«आपकी सदस्यता समाप्त हो गई है»: 2026 में नकली नवीनीकरण वाले SMS जो आपका बैंक कार्ड चुरा लेते हैं

यह मैसेज रविवार की शाम ठीक उसी पल आता है, जब आप कोई एपिसोड चलाने ही वाले होते हैं:

«सूचना: भुगतान विफल होने के कारण आपकी सदस्यता 13/09 को निलंबित कर दी जाएगी। अपना भुगतान माध्यम अपडेट करें: rnwl-compte-serv.co/fr»

कोई वर्तनी की गलती नहीं। कोई पुलिस की धमकी नहीं। कोई बेतुकी बड़ी रकम नहीं। बस एक आम-सी परेशानी, जो सचमुच हो सकती है: कार्ड की समयसीमा खत्म होना, लिमिट पूरी हो जाना, बैंक बदल जाना। जब रकम बताई जाती है, तो वह करीब दो यूरो होती है — कभी 1,90 €, कभी 2,49 €। ऐसा कुछ नहीं जिससे शक हो।

और यही असली समस्या है। 2026 के सबसे कारगर SMS घोटाले अब 749 € नहीं मांगते: वे 1,90 € मांगते हैं। और ठग की दिलचस्पी उस 1,90 € में है ही नहीं।

सदस्यता ही क्यों बन गई आदर्श बहाना

हम सदस्यताओं में जीते हैं। वीडियो स्ट्रीमिंग, संगीत, ऑनलाइन स्टोरेज, एंटीवायरस, अख़बार, जिम, सब्ज़ियों का डिब्बा, मोबाइल प्लान, स्मार्टफ़ोन बीमा, बिजली कंपनी, VPN सेवा, वीडियो गेम: एक औसत फ्रांसीसी परिवार के पास आज करीब दस आवर्ती भुगतान होते हैं, जो अक्सर अलग-अलग तारीखों पर और कभी-कभी अलग-अलग कार्डों से लिए जाते हैं।

यह जमावड़ा धोखेबाज़ों के लिए एकदम सही अंधेरा कोना बना देता है। ईमानदारी से खुद से पूछिए: क्या आप अभी, इसी वक्त बता सकते हैं कि आपके क्लाउड स्टोरेज की सदस्यता किस तारीख को कटती है? किस कार्ड से? कितनी राशि की?

लगभग कोई नहीं जानता। और SMS इसी अनिश्चितता का फ़ायदा उठाता है। पार्सल वाली ठगी के उलट, जिसके लिए ज़रूरी है कि आप सचमुच किसी डिलीवरी का इंतज़ार कर रहे हों, सदस्यता वाली ठगी हर वक्त काम करती है: कुछ न कुछ तो हमेशा समाप्त होने की कगार पर होता ही है।

प्रतिस्पर्धा, उपभोग और धोखाधड़ी दमन महानिदेशालय (DGCCRF) और सरकारी मंच Cybermalveillance.gouv.fr इन अभियानों को फ़िशिंग के बड़े परिवार में रखते हैं। लेकिन इनकी एक खासियत को अलग से समझना ज़रूरी है: यहां पीड़ित को तुरंत लूटा नहीं जाता। उसे भर्ती किया जाता है।

एक ही SMS के पीछे तीन कारोबारी मॉडल

नकली नवीनीकरण वाले सभी SMS का मकसद एक नहीं होता। यह पहचानना कि आपके सामने कौन-सा है, तय करता है कि आगे आपको क्या करना चाहिए।

1. बैंकिंग डेटा की सीधी चोरी

क्लासिक परिदृश्य। लिंक एक ऐसे पेज पर ले जाता है जो संबंधित सेवा की नकल करता है, आपसे आपके लॉगिन मांगता है, फिर आपका पूरा कार्ड नंबर, समाप्ति तिथि और CVV। «1,90 € का भुगतान» «तकनीकी कारणों से» विफल हो जाता है, आपसे दूसरे कार्ड से दोबारा कोशिश करने को कहा जाता है — और ठग एक की जगह दो भुगतान माध्यम लेकर निकल जाता है।

मज़बूत प्रमाणीकरण (स्ट्रॉन्ग ऑथेंटिकेशन) के आम हो जाने के बाद, अकेले ये डेटा किसी बड़ी खरीद के लिए काफ़ी नहीं रह गए। इसलिए तार्किक अगला कदम: कुछ दिन बाद एक कॉल आती है जो खुद को आपके बैंक की एंटी-फ्रॉड सेवा बताती है और आपसे ऐप में कोई लेन-देन मंज़ूर करने को कहती है। यही वह हेरफेर वाली धोखाधड़ी है, जिसकी बढ़ती रफ़्तार को Banque de France, भुगतान साधन सुरक्षा वेधशाला (Observatoire de la sécurité des moyens de paiement) के कामकाज में दर्ज करता है।

2. सूक्ष्म-लेन-देन के पीछे छिपी सदस्यता

यह ज़्यादा चालाक है। 1,90 € का भुगतान सचमुच होता है, और सफल भी होता है। जो आपने नहीं पढ़ा — क्योंकि वह वैलिडेशन बटन के नीचे हल्के भूरे रंग में लिखा था — वह यह है कि यह भुगतान एक «असीमित एक्सेस» खोल देता है, जिसका शुल्क 39 से 59 € प्रति माह है, अक्सर फ्रांस के बाहर पंजीकृत किसी कंपनी द्वारा।

यह कटौती तुरंत नहीं दिखती। यह सात या चौदह दिन की ट्रायल अवधि के बाद शुरू होती है, किसी तटस्थ-से नाम के तहत — «DGTL SRV LTD», «MEDIA ACCESS EU» — जो आपके स्टेटमेंट पर किसी पहचानने लायक चीज़ जैसा नहीं लगता।

3. पैसे के बिना ही खाते की चोरी

कभी-कभी मकसद कार्ड नहीं, बल्कि खुद खाता होता है। एक फैमिली स्ट्रीमिंग अकाउंट, ऑनलाइन स्टोरेज अकाउंट या गेमिंग अकाउंट, जो समानांतर बाज़ारों में कुछ यूरो में बेच दिया जाता है — और सबसे बढ़कर, एक ऐसा पासवर्ड जिसे बहुत-से उपयोगकर्ता कहीं और भी दोहराते हैं। अगर यही पासवर्ड आपके ईमेल का भी है, तो नुकसान सदस्यता से कहीं आगे चला जाता है।

छह संकेत जो नकली नवीनीकरण की पोल खोल देते हैं

संकेत	असली सेवा क्या करती है	धोखेबाज़ SMS क्या करता है
माध्यम	पहले ईमेल और ऐप में सूचित करती है	सिर्फ़ SMS से संपर्क करता है
लिंक	अपने आधिकारिक डोमेन पर भेजती है	कटा-छंटा या अजीब डोमेन इस्तेमाल करता है (.co, .icu, .top, .cfd)
तात्कालिकता	कई दिन देती है, नरमी से याद दिलाती है	24 या 48 घंटे की समयसीमा तय करता है
राशि	आपके वास्तविक प्लान से मेल खाती है	अजीब तरह से कम रकम बताता है
मांग	SMS लिंक से कभी CVV नहीं मांगती	पूरा कार्ड और CVV मांगता है
पहचान	आपका नाम या आपका सटीक प्लान बताती है	अस्पष्ट रहता है: «आपकी सदस्यता», «आपका खाता»

छठा बिंदु सबसे निर्णायक है। जिस सेवा के आप सचमुच सदस्य हैं, वह जानती है कि आपने कौन-सा प्लान लिया है। जो SMS «आपकी सदस्यता» की बात करता है, पर कभी प्लान का नाम, तारीख या आपके कार्ड के आखिरी चार अंक नहीं बताता, वह आपको जानता ही नहीं।

सीधा नियम: जो संदेश आपसे अपनी पहचान साबित करने को कहता है, जबकि वह खुद अपनी पहचान साबित नहीं कर सकता, वह हमेशा संदिग्ध है।

प्रेषक के नाम का जाल

«लेकिन SMS तो उसी बातचीत में दिख रहा था जिसमें सेवा के असली मैसेज आते हैं।»

यही वह बात है जो पीड़ितों को निहत्था कर देती है, और इसकी तकनीकी व्याख्या मौजूद है। वैध व्यावसायिक संदेश एक अल्फ़ान्यूमेरिक प्रेषक इस्तेमाल करते हैं — नंबर की जगह ब्रांड का नाम। यह फ़ील्ड लंबे समय तक महज़ घोषित की जाने वाली चीज़ रही: तकनीकी तौर पर कोई भी भेजने वाला खुद को ऐसे ब्रांड के नाम से घोषित कर सकता था जो वह था ही नहीं।

फ्रांस ने इस पहचान-चोरी से लड़ने की व्यवस्था बनाई है, जिसमें उद्योग द्वारा प्रबंधित अधिकृत प्रेषकों की एक रजिस्ट्री है, जो Arcep और AF2M द्वारा तय ढांचे से जुड़ी है। फ्रांसीसी ऑपरेटर अब पंजीकृत ब्रांड नामों की नकल करने वाले ट्रैफ़िक का एक बड़ा हिस्सा छान देते हैं। लेकिन सुरक्षा पूरी नहीं है: विदेश से रूट किए गए संदेश, हल्के बदले हुए नाम («NETFLlX» जिसमें I की जगह छोटा L है) और साधारण मोबाइल नंबरों से चलने वाले अभियान अब भी पार निकल जाते हैं।

व्यावहारिक निष्कर्ष: स्क्रीन के ऊपर दिखने वाला नाम पहचान का प्रमाण नहीं है। किसी नकली संदेश का असली संदेशों के साथ एक ही थ्रेड में जुड़ जाना डिस्प्ले की एक यांत्रिक परिणति है, आपके ऑपरेटर की ओर से कोई मान्यता नहीं।

अगर आपने क्लिक कर दिया है, तो पांच मिनट के भीतर क्या करें

सबसे काम का रिफ़्लेक्स घबराना नहीं, बल्कि सही क्रम में कदम उठाना है।

1. पेज से नाता तोड़ दें। टैब बंद कर दें, और कुछ न भरें, कुछ «सुधारें» भी नहीं।
2. कार्ड ब्लॉक करवाएं या रुकवा दें। आज ज़्यादातर बैंकिंग ऐप्स एक क्लिक में कार्ड ब्लॉक करने देते हैं, और यह वापस पलटा भी जा सकता है। फ़ोन करने से भी पहले, यह तुरंत कर दें।
3. अगले कुछ दिनों तक अपने बैंक के नाम से आने वाली किसी भी इनकमिंग कॉल का जवाब न दें। फ़ोन काट दें और खुद अपने कार्ड के पीछे लिखे नंबर पर कॉल करें।
4. संबंधित सेवा का पासवर्ड बदलें, और उन सभी जगहों का भी जहां आपने वही पासवर्ड इस्तेमाल किया था। यही वह क्षण है जब समझ आता है कि पासवर्डों को हाथ से संभालना कितना नामुमकिन हो चुका है: एक पासवर्ड मैनेजर, चाहे सॉफ़्टवेयर हो या नज़रों से दूर रखी पासवर्ड डायरी, उस दोहराव से बचाता है जो एक घटना को श्रृंखलाबद्ध तबाही में बदल देता है।
5. संदेश की सूचना 33700 पर दें, जो अवांछित SMS की रिपोर्टिंग के लिए राष्ट्रीय सेवा है। बस SMS को इस नंबर पर फ़ॉरवर्ड करें, फिर जब सेवा पूछे तो भेजने वाले का नंबर भेज दें। यह मुफ़्त है और शुरुआती स्तर पर ब्लॉकिंग को मज़बूत करता है।
6. शिकायत दर्ज कराएं अगर पैसा कट चुका है, और अवैध सामग्री के पहलू के लिए Cybermalveillance.gouv.fr प्लेटफ़ॉर्म या PHAROS पोर्टल पर रिपोर्ट करें।

धन-वापसी के मामले में, मौद्रिक एवं वित्तीय संहिता का अनुच्छेद L133-18 कहता है कि बैंक अनधिकृत लेन-देन की भरपाई करेगा। व्यवहार में बहस घोर लापरवाही की अवधारणा पर होती है: बिना मांगे आए SMS के बाद किसी नकली साइट पर अपना डेटा दे देना, अपने आप में स्वतः घोर लापरवाही नहीं मान लिया जाता — Cour de cassation की न्यायिक व्याख्या याद दिला चुकी है कि सबूत का बोझ भुगतान सेवा प्रदाता पर है। इसलिए सब कुछ संभालकर रखें: SMS का स्क्रीनशॉट, साइट का पता, समय-तिथि।

जब कटौती शुरू हो चुकी हो, तो रिसाव कैसे रोकें

अगर आपको कोई अनजान आवर्ती कटौती दिखे, तो समय-क्रम मायने रखता है।

• SEPA डायरेक्ट डेबिट: आप बिना कोई कारण बताए डेबिट की तारीख से 8 सप्ताह के भीतर धन-वापसी मांग सकते हैं, और अगर वह अधिकृत ही नहीं था तो 13 महीने तक। यह अनुरोध आपके बैंक से किया जाता है, व्यापारी से नहीं।
• कार्ड से आवर्ती भुगतान: पहले संबंधित कंपनी को लिखित रूप में रद्दीकरण भेजें, फिर बैंक के पास आपत्ति दर्ज करें। सिर्फ़ कार्ड ब्लॉक कर देना हमेशा काफ़ी नहीं होता, क्योंकि कुछ नेटवर्क सदस्यताओं को अपने आप नए कार्ड पर स्थानांतरित कर देते हैं।
• ऑपरेटर के बिल में शुल्क: अगर कटौती आपके मोबाइल बिल में दिखती है (मूल्य-वर्धित सेवाएं), तो अपने ऑपरेटर के ग्राहक सेवा से संपर्क करें और SVA खरीद पर रोक लगवाएं, जो स्थायी रूप से सक्रिय की जा सकती है।

अपने स्टेटमेंट दोबारा पढ़ने की आदत डालें। एक साधारण हिसाब-किताब की कॉपी या प्रशासनिक दस्तावेज़ों के लिए फ़ाइल फ़ोल्डर ही काफ़ी है, ताकि बार-बार लौटता कोई अनजान नाम पकड़ में आए — ज़्यादातर पीड़ितों को चार से छह महीने बाद यह कटौती पता चलती है, सिर्फ़ इसलिए कि 60 € से कम की लाइनें कोई नहीं पढ़ता।

अगले SMS से पहले हमले की गुंजाइश घटाएं

आप किसी ठग को संदेश भेजने से नहीं रोक सकते। लेकिन आप यह ज़रूर कर सकते हैं कि उसका कोई फ़ायदा न हो।

पैसे को सदस्यताओं से अलग रखें

सबसे कारगर और सबसे कम इस्तेमाल किया जाने वाला उपाय: अपना मुख्य कार्ड कभी किसी सब्सक्रिप्शन सेवा में सेव न करें। एकल-उपयोग वाला या सीमा-निर्धारित वर्चुअल कार्ड इस्तेमाल करें, जो ज़्यादातर फ्रांसीसी बैंक देते हैं, या ऑनलाइन भुगतान के लिए समर्पित कोई रिचार्जेबल प्रीपेड कार्ड। अगर डेटा लीक भी हो जाए, तो वह लगभग खाली खाते तक ही पहुंच देगा।

अपनी सदस्यताओं की सूची बनाकर रखें

पांच मिनट, एक बार। हर सेवा, कटौती की तारीख, राशि और भुगतान माध्यम लिख लें। एक टेबल काफ़ी है। जिस पल आप जान जाते हैं कि Spotify 6 तारीख को कटता है और आपका क्लाउड स्टोरेज 22 को, उसी पल 13 तारीख को निलंबन की घोषणा करने वाला SMS तुरंत बेतुका लगने लगता है।

खुद खातों की रक्षा करें

जहां भी संभव हो दो-चरणीय प्रमाणीकरण चालू करें, और SMS के बजाय किसी ऑथेंटिकेशन ऐप को प्राथमिकता दें। सबसे संवेदनशील खातों के लिए — मुख्य ईमेल, बैंक, प्रशासनिक खाता — USB फ़ॉर्मेट की भौतिक सुरक्षा कुंजी फ़िशिंग के खिलाफ़ आज भी सबसे मज़बूत सुरक्षा है, क्योंकि वह नकली डोमेन पर प्रमाणीकरण करने से सीधे इनकार कर देती है।

शुरुआत में ही छानिए

iPhone हो या Android, अनजान प्रेषकों की फ़िल्टरिंग चालू करें: आपके संपर्कों में न होने वाले नंबरों से आए संदेश एक अलग टैब में इकट्ठा हो जाते हैं। वे आपको मिलते तब भी हैं, पर रात 10 बजे चौंका देने वाली सूचना के बिना।

बिजली-गैस से जुड़े नकली SMS का खास मामला

एक किस्म का अलग ज़िक्र बनता है, क्योंकि पिछले कुछ वर्षों के टैरिफ़ बदलावों के साथ यह बेतहाशा बढ़ी है: वह SMS जो लौटाई जाने वाली अतिरिक्त राशि या बिजली बिल के समायोजन की सूचना देता है।

यहां योजना उलट दी गई है और इसीलिए और भी कारगर है: आपसे भुगतान नहीं मांगा जाता, बल्कि पैसा देने की पेशकश की जाती है। «वार्षिक समायोजन के बाद, आपको 187,42 € की वापसी देय है। अपने बैंक विवरण दर्ज करें।» आप सतर्कता ढीली कर देते हैं, क्योंकि पैसा सही दिशा में जा रहा होता है।

कोई भी ऊर्जा कंपनी, कोई कर प्रशासन, कोई सामाजिक सुरक्षा संस्था आपको पैसा लौटाने के लिए SMS से आपके पूरे बैंक विवरण नहीं मांगेगी। धन-वापसी पहले से ज्ञात RIB पर, आधिकारिक ग्राहक पोर्टलों के ज़रिए होती है। किसी सार्वजनिक सेवा के नाम से आए संदेश पर शक हो, तो नियम हमेशा एक ही है: SMS बंद कर दें, और आधिकारिक साइट का पता खुद अपने ब्राउज़र में टाइप करें।

याद रखने लायक बातें

नकली सदस्यता नवीनीकरण की ठगी किसी तकनीकी करामात पर टिकी नहीं है। यह इस तथ्य पर टिकी है कि हमने सामूहिक रूप से हर महीने दर्जन भर छोटी रकमें चुकाना स्वीकार कर लिया है, जिनका ब्योरा अब हम नहीं रखते। धोखेबाज़ बस इसी अंधे कोने में सरक आता है।

इससे टिकाऊ बचाव के लिए तीन वाक्य ही काफ़ी हैं:

• सदस्यता कभी SMS से मिले लिंक के ज़रिए अपडेट नहीं की जाती, हमेशा ऐप से या हाथ से टाइप किए गए साइट पते से।
• मामूली रकम खतरे का संकेत है, निर्दोषिता की गारंटी नहीं।
• प्रेषक के रूप में दिखने वाला नाम कुछ भी साबित नहीं करता।

और अगर फिर भी शक बना रहे, तो एक अचूक परीक्षण है: संबंधित सेवा का ऐप खोलिए। अगर वहां आपकी सदस्यता सक्रिय और अपडेट है, तो SMS झूठ बोल रहा है। अगर वहां भुगतान से जुड़ी कोई गड़बड़ी दर्ज नहीं है, तो SMS झूठ बोल रहा है। जो आपके खाते में दिखता है वही प्रमाण है; जो आपके मैसेज थ्रेड में दिखता है, उसकी कोई कीमत नहीं।