फ़िशिंग ऐसा संदेश है जो दिखावा करता है कि वह किसी भरोसेमंद व्यक्ति या संस्था से आया है, जैसे बैंक, डिलीवरी कंपनी, आपका नियोक्ता या कोई मित्र, ताकि आप किसी लिंक पर क्लिक करें, कोई फ़ाइल खोलें या अपना पासवर्ड दे दें। ये ईमेल, टेक्स्ट, मैसेजिंग ऐप और फ़ोन कॉल के ज़रिए आते हैं। संदेश अक्सर विश्वसनीय लगते हैं, लेकिन उनमें कुछ बातें समान होती हैं।
फ़िशिंग संदेश आमतौर पर क्या चाहता है?
लगभग हर फ़िशिंग संदेश तीन में से कोई एक चीज़ चाहता है: आप ऐसे पेज पर साइन इन करें जो भेजने वाले के नियंत्रण में है, ऐसी अटैचमेंट खोलें जो कुछ हानिकारक इंस्टॉल कर दे, या किसी गढ़ी हुई समस्या के कारण पैसे या जानकारी भेज दें। अनुरोध के आसपास की कहानी बदलती रहती है, पर मक़सद वही रहता है।
आम कहानियों में लॉक हुआ खाता, छूटी हुई डिलीवरी, बकाया बिल, अचानक मिलने वाला रिफ़ंड, कोई इनाम, या मुसीबत में फँसा रिश्तेदार शामिल हैं जिसे तुरंत मदद चाहिए। जो भी संदेश पासवर्ड, वेरिफ़िकेशन कोड, भुगतान या पहचान पत्र की प्रति माँगे, उसे कोई कदम उठाने से पहले जाँच लें।
कौन-से संकेत फ़िशिंग संदेश को उजागर करते हैं?
कोई एक संकेत अकेले यह साबित नहीं करता कि संदेश नकली है, और अच्छी नकलें इन सबसे बच सकती हैं। फिर भी हर बार इन्हें जाँचना उचित है:
दबाव। संदेश कहता है कि आपके पास बस कुछ घंटे हैं, आपका खाता बंद हो जाएगा या इंतज़ार करने पर कुछ बुरा होगा।
भेजने वाले का ऐसा पता जो लगभग सही है पर असल में ग़लत है, जैसे कोई अक्षर बदला हुआ या डोमेन में एक अतिरिक्त शब्द।
ऐसा लिंक जिसका दिखने वाला टेक्स्ट उसके गंतव्य से मेल नहीं खाता। कंप्यूटर पर आप उस पर कर्सर ले जा सकते हैं, और फ़ोन पर दबाकर रखने से पता दिख जाता है।
अनपेक्षित अटैचमेंट, ख़ासकर ज़िप फ़ाइल, ऐसा बिल जो आपने नहीं माँगा, या ऐसी फ़ाइल जो मैक्रो चालू करने को कहे।
गिफ़्ट कार्ड, क्रिप्टोकरेंसी या किसी नए खाते में बैंक ट्रांसफ़र से भुगतान करने का अनुरोध।
क्लिक करने से पहले क्या करना चाहिए?
रुकें और धीमे हों। भेजने वाला दबाव पर ही निर्भर करता है, इसलिए कुछ मिनट ठहर जाने से उसका ज़्यादातर फ़ायदा ख़त्म हो जाता है। जवाब न दें, संदेश में दिए नंबर पर कॉल न करें और लिंक या अटैचमेंट न खोलें।
फिर दावे की जाँच ऐसे रास्ते से करें जिस पर आप पहले से भरोसा करते हैं। कंपनी का ऐप खोलें या उसका पता ख़ुद ब्राउज़र में टाइप करें, और अपने खाते में वही सूचना खोजें। अपने कार्ड पर या कंपनी की आधिकारिक वेबसाइट पर छपे नंबर पर कॉल करें। अगर संदेश किसी सहकर्मी या रिश्तेदार का लगे, तो किसी दूसरे तरीके से, जैसे फ़ोन कॉल से, उनसे संपर्क करें और पूछें कि क्या उन्होंने भेजा है।
टेक्स्ट और कॉल भी फ़िशिंग का हिस्सा क्यों हैं?
फ़िशिंग सिर्फ़ ईमेल तक सीमित नहीं है। पार्सल, टोल या बैंक अलर्ट के बारे में टेक्स्ट संदेश आम हैं, और ऐसे लोगों के कॉल भी जो ख़ुद को आपके बैंक या सपोर्ट टीम का कर्मचारी बताते हैं। कॉल करने वाला आपकी स्क्रीन पर दिखने वाले नंबर को लगभग कुछ भी दिखा सकता है, इसलिए दिखाया गया नंबर कुछ साबित नहीं करता।
असली बैंक आपसे पैसे किसी “सुरक्षित खाते” में भेजने को नहीं कहेगा, और असली सपोर्ट टीम आपके फ़ोन पर अभी आया कोड नहीं माँगेगी। अगर कॉल करने वाला जल्दबाज़ी पैदा करे, तो कॉल काट दें और ऐसे नंबर पर वापस कॉल करें जो आपने ख़ुद खोजा हो। यही बात वॉइस मैसेज पर और किसी मित्र के हैक हुए खाते से पैसे माँगने वाले संदेशों पर भी लागू होती है।
अगर आप पहले ही क्लिक कर चुके हैं या पासवर्ड डाल चुके हैं तो?
यह सावधान लोगों के साथ भी होता है, और जल्दी कदम उठाने से सचमुच फ़र्क पड़ता है। इन चरणों को क्रम से करें:
समस्या से कनेक्शन तोड़ें। अगर आपने कोई फ़ाइल खोली और लगता है कि उसने कुछ चला दिया, तो उस डिवाइस का नेटवर्क कनेक्शन बंद करें और जाँच होने तक बंद रखें।
संबंधित खाते का पासवर्ड बदलें, हो सके तो किसी दूसरे डिवाइस से। अगर वही पासवर्ड कहीं और भी इस्तेमाल किया था, तो वहाँ भी बदलें।
टू-स्टेप वेरिफ़िकेशन चालू करें, अधिमानतः पासकी या ऑथेंटिकेटर ऐप के साथ, और खाते की सेटिंग में जाकर बाकी सेशन से साइन आउट करें।
अगर आपने कार्ड या बैंकिंग विवरण साझा किए हैं, तो तुरंत अपने बैंक से संपर्क करें। उनसे कार्ड ब्लॉक करने या असामान्य गतिविधि पर नज़र रखने को कहें।
ऐसे बदलाव खोजें जो आपने नहीं किए, जैसे ईमेल में नए फ़ॉरवर्डिंग नियम, नए रिकवरी पते या अपरिचित साइन-इन।
जिस सेवा का नाम लेकर संदेश आया था, उसे इसकी रिपोर्ट करें, और अगर खाते ने आपके नाम से संदेश भेजे हैं तो अपने संपर्कों को बताएँ।
शुरू से ही फ़िशिंग को कम हानिकारक कैसे बनाएँ?
आप हर संदेश को अपने तक पहुँचने से नहीं रोक सकते, इसलिए मक़सद यह है कि कोई संदेश निकल आए तो नुकसान सीमित रहे। हर खाते के लिए अलग पासवर्ड इस्तेमाल करें और उन्हें पासवर्ड मैनेजर में रखें, जो इसलिए भी काम आता है कि वह ग़लत पते वाली साइट पर पासवर्ड नहीं भरेगा। पासकी इससे भी आगे जाती हैं, क्योंकि उन्हें नकली पेज में टाइप ही नहीं किया जा सकता।
अपना फ़ोन और ऐप अपडेट रखें, और आधिकारिक स्टोर के बाहर के ऐप और फ़ाइलों से सावधान रहें। ऐसी जगहों पर कम चीज़ें रखें जिन्हें चुराया गया एक पासवर्ड खोल दे। आपके पासपोर्ट, टैक्स काग़ज़ों या अनुबंधों की प्रतियाँ ईमेल इनबॉक्स में पड़ी रहना ज़रूरी नहीं है, जहाँ एक सफल फ़िशिंग संदेश उन सबको उजागर कर सकता है।
यहीं Revault मदद कर सकता है। यह फ़ोटो, दस्तावेज़ और फ़ाइलें आपके डिवाइस पर एक एन्क्रिप्टेड तिजोरी में रखता है, और इसमें कोई Revault खाता नहीं है जिसे फ़िशिंग से निशाना बनाया जा सके। इससे आपको नकली संदेश भेजा जाना तो नहीं रुकता, लेकिन आपकी सबसे संवेदनशील फ़ाइलें आपके इनबॉक्स और क्लाउड खातों से बाहर रहती हैं। कोई भी टूल विवेक की जगह नहीं ले सकता, इसलिए सबसे ज़्यादा सुरक्षा देने वाली आदत सीधी-सी है: जब कोई संदेश कुछ ज़रूरी माँगे, तो पहले उसे किसी दूसरे तरीके से जाँच लें।