UPI, OTP और SIM-Swap स्कैम: असली तरीका, और 10 मिनट का Phone Lockdown

हर कुछ हफ्तों में आपके आसपास किसी न किसी की कहानी सुनने को मिलती है: एक "refund" जो account से पैसे निकाल ले गया, "बैंक" का call जो SIM बंद होने पर खत्म हुआ, या पुलिस की वर्दी में किसी का video call जिसने घंटों तक फंसाए रखा। ये random बदकिस्मती नहीं हैं — मुट्ठी भर well-tested scripts हैं, बड़े पैमाने पर चलाई जाती हैं, और काम इसलिए करती हैं क्योंकि इनका मकसद एक ही होता है: fraud आपसे खुद करवाना।

इस गाइड में असली scam playbook है, scam होने पर पहले 30 मिनट में क्या करना है, और एक 10 मिनट की checklist जो इनमें से ज़्यादातर हमलों को शुरू होने से पहले ही रोक देती है।

Playbook: ये scams असल में कैसे चलते हैं

Fake "refund" या UPI collect request। आपको किसी गलत payment, cashback या refund का call आता है, और कहा जाता है कि पैसे पाने के लिए UPI app पर एक request "accept" कर दीजिए। असली चाल यह है: collect request पैसे आने की सूचना नहीं, पैसे माँगने की request है। इसे अपने UPI PIN से approve करना पैसे बाहर भेजता है। कोई भी आपके account में बिना आपके PIN के पैसे नहीं डाल सकता — पैसे पाने के लिए कभी PIN की ज़रूरत नहीं होती।

Screen-share apps। खुद को bank support, delivery agent या tech support बताने वाला caller आपसे AnyDesk, TeamViewer या "QuickSupport" install करवाकर screen share करवा लेता है — "problem ठीक करने" के बहाने। Connect होते ही वह आपकी screen पर सब देख सकता है, OTP आते ही पढ़ सकता है, और अक्सर आपका phone सीधे control भी कर सकता है।

OTP-by-call (vishing)। कोई भी असली bank, UPI app या सरकारी दफ्तर कभी call करके OTP बोलने को नहीं कहता। यह call — चाहे कितनी भी official लगे, caller को आपकी कितनी भी जानकारी हो, caller ID कुछ भी दिखाए — खुद ही scam है।

"Digital arrest" और fake police। Caller दावा करता है कि आपका Aadhaar, कोई courier या नंबर किसी crime से जुड़ा है — drugs, money laundering, गुम passport — और आपको "police" वर्दी वाले किसी शख्स के साथ video call पर बिठा देता है, कभी-कभी fake FIR या court order दिखाकर। कहा जाता है कि camera पर बने रहिए और arrest से बचने के लिए "verification" या "RBI safe" account में पैसे भेजिए। भारतीय कानून में इसका कोई आधार नहीं है। कोई एजेंसी video call पर arrest नहीं करती, और "बेगुनाही साबित" करने के लिए पैसे कभी नहीं माँगेगी।

Fake KYC-update SMS। एक text आता है कि KYC update नहीं की तो bank account, PAN या SIM बंद हो जाएगा — साथ में एक link। वह link या तो नकली bank login page पर ले जाता है जो आपकी details चुरा लेता है, या एक APK install करवा देता है जो screen पढ़ने लगता है।

Telecom store पर fake ID से SIM-swap। जिस scammer के पास आपकी basic details पहले से हैं (data breach से लीक या phishing से जुटाई गई), वह किसी telecom outlet में जाली ID लेकर पहुँचता है, आपका SIM "खो गया" बताता है, और आपके नंबर पर replacement SIM ले लेता है। जैसे ही वह activate होता है, आपका असली SIM बंद हो जाता है, और अब हर OTP उसी के पास जाता है — net-banking का password reset करने वाला भी।

Job और "task" scams। WhatsApp या Telegram पर message आता है — रोज़ ₹2,000–₹5,000 कमाने का, बस video like करो, app rate करो। भरोसा बनाने के लिए छोटी रकम सच में मिलती भी है। फिर आपको "combo tasks" में डाला जाता है जहाँ बड़े return के वादे पर खुद अपने पैसे prepay करने पड़ते हैं — जो कभी वापस नहीं आते। कुछ मामलों में threat और fake legal notice भेजकर और पैसे माँगे जाते हैं, "case बंद करने" के नाम पर।

Loan-app वसूली। कोई unregistered instant-loan app छोटी रकम देता है, फिर कुछ ही दिनों में भारी markup के साथ चुकाने की माँग करता है। देर होने पर — या समय पर चुकाने पर भी — app के recovery agents आपके contacts को morphed photos और धमकियों के साथ परेशान करते हैं। Loan agreement में कुछ भी लिखा हो, यह गैरकानूनी है; RBI-regulated lenders आपके contacts, gallery या location तक पहुँच ही नहीं सकते।

Red flags — एक जगह

• कोई भी call, SMS या app जो OTP बोलने को कहे — बस, हमेशा scam है
• कोई "refund" या "cashback" जिसके लिए UPI request approve करनी पड़े, न कि सीधे account में आ जाए
• "समस्या ठीक करने" के लिए screen-share app install करने का दबाव
• Call या video call पर arrest, FIR, customs या "verification transfer" का ज़िक्र
• KYC, बिजली कटने या account बंद होने के बारे में SMS में link
• Phone अचानक बिना वजह "No service" दिखाने लगे
• ऐसी "job" जिसमें बड़े return के लिए पहले खुद पैसे चुकाने पड़ें

Scam हो जाए तो पहले 30 मिनट में क्या करें

Speed सबसे ज़्यादा मायने रखती है — UPI या IMPS से गया पैसा अक्सर receiving account में पहले कुछ मिनटों तक freeze किया जा सकता है, निकल जाने के बाद लगभग नहीं।

1. तुरंत अपने बैंक की fraud helpline पर call कीजिए (card के पीछे या bank app में) और transaction freeze करवाकर अपना UPI ID/VPA block करवाइए।
2. 1930 पर call कीजिए — राष्ट्रीय cyber fraud helpline, चौबीसों घंटे चालू, आपकी complaint सीधे उस सिस्टम में दर्ज करती है जो बैंकों को पैसा freeze करने के लिए alert करता है।
3. cybercrime.gov.in पर detailed complaint दर्ज कीजिए — transaction ID (UTR number), रकम, date और screenshots के साथ। 1930 पर call करने के बाद भी यह कीजिए, क्योंकि यह formal record बनाता है।
4. RBI के liability rule को ईमानदारी से समझिए: zero liability उन transactions पर लागू होती है जो आपने authorise नहीं कीं, और बैंक के alert के 3 working days के अंदर report की गई हों। अगर किसी scammer ने बातों में लाकर आपसे खुद अपना PIN डलवाया या OTP बुलवाया, तो बैंक अक्सर उसे "authorised" मान लेता है — सिर्फ इसी तकनीकी वजह से zero liability लागू न हो, ऐसा हो सकता है, भले ही आप धोखे का शिकार हुए हों। फिर भी 7 working days के अंदर report करने पर आमतौर पर नुकसान पूरा नहीं बल्कि कुछ हज़ार रुपये तक ही सीमित रहता है — इसलिए report ज़रूर कीजिए, और जल्दी कीजिए।
5. अगर मामले में SIM swap या कोई unauthorised loan app शामिल है, तो उस नंबर की report Sanchar Saathi portal (sancharsaathi.gov.in) के Chakshu section पर भी कीजिए, और भरोसेमंद device से net-banking का password बदल दीजिए।

10 मिनट का Phone Lockdown

आज ही एक बार कर लीजिए। ज़्यादातर steps एक मिनट से भी कम के हैं।

UPI और payment apps को lock कीजिए। GPay, PhonePe, Paytm और bank app के अंदर app-lock (fingerprint/face) चालू कीजिए — phone के अपने lock screen से अलग — ताकि चोरी हुआ या उधार लिया phone unlock होने पर भी पैसे न भेज सके।

SIM PIN लगाइए, और SIM-swap alert का इंतज़ाम कीजिए। Phone की security settings में जाकर अपने physical SIM पर एक PIN लगाइए, ताकि चोरी हुआ SIM किसी और phone में काम न करे। अपने telecom operator की fraud helpline का नंबर contacts में ऐसे नाम से save कीजिए जो याद रहे — काम आएगा अगर phone अचानक "No service" दिखाने लगे।

अनचाहा call/SMS forwarding चेक कीजिए। अपने phone से *#21# dial कीजिए — यह बता देगा कि call/SMS forwarding चुपचाप on तो नहीं है, जो OTP को दूसरी जगह redirect करने का आम तरीका है। अगर आपने खुद on नहीं किया, तो settings से बंद कर दीजिए।

Screen-share और remote-access apps हटाइए जो इस्तेमाल में नहीं हैं। AnyDesk, TeamViewer, QuickSupport जैसे apps uninstall कर दीजिए जब तक कि किसी भरोसेमंद इंसान के लिए अभी सच में ज़रूरत न हो — और किसी caller के कहने पर कभी नया install मत कीजिए।

App permissions की जांच कीजिए। Settings → Apps → Permissions में जाकर जिन apps को साफ तौर पर ज़रूरत न हो, उनसे SMS, Accessibility और "display over other apps" की permission हटा दीजिए। Accessibility permission खासतौर पर वह रास्ता है जिससे malicious apps चुपचाप OTP और screen पढ़ते हैं।

Google/Apple account की security जांच कीजिए। Logged-in devices देखिए, जो पहचान में न आएँ उन्हें हटाइए, और recovery phone/email current रखिए — बाकी सभी accounts की यह असली चाबी है।

हर जगह अलग password रखिए, एक password manager के साथ। हर जगह एक ही password इस्तेमाल करना मतलब एक leaked site से सब कुछ खतरे में। Dashlane जैसा password manager हर account के लिए अलग, मज़बूत password खुद बनाता और save करता है, ताकि एक breach बाकी सब तक न फैले।

2FA के लिए authenticator app रखिए, SMS नहीं। SMS वाले OTP SIM-swap से रोके जा सकते हैं; authenticator app (Google Authenticator, Microsoft Authenticator) आपके device पर ही code बनाता है, जिसे SIM swap छू भी नहीं सकता। पहले email और banking पर यह चालू कीजिए।

Public Wi-Fi और VPN — ईमानदार सच्चाई। Public Wi-Fi का असली खतरा unencrypted traffic (आज दुर्लभ, क्योंकि ज़्यादातर apps HTTPS इस्तेमाल करते हैं) और malicious network operators से है। VPN आपके traffic को उस network से छुपा देता है, और airport, cafe या hotel Wi-Fi पर अक्सर रहते हैं तो काम का है — पर यह OTP scam, screen-share trick या SIM swap के खिलाफ कुछ नहीं करता, इसे scam-protection मत समझिए।

Truecaller/DND चालू कीजिए और Chakshu इस्तेमाल कीजिए। Truecaller जाने-पहचाने scam नंबरों को call उठाने से पहले ही बता देता है। DND registration (telecom app या 1909 से) अनचाहे commercial calls कम करता है। और Sanchar Saathi के Chakshu portal से आप किसी भी suspicious call, SMS या WhatsApp message की report सीधे Department of Telecommunications को कर सकते हैं — इससे अब तक लाखों fraudulent connections बंद हो चुके हैं।

निचोड़

इस list का लगभग हर scam आपसे कुछ न कुछ करवाना चाहता है — request approve करवाना, code बुलवाना, app install करवाना, call पर बनाए रखना। Patterns पहचान लीजिए, वह "कुछ" होना बंद हो जाता है। फिर भी हो जाए, तो speed ही सब कुछ है: bank helpline, फिर 1930, फिर cybercrime.gov.in — पहले आधे घंटे के अंदर। और ऊपर वाला 10 मिनट का lockdown — app locks, SIM PIN, authenticator 2FA, बेवजह screen-share apps नहीं — इनमें से ज़्यादातर scripts को आप तक पहुँचने से पहले ही रोक देता है।