«2,99 € सीमा शुल्क चुकाएं»: कस्टम क्लीयरेंस का फर्जी SMS इतना कारगर क्यों है

« आपका GLS-FR पार्सल छँटाई केंद्र पर रोक लिया गया है: 2,99 € का कस्टम क्लीयरेंस शुल्क बाकी है। प्रेषक को वापसी से बचने के लिए 48 घंटे के भीतर भुगतान करें: gls-regularisation-fr[.]top »

Angers की 61 वर्षीय Martine असल में दो पार्सलों का इंतज़ार कर रही थीं: एक मार्केटप्लेस से मँगाए जूते और उनकी बेटी द्वारा भेजा गया जन्मदिन का तोहफ़ा। उन्होंने बिना झिझक 2,99 € चुका दिए — रकम इतनी मामूली थी कि उन्होंने यह सोचा ही नहीं कि यह वाजिब है या नहीं। ग्यारह दिन बाद उनके स्टेटमेंट में साइप्रस में पंजीकृत एक «सब्सक्रिप्शन सेवा» के नाम 59,90 € की तीन कटौतियाँ दिखीं। मुद्दा कभी वे 2,99 € नहीं थे।

यही इस ठगी की पूरी चतुराई है, और इसीलिए यह सालों से टिकी हुई है जबकि हर कोई मानता है कि वह इसे पहचानता है: यह आपसे पैसे चुराने की कोशिश नहीं करती, यह कोशिश करती है कि आप खुद अपने सोलह अंक कीबोर्ड पर टाइप कर दें। प्रवेश मूल्य जान-बूझकर हास्यास्पद रखा जाता है, क्योंकि हास्यास्पद रकम सतर्कता को बंद कर देती है।

पार्सल फ्रांस का सबसे मुनाफ़ेदार बहाना क्यों है

आँकड़ों के हिसाब से, आप लगभग हमेशा किसी चीज़ का इंतज़ार कर रहे होते हैं

यही पूरे तंत्र की बुनियाद है। डिलीवरी के फर्जी SMS को आपके ऑर्डर जानने की ज़रूरत नहीं होती: वह संभावनाओं पर खेलता है। पार्सल बाज़ार पर Arcep के आँकड़ों के अनुसार फ्रांस में हर साल 1.5 अरब से ज्यादा पार्सल पहुँचाए जाते हैं, इसलिए एक इंटरनेट-सक्रिय वयस्क के पास महीने के किसी भी समय कोई शिपमेंट चल रहा होने की अच्छी संभावना रहती है — और अक्टूबर से जनवरी के बीच तो यह लगभग निश्चित है।

ठग अपना संदेश लाखों नंबरों पर भेजता है। उसे बस इतना चाहिए कि कुछ प्रतिशत प्राप्तकर्ता ठीक उसी क्षण किसी पार्सल के इंतज़ार में हों जब SMS पहुँचे। उनके लिए वह संदेश ठगी जैसा नहीं लगता: वह एक स्पष्टीकरण जैसा लगता है।

कूरियर कंपनी का नाम धुँधला होता है, और यह जान-बूझकर है

आपने शायद ध्यान दिया होगा कि ये SMS कभी-कभार ही सही कूरियर कंपनी का नाम लेते हैं। इसकी वजह यह है कि ई-कॉमर्स की दुनिया में किसी को ठीक-ठीक पता नहीं होता कि क्या कौन पहुँचा रहा है। आप किसी मार्केटप्लेस पर ऑर्डर करते हैं, विक्रेता किसी बिचौलिये के ज़रिये भेजता है, जो आख़िरी किलोमीटर का काम किसी स्थानीय सेवा-प्रदाता को सौंप देता है जिसका नाम आपने कभी सुना ही नहीं। किसी अनजान कूरियर का SMS आना अब आम बात हो गई है।

इस्तेमाल किए जाने वाले नाम लगातार बदलते रहते हैं: La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri, और 2025-2026 से ऐसे पूरी तरह गढ़े हुए नाम जो «लॉजिस्टिक्स» जैसे लगते हैं («EuroParcel», «FR-Logistics», «ColisExpress24»)। कोई अनजान नाम अब आपको चौकन्ना नहीं करता। ठीक यही असर चाहा जाता है।

सीमा शुल्क लगभग सभी के लिए एक धुँधला इलाका है

आयातित छोटे पार्सलों पर VAT छूट समाप्त होने और यूरोप के बाहर की प्लेटफ़ॉर्मों पर लागू शुल्कों से जुड़ी यूरोपीय बहसों के बाद यह विचार लोगों के दिमाग में बैठ गया है कि «विदेश से आए पार्सल के लिए सीमा शुल्क में कुछ चुकाना पड़ता है»। और इस बार यह बात गलत भी नहीं है: शुल्क वाकई मौजूद हैं।

Direction générale des douanes et droits indirects (DGDDI) अपनी वेबसाइट पर याद दिलाती है: तीसरे देशों से आने वाले शिपमेंट पर लगने वाले शुल्क और कर कूरियर कंपनी या la Poste द्वारा वसूले जाते हैं, डिलीवरी के दायरे में — कभी किसी अनजान प्रेषक द्वारा लिंक के साथ भेजे गए SMS से नहीं। लेकिन «यह झूठ है» और «यह मुमकिन लगता है» के बीच, ठग को सिर्फ़ मुमकिन लगने की ज़रूरत होती है।

असली निशाना: बैंक कार्ड, 2,99 € नहीं

रकम इतनी छोटी क्यों

बड़ी रकम सोच-विचार जगाती है। दशमलव के बाद दो अंकों वाली रकम एक सहज प्रतिक्रिया जगाती है। तीन तंत्र एक-दूसरे पर चढ़े हुए काम करते हैं:

• दर्द की सीमा से कम रकम। 2,99 € चुकाने का मनोवैज्ञानिक रूप से कोई «खर्च» नहीं होता: गलती हो भी गई तो कोई बड़ी बात नहीं। दिमाग मानसिक शांति के पक्ष में फैसला कर लेता है।
• कहानी की संगति। जूतों की एक जोड़ी पर 300 € का कस्टम शुल्क झूठा लगेगा। 2,99 € ठीक उतना ही है जितना एक भरोसेमंद प्रशासनिक शुल्क होता है।
• भुगतान, कार्ड के ज़िंदा होने का सबूत। एक सफल सूक्ष्म-लेनदेन ठग के लिए तीन बातें पक्की कर देता है: कार्ड सक्रिय है, लिमिट उपलब्ध है, और धारक भुगतान बिना ज्यादा देखे मंज़ूर कर देता है।

फर्जी पेज पर असल में क्या-क्या बटोरा जाता है

भुगतान फॉर्म पूरे ढाँचे का केंद्र है। यह हमेशा उससे ज्यादा माँगता है जितनी 2,99 € के असली भुगतान के लिए ज़रूरत होती:

माँगी गई जानकारी	ठग द्वारा असल उपयोग
16 अंकों का नंबर, वैधता तिथि, CVV	ऑनलाइन भुगतान, «कार्ड किट» की पुनर्बिक्री
नाम, पूरा पता	AVS जाँच से बचना, आगे के कॉलों की विश्वसनीयता
फोन नंबर	कुछ ही मिनटों में फर्जी बैंक सलाहकार की कॉल
बैंक और लॉगिन जानकारी	ऑनलाइन बैंकिंग खाते पर कब्ज़ा
SMS से मिला कोड (3-D Secure)	2,99 € से कहीं बड़े लेनदेन की पुष्टि

यही आख़िरी बिंदु 3 € की ठगी और 3,000 € की ठगी के बीच का फर्क तय करता है। पेज पर लिखा दिखता है «2,99 € के भुगतान की पुष्टि — SMS से मिला कोड दर्ज करें»। लेकिन वह कोड आपके असली बैंक ने एक ऐसे लेनदेन के लिए जारी किया है जिसकी रकम आपको दिखाई नहीं देती: कोई आवर्ती सब्सक्रिप्शन, मोबाइल वॉलेट में कार्ड जोड़ना, या किसी पेमेंट अकाउंट का रीचार्ज।

क्लिक के बाद तीन संभावित अंजाम

1. छिपा सब्सक्रिप्शन। कार्ड को विदेश में स्थित किसी «प्रीमियम सेवा» में 39 €, 49 € या 59 € प्रति माह पर दर्ज कर दिया जाता है, जिसकी शर्तें बहुत ही बारीक अक्षरों में होती हैं। कटौती कुछ हफ्तों बाद ही दिखती है।
2. डेटा सेट की पुनर्बिक्री। आपकी जानकारी एक ऐसे बाज़ार में पहुँच जाती है जहाँ उसे थोक में खरीदा जाता है। कटौती महीनों बाद हो सकती है, जिससे SMS के साथ कड़ी जोड़ना लगभग नामुमकिन हो जाता है।
3. फोन के ज़रिये अगला कदम। «आपके बैंक का सलाहकार» 48 घंटे के भीतर आपको फोन करता है, आपका असली नाम, असली बैंक और «2,99 € की संदिग्ध कटौती» का ज़िक्र करता है, और «रद्दीकरण» के नाम पर ट्रांसफर मंज़ूर करा लेता है। यही सबसे महँगा परिदृश्य है।

बारह सेकंड में नकली को पहचानें

दिखाए गए नाम को नहीं, डोमेन को देखें

एकमात्र ऐसा तत्व जिसे साफ-सुथरे तरीके से नकली बनाया नहीं जा सकता, वह है साइट का पता। असली कूरियर कंपनियाँ सरल और छोटे डोमेन इस्तेमाल करती हैं: laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com। नकली वाले किसी विचित्र एक्सटेंशन से पहले कीवर्ड का ढेर लगा देते हैं:

• laposte-colis-suivi-regularisation[.]icu
• chronopost-fr[.]support
• mondialrelay-paiement-securise[.]top
• colissimo[.]fr-tracking[.]cc — यहाँ असली नाम सिर्फ़ एक सबडोमेन है, असली साइट fr-tracking.cc है

व्यावहारिक नियम: डोमेन नाम को एक्सटेंशन से शुरू करके दाएँ से बाएँ पढ़ें। आख़िरी बिंदु से ठीक पहले का शब्द ही असली मालिक है। उसके बाईं तरफ जो कुछ है, वह कुछ भी कह सकता है।

वह ट्रैकिंग नंबर जो कुछ ट्रैक नहीं करता

असली ट्रैकिंग नंबर कूरियर कंपनी की आधिकारिक साइट पर, हाथ से दर्ज करके जाँचा जा सकता है। ठगी वाले SMS भरोसेमंद लगने वाले फॉर्मेट में लेकिन गढ़े गए रेफरेंस दिखाते हैं। दो मिनट काफी हैं: खुद कूरियर का ऐप या साइट खोलें, नंबर पेस्ट करें, और देखें कि वह मौजूद ही नहीं है। यह सबसे भरोसेमंद परीक्षण है, और इसमें किसी तकनीकी जानकारी की ज़रूरत नहीं।

गौण संकेत

• «प्रेषक को वापसी» से पहले 48 घंटे या 24 घंटे की मोहलत। कूरियर कंपनियाँ पार्सल कई दिन रखती हैं और कई माध्यमों से आपको याद दिलाती हैं।
• आपके नाम की अनुपस्थिति। असली डिलीवरी सूचनाओं में नाम लगभग हमेशा होता है।
• +33 6 या +33 7 से आया प्रेषक। कूरियर कंपनियाँ छोटे नंबर या अक्षर-अंक वाले प्रेषक नाम इस्तेमाल करती हैं, किसी निजी मोबाइल का नहीं।
• SMS से बैंक कार्ड की माँग, जबकि असली सीमा शुल्क डाकिया, रिले पॉइंट, या आपके ऑनलाइन खाते के ज़रिये वसूला जाता है।

शक हो तो संदेश से कभी क्लिक न करें। उसे बंद करें, कूरियर कंपनी का आधिकारिक ऐप खोलें और अपने शिपमेंट की स्थिति जाँचें। अगर कुछ भी रुका हुआ नहीं है, तो चुकाने को कुछ नहीं है।

पहला SMS आने से पहले ही हमले की सतह घटाएँ

जो कुछ भी ज़रूरी नहीं, उसके लिए वर्चुअल कार्ड

फ्रांस के ज्यादातर बैंक अब ऑनलाइन खरीदारी के लिए अस्थायी या सीमा-बद्ध कार्ड नंबर देते हैं। अनजान साइटों पर ऑर्डर करते समय हमेशा इसी नंबर का उपयोग करना पूरी तस्वीर बदल देता है: अगर आपका डेटा किसी फर्जी पेज पर बटोर भी लिया जाए, तो पंद्रह दिन बाद उसकी कोई कीमत नहीं रहती।

जो लोग बहुत खरीदारी करते हैं और हिसाब भूल जाते हैं, उनके लिए हाथ से रखी गई एक ऑर्डर ट्रैकिंग नोटबुक अक्सर एक नज़र में यह जानने के लिए काफी होती है कि आप वाकई किसी पार्सल का इंतज़ार कर रहे हैं या नहीं। बात बुनियादी है, लेकिन ठग ठीक यही शर्त लगाता है कि आपके पास ऐसा कुछ नहीं है।

लेटरबॉक्स की जगह पिकअप पॉइंट

रिले पॉइंट या लॉकर पर डिलीवरी कराने से आपको मिलने वाले वैध SMS की संख्या घटती है — और इसी शोर में फर्जी संदेश छिपता है। अगर आपके घर पर बहुत पार्सल आते हैं और आप कभी घर पर नहीं होते, तो एक सुरक्षित पार्सल बॉक्स उन बेवजह «डिलीवरी सूचनाओं» को भी कम करता है जो ठगों के लिए नमूना बनती हैं।

संवेदनशील SMS को जैसे-तैसे न पढ़ें

जाल का एक हिस्सा पढ़ने के तरीके में छिपा है: 5 इंच की स्क्रीन पर, चलते-चलते, साइट का पता कटा हुआ दिखता है और आँख सिर्फ़ «laposte» देखती है। वित्तीय संदेशों को रुककर जाँचने की आदत डालना, और ज़रूरत पड़े तो पास में पढ़ने का चश्मा रखना, बहुत से सहज क्लिक टाल देता है। बड़े बटन वाला फोन इस्तेमाल करने वाले बुजुर्गों के लिए एक्सेसिबिलिटी सेटिंग्स में फॉन्ट बड़ा करना सबसे उपयोगी कदम है — 20 आकार में लिखा लिंक पढ़ा जाता है, 11 आकार में लिखा लिंक अंदाज़े से समझा जाता है।

सिर्फ़ फोन नहीं, भुगतान को भी लॉक करें

अपने बैंक के ऐप में तीन सेटिंग्स एक बार में ही चालू कर लें:

• हर लेनदेन की, चाहे एक यूरो का हो, तत्काल सूचना;
• ऑनलाइन भुगतान की सीमा घटाकर उतनी रखें जितनी आपको वाकई ज़रूरत है;
• अगर आप विदेश से ऑर्डर नहीं करते तो यूरो क्षेत्र के बाहर के भुगतान ब्लॉक कर दें।

150 € की सीमा पर नाकाम हो जाने वाली ठगी आपको कुछ नहीं पड़ेगी, चाहे आपने क्लिक कर दिया हो।

आपने 2,99 € चुका दिए: अब क्या करें

एक घंटे के भीतर

1. बैंक ऐप से या 0 892 705 705 पर इंटरबैंक सर्वर के ज़रिये कार्ड ब्लॉक कराएँ। ब्लॉक कराने से पहले हो चुकी कटौतियाँ रद्द नहीं होतीं, लेकिन आगे सब कुछ रुक जाता है।
2. अगले कुछ दिनों में खुद को आपका बैंक बताने वाली किसी भी कॉल का जवाब न दें। फोन काट दें और कार्ड के पीछे लिखे नंबर पर खुद कॉल करें।
3. अगर आपने उन्हें दर्ज किया था तो अपने ऑनलाइन बैंकिंग और ईमेल के पासवर्ड बदलें।
4. SMS, साइट के पते और स्टेटमेंट के स्क्रीनशॉट लें: यही आपका दस्तावेज़ बनेगा।

आने वाले दिनों में

• SMS को 33700 पर फॉरवर्ड कर रिपोर्ट करें (मुफ़्त, ठगी वाले संदेशों के खिलाफ फ्रांसीसी ऑपरेटरों की साझा सेवा), और पूछे जाने पर प्रेषक का नंबर भेजें।
• साइट का पता Phishing Initiative प्लेटफॉर्म पर और ठगी की घटना cybermalveillance.gouv.fr पर रिपोर्ट करें, जहाँ आम नागरिकों के लिए अनुकूल सहायता प्रक्रिया मौजूद है।
• शिकायत दर्ज कराएँ, ऑनलाइन या थाने में। Code monétaire et financier की धारा L.133-18 अनधिकृत भुगतान लेनदेन की वापसी का प्रावधान करती है; हालाँकि बैंक गंभीर लापरवाही का तर्क दे सकता है, और शिकायत दर्ज होना बातचीत में वज़न रखता है।
• छह महीने तक अपने स्टेटमेंट पर नज़र रखें। छिपे सब्सक्रिप्शन और देर से होने वाली कटौतियाँ ही इस ठगी का असली बिल हैं। अगर आपका बैंक मना करे, तो बैंकिंग मध्यस्थ (médiateur bancaire) के पास जाएँ और ज़रूरत पड़ने पर Banque de France तक।

और अगर आपने सिर्फ़ क्लिक किया, कुछ दर्ज नहीं किया?

जोखिम कम है, लेकिन शून्य नहीं। स्मिशिंग लिंक पर अकेले क्लिक से मुख्य रूप से यह पुष्टि होती है कि आपका नंबर सक्रिय है: आगे के हफ्तों में संदेशों की बाढ़ के लिए तैयार रहें। Android पर, अगर इस दौरान Play Store के बाहर से कोई ऐप इंस्टॉल हुआ है, तो उसे तुरंत हटाएँ और सेटिंग्स में SMS तक पहुँच की अनुमतियाँ जाँचें। आम सलाह यहाँ भी लागू होती है: अपना डेटा नियमित रूप से किसी एन्क्रिप्टेड USB ड्राइव पर बैकअप रखने से आप संदिग्ध फोन को कुछ भी गँवाए बिना रीसेट कर सकते हैं।

यह ठगी बाकी सब के बारे में क्या बताती है

फर्जी सीमा शुल्क SMS एक क्लासिक बन चुका है क्योंकि यह एक ऐसे सिद्धांत पर टिका है जो पार्सलों से बहुत आगे जाता है: कम माँगो, बहुत पाओ। यही 35 € के फर्जी जुर्माना SMS में, 1 € में Vitale कार्ड के फर्जी नवीनीकरण में, 1,79 € के फर्जी पुनः-प्रेषण शुल्क में दिखता है। हर बार वह नन्ही रकम बेहोश करने वाली दवा का काम करती है।

इसलिए इसका तोड़ तकनीकी नहीं, व्यवहारिक है: यह मानें कि SMS से माँगी गई छोटी रकम बड़ी रकम से ज्यादा संदिग्ध है। 2,000 € माँगने वाला ठग आपको सचेत कर देता है। 2,99 € माँगने वाला ठीक इसी भरोसे पर चलता है कि आप सचेत नहीं होंगे। इस सहज प्रतिक्रिया को उलट देना ही काम का मुख्य हिस्सा है — और जिन घरों में कई लोग एक ही कार्ड या खाता साझा करते हैं, वहाँ पारिवारिक कंप्यूटर के पास रखी एक छोटी डिजिटल सुरक्षा गाइड अक्सर दस भुला दी गई सलाहों से ज्यादा काम करती है।

बाकी बात एक वाक्य में है: तीन यूरो के लिए कोई पार्सल कभी नहीं खोता। अगर कोई शिपमेंट वाकई रुका है, तो वह आपकी जाँच पूरी होने तक इंतज़ार करेगा।