«पापा, मुझसे एक गलती हो गई।»
थियो 14 साल का है। उसे एक SMS मिला जिसमें बताया गया था कि उसके पसंदीदा गेम में 5,000 यूनिट वर्चुअल करेंसी पाने के लिए लकी ड्रॉ में उसका नाम निकला है। एक लिंक, एक फॉर्म, उसकी यूज़र आईडी, उसका पासवर्ड, और फिर SMS पर आया छह अंकों का एक कोड जिसे «कन्फर्म» करने को कहा गया। चालीस मिनट बाद उसका अकाउंट — तीन साल की प्रगति और कुल 400 € की खरीदारी — एक फोरम पर बेच दिया गया था। और चूँकि वह अपने ई-मेल पते के लिए भी वही पासवर्ड इस्तेमाल करता था, ठग ने आगे का काम भी कर डाला।
उसके माता-पिता को यह बात इसलिए पता चली क्योंकि आखिरकार उसने खुद बता दिया। बहुत सारे किशोर ऐसा नहीं करते। उन्हें निशाना बनाने वाली ज़्यादातर ठगियाँ ठीक इसी चुप्पी पर टिकी होती हैं।
किशोर अलग तरह का निशाना क्यों हैं
अक्सर यह मान लिया जाता है कि जो बच्चे «हाथ में फोन लेकर पैदा हुए» हैं, वे स्वाभाविक रूप से सुरक्षित होंगे। 33700 प्लेटफॉर्म पर आई शिकायतों और Cybermalveillance.gouv.fr द्वारा निपटाए गए मामलों को देखें तो तस्वीर उलटी है: तकनीकी सहजता उन्हें बचाती नहीं, बल्कि एक अलग तरह से उजागर कर देती है।
इसमें चार बातें काम करती हैं।
जवाब देने की रफ्तार। एक वयस्क संदिग्ध SMS को एक घंटे तक यूँ ही पड़ा रहने देता है। एक किशोर दो मिनट से कम में जवाब देता है, अक्सर उस ऐप से बाहर निकले बिना जिसे वह इस्तेमाल कर रहा था। सोचने का जो समय स्मिशिंग के खिलाफ सबसे अच्छा बचाव है, वही गायब हो जाता है।
गेमिंग अकाउंट की असली कीमत। अच्छी तरह भरा हुआ Fortnite, Roblox या Steam अकाउंट समानांतर बाज़ारों में 50 यूरो से लेकर कई सौ यूरो तक में बिकता है। ठग को बैंक कार्ड की ज़रूरत ही नहीं: अकाउंट ही माल है।
शर्म। यही निर्णायक हथियार है। निजी तस्वीर वाली ठगी में फँसा किशोर, या जिसने माता-पिता के पैसे से खरीदा अकाउंट गँवा दिया हो, सबसे पहले यही हिसाब लगाता है कि कहीं उसका फोन न छीन लिया जाए। वह पैसे देता है, मोलभाव करता है, और चुप रह जाता है।
जागरूकता अभियानों से कम वास्ता। बैंकिंग धोखाधड़ी या टैक्स विभाग के नकली SMS को लेकर सरकारी संदेश उनसे जुड़े ही नहीं होते। किसी ने उन्हें यह नहीं बताया कि खास उनके लिए तैयार किया गया स्मिशिंग कैसा दिखता है।
सबसे ज़्यादा दोहराए जाने वाले छह परिदृश्य
1. वर्चुअल करेंसी के नकली उपहार
सबसे पुराना और आम तरीका। «बधाई हो, तुम्हारा अकाउंट चुना गया है», «मुफ्त जनरेटर», «फ्री क्रिएटर कोड»। लिंक आधिकारिक लॉगिन पेज की काफी अच्छी नकल पर ले जाता है। पीड़ित अपनी आईडी-पासवर्ड डालता है; फिर साइट SMS पर आया वन-टाइम वेरिफिकेशन कोड माँगती है, कथित तौर पर «डिलीवरी कन्फर्म करने» के लिए। दरअसल वह दो-चरणीय प्रमाणीकरण का कोड होता है जिसे आधिकारिक साइट ने अभी भेजा है, क्योंकि ठग उसी वक्त लॉगिन कर रहा है।
याद रखने लायक संकेत: कोई भी गेम प्रकाशक SMS के ज़रिए वर्चुअल करेंसी नहीं बाँटता, और कोई भी कभी SMS पर आया कोड अपनी साइट के अलावा किसी दूसरी साइट पर नहीं माँगता।
2. फर्जी छोटी नौकरी
«नमस्ते, हमें ऐप्स टेस्ट करने के लिए लोग चाहिए, प्रति टास्क 40 €, रोज़ 15 मिनट।» ये अभियान मुख्य रूप से 16-22 साल के युवाओं को निशाना बनाते हैं, अक्सर स्कूल की छुट्टियों के दौरान। इसके दो रूप हैं:
- टास्क स्कैम: पहले कुछ «मिशन» सचमुच 5 या 10 € देते हैं, और भुगतान जल्दी हो जाता है। फिर «प्रीमियम टास्क अनलॉक करने» के लिए जमा राशि माँगी जाती है। वह पैसा कभी वापस नहीं आता।
- बैंकिंग म्यूल: युवा से कहा जाता है कि वह अपने खाते में एक ट्रांसफर लेगा, उसमें से 10% रखेगा और बाकी नकद या क्रिप्टोकरेंसी में वापस भेजेगा। यह मनी लॉन्ड्रिंग है। नाबालिग या नया वयस्क कानूनी रूप से ज़िम्मेदार होता है और उस पर बैंकिंग प्रतिबंध, आपराधिक मुकदमा और खाता बंद होने का खतरा रहता है। Fédération bancaire française नियमित रूप से स्कूलों के बीच इस चलन को लेकर चेतावनी देती है।
3. सेक्सटॉर्शन
यह परिदृश्य क्रूर है। किसी सोशल नेटवर्क पर गर्मजोशी भरी शुरुआत, फिर तेज़ी से SMS या किसी मैसेजिंग ऐप पर बातचीत, तस्वीरों का आदान-प्रदान, और फिर ब्लैकमेल: «200 € का गिफ्ट कार्ड भेजो वरना मैं सब कुछ तुम्हारी कॉन्टैक्ट लिस्ट में फैला दूँगा»। ठग कभी-कभी दोस्तों की सूची के स्क्रीनशॉट दिखाकर अपनी नुकसान पहुँचाने की क्षमता साबित करते हैं।
सबसे अहम नियम, जिसे e-Enfance संस्था और उसका नंबर 3018 बार-बार दोहराता है: कभी भुगतान न करें, कुछ भी डिलीट न करें, सब कुछ स्क्रीनशॉट करें, और किसी वयस्क से बात करें। भुगतान करने से सिर्फ माँगों का दूसरा दौर शुरू होता है। 3018 के पास प्लेटफॉर्मों के साथ तेज़ शिकायत प्रक्रिया है जिससे सामग्री जल्दी हटवाई जा सकती है।
4. हैक किया गया मैसेजिंग अकाउंट
«सुन, मैं हूँ, मैं एक प्रतियोगिता में भाग ले रहा हूँ, मुझे वोट कर दोगे?» संदेश सचमुच किसी दोस्त के अकाउंट से आता है, क्योंकि वह दोस्त पहले ही फँस चुका है। लिंक लॉगिन जानकारी चुरा लेता है, और यही चक्र उसकी अपनी कॉन्टैक्ट लिस्ट के साथ दोहराया जाता है। फैलने का यह सबसे कारगर तरीका है: भरोसा पहले से मौजूद होता है।
5. फर्जी स्ट्रीमिंग सब्सक्रिप्शन या प्लेटफॉर्म का नकली जुर्माना
कम आम लेकिन बढ़ता हुआ: «तुम्हारा सब्सक्रिप्शन निलंबित कर दिया गया है, 1,99 € देकर नियमित करो»। इतनी मामूली रकम शक को खत्म कर देती है। मकसद 1,99 € नहीं है, बल्कि बैंक कार्ड का नंबर है — अक्सर किसी माता-पिता का कार्ड, जो फोन में सेव है।
6. «यह गलत नंबर है» वाला SMS
एक सीधा-सादा संदेश, कई दिनों तक चलने वाली बातचीत, और फिर क्रिप्टोकरेंसी में निवेश का प्रस्ताव। pig butchering नाम से जाना जाने वाला यह तरीका शुरू में सिर्फ वयस्कों को निशाना बनाता था। अब यह 17-20 साल के युवाओं तक उतर आया है, छोटी रकमों के हिसाब से ढाले गए मुनाफे के वादों के साथ।
ठगों को किसी स्कूली बच्चे का नंबर आखिर मिलता कहाँ से है?
माता-पिता यह सवाल हमेशा पूछते हैं। स्रोत बिलकुल साधारण हैं।
| स्रोत | तरीका |
|---|---|
| गेमिंग प्लेटफॉर्म या ऐप्स से डेटा लीक | नंबर फोरम पर थोक में बेचे जाते हैं |
| प्रतियोगिताओं, क्विज़, «व्यक्तित्व परीक्षणों» में पंजीकरण | सहमति नियम-शर्तों की भीड़ में छिपी हुई |
| बेची गई मेलिंग लिस्ट | डेटा ब्रोकरों से थोक खरीद |
| रैंडम नंबर जनरेशन | फ्रांसीसी मोबाइल नंबर शृंखलाओं का स्वचालित निर्माण |
| हैक किए गए अकाउंट से निकाले गए संपर्क | किसी सहपाठी की पता-पुस्तिका |
यानी: फर्जी SMS आने का मतलब यह नहीं कि किशोर ने कोई «गलती» की है। घर पर यह कहना ज़रूरी है, क्योंकि पहले से मान लिया गया अपराधबोध ही वह चीज़ है जो बात करने से रोकती है।
असल में क्या बचाता है, असरदारी के क्रम में
ऐप से दो-चरणीय प्रमाणीकरण, SMS से नहीं
यही सबसे फायदेमंद उपाय है। गेमिंग अकाउंट, सोशल नेटवर्क और ई-मेल पते पर SMS के बजाय किसी समर्पित ऐप (Google Authenticator, Authy, या प्लेटफॉर्म का अपना ऐप) के ज़रिए टू-फैक्टर ऑथेंटिकेशन चालू करें। SMS से भेजा गया कोड सोशल इंजीनियरिंग या सिम कार्ड बदलकर निकलवाया जा सकता है; स्थानीय रूप से बना कोड निकलवाना कहीं ज़्यादा मुश्किल है।
किसी युवा वयस्क के सबसे संवेदनशील खातों के लिए — मुख्य ई-मेल, बैंक — FIDO2 जैसी भौतिक सुरक्षा कुंजी फिशिंग को लगभग बेअसर कर देती है: कुंजी नकली डोमेन पर प्रमाणीकरण से इनकार कर देती है, भले ही उपयोगकर्ता खुद उस पर भरोसा कर रहा हो।
ऐसे पासवर्ड जो दोबारा इस्तेमाल न हों
थियो की कहानी में असली नुकसान गेमिंग अकाउंट खोना नहीं है: असली नुकसान वह पासवर्ड है जो ई-मेल पते पर भी दोहराया गया था। किशोर के फोन पर एक पासवर्ड मैनेजर इंस्टॉल करना और उसे साथ बैठकर सेट करना बीस मिनट लेता है और जोखिमों की एक पूरी श्रेणी खत्म कर देता है। CNIL और ANSSI दोनों अपनी आम जनता के लिए बनी गाइड में यही सलाह देते हैं।
फोन की अपनी फ़िल्टरिंग
Android और iOS अब अनजान भेजने वालों को छाँटना और संदिग्ध संदेशों को चिह्नित करना जानते हैं — Google ने तो 2026 में अपनी SMS ठगी पहचान प्रणाली फ्रांसीसी बाज़ार तक बढ़ा दी है। iPhone पर: Réglages → Messages → अनजान भेजने वालों को फ़िल्टर करें। Android Messages पर: सेटिंग्स में स्पैम सुरक्षा। यह अचूक नहीं है, लेकिन इससे शोर का बड़ा हिस्सा नज़रों से हट जाता है।
33700 वाली आदत
संदिग्ध SMS को मुफ्त में 33700 पर फॉरवर्ड करें (SMS स्पैम की शिकायत की आधिकारिक सेवा, जिसे Association française du multimédia mobile ऑपरेटरों के साथ मिलकर चलाता है)। सेवा जवाब में भेजने वाले का नंबर माँगती है, जिसे बस आगे भेज देना होता है। यह काम एक बार अपने किशोर के साथ मिलकर करना तमाम उपदेशों से बेहतर है: इससे एक डरावना संदेश एक ठोस कदम में बदल जाता है।
नाबालिग से जुड़ी सामग्री के लिए: 3018 (e-Enfance, मुफ्त, सप्ताह के सातों दिन) और अवैध सामग्री के लिए गृह मंत्रालय का प्लेटफॉर्म PHAROS।
उपकरण, जब उनका कोई मतलब हो
कुछ उपकरण घर को निगरानी चौकी बनाए बिना हालात बदल देते हैं। अंतर्निर्मित पैरेंटल कंट्रोल वाला राउटर पूरे घर के लिए समय-सीमा और DNS फ़िल्टरिंग तय करने देता है, बिना बच्चे के फोन में कोई जासूसी ऐप डाले। छोटे बच्चों के लिए बिना इंटरनेट ब्राउज़र वाला सरल मोबाइल फोन पूरे स्मार्टफोन से पहले एक समझदारी भरा पड़ाव है। और जो परिवार इस विषय को पाबंदियों की सूची से अलग तरीके से उठाना चाहते हैं, उनके लिए किशोरों के डिजिटल व्यवहार पर लिखी रोकथाम की कोई किताब अक्सर ऐसी बातचीत शुरू कर देती है जो मौखिक सलाहें नहीं करा पातीं।
चुप्पी पैदा किए बिना इस पर बात कैसे करें
यही सबसे मुश्किल हिस्सा है, और सबसे निर्णायक भी।
घटना से पहले नियम बता देना। शांति से, एक बार यह वाक्य कह देना चाहिए: «चाहे कुछ भी हो जाए, अगर तुम फँस जाओ, तो मुझे बताने की वजह से तुम्हारा फोन नहीं छिनेगा»। यही स्पष्ट भरोसा तय करता है कि पीड़ित एक घंटे में बात करेगा या तीन हफ्ते तक चुपचाप पैसे देता रहेगा।
नियम नहीं, किस्से सुनाएँ। «लिंक पर क्लिक मत करो» से कुछ नहीं होता। «तुम्हारी क्लास के एक लड़के ने SMS पर आया छह अंकों का कोड बता दिया और अपना अकाउंट गँवा दिया» से एक आदत बनती है।
एक ही, याद रखने लायक कसौटी दें। जो सबसे अच्छा काम करती है वह यह है: SMS पर आया कोड कभी किसी को नहीं दिया जाता, कभी नहीं, उस व्यक्ति को भी नहीं जो खुद को आधिकारिक सपोर्ट बताता हो। दस भूल जाने वाली सलाहों से बेहतर है एक अच्छी तरह बैठी हुई कसौटी।
जाँच का काम अपने हाथ में न रखें। किशोर को खुद आधिकारिक ऐप खोलना सिखाएँ, लिंक पर क्लिक करने के बजाय। यह एक कौशल है, निगरानी नहीं।
फँसने के बाद के एक घंटे में क्या करें
बिना बहस, इसी क्रम में तीन काम: पहुँच काटें, दस्तावेज़ बनाएँ, शिकायत करें।
- संबंधित अकाउंट का — और उन सभी अकाउंट का जिनका पासवर्ड एक जैसा था — पासवर्ड बदलें। हो सके तो किसी दूसरे डिवाइस से।
- अकाउंट की सुरक्षा सेटिंग्स में जाकर सभी सक्रिय सेशन लॉग आउट करें।
- कुछ भी डिलीट करने से पहले बातचीत, भेजने वाले का नंबर और लिंक का URL स्क्रीनशॉट करें। ये भविष्य की शिकायत के सबूत हैं।
- अगर बैंकिंग जानकारी साझा हुई हो तो तुरंत बैंक को सूचित करें: कार्ड ब्लॉक कराएँ और रोक लगवाएँ। अनधिकृत लेनदेन के लिए रिफंड का अधिकार मौद्रिक एवं वित्तीय संहिता (अनुच्छेद L133-18 और आगे) में दिया गया है — बशर्ते जल्दी सूचित किया जाए।
- शिकायत करें: SMS के लिए 33700, नाबालिग शामिल हो तो 3018, अवैध सामग्री के लिए PHAROS, और थाने में या ऑनलाइन पूर्व-शिकायत के ज़रिए FIR दर्ज कराएँ।
- अगर अकाउंट संदेश फैलाने के काम आ रहा था तो संपर्कों को सूचित करें: एक साधारण «मेरा अकाउंट हैक हो गया है, क्लिक मत करना» शृंखला तोड़ देता है।
अनदेखा पहलू: 15 साल से पहले खोले गए अकाउंट
डिजिटल वयस्कता तय करने वाले 7 जुलाई 2023 के कानून के बाद से, 15 साल से कम उम्र के नाबालिग को किसी सोशल नेटवर्क पर पंजीकृत करने के लिए सैद्धांतिक रूप से माता-पिता की सहमति ज़रूरी है। हकीकत में यह जाँच काफी हद तक सिर्फ घोषणा पर टिकी है। नतीजा: बहुत से किशोरों के ऐसे अकाउंट हैं जिनके अस्तित्व से उनके माता-पिता अनजान हैं, और जो किसी मोबाइल नंबर और कभी-कभी इसी काम के लिए बनाए गए ई-मेल पते से जुड़े होते हैं।
यह तलाशी लेने से हल नहीं होता। यह साल में एक बार साथ बैठकर किए गए लेखे-जोखे से हल होता है, जिसमें बस यह सूचीबद्ध किया जाए: कौन-कौन से अकाउंट मौजूद हैं, किससे कौन-सा ई-मेल जुड़ा है, किसमें दो-चरणीय प्रमाणीकरण सक्रिय है। इस काम में आधा घंटा लगता है और लगभग हमेशा दो-तीन भूले हुए अकाउंट निकल आते हैं, जो अब भी चालू हैं और जिन पर पुराना पासवर्ड लगा है।
याद रखने लायक बातें
किशोरों को निशाना बनाने वाले ठगी के SMS वयस्कों वाले SMS के हल्के संस्करण नहीं हैं। वे दूसरे ही तार छेड़ते हैं: गेमिंग अकाउंट की कीमत, जल्दी पैसा कमाने की चाहत, फैसले का डर, और प्रतिक्रिया की रफ्तार।
तकनीकी सुरक्षा मायने रखती है — SMS के बजाय दूसरे तरीके से दो-चरणीय प्रमाणीकरण, अलग-अलग पासवर्ड, अनजान भेजने वालों की फ़िल्टरिंग। लेकिन इसका मूल्य तभी है जब बातचीत का रास्ता खुला रहे। जो किशोर जानता है कि वह «मुझसे एक गलती हो गई» कहकर आ सकता है और उसका फोन नहीं छिनेगा, वह एक घंटे में वह बात बता देता है जिसे शर्म एक महीने तक खिंचवा देती।
यही, बहुत बड़े अंतर से, घर का सबसे कारगर सुरक्षा उपाय है।
