात्मक स्थिति — और सबसे बढ़कर तीस से चालीस मिनट तक आपका सक्रिय सहयोग। भुगतान माध्यमों से जुड़ी धोखाधड़ी पर अपने अध्ययनों में Banque de France ने भी "मैनिपुलेशन" यानी मनोवैज्ञानिक हेरफेर वाली ठगी में साफ बढ़ोतरी रेखांकित की है, जहां पीड़ित खुद ही धोखाधड़ी वाले लेन-देन करता है। यह SMS ऐसी ठगी का एक विशिष्ट प्रवेश द्वार है।
"सपोर्ट" को की गई कॉल का सामान्य क्रम
कहानियां बदलती रहती हैं, पर तरीका बेहद स्थिर रहता है। ज्यादातर पीड़ित इसी क्रम का वर्णन करते हैं।
1. तकनीकी भरोसा जमाना
फोन के दूसरी ओर एक शांत आवाज़, पीछे कॉल सेंटर जैसी हल्की गहमागहमी — जो अक्सर कृत्रिम रूप से तैयार की जाती है ताकि असली सहायता केंद्र होने का भरोसा बने। आपको एक "केस नंबर" दिया जाता है, आपका नाम और फोन का मॉडल पूछा जाता है। कभी-कभी SMS में मिला कोई रेफरेंस नंबर पढ़कर सुनाया जाता है। इस चरण पर कोई संवेदनशील जानकारी नहीं मांगी जाती: यह जानबूझकर किया जाता है। मकसद है आपको एक सामान्य ग्राहक-सेवा संबंध में सहज कर देना।
2. संक्रमण का "प्रदर्शन"
नकली तकनीशियन आपसे आपके डिवाइस की कोई मामूली-सी स्क्रीन खुलवाता है: हाल में खुले ऐप्स की सूची, किसी अकाउंट का लॉगिन इतिहास, या नेटवर्क सेटिंग्स। फिर वह उसकी व्याख्या करता है। "यह लाइन दिख रही है? यह विदेश से हुआ कनेक्शन है।" असल में यह लगभग हमेशा पूरी तरह सामान्य जानकारी होती है, जो किसी गैर-विशेषज्ञ के लिए अबूझ होती है। यह तरीका वही है जो पिछले पंद्रह साल से फर्जी Windows सपोर्ट घोटालों में इस्तेमाल होता आया है, बस अब उसे मोबाइल पर उतार दिया गया है।
3. रिमोट कंट्रोल ऐप की इंस्टॉलेशन
यही निर्णायक मोड़ है। आपसे कोई "डायग्नोस्टिक" ऐप इंस्टॉल करने को कहा जाता है, किसी भरोसेमंद-से नाम वाला ऐप, जो आधिकारिक ऐप स्टोर पर उपलब्ध होता है — क्योंकि ये असली रिमोट-मेंटेनेंस सॉफ़्टवेयर होते हैं जिनका दुरुपयोग किया जा रहा है। जैसे ही एक्सेसिबिलिटी अनुमतियां दे दी जाती हैं, सामने वाला आपकी स्क्रीन देख सकता है और उस पर काम भी कर सकता है।
4. पैसों को "सुरक्षित" करना
यह पटकथा लगभग हमेशा एक ही वाक्य पर खत्म होती है: आपकी जमा-पूंजी खतरे में है, इसे किसी "सुरक्षित खाते" में ट्रांसफर करना होगा — जिसे कभी Banque de France का खाता तो कभी एस्क्रो खाता बताया जाता है। दूसरे रूपों में, ठग आपकी बैंकिंग ऐप को रिमोट से चलाते हुए आपसे कोई लेन-देन मंज़ूर करवाता है, या किसी डेबिट को "रद्द" कराने के नाम पर SMS से मिले कोड बोलकर बताने को कहता है।
कोई भी ग्राहक सेवा, कोई बैंक, कोई टेलीकॉम ऑपरेटर, कोई भी फ्रांसीसी सरकारी विभाग आपसे कभी नहीं कहेगा कि आप अपने निजी फोन पर रिमोट एक्सेस सॉफ़्टवेयर इंस्टॉल करें, या "सुरक्षा खाते" में पैसे ट्रांसफर करें। ये दो मांगें अपने आप में ही ठगी की पक्की पहचान हैं।
ये संदेश किन्हें मिलते हैं, और ये कारगर क्यों होते हैं
यह पटकथा मुख्य रूप से दो तरह के लोगों को निशाना बनाती है, और वजहें एक-दूसरे के ठीक उलट हैं।
तकनीक से कम सहज लोग, जिन्होंने यह बात तो मान ली है कि फोन को "वायरस लग सकता है", पर यह नहीं जानते कि व्यवहार में इसका मतलब क्या है। उनके लिए किसी हेल्पलाइन नंबर का होना उतना ही स्वाभाविक है जितना बाकी सब कुछ: इंटरनेट बॉक्स, घरेलू उपकरण, बीमा। सपोर्ट को कॉल करना उनके सामान्य कामकाजी व्यवहार का हिस्सा है। इसीलिए किसी बुजुर्ग परिजन के साथ बैठकर समझाना किसी सॉफ़्टवेयर से ज़्यादा मायने रखता है: हाथ के पास रखी डिजिटल सुरक्षा पर एक व्यावहारिक गाइड, जिस पर आधिकारिक नंबर लिख दिए गए हों, अक्सर लंबे भाषण से कहीं ज्यादा असर करती है।
दूसरी ओर काफी हद तक डिजिटल रूप से सक्रिय लोग, जो कई सारे अकाउंट संभालते हैं, जिन्हें लगातार असली सुरक्षा अलर्ट मिलते रहते हैं, और जिनके लिए एक और नोटिफिकेशन कोई खास शक नहीं जगाता। उनके मामले में अज्ञानता नहीं, बल्कि अलर्ट-थकान काम करती है।
छह संकेत जो फर्जी सपोर्ट की पोल खोल देते हैं
| दिखने वाला संकेत | असली सेवा क्या करती है | ठग क्या करता है |
|---|---|---|
| संपर्क का माध्यम | आप खुद आधिकारिक ऐप या कार्ड के पीछे लिखे नंबर से संपर्क करते हैं | वह संदेश में दिया गया नंबर आप पर थोपता है |
| भाषा | सटीक, संतुलित, "हम जांच करते हैं" | डरावनी, आंकड़ों से भरी, "3 खतरे पाए गए" |
| रफ़्तार | आप बाद में दोबारा कॉल कर सकते हैं | हर मिनट कीमती है, फोन काटने नहीं दिया जाता |
| सॉफ़्टवेयर | कुछ भी इंस्टॉल नहीं करना होता | एक "डायग्नोस्टिक" ऐप, जो अनिवार्य बताया जाता है |
| SMS से मिले कोड | कभी मौखिक रूप से नहीं मांगे जाते | "रद्दीकरण की पुष्टि के लिए" बोलकर बताने को कहा जाता है |
| पैसों की मंज़िल | कोई नहीं, आपका पैसा जहां है वहीं रहता है | एक "सुरक्षित" खाता, कोई फंड-कलेक्शन लिंक, क्रिप्टो |
एक अतिरिक्त बात ध्यान देने लायक है: खुद चेतावनी की प्रकृति। सचमुच में असुरक्षित हो चुका फोन आपको SMS भेजकर और कोई नंबर डायल करने को कहकर चेतावनी नहीं देगा। Android या iOS की असली सुरक्षा चेतावनियां सिस्टम सेटिंग्स में या संबंधित ऐप के भीतर दिखती हैं, कभी भी किसी अनजान भेजने वाले के टेक्स्ट मैसेज के रूप में नहीं।
अगर आप पहले ही कॉल कर चुके हैं तो तुरंत क्या करें
क्रम मायने रखता है। नीचे सबसे जरूरी से कम जरूरी की ओर कदम दिए गए हैं।
- कनेक्शन काट दें। एयरप्लेन मोड चालू करें, या डिवाइस बंद कर दें। अगर कोई रिमोट एक्सेस सॉफ़्टवेयर चल रहा है, तो इससे मौजूदा सेशन खत्म हो जाएगा।
- कॉल के दौरान इंस्टॉल किया गया ऐप हटा दें, साथ ही वे सभी ऐप जिन्हें आप पहचानते नहीं, और सेटिंग्स में जाकर एक्सेसिबिलिटी अनुमतियां वापस ले लें।
- किसी दूसरे डिवाइस से अपने बैंक को कॉल करें, और वही नंबर डायल करें जो आपके बैंक कार्ड के पीछे लिखा है — कभी वह नहीं जो आपको बताया गया था। लेन-देन रोकने और कार्ड ब्लॉक करने की मांग करें।
- पासवर्ड बदलें — किसी सुरक्षित डिवाइस से अपने अहम अकाउंट्स के: पहले मुख्य ईमेल, फिर बैंक, फिर शॉपिंग अकाउंट। एक पासवर्ड मैनेजर हर जगह एक ही संयोजन दोहराने से बचाता है — और ठग को ठीक इसी की उम्मीद होती है।
- शिकायत दर्ज कराएं — पुलिस थाने या जेंडरमरी में, स्क्रीनशॉट, डायल किया गया नंबर, समय और रकम की जानकारी के साथ। आधिकारिक प्लेटफॉर्म Cybermalveillance.gouv.fr भी आपको आसपास के विशेषज्ञ सेवा-प्रदाताओं तक पहुंचाता है।
- SMS की शिकायत 33700 पर करें, जो स्पैम SMS और वॉइस कॉल की रिपोर्टिंग की राष्ट्रीय सेवा है — बस संदेश को आगे भेज दें। जिस नंबर पर कॉल किया था, उसकी भी शिकायत करें: इसी तरह वह जल्दी बंद कराया जाता है।
अगर पैसा ट्रांसफर हो चुका है, तो मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L. 133-18 बैंक को अनधिकृत लेन-देन की रकम लौटाने के लिए बाध्य करता है। मनोवैज्ञानिक हेरफेर वाली ठगी में दिक्कत यह है कि लेन-देन ग्राहक ने खुद मंजूर किया होता है: ऐसे में बैंक "गंभीर लापरवाही" का तर्क देते हैं। फिर भी हार न मानें। Fédération bancaire française और बीमा व बैंकों का राष्ट्रीय लोकपाल (Médiateur national de l'Assurance et des banques) ऐसे विवाद नियमित रूप से देखते हैं, और कई फैसलों में संस्थान को ही जिम्मेदार ठहराया गया है, जब हेरफेर खास तौर पर पेचीदा रही हो।
अगले संदेश से पहले हमले की गुंजाइश घटाएं
कोई भी सुरक्षा उपाय पूरी तरह अभेद्य नहीं बनाता, पर कुछ सेटिंग्स जोखिम को काफी कम कर देती हैं।
बैंकिंग का मुख्य दरवाजा बंद रखें। आपकी बैंकिंग ऐप का मजबूत प्रमाणीकरण बायोमेट्रिक सत्यापन या ऐप के भीतर डाले जाने वाले कोड पर आधारित होना चाहिए, न कि मौखिक रूप से बताए गए किसी कोड पर। ट्रांसफर की सीमा भी जांच लें: कम सीमा रखें और जरूरत पड़ने पर अस्थायी रूप से बढ़ा लें — इससे नुकसान अपने आप सीमित रहता है।
अहम अकाउंट अलग रखें। USB में लगाई जाने वाली या NFC से पास लाकर इस्तेमाल होने वाली FIDO2 सपोर्ट वाली फिजिकल सुरक्षा कुंजी आपके मुख्य ईमेल पर लॉगिन जानकारी की चोरी को बेअसर कर देती है। कई संवेदनशील अकाउंट संभालने वालों के लिए यह सबसे फायदेमंद निवेश है, क्योंकि ईमेल इनबॉक्स ही बाकी सब कुछ खोलने की चाबी है।
फोन को इकलौता एक्सेस पॉइंट न बनने दें। अगर हर जगह प्रमाणीकरण का आपका एकमात्र जरिया मोबाइल है, तो उसका हैक हो जाना सब कुछ खो देने के बराबर है। दूसरा फैक्टर कहीं और रखें — कोई टैबलेट, कंप्यूटर, या नजरों से दूर रखी बैकअप कोड की डायरी — इससे जोखिम बंट जाता है।
अपडेट करते रहें। अपडेटेड सिस्टम ज्ञात हमलों के रास्ते बंद कर देता है। और थकी हुई बैटरी, जिसकी वजह से बिजली बचाने के लिए अपडेट टालने पड़ें, एक अप्रत्यक्ष सुरक्षा समस्या है: एक छोटा पावर बैंक अक्सर इस चक्र को तोड़ने के लिए काफी होता है।
बुजुर्ग परिजनों का खास मामला
फर्जी सपोर्ट वाली ठगी सबसे ज्यादा नुकसान इसी वर्ग को पहुंचाती है, क्योंकि यहां तीन चीजें एक साथ काम करती हैं: तकनीक के साथ "कुछ गलत कर देने" का डर, तकनीशियन के मान लिए गए अधिकार के प्रति सम्मान, और कॉल के वक्त अकेलापन।
कुछ आसान उपाय, जो किसी भी लंबे-चौड़े उपदेश से ज्यादा कारगर हैं:
- असली नंबर कागज पर लिख कर रखें। बैंक, डॉक्टर, टेलीकॉम ऑपरेटर की ग्राहक सेवा के नंबर एक पर्ची पर लिखकर फोन के पास रख दें। नियम यह बन जाता है: "हम सिर्फ वही नंबर मिलाते हैं जो पर्ची पर है।"
- रुककर सोचने की आदत बनाएं। "कुछ भी इंस्टॉल करने या पैसे इधर-उधर करने से पहले मुझे कॉल करना।" एक बार साफ शब्दों में तय किया गया यह सरल पारिवारिक नियम कृत्रिम रूप से पैदा की गई जल्दबाजी को बेअसर कर देता है।
- जहां उचित हो, उपकरण सरल करें। अगर इस्तेमाल सिर्फ कॉल तक सीमित है, तो बड़े बटनों वाला फोन जोखिम की गुंजाइश नाटकीय रूप से घटा देता है: न कोई ऐप इंस्टॉल करना, न रिमोट एक्सेस की कोई संभावना।
- कॉल फिल्टरिंग चालू करें। चारों फ्रांसीसी ऑपरेटर अनचाही कॉल और संदेश ब्लॉक करने के विकल्प देते हैं, जो अक्सर मुफ्त होते हैं और कम ही चालू किए जाते हैं।
यह SMS ठगी के बदलते तौर-तरीकों के बारे में क्या बताता है
लिंक से कॉल की ओर यह बदलाव कोई तकनीकी बारीकी नहीं, बल्कि प्रकृति का बदलाव है। ठग समझ चुके हैं कि तकनीकी बचाव इंसानी बचाव से कहीं तेज़ी से आगे बढ़ रहा है। किसी खतरनाक URL को फिल्टर करना अब सुलझी हुई समस्या है; किसी को फोन पर सुनी शांत आवाज़ पर भरोसा करने से रोकना नहीं, और शायद कभी पूरी तरह नहीं होगा।
इसीलिए सिर्फ एक ही आदत वाकई भरोसेमंद है, जो हर हालात में काम करती है — चाहे पटकथा कोई भी हो, चाहे किसी भी ब्रांड की नकल की गई हो, चाहे संदेश कितना भी शातिर क्यों न हो: बिना मांगे आए संदेश में दिए गए नंबर पर कभी वापस कॉल न करें। फोन काटिए, आधिकारिक नंबर खुद खोजिए, फिर डायल कीजिए। इस काम में तीस सेकंड लगते हैं। और यह अकेला कदम इस लेख में बताई गई पूरी शृंखला को बेकार कर देता है।
और अगर "बात साफ कर लेने" के लिए कॉल करने का मन बार-बार करे, तो वह सवाल याद रखिए जो सब कुछ तय कर देता है: अगर किसी सेवा ने सचमुच आपके डिवाइस पर कोई खतरा पकड़ा होता, तो उसे निपटाने के लिए उसे आपकी जरूरत क्यों पड़ती?
