« पार्किंग भुगतान — 30 सेकंड में भुगतान करने के लिए स्कैन करें, किसी ऐप की जरूरत नहीं। »
यह वाक्य एक साफ-सुथरे, लैमिनेटेड सफेद स्टिकर पर काले अक्षरों में छपा है, जो पार्किंग मीटर की सामने की सतह पर बिल्कुल सीधा चिपकाया गया है। नीचे दिया QR कोड बिल्कुल ठीक काम करता है। खुलने वाले पेज पर आपके शहर का नाम, इलाके का नक्शा, नगर निगम का लोगो और एक भुगतान फॉर्म दिखता है। तीन मिनट बाद आपको टिकट नंबर के साथ एक पुष्टिकरण SMS भी मिल जाता है।
सब कुछ फर्जी है — सिर्फ आपके कार्ड से कटी रकम असली है।
क्विशिंग — QR और फिशिंग का मेल — आधुनिक फिशिंग का सबसे अगोचर रूप है। इसमें न किसी भेजने वाले की पहचान चुराने की जरूरत है, न चोरी हुए डेटाबेस की, न कार की डिक्की में छिपे किसी SMS ब्लास्टर की। इसके लिए चाहिए बस एक प्रिंटर, चिपकाने वाले टेप का एक रोल और सड़क के किसी उपकरण के सामने दस सेकंड।
QR कोड क्यों बन गया सबसे परफेक्ट कमजोरी
एक वेब लिंक को पढ़ा जा सकता है। उसमें संदिग्ध डैश, .top या .xyz एक्सटेंशन, या नकल करने वाला सबडोमेन (ants-gouv.verif-doc.net) पकड़ा जा सकता है। यही तो Cybermalveillance.gouv.fr द्वारा दोहराया जाने वाला पहला बचाव-नियम है: कर्सर घुमाइए, पढ़िए, क्लिक करने से पहले डोमेन नाम की जाँच कीजिए।
लेकिन QR कोड इंसान के लिए पढ़ा ही नहीं जा सकता। यह एक ग्राफिक ब्लैंक चेक है: मंजिल का पता आपको लिंक खुलने के बाद ही चलता है, कभी-कभी दो रीडायरेक्ट के बाद। और स्मार्टफोन का डिजाइन भी मदद नहीं करता — कई डिवाइस URL को बहुत छोटे अक्षरों में, कटा-फटा, डेढ़ सेकंड के लिए, उस नोटिफिकेशन बार में दिखाते हैं जिसे कोई नहीं पढ़ता।
तीन खूबियाँ इसे ठगों का पसंदीदा औजार बनाती हैं:
- भौतिक माध्यम से जुड़ा भरोसा। नगर निगम का बोर्ड, चार्जिंग स्टेशन, रेस्टोरेंट का मेन्यू: सार्वजनिक स्थानों के उपकरणों को प्रामाणिकता का वह लाभ मिलता है जो किसी SMS को कभी नहीं मिलेगा।
- फिल्टरों के लिए अदृश्यता। कोई टेलीकॉम ऑपरेटर, कोई एंटीस्पैम सड़क पर चिपके स्टिकर का विश्लेषण नहीं कर सकता। जहाँ मैलिशियस URL वाला बल्क SMS आखिरकार ब्लॉक हो जाता है, वहीं QR कोड सबसे अभेद्य चैनल से गुजरता है: आपकी आँखें।
- अंतर्निहित जल्दबाजी का संदर्भ। पार्किंग का QR कोड आप तब स्कैन करते हैं जब आप जल्दी में होते हैं, डबल पार्किंग में खड़े होते हैं, बारिश में भीगते हुए, और आठ मिनट बाद कोई मीटिंग होती है। ठीक वही हालात जिनमें सतर्कता ढह जाती है।
ANSSI और Arcep बार-बार याद दिलाते हैं कि किसी धोखाधड़ी की तकनीकी परिष्कार से ज्यादा मायने रखता है उसका समय। सड़क पर होने वाला क्विशिंग इस सिद्धांत का सटीक उदाहरण है।
फ्रांस में सबसे ज्यादा इस्तेमाल होने वाले चार परिदृश्य
1. पार्किंग मीटर और हॉरोडेटर
2024 से यह सबसे अधिक दर्ज किया गया मामला है, फ्रांस के दर्जनों नगरों से शिकायतें आई हैं — Charleville-Mézières, Rouen, Lyon, Toulouse, Nice, और सीजन में कई समुद्रतटीय शहर। तरीका हमेशा एक-सा रहता है: पार्किंग मीटर की स्क्रीन पर या उसके बगल में एक स्टिकर चिपका दिया जाता है, अक्सर पुराने असली QR कोड को ढककर।
फर्जी साइट असली पार्किंग ऐप्स की डिजाइन-शैली की नकल करती है। वह गाड़ी का नंबर, अवधि, और फिर पूरी बैंकिंग जानकारी मांगती है: 16 अंकों का नंबर, समाप्ति तिथि, CVV कोड। कुछ रूपांतर इससे भी आगे जाते हैं और « 1 € का मासिक सब्सक्रिप्शन » पेश करते हैं, जो असल में एक आवर्ती कटौती छिपा रहा होता है।
2. इलेक्ट्रिक वाहनों के चार्जिंग स्टेशन
यह माहौल आदर्श है: चार्जिंग स्टेशन एक तकनीकी उपकरण है, अक्सर संकेत ठीक से नहीं लगे होते, कई प्रतिस्पर्धी ऑपरेटर होते हैं, कई-कई ऐप और समझ से बाहर टैरिफ। चालक को हमेशा यह पता ही नहीं होता कि उसे किसे भुगतान करना है। « बैज के बिना भुगतान » लिखा हुआ फर्जी QR कोड, चार्जर के खंभे पर चिपका, तुरंत अपना शिकार पा लेता है — खासकर लंबी यात्राओं में, जब आप फटाफट निकलना चाहते हैं।
3. चालान-नोटिस और डिलीवरी-नोटिस
गाड़ी के वाइपर के नीचे रखे फर्जी « बकाया पार्किंग शुल्क » के नोटिस, पीले या हरे कागज पर छपे, और भुगतान के लिए एक QR कोड। वही तर्क लेटरबॉक्स पर लटके कूरियर के फर्जी डिलीवरी-नोटिस पर भी लागू होता है: अब पार्सल का SMS भेजने की जरूरत नहीं, एक कागज छोड़ देना ही काफी है।
4. कैफे की टेरेस, पोस्टर और शो-विंडो
ढका हुआ मेन्यू का QR कोड, कॉन्सर्ट या फ्ली-मार्केट का हैक किया गया पोस्टर, वेटिंग रूम में « मुफ्त Wi-Fi » का स्टिकर। यहाँ मकसद हमेशा तुरंत भुगतान नहीं होता: अक्सर यह फोन नंबर और ई-मेल जुटाना होता है, जिन्हें बेच दिया जाता है या कुछ हफ्तों बाद किसी लक्षित स्मिशिंग अभियान में दोबारा इस्तेमाल किया जाता है।
SMS: ठगी की दूसरी मंजिल
यही वह बात है जिसे बचाव पर लिखे गए ज्यादातर लेख भूल जाते हैं: QR कोड लगभग कभी कहानी का अंत नहीं होता। वह एक डेटा हासिल करने का जरिया है, और वही डेटा आगे एक पूरी तरह भरोसेमंद SMS लिखने के काम आता है।
पूरा परिदृश्य कुछ इस तरह दिखता है:
| चरण | आपको जो अनुभव होता है | असल में जो होता है |
|---|---|---|
| 1 | आप पार्किंग मीटर का QR कोड स्कैन करते हैं | आप पिछले हफ्ते बनाए गए एक डोमेन पर पहुँच जाते हैं |
| 2 | आप गाड़ी का नंबर, फोन, कार्ड डालते हैं | डेटा बिना एन्क्रिप्शन किसी तीसरे सर्वर पर चला जाता है |
| 3 | आपको « टिकट मान्य, क्र. 48219 » का SMS मिलता है | यह SMS ठगों ने ही भेजा है, हर शंका मिटाने के लिए |
| 4 | 3 से 20 दिन बाद: « भुगतान विफल, कृपया नियमित करें » | दूसरी कटौती, या 3-D Secure कोड की चोरी |
| 5 | « आपके बैंक से » एक कॉल आती है, पुष्टि करने को कहती है | सटीक जानकारी हाथ में लिए फर्जी सलाहकार की ठगी |
पुष्टिकरण SMS एक अहम मनोवैज्ञानिक भूमिका निभाता है: वह एक संदिग्ध लेन-देन को एक सफल लेन-देन में बदल देता है। आप निश्चिंत होकर फोन जेब में रख लेते हैं, अपने खाते पर नजर नहीं रखते, और महीने की 14 तारीख की असामान्य कटौती को 2 तारीख की उस पार्किंग से जोड़ते ही नहीं।
यही SMS इस धोखाधड़ी को ट्रैक करना इतना मुश्किल बना देता है: जब तक पीड़ित समझता है, तब तक उसने मैसेज हटा दिया होता है, ब्राउज़र इतिहास साफ कर दिया होता है और गली का नाम भूल चुका होता है।
याद रखने लायक एक सरल नियम: QR कोड आपको कभी किसी बात की पुष्टि नहीं देता। यह काम केवल वह आधिकारिक ऐप कर सकता है जिसे आपने इंस्टॉल किया है, या वह साइट जिसका पता आपने खुद टाइप किया है।
दस सेकंड में छेड़छाड़ किया गया QR कोड कैसे पहचानें
अच्छी खबर यह है कि यह धोखाधड़ी भौतिक है — इसलिए खुली आँखों से पकड़ी जा सकती है। सार्वजनिक जगह में कुछ भी स्कैन करने से पहले:
- कोड को छूकर देखिए। ऊपर चिपकाया गया स्टिकर उँगली से महसूस होता है: उठा हुआ किनारा, उखड़ता कोना, हवा का बुलबुला। असली QR कोड स्क्रीन-प्रिंटेड, उत्कीर्ण या सीधे पैनल पर छपे होते हैं, कठोर प्लास्टिक के नीचे।
- संरेखण और टाइपोग्राफी देखिए। बाकी पैनल से अलग फॉन्ट, गायब उच्चारण-चिह्न, पिक्सेलयुक्त लोगो, आधिकारिक लोगो के बिना « Ville de… » लिखा होना: ये सब संकेत हैं।
- दो कोड ढूँढिए। एक ही उपकरण पर दो QR कोड, जिनमें एक जल्दबाजी में जोड़ा गया लगे — यह सबसे आम परिदृश्य है।
- खोलने से पहले डोमेन जाँचिए। फ्रांसीसी प्रशासन और स्थानीय निकाय पहचाने जा सकने वाले
.gouv.frया.frडोमेन इस्तेमाल करते हैं।.top,.icu,.shop,.onlineवाला लिंक, कोई URL शॉर्टनर (bit.ly,cutt.ly), या डैश से भरा हुआ लंबा डोमेन: तुरंत बंद कर दें। - CVV कोड से सावधान रहिए। कोई भी सार्वजनिक पार्किंग सेवा QR कोड से खुले पेज पर, 3-D Secure से गुजरे बिना, आपसे आपका 3 अंकों का कोड कभी नहीं मांगेगी।
एक बहुत साधारण सा सामान अनुमान से ज्यादा मदद करता है: कार के लिए फोन होल्डर, जो स्मार्टफोन को आँखों की ऊँचाई पर रखने और URL आराम से पढ़ने देता है, बजाय इसके कि आप हाथ फैलाकर, दरवाजा खुला और इंजन चालू रखते हुए स्कैन करें।
वह आदत जो 90 % समस्या हल कर देती है
पार्किंग का भुगतान किसी और तरीके से कीजिए। फ्रांस में आधिकारिक पार्किंग ऐप्स ऐप स्टोर से डाउनलोड किए जा सकते हैं, और एक बार इंस्टॉल होने के बाद उन्हें किसी QR कोड की जरूरत नहीं पड़ती। जहाँ उपलब्ध हो, सीधे पार्किंग मीटर पर कार्ड से भुगतान करना भी बेमिसाल है: कोई वेब पेज नहीं, कोई फॉर्म नहीं, कोई फोन नंबर साझा नहीं।
चार्जिंग स्टेशनों के लिए, आपके मोबिलिटी ऑपरेटर का कार्ड या RFID बैज समस्या को जड़ से खत्म कर देता है। एक संगत चार्जिंग कार्ड रीडर या मल्टी-नेटवर्क बैज रखने से किसी अनजान चार्जर पर कुछ भी स्कैन करने की जरूरत ही नहीं पड़ती।
जरूरत पड़ने से पहले ही फोन को तैयार कर लीजिए
एक बार किए गए कुछ सेटिंग्स, गलत कोड स्कैन करने वाले दिन सब कुछ बदल देते हैं।
लिंक के स्वतः खुलने को बंद कीजिए। iPhone और Android दोनों पर कैमरा ऐसे सेट किया जा सकता है कि वह तुरंत ब्राउज़र खोलने के बजाय URL दिखाए और पुष्टि का इंतजार करे। यही एकमात्र वाकई कारगर सुरक्षा-दीवार है, और यह मुफ्त है।
अपने बैंक के भुगतान नोटिफिकेशन चालू कीजिए। हर कटौती पर, चाहे वह 1 € की हो, एक अलर्ट आने से पता चलने में लगने वाला समय तीन हफ्तों से घटकर तीन मिनट रह जाता है। फ्रांसीसी बैंक सभी अपने ऐप में यह सेवा मुफ्त देते हैं।
सड़क पर भुगतान के लिए वर्चुअल या सीमित-लिमिट वाला कार्ड इस्तेमाल कीजिए। ज्यादातर बैंक और नियोबैंक एक-बार-उपयोग वाला नंबर बनाने की सुविधा देते हैं। जो ठग पहले ही एक्सपायर हो चुका नंबर हासिल करता है, उसने कुछ भी हासिल नहीं किया।
अपना फोन चार्ज रखिए। यह मामूली लग सकता है, लेकिन पार्किंग में लिए गए गलत फैसलों का बड़ा हिस्सा जल्दबाजी में, 6 % बैटरी के साथ और बस निपटा देने की इच्छा में लिया जाता है। ग्लव बॉक्स में रखा एक कॉम्पैक्ट पावर बैंक इस दबाव का एक हिस्सा खत्म कर देता है।
जो स्कैन किया, उसे नोट कीजिए। अगर आपको शक हो, तो उपकरण और QR कोड की तुरंत तस्वीर ले लीजिए। यही वह सबूत है जिससे नगर निगम स्टिकर हटवा सकेगा और आपका बैंक विवाद की जाँच कर सकेगा।
आपने स्कैन किया और भुगतान भी कर दिया: अब क्या करें
समय बहुत मायने रखता है। क्रम से:
- तुरंत कार्ड ब्लॉक कराइए अपने बैंक के जरिए (आपातकालीन नंबर 24 घंटे उपलब्ध) या फिर अंतर-बैंक सर्वर पर 0 892 705 705 नंबर से।
- धनवापसी की मांग कीजिए। फ्रांसीसी मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L133-18 बैंक को बाध्य करता है कि समय-सीमा में सूचित की गई अनधिकृत भुगतान लेन-देन की राशि वापस करे, बशर्ते आपकी घोर लापरवाही साबित न हो। मांग लिखित रूप में कीजिए।
- प्राप्त SMS की सूचना 33700 पर दीजिए, जो फ्रांसीसी ऑपरेटरों द्वारा संचालित, धोखाधड़ी वाले SMS और कॉल की रिपोर्ट करने का आधिकारिक प्लेटफॉर्म है।
- शिकायत दर्ज कराइए पुलिस थाने में, जेंडरमरी में, या ऑनलाइन ठगी के लिए service-public.fr पर THESEE प्लेटफॉर्म के जरिए।
- फर्जी साइट की रिपोर्ट कीजिए Phishing Initiative पर, और भौतिक QR कोड की शिकायत नगरपालिका या चार्जिंग स्टेशन के संचालक से कीजिए: इसी से स्टिकर हटाया जाता है।
- तीन महीने तक अपने खातों पर नजर रखिए। चुराया गया डेटा अक्सर बेचा जाता है और कई हफ्तों की देरी से दोबारा इस्तेमाल होता है, खासकर « आपके सलाहकार » के नाम पर आने वाली फर्जी कॉलों के रूप में।
और अगर आपको किसी करीबी या सहकर्मी को, जो उसी गली में गाड़ी पार्क करता है, जल्दी चेताना हो, तो एक छोटा संदेश काफी है: « X गली के पार्किंग मीटर पर फर्जी QR कोड है, सीधे मशीन पर कार्ड से भुगतान करो। » यह ठीक वैसी ही तुरंत चेतावनी है जिसके लिए कुछ भी इंस्टॉल किए बिना ऑनलाइन SMS भेजने की सुविधा काम आती है।
यह धोखाधड़ी बाकी चीजों के बारे में क्या बताती है
सड़क पर होने वाला क्विशिंग कोई बहुत परिष्कृत ठगी नहीं है। यह सही जगह पर रखी गई ठगी है। यह उस बदलाव को दर्शाती है जो हाल की लगभग हर मुहिम में दिखता है: ठग अब आपके विवेक को धोखा देने की कोशिश नहीं करते, वे उस पल की तलाश करते हैं जब आप विवेक इस्तेमाल ही नहीं करते।
पार्किंग मीटर के सामने, बारिश में, दिमाग में घूमते संभावित चालान के साथ, कोई डोमेन नाम का विश्लेषण नहीं करता। इसीलिए एकमात्र टिकाऊ बचाव शक करना नहीं है — वह थकाऊ और अव्यवहारिक है — बल्कि आदत है: हमेशा उसी एक चैनल से भुगतान करना, जिसे आपने ठंडे दिमाग से चुना था, ऐसे दिन जब आप जल्दी में नहीं थे।
जरूरी नंबरों (कार्ड ब्लॉक, सहायता, 33700) के साथ कार में रखी एक नोटबुक दो यूरो की पड़ती है और निर्णायक पंद्रह मिनट बचा देती है। फर्जी SMS हो या फर्जी QR कोड, बचाव की लड़ाई लगभग हमेशा घटना से पहले ही जीती या हारी जाती है।
