SMS से होने वाली ठगी की एक ऐसी श्रेणी भी है जिसकी चर्चा कम होती है, क्योंकि वह देखने में ठगी लगती ही नहीं। न कोई नकली बैंकिंग साइट, न आनन-फानन में टाइप करने के लिए छह अंकों का कोड, न खाता निलंबित होने की धमकी। बस एक अच्छी खबर: आपका नाम लॉटरी में निकला है, आपकी वफ़ादारी का इनाम मिला है, आपका पार्सल मुफ़्त है, बस 1,95 € का डिलीवरी शुल्क चुकाना बाकी है।
छह हफ़्ते बाद, आपके बैंक स्टेटमेंट में 49,90 € की तीन कटौतियाँ दिखती हैं — किसी ऐसी कंपनी के नाम पर जिसके बारे में आपने कभी सुना ही नहीं। और इस कहानी का सबसे अप्रिय हिस्सा यह है: जिस पेज को आपने तीस सेकंड में भरा था, उसी पर कहीं — हल्के भूरे रंग में, 7 पॉइंट के फ़ॉन्ट में, सबमिट बटन के नीचे — लिखा था कि आप एक स्वतः नवीनीकृत होने वाला मासिक सब्सक्रिप्शन ले रहे हैं।
अंग्रेज़ी शब्दावली में इसे negative option billing कहते हैं, हिंदी में डिफ़ॉल्ट सब्सक्रिप्शन या छिपा हुआ सब्सक्रिप्शन। यह ठीक-ठीक चोरी नहीं है। इससे निपटना कहीं ज़्यादा मुश्किल है: यह एक ऐसा कानूनी धुंधला क्षेत्र है जिसे जानबूझकर अनुबंध जैसा दिखने के लिए गढ़ा गया है।
यह जाल नकली बैंकिंग साइट से बेहतर क्यों काम करता है
पारंपरिक स्मिशिंग अभियान — La Poste, Assurance Maladie या आपके बैंक के नाम पर आए नकली SMS — डर और जल्दबाज़ी पर टिके होते हैं। वे काम तो करते हैं, लेकिन आज उन्हें बढ़ता प्रतिरोध झेलना पड़ रहा है: आम जनता को बड़े पैमाने पर जागरूक किया जा चुका है, बैंक बार-बार याद दिलाते हैं कि वे कभी SMS से कोड नहीं मांगते, और Cybermalveillance.gouv.fr वर्षों से यही संदेश दोहरा रहा है।
गिफ्ट वाला SMS इस मानसिक बचाव को पूरी तरह चकमा दे देता है। यह उन किसी भी अलार्म को नहीं बजाता जिन्हें सुनना आपने सीखा है:
- यह कोई पासवर्ड नहीं मांगता।
- यह कोई बैंकिंग सत्यापन कोड नहीं मांगता — यानी मांगता तो है, पर बाद में, और इतनी मामूली रकम के लिए कि आप बिना सोचे मंज़ूरी दे देते हैं।
- यह ज़रूरी नहीं कि किसी सरकारी संस्था की पहचान चुराए: अक्सर यह बस अस्पष्ट रूप से "आपका ऑपरेटर", "एक बड़ी रिटेल चेन", "हमारा पार्टनर" कह देता है।
- यह आपको खतरे में नहीं डालता, यह आपको खुश करता है।
इसका मनोवैज्ञानिक लीवर डर नहीं, बल्कि पारस्परिकता और एंडाउमेंट इफ़ेक्ट है: जिस पल आपको बताया जाता है कि कोई चीज़ पहले से आपकी है, उसे छोड़ना नुकसान जैसा महसूस होता है। इसमें स्क्रीन पर एक उलटी गिनती जोड़ दीजिए ("आपका इनाम 9 मिनट 47 सेकंड के लिए सुरक्षित है"), और सोचने का समय गायब हो जाता है।
इस मॉडल का इस्तेमाल करने वाले ठग एक झटके में 800 € चुराना नहीं चाहते। वे हज़ारों लोगों से छह महीने तक 49 € काटना चाहते हैं — ऐसे लोग जो अकेले-अकेले इतनी छोटी रकम के लिए कभी शिकायत दर्ज नहीं कराएँगे।
यह तरकीब, कदम दर कदम
1. पहला संदेश
SMS छोटा होता है, अक्सर बिना किसी वर्तनी की गलती के, और लीक हुए डेटाबेस के मिलान की बदौलत लगातार अधिक व्यक्तिगत होता जा रहा है। 2026 में बार-बार दिखने वाले वाक्य:
- "नमस्ते [नाम], आपका ऑर्डर नं. 8842 एक उपहार के लिए पात्र है। इसे यहाँ चुनें: …"
- "आपके प्लान के तहत इस महीने आपको 1 मुफ़्त एक्सेसरी मिल रही है।"
- "आपके केस पर 74,32 € का रिफंड उपलब्ध है। अपनी जानकारी की पुष्टि करें।"
- "प्रोडक्ट टेस्ट: [जानी-मानी ब्रांड] पाएँ और अपने पास रखें।"
लिंक किसी हाल ही में बने, छोटे डोमेन पर ले जाता है, जिसका उल्लिखित ब्रांड से कोई संबंध नहीं होता, और जो अक्सर किसी असामान्य एक्सटेंशन या सामान्य सबडोमेन पर होस्ट होता है।
2. योग्यता जाँचने वाला फ़नल
पेज तुरंत आपका कार्ड नहीं मांगता। वह पहले आपसे खेल खिलवाता है: घूमता हुआ पहिया, खोलने के लिए तीन संदूक, चार सवालों की क्विज़। यह चक्कर सजावटी नहीं है। इसके दो काम हैं:
- आपको धीरे-धीरे बांधना। जो व्यक्ति चार सवालों के जवाब दे चुका है, वह पाँचवें चरण पर कहीं कम आसानी से पीछे हटता है।
- आपका डेटा जुटाना। उम्र, स्थिति, रुचियाँ, पिन कोड: डेटा-बिक्री के बाज़ार में यह जानकारी कभी-कभी सब्सक्रिप्शन से भी ज़्यादा कीमती होती है।
3. "शुल्क" के लिए बैंक कार्ड
फिर आती है बैंक विवरण की मांग, जिसे बेहद छोटी रकम से जायज़ ठहराया जाता है: 1 €, 1,95 €, 2,90 € का डिलीवरी शुल्क योगदान। आप अपने बैंकिंग ऐप से मंज़ूरी देते हैं — मज़बूत प्रमाणीकरण पूरी तरह काम कर रहा होता है, वह उसी भुगतान को मंज़ूरी देता है जिसे आपने सचमुच अधिकृत किया है।
यही समस्या की जड़ है: DSP2 और दो-कारक प्रमाणीकरण आपको उस अनुबंध से नहीं बचाते जिस पर आपने बिना पढ़े दस्तखत कर दिए। वे यह जाँचते हैं कि यह वाकई आप हैं, यह नहीं कि लेन-देन ईमानदार है।
4. अदृश्य शर्त
बटन के नीचे, सफ़ेद पृष्ठभूमि पर भूरे टेक्स्ट के एक ब्लॉक में, इस तरह का वाक्य: "पुष्टि करते ही आप 3 दिन की परीक्षण अवधि के बाद 49,90 € प्रति माह की दर पर Premium सेवा की सदस्यता लेते हैं, जिसे कभी भी रद्द किया जा सकता है।" पहली कटौती एक हफ़्ते बाद होती है, बैंक स्टेटमेंट में एक अपारदर्शी विवरण के साथ: तीन अक्षरों का संक्षिप्त नाम, फ्रांस के बाहर पंजीकृत कंपनी, मूल SMS से कोई संबंध नहीं।
फ्रांसीसी कानून क्या कहता है — और वह आपके पक्ष में क्यों है
कई पीड़ितों की धारणा के विपरीत, यह व्यवहार सिर्फ़ इसलिए वैध नहीं हो जाता कि शर्त लिखी हुई थी। फ्रांसीसी और यूरोपीय कानून इस तरह की दूरस्थ बिक्री को बहुत सख़्ती से नियंत्रित करते हैं।
| नियम | लागू प्रावधान | आपके लिए इसका मतलब |
|---|---|---|
| हर अतिरिक्त भुगतान के लिए स्पष्ट सहमति | उपभोक्ता संहिता का अनुच्छेद L. 224-2 | पहले से टिक किया गया बॉक्स या दबा दिया गया उल्लेख सहमति नहीं माना जाता |
| भ्रामक व्यावसायिक व्यवहार | अनुच्छेद L. 121-2 और आगे | कोई अहम जानकारी (असली कीमत) छिपाना अपराध है |
| 14 दिनों का निरसन अधिकार | अनुच्छेद L. 221-18 | सेवा के मामले में यह अनुबंध होने की तारीख से शुरू होता है |
| स्पष्ट और समझने योग्य पूर्व-संविदात्मक जानकारी | अनुच्छेद L. 221-5 | बटन के नीचे 7 पॉइंट का हल्का भूरा टेक्स्ट न स्पष्ट है न पठनीय |
| अनधिकृत भुगतान को चुनौती देना | मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L. 133-18 | बैंक द्वारा वापसी, कुछ शर्तों के साथ |
प्रतिस्पर्धा, उपभोग एवं धोखाधड़ी रोकथाम महानिदेशालय (DGCCRF) इन "प्रतियोगिताओं" के बारे में नियमित चेतावनियाँ जारी करता है जो सब्सक्रिप्शन में बदल जाती हैं। शिकायत SignalConso प्लेटफ़ॉर्म के ज़रिए दर्ज होती है। साइबर अपराध वाले पहलू के लिए Cybermalveillance.gouv.fr उपयुक्त व्यवस्थाओं की ओर मार्गदर्शन करता है, और Pharos प्लेटफ़ॉर्म अवैध सामग्री की शिकायतें लेता है।
खुद SMS के बारे में: किसी भी धोखाधड़ी वाले संदेश को मुफ़्त में 33700 पर फ़ॉरवर्ड किया जा सकता है — यह SMS स्पैम की शिकायत के लिए राष्ट्रीय व्यवस्था है, जिसे Association Française du Multimédia Mobile ऑपरेटरों के सहयोग से चलाता है।
अगर आपके खाते से पहले ही कटौती हो चुकी है तो क्या करें
क्रम मायने रखता है। कई पीड़ित सबसे पहले कंपनी के ग्राहक सेवा विभाग को लिखते हैं — यही सबसे खराब पहला कदम है, क्योंकि इसमें कई दिन बर्बाद होते हैं और इस बीच नई कटौतियाँ होती रहती हैं।
चरण 1 — सिर्फ़ आपत्ति न करें, प्रवाह रोकें
अपने बैंक को फ़ोन कीजिए और साफ़-साफ़ मांगिए:
- व्यापारी पर रोक (इस लाभार्थी की भविष्य की कटौतियों का ब्लॉक होना);
- और, अगर संदेह गंभीर है, तो कार्ड बदलवाना। नया नंबर आवर्ती अनुमतियों को निष्प्रभावी कर देता है।
सावधान: सिर्फ़ "गुम होने पर रोक" लगाना पहले से अधिकृत आवर्ती भुगतानों को रोकने के लिए हमेशा काफ़ी नहीं होता। ठीक ये शब्द इस्तेमाल कीजिए: "मैं एक आवर्ती भुगतान अनुमति को चुनौती देता/देती हूँ और उसे ब्लॉक करने की मांग करता/करती हूँ।"
चरण 2 — लिखित रूप में धनवापसी की मांग करें
अपने बैंक को लिखित आपत्ति भेजिए (रजिस्टर्ड पत्र या ग्राहक क्षेत्र का सुरक्षित संदेश), जिसमें स्पष्ट सहमति के अभाव का हवाला हो। साथ में लगाइए:
- मिले हुए SMS का स्क्रीनशॉट;
- साइट का पता, अगर वह अब भी आपके ब्राउज़िंग इतिहास में है;
- कटौतियों का विवरण;
- घटनाओं का सटीक क्रम।
अनधिकृत लेन-देन को चुनौती देने की कानूनी समय-सीमा डेबिट की तारीख से 13 महीने है (मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L. 133-24)। यह सोचकर कि "अब बहुत देर हो गई", इस अवधि को यूँ ही मत बीतने दीजिए।
चरण 3 — औपचारिक रूप से रद्द कीजिए, भले ही अनुबंध लचर हो
साइट के कानूनी विवरण (mentions légales) में दिए पते पर रद्दीकरण और निरसन का रजिस्टर्ड पत्र भेजिए। आगे चलकर यही दस्तावेज़ आपके काम आएगा। बहुत से लोग अपनी कार्रवाइयों का कोई कागज़ी सबूत नहीं रखते; प्राप्ति रसीदों को पारदर्शी पॉकेट वाली फ़ाइल में संभालकर रखने से छह महीने बाद आनन-फानन में पूरा दस्तावेज़ जुटाने की नौबत नहीं आती।
चरण 4 — शिकायत दर्ज कराएँ
- व्यावसायिक व्यवहार के लिए SignalConso (DGCCRF)।
- SMS के लिए 33700।
- रकम बड़ी हो तो जेंडरमरी या पुलिस थाने में शिकायत, या ऑनलाइन प्री-कंप्लेंट।
- अगर बैंक के स्तर पर अड़चन आए तो अपना उपभोक्ता संगठन (UFC-Que Choisir, CLCV)।
सात आदतें जो इस तरह के जाल को बेअसर कर देती हैं
1. कोई भी लॉटरी आपको नहीं जानती। आप उस खेल में नहीं जीत सकते जिसे आपने खेला ही नहीं। यह अकेला नियम 90 % मामलों को खारिज कर देता है।
2. सूक्ष्म भुगतानों से सावधान रहें। जानबूझकर रखी गई मामूली रकम एक चेतावनी है, गारंटी नहीं। इसका इकलौता मकसद आपके बैंक विवरण और आपकी मंज़ूरी हासिल करना है।
3. बटन के ऊपर नहीं, नीचे लिखा हुआ पढ़िए। निर्णायक शर्तें हमेशा कॉल-टू-एक्शन के बाद, कम कंट्रास्ट वाले रंग में रखी जाती हैं।
4. अपने भुगतान साधनों को अलग-अलग रखें। अनजान साइटों पर खरीदारी के लिए एकल-उपयोग वाला वर्चुअल कार्ड या रीचार्जेबल प्रीपेड कार्ड रखिए। सीमा तय होने से नुकसान अपने आप सीमित रहता है। ज़्यादातर फ्रांसीसी बैंक अपने ऐप में यह सुविधा देते हैं।
5. हर महीने अपने स्टेटमेंट जाँचिए। जो व्यक्ति सिर्फ़ अपना बैलेंस देखता है, उसकी नज़र से 49 € की कटौती आसानी से बच जाती है। एक साधारण व्यक्तिगत हिसाब-किताब की डायरी या स्प्रेडशीट ही किसी अनजान विवरण को पकड़ने के लिए काफ़ी है।
6. अपना मुख्य नंबर हर जगह इस्तेमाल मत कीजिए। हर प्रतियोगिता फ़ॉर्म, शॉपिंग मॉल में होने वाला हर लकी ड्रॉ उन्हीं डेटाबेस को भरता है जो आगे बेचे जाते हैं। गैर-ज़रूरी रजिस्ट्रेशन के लिए बिना अनुबंध वाले प्रीपेड सिम का दूसरा नंबर बहुत अच्छा काम करता है।
7. धोखाधड़ी वाले संदेश का जवाब कभी "STOP" से मत दीजिए। कानूनी STOP सिर्फ़ पहचान वाली कंपनियों के घोषित प्रचार पर काम करता है। किसी ठग के सामने यह बस इस बात की पुष्टि कर देता है कि नंबर चालू है।
कमज़ोर स्थिति वाले लोगों का ख़ास मामला
इस तरह की ठगी सबको एक जैसा नहीं मारती। अकेले रहने वाले लोग, जिन्हें इंटरफ़ेस से सहजता नहीं है, या जो सही चश्मे के बिना स्मार्टफोन इस्तेमाल करते हैं — वे 7 पॉइंट में लिखी बात कभी देख ही नहीं पाएंगे। यह ध्यान की कमी नहीं है: यह जानबूझकर शत्रुतापूर्ण ढंग से किया गया डिज़ाइन है।
बिना किसी को बच्चा समझे, कुछ ठोस उपाय:
- फ़ोन की एक्सेसिबिलिटी सेटिंग्स में टेक्स्ट का आकार बढ़ाना और उच्च कंट्रास्ट चालू करना।
- लंबे समय तक स्क्रीन पढ़ने के लिए, ज़्यादा मैग्निफ़िकेशन वाले मैग्नीफ़ाइंग चश्मे उन कानूनी शर्तों को पढ़ने लायक बना देते हैं जिन्हें इंटरफ़ेस जानबूझकर दफ़्न कर देते हैं।
- परिवार में एक सरल और गैर-समझौतावादी नियम तय करना: SMS से मिले किसी लिंक पर कभी कोई बैंक कार्ड दर्ज नहीं किया जाएगा, कभी नहीं, चाहे कारण कुछ भी हो।
- कार्ड पर कम भुगतान सीमा तय करना, जिसे ज़रूरत पड़ने पर अस्थायी रूप से बढ़ाया जा सके।
जो लोग इन हेरफेरों की बुनियादी कार्यप्रणाली को व्यापक रूप से समझना चाहते हैं, उनके लिए आम पाठकों को ध्यान में रखकर लिखी गई कई साइबर सुरक्षा पर सरल भाषा की किताबें सोशल इंजीनियरिंग के तंत्र को बिना तकनीकी ज्ञान की माँग किए बहुत अच्छे से समझाती हैं।
और अगर आपने सिर्फ़ क्लिक किया हो?
लिंक पर क्लिक करके कुछ भी न भरना, अपडेटेड स्मार्टफोन पर अधिकांश मामलों में सीधे तौर पर बेअसर रहता है। असली जोखिम जानकारी दर्ज करने से शुरू होता है। फिर भी, कुछ समझदारी भरी सावधानियाँ:
- जाँचिए कि आपका ऑपरेटिंग सिस्टम अपडेटेड है — यही सबसे कारगर और सबसे उपेक्षित सुरक्षा है।
- Android पर देखिए कि आधिकारिक स्टोर के बाहर से कोई ऐप इंस्टॉल तो नहीं हुआ।
- अगर आपने अपना ई-मेल पता दर्ज किया है, तो स्पैम बढ़ने की उम्मीद रखिए; अगर आप हर जगह एक ही पासवर्ड इस्तेमाल करते हैं तो अपने एक्सेस अलग-अलग रखने के लिए पासवर्ड मैनेजर पर विचार कीजिए।
- तीन महीने तक अपने खातों पर नज़र रखिए।
याद रखने लायक बातें
गिफ्ट वाला SMS स्मिशिंग का मुस्कुराता चेहरा है। यह आपके बैंक पर हमला नहीं करता, यह आपके पढ़ने पर हमला करता है। यह घबराहट पर दांव नहीं लगाता, यह तीस सेकंड के उत्साह पर और ऐसी टाइपोग्राफ़ी पर दांव लगाता है जिसे नज़रअंदाज़ किए जाने के लिए ही बनाया गया है।
इसका तोड़ न तकनीकी है न जटिल: SMS से मिले लिंक पर कोई भी भुगतान दर्ज नहीं करना है, एक यूरो का भी नहीं। अगर ऑफ़र असली है, तो वह तब भी मौजूद रहेगा जब आप खुद अपने ब्राउज़र में आधिकारिक साइट का पता टाइप करेंगे। और अगर वह सिर्फ़ SMS में ही है, तो वह कभी था ही नहीं।
संदेह हो तो संदेश को 33700 पर फ़ॉरवर्ड कीजिए, SignalConso पर शिकायत दर्ज कीजिए, और उसे डिलीट कर दीजिए। जो उपहार आपका बैंक कार्ड मांगे, वह उपहार नहीं होता: वह भेस बदला हुआ बिल होता है।
