फेक पार्सल डिलीवरी SMS और 5 रुपये के पेमेंट का खतरनाक ट्रैप

How Fake E-commerce Delivery Texts Steal Your Banking Credentials.

आजकल हम सुई से लेकर स्मार्टफोन तक सब कुछ ऑनलाइन ऑर्डर करते हैं। Amazon, Flipkart, Myntra या Swiggy— हमारे घरों में हर दिन कोई न कोई डिलीवरी बॉय आता ही है। जब आप किसी पार्सल का बेसब्री से इंतज़ार कर रहे हों, और अचानक आपके फोन पर एक SMS आए:

“Dear Customer, your package from India Post/BlueDart is on hold due to an incomplete address. Please update your address and pay Rs 5 for redelivery within 24 hours. Click here: [Fake Link]”

यह मैसेज पढ़ते ही आपके दिमाग में सबसे पहला ख्याल आता है, “अरे हाँ, मेरा एक पार्सल तो आने वाला था!” आप सोचते हैं कि 5 रुपये ही तो हैं, दे देता हूँ, वरना पार्सल वापस चला जाएगा। आप लिंक पर क्लिक करते हैं, अपनी कार्ड डिटेल्स या UPI पिन डालते हैं, और 5 रुपये कटने के बजाय आपके खाते से 50,000 रुपये उड़ जाते हैं।

इंडियन कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) और साइबर पुलिस के डेटा (2025-2026) के अनुसार, ‘स्मिशिंग’ (Smishing – SMS Phishing) यानी मैसेज के ज़रिए होने वाले फ्रॉड में डिलीवरी स्कैम्स आज नंबर 1 पर हैं। हैकर्स अब आपको कॉल करके OTP नहीं मांगते; वे आपके घर आने वाले पार्सल का लालच देकर आपको खुद अपना बैंक अकाउंट खाली करने पर मज़बूर कर देते हैं। आज हम इस पूरे स्कैम का एक बहुत ही सिंपल डिकोड करेंगे कि ये मैसेज इतने असली क्यों लगते हैं और कैसे महज़ 5 रुपये का यह जाल आपको लाखों का नुकसान पहुँचा सकता है।

द इल्यूजन: स्कैमर्स को कैसे पता कि आपने पार्सल आर्डर किया है?

लोगों को अक्सर लगता है कि “अगर मुझे डिलीवरी का मैसेज आया है, तो पक्का Amazon या कूरियर कंपनी का डेटाबेस हैक हुआ होगा। स्कैमर को कैसे पता कि मैं पार्सल का इंतज़ार कर रहा हूँ?”

यहाँ आपको स्कैमर्स के ‘प्रोबेबिलिटी गेम’ (Probability Game) यानी संभावना के गणित को समझना होगा। स्कैमर्स आपका फोन या अमेज़न अकाउंट हैक नहीं करते। भारत में हर दिन करोड़ों पार्सल डिलीवर होते हैं। स्कैमर कंप्यूटर सॉफ्टवेयर (Bulk SMS Panel) का इस्तेमाल करके एक साथ 1 लाख रैंडम नंबरों पर यह ‘पार्सल डिले’ (Parcel Delay) वाला मैसेज भेज देता है। गणित का सीधा सा नियम है— उन 1 लाख लोगों में से कम से कम 10,000 लोग ऐसे ज़रूर होंगे जिन्होंने हाल ही में ऑनलाइन कुछ आर्डर किया होगा और पार्सल का इंतज़ार कर रहे होंगे। जब उन 10,000 लोगों को यह मैसेज मिलता है, तो उन्हें लगता है कि यह मैसेज खासकर उन्हीं के पार्सल के लिए आया है। यह कोई हैकिंग नहीं है; यह एक ‘अंधेरे में चलाया गया तीर’ है जो अक्सर निशाने पर लग जाता है।

Related Post –  कैसे ब्लैकमेल हो रहे हैं कॉलेज स्टूडेंट्स?

SMS स्पूफिंग (SMS Spoofing): मैसेज असली क्यों लगता है?

एक और बड़ा कन्फ्यूज़न यह होता है कि मैसेज किसी आम 10-डिजिट वाले मोबाइल नंबर से नहीं, बल्कि VM-INPOST या AD-BLUDRT जैसे असली दिखने वाले ‘सेंडर आईडी’ (Sender ID) से आता है।

इसे साइबर दुनिया में ‘SMS Spoofing’ कहते हैं। टेलीकॉम के नियम थोड़े कमज़ोर होते हैं। स्कैमर्स डार्क वेब से या विदेशी सर्वर्स का इस्तेमाल करके कुछ फेक बल्क मैसेजिंग अकाउंट्स खरीद लेते हैं और सेंडर का नाम बदलकर किसी भी बड़ी कंपनी के नाम पर रख लेते हैं। कई बार तो आपका स्मार्टफोन भी धोखा खा जाता है और इस फेक मैसेज को उसी पुराने असली मैसेज वाले थ्रेड (Thread) में डाल देता है जहाँ आपके पुराने असली डिलीवरी मैसेज पड़े होते हैं। इससे यूज़र का भरोसा 100% पक्का हो जाता है कि मैसेज असली है।

द 5-रुपी ट्रैप (The Rs 5 Trap): यह स्कैम काम कैसे करता है?

इस स्कैम का पूरा आर्किटेक्चर (सिस्टम) 3 स्टेप्स में डिज़ाइन किया गया है। आइए इसे एक-एक करके समझते हैं:

स्टेप 1: फेक लैंडिंग पेज (Phishing Website) जब आप SMS में दिए गए लिंक पर क्लिक करते हैं, तो आप एक वेबसाइट पर पहुँचते हैं। यह वेबसाइट हूबहू India Post, BlueDart या Amazon जैसी दिखती है। वहाँ असली लोगो (Logo) लगा होता है, कलर्स बिल्कुल सेम होते हैं, और एक ‘ट्रैकिंग बार’ (Tracking Bar) भी दिख रहा होता है जो लाल रंग में दिखा रहा होता है— “Delivery Failed: Address Incomplete”।

स्टेप 2: एड्रेस अपडेट और ‘माइक्रो-पेमेंट’ वेबसाइट आपसे आपका नाम, पूरा पता, पिन कोड और मोबाइल नंबर डालने को कहती है। (यहाँ स्कैमर ने आपकी पूरी ‘पर्सनल आइडेंटिटी’ चुरा ली)। फिर स्क्रीन पर आता है: “पार्सल दोबारा भेजने के लिए कृपया 5 रुपये (या 10 रुपये) की नॉमिनल डिलीवरी फीस जमा करें।” यहीं पर सारा साइकोलॉजिकल खेल (Psychological Game) होता है। अगर स्कैमर 5000 रुपये मांगेगा, तो आप अलर्ट हो जाएंगे। लेकिन 5 रुपये की रकम इतनी छोटी है कि इंसान का दिमाग ‘रिस्क एनालिसिस’ (Risk Analysis) करना बंद कर देता है। आप सोचते हैं, “चलो दे देते हैं, 5 रुपये ही तो हैं।”

स्टेप 3: द लाइव OTP थेफ्ट (The Kill) आप पेमेंट करने के लिए अपने डेबिट/क्रेडिट कार्ड की 16-डिजिट डिटेल्स, एक्सपायरी डेट और CVV डालते हैं। अब ध्यान से समझिये पीछे क्या हो रहा है। आपने जो कार्ड डिटेल्स डाली हैं, वे सीधे स्कैमर के लैपटॉप पर लाइव दिख रही हैं। स्कैमर उसी समय किसी इंटरनेशनल वेबसाइट या वॉलेट (जैसे Crypto एक्सचेंज) पर 50,000 रुपये की शॉपिंग कार्ट बनाता है और आपके कार्ड की डिटेल्स वहाँ डाल देता है। आपके फोन पर बैंक से OTP आता है। आप वह OTP उस फेक वेबसाइट पर डाल देते हैं, यह सोचकर कि 5 रुपये कटेंगे। लेकिन बैकग्राउंड में स्कैमर का सॉफ्टवेयर वह OTP चुराकर असली पेमेंट गेटवे पर डाल देता है। और स्क्रीन पर ‘सक्सेस’ दिखने से पहले ही आपके अकाउंट से 50,000 रुपये गायब हो जाते हैं।

रेड फ्लैग्स (Red Flags): इस फेक डिलीवरी मैसेज को कैसे पहचानें? भले ही मैसेज कितना भी असली लगे, स्कैमर्स कुछ तकनीकी गलतियां ज़रूर करते हैं। आपको बस इन ‘रेड फ्लैग्स’ को चेक करना है:

• लिंक का URL चेक करें: असली इंडिया पोस्ट या किसी भी सरकारी साइट के अंत में हमेशा .gov.in होता है (जैसे www.indiapost.gov.in)। असली अमेज़न की साइट amazon.in है। फेक मैसेजेस में हमेशा अजीब से लिंक होते हैं, जैसे: indiapost-update-tracking.info, bluedart-redelivery.top, या bit.ly/3xYz. अगर लिंक में ‘.top’, ‘.xyz’ या अजीब सी स्पेलिंग है, तो वह 100% स्कैम है।

• कोई कंपनी SMS लिंक के ज़रिए पैसे नहीं मांगती: इस रूल को अपने दिमाग में बैठा लें। कोई भी कूरियर कंपनी, चाहे वह India Post हो या कोई प्राइवेट कंपनी, कभी भी एड्रेस अपडेट करने के लिए SMS लिंक के ज़रिए ऑनलाइन पेमेंट नहीं मांगती। अगर कोई एक्स्ट्रा चार्ज होता भी है, तो डिलीवरी बॉय पार्सल देते समय ‘कैश’ (Cash on Delivery) मांगता है।

• हड़बड़ी (Urgency) का पैटर्न: स्कैमर्स हमेशा कहेंगे “लिंक 24 घंटे में एक्सपायर हो जाएगा” या “पार्सल अभी वापस भेज दिया जाएगा।” जहाँ हड़बड़ी दिखे, वहाँ रुक जाएं।

एक वीडियो कॉल और लाखों की ब्लैकमेलिंग

द डिफेन्स ब्लूप्रिंट: खुद को और परिवार को कैसे सुरक्षित रखें? (Zero-Trust Rule)

ऑनलाइन डिलीवरी हमारी ज़िंदगी का हिस्सा बन चुकी है, इसलिए आपको अपने फोन को नहीं, अपनी आदतों को ‘अपडेट’ करना होगा:

1. डायरेक्ट ऐप ट्रैकिंग (Direct App Tracking): अगर आपको ऐसा कोई मैसेज आता है, तो मैसेज के लिंक पर कभी क्लिक न करें। अपना Amazon, Flipkart या Myntra का असली ऐप खोलें और ‘My Orders’ सेक्शन में जाकर अपने पार्सल का स्टेटस चेक करें। अगर पार्सल में कोई दिक्कत होगी, तो वह आपको असली ऐप के अंदर ही दिख जाएगी।

2. ब्लॉक और रिपोर्ट स्पैम: एंड्रॉइड (Android) और आईओएस (iOS) दोनों में मैसेज के अंदर ‘Report Spam’ का ऑप्शन होता है। फेक मैसेज को तुरंत रिपोर्ट करें ताकि गूगल और एप्पल का सिस्टम उसे बाकि लोगों तक पहुँचने से रोक सके।

3. थर्ड-पार्टी कीबोर्ड्स को डिसेबल करें: कई बार पेमेंट पेज पर जाने-अनजाने में आपके फोन का कीबोर्ड ही आपका डेटा रिकॉर्ड कर रहा होता है (Keyloggers)। बैंकिंग और पेमेंट्स के लिए हमेशा फोन के डिफ़ॉल्ट कीबोर्ड (जैसे Gboard या Apple Keyboard) का ही इस्तेमाल करें।

द रोड अहेड: एक क्लिक की कीमत

डिजिटल दुनिया में आपका सबसे बड़ा दुश्मन कोई हैकर नहीं, बल्कि आपकी अपनी ‘क्युरिओसिटी’ (Curiosity – उत्सुकता) और ‘जल्दबाज़ी’ है। स्कैमर्स आपके पार्सल का नहीं, आपके उस एक ‘क्लिक’ (Click) का इंतज़ार कर रहे हैं जो उनके हैकिंग इकोसिस्टम का दरवाज़ा खोल देगा। इसलिए, जब भी कोई अनजान लिंक आपके इनबॉक्स में आए, तो बस एक लंबी सांस लें और अपने ‘कॉमन सेंस’ का इस्तेमाल करें। पार्सल लेट हो जाए तो कोई बात नहीं, लेकिन आपका बैंक अकाउंट खाली नहीं होना चाहिए।