फ़िशिंग और सोशल इंजीनियरिंग में क्या अंतर है?
सोशल इंजीनियरिंग किसी व्यक्ति को बहकाकर उससे जानकारी, पैसा या पहुँच हासिल करने का कोई भी प्रयास है। फ़िशिंग इसका सबसे आम रूप है, जो ईमेल या नकली वेबसाइट के ज़रिए किया जाता है। CISA आवाज़ के ज़रिए किए जाने वाले रूप को विशिंग और टेक्स्ट संदेश के ज़रिए किए जाने वाले रूप को स्मिशिंग भी कहता है।
कैलोवे पार्टनर्स नाम की एक काल्पनिक 30-व्यक्ति वाली वास्तुशिल्प फ़र्म की कल्पना करें। एक मंगलवार को वित्त सहायक लिया को तीन चीज़ें मिलती हैं। 7.58am पर 'प्रबंध निदेशक' की ओर से एक ईमेल: 'लिया, पूरा दिन बैठक में हूँ, संलग्न विवरण वाले आपूर्तिकर्ता को आज भुगतान कर दो, बैंक के नए विवरण हैं, यह बात हमारे बीच रहे'। एक संदेश: 'आपका पार्सल रोका गया है, दोबारा डिलीवरी के लिए £1.45 का शुल्क यहाँ भरें'। और एक व्यक्ति का फ़ोन, जो कहता है कि वह फ़र्म के सूचना प्रौद्योगिकी सेवा प्रदाता की ओर से बोल रहा है और लिया को अभी भेजा गया छह अंकों का कोड पढ़कर बताना होगा, ताकि वह 'आपका मेलबॉक्स ठीक कर सके'। तीनों अलग दिखते हैं। चाल एक ही है।
फ़िशिंग संदेश दबाव बनाने के लिए कौन-से तरीके अपनाते हैं?
फ़िशिंग संदेश दबाव बनाने के पाँच आम तरीके अपनाते हैं। NCSC इन्हें अधिकार का दावा, जल्दबाज़ी का दबाव, भावनाएँ, कमी का डर और ताज़ा घटनाएँ कहता है। टाइपिंग की गलती ढूँढने के बजाय इस तरीके को पहचानना ज़्यादा भरोसेमंद है।
प्राधिकार
संदेश आपके वरिष्ठ, बैंक, सरकारी संस्था या आपूर्तिकर्ता की ओर से आने का दावा करता है, ताकि आपको लगे कि उसका पालन करना चाहिए।
तात्कालिकता
बहुत कम समय-सीमा या दंड की धमकी, ताकि आप जाँचने से पहले ही कार्रवाई कर दें।
भावना
डर, घबराहट, जिज्ञासा या आशा, ताकि आप सोचने के बजाय तुरंत प्रतिक्रिया दें।
कमी
ऐसी चीज़ जिसकी उपलब्धता सीमित हो, जैसे पैसे वापस माँगने की समय-सीमा या सीमित टिकट।
समसामयिक घटनाएँ
खबर, कर जमा करने की अंतिम तारीखों या किसी चर्चित सेवा व्यवधान का लिंक, ताकि संदेश का आना स्वाभाविक लगे।
AI ने फ़िशिंग को कैसे बदला है?
AI ने फ़िशिंग संदेशों की भाषा को अधिक परिष्कृत बना दिया है, इसलिए सही वर्तनी और व्याकरण अब किसी संदेश के असली होने का प्रमाण नहीं हैं। CISA के मार्गदर्शन में अब यह बात सीधे कही गई है। हमलावर किसी सहकर्मी के लहजे में लिख सकते हैं, आपकी भूमिका के हिसाब से संदेश बना सकते हैं या कॉल पर किसी परिचित आवाज़ की नकल कर सकते हैं। इससे वर्तनी की गलतियों और अजीब अभिवादन वाली पुरानी जाँच-सूची कम उपयोगी हो जाती है, और अनुरोध की पुष्टि करना अधिक ज़रूरी हो जाता है। पैसे भेजने, बैंक विवरण बदलने, कोई कोड साझा करने या सामान्य प्रक्रिया को दरकिनार करने के अनुरोध की पुष्टि की जानी चाहिए, चाहे वह कितना भी विश्वसनीय लगे।
किसी संदिग्ध संदेश की चरण-दर-चरण पुष्टि कैसे करें?
किसी संदिग्ध संदेश की पुष्टि उसके बाहर जाकर करें: उसमें दिए लिंक, फ़ोन नंबर या उत्तर भेजने के पते का कभी इस्तेमाल न करें। उस व्यक्ति या संगठन से ऐसे संपर्क विवरण के ज़रिए संपर्क करें जिन पर आपको पहले से भरोसा हो।
1. रुकें और पहचानें कि कौन-सी चाल इस्तेमाल की जा रही है
पूछें कि किस तरह का दबाव डाला जा रहा है। गोपनीयता, जल्दबाज़ी और पैसे की माँग का एक साथ होना भुगतान धोखाधड़ी का जाना-पहचाना ढर्रा है।
2. सिर्फ़ भेजने वाले को नहीं, अनुरोध को भी जाँचें
दिखाई देने वाले नाम और कॉलर पहचान नकली हो सकते हैं। बैंक विवरण में बदलाव या कोड माँगा जाना चेतावनी का संकेत है, चाहे अनुरोध किसी की ओर से आता दिखे।
3. किसी अलग संचार माध्यम से पुष्टि करें
अपने रिकॉर्ड में मौजूद नंबर पर उस व्यक्ति को कॉल करें, या संस्था की वेबसाइट का पता खुद टाइप करें। CISA और NCSC दोनों यही सलाह देते हैं।
4. कोड या पासवर्ड कभी साझा न करें
असली सूचना प्रौद्योगिकी टीमें और बैंक आपसे एक बार इस्तेमाल होने वाला कोड या पासवर्ड बोलकर बताने को नहीं कहते।
5. इसकी सूचना दें
अपने ईमेल में रिपोर्ट करने वाला बटन इस्तेमाल करें और अपने सूचना प्रौद्योगिकी संपर्क को बताएँ। ब्रिटेन में आप संदिग्ध ईमेल [email protected] पर भेज सकते हैं; अमेरिका में CISA अपनी साइबर समस्या की रिपोर्ट करने की सेवा के ज़रिए रिपोर्ट स्वीकार करता है।
कमजोर और प्रभावी प्रतिक्रिया कैसी होती है?
कमज़ोर प्रतिक्रिया में ऊपरी तौर पर दिख रही बात पर भरोसा कर लिया जाता है। लीया प्रबंध निदेशक का नाम देखकर जवाब में पूछती है कि क्या भुगतान वाकई इतना ज़रूरी है। उसी नकली पते से तुरंत 'हाँ, कृपया अभी कर दें' का जवाब मिलता है और वह भुगतान कर देती है। वह संदेश को नज़रअंदाज़ करती है, लेकिन मदद करने के इरादे से फ़ोन करने वाले को कोड पढ़कर सुना देती है। वह व्यक्ति इस कोड से उसके मेलबॉक्स में साइन-इन कर लेता है।
अच्छी प्रतिक्रिया में अनुरोध की पुष्टि की जाती है। लीया को अधिकार का दावा, जल्दबाज़ी और गोपनीयता एक साथ दिखाई देते हैं। वह कर्मचारी सूची से प्रबंध निदेशक का मोबाइल नंबर लेकर फ़ोन करती है; उन्होंने कुछ भेजा ही नहीं था। वह लिंक पर टैप किए बिना पार्सल वाला संदेश मिटा देती है। वह फ़ोन करने वाले से कहती है कि वह सूचना प्रौद्योगिकी सेवा प्रदाता को वापस फ़ोन करेगी, फिर फ़ोन काटकर फ़र्म के अनुबंध में दिए नंबर पर सेवा प्रदाता को कॉल करती है; उन्होंने कोई फ़ोन नहीं किया था। वह तीनों घटनाओं की सूचना सूचना प्रौद्योगिकी विभाग को देती है और ईमेल रिपोर्टिंग पते पर भेजती है। न कोई भुगतान हुआ, न कोई कोड साझा किया गया।
अगर आप पहले ही क्लिक कर चुके हैं या जवाब दे चुके हैं, तो आपको क्या करना चाहिए?
अगर आपने पहले ही क्लिक कर दिया है, जवाब दे दिया है या कुछ साझा कर दिया है, तो सूचना प्रौद्योगिकी के अपने संपर्क को तुरंत बताएँ, क्योंकि तेज़ कार्रवाई नुकसान सीमित करती है और सूचना देने के लिए किसी को दोष नहीं दिया जाना चाहिए। जिस भी खाते के विवरण आपने दर्ज किए हैं, उसका पासवर्ड किसी दूसरे उपकरण से बदलें और बहु-कारक प्रमाणीकरण चालू करें। अगर पैसे या बैंक के विवरण शामिल थे, तो बैंक की वेबसाइट या अपने कार्ड पर दिए नंबर से बैंक को तुरंत फ़ोन करें।
फ़िशिंग के मामले में आम तौर पर कौन-सी गलतियाँ होती हैं?
सबसे आम गलती किसी संदिग्ध संदेश की जाँच के लिए उसी का जवाब देना है, क्योंकि इससे आप केवल हमलावर से ही पुष्टि माँगते हैं। अन्य गलतियाँ हैं: दिखाए गए नाम या कॉलर पहचान पर भरोसा करना, वर्तनी की गलतियों को ही पहचान का आधार बनाना, सदस्यता समाप्त करने वाले लिंक पर क्लिक करना, एक बार इस्तेमाल होने वाले कोड बोलकर बताना, और शर्म के कारण गलती के बाद चुप रहना।
Tosheo.ai में इस पाठ की क्या जगह है?
यह पाठ साइबर सुरक्षा श्रेणी और साइबर सुरक्षा पाठ्यक्रम का हिस्सा है। Tosheo.ai में अभ्यास कार्य आपको काल्पनिक संदेशों का एक समूह देता है और हर संदेश में इस्तेमाल की गई चाल बताने, सत्यापन का चरण लिखने और रिपोर्ट का मसौदा तैयार करने को कहता है। मूल्यांकन मानदंड दिखाते हैं कि आपसे कौन-सा चेतावनी संकेत छूट गया। यह कर्मचारियों और प्रबंधकों के लिए जागरूकता प्रशिक्षण है, तकनीकी ईमेल सुरक्षा का पाठ्यक्रम नहीं।
स्रोत और दायरा
NCSC, धोखाधड़ी वाले ईमेल, संदेश या कॉल को कैसे पहचानें (19 October 2026 को जाँचा गया) ↗
NCSC, धोखाधड़ी वाले ईमेल की रिपोर्ट करें (19 October 2026 को जाँचा गया) ↗
CISA, फ़िशिंग पहचानें और उसकी रिपोर्ट करें (जाँच की तारीख 19 October 2026) ↗
CISA, सोशल इंजीनियरिंग और फ़िशिंग हमलों से बचना (जाँच की तारीख 19 October 2026) ↗