SIM Swap Fraud, आपका नंबर छिनते ही OTP सुरक्षा क्यों बेकार हो जाती है

इस श्रेणी का हमला बाकी सबसे एक बात में अलग है। इसमें आपके फोन में कोई सेंध नहीं लगती, आपका कोई पासवर्ड नहीं चुराया जाता, और आपसे कोई लिंक नहीं खुलवाया जाता। SIM Swap Fraud में हमलावर आपका नंबर ले लेता है, और उसके बाद बाकी सब अपने आप उसके पास चला जाता है।

यही इसे इतना असरदार बनाता है, क्योंकि हमारी लगभग सारी सुरक्षा उसी नंबर पर टिकी होती है।

SIM Swap Fraud, यह होता क्या है

इसमें कोई व्यक्ति दूरसंचार कंपनी से आपके नंबर की नई सिम जारी करा लेता है, यह दिखाकर कि वह आप ही है। जिस क्षण नई सिम सक्रिय होती है, आपकी सिम बंद हो जाती है और आपका नंबर उसके फोन पर चला जाता है।

उसके बाद आपके नंबर पर आने वाला हर OTP, हर बैंक सूचना और हर पासवर्ड रीसेट का संदेश उसी के पास पहुँचता है। यानी दो-चरणीय सुरक्षा, जो हमें सबसे भरोसेमंद लगती है, इस स्थिति में सबसे कमज़ोर कड़ी बन जाती है।

हमला शुरू कहाँ से होता है

यहाँ एक बात समझना ज़रूरी है, यह तकनीकी हमला नहीं है। सुरक्षा शोध के अनुसार इस श्रेणी के अधिकांश मामलों में तकनीक नहीं, बल्कि लोगों को समझाना या भीतरी मिलीभगत काम आती है।

दो रास्ते सबसे आम हैं। पहला, आपकी निजी जानकारी इकट्ठा करके दूरसंचार कंपनी को यह विश्वास दिलाना कि सिम आप ही माँग रहे हैं। दूसरा, किसी वितरक या सेवा केंद्र पर किसी कर्मचारी की मिलीभगत। एक और बात दर्ज करने लायक है, नई सिम जारी करते समय पहचान की जाँच अक्सर उतनी कड़ी नहीं होती जितनी बिल्कुल नया कनेक्शन लेते समय होती है, और यही अंतर इस हमले की जगह बनाता है।

हर चरण और उसका संकेत

पहला संकेत जो सबसे ज़्यादा नज़रअंदाज़ होता है

इस पूरे हमले में आपको केवल एक संकेत मिलता है, और वह बहुत मामूली लगता है। आपके फोन का नेटवर्क अचानक चला जाता है, कॉल और संदेश बंद हो जाते हैं, और स्क्रीन पर केवल आपातकालीन कॉल की स्थिति दिखती है।

इसे तकनीकी दिक्कत मत मानिए

ज़्यादातर लोग इसे नेटवर्क की सामान्य समस्या समझकर कुछ घंटे इंतज़ार कर लेते हैं, और यही वे घंटे होते हैं जिनमें सारा नुकसान होता है। इसलिए नियम यह रखिए, अगर बिना किसी कारण नेटवर्क चला जाए और आसपास दूसरों का नेटवर्क ठीक चल रहा हो, तो किसी और फोन से तुरंत अपनी दूरसंचार कंपनी को कॉल कीजिए और पूछिए कि आपके नंबर पर कोई नई सिम जारी तो नहीं हुई। यह एक कॉल पूरे नुकसान को रोक सकती है।

क्रिप्टो खातों पर इसका सीधा असर

यह हिस्सा इस विषय को इस साइट के लिए सबसे प्रासंगिक बनाता है। अधिकांश एक्सचेंज खातों की दूसरी सुरक्षा परत SMS पर आने वाला OTP होती है, और यही वह परत है जो इस हमले में पूरी तरह टूट जाती है।

इसका मतलब यह है कि आपका पासवर्ड मज़बूत होने से भी काम नहीं चलेगा, क्योंकि हमलावर पासवर्ड तोड़ता नहीं, उसे रीसेट कर देता है। इसीलिए जहाँ भी उपलब्ध हो, SMS की जगह authenticator ऐप वाली व्यवस्था चुननी चाहिए, क्योंकि वह आपके नंबर से नहीं, आपके उपकरण से जुड़ी होती है। मंच चुनते समय यह भी देखने लायक है कि वहाँ यह विकल्प है या नहीं, जिसके बाकी मापदंड इस पेज पर हैं। जिनकी संपत्ति अपने वॉलेट में है, उन पर यह हमला सीधे लागू नहीं होता, और वह अंतर custody पेज पर समझाया गया है।

भारत में कौन सी सुरक्षा उपलब्ध है

कुछ व्यवस्थाएँ मौजूद हैं जिनके बारे में ज़्यादातर लोगों को पता नहीं होता। पहली, एक सरकारी पोर्टल जहाँ आप देख सकते हैं कि आपके नाम पर कुल कितने मोबाइल कनेक्शन चल रहे हैं, और जो आपके न हों उन्हें वहीं से बंद कराने की माँग कर सकते हैं।

दूसरी, नई सिम जारी होने के बाद एक तय अवधि तक उस नंबर को दूसरी कंपनी में पोर्ट नहीं किया जा सकता, जिससे धोखाधड़ी पकड़ने का समय मिलता है। तीसरी, पोर्ट कराने के लिए जो कोड आता है उसकी वैधता अब पहले से काफी कम रखी गई है। और चौथी, अनचाहे कॉल तथा संदेशों की शिकायत के लिए एक अलग मंच उपलब्ध है। इनमें सबसे उपयोगी पहली वाली है, और उसे हर कुछ महीनों में एक बार देख लेना चाहिए।

नंबरों को अलग-अलग रखने वाला उपाय

एक व्यावहारिक कदम है जो कुछ भी खर्च नहीं करता और जोखिम को काफी घटा देता है। अपने बैंक और निवेश खातों से जुड़ा नंबर वही मत रखिए जो आप सोशल मीडिया, खरीदारी और सामान्य पंजीकरण में देते हैं।

इसका कारण सीधा है। यह हमला आपकी निजी जानकारी इकट्ठा करने से शुरू होता है, और वह जानकारी वहीं से मिलती है जहाँ आपने नंबर सार्वजनिक रूप से दिया हो। जिस नंबर को कोई जानता ही नहीं, उस पर हमला करने का रास्ता भी नहीं खुलता। जिनके पास बड़ी होल्डिंग है उनके लिए यह अलगाव उतना ही ज़रूरी है जितना वॉलेट अलग रखना, और दोनों का तर्क एक ही है, नुकसान की अधिकतम सीमा पहले से तय कर देना।

हो जाए तो पहले घंटे में क्या करें

यहाँ क्रम मायने रखता है। पहला, किसी दूसरे फोन से अपनी दूरसंचार कंपनी को कॉल करके सिम ब्लॉक कराइए और यह दर्ज कराइए कि आपने कोई नई सिम नहीं माँगी थी।

दूसरा, बैंक और exchange को सूचित करके खाते रुकवाइए। तीसरा, 1930 पर कॉल करके cybercrime.gov.in पर शिकायत दर्ज कराइए, क्योंकि औपचारिक शिकायत के बिना न बैंक की जिम्मेदारी वाली प्रक्रिया चलती है और न दूरसंचार कंपनी अपने रिकॉर्ड देती है। चौथा, किसी दूसरे सुरक्षित उपकरण से अपने ईमेल का पासवर्ड बदलिए, क्योंकि ईमेल ही बाकी सब तक पहुँचने का रास्ता है। पाँचवाँ, किसी ऐसे व्यक्ति पर भरोसा मत कीजिए जो पैसा वापस दिलाने के बदले पहले शुल्क माँगे, जिसका पूरा क्रम इस कार्य-योजना पर है।

परिवार के लिए एक सरल नियम

इस विषय को घर में समझाते समय तकनीकी विवरण उल्टा पड़ता है। एक वाक्य ज़्यादा काम करता है, और वह यह है कि फोन का नेटवर्क बिना कारण चला जाना एक आपात स्थिति है, तकनीकी दिक्कत नहीं।

दूसरा वाक्य यह कि उस स्थिति में सबसे पहले किसी और फोन से अपनी दूरसंचार कंपनी को कॉल करना है, इंतज़ार नहीं करना। ये दो वाक्य याद रखना आसान है और यही इस हमले को रोकने की सबसे बड़ी कड़ी हैं, क्योंकि इस पूरे ढाँचे में आपको केवल यही एक चेतावनी मिलती है। बुज़ुर्गों और उन लोगों के लिए यह विशेष रूप से ज़रूरी है जो नेटवर्क की समस्या को सामान्य मानकर घंटों इंतज़ार कर लेते हैं।

Glossary

SIM Swap

आपके नंबर की नई सिम किसी और को जारी हो जाना, जिससे नंबर उसके पास चला जाता है।

SOS Only

वह स्थिति जब फोन पर केवल आपातकालीन कॉल संभव हो, जो इस हमले का पहला संकेत है।

Authenticator App

ऐसी व्यवस्था जो कोड आपके उपकरण पर बनाती है, नंबर पर नहीं भेजती।

Port-out

नंबर को एक कंपनी से दूसरी में ले जाना, जिस पर अब समय संबंधी शर्तें लागू हैं।

Insider Collusion

दूरसंचार सेवा केंद्र के किसी कर्मचारी की मिलीभगत, जो इस हमले का आम रास्ता है।

निष्कर्ष

इस हमले की पूरी ताकत इस बात में है कि हमारी अधिकांश सुरक्षा एक ही चीज़ पर टिकी है, हमारा मोबाइल नंबर। और उस नंबर की सुरक्षा हमारे नहीं, किसी और के हाथ में होती है। इसलिए SIM Swap Fraud से बचाव का सबसे असरदार कदम यही है कि जहाँ भी संभव हो, अपनी सुरक्षा को नंबर से हटाकर उपकरण पर ले जाइए, और नेटवर्क अचानक जाने को कभी मामूली मत समझिए। बाकी सुरक्षा नियम phishing पेज पर, वॉलेट स्तर की बात यहाँ, भारत में चल रहे तरीके इस पेज पर और समग्र परिदृश्य India हब पर उपलब्ध है।

अस्वीकरण

यह लेख जागरूकता के लिए है और तकनीकी या कानूनी परामर्श नहीं है। सुरक्षा व्यवस्थाएँ और नियम समय के साथ बदलते हैं, इसलिए किसी भी प्रक्रिया के लिए संबंधित आधिकारिक स्रोत से पुष्टि करें।