2026 में SIM स्वैपिंग और eSIM: आपका फ़ोन नंबर कैसे चुराया जा सकता है

हम अपने पासवर्ड सुरक्षित रखते हैं, टू-फैक्टर ऑथेंटिकेशन चालू करते हैं, बैंक स्टेटमेंट पर नज़र रखते हैं। लेकिन हममें से बहुत कम लोग यह सोचते हैं कि अगर कोई रातोंरात हमारे फ़ोन नंबर का आधिकारिक मालिक बन जाए, तो क्या होगा।

SIM स्वैपिंग का पूरा खेल यही है: आपका फ़ोन हैक करना नहीं, बल्कि आपके ऑपरेटर को यह यकीन दिला देना कि आपने डिवाइस बदल लिया है। एक बार लाइन हाईजैक हो जाने के बाद, सत्यापन के सारे SMS — बैंक, ई-मेल, सोशल नेटवर्क, ट्रेडिंग प्लेटफ़ॉर्म — हमलावर के पास पहुँचने लगते हैं। और आपके पास बचती है सिर्फ़ एक स्क्रीन जिस पर लिखा होता है «कोई सेवा नहीं»।

2026 में, eSIM के व्यापक प्रसार और चंद क्लिक में रिमोट एक्टिवेशन के चलते, इस हमले का चेहरा बदल गया है। यह और तेज़, और ख़ामोश, और कभी-कभी पूरी तरह डिजिटल हो चुका है।

आख़िर SIM स्वैपिंग है क्या?

SIM स्वैपिंग (या SIM swap, यानी «सिम कार्ड की अदला-बदली») का अर्थ है किसी धोखेबाज़ द्वारा आपका फ़ोन नंबर उस SIM या eSIM पर ट्रांसफ़र करा लेना जो उसके नियंत्रण में हो।

यह आपके स्मार्टफ़ोन की कोई तकनीकी हैकिंग नहीं है। यह ऑपरेटर के सामने की जाने वाली पहचान संबंधी धोखाधड़ी है। हमलावर ग्राहक सेवा, किसी स्टोर, या ऑपरेटर के ऑनलाइन अकाउंट के ज़रिए ख़ुद को आप बताकर माँग करता है:

• या तो SIM रिप्लेसमेंट («मेरा फ़ोन खो गया है»);
• या किसी नए डिवाइस पर eSIM का एक्टिवेशन;
• या फिर आपके RIO कोड का इस्तेमाल करके किसी दूसरे ऑपरेटर पर नंबर पोर्टेबिलिटी।

तीनों ही स्थितियों में नतीजा एक जैसा होता है: नेटवर्क द्वारा आपका सिम कार्ड निष्क्रिय कर दिया जाता है और नंबर हमलावर के डिवाइस पर चला जाता है।

आपका नंबर इतना कीमती क्यों है

पिछले पंद्रह वर्षों से SMS डिफ़ॉल्ट प्रमाणीकरण कारक बन चुका है। Banque de France और Observatoire de la sécurité des moyens de paiement बार-बार याद दिलाते हैं कि यूरोपीय निर्देश DSP2 द्वारा अनिवार्य किया गया मज़बूत प्रमाणीकरण व्यवहार में आज भी बड़े पैमाने पर संदेश से भेजे गए कोड या लाइन नंबर से जुड़े सत्यापनों पर ही टिका है।

व्यावहारिक रूप से, हाईजैक किया गया नंबर एक के बाद एक कई दरवाज़े खोल देता है:

लक्षित सेवा	चुराया गया नंबर क्या कर सकता है
ऑनलाइन बैंकिंग	ट्रांसफ़र की मंज़ूरी, नए लाभार्थी जोड़ना
ई-मेल	SMS के ज़रिए पासवर्ड रीसेट
सोशल नेटवर्क	अकाउंट पर कब्ज़ा, परिचितों के सामने पहचान की चोरी
क्रिप्टो प्लेटफ़ॉर्म	धन की निकासी, अक्सर अपरिवर्तनीय
सरकारी/प्रशासनिक खाते	खाता रिकवरी, पहचान दस्तावेज़ों तक पहुँच

नंबर अब महज़ एक संपर्क पहचानकर्ता नहीं रहा: यह एक मास्टर की बन चुका है। और यही बात इसे निशाना बनाती है।

धोखेबाज़ हमले की तैयारी कैसे करते हैं

SIM स्वैपिंग कभी तुक्का नहीं होता। यह पहले से की गई जानकारी-संग्रह की एक लंबी प्रक्रिया का नतीजा होता है, जो अक्सर कई हफ़्तों तक चलती है।

चरण 1: व्यक्तिगत डेटा जुटाना

किसी सलाहकार को यकीन दिलाने या किसी स्वचालित जाँच को पार करने के लिए हमलावर को आपको जानना ज़रूरी है: जन्मतिथि, पता, ग्राहक संख्या, पिछले बिल की राशि, सुरक्षा प्रश्नों के उत्तर।

ये जानकारियाँ मुख्यतः तीन स्रोतों से आती हैं:

1. डेटा लीक। CNIL ने हाल के वर्षों में फ़्रांसीसी टेलीकॉम ऑपरेटरों, बीमा कंपनियों और वितरकों को प्रभावित करने वाले बड़े पैमाने के उल्लंघनों की एक श्रृंखला दर्ज की है, जिनमें पहचान, संपर्क विवरण और अनुबंध संख्याएँ उजागर हुईं।
2. स्मिशिंग। ऑपरेटर, डिलीवरी सेवा या किसी सरकारी विभाग के नाम पर आया एक फ़र्ज़ी SMS आपको हूबहू नकल की गई वेबसाइट पर जानकारी भरने के लिए उकसाता है।
3. सोशल नेटवर्क। कुत्ते का नाम, माँ का पहला नाम, जन्म का शहर: तथाकथित «गुप्त» प्रश्नों के उत्तर अक्सर सार्वजनिक होते हैं।

एक अच्छी आदत: हर उस जानकारी को पासवर्ड की तरह मानें जो सुरक्षा प्रश्न बन सकती है। वह न कभी सार्वजनिक होनी चाहिए, न एक सेवा से दूसरी सेवा में एक जैसी।

भौतिक स्तर पर जोखिम घटाने के लिए कई उपयोगकर्ता स्क्रीन प्राइवेसी फ़िल्टर भी अपनाते हैं, जो ट्रेन या ओपन ऑफ़िस में बगल से आपके प्राप्त कोड पढ़े जाने से रोकता है। यह बहुत नाटकीय उपाय नहीं लगता, लेकिन सोशल इंजीनियरिंग की शुरुआत अक्सर एक मामूली-सी नज़र से ही होती है।

चरण 2: ऑपरेटर से संपर्क

इसके बाद आती है कॉल — या ऑनलाइन अनुरोध। सबसे आम बहाने:

• «मेरे साथ चोरी हो गई है, मुझे तुरंत eSIM एक्टिवेट करनी है।»
• «मेरा फ़ोन पानी में गिर गया, क्या आप इस पते पर नया सिम भेज सकते हैं?»
• फ़िशिंग से हासिल किए गए RIO कोड के साथ प्रतिस्पर्धी ऑपरेटर पर पोर्टेबिलिटी का अनुरोध।

फ़्रांसीसी ऑपरेटरों ने अपनी प्रक्रियाएँ सख़्त की हैं: पहचान की कड़ी जाँच, प्रतीक्षा अवधि, सुरक्षा सूचनाएँ। लेकिन मानवीय कमज़ोरी बनी हुई है, ख़ासकर तब जब धोखेबाज़ आपात स्थिति और परेशानी का भावनात्मक दबाव बनाता है।

चरण 3: दोहन, एक घंटे से भी कम में

नंबर स्विच होते ही हमलावर तेज़ी से एक के बाद एक पासवर्ड रीसेट अनुरोध भेजने लगता है। जोखिम की खिड़की छोटी होती है पर पर्याप्त: ज़्यादातर पीड़ित तुरंत नहीं समझ पाते कि उनके फ़ोन में नेटवर्क क्यों नहीं है, और पहले इसे स्थानीय गड़बड़ी मान लेते हैं।

2026 में eSIM ने वास्तव में क्या बदला है

जब से फ़्रांस में बिकने वाले लगभग सभी स्मार्टफ़ोन में eSIM आने लगी है — और कुछ मॉडलों ने भौतिक सिम ट्रे ही हटा दी है — बहस का रुख़ बदल गया है। तो क्या eSIM ज़्यादा सुरक्षित है या ज़्यादा ख़तरनाक?

सकारात्मक पहलू

• चुराने के लिए कोई भौतिक सिम नहीं। चोरी हुए फ़ोन से अब ऐसा कार्ड नहीं निकाला जा सकता जिसे दूसरे डिवाइस में डाला जा सके।
• हार्डवेयर लॉकिंग। eSIM प्रोफ़ाइल एक सुरक्षित एलिमेंट में संग्रहित होती है, जिसकी नकल बनाना कठिन है।
• ट्रेसेबिलिटी। हर एक्टिवेशन ऑपरेटर के पास समय-मुद्रित निशान छोड़ता है, जिससे जाँच आसान होती है।

सतर्कता के बिंदु

• एक्टिवेशन पूरी तरह डिजिटल है। अब डाक से कार्ड आने का इंतज़ार नहीं करना पड़ता: एक QR कोड या ऐप में किया गया एक्टिवेशन काफ़ी है। यानी पीड़ित के पास प्रतिक्रिया देने का समय उतना ही घट जाता है।
• ग्राहक खाता ही सबसे कमज़ोर कड़ी बन जाता है। अगर ऑपरेटर का ऑनलाइन अकाउंट कॉम्प्रोमाइज़ हो जाए (दोहराया गया पासवर्ड, डेटा लीक), तो बिना किसी इंसानी संपर्क के eSIM जनरेट की जा सकती है।
• QR कोड एक रहस्य है। एक्टिवेशन QR कोड की फ़ोटो खींच ली जाए, उसे फ़ॉरवर्ड कर दिया जाए या ई-मेल इनबॉक्स में इंटरसेप्ट कर लिया जाए — तो समझिए लाइन प्रोफ़ाइल थाल में परोस दी गई।

साफ़ शब्दों में: eSIM एक भौतिक हमले का रास्ता बंद करती है और एक डिजिटल रास्ते को और अहम बना देती है। सुरक्षा अब सिम ट्रे पर नहीं, बल्कि आपके ऑपरेटर अकाउंट की मज़बूती पर टिकी है।

वे चेतावनी संकेत जिन्हें कभी नज़रअंदाज़ न करें

SIM स्वैपिंग के लक्षण बहुत साफ़ पहचाने जा सकते हैं। इनमें से कोई भी दिखे, तो उसी मिनट कार्रवाई करें।

• आपके फ़ोन पर अचानक «कोई सेवा नहीं», «सिम प्रोविज़न नहीं है» या «नेटवर्क उपलब्ध नहीं» दिखने लगे, जबकि आसपास के डिवाइस ठीक चल रहे हों।
• आपको ऐसी SIM या eSIM ऑर्डर की पुष्टि वाला ई-मेल मिले जिसका आपने अनुरोध ही नहीं किया।
• आपको पोर्टेबिलिटी अनुरोध या आपके RIO कोड की जानकारी देने वाला SMS मिले।
• परिचित बताएँ कि आपके नंबर से अजीब संदेश आ रहे हैं।
• आपके खातों पर असामान्य लॉगिन प्रयास दिखें।

सबसे आसान जाँच: किसी दूसरे फ़ोन से अपने नंबर पर कॉल करके देखें। अगर कॉल नहीं लगती और आसपास नेटवर्क स्पष्ट रूप से उपलब्ध है, तो जब तक उल्टा साबित न हो, इसे सुरक्षा घटना ही मानें।

आपात स्थिति में प्रतिक्रिया: चेकलिस्ट

यहाँ समय ही निर्णायक कारक है। प्राथमिकताओं का क्रम इस प्रकार है।

1. अपने ऑपरेटर से संपर्क करें किसी दूसरी लाइन से (लैंडलाइन, किसी परिचित का फ़ोन) और लाइन को तुरंत ब्लॉक करने तथा हाल के किसी भी सिम या पोर्टेबिलिटी अनुरोध को रद्द करने की माँग करें।
2. अपने बैंक को सूचित करें और भुगतान रोकवाएँ। फ़्रांस में Perceval सेवा (गृह मंत्रालय का प्लेटफ़ॉर्म) बैंक कार्ड धोखाधड़ी की रिपोर्ट करने की सुविधा देती है।
3. अपने ई-मेल पर नियंत्रण वापस लें किसी कंप्यूटर से: पासवर्ड बदलें और SMS आधारित टू-फैक्टर ऑथेंटिकेशन की जगह ऑथेंटिकेटर ऐप का उपयोग करें।
4. शिकायत दर्ज कराएँ पुलिस थाने या जेंडरमेरी में। Cybermalveillance.gouv.fr पोर्टल सभी प्रक्रियाओं की जानकारी देता है और नज़दीकी सेवा प्रदाताओं तक पहुँचाता है।
5. धोखाधड़ी वाले SMS की रिपोर्ट करें 33700 पर, जो फ़्रांस में SMS स्पैम और धोखाधड़ी की रिपोर्टिंग की आधिकारिक व्यवस्था है।
6. सब कुछ दस्तावेज़ में रखें: स्क्रीनशॉट, समय, केस नंबर। ऑपरेटर की ओर से लापरवाही साबित करने में ये तत्व निर्णायक होंगे।

इसके अलावा, घर में सुरक्षित रखी गई एक ऑफ़लाइन सुरक्षित पासवर्ड डायरी उस समय आश्चर्यजनक रूप से कारगर लाइफ़बोट साबित होती है जब आपकी सारी डिजिटल पहुँच एक साथ ठप हो जाए।

सात वास्तव में कारगर एहतियाती उपाय

1. अपना ऑपरेटर अकाउंट सुरक्षित करें

यही बचाव की पहली पंक्ति है। यूनीक और लंबा पासवर्ड, ऑपरेटर अगर टू-फैक्टर ऑथेंटिकेशन देता है तो उसे चालू रखें, और सबसे ज़रूरी — कभी वही पासवर्ड न रखें जो आपके ई-मेल का है। कुछ ऑपरेटर एक गोपनीय कोड जोड़ने की सुविधा देते हैं जो हर संवेदनशील ऑपरेशन से पहले माँगा जाता है: इसे ज़रूर सक्रिय करें।

2. सिम का PIN कोड चालू रखें

सुविधा के चक्कर में कई उपयोगकर्ता इसे बंद कर देते हैं। जबकि यह कोड चोरी हुई सिम के तत्काल इस्तेमाल से बचाता है। और ऑपरेटर द्वारा दिया गया डिफ़ॉल्ट कोड (0000, 1234) ज़रूर बदलें।

3. जहाँ संभव हो, दूसरे फ़ैक्टर के रूप में SMS छोड़ दें

यह सबसे बुनियादी बदलाव है। अमेरिकी NIST अपनी प्रमाणीकरण संबंधी सिफ़ारिशों में शुरू से ही SMS को एक कमज़ोर कारक मानता है। इन्हें प्राथमिकता दें:

• एक ऑथेंटिकेटर ऐप (TOTP कोड);
• एक फ़िज़िकल FIDO2 सुरक्षा कुंजी, USB या NFC फ़ॉर्मैट में, अपने सबसे अहम खातों के लिए: नंबर हाईजैकिंग के ख़िलाफ़ यह आज सबसे मज़बूत सुरक्षा है, क्योंकि यह कुंजी दूर से ट्रांसफ़र नहीं की जा सकती;
• passkeys, जो अब व्यापक रूप से लागू हो चुकी हैं और पासवर्ड की ज़रूरत ही ख़त्म कर देती हैं।

4. अपने नंबरों को अलग-अलग रखें

सार्वजनिक रजिस्ट्रेशन, क्लासीफ़ाइड विज्ञापनों और ग़ैर-ज़रूरी सेवाओं के लिए एक सेकंडरी नंबर इस्तेमाल करने से आपकी मुख्य लाइन का जोखिम काफ़ी घट जाता है। बिना रजिस्ट्रेशन के ऑनलाइन SMS भेजने वाली सेवा का पूरा मक़सद भी यही है: हर छोटी-मोटी बातचीत के लिए अपना निजी नंबर हर जगह न बिखेरना।

5. अपने बैकअप कोड सुरक्षित रखें

हर गंभीर सेवा एक बार इस्तेमाल होने वाले रिकवरी कोड देती है। उन्हें प्रिंट करें और अपने फ़ोन से बाहर रखें। एक छोटा-सा दस्तावेज़ों के लिए फ़ायरप्रूफ़ सेफ़ दफ़्तर की दराज़ से कहीं ज़्यादा भरोसेमंद जगह है, ख़ासकर अगर आप उसमें अपने PUK कोड और सब्सक्रिप्शन अनुबंध भी रखते हों।

6. नेटवर्क और ऐप्स आपके बारे में कितना जानते हैं, उसे सीमित करें

जितनी कम जानकारी घूमेगी, सोशल इंजीनियरिंग के पास उतनी ही कम सामग्री होगी। अपनी प्रोफ़ाइलों पर सार्वजनिक रूप से दिखने वाले डेटा की जाँच करें, लॉक स्क्रीन पर SMS सामग्री का प्रीव्यू बंद करें, और अपने संदेशों तक पहुँच माँगने वाले ऐप्स से सावधान रहें।

7. ख़ुद सीखें, और अपने परिवार को भी सिखाएँ

सबसे ज़्यादा शिकार वे नहीं होते जो कम कनेक्टेड हैं, बल्कि वे होते हैं जो सोशल इंजीनियरिंग की तरकीबों से कम वाकिफ़ हैं। सेंटर टेबल पर पड़ी रोज़मर्रा की साइबर सुरक्षा पर एक अच्छी किताब अक्सर पूरे परिवार को लंबे-चौड़े भाषण से ज़्यादा सिखा देती है। ANSSI और Cybermalveillance.gouv.fr द्वारा मुफ़्त प्रकाशित गाइड भी शुरुआत के लिए बेहतरीन हैं।

और इस सबमें RCS कहाँ है?

iOS और Android के हालिया अपडेट से तेज़ हुआ SMS से RCS की ओर क्रमिक बदलाव मूल समस्या को बिल्कुल नहीं बदलता। RCS भी मुख्य पहचानकर्ता के रूप में फ़ोन नंबर से ही जुड़ा रहता है। RCS प्रोफ़ाइल लाइन पर दोबारा सक्रिय होती है, डिवाइस पर नहीं।

दूसरे शब्दों में: एंड-टू-एंड एन्क्रिप्टेड होने के बावजूद, कोई भी RCS बातचीत उस व्यक्ति के हाथ लग सकती है जिसके पास नंबर का नियंत्रण हो। एन्क्रिप्शन संदेश के ट्रांसपोर्ट की रक्षा करता है, लाइन धारक की वैधता की नहीं। यह बारीकी बेहद अहम है और अक्सर ग़लत समझी जाती है।

इससे एक सीधा सिद्धांत और मज़बूत होता है: आपकी मैसेजिंग की सुरक्षा आपके ऑपरेटर से शुरू होती है, आपके ऐप में शुरू होने से भी पहले।

फ़्रांसीसी कानूनी ढाँचा क्या कहता है

लाइन हाईजैकिंग कई आपराधिक श्रेणियों में आती है: पहचान की चोरी (दंड संहिता का अनुच्छेद 226-4-1), ठगी (अनुच्छेद 313-1), और स्वचालित डेटा प्रोसेसिंग सिस्टम तक धोखाधड़ीपूर्ण पहुँच (अनुच्छेद 323-1)।

ऑपरेटरों की ओर से, RGPD प्रोसेसिंग की सुरक्षा (अनुच्छेद 32) और डेटा उल्लंघनों की सूचना देने की बाध्यता तय करता है। इसके अलावा ARCEP पोर्टेबिलिटी प्रक्रियाओं और लागू समय-सीमाओं को नियंत्रित करता है। फ़्रांस और यूरोप के अन्य देशों में कई अदालती फ़ैसलों ने उन ऑपरेटरों की ज़िम्मेदारी तय की है जिन्होंने अनुरोधकर्ता की पहचान की पर्याप्त जाँच किए बिना सिम बदल दी थी।

व्यवहार में, इसलिए पीड़ित के पास वास्तविक कानूनी उपाय मौजूद हैं — बशर्ते उसने सबूत सुरक्षित रखे हों और तेज़ी से कार्रवाई की हो।

सारांश

SIM स्वैपिंग आधुनिक मैसेजिंग की एक असहज सच्चाई उजागर करता है: हमारी डिजिटल सुरक्षा एक ऐसे पहचानकर्ता पर टिकी है जिस पर हमारा पूरा नियंत्रण नहीं है, जिसे कोई तीसरा पक्ष प्रबंधित करता है, और जिसे महज़ एक अनुरोध पर ट्रांसफ़र किया जा सकता है।

याद रखने लायक तीन आदतें:

1. अपना ऑपरेटर अकाउंट मज़बूत करें — असली प्रवेश द्वार यही है।
2. अपने अहम प्रमाणीकरण से SMS हटाएँ — समर्पित ऐप या फ़िज़िकल कुंजी अपनाएँ।
3. नेटवर्क चले जाने को सुरक्षा अलर्ट की तरह लें, किसी तकनीकी ख़राबी की तरह नहीं।

SMS सरलता और सार्वभौमिकता के लिहाज़ से आज भी एक शानदार साधन है। लेकिन इसे कभी आपकी डिजिटल पहचान का रक्षक बनने के लिए नहीं बनाया गया था। 2026 में, यह जान लेना ही अपनी सुरक्षा की पहली सीढ़ी है।