फ़िशिंग वेबसाइटें (Phishing) कैसे आपका डेटा चुराती हैं और इनसे कैसे सुरक्षित रहें

1. फ़िशिंग (Phishing) क्या है और यह कैसे काम करती है

फ़िशिंग साइबर अपराध के सबसे पुराने और सबसे असरदार तरीकों में से एक है। यह शब्द 'fishing' (मछली पकड़ने) से आया है — जहाँ हमलावर एक बड़ा जाल (आमतौर पर ईमेल या मैसेज) फैलाते हैं इस उम्मीद में कि कोई पीड़ित उनके झांसे (bait) में आ जाए। एक फ़िशिंग वेबसाइट एक ऐसी नकली वेबसाइट होती है जिसे किसी असली वेबसाइट (जैसे आपका बैंक, ईमेल प्रोवाइडर, सरकारी पोर्टल, या कोई पॉपुलर ऑनलाइन शॉपिंग साइट) की तरह बिल्कुल हूबहू दिखने के लिए डिज़ाइन किया जाता है — जिसका एकमात्र मकसद आपको अपनी संवेदनशील जानकारी (जैसे क्रेडेंशियल्स या पासवर्ड) दर्ज करने के लिए गुमराह करना होता है।

जैसे ही आप किसी फ़िशिंग साइट पर अपना यूजरनेम और पासवर्ड लिखकर लॉगिन बटन दबाते हैं, वह जानकारी तुरंत हमलावर के सर्वर पर सुरक्षित भेज दी जाती है। इसके बाद आपको शायद असली वेबसाइट पर रीडायरेक्ट कर दिया जाए, जिससे आपको लगेगा कि यह सिर्फ एक 'ग्लिच' (तकनीकी खराबी) थी। लेकिन तब तक, हमलावर के पास आपके क्रेडेंशियल्स पहुँच चुके होते हैं और वे आपके असली खाते तक ऑनलाइन पहुँच बनाने में लग जाते हैं।

अधिकांश साइबर हमलों के लिए फ़िशिंग ही मुख्य जरिया होता है। रैनसमवेयर अटैक, बिजनेस ईमेल कॉम्प्रोमाइज और वित्तीय धोखाधड़ी के मामलों में यह नंबर वन तकनीक है। कई साइबर सुरक्षा रिपोर्टों के अनुसार, 90% से अधिक डेटा लीक फ़िशिंग ईमेल से ही शुरू होते हैं।

2. फ़िशिंग हमलों के प्रकार

भारत में स्मीशिंग (Smishing) का बढ़ता ख़तरा

भारत में बैंकिंग ग्राहकों को निशाना बनाने वाले SMS-आधारित फ़िशिंग (जिसे स्मीशिंग कहते हैं) में भारी बढ़त देखी गई है। इसके आम तरीकों में नकली IRDAI इंश्योरेंस मैसेज, इंडिया पोस्ट या दिल्लीवेरी (Delhivery) से नकली पार्सल डिलीवरी की सूचनाएं, 'आपके बैंक' से KYC एक्सपायर होने के नाम पर डराना, और आधार डिएक्टिवेट होने की चेतावनियाँ शामिल हैं। इन मैसेजों में छोटे किए गए (shortened) लिंक होते हैं, जो बिल्कुल असली दिखने वाले नकली बैंकिंग या सरकारी पोर्टल पर ले जाते हैं।

3. नकली वेबसाइटें कैसे बनाई जाती हैं

आपको लग सकता है कि एक असली जैसी दिखने वाली नकली वेबसाइट बनाने के लिए बहुत एडवांस्ड प्रोग्रामिंग स्किल्स की जरूरत होती होगी। लेकिन हकीकत इससे कहीं ज़्यादा डरावनी है — आज उपलब्ध फ़िशिंग टूलकिट्स ने हमलावरों के काम को बेहद आसान बना दिया है।

फ़िशिंग किट्स और टूलकिट्स (Phishing Kits)

फ़िशिंग किट बने-बनाए पैकेजेस होते हैं जिनमें किसी पॉपुलर वेबसाइट के HTML, CSS और Javascript की पूरी कॉपी होती है, साथ ही एक PHP बैकएंड होता है जो आपके दर्ज किए गए पासवर्ड आदि को कैप्चर करता है। कोई भी अपराधी डार्क वेब फ़ोरम या प्लेटफॉर्म से $5-$20 जैसी मामूली कीमत पर 'HDFC Bank' या 'SBI Internet Banking' की किट डाउनलोड कर सकता है, उसे किसी हैक किए गए वेब होस्टिंग खाते पर अपलोड कर सकता है, और 30 मिनट से भी कम समय में एक एक्टिव फ़िशिंग साइट तैयार कर सकता है।

HTTrack और वेबसाइट क्लोनिंग

HTTrack जैसे टूल्स किसी को भी केवल एक कमांड की मदद से किसी भी वेबसाइट की पूरी ऑफलाइन कॉपी बनाने की सुविधा देते हैं। हमलावर असली बैंक या ऑनलाइन सर्विस की वेबसाइट को क्लोन कर लेते हैं, फिर क्रेडेंशियल्स कैप्चर करने के लिए कुछ लाइनों का कोड जोड़ते हैं, और उसे असली जैसे दिखने वाले नकली डोमेन पर लाइव कर देते हैं।

एडवर्सरी-इन-द-मिडल (AiTM) फ़िशिंग

अधिक जटिल हमलों में AiTM प्रॉक्सी का उपयोग होता है। इसमें एक स्टेटिक क्लोन बनाने के बजाय, हमलावर आपके और असली वेबसाइट के बीच एक रियल-टाइम प्रॉक्सी सेट कर देता है। आप असली साइट की असली सामग्री को ही देखते और उपयोग करते हैं — लेकिन हमलावर रियल-टाइम में आपके ब्राउज़र कुकीज और लॉगिन क्रेडेंशियल्स को बीच में ही कैप्चर कर लेता है, जिससे वे टू-फैक्टर ऑथेंटिकेशन (MFA/2FA) को भी बाइपास कर देते हैं।

4. फ़िशिंग वेबसाइट की पहचान कैसे करें

भले ही फ़िशिंग साइटें आजकल बहुत असली जैसी लगती हैं, लेकिन कुछ ऐसे पक्के संकेत हैं जिनसे आप उनकी असलियत पकड़ सकते हैं:

डोमेन नेम (Domain Name) को बहुत ध्यान से देखें

यह सबसे महत्वपूर्ण चेक है। डोमेन नेम ही एकमात्र ऐसी चीज़ है जिसे कोई भी हमलावर असली जैसा हूबहू रजिस्टर नहीं कर सकता। कोई भी जानकारी डालने से पहले एड्रेस बार को बहुत गौर से देखें। पहले स्लैश (/) से ठीक पहले वाले मुख्य टेक्स्ट पर ध्यान दें — वही असली डोमेन नेम होता है।

ध्यान रखने योग्य अन्य चेतावनी संकेत (Red Flags)

• जल्दबाज़ी करने को कहना (Urgency): "आपका खाता 24 घंटे में ब्लॉक हो जाएगा," "तुरंत कार्रवाई आवश्यक है" — यह आपके सोचने-समझने के समय को कम करने के लिए किया जाता है।
• व्याकरण और स्पेलिंग की गलतियाँ: एक प्रतिष्ठित बैंक के आधिकारिक पेज पर स्पेलिंग की गलतियाँ होना एक बहुत बड़ा चेतावनी संकेत है।
• गायब या गलत लोगो (Logo): लोगो धुंधले, थोड़े अलग रंग के या पुराने हो सकते हैं।
• काम न करने वाले लिंक्स: फ़िशिंग साइटों पर फुटर के लिंक्स या अन्य मेनू अक्सर काम नहीं करते या खाली पेज पर ले जाते हैं।
• ज़रूरत से ज़्यादा जानकारी माँगना: कोई भी बैंक कभी भी एक ही पेज पर आपके कार्ड का पूरा नंबर, CVV, एक्सपायरी डेट और पिन एक साथ नहीं माँगता।
• याद की गई लेआउट से अलग होना: अगर साइट का रूप-रंग अचानक बदला हुआ लगे, तो हमेशा अपनी याददाश्त पर भरोसा करें कि वह आमतौर पर कैसी दिखती है।
• सॉफ्टवेयर इंस्टॉल करने के पॉप-अप: वैध बैंकिंग वेबसाइटें कभी भी पॉप-अप के ज़रिये आपको कोई ऐप या थर्ड-पार्टी सॉफ्टवेयर डाउनलोड करने के लिए नहीं कहतीं।

5. हमलावर डोमेन नेम के साथ क्या खेल खेलते हैं?

हमलावर डोमेन नेम के साथ बहुत चालाकी करते हैं। वे जानते हैं कि अधिकांश लोग यूआरएल को ध्यान से पूरे अक्षरों में पढ़ने के बजाय सिर्फ एक सरसरी नज़र डालते हैं। यहाँ यूआरएल में की जाने वाली हेरफेर की आम तकनीकें दी गई हैं:

6. भारत में होने वाले फ़िशिंग के वास्तविक उदाहरण

फेक SBI YONO ऐप लॉगिन पेज

SBI का YONO ऐप भारत में सबसे ज़्यादा निशाना बनाए जाने वाले ब्रांड्स में से एक है। जालसाज YONO लॉगिन पेज के बिल्कुल हूबहू क्लोन बनाते हैं और व्हाट्सएप संदेशों के ज़रिये फैलाते हैं जिनमें दावा किया जाता है कि 'यदि आप अपना KYC अपडेट नहीं करते हैं तो YONO सेवा निलंबित कर दी जाएगी।' लाखों भारतीय ग्राहकों को ये मैसेज मिलते हैं। नकली पेज इंटरनेट बैंकिंग क्रेडेंशियल और ओटीपी को रीयल-टाइम में कैप्चर कर लेते हैं, जिससे वे मिनटों में पैसे ट्रांसफर कर लेते हैं।

फेक इनकम टैक्स रिफंड पोर्टल्स

हर टैक्स फाइलिंग सीजन में, आयकर विभाग के आधिकारिक पोर्टल (incometax.gov.in) की नकल करने वाली फ़िशिंग साइटों की बाढ़ आ जाती है। ईमेल और एसएमएस में दावा किया जाता है कि 'आपका ₹X,XXX का रिफंड तैयार है। अपने बैंक खाते के विवरण को अपडेट करने के लिए यहाँ क्लिक करें।' जो पीड़ित इस पर क्लिक करते हैं, वे अपना पैन, आधार और बैंक खाता विवरण सीधे हमलावर को सौंप देते हैं।

नकली UPI पेमेंट कलेक्ट रिक्वेस्ट्स

यह भारत का एक अनोखा फ़िशिंग तरीका है — जहाँ हमलावर यूपीआई पेमेंट कलेक्ट रिक्वेस्ट भेजते हैं (यह पैसे भेजने का उल्टा है — जिसमें आपके खाते से भुगतान करने की मंज़ूरी माँगी जाती है) और उस पर लिख देते हैं 'Cashback Credit - पेमेंट प्राप्त करने के लिए क्लिक करें।' पीड़ित सोचते हैं कि वे पैसे पा रहे हैं, लेकिन वास्तव में वे अपने अकाउंट से पैसे कटने की मंज़ूरी और यूपीआई पिन दे देते हैं।

कॉलेज प्लेसमेंट के दौरान नकली जॉब ऑफर

कॉलेज प्लेसमेंट सीजन के दौरान टीसीएस (TCS), इंफोसिस, विप्रो या अमेज़न जैसी प्रतिष्ठित कंपनियों के नाम पर नकली नौकरी के ऑफ़र देने वाले फ़िशिंग ईमेल की बाढ़ आ जाती है। इन ईमेल में छात्रों से 'सिक्योरिटी डिपॉजिट जमा करने,' वित्तीय विवरणों के साथ 'विस्तृत फॉर्म भरने,' या एक संदेहास्पद 'रजिस्ट्रेशन ऐप' डाउनलोड करने को कहा जाता है जो असल में मालवेयर (Malware) होता है।

7. आपके क्रेडेंशियल्स दर्ज करने के बाद क्या होता है?

जैसे ही आप किसी फ़िशिंग साइट पर फॉर्म सबमिट करते हैं, हमलावर की तरफ से बेहद तेज़ी से घटनाओं का सिलसिला शुरू हो जाता है:

इंस्टेंट ऑटोमेटेड प्रोसेसिंग (Instant Automated Processing)

अधिकांश फ़िशिंग बैकएंड पूरी तरह से ऑटोमेटेड (स्वचालित) होते हैं। जिस सेकंड आपने डेटा सबमिट किया, उसी पल वह डेटाबेस में स्टोर हो जाता है और हमलावर के इनबॉक्स में सीधे ईमेल या टेलीग्राम चैनल के ज़रिये भेज दिया जाता है। ऑटोमेटेड स्क्रिप्ट्स आपके खाते में तुरंत लॉग इन करने की कोशिश करने लगती हैं, इससे पहले कि आपको भनक भी लगे।

क्रेडेंशियल स्टफिंग (Credential Stuffing)

यदि आपका ईमेल और पासवर्ड का कॉम्बिनेशन चोरी हो जाता है, तो उसे तुरंत ऑटोमेटेड क्रेडेंशियल स्टफिंग टूल्स में डाल दिया जाता है, जो इसका उपयोग सैकड़ों अन्य सेवाओं (जैसे Gmail, Amazon, Netflix, Flipkart, अन्य बैंकिंग ऐप्स) पर करके देखते हैं। चूंकि कई लोग एक ही पासवर्ड बार-बार इस्तेमाल करते हैं, इसलिए एक ही जगह हुए फ़िशिंग अटैक से उनके कई अकाउंट हैक हो जाते हैं।

डार्क वेब पर बिक्री

चोरी किए गए क्रेडेंशियल्स को पैक करके कुछ ही घंटों में डार्क वेब मार्केटप्लेस पर बेच दिया जाता है। भारत के बैंकिंग खातों के क्रेडेंशियल्स अकाउंट में मौजूद बैलेंस के आधार पर कुछ डॉलर से लेकर सैकड़ों डॉलर में बिकते हैं। यही वजह है कि आपके डेटा का दुरुपयोग ओरिजिनल ब्रीच के महीनों या सालों बाद भी हो सकता है।

अकाउंट को हथियाना और पैसे निकालना

आपके ईमेल अकाउंट का इस्तेमाल अन्य लिंक की गई सेवाओं के पासवर्ड बदलने के लिए किया जाता है। बैंक खातों से IMPS/NEFT/UPI के जरिए दूसरे फर्जी खातों (mule accounts) में पैसे ट्रांसफर कर दिए जाते हैं। सोशल मीडिया अकाउंट्स का इस्तेमाल आपके दोस्तों को ठगने के लिए किया जाता है। पीड़ित द्वारा सुरक्षा ब्लॉक लगाने से पहले जितनी जल्दी हो सके सब कुछ खाली कर दिया जाता है।

8. ब्राउज़र और टूल-आधारित सुरक्षा उपाय

ब्राउज़र की इन-बिल्ट सुरक्षा तकनीक

आधुनिक ब्राउज़रों में इन-बिल्ट फ़िशिंग और मालवेयर डिटेक्शन होता है जो लगातार अपडेट होने वाली ब्लॉकलिस्ट से यूआरएल की जाँच करता है। गूगल सेफ ब्राउजिंग (Chrome, Firefox और Safari द्वारा इस्तेमाल किया जाने वाला) रोज़ाना लाखों फ़िशिंग पेजों को ब्लॉक करता है। फिर भी, नए फ़िशिंग पेज हर पल बनते रहते हैं, इसलिए ब्लॉकलिस्ट में शामिल होने से पहले उनके पास सक्रिय रहने के लिए कुछ घंटों का समय मिल ही जाता है।

पासवर्ड मैनेजर: फ़िशिंग का सबसे बड़ा दुश्मन

यह एक बेहद असरदार लेकिन कम सराहना पाने वाला बचाव है। 1Password, Bitwarden या क्रोम का इन-बिल्ट पासवर्ड मैनेजर आपके पासवर्ड को केवल तभी ऑटोफिल करते हैं जब वर्तमान डोमेन बिल्कुल उसी डोमेन से मैच हो जहाँ के लिए पासवर्ड सेव किया गया था। यदि आप नकली sbi-net-banking पर हैं, तो आपका पासवर्ड मैनेजर क्रेडेंशियल ऑटोफिल नहीं करेगा। ऑटोफिल न होना इस बात का सीधा अलर्ट है कि कुछ गड़बड़ है।

सुरक्षा के लिए उपयोगी ब्राउज़र एक्सटेंशन

• Netcraft Anti-Phishing Extension — विशेष रूप से फ़िशिंग साइटों को लाइव पहचानने और ब्लॉक करने के लिए बनाया गया है
• uBlock Origin — विज्ञापन, ट्रैकर और संदेहास्पद कोड्स को ब्लॉक करता है
• HTTPS Everywhere — हर कनेक्शन को सुरक्षित एन्क्रिप्टेड HTTPS पर चलाने की कोशिश करता है
• Privacy Badger — अदृश्य ट्रैकर्स को ब्लॉक करता है जो व्यक्तिगत डेटा इकट्ठा करते हैं

9. फ़िशिंग से खुद को कैसे सुरक्षित रखें?

• एसएमएस या व्हाट्सएप लिंक्स से बचें: बैंक, सरकारी विभाग या कूरियर सर्विस के नाम पर व्हाट्सएप या एसएमएस में आने वाले लिंक्स पर कभी क्लिक न करें — हमेशा डायरेक्ट यूआरएल टाइप करके उपयोग करें।
• पासवर्ड मैनेजर का उपयोग: हमेशा एक पासवर्ड मैनेजर का इस्तेमाल करें — यह नकली वेबसाइटों पर आपके पासवर्ड खुद से नहीं भरेगा जिससे आप सुरक्षित रहेंगे।
• मल्टी-फैक्टर ऑथेंटिकेशन (2FA): टू-फैक्टर ऑथेंटिकेशन के लिए केवल मोबाइल नंबर पर आने वाले एसएमएस के बजाय ऑथेंटिकेटर ऐप्स का इस्तेमाल करें।
• महत्वपूर्ण साइट्स को बुकमार्क करें: अपने महत्वपूर्ण इंटरनेट बैंकिंग पेजों को ब्राउज़र में बुकमार्क करके रखें और हमेशा वहीं से एक्सेस करें।
• डोमेन नेम की स्पेलिंग परखें: लॉगिन करने या विवरण देने से पहले हमेशा डोमेन नेम की स्पेलिंग और उसका अंत (जैसे .com, .co.in, .net) ध्यान से देखें।
• एक ही पेज पर सभी विवरण न दें: कभी भी एक ही पेज पर अपने कार्ड का पूरा नंबर, CVV, एक्सपायरी डेट और OTP एक साथ दर्ज न करें — सुरक्षित गेटवे ऐसे काम नहीं करते।
• एंटीवायरस एक्टिव रखें: अपने सिस्टम को अपडेट रखें और विंडोज़ डिफेंडर (Windows Defender) की सुरक्षा या एक अच्छा एंटीवायरस सक्षम रखें।
• नियमित बैंक स्टेटमेंट चेक करना: अपने बैंक स्टेटमेंट्स और लेन-देन पर बराबर नज़र रखें — किसी भी अनधिकृत लेन-देन की रिपोर्ट 3 दिनों के भीतर बैंक से करके RBI नियमों के अनुसार नुकसान से बचें।
• वर्चुअल कार्ड का इस्तेमाल: ऑनलाइन खरीदारी के लिए जहाँ मुमकिन हो, मुख्य कार्ड के बजाय वर्चुअल कार्ड (Virtual Card) का ही इस्तेमाल करें।
• ट्रांजेक्शन अलर्ट एक्टिव करें: सभी छोटे-बड़े ट्रांजेक्शन के लिए एसएमएस और ईमेल अलर्ट ऑन रखें ताकी हर लेन-देन की खबर तुरंत मिले।

10. फ़िशिंग वेबसाइट की शिकायत कहाँ करें?

फ़िशिंग साइटों की रिपोर्ट करने से अन्य यूजर्स को सुरक्षा मिलती है और वे खतरनाक वेबसाइटें जल्दी बंद होती हैं। आपका एक छोटा कदम बेहद महत्वपूर्ण है: