# «यह कोड कभी किसी को न बताएं»: ठग कैसे फोन पर आपसे आपका वेरिफिकेशन कोड बुलवा लेते हैं

> SMS से मिलने वाले वन-टाइम कोड आपके खातों की चोरी से पहले की आखिरी दीवार हैं। ठगों ने «OTP बॉट्स» की मदद से इन्हें हासिल करने का काम औद्योगिक स्तर पर पहुंचा दिया है। जानिए यह ठगी कैसे काम करती है और इससे कैसे बचें।

- Source: https://www.envoyer-sms-gratuit.com/hi/blog/2026-09-17/arnaque-sms-mot-de-passe-usage-unique-otp-bot-code-verification
- Published: 2026-09-17 (17 सितंबर 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: hi
- Categories: Guide
- Tags: Cybersécurité, SMS, Guide, France 2026, Protection des données, Smartphone

---
«वेरिफिकेशन कोड: 748 219। यह कोड किसी को न बताएं, किसी सलाहकार को भी नहीं।»

आपने तो कुछ मांगा ही नहीं था। फिर भी SMS एक ऐसे भेजने वाले की ओर से आया है जिसे आप पहचानते हैं — आपके बैंक का नाम, किसी ऑनलाइन बाज़ार का, किसी भुगतान सेवा का। आप उसे दो बार पढ़ते हैं, कंधे उचकाते हैं। और पच्चीस सेकंड बाद फोन बजता है।

दूसरी तरफ एक शांत आवाज़, पीछे से कॉल सेंटर की हल्की-सी आहट, और आपका नाम बिल्कुल सही उच्चारण के साथ। «नमस्ते, सुरक्षा विभाग से बोल रहा हूं। हमने आपके खाते पर किसी अनजान डिवाइस से 847 यूरो के भुगतान की कोशिश पकड़ी है। अभी आपको SMS से एक कोड मिला है: यही रद्द करने वाला कोड है। क्या आप मुझे बता सकते हैं ताकि मैं यह लेन-देन रोक दूं?»

वह कोड कुछ भी रद्द नहीं करता। वह अनुमति देता है। और जो SMS आपको चेतावनी दे रहा था, वह बिल्कुल सच कह रहा था — बस फर्क इतना था कि आप तब तक किसी और की लिखी पटकथा में दाखिल हो चुके थे।

![स्मार्टफोन पकड़े हुए हाथ, स्क्रीन पर कीबोर्ड और लिखा जा रहा टेक्स्ट मैसेज दिख रहा है](/images/blog/2026-09-17-arnaque-sms-mot-de-passe-usage-unique-otp-bot-code-verification/hero.jpg)

## वन-टाइम कोड, खालीपन से पहले का आखिरी ताला

भुगतान सेवाओं पर यूरोपीय निर्देश (DSP2) लागू होने के बाद, जो ग्राहक के लिए मजबूत प्रमाणीकरण अनिवार्य करता है, लगभग हर संवेदनशील लेन-देन एक दूसरे कारक से होकर गुजरता है: SMS से भेजा गया कोड, बैंकिंग ऐप में मंजूर की जाने वाली सूचना, कभी-कभी फिंगरप्रिंट।

यह कोड — जिसे OTP कहा जाता है, *one-time password*, यानी एक बार इस्तेमाल होने वाला पासवर्ड — हर धोखाधड़ी के लिए अनिवार्य पड़ाव बन चुका है। जिस ठग के पास किसी डेटा लीक या फर्जी वेबसाइट से हासिल आपका यूजरनेम और पासवर्ड है, वह अकेले कुछ नहीं कर सकता। उसके पास एक चीज़ नहीं है: वे छह अंक जो **सिर्फ आपको** मिलते हैं।

इसी से अपराध की रणनीति पूरी तरह पलट गई। अब बात किसी सिस्टम को हैक करने की नहीं, बल्कि किसी इंसान को छह अंक ज़ोर से पढ़ने के लिए राज़ी करने की है। यह बेहद सस्ता है, और दुर्भाग्य से कहीं ज़्यादा कारगर।

Banque de France और भुगतान साधनों की सुरक्षा पर नज़र रखने वाली संस्था हर साल यही दर्ज करती है: «पीड़ित को बहकाकर» की जाने वाली धोखाधड़ी बढ़ रही है, जबकि विशुद्ध तकनीकी धोखाधड़ी घट रही है। हमलावर को अब कंप्यूटर विशेषज्ञ होने की ज़रूरत नहीं। उसे अभिनेता होना है — या ऐसा रोबोट रखना है जो उसकी जगह अभिनय कर सके।

## «OTP बॉट्स»: जब ठगी एक मासिक सब्सक्रिप्शन बन जाए

पिछले दो सालों का असली बदलाव यही है, और आम लोगों को इसकी बहुत कम जानकारी है। वेरिफिकेशन कोड की चोरी अब तैयार-तैयार सेवाओं के रूप में औद्योगिक रूप ले चुकी है, जो निजी मैसेजिंग चैनलों पर मासिक शुल्क पर बिकती हैं।

इसका तरीका निराशाजनक हद तक सरल है। ठग के पास आपके लॉगिन विवरण होते हैं (चोरी हुए डेटा के किसी बंडल से खरीदे गए)। वह आपके ग्राहक खाते में लॉग इन करता है, जिससे असली सेवा की ओर से असली SMS अपने आप चला जाता है। ठीक उसी क्षण वह आपका नंबर बॉट में डालता है और एक परिदृश्य चुनता है: «बैंक», «डिलीवरी», «क्रिप्टोकरेंसी प्लेटफॉर्म», «टेलीकॉम ऑपरेटर»।

बॉट आपका नंबर डायल करता है, एक सिंथेटिक आवाज़ चलाता है — अक्सर बेहद उम्दा, बिना किसी विदेशी लहज़े वाली भाषा में, कॉल सेंटर की पृष्ठभूमि ध्वनि के साथ — और आपसे कहता है कि अभी मिला कोड टाइप करें या बोलकर बताएं। जैसे ही आप ऐसा करते हैं, कोड रियल टाइम में ठग तक पहुंच जाता है, जो उसकी मियाद खत्म होने से पहले उसे दर्ज कर देता है। पूरा ऑपरेशन नब्बे सेकंड से भी कम में निपट जाता है।

तीन बातें इस तंत्र को बेहद खतरनाक बनाती हैं:

- **समय-तालमेल एकदम सटीक है।** असली SMS और कॉल सही क्रम में, चंद सेकंड के अंतर पर आते हैं। दिमाग अपने आप दोनों घटनाओं को जोड़ देता है।
- **SMS असली है।** वह सचमुच आपके बैंक से आता है, सही भेजने वाले से, सही प्रारूप में। पकड़ने को कुछ नहीं, किसी संदिग्ध लिंक पर कर्सर घुमाने की ज़रूरत नहीं: उसमें **कोई लिंक होता ही नहीं**।
- **दिखने वाला नंबर फर्जी है।** *स्पूफिंग* की बदौलत कॉल ऐसी लगती है मानो आपके बैंक कार्ड के पीछे छपे नंबर से आ रही हो।

यानी दस साल से हमें जो भी सावधानियां सिखाई गईं — लिंक जांचो, भेजने वाला जांचो, नंबर जांचो — वे सब एक झटके में बेअसर हो जाती हैं।

## पांच सबसे आम परिदृश्य

### 1. नकली «सुरक्षा» सलाहकार

सबसे आम तरीका। कथित तौर पर कोई संदिग्ध भुगतान पकड़ा गया है, उसे रद्द करना है। कोड कथित रूप से «रोकने», «अस्वीकार करने», «सुरक्षित करने» के काम आता है। कोई बैंक कुछ रद्द करने के लिए **कभी** कोड नहीं मांगता: रद्दीकरण उसके अपने सिरे से होता है, आपके किसी हस्तक्षेप के बिना।

### 2. डिलीवरी की पुष्टि

कथित तौर पर कोई पार्सल अटका है, कोई समय-स्लॉट तय करना है। कोड का बहाना होता है «पता सत्यापित करना»। असल में वह अक्सर किसी खाते के निर्माण या मोबाइल वॉलेट में बैंक कार्ड जोड़ने को मंजूरी देता है।

### 3. निजी लोगों के बीच पुनर्विक्रय

आप कोई चीज़ बेच रहे हैं। खरीदार आने से पहले आपको एक कोड भेजता है «यह जांचने के लिए कि आप रोबोट तो नहीं»। दरअसल यह किसी तीसरी सेवा में पंजीकरण का कोड होता है, जो आपके नंबर से जुड़ जाता है — और बाद में आपके नाम पर दूसरी धोखाधड़ियां रचने के काम आता है।

### 4. ऑपरेटर की नकली ग्राहक सेवा

आपको छूट, कोई व्यावसायिक रियायत, या प्लान बदलने का प्रस्ताव दिया जाता है। मांगा गया कोड असल में वही होता है जो आपकी लाइन को किसी दूसरे सिम कार्ड पर स्थानांतरित करने की अनुमति देता है। यह किस्म सीधे आपके नंबर के पूरे अपहरण तक ले जाती है।

### 5. «फ्रीज़» खाते का «पुनः सक्रियण»

कोई ईमेल खाता, कोई क्लासिफाइड विज्ञापन प्लेटफॉर्म, कोई मोबाइल भुगतान सेवा: आपको बताया जाता है कि खाता ब्लॉक हो गया है और आपकी «मदद» की जाती है उसे खोलने में। कोड सचमुच कुछ खोलता है — ठग की पहुंच।

![सफेद चादर पर रखा हरे कवर वाला स्मार्टफोन, स्क्रीन पर मैसेजिंग कीबोर्ड दिख रहा है](/images/blog/2026-09-17-arnaque-sms-mot-de-passe-usage-unique-otp-bot-code-verification/body-1.jpg)

## सतर्क लोग भी क्यों फंस जाते हैं

यह सोच छोड़ देनी चाहिए कि ये ठगियां सिर्फ उन्हीं को निशाना बनाती हैं जो तकनीक में सहज नहीं हैं। ये परिदृश्य सार्वभौमिक मानसिक प्रवृत्तियों का इस्तेमाल करते हैं, जिनका अच्छी तरह दस्तावेजीकरण हो चुका है।

**तात्कालिकता जांच-पड़ताल को मिटा देती है।** बड़ी रकम, खतरे में पड़ा खाता, दो मिनट की मोहलत: दिमाग प्रतिक्रिया मोड में चला जाता है। तनाव में निर्णय लेने पर हुए अध्ययन दिखाते हैं कि वैकल्पिक संभावनाओं पर विचार करने की क्षमता तेज़ी से गिर जाती है।

**संगति, प्रामाणिकता से ज़्यादा भरोसा दिलाती है।** आपको एक SMS मिलता है, और उसी SMS के बारे में आपको कॉल आती है: दोनों तत्व एक-दूसरे की पुष्टि करते लगते हैं। इसे पुष्टि का भ्रम कहते हैं। जबकि दोनों का स्रोत एक ही है — ठग ने ही पहला वाला चालू करवाया था।

**अधिकार-भाव विरोध को निहत्था कर देता है।** शांत आवाज़, पेशेवर शब्दावली («रोक», «लेन-देन अस्वीकृति», «स्तर 2»), जाना-पहचाना नंबर। जो शख्स आपकी मदद करता दिख रहा हो, उसे बीच में टोकना सचमुच सामाजिक मेहनत मांगता है।

**कोड के साथ लिखी चेतावनी को घुमा दिया जाता है।** «यह कोड किसी को न बताएं» को ठग *दूसरी* कॉलों के लिए दी गई हिदायत बताकर पेश करता है: «बिल्कुल, आपका शक जायज़ है। इसीलिए तो मैं खुद आपको आधिकारिक नंबर से कॉल कर रहा हूं।» संदेह सोख लिया जाता है, पलट दिया जाता है, और गंभीरता के सबूत में बदल दिया जाता है।

## वह इकलौता नियम जो सब कुछ रोक देने के लिए काफी है

आप दस सलाहों वाली सूचियां भूल सकते हैं। एक ही वाक्य इन तमाम परिदृश्यों से बचा लेता है:

> **SMS से मिला कोड कभी बोला नहीं जाता, कभी फोन के कीपैड पर टाइप नहीं किया जाता, कभी आगे नहीं भेजा जाता। उसे सिर्फ आप खुद दर्ज करते हैं, एक स्क्रीन पर, ऐसे ऐप या साइट में जिसे आपने खुद खोला हो।**

कोई अपवाद नहीं। न बैंक सलाहकार के लिए, न पुलिसकर्मी के लिए, न तकनीशियन के लिए, न डिलीवरी वाले के लिए, न खरीदार के लिए। किसी भी वैध पेशेवर को इस कोड की ज़रूरत नहीं, क्योंकि कोई वैध पेशेवर आपकी जगह आपके खाते पर कार्रवाई नहीं कर रहा होता।

इतना ही अहम एक और नतीजा: **बिना वजह आया कोड एक चेतावनी है, कोई गलती नहीं।** अगर वह तब आता है जब आपने कुछ किया ही नहीं, तो इसका मतलब है कि किसी के पास पहले से आपके लॉगिन विवरण हैं और वह अंदर घुसने की कोशिश कर रहा है। सही प्रतिक्रिया SMS को नज़रअंदाज़ करना नहीं, बल्कि संबंधित सेवा का पासवर्ड तुरंत बदलना है — आधिकारिक ऐप से।

## नियंत्रण वापस लेना: ठोस कदम

### फोन काटें, फिर खुद वापस कॉल करें

यही सबसे कारगर कदम है, और सबसे कठिन भी। कॉल काटिए, पूरा एक मिनट रुकिए (कुछ ठग लाइन खुली रखते हैं), फिर खुद अपने बैंक कार्ड के पीछे लिखा या ऐप में दिया नंबर डायल कीजिए। अगर मामला सचमुच का था, तो वह पांच मिनट बाद भी वहीं रहेगा।

जिन लोगों के पास बहुत सारी अनचाही कॉलें आती हैं, उनके लिए [कॉल फिल्टरिंग वाला लैंडलाइन फोन](https://www.amazon.fr/s?k=t%C3%A9l%C3%A9phone+fixe+filtrage+appels+ind%C3%A9sirables+senior&tag=ds050-21) — जो अपंजीकृत नंबरों को रोक देता है या पहले एक घोषणा अनिवार्य करता है — काफी हद तक शोर हटा देता है। किसी बुज़ुर्ग माता-पिता के लिए, जो शिष्ट बोलने वाले के मुंह पर फोन काटने की हिम्मत नहीं जुटा पाते, यह मामूली खर्च है।

### जहां संभव हो, प्रमाणीकरण के लिए SMS से आगे बढ़ें

SMS आज भी प्रमाणीकरण का सबसे कमज़ोर कारक है: लाइन के अपहरण से उसे रोका जा सकता है, लॉक स्क्रीन पर पढ़ा जा सकता है, और वह यहां बताई गई चालबाज़ी के आगे असुरक्षित है। जब कोई सेवा विकल्प दे, तो प्रमाणीकरण ऐप को तरजीह दें (बैंकिंग ऐप में मंजूरी, कोड जनरेटर) या सबसे संवेदनशील खातों के लिए [FIDO2 भौतिक सुरक्षा कुंजी](https://www.amazon.fr/s?k=cl%C3%A9+de+s%C3%A9curit%C3%A9+FIDO2+USB+NFC&tag=ds050-21) चुनें, जिसकी खूबी यह है कि वह ऐसा कुछ दिखाती ही नहीं जिसे किसी अजनबी को बोलकर बताया जा सके।

### मैसेज के प्रीव्यू को बंद करें

डिफ़ॉल्ट रूप से कई फोन SMS की सामग्री लॉक स्क्रीन पर दिखा देते हैं। बिना अनलॉक किए दिखने वाला कोड यानी ऐसा कोड जो हर उस शख्स के सामने खुला है जिसकी नज़र डिवाइस पर पड़े — ट्रेन में, ऑफिस के खुले फ्लोर पर, प्रतीक्षालय में। यह सेटिंग नोटिफिकेशन में मिलती है: «सामग्री छिपाएं» चुनिए। जो लोग सफर में फोन देखते हैं, उनके लिए [स्मार्टफोन स्क्रीन के लिए प्राइवेसी फिल्टर](https://www.amazon.fr/s?k=filtre+de+confidentialit%C3%A9+%C3%A9cran+smartphone&tag=ds050-21) इस उपाय को अच्छी तरह पूरा करता है।

### खुद लाइन की सुरक्षा करें

चूंकि SMS आपके सिम कार्ड पर आता है, इसलिए सिम कार्ड ही निशाना बन जाता है। दो सावधानियां: कार्ड का PIN कोड चालू करें (बहुत से उपयोगकर्ताओं के यहां यह बंद रहता है) और अपने ऑपरेटर से पोर्टिंग लॉक मांगें, यानी वह विकल्प जो मजबूत सत्यापन के बिना लाइन का स्थानांतरण रोक देता है। जो लोग अपने इस्तेमाल अलग-अलग रखना पसंद करते हैं, उन्हें [डुअल सिम फोन](https://www.amazon.fr/s?k=smartphone+double+SIM&tag=ds050-21) भाएगा, जिससे बैंकिंग सेवाओं के लिए एक अलग नंबर रखा जा सके — जो न विज्ञापनों में दिया जाए, न फॉर्मों में।

### नियम को कागज़ पर लिख लें

यह भोलापन लग सकता है, फिर भी कमज़ोर लोगों के मामले में यही सबसे अच्छा काम करता है। लैंडलाइन फोन के पास रखा एक छपा हुआ कार्ड, जिस पर तीन पंक्तियां हों: «मैं कभी कोई कोड नहीं बताता। मैं फोन काट देता हूं। मैं खुद अपने बैंक को वापस कॉल करता हूं।» कई रोकथाम संस्थाएं इस तरह के मेमो बांटती हैं। बैठक की मेज़ पर पड़ी [रोज़मर्रा की साइबर सुरक्षा पर व्यावहारिक किताब](https://www.amazon.fr/s?k=livre+cybers%C3%A9curit%C3%A9+au+quotidien+grand+public&tag=ds050-21) अक्सर परिवार की सतर्कता के लिए लंबे-चौड़े भाषण से ज़्यादा काम करती है।

![शहर में कार चलाते हुए स्मार्टफोन पकड़े हाथ, स्क्रीन पर SMS बातचीत दिख रही है](/images/blog/2026-09-17-arnaque-sms-mot-de-passe-usage-unique-otp-bot-code-verification/body-2.jpg)

## अगर आपने कोड बता दिया है

शर्मिंदा होने की कोई बात नहीं — ये परिदृश्य उन पेशेवरों ने गढ़े हैं जिनका यही पूर्णकालिक धंधा है। हां, जल्दी करने की ज़रूर बात है।

| समय-सीमा | कार्रवाई |
| --- | --- |
| तुरंत | अपने बैंक की ब्लॉकिंग सेवा को कॉल करें (नंबर कार्ड के पीछे) और कार्ड व ऑनलाइन एक्सेस दोनों ब्लॉक करवाएं |
| एक घंटे के भीतर | संबंधित सेवा और उससे जुड़े ईमेल खाते का पासवर्ड बदलें, हो सके तो किसी दूसरे डिवाइस से |
| 24 घंटे के भीतर | धोखाधड़ी की आधिकारिक रिपोर्टिंग प्लेटफॉर्म पर शिकायत दर्ज करें और थाने या जेंडरमरी में प्राथमिकी दें |
| 13 महीनों के भीतर | अनधिकृत लेन-देन के खिलाफ बैंक के पास लिखित आपत्ति दर्ज करें |

कुछ काम के संदर्भ:

- **3018** (कॉल और सेवा नि:शुल्क) डिजिटल हिंसा के पीड़ितों की मदद करता है; **Info Escroqueries** नंबर **0 805 805 817** पर प्रक्रियाओं की जानकारी देता है।
- धोखाधड़ी वाले SMS की शिकायत **33700** पर की जाती है, जो फ्रांसीसी ऑपरेटरों की साझा सेवा है।
- राष्ट्रीय सहायता तंत्र **cybermalveillance.gouv.fr** वेबसाइट त्वरित कार्रवाई की मार्गदर्शिकाएं और मान्यता प्राप्त सेवा प्रदाताओं की सूची उपलब्ध कराती है।
- **Code monétaire et financier** अनधिकृत भुगतान लेन-देन की वापसी का प्रावधान करता है, बशर्ते ग्राहक की ओर से घोर लापरवाही न हुई हो। घोर लापरवाही की अवधारणा हर मामले में अलग-अलग आंकी जाती है: बैंक के नंबर की नकल के साथ की गई सुनियोजित चालबाज़ी का शिकार होने को Cour de cassation पहले भी ग्राहक के पक्ष में मान चुका है। सब कुछ संभालकर रखें: स्क्रीनशॉट, कॉल का समय, दिखा हुआ नंबर, SMS की सामग्री।

## यह ठगी आगे के लिए क्या संकेत देती है

SMS से आने वाला वन-टाइम कोड सुरक्षा मानक के तौर पर अपने आखिरी साल जी रहा है। यूरोपीय बैंकिंग पर्यवेक्षण प्राधिकरण अभी से ऐसे तरीकों की ओर बढ़ने को प्रोत्साहित कर रहे हैं जो प्रमाणीकरण को डिवाइस और स्वयं लेन-देन से जोड़ दें — यानी ऐप में ऐसी मंजूरी जो रकम और लाभार्थी दोनों दिखाए, जिसे फोन के ज़रिए भटकाना कहीं ज़्यादा मुश्किल है।

तब तक, कमज़ोरी न फोन में है, न नेटवर्क में: वह बातचीत में है। ठग कोड चुराता नहीं, हासिल करता है। इसका मतलब यह है कि सिर्फ एक फैसला — शालीनता से इनकार करना, फोन काट देना, खुद वापस कॉल करना — पूरी हमले की श्रृंखला को नाकाम करने के लिए काफी है, वॉयस रोबोट समेत।

जो SMS आपको चेताता है, वह सही कह रहा है। झूठ उसके बाद आने वाली कॉल बोलती है।

{/* image-sources: https://images.pexels.com/photos/9898393/pexels-photo-9898393.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/6963594/pexels-photo-6963594.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/230557/pexels-photo-230557.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}