एपीके-आधारित ठगी: कैसे धोखेबाज़ बिना ओटीपी के आपका पैसा चुरा लेते हैं

मेरी कहानी: कैसे मैं ठगी का शिकार हुआ

#

13 जुलाई, 2024 को मैं अपने आरबीएल क्रेडिट कार्ड से जुड़ी एक वित्तीय धोखाधड़ी का शिकार बन गया। उस सुबह मुझे एक अज्ञात नंबर से कॉल आया। कॉल करने वाले ने खुद को आरबीएल बैंक प्रतिनिधि बताया। उसने कहा कि चूंकि मैं अपना क्रेडिट कार्ड इस्तेमाल नहीं कर रहा हूँ, इसलिए मुझसे जल्द ही वार्षिक शुल्क के रूप में पेनल्टी काटी जाएगी, जब तक कि मैं इसे सक्रिय न कर दूँ या कोई लेन-देने न कर लूँ।

उसने मुझे व्हाट्सऐप पर एक लिंक भेजा और कहा कि कार्ड को सक्रिय करने के लिए RBL CREDIT CARD SETTING नामक एक APK फ़ाइल इंस्टॉल करनी होगी। लगभग 11:16 बजे मैंने उस फ़ाइल पर क्लिक किया और स्क्रीन पर दिखाई गई निर्देशों का पालन किया। थोड़ी ही देर में मुझे अपने क्रेडिट कार्ड से जुड़े लेन-देनों के लिए कई OTP अनुरोध वाले SMS आने लगे। चूंकि मैंने कोई लेन-देने आरंभ नहीं किया था, मैंने कोई OTP शेयर नहीं किया। इसके बावजूद, दो अनधिकृत लेन-देनों की सूचना मिली — एक ₹38,400 के लिए (Transaction ID: MTXXXXXXXXXXXXXXX705) और दूसरा ₹21,000 के लिए (Transaction ID: MTXXXXXXXXXXXXXXX370)।

पहले मुझे समझ नहीं आया कि यह धोखा कैसे हुआ। ऐप वैध दिख रहा था, लेकिन अनधिकृत लेन-देनों की खोज के बाद मैं समझ गया कि यह एक धोखाधड़ी थी। मैंने तुरंत अपने बैंक और साइबर क्राइम डिपार्टमेंट को इसकी सूचना दी और विवादित राशियों की तत्काल वापसी की मांग की।

यह धोखाधड़ी कैसे हुई

#

इस प्रकार की साइबर धोखाधड़ी को APK-आधारित फ़िशिंग या मैलवेयर धोखाधड़ी कहा जाता है, जहाँ ठग पीड़ितों को किसी हानिकारक एप्लिकेशन को इंस्टॉल करने के लिए रिझाते हैं जो संवेदनशील जानकारी चुरा लेता है। सामान्यतः यह इस तरह होता है:

1. नकली पहचान (Impersonation): ठग खुद को बैंक प्रतिनिधि बताते हैं और दबाव डालने के लिए पेनल्टी या खाता प्रतिबंध का डर दिखाते हैं।
2. सोशल इंजीनियरिंग: ठग भरोसेमंद स्रोत होने का नाटक करके पीड़ित को APK फ़ाइल इंस्टॉल करने या बताए गए कदम उठाने के लिए प्रेरित करते हैं — अक्सर यह कहते हुए कि न करने पर वित्तीय नुकसान होगा या सेवा सक्रिय नहीं होगी। यह मानसिक दबाव पीड़ितों को बिना सत्यापित किए तुरंत कार्रवाई करने पर मजबूर कर देता है।
3. मैलवेयर इंस्टॉलेशन: APK फ़ाइल में छिपा हुआ मैलवेयर होता है जो इंस्टॉल होते ही फोन के डेटा तक बिना अनुमति के पहुँच बना लेता है। यह SMS पढ़ सकता है, की-स्ट्रोक्स कैप्चर कर सकता है, और रिमोट एक्सेस सक्षम कर सकता है, जिससे ठग बैंकिंग डिटेल्स और OTP इंटरसेप्ट कर लेते हैं। इसके अतिरिक्त, ठग AnyDesk, TeamViewer, QuickSupport जैसे स्क्रीन-शेयरिंग ऐप्स का उपयोग करके रियल-टाइम में डिवाइस कंट्रोल कर OTP व संवेदनशील जानकारी निकाल सकते हैं।
4. डेटा चोरी: हानिकारक ऐप बैंकिंग जानकारी, स्टोर किए गए OTPs, या ऑटोफिल क्रेडेंशियल्स को बिना उपयोगकर्ता की जानकारी के इकट्ठा कर लेता है।
5. अनधिकृत लेन-देने: भले ही पीड़ित OTP साझा न करे, मैलवेयर बैकग्राउंड में OTP इंटरसेप्ट कर सकता है और ठग धोखाधड़ीपूर्ण लेन-देने पूरे कर सकते हैं।

चेतावनी संकेत: सावधानी कब बरतें

#

• 🔴 अनचाहा कॉल: अज्ञात नंबर से कॉल आना और खुद को बैंक प्रतिनिधि बताना।
• 🔴 तुरंत कार्रवाई का दबाव: कहा जाना कि कार्रवाई न करने पर पेनल्टी, शुल्क या खाता निलंबन होगा।
• 🔴 संदिग्ध लिंक या APK: आधिकारिक चैनलों के बजाय लिंक या APK डाउनलोड करने के लिए कहा जाना।
• 🔴 अनधिकृत लेन-देने: बिना किसी गतिविधि के चार्जेस या लेन-देने दिखना, जो संभावित समझौते का संकेत है।
• 🔴 बहुत वास्तविक दिखने वाला ऐप: ऐप वैध जैसा दिखे पर भी वह क्रेडेंशियल्स या सुरक्षा को बायपास करने के लिए बनाया गया हो सकता है।

ऐसी धोखाधड़ियों से कैसे बचें

#

यदि आप इस प्रकार की धोखाधड़ी से खुद को बचाना चाहते हैं, तो निम्न निवारक उपाय अपनाएँ:

1. अज्ञात APK फाइल कभी इंस्टॉल न करें: बैंक कभी ग्राहक से तृतीय-पक्ष लिंक या थर्ड-पार्टी स्रोत से ऐप इंस्टॉल करने को नहीं कहता। यदि किसी ऐप के इंस्टॉल के लिए अनजान स्रोत की अनुमति माँगी जाए तो यह बड़ा लाल-झंडा है। हमेशा आधिकारिक Google Play Store या Apple App Store से बैंकिंग ऐप डाउनलोड करें।
2. कॉल और संदेश सत्यापित करें: यदि कोई बैंक का प्रतिनिधि होने का दावा करता है, तो उसकी पहचान स्वतंत्र रूप से आधिकारिक कस्टमर सर्विस नंबर पर कॉल करके सत्यापित करें। सिर्फ Google सर्च पर भरोसा न रखें क्योंकि ठग फर्जी ग्राहक-सर्विस नंबर वाले विज्ञापन भी रख सकते हैं। तकनीकी जानकारी न होने पर बैंक की शाखा जाकर या बैंक की आधिकारिक वेबसाइट से सही संपर्क विवरण प्राप्त करें।
3. ऐप अनुमतियों की जाँच करें: यदि कोई ऐप आपके मैसेज, कॉन्टॅक्ट्स, स्टोरेज या स्क्रीन-शेयरिंग की अनुमति माँग रहा है, सावधान रहें — अधिकतर बैंकिंग ऐप्स को इन सभी अनुमतियों की आवश्यकता नहीं होती। यदि संदेह हो तो ऐप इंस्टॉल न करें या किसी जानकार से जाँच करवाएँ।
4. ट्रांज़ैक्शन अलर्ट चालू रखें: सभी वित्तीय लेन-देनों के लिए SMS और ई-मेल अलर्ट एक्टिव रखें ताकि अनधिकृत गतिविधि तुरंत पकड़ में आए और आप तुरंत बैंक को रिपोर्ट कर सकें।
5. OTP सुरक्षित रखें: OTP केवल व्यक्तिगत उपयोग के लिए होते हैं। चाहे कोई खुद को बैंक कर्मचारी क्यों न बताए, अपना OTP कभी साझा न करें। APK के अलावा ठग IVRS कॉल, फ़िशिंग ई-मेल या नकली कस्टमर-सर्विस कॉल के माध्यम से भी OTP चुराने की कोशिश कर सकते हैं — किसी भी अनचाहे OTP अनुरोध के प्रति सतर्क रहें और आधिकारिक चैनलों से ही सत्यापन करें।
6. संदिग्ध गतिविधि तुरंत रिपोर्ट करें: यदि आपको धोखाधड़ी का शक हो, तो cybercrime.gov.in पोर्टल पर रिपोर्ट जरूर करें। साथ ही अपने बैंक को सूचित करें और स्थानीय पुलिस स्टेशन या साइबर पुलिस स्टेशन में शिकायत दर्ज कराएँ।