"मैंने पैसे भेज दिए हैं, बस डिलीवरी कन्फर्म कर दीजिए": क्लासिफाइड विज्ञापन साइटों पर नकली खरीदार का फ्रॉड

"नमस्ते, आपकी साइकिल मुझे आपके बताए दाम पर ही चाहिए, मोलभाव की ज़रूरत नहीं। मैंने प्लेटफ़ॉर्म के ज़रिए सुरक्षित भुगतान कर भी दिया है, आपको रकम मिलने की पुष्टि के लिए एक SMS आएगा। मेरा ट्रांसपोर्टर कल सुबह सामान लेने आ जाएगा।"

संदेश शालीन है, तेज़ है, बिना किसी मोलभाव के। ठीक यही बात चौकन्ना कर देनी चाहिए — और ठीक यही बात भरोसा जगा देती है। तीन हफ़्ते तक विज्ञापन ऑनलाइन रहने और आधे दाम की पेशकश करने वाले चार जिज्ञासुओं के बाद, तुरंत "हाँ" कहने वाला खरीदार जाल नहीं, राहत लगता है।

नकली खरीदार वाले इस फ्रॉड की एक ख़ासियत इसे बेहद ख़तरनाक बनाती है: यह भूमिकाएँ उलट देता है। सारे जागरूकता अभियानों ने हमें ऑनलाइन ख़रीदते समय सावधान रहना सिखाया है। लगभग किसी ने यह नहीं बताया कि बेचते हुए भी लूटा जा सकता है। और आज फ़्रांस में यह स्मिशिंग के सबसे आम तरीक़ों में से एक है, और अब इसका शिकार सिर्फ़ नौसिखिए नहीं होते।

पूरा खेल, कदम दर कदम

अचानक आ टपकने वाले नकली डिलीवरी SMS के उलट, यह ठगी धीरे-धीरे गढ़ी जाती है। इसकी शुरुआत हमेशा एक असली विज्ञापन से होती है, जो आपने ही, एक असली प्लेटफ़ॉर्म पर डाला है। ठग कुछ भी गढ़ता नहीं: वह उसी का इस्तेमाल करता है जो आपने ख़ुद ऑनलाइन डाला है।

चरण 1 — बिजली की तेज़ी से संपर्क। विज्ञापन डालने के कुछ मिनटों से कुछ घंटों के भीतर, साइट की अंदरूनी मैसेजिंग पर एक संदेश आता है। खरीदार बताए गए दाम पर राज़ी है, सामान के बारे में कोई तकनीकी सवाल नहीं पूछता, और ख़ुद को "बहुत इच्छुक" बताता है। वह अक्सर कोई मजबूरी गिनाता है: वह बाहर जा रहा है, वह किसी अपने के लिए ख़रीद रहा है, वह ख़ुद आ नहीं सकता।

चरण 2 — प्लेटफ़ॉर्म से बाहर निकलना। यही निर्णायक मोड़ है। खरीदार आपका फ़ोन नंबर माँगता है — "जल्दी हो जाएगा" या "ऐप में गड़बड़ी आ रही है"। आप दे देते हैं, बातचीत SMS या किसी एन्क्रिप्टेड मैसेजिंग ऐप पर चली जाती है। आपने अभी-अभी वह जगह छोड़ दी है जहाँ प्लेटफ़ॉर्म रिकॉर्ड रखता है, निगरानी करता है और किसी खाते को निलंबित कर सकता है।

चरण 3 — भुगतान का "सबूत"। ठग किए गए ट्रांसफ़र का स्क्रीनशॉट भेजता है, कभी-कभी प्लेटफ़ॉर्म के रंग-रूप वाला एक नकली पुष्टिकरण ई-मेल। ये दस्तावेज़ बड़ी सफ़ाई से बने होते हैं: सही लोगो, सही फ़ॉन्ट, क़ानूनी सूचनाएँ हूबहू नक़ल की हुई। इनकी कोई क़ीमत नहीं होती, लेकिन ये यह एहसास ज़रूर जगा देते हैं कि सौदा आगे बढ़ रहा है।

चरण 4 — जाल वाला SMS। एक संदेश आता है, कथित रूप से स्वचालित, जिसमें एक लिंक होता है: "आपके नाम 480 € लंबित हैं। अपने खाते में रकम की प्राप्ति की पुष्टि करने के लिए क्लिक करें।" डोमेन प्लेटफ़ॉर्म या किसी जाने-पहचाने भुगतान सेवा के डोमेन की नक़ल होता है, बस एक नन्हे-से बदलाव के साथ।

चरण 5 — फ़ॉर्म। पेज आपसे आपका बैंक कार्ड नंबर, एक्सपायरी डेट, CVV, और कभी-कभी "भुगतान की संगतता जाँचने के लिए" आपका उपलब्ध बैलेंस भी माँगता है। फिर वह आपसे कहता है कि अपने बैंकिंग ऐप में आए नोटिफिकेशन को मंज़ूरी दें।

चरण 6 — खाते से कटौती। यह मंज़ूरी किसी रकम को प्राप्त करने की नहीं, बल्कि एक बाहर जाने वाले भुगतान की या ठग के नियंत्रण वाले डिजिटल वॉलेट में आपके कार्ड को रजिस्टर करने की अनुमति देती है। इसके बाद कटौतियाँ शुरू होती हैं, कभी-कभी कई दिनों में फैलाकर ताकि कोई अलर्ट न बजे।

सबसे बड़ा झूठ: पैसे मिलने की कभी "पुष्टि" नहीं करनी होती

इसे कहीं गहरे गाँठ बाँध लेना चाहिए, क्योंकि पूरी ठगी बस इसी एक बिंदु पर टिकी है।

पैसे प्राप्त करने के लिए कभी भी अपना बैंक कार्ड नंबर या CVV बताने की, या बैंकिंग ऐप में कोई लेनदेन मंज़ूर करने की ज़रूरत नहीं पड़ती।

आने वाला ट्रांसफ़र अपने आप आ जाता है। रिफ़ंड अपने आप आ जाता है। किसी बिक्री प्लेटफ़ॉर्म के ज़रिए किया गया भुगतान पहले प्लेटफ़ॉर्म के वॉलेट में आता है, और फिर आपके खाते में तब, जब आप ख़ुद आधिकारिक ऐप में लॉग इन करके निकासी का अनुरोध करते हैं।

बैंक कार्ड के डेटा का एकमात्र काम उस कार्ड से पैसे काटना है। पीछे लिखा तीन अंकों का CVV सिर्फ़ इसलिए होता है ताकि यह साबित हो सके कि खरीदारी के वक़्त कार्ड भौतिक रूप से आपके पास है। दुनिया की किसी भी व्यवस्था को आपको पैसे देने के लिए इसकी ज़रूरत नहीं। Cybermalveillance.gouv.fr, यानी साइबर अपराध के पीड़ितों की मदद के लिए बना राष्ट्रीय तंत्र, फ़िशिंग पर अपनी हर जानकारी-पर्ची में यही सिद्धांत दोहराता है।

इसका व्यावहारिक निष्कर्ष: जैसे ही कोई भी व्यक्ति, चाहे वह कोई भी हो, एक ही वाक्य में "पैसे मिलना" और "बैंक कार्ड" जोड़ दे, बातचीत वहीं ख़त्म।

2026 में घूम रहे इसके अलग-अलग रूप

मूल कहानी के कई संस्करण हैं। यहाँ सबसे ज़्यादा रिपोर्ट किए गए रूप दिए गए हैं।

रूप	बहाना	आपसे क्या माँगा जाता है
ज़्यादा भुगतान	"मैंने 80 € की जगह 800 € भेज दिए, अंतर वापस कर दीजिए"	आपकी ओर से किसी अनजान IBAN पर ट्रांसफ़र
डिलीवरी शुल्क	"ट्रांसपोर्टर चाहता है कि विक्रेता शुल्क पहले चुकाए, बाद में वापस मिल जाएगा"	कार्ड से 30 से 60 € का भुगतान
पार्सल बीमा	"सामान का बीमा ज़रूरी है, प्लेटफ़ॉर्म बाद में लौटा देगा"	एक भुगतान + आपकी बैंक जानकारी
प्रोफ़ेशनल खाता	"आपके खाते को सत्यापित विक्रेता का दर्जा चाहिए"	पहचान पत्र + बैंक विवरण + कार्ड
नकली विवाद	"खरीदार ने आपत्ति जताई है, 24 घंटे में मामला सुलझाएँ"	नकली ग्राहक पोर्टल पर लॉगिन

ज़्यादा भुगतान वाला रूप ख़ास ध्यान देने लायक़ है: इसमें कोई जाल वाला लिंक नहीं होता। ठग एक नकली ट्रांसफ़र रसीद भेजता है, आपको "गलती" दिखती है, और आपकी ईमानदारी की सहज प्रतिक्रिया आपको तुरंत पैसे लौटाने पर मजबूर कर देती है। असली ट्रांसफ़र कभी हुआ ही नहीं था, या वह रद्द कर दिया जाएगा। लेकिन आपका लौटाया हुआ पैसा बिल्कुल असली है — और वापस नहीं आएगा।

विक्रेता क्यों फँसते हैं, सावधान लोग भी

इसके ढाँचागत कारण हैं, और उनका भोलेपन से कोई लेना-देना नहीं।

परिस्थिति ने इस बातचीत को विश्वसनीय बना दिया। आप एक खरीदार का इंतज़ार कर ही रहे थे। SMS ठीक उसी वक़्त आता है जब उसका मतलब बनता है। सुरक्षा शोधकर्ता इसे अपेक्षा का संदर्भ कहते हैं: जब कोई धोखाधड़ी वाला संदेश पीड़ित की किसी असली गतिविधि से मेल खा जाता है, तो उसकी सफलता दर कई गुना बढ़ जाती है।

ठग को सच्ची जानकारियाँ मालूम हैं। साइकिल का मॉडल, सोफ़े का रंग, माँगा गया दाम, कभी-कभी आपका पहला नाम: सब कुछ आपके विज्ञापन में है। ये ब्योरे संदेश को ऐसी प्रामाणिकता की चमक दे देते हैं जो कोई भी सामान्य नकली SMS नहीं दे सकता।

समय का दबाव व्यापार का हिस्सा है। "मेरा ट्रांसपोर्टर कल आएगा" किसी सौदे में असामान्य नहीं लगता। हम इस जल्दबाज़ी को हेराफेरी नहीं, महज़ लॉजिस्टिक्स समझते हैं।

विक्रेता ही ज़रूरतमंद की स्थिति में है। वह सामान से छुटकारा चाहता है, अक्सर ऐसी रकम पाने के लिए जिसे वह मन ही मन खर्च भी कर चुका है। यह भावनात्मक असंतुलन आलोचनात्मक सोच को किसी धमकी से कहीं ज़्यादा कारगर ढंग से बंद कर देता है।

URL पढ़ना: वे तीन सेकंड जो बचा लेते हैं

जब कोई लिंक आए, तो बिना क्लिक किए उसे जाँचने का एक आसान तरीक़ा है। पते को पहले / से शुरू करते हुए दाएँ से बाएँ पढ़िए।

असली डोमेन वही है जो पहले / से ठीक पहले आता है, एक्सटेंशन से पिछले बिंदु तक। बाक़ी सब सजावट है।

• https://leboncoin.paiement-securise[.]xyz/valider → असली डोमेन है paiement-securise.xyz। ब्रांड का नाम सिर्फ़ एक सबडोमेन है, यानी ऐसा टेक्स्ट जिसे कोई भी लिख सकता है।
• https://secure-paypa1[.]com/confirm → यहाँ l की जगह 1 है। 6 इंच की स्क्रीन पर, चलते-फिरते, इसे कोई नहीं पकड़ता।
• https://bit[.]ly/3xK9pL → शॉर्टनर मंज़िल को पूरी तरह छिपा देता है। कोई वैध भुगतान सेवा लेनदेन वाले SMS में इनका इस्तेमाल कभी नहीं करती।

इस जाँच के लिए साफ़ दिखने वाली स्क्रीन और ठीक-ठाक रोशनी चाहिए। बहुत सारे लोग इसलिए क्लिक कर देते हैं क्योंकि उन्हें अक्षर ही ठीक से नहीं दिखते: अगर आपको छोटा लिखा हुआ पढ़ने में दिक़्क़त होती है, तो सिस्टम का फ़ॉन्ट साइज़ बढ़ाना सचमुच फ़र्क़ डालता है, और बाहर धूप में फ़ोन देखते समय स्मार्टफ़ोन के लिए एंटी-ग्लेयर स्क्रीन प्रोटेक्टर भी। यह कोई सजावटी बात नहीं है: स्मिशिंग का एक बड़ा हिस्सा सिर्फ़ एक अक्षर के टाइपोग्राफ़िक अंतर पर टिका होता है।

एक और काम की आदत: संवेदनशील लिंक कभी सफ़र के दौरान या चलते-चलते न खोलें। दृश्य सतर्कता गिर जाती है, और आँकड़े बताते हैं कि ग़लती से क्लिक ठीक वहीं होते हैं।

चेतावनी के वे संकेत जो रट लेने चाहिए

अकेला कोई संकेत काफ़ी नहीं होता। दो संकेत एक साथ हों, तो जब तक उल्टा साबित न हो, इसे ठगी ही मानिए।

• खरीदार मोलभाव नहीं करता और सामान के बारे में कोई सवाल नहीं पूछता। असली खरीदार जानना चाहता है कि साइकिल की सर्विस हुई है या नहीं, वारंटी बची है या नहीं, स्क्रीन पर खरोंचें तो नहीं।
• वह प्लेटफ़ॉर्म की मैसेजिंग छोड़ना चाहता है। हमेशा, तुरंत, किसी तकनीकी बहाने के साथ।
• वह अपना ट्रांसपोर्टर थोपता है। कोई "निजी कूरियर" जिसका भुगतान वह ख़ुद करता है, जो बहुत जल्दी आ जाता है, और जिसके लिए आपको पहले पैसे चुकाने होते हैं।
• भुगतान किसी असामान्य रास्ते से आता है। SMS पर भेजा गया लिंक, कहीं रजिस्टर होने से पहले ही मिला पुष्टिकरण ई-मेल, ऐप के बाहर बैंक विवरण की माँग।
• भाषा लगभग सही है — पर पूरी तरह नहीं। एकवचन-बहुवचन की गड़बड़ी, ग़लत जगह बड़ा अक्षर, मशीन से अनूदित-सा शिष्टाचार वाक्य।
• नंबर 06 या 07 से शुरू होने वाला मोबाइल है, जबकि संदेश ख़ुद को स्वचालित बताता है। प्लेटफ़ॉर्म की असली सूचनाएँ किसी अल्फ़ान्यूमेरिक प्रेषक या छोटे नंबर से आती हैं।

अगर आपने क्लिक कर दिया और अपनी जानकारी भर दी

यहाँ बाक़ी सब से ज़्यादा मायने समय रखता है। यह रहा सटीक क्रम।

1. तुरंत कार्ड ब्लॉक कराएँ। अपने कार्ड के पीछे या बैंकिंग ऐप में दिए गए ब्लॉकिंग नंबर पर कॉल करें। बैंक कार्ड ब्लॉक करने का राष्ट्रीय अंतर-बैंकिंग सर्वर 0 892 705 705 पर 24 घंटे उपलब्ध है। यह काम किसी और को बताने से भी पहले करें।

2. संबंधित पासवर्ड बदलें। विज्ञापन प्लेटफ़ॉर्म का, अपने बैंक का (अगर आपने वह भरा था), और अपने ई-मेल का, अगर वही पासवर्ड दोबारा इस्तेमाल किया गया था। जहाँ भी संभव हो, टू-फ़ैक्टर ऑथेंटिकेशन चालू करें। जिन लोगों के दर्जनों खाते जमा हो गए हैं, उनके लिए नज़रों से दूर रखी गई एक पासवर्ड नोटबुक अधूरा हल ज़रूर है, पर डेस्कटॉप पर पड़ी "codes.txt" फ़ाइल से अनगिनत गुना सुरक्षित है।

3. संदेश की रिपोर्ट करें। धोखाधड़ी वाले SMS को 33700 पर फ़ॉरवर्ड करें — यह वॉइस और SMS स्पैम की रिपोर्टिंग का राष्ट्रीय प्लेटफ़ॉर्म है। यह मुफ़्त है और नंबरों को ब्लॉक करने में मदद करता है। signal-arnaques.com वेबसाइट और Pharos प्लेटफ़ॉर्म (internet-signalement.gouv.fr) भी शिकायतें स्वीकार करते हैं।

4. शिकायत दर्ज कराएँ। पुलिस थाने में, जेंडरमरी में, या ऑनलाइन प्री-कंप्लेंट के ज़रिए। विज्ञापन, बातचीत और SMS के स्क्रीनशॉट साथ ले जाएँ। शिकायत के बिना पैसे वापस मिलने की उम्मीद लगभग शून्य है।

5. अपने बैंक से रिफ़ंड माँगें। मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L133-18 बिना देरी सूचित की गई अनधिकृत भुगतान लेनदेन की वापसी का प्रावधान करता है। जब ग्राहक ने ख़ुद अपनी जानकारी भरी हो, तो बैंक अक्सर उसकी "गंभीर लापरवाही" का हवाला देते हैं। यह इनकार अंतिम नहीं है: फ़्रांस की सर्वोच्च अदालत (Cour de cassation) ने कई बार दोहराया है कि गंभीर लापरवाही साबित करना बैंक का काम है, न कि ग्राहक का काम कि वह अपनी बेगुनाही साबित करे। इनकार की स्थिति में बैंकिंग लोकपाल से संपर्क करें, और ज़रूरत पड़े तो अदालत जाएँ।

6. कई महीनों तक अपने स्टेटमेंट पर नज़र रखें। समानांतर बाज़ारों में बेचे गए कार्ड डेटा का इस्तेमाल घटना के लंबे समय बाद तक हो सकता है। कुछ लोग इसमें एक हल्की-सी निगरानी जोड़ते हैं: कागज़ी स्टेटमेंट को डाक के ढेर में पड़ा छोड़ने के बजाय किसी खानों वाले फ़ोल्डर में संभालकर रखना, ताकि एक महीने से दूसरे महीने की गड़बड़ी पकड़ में आ जाए।

अपना नंबर उजागर किए बिना ऑनलाइन बेचना

सबसे अच्छा बचाव यही है कि ठगी को शुरू होने का मौक़ा ही न मिले। कुछ आदतें काफ़ी हैं।

प्लेटफ़ॉर्म की मैसेजिंग में ही रहें, बिना किसी अपवाद के। कोई भी बहाना उससे बाहर जाने को जायज़ नहीं ठहराता। अगर खरीदार ज़िद करता है, तो वह ख़ुद ही अपनी पोल खोल चुका है।

आमने-सामने सामान देना और नक़द भुगतान या अपने ऐप में मिला और जाँचा हुआ इंस्टेंट ट्रांसफ़र लेना बेहतर है। जाँचा हुआ यानी: आप अपना बैंक खोलते हैं और रकम जमा हुई देखते हैं। खरीदार द्वारा दिखाया गया स्क्रीनशॉट नहीं।

कभी भी पहले से पैसे न चुकाएँ। कोई भी वैध ट्रांसपोर्टर विक्रेता से पैसे पाने के बदले भुगतान नहीं माँगता।

विज्ञापन की तस्वीरें साफ़ करें। गाड़ी का नंबर प्लेट, मकान नंबर, पीछे पड़ा कोई बिल, आपके पते वाला कोई पार्सल: ये सब बाद में हमले को निजी रंग देने के काम आते हैं। क्लोज़-अप वाली चीज़ों के लिए सादे बैकग्राउंड पर तस्वीर लेना — एक साधारण मोड़ने लायक़ फ़ोटो मैट काम चला देता है — आपके घर के भीतरी हिस्से को दिखने से बचा लेता है।

जब प्लेटफ़ॉर्म नंबर माँगे, तो दूसरा नंबर इस्तेमाल करें। क्लासिफाइड विज्ञापनों के लिए अलग रखा गया एक प्रीपेड SIM कार्ड आपके मुख्य नंबर को — यानी उस नंबर को जो आपके बैंक और खातों से जुड़ा है — अलग रखता है। अगर दूसरा नंबर स्पैम सूची में पहुँच जाए, तो उसे फेंक दीजिए।

बातचीत सहेजकर रखें। विज्ञापन, बातचीत और खरीदार के खाते की पहचान के स्क्रीनशॉट। शिकायत दर्ज कराते समय ये चीज़ें बेहद ज़रूरी होंगी।

एक अंधा कोना: खरीदार भी पीड़ित हो सकता है

कई बार ठग किसी वैध उपयोगकर्ता का हैक किया हुआ खाता इस्तेमाल करता है — उसकी पूरी हिस्ट्री, अच्छी रेटिंग और पुरानेपन के साथ। इसलिए दिखने वाली प्रतिष्ठा कोई पक्की गारंटी नहीं: वह जोखिम घटाती है, ख़त्म नहीं करती।

उसी तरह, उसी दिन बना और शून्य रेटिंग वाला प्रोफ़ाइल ज़रूरी नहीं कि फ़र्ज़ी हो — शुरुआत तो हर कोई कहीं न कहीं से करता है। असली संकेत बनता है नए प्रोफ़ाइल, मोलभाव की गैरमौजूदगी और प्लेटफ़ॉर्म से बाहर जाने की माँग के मेल से।

याद रखने लायक़ बात

नकली खरीदार वाला यह फ्रॉड किसी तकनीकी ख़ामी का फ़ायदा नहीं उठाता। यह सतर्कता के असंतुलन का फ़ायदा उठाता है: हम सबने ख़रीदते वक़्त सावधान रहना सीखा है, किसी ने हमें आगाह नहीं किया कि बेचते वक़्त भी सावधान रहना पड़ता है।

पूरी बात एक वाक्य में सिमट जाती है: पैसे पाने के लिए इंतज़ार करने के अलावा कभी कुछ नहीं करना पड़ता। न कोई लिंक क्लिक करना, न कार्ड की जानकारी भरनी, न कोई पुष्टि करनी, न पहले से कोई शुल्क चुकाना। जिस दिन कोई आपको परफ़ेक्ट लोगो और बेदाग़ भाषा के साथ इसका उल्टा समझाए, आप ठीक-ठीक जान जाएँगे कि आपकी आँखों के सामने क्या है।