ठगी वाले SMS की एक ऐसी श्रेणी है जिसके सामने सारी आम सलाहें बेअसर हो जाती हैं।
« भेजने वाले का नंबर जाँच लीजिए। » नंबर सही है। « देखिए कहीं संदेश किसी अनजान नंबर से तो नहीं आया। » वह अनजान नंबर से नहीं आया। « अपने बैंक के पिछले संदेशों से मिलान कीजिए। » वह आपके बैंक के पिछले संदेशों के ठीक नीचे ही है, उसी चैट में, उसी हेडर के साथ, उसी सेंडर नाम के साथ, उसी लेआउट में।
इस परिघटना का एक नाम है: सेंडर की नक़ल, यानी स्पूफ़िंग। यह कोई नई तकनीकी बात नहीं है — यह कमज़ोरी उतनी ही पुरानी है जितना व्यावसायिक SMS — लेकिन ठगी करने वाले गिरोहों द्वारा इसके औद्योगिक पैमाने पर इस्तेमाल ने, और AI से मैनिपुलेशन की स्क्रिप्टों के स्वचालन ने मिलकर, इसे फ़्रांस में फ़ोन के ज़रिए होने वाली बैंकिंग ठगी का नंबर एक ज़रिया बना दिया है।
और नक़ली पार्सल या नक़ली मेडिकल रिमाइंडर के उलट, इस तरह के संदेश को नंगी आँख से पकड़ा नहीं जा सकता। तरीक़ा ही बदलना पड़ेगा।
एक ठग सेंडर वाले खाने में « CreditMutuel » क्यों लिख सकता है
जब कोई कंपनी आपको SMS भेजती है, तो वह आम तौर पर फ़ोन नंबर का नहीं बल्कि एक अल्फ़ान्यूमेरिक पहचानकर्ता का इस्तेमाल करती है: « Ameli », « Colissimo », « SFR », « BNPPARIBAS »। तकनीकी भाषा में इस खाने को Sender ID कहते हैं और यह 1990 के दशक से GSM मानक में परिभाषित है।
समस्या एक वाक्य में समा जाती है: यह खाना केवल घोषणात्मक है।
मूल SMS प्रोटोकॉल में प्रमाणीकरण का ऐसा कोई तंत्र है ही नहीं जैसा हम ई-मेल के लिए जानते हैं (SPF, DKIM, DMARC)। भेजने वाला ज़्यादा से ज़्यादा ग्यारह अक्षरों की एक स्ट्रिंग भरता है, और नेटवर्क उसे जस का तस आपकी स्क्रीन तक पहुँचा देता है। मानक में कहीं भी यह जाँच नहीं होती कि « CAISSEEPARGNE » लिखने वाली संस्था सचमुच Caisse d'Épargne ही है।
किसी गंभीर फ़्रांसीसी ऑपरेटर पर और तथाकथित « प्रीमियम » रूट पर नियंत्रण मौजूद हैं: A2P (Application-to-Person) एग्रीगेटर एक अधिकार-पत्र माँगता है, आदेश देने वाले की पहचान जाँचता है, Sender ID दर्ज करता है। लेकिन SMS एक वैश्विक, आपस में जुड़ा हुआ नेटवर्क है। कोई संदेश किसी विदेशी ऑपरेटर से, सस्ते में ख़रीदे गए « ग्रे » रूट के ज़रिए डाला जा सकता है और नक़ली पहचानकर्ता के साथ फ़्रांस पहुँच सकता है। ठगी के प्लेटफ़ॉर्म ठीक यही करते हैं, जो अक्सर यूरोप के बाहर होस्ट किए जाते हैं और सब्सक्रिप्शन पर बेचे जाते हैं।
वह बारीकी जो स्पूफ़िंग को विनाशकारी बना देती है: चैट का एक साथ जुड़ना
मामला गंभीर स्मार्टफ़ोन की तरफ़ होता है।
iOS और Android, दोनों बातचीत को सेंडर पहचानकर्ता के आधार पर समूहबद्ध करते हैं, न कि तकनीकी रूट या किसी प्रमाणपत्र के आधार पर। अगर आपका बैंक आपको « MABANQUE » से लिखता है और कोई ठग बिल्कुल वही स्ट्रिंग डालकर संदेश भेजता है, तो दोनों एक ही बातचीत में आ गिरते हैं।
तब फ़र्ज़ी संदेश को वह सारा भरोसा विरासत में मिल जाता है जो अब तक जमा हुआ था:
- वह आपके असली वेरिफ़िकेशन कोड के नीचे दिखता है;
- वह आपके वैध आदान-प्रदान का दिखने वाला इतिहास साझा करता है;
- उसे संदर्भ का फ़ायदा मिलता है (« हाँ, यह तो मेरे बैंक की ही चैट है »);
- वह अनजान नंबरों पर आधारित एंटी-स्पैम फ़िल्टरों से बच निकलता है।
कोई भी दृश्य सतर्कता इसकी भरपाई नहीं कर सकती। यह ढाँचागत समस्या है।
2026 का आम परिदृश्य: SMS तो बस शुरुआत है
यह सोचना ग़लती होगी कि संदेश का मक़सद आपसे किसी लिंक पर क्लिक करवाना है। अब अक्सर उसमें कोई लिंक होता ही नहीं — और इसी से स्वचालित फ़िल्टर और सुरक्षा चेतावनियाँ चकमा खा जाती हैं।
प्रमुख ढर्रा यह है:
- चेतावनी वाला SMS। « [दुकान] पर 749 € के भुगतान की कोशिश पकड़ी गई। अगर यह लेन-देन आपने नहीं किया है, तो 09 XX XX XX XX पर संपर्क करें। » यह बैंक की असली चैट में दिखता है।
- कॉल। या तो आप दिया गया नंबर मिलाते हैं, या — ज़्यादा आक्रामक रूप में — कुछ ही मिनटों में कोई « सलाहकार » आपको फ़ोन करता है, और उसका दिखने वाला नंबर भी नक़ली होता है (स्पूफ़िंग वॉइस टेलीफ़ोनी में भी होती है)।
- मैनिपुलेशन। सामने वाला आपका नाम जानता है, कभी-कभी आपकी हाल की ख़रीदारी, आपकी शाखा भी। वह शांत है, पेशेवर है, वह आपको जल्दबाज़ी न करने की सलाह देता है। वह आपसे फ़र्ज़ी लेन-देन को « ब्लॉक » करने को कहता है।
- कब्ज़ा। वह आपसे बैंकिंग ऐप में कोई ऑपरेशन मंज़ूर करवाता है, SMS से मिला कोड बुलवाता है, या आपके खाते पर कोई नया डिवाइस जुड़वाता है। ट्रांसफ़र की अनुमति आप ख़ुद देते हैं।
यही « नक़ली बैंक सलाहकार » वाली ठगी है, जिसे Banque de France और Observatoire de la sécurité des moyens de paiement हर साल प्रति पीड़ित सबसे महँगी ठगियों में से एक के रूप में दर्ज करते हैं। स्पूफ़ किया गया SMS ठगी नहीं है: वह वह चाबी है जो दरवाज़ा खोलती है।
जो नियम इनमें से 90 % परिदृश्यों से बचा लेता है, वह एक वाक्य में है: कोई भी बैंक आपसे कभी भी फ़ोन कॉल के दौरान कोड बोलकर या नोटिफ़िकेशन कन्फ़र्म करके किसी लेन-देन को मंज़ूर, रद्द या « ब्लॉक » करने को नहीं कहेगा। कोई भी वेरिफ़िकेशन सिर्फ़ अनुमति देने के काम आता है, रद्द करने के कभी नहीं।
फ़्रांस ने क्या व्यवस्था बनाई है (और उसकी सीमाएँ)
आम धारणा के उलट, नियामक ने इस विषय की अनदेखी नहीं की है।
30 मई 2023 का क़ानून, जो टेलीफ़ोन मार्केटिंग में धोखाधड़ी और दुरुपयोग से लड़ने के लिए बना, उसने नंबरों के प्रमाणीकरण तंत्र का सिद्धांत तय किया। इसके बाद Arcep ने MAN (Mécanisme d'Authentification des Numéros) नाम का तकनीकी रेफ़रेंशियल प्रकाशित किया, जो अक्टूबर 2024 से चरणबद्ध रूप से लागू हुआ — पहले लैंडलाइन नंबरों के लिए, फिर मोबाइल नंबरों के लिए।
सिद्धांत यह है: किसी फ़्रांसीसी ऑपरेटर को यह जाँचना होगा कि फ़्रांसीसी नंबर के साथ आने वाली कॉल या संदेश सचमुच उस नंबर के वैध उपयोगकर्ता से आया है। ऐसा न होने पर ट्रैफ़िक काट दिया जाना चाहिए। नक़ली फ़्रांसीसी भौगोलिक नंबर दिखाने वाली फ़र्ज़ी कॉलों पर नतीजे वाक़ई दिखे हैं।
लेकिन ईमानदारी से यह भी कहना होगा कि यह व्यवस्था किन चीज़ों का हल नहीं करती:
| स्थिति | क्या MAN के दायरे में है? |
|---|---|
| नक़ली फ़्रांसीसी 01/09 नंबर दिखाने वाली कॉल | हाँ, काफ़ी हद तक छँट जाती है |
| नक़ली फ़्रांसीसी मोबाइल नंबर दिखाने वाली कॉल | हाँ, व्यवस्था के विस्तार के बाद से |
| नक़ली फ़्रांसीसी नंबर वाला SMS | आंशिक रूप से |
| नक़ली अल्फ़ान्यूमेरिक Sender ID वाला SMS | नहीं, सीधे दायरे से बाहर |
| ब्रांड पहचानकर्ता के साथ विदेश से डाला गया SMS | पहुँचने वाले ऑपरेटर के फ़िल्टरों पर निर्भर |
समानांतर में, Fédération française des télécoms और ऑपरेटरों ने संरक्षित अल्फ़ान्यूमेरिक पहचानकर्ताओं की सूचियाँ बनाई हैं: कोई ब्रांड अपना Sender ID दर्ज कराता है, और ऑपरेटर उन विदेशी संदेशों को रोक देते हैं जो उसकी नक़ल करने की कोशिश करते हैं। यह व्यवस्था काम करती है — पर यह कंपनियों की स्वेच्छा पर टिकी है और उन हज़ारों ब्रांडों को कवर नहीं करती जो दर्ज नहीं हैं, न ही वर्तनी के फेरबदल को (« MA-BANQUE », « MABANQUE1 »)।
यानी: हालात सुधर रहे हैं, समस्या सुलझी नहीं है।
जाँच का वह तरीक़ा जो सचमुच काम करता है, तीन चरणों में
चूँकि आँखों से निरीक्षण बेकार है, इसलिए चैनल से बाहर जाकर जाँच के तर्क पर आना होगा। सिद्धांत सीधा है: किसी सूचना की पुष्टि कभी उसी चैनल में मत कीजिए जो उसे लाया है।
1. कार्रवाई रोकिए, सोचना नहीं
ये सारे परिदृश्य कृत्रिम जल्दबाज़ी पर टिके हैं। रक़म बड़ी है, समय कम है, सामने वाला तनाव पैदा करता है। इसका जवाब यांत्रिक है: बैंकिंग से जुड़ा कोई भी फ़ैसला पाँच मिनट में नहीं होता। बैंक द्वारा पकड़े गए किसी भी फ़र्ज़ी लेन-देन के लिए फ़ोन पर आपके तुरंत हस्तक्षेप की ज़रूरत नहीं होती; रोक लगाने की प्रक्रियाएँ मौजूद हैं और बाद में भी काम करती हैं।
2. फ़ोन काटिए और ख़ुद वापस कॉल कीजिए
जो नंबर मिलाना है वह कभी भी संदेश में दिया गया या स्क्रीन पर दिखा हुआ नंबर नहीं होता। वह वही है जो आपके बैंक कार्ड के पीछे या आपके आधिकारिक ऐप में लिखा है। एक अहम बात, जिसे अक्सर नज़रअंदाज़ किया जाता है: पुरानी लैंडलाइनों पर ठग लाइन खुली रखकर वापस कॉल का नाटक कर सकता था। मोबाइल पर यह ख़तरा लगभग नहीं है, फिर भी नंबर मिलाने से पहले कुछ सेकंड रुक जाइए।
जो लोग कई खाते या कई कार्ड संभालते हैं, उनके लिए रोक लगाने वाले नंबर फ़ोन के बाहर लिखकर रखना सबसे मज़बूत उपाय है: डेस्क के पास रखी एक साधारण टेलीफ़ोन डायरी, या बटुए में रखा लैमिनेटेड कार्ड, उस नोट से बेहतर है जो चोरी या हैक हो सकने वाले स्मार्टफ़ोन में कहीं खो जाए।
3. ऐप में जाँचिए, कभी किसी लिंक से नहीं
अपना बैंकिंग ऐप आइकन से खोलिए, SMS से नहीं। अगर कोई संदिग्ध लेन-देन है तो वह वहाँ दिखेगा। अगर कुछ नहीं दिखता, तो संदेश फ़र्ज़ी है। इस जाँच में बीस सेकंड लगते हैं और यह अधिकांश कोशिशों को बेअसर कर देती है।
हमले की सतह पहले से ही कम कीजिए
स्पूफ़िंग तब और कारगर होती है जब ठग आपके बारे में ज़्यादा जानता हो। « आपका कार्ड जो 4412 पर ख़त्म होता है » जैसा संदेश कोई जादू नहीं है: ग्राहक डेटाबेस लीक होने के बाद ये आँकड़े घूमते रहते हैं। कुछ उपाय इस जोखिम को सीमित करते हैं।
अपना मुख्य नंबर अलग रखिए। व्यावसायिक साइन-अप, डिलीवरी और क्लासिफ़ाइड विज्ञापनों के लिए एक दूसरी लाइन — प्रीपेड कार्ड या सेकंडरी eSIM — इस्तेमाल करने से आपकी बैंकिंग लाइन पर आने वाले लक्षित फ़र्ज़ी संदेशों की संख्या काफ़ी घट जाती है। डुअल-SIM फ़ोन अब आम हो चुके हैं और इस बदलाव को आसान बना देते हैं।
प्रमाणीकरण को SMS से बाहर ले जाइए। SMS वाला वन-टाइम कोड सबसे कमज़ोर कड़ी बना हुआ है: उसे रोका जा सकता है, बहला-फुसलाकर हासिल किया जा सकता है, और वह SIM स्वैपिंग के आगे असुरक्षित है। जहाँ सेवा इसकी इजाज़त दे, वहाँ टू-फ़ैक्टर ऑथेंटिकेशन ऐप, या सबसे संवेदनशील खातों (मुख्य ई-मेल, पासवर्ड मैनेजर) के लिए FIDO2 फ़िज़िकल सिक्योरिटी की सुरक्षा का स्तर पूरी तरह बदल देती है। हार्डवेयर की को फ़ोन पर किसी नक़ली सलाहकार को बोलकर नहीं बताया जा सकता।
दोहराए गए पासवर्ड से बचिए। नक़ली सलाहकार वाला परिदृश्य तब कहीं ज़्यादा विश्वसनीय हो जाता है जब ठग के पास पहले से किसी शॉपिंग अकाउंट की पहुँच हो। एक पासवर्ड मैनेजर, उसके मुफ़्त संस्करणों समेत, इस कड़ी को तोड़ देता है। जिन्हें काग़ज़ पसंद है, उनके लिए घर पर ताले में रखी पासवर्ड डायरी कीबोर्ड के नीचे चिपके पोस्ट-इट से कहीं बेहतर है।
हमेशा रिपोर्ट कीजिए। 33700 अनचाहे SMS और कॉल की रिपोर्ट करने की राष्ट्रीय सेवा है, जिसे फ़्रांसीसी ऑपरेटर चलाते हैं। संदेश को 33700 पर फ़ॉरवर्ड कीजिए, और पूछे जाने पर भेजने वाले का नंबर जवाब में भेजिए। यह मुफ़्त है और यही ब्लॉकिंग सूचियों को समृद्ध करता है। इसके साथ, Cybermalveillance.gouv.fr प्लेटफ़ॉर्म आगे की कार्रवाई की राह दिखाता है और service-public.fr पर मौजूद Perceval बैंक कार्ड के फ़र्ज़ी इस्तेमाल की रिपोर्ट करने देता है।
क्या RCS से हालात बदलते हैं?
यही इस दौर की असली अच्छी ख़बर है। RCS (Rich Communication Services), जो SMS का उत्तराधिकारी है और ऑपरेटरों द्वारा तैनात किया गया है तथा अब iOS और Android दोनों पर समर्थित है, उसमें एक ऐसी अवधारणा है जो SMS में नहीं थी: सत्यापित प्रेषक।
RCS Business Messaging के तहत, किसी कंपनी को अपनी पहचान किसी मान्यता प्राप्त एग्रीगेटर से सत्यापित करानी होती है। तब संदेश एक लोगो, एक सत्यापित नाम और मैसेजिंग ऐप द्वारा दिखाए गए वेरिफ़िकेशन बैज के साथ आता है। इसके अलावा Google Messages ने 2025 और 2026 में ठगी की स्वचालित पहचान को और मज़बूत किया है, जिसमें संदिग्ध संदेशों का वर्गीकरण डिवाइस पर ही स्थानीय रूप से होता है।
फिर भी दो बारीकियाँ हैं:
- दोनों का साथ-साथ चलना एक धूसर क्षेत्र बनाता है। जब तक क्लासिक SMS एक विकल्प के तौर पर मौजूद है, कोई ठग ठीक इसी असत्यापित चैनल को निशाना बना सकता है। कोई असत्यापित संदेश ज़रूरी नहीं कि फ़र्ज़ी हो — कई छोटी-मझोली कंपनियाँ अब तक नहीं बदली हैं — लेकिन सत्यापित संदेश ठोस गारंटी ज़रूर है।
- बैज पहचान की रक्षा करता है, सामग्री की नहीं। कोई वैध ब्रांड भी आक्रामक अभियान भेज सकता है; उलटे, बैंकिंग जैसी दिखने वाली किसी संदेश पर बैज का न होना अब अपने आप में एक चेतावनी संकेत माना जाना चाहिए।
तो अपनाने लायक़ आदत सीधी है: पैसे से जुड़े किसी भी संदेश पर बैज खोजिए। अगर वह नहीं है, तो बिना किसी अपवाद के चैनल से बाहर जाकर जाँच की प्रक्रिया अपनाइए।
याद रखने लायक़ बातें
- SMS का सेंडर खाना घोषणात्मक है: उसकी नक़ल की जा सकती है, और तब फ़र्ज़ी संदेश आपके बैंक की असली चैट में जाकर बैठ जाता है।
- इस ख़ास मामले में आँखों से निरीक्षण किसी काम का नहीं। केवल चैनल से बाहर जाकर जाँच ही बचाती है।
- नंबरों के प्रमाणीकरण की फ़्रांसीसी व्यवस्था (Arcep का MAN रेफ़रेंशियल) ने फ़्रांसीसी नंबरों की नक़ल करने वाली कॉलों को बहुत घटाया है, लेकिन वह अल्फ़ान्यूमेरिक पहचानकर्ताओं को कवर नहीं करती।
- कोई भी बैंक कॉल के दौरान कुछ भी मंज़ूर करने, बोलकर बताने या पुष्टि करने को नहीं कहता।
- सत्यापित प्रेषक वाला RCS इस समस्या का पहला ढाँचागत जवाब है; उसे पूरी तरह अपनाने में अभी समय लगेगा।
SMS को 1992 में इंजीनियरों के बीच एक तकनीकी सेवा चैनल के रूप में बनाया गया था। चौंतीस साल बाद वह हमारे बैंक खातों का प्रवेश-द्वार बन गया है — बिना कभी उसके अनुरूप प्रमाणीकरण तंत्र पाए। जब तक यह खाई नहीं भरती, सबसे अच्छी सुरक्षा एक बेहद मानवीय आदत ही है: जाँचने के लिए चैनल से बाहर निकलना।
