वर्षों से, धोखाधड़ी वाले SMS के खिलाफ़ लड़ाई एक सरल धारणा पर टिकी रही है: ठगी वाले SMS को कहीं न कहीं से तो गुज़रना ही पड़ेगा। किसी भेजने वाले प्लेटफ़ॉर्म से, किसी एग्रीगेटर से, किसी ऑपरेटर से। और अगर कोई संदेश किसी पाइप से गुज़रता है, तो उसे फ़िल्टर किया जा सकता है, ब्लॉक किया जा सकता है, और भेजने वाले तक पहुँचा जा सकता है।
2026 में यह धारणा ढह रही है। ठगी की एक नई पीढ़ी अब किसी भी पाइप का इस्तेमाल नहीं करती। संदेश Orange, SFR, Bouygues या Free से नहीं आता। वह किसी भी ऑपरेटर से नहीं आता। वह सीधे हवा में प्रसारित होता है, एक ऐसे बॉक्स से जो किसी चलती या आपसे पचास मीटर दूर खड़ी कार की डिक्की में रखा है।
इसी को SMS Blaster कहा जाता है — कभी-कभी "नकली रिले", "fake base station", या खुफ़िया सेवाओं की पुरानी शब्दावली में, IMSI catcher का चचेरा भाई। और मुख्य समस्या यही है: आपका ऑपरेटर उस संदेश को फ़िल्टर नहीं कर सकता जिसे उसने कभी गुज़रते देखा ही नहीं।
SMS Blaster असल में है क्या
मोबाइल फ़ोन कोई शक्की उपकरण नहीं होता। इसका मूल तर्क, जो 1990 के दशक के शुरुआती GSM मानकों से विरासत में मिला है, यही है कि वह उस एंटीना से जुड़ जाए जो सबसे अच्छा सिग्नल देता है। वह उस एंटीना से कोई प्रमाण नहीं माँगता। नेटवर्क की सबसे पुरानी पीढ़ियों में — खासकर 2G में — प्रमाणीकरण एकतरफ़ा होता है: नेटवर्क जाँचता है कि आपका SIM कार्ड वैध है, लेकिन आपका फ़ोन यह नहीं जाँचता कि एंटीना वैध है या नहीं।
SMS Blaster ठीक इसी डिज़ाइन की खामी का फ़ायदा उठाता है। यह उपकरण एक स्पोर्ट्स बैग या सख़्त सूटकेस में समा जाता है: एक सॉफ़्टवेयर-डिफ़ाइंड रेडियो, एक एम्प्लीफ़ायर, एक बैटरी, और कभी-कभी पूरे सेटअप को नियंत्रित करने के लिए एक साधारण लैपटॉप। यह खुद को एक मोबाइल टावर बताकर पेश करता है, आसपास के फ़ोनों को 4G या 5G छोड़कर 2G पर लौटने के लिए मजबूर करता है, और फिर सीधे उनमें एक SMS डाल देता है।
इसका दायरा शक्ति और परिवेश के अनुसार बदलता है — घनी शहरी इलाकों में आम तौर पर कुछ दसियों से लेकर कुछ सौ मीटर तक। किसी व्यावसायिक सड़क, एलिवेटेड मेट्रो लाइन या जाम में फँसी सड़क पर धीरे-धीरे चलते हुए, एक ही उपकरण एक घंटे में कई हज़ार फ़ोनों तक पहुँच सकता है।
सबसे अहम बात: इस तरह प्रसारित SMS का ऑपरेटर के सिस्टम में कोई अस्तित्व ही नहीं होता। वह किसी बिलिंग लॉग में, किसी निगरानी प्लेटफ़ॉर्म में, किसी एंटी-स्पैम टूल में नहीं दिखता। नेटवर्क के लिए यह संदेश कभी भेजा ही नहीं गया।
यहाँ आम बचाव क्यों बेकार हो जाते हैं
फ़्रांसीसी ऑपरेटरों ने हाल के वर्षों में अपने हथियारों को काफ़ी मज़बूत किया है। 33700 व्यवस्था, जिसे Association Française du Multimédia Mobile संचालित करती है, अवांछित SMS की शिकायत करने और दुरुपयोग करने वाले नंबरों को बंद करवाने की सुविधा देती है। नेटवर्क फ़िल्टर बड़े पैमाने पर भेजे गए संदेशों, ब्लैकलिस्टेड URL और दोहराए जाने वाले पैटर्न का पता लगाते हैं। MAN (Mécanisme d'Authentification des Numéros) मानक ने कॉलिंग नंबरों की नकल करना बहुत मुश्किल बना दिया है।
ये सभी तंत्र एक ही पूर्वधारणा साझा करते हैं: संदेश किसी निगरानी वाले ढाँचे से होकर गुज़रता है। SMS Blaster इस पूर्वधारणा को ही उड़ा देता है।
| पारंपरिक बचाव | SMS Blaster के सामने प्रभावशीलता |
|---|---|
| ऑपरेटर का एंटी-स्पैम फ़िल्टरिंग | शून्य — संदेश नेटवर्क से गुज़रता ही नहीं |
| 33700 पर शिकायत | जाँच के लिए उपयोगी, पर बंद करने को कोई नंबर ही नहीं |
| भेजने वाले नंबर को ब्लॉक करना | शून्य — भेजने वाला एक मनमाना नाम मात्र है |
| बड़े पैमाने पर भेजने का पता लगाना | शून्य — ऑपरेटर की ओर कोई वॉल्यूम दिखता ही नहीं |
| मोबाइल पर एंटी-स्पैम ऐप | आंशिक — सामग्री और URL पर निर्भर |
एक और, और भी ज़्यादा खतरनाक नतीजा: दिखने वाला प्रेषक पूरी तरह हमलावर द्वारा चुना जाता है। वह किसी बैंक का नाम, किसी सरकारी विभाग का नाम, या कोई जाना-पहचाना शॉर्ट कोड हो सकता है। कुछ फ़ोनों पर, अगर यह नाम आपकी बातचीत में पहले से मौजूद किसी वैध प्रेषक के नाम से हूबहू मेल खाता है, तो धोखाधड़ी वाला संदेश मौजूदा चैट थ्रेड में ही आकर बैठ सकता है — आपके बैंक या पेंशन फ़ंड के असली संदेशों के ठीक नीचे। प्रेषक-नाम के आधार पर संदेशों को एक साथ जोड़ने का यही तंत्र हाल की उन लहरों की व्याख्या करता है जिनमें फ़र्ज़ी SMS सरकारी संस्थाओं का सटीक नाम दिखा रहे थे।
इन संदेशों में क्या होता है
सामग्री सामान्य स्मिशिंग से मूल रूप से अलग नहीं होती — बदलता सिर्फ़ माध्यम है। बेदाग़ फ़्रेंच में लिखे वही जाने-पहचाने पैटर्न मिलते हैं:
- अटका हुआ पार्सल: 1,79 € का कस्टम शुल्क तुरंत चुकाना है, साथ में एक नकली भुगतान पेज का लिंक।
- फ़र्ज़ी बैंक संदेश: "749 € का एक लेनदेन शुरू किया गया है। अगर यह आपने नहीं किया, तो यहाँ क्लिक करें।"
- सरकारी विभाग: बकाया जुर्माना, Carte Vitale का अपडेट, बीमा से रीइम्बर्समेंट, पेंशन खाते का नियमन।
- टोल या पार्किंग सेवा: खासकर तब बेहद कारगर जब ब्लास्टर किसी सड़क मार्ग के किनारे-किनारे चल रहा हो।
- फ़र्ज़ी वेरिफ़िकेशन कोड और उसके बाद एक कॉल: "नमस्ते, हम आपके बैंक की एंटी-फ़्रॉड सेवा से बोल रहे हैं, आपके खाते पर एक कोशिश दिख रही है।"
भावनात्मक ट्रिगर हमेशा एक ही होता है: वित्तीय या प्रशासनिक आपात स्थिति, और उसके साथ चौबीस घंटे से कम समय में की जाने वाली कोई कार्रवाई।
यह तकनीक क्यों फैली
तीन कारक एक साथ जुड़ गए।
उपकरण सस्ता हो गया है। प्रोग्राम करने योग्य सॉफ़्टवेयर-डिफ़ाइंड रेडियो, जो शुरू में शोध और हैम रेडियो के औज़ार थे, आज कुछ सौ यूरो में मिल जाते हैं। इन्हें गलत इस्तेमाल में मोड़ने की जानकारी बंद समुदायों में, तैयार किट के रूप में घूमती है।
सीमांत लागत शून्य है। किसी ऑपरेटर के ज़रिए SMS भेजने में पैसा लगता है और लेखा-जोखा में निशान छूटता है। ब्लास्टर से एक लाख संदेश प्रसारित करने में सिर्फ़ बिजली का खर्च आता है। इससे ठगी का पूरा आर्थिक मॉडल ही बदल जाता है: अब न बेनामी खातों की ज़रूरत, न SIM box की, न मिलीभगत वाले एग्रीगेटरों की।
ट्रेस करना लगभग नामुमकिन है। उपकरण का कोई सब्सक्रिप्शन नहीं, कोई इस्तेमाल लायक नेटवर्क पहचानकर्ता नहीं, कोई IP पता नहीं। उसे बेअसर करने का एकमात्र तरीका है उसे भौतिक रूप से ढूँढ़ना — यानी रेडियो-दिशा-निर्धारण का काम, जिसमें समय, उपकरण और ANFR (Agence nationale des fréquences), ऑपरेटरों और कानून-प्रवर्तन के बीच तालमेल चाहिए। ऐसे अभियान होते हैं और सफल भी होते हैं, लेकिन उनके लिए पहले किसी का इस गड़बड़ी की सूचना देना ज़रूरी है।
वैसे यह भी याद रखें कि फ़्रांस में ऐसे उपकरण का इस्तेमाल आपराधिक रूप से बेहद गंभीर है: बिना अनुमति आवंटित फ़्रीक्वेंसी पर प्रसारण, इलेक्ट्रॉनिक संचार नेटवर्क के संचालन में बाधा, संगठित गिरोह द्वारा धोखाधड़ी। इसके लिए सज़ा वर्षों की जेल में गिनी जाती है।
वे सेटिंग्स जो वाकई फ़र्क डालती हैं
"एंटी-SMS Blaster" नाम का कोई बटन नहीं है। लेकिन एक उपाय ऐसा है जिसका असर सीधा और मापने योग्य है: 2G बंद कर देना।
चूँकि यह हमला फ़ोन को ज़बरदस्ती ऐसे प्रोटोकॉल पर लौटाने पर टिका है जहाँ एंटीना को अपनी पहचान साबित करने की ज़रूरत नहीं होती, इसलिए जो फ़ोन 2G को साफ़ तौर पर नकार देता है, उसे फँसाना कहीं ज़्यादा मुश्किल हो जाता है।
Android पर
Android के अधिकांश नए संस्करणों में इसके लिए एक अलग स्विच होता है। रास्ता निर्माता के हिसाब से बदलता है, पर आम तौर पर कुछ ऐसा होता है: सेटिंग्स → नेटवर्क और इंटरनेट → SIM कार्ड → SIM चुनें → "2G की अनुमति दें", जिसे बंद करना है। कुछ निर्माता यह विकल्प "सुरक्षा और गोपनीयता" मेन्यू में रखते हैं।
Android सबसे नए संस्करणों में एक नेटवर्क सुरक्षा मोड भी देता है, जो बिना एन्क्रिप्शन वाले कनेक्शन को अस्वीकार करता है और फ़ोन द्वारा असामान्य व्यवहार वाले बेस स्टेशन का पता लगाने पर चेतावनी दे सकता है। अगर आपके उपकरण में यह उपलब्ध है, तो इसे चालू कर दें।
iPhone पर
iOS में सिर्फ़ 2G के लिए अलग स्विच नहीं होता। बदले में, Mode Isolement (सेटिंग्स → गोपनीयता और सुरक्षा → Mode Isolement) खासतौर पर असुरक्षित सेल्युलर नेटवर्क पर लौटने की सुविधा बंद कर देता है। यह एक प्रतिबंधात्मक मोड है, जो जोखिम वाले लोगों — पत्रकारों, वकीलों, जनप्रतिनिधियों — के लिए बनाया गया है और रोज़मर्रा के कुछ कामों को सीमित कर देता है। अधिकांश उपयोगकर्ताओं के लिए इसे रोज़ाना इस्तेमाल करने की सलाह नहीं दी जाती, लेकिन जोखिम वाली परिस्थिति में इसे कुछ समय के लिए चालू किया जा सकता है।
बाकी उपयोगी सेटिंग्स
- अनजान प्रेषकों की फ़िल्टरिंग चालू करें (iOS: सेटिंग्स → ऐप्लिकेशन → Messages; Android: Messages → सेटिंग्स → स्पैम से सुरक्षा)।
- App Store या Play Store के बाहर से ऐप इंस्टॉल करने से हमेशा इनकार करें। यही हमले के दूसरे चरण का मुख्य प्रवेश द्वार है।
- जाँचें कि आपके संवेदनशील खातों का दो-चरणीय प्रमाणीकरण सिर्फ़ SMS पर निर्भर न हो। कोई ऑथेंटिकेशन ऐप, या उससे भी बेहतर, एक भौतिक FIDO2 सुरक्षा कुंजी, पूरी शृंखला को वहीं तोड़ देती है: आपके लॉगिन विवरण हासिल कर लेने के बाद भी हमलावर अटका रह जाता है।
वैसे नेटवर्क कवरेज पर एक बात: जिन इलाकों में 4G सिग्नल कमज़ोर होता है, वहाँ आपका फ़ोन अपने आप 2G पर लौट आता है — जिससे आप ज़्यादा असुरक्षित हो जाते हैं। अगर आप आंशिक रूप से नेटवर्कविहीन क्षेत्र में रहते हैं, तो ARCEP द्वारा अनुमोदित मोबाइल सिग्नल रिपीटर, नियमों के अनुसार लगाया गया, इस लगातार होने वाले स्विच को कम करता है। ध्यान दें: फ़्रांस में केवल स्वीकृत और घोषित मॉडल ही कानूनी हैं।
कैसे पहचानें कि आप अभी-अभी निशाना बने हैं
कुछ संकेत, जो अलग-अलग देखने पर मामूली लगते हैं, मिलकर मायने रखने लगते हैं:
- आपका फ़ोन अचानक 2G या "E" पर चला जाता है, जबकि आप शहर के बीचोंबीच ऐसे इलाके में हैं जहाँ कवरेज आम तौर पर अच्छी है।
- कुछ सेकंड के लिए नेटवर्क चला जाता है, और दोबारा जुड़ने के तुरंत बाद एक SMS आ जाता है।
- यह संदेश आपके ऑपरेटर खाते के इतिहास में कहीं दर्ज नहीं होता।
- आपके आसपास के कई लोग — उसी डिब्बे में, उसी हॉल में, उसी कतार में — ठीक उसी वक़्त वही संदेश पाते हैं।
- दिखने वाला प्रेषक पूरी तरह वैध लगता है, लेकिन लिंक आधिकारिक डोमेन से थोड़े अलग डोमेन पर ले जाता है।
आखिरी बिंदु एक स्थायी आदत का हक़दार है: कभी भी SMS को उसके दिखने वाले प्रेषक से मत आँकिए, हमेशा उससे माँगी गई कार्रवाई से आँकिए। कोई सरकारी संस्था आपसे SMS के ज़रिए आपके पूरे बैंक विवरण कभी नहीं माँगती। Ameli अपनी वेबसाइट पर इसे साफ़-साफ़ दोहराता है: Assurance Maladie कभी भी संदेश के ज़रिए बैंक विवरण या सामाजिक सुरक्षा नंबर नहीं माँगती।
तीन चरणों में सही प्रतिक्रिया
क्लिक न करें। बात सामान्य लगती है, लेकिन यही वह एकमात्र बिंदु है जो पूरी तरह आपके हाथ में है। बिना पढ़ा SMS कुछ नहीं करता। पढ़ा हुआ SMS भी कुछ नहीं करता। सिर्फ़ क्लिक ही आगे की शृंखला शुरू करता है।
अपने चुने हुए माध्यम से पुष्टि करें। संदेश में दिए नंबर से नहीं, लिंक से नहीं: खुद हाथ से खोला गया अपना बैंकिंग ऐप, अपने कार्ड के पीछे छपा नंबर, ब्राउज़र में खुद टाइप की गई आधिकारिक वेबसाइट।
शिकायत करें। संदेश को 33700 पर फ़ॉरवर्ड करें (मुफ़्त, सभी ऑपरेटरों पर) और नुकसान होने की स्थिति में, समर्पित ऑनलाइन सेवा के ज़रिए शिकायत दर्ज करें। Cybermalveillance.gouv.fr पोर्टल सही लोगों तक मार्गदर्शन करता है और स्पष्ट कार्रवाई-पत्रक उपलब्ध कराता है। भले ही कोई काम का प्रेषक न मिले, ये शिकायतें उन आँकड़ों को समृद्ध करती हैं जिनके आधार पर ANFR के लोकेशन अभियान शुरू होते हैं।
अगर नुकसान हो ही गया
क्लिक हो चुका है, लॉगिन विवरण दर्ज हो चुके हैं। अब भी कार्रवाई की एक खिड़की बची है, और वह छोटी है।
- तुरंत रोक लगवाएँ अपने बैंक के पास, और फिर 0 892 705 705 पर कार्ड ब्लॉक करने की अंतर-बैंक सेवा के ज़रिए।
- संबंधित खातों के पासवर्ड बदलें, किसी दूसरे उपकरण से — किसी कंप्यूटर से, अगर आपको शक हो कि फ़ोन समझौता हो चुका है। एक पासवर्ड मैनेजर साथ ही उन खातों के शृंखलाबद्ध संक्रमण से भी बचाता है जो एक ही पासवर्ड साझा करते हैं।
- अपने कॉल फ़ॉरवर्डिंग और SMS ट्रांसफ़र नियम जाँचें। एक आम तरकीब यह है कि चुपचाप कोई फ़ॉरवर्डिंग चालू कर दी जाए ताकि वेरिफ़िकेशन कोड पकड़े जा सकें।
- सब कुछ दर्ज करें: संदेश, नंबर और समय के टाइमस्टैम्प वाले स्क्रीनशॉट। यही सामग्री शिकायत दर्ज कराते समय और बैंक से रीइम्बर्समेंट की माँग करते समय — जो Code monétaire et financier के अनुच्छेद L.133-18 और उसके आगे के अनुच्छेदों से नियंत्रित होती है — निर्णायक साबित होगी।
अगर आप किसी ऐसे परिजन की मदद कर रहे हैं जो इन आदतों में सहज नहीं है, तो रोज़मर्रा की साइबर सुरक्षा पर एक व्यावहारिक गाइड, लिविंग रूम की मेज़ पर रखी हुई, अक्सर लंबे भाषण से ज़्यादा काम करती है: इससे विषय पर बार-बार लौटा जा सकता है, बिना इसे उपदेश की तरह महसूस किए।
आने वाले वर्षों में क्या बदलेगा
अच्छी खबर यह है कि यह तकनीकी माध्यम खत्म होने की राह पर है। फ़्रांसीसी ऑपरेटरों के यहाँ 2G आधिकारिक रूप से बंद की जा रही है — Orange और SFR ने अपनी बंदी की समयसीमा तय कर दी है, बाकी भी पीछे-पीछे हैं। जिस दिन चलन में मौजूद कोई भी फ़ोन 2G पर नहीं लौट सकेगा, इस खास किस्म के हमले का ज़्यादातर मैदान छिन जाएगा।
बुरी खबर यह है कि शोधकर्ता पहले से ही 4G को निशाना बनाने वाले रूपांतरों का दस्तावेज़ीकरण कर रहे हैं, जो पूर्ण प्रमाणीकरण से पहले भेजे जाने वाले सिग्नलिंग संदेशों का दुरुपयोग करते हैं। सिद्धांत वही रहता है: जिस क्षण एक फ़ोन किसी एंटीना का पता लगाता है और जिस क्षण वह उसकी वैधता जाँचता है, उनके बीच एक खिड़की मौजूद रहती है। हर पीढ़ी के साथ यह सिकुड़ती है, पर अभी पूरी तरह गायब नहीं हुई है।
तब तक, ध्यान में रखने लायक तर्क सरल है, और यह SMS Blaster से कहीं आगे तक लागू होता है: किसी संदेश का दिखने वाला स्रोत कभी सबूत नहीं होता। न प्रेषक का नाम, न वह चैट थ्रेड जिसमें वह दिखता है, न लेखन की गुणवत्ता। मायने सिर्फ़ यह रखता है कि संदेश आपसे क्या करने को कह रहा है — और अगर उस कार्रवाई से आपका पैसा, आपके लॉगिन विवरण या आपका निजी डेटा जुड़ा है, तो उसे कहीं और, अपने चुने हुए रास्ते से जाँचा जाना चाहिए।
