फ़िशिंग धोखाधड़ी

सरल परिभाषा

फ़िशिंग धोखाधड़ी वह धोखाधड़ी है जिसमें हमलावर किसी भरोसेमंद संस्था या व्यक्ति—जैसे ब्रोकर, एक्सचेंज, बैंक, नियामक संस्था, ग्राहक सहायता प्रतिनिधि या परिचित—का रूप धारण करके ईमेल, SMS, सोशल मीडिया, फोन कॉल या नकली वेबसाइट के ज़रिए उपयोगकर्ता से संवेदनशील जानकारी लेने या पैसे ट्रांसफर करवाने की कोशिश करता है।

ट्रेडरों के लिए जोखिम वाली जानकारी में लॉगिन पासवर्ड, वन-टाइम पासवर्ड (OTP), पहचान दस्तावेज़, बैंक कार्ड की जानकारी, ट्रेडिंग खाते की अनुमतियाँ, API कुंजियाँ, क्रिप्टो वॉलेट की सीड फ़्रेज़ या निजी कुंजी शामिल हो सकती हैं। फ़िशिंग कोई ट्रेडिंग रणनीति नहीं है; यह खाते और धन की सुरक्षा से जुड़ा जोखिम है।

यह कैसे काम करती है

फ़िशिंग आम तौर पर “भरोसे” और “तत्काल कार्रवाई” के दबाव का उपयोग करती है। सामान्य प्रक्रिया इस प्रकार हो सकती है:

1. भरोसेमंद संस्था की नकल: असली ब्रोकर, एक्सचेंज या बैंक जैसे नाम, लोगो, ईमेल पते या वेब डिज़ाइन का उपयोग किया जाता है।
2. दबाव बनाना: कहा जाता है कि खाते में असामान्य गतिविधि है, मार्जिन कम है, निकासी रोक दी गई है, पहचान दोबारा सत्यापित करनी है या सुरक्षा नोटिस पर “सीमित समय” में कार्रवाई करनी है।
3. क्लिक या संपर्क के लिए उकसाना: लिंक पर क्लिक करने, अटैचमेंट डाउनलोड करने, QR कोड स्कैन करने, चैट ग्रुप में शामिल होने या कथित विशेष ग्राहक सेवा से संपर्क करने को कहा जाता है।
4. जानकारी लेना या खाते पर नियंत्रण पाना: नकली लॉगिन पेज, रिमोट असिस्टेंस सॉफ़्टवेयर या दुर्भावनापूर्ण अटैचमेंट के ज़रिए पासवर्ड, OTP या डिवाइस एक्सेस लिया जा सकता है।
5. धन ट्रांसफर या आगे की ठगी: हमलावर असली खाते में लॉगिन कर सकता है, निकासी विवरण बदल सकता है, निकासी शुरू कर सकता है या टैक्स, मार्जिन, अनफ़्रीज़ शुल्क जैसे नामों पर और भुगतान मांग सकता है।

ट्रेडिंग में आम परिदृश्य

संक्षिप्त उदाहरण

• आपको ब्रोकर की ओर से दिखने वाला ईमेल मिलता है, जिसका विषय है: “आपके खाते में असामान्य लॉगिन, 30 मिनट में सत्यापन करें।” लिंक खोलने पर पेज लगभग असली वेबसाइट जैसा दिखता है, लेकिन डोमेन में एक अतिरिक्त अक्षर है। यदि आप खाता और OTP दर्ज करते हैं, तो हमलावर तुरंत असली खाते में लॉगिन करने की कोशिश कर सकता है।
• कोई व्यक्ति सोशल प्लेटफ़ॉर्म पर खुद को एक्सचेंज की ग्राहक सेवा बताकर कहता है कि वह आपकी निकासी तेज़ कर सकता है, लेकिन वॉलेट की सीड फ़्रेज़ मांगता है। सीड फ़्रेज़ लीक होने पर वॉलेट की संपत्ति सीधे निकाली जा सकती है और अक्सर उसे वापस पाना कठिन होता है।
• SMS में कहा जाता है कि आपका ट्रेडिंग खाता अनफ़्रीज़ करने के लिए अतिरिक्त मार्जिन जमा करना होगा और भुगतान किसी व्यक्तिगत खाते या क्रिप्टो वॉलेट पते पर भेजने को कहा जाता है। ऐसे अनुरोधों से अत्यधिक सावधान रहें, खासकर जब उन्हें आधिकारिक App या वेबसाइट से सत्यापित न किया जा सके।

पहचानने के संकेत

इन संकेतों में से कोई एक अकेले धोखाधड़ी साबित नहीं करता, लेकिन जितने अधिक संकेत दिखें, जोखिम उतना अधिक हो सकता है:

• भेजने वाले का ईमेल, वेबसाइट URL या App नाम असली संस्था से थोड़ा अलग हो, जैसे एक अतिरिक्त अक्षर, बदला हुआ अक्षर या अनजान डोमेन प्रत्यय।
• शॉर्ट लिंक, QR कोड या कंप्रेस्ड अटैचमेंट का उपयोग हो और गंतव्य स्पष्ट न बताया जाए।
• पासवर्ड, OTP, सीड फ़्रेज़, निजी कुंजी, API कुंजी या पूर्ण बैंक कार्ड जानकारी मांगी जाए।
• खाते के फ्रीज़ होने, निकासी विफल होने, नियामकीय जांच या सीमित समय के ऑफ़र के नाम पर तुरंत कार्रवाई का दबाव बनाया जाए।
• व्यक्तिगत बैंक खाते, थर्ड-पार्टी वॉलेट या सत्यापित न किए जा सकने वाले पते पर भुगतान मांगा जाए।
• नुकसान की गारंटीड रिकवरी, खाते को निश्चित रूप से अनफ़्रीज़ करने या निवेश रिटर्न की गारंटी का दावा किया जाए।
• ग्राहक सेवा केवल निजी चैट ऐप पर बात करे और आपको आधिकारिक वेबसाइट या App के ज़रिए पहचान सत्यापित करने से रोके।

नए ट्रेडरों के लिए बचाव के तरीके

• आधिकारिक माध्यम से लॉगिन करें: वेबसाइट का पता स्वयं टाइप करें या सत्यापित स्रोत से डाउनलोड किया गया आधिकारिक App उपयोग करें; ईमेल या SMS लिंक से ट्रेडिंग खाते में लॉगिन न करें।
• डोमेन और प्रमाणपत्र जानकारी जांचें: स्पेलिंग, डोमेन प्रत्यय और पेज रीडायरेक्ट पर ध्यान दें; केवल लोगो या वेब डिज़ाइन देखकर भरोसा न करें।
• बहु-कारक प्रमाणीकरण सक्षम करें: अपेक्षाकृत सुरक्षित सत्यापन विधि का उपयोग करें और बैकअप कोड सुरक्षित रखें।
• महत्वपूर्ण क्रेडेंशियल साझा न करें: वैध संस्थाएँ आम तौर पर आपका पासवर्ड, OTP, सीड फ़्रेज़, निजी कुंजी या रिमोट कंट्रोल एक्सेस नहीं मांगतीं।
• API अनुमतियाँ सीमित रखें: यदि आप ट्रेडिंग API का उपयोग करते हैं, तो केवल आवश्यक अनुमति दें, निकासी अनुमति को डिफ़ॉल्ट रूप से चालू न रखें और कुंजियाँ समय-समय पर बदलें।
• आधिकारिक चैनल से सत्यापन करें: खाते के फ्रीज़ होने, निकासी समस्या या पहचान सत्यापन के अनुरोध पर पहले आधिकारिक वेबसाइट, आधिकारिक App या सार्वजनिक ग्राहक सेवा नंबर से पुष्टि करें।
• डिवाइस सुरक्षा बनाए रखें: सिस्टम और ब्राउज़र अपडेट रखें; अज्ञात स्रोतों के प्लगइन, रिमोट कंट्रोल सॉफ़्टवेयर या ट्रेडिंग टूल इंस्टॉल न करें।

यदि आपने लिंक खोल दिया या जानकारी दर्ज कर दी

यदि आपको संदेह है कि आप फ़िशिंग का शिकार हुए हैं, तो तेज़ी से कार्रवाई करना महत्वपूर्ण है, लेकिन ठग के निर्देशों का पालन जारी न रखें:

1. तुरंत संपर्क रोकें: आगे लिंक न खोलें, फ़ाइल डाउनलोड न करें और भुगतान न करें।
2. पासवर्ड बदलें: आधिकारिक माध्यम से लॉगिन करें और ट्रेडिंग खाते, ईमेल तथा संबंधित भुगतान खातों के पासवर्ड बदलें।
3. संदिग्ध अनुमतियाँ हटाएँ: लॉगिन डिवाइस, API कुंजियाँ, लिंक किया गया ईमेल, मोबाइल नंबर, निकासी पते और थर्ड-पार्टी अधिकृत एक्सेस की जांच करें।
4. आधिकारिक ग्राहक सेवा और बैंक से संपर्क करें: बताएं कि संभवतः फ़िशिंग हुई है और पूछें कि क्या खाता फ्रीज़ किया जा सकता है, लेनदेन रोका जा सकता है या अतिरिक्त सत्यापन लगाया जा सकता है।
5. सबूत सुरक्षित रखें: ईमेल, SMS, चैट रिकॉर्ड, लिंक, भुगतान प्रमाण और लेनदेन हैश जैसी जानकारी संभालकर रखें।
6. संबंधित संस्थाओं को रिपोर्ट करें: अपने स्थान के अनुसार वित्तीय नियामक, उपभोक्ता संरक्षण संस्था, साइबर अपराध रिपोर्टिंग प्लेटफ़ॉर्म या पुलिस को रिपोर्ट किया जा सकता है।

ये कदम नुकसान की वसूली की गारंटी नहीं देते, लेकिन आगे के नुकसान को कम करने और जांच के लिए सामग्री उपलब्ध कराने में मदद कर सकते हैं।

वैध सुरक्षा सूचना से अंतर

वैध वित्तीय संस्थाएँ सुरक्षा अलर्ट भेज सकती हैं या पहचान सत्यापन पूरा करने के लिए कह सकती हैं, लेकिन वे आम तौर पर आपको आधिकारिक चैनल से कार्रवाई करने को कहती हैं। वे अनजान लिंक में सभी क्रेडेंशियल दर्ज करने या निजी खाते में भुगतान करने के लिए नहीं कहतीं। निर्णय लेते समय आधिकारिक App, वेबसाइट नोटिस, अनुबंध दस्तावेज़ और सार्वजनिक ग्राहक सेवा नंबर को प्राथमिक आधार बनाएं; केवल ईमेल, SMS या सोशल मीडिया संदेश पर निर्भर न रहें।

संबंधित शब्द

• सोशल इंजीनियरिंग: मनोवैज्ञानिक प्रभाव का उपयोग करके जानकारी हासिल करने या कार्रवाई करवाने की तकनीक; फ़िशिंग इसका एक आम रूप है।
• नकली वेबसाइट: असली वेबसाइट के इंटरफ़ेस और डोमेन की नकल करने वाली साइट, जिसका उपयोग लॉगिन या भुगतान जानकारी चुराने के लिए किया जाता है।
• मैलवेयर: जानकारी चुराने, डिवाइस की निगरानी करने या सिस्टम को रिमोटली नियंत्रित करने वाला सॉफ़्टवेयर।
• बहु-कारक प्रमाणीकरण: पासवर्ड के अलावा अतिरिक्त सत्यापन चरण, जो खाते के दुरुपयोग का जोखिम कम करने में मदद करता है।
• खाता अधिग्रहण: हमलावर द्वारा खाते पर नियंत्रण पाकर जानकारी बदलना, ट्रेड करना या धन ट्रांसफर करना।

संदर्भ स्रोत

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing