QR कोड फ़िशिंग ईमेल आपसे एक कोड स्कैन करने को कहता है, आमतौर पर अकाउंट "दोबारा वेरिफ़ाई" करने, किसी डॉक्यूमेंट पर साइन करने या पासवर्ड रीसेट करने के बहाने। ठग QR कोड इसलिए इस्तेमाल करते हैं क्योंकि ईमेल फ़िल्टर इमेज के अंदर छिपा लिंक पढ़ने में चूक सकते हैं, और स्कैन करते ही आप फ़ोन पर पहुँच जाते हैं, जहाँ नकली लॉगिन पेज पहचानना मुश्किल होता है।
फ़िशिंग उतनी ही पुरानी है जितना ईमेल, लेकिन इसका QR कोड वाला रूप, जिसे अक्सर क्विशिंग (quishing) कहा जाता है, एक नया मोड़ है। नीले लिंक पर माउस ले जाकर पता देखने की जगह, अब एक चौकोर इमेज होती है। यह गाइड बताती है कि ठगों को यह तरीका क्यों पसंद है, ऐसे ईमेल आमतौर पर कैसे दिखते हैं, और कर्मचारी व कंपनियाँ ख़ुद को कैसे बचा सकते हैं।
ठग ईमेल में QR कोड क्यों डालते हैं
अपराधी के नज़रिए से QR कोड एक साथ कई समस्याएँ हल कर देता है।
- यह लिंक छिपा देता है। लोग QR कोड नहीं पढ़ सकते, इसलिए एक नज़र में संदिग्ध वेब एड्रेस नहीं पकड़ पाते।
- यह फ़िल्टर से बच सकता है। कई ईमेल सिक्योरिटी टूल टेक्स्ट लिंक को ज्ञात ख़राब साइटों की सूची से मिलाते हैं। इमेज के अंदर का लिंक जाँचना मुश्किल है, हालाँकि आधुनिक टूल अब इमेज भी ज़्यादा स्कैन करने लगे हैं।
- यह आपको दूसरे डिवाइस पर ले जाता है। आप ईमेल कंपनी की सिक्योरिटी वाले ऑफ़िस लैपटॉप पर पढ़ते हैं, लेकिन स्कैन अपने निजी फ़ोन से करते हैं, जिसमें सुरक्षा कम हो सकती है।
- छोटी स्क्रीन डिटेल छिपा देती है। फ़ोन पर एड्रेस बार छोटा होता है, और नकली लॉगिन पेज लगभग असली जैसा दिखता है।
- यह आधुनिक और आधिकारिक लगता है। बैंक, एयरलाइन और कंपनियाँ QR कोड इस्तेमाल करती हैं, इसलिए ईमेल में कोड देखकर अपने आप शक नहीं होता।
QR फ़िशिंग ईमेल कैसा दिखता है
ये ईमेल अलग-अलग होते हैं, लेकिन आमतौर पर जाने-पहचाने ढर्रे पर चलते हैं। आम विषय:
- "आपका पासवर्ड आज ख़त्म हो रहा है। मौजूदा पासवर्ड बनाए रखने के लिए स्कैन करें।"
- "मल्टी-फ़ैक्टर ऑथेंटिकेशन दोबारा चालू करना ज़रूरी है। अपने फ़ोन से स्कैन करें।"
- "आपके लिए एक शेयर किया गया डॉक्यूमेंट इंतज़ार कर रहा है। देखने के लिए स्कैन करें।"
- "आपकी सैलरी या बोनस की डिटेल अपडेट हुई है।"
- "एक पार्सल या इनवॉइस को आपकी पुष्टि चाहिए।"
चेतावनी के आम संकेत:
- जल्दबाज़ी: कम समय-सीमा या अकाउंट लॉक होने की धमकी।
- अजीब भेजने वाला: नाम में "IT Support" या कोई मशहूर ब्रांड लिखा है, लेकिन ईमेल एड्रेस मेल नहीं खाता।
- कम टेक्स्ट, बड़ा कोड: मैसेज में ज़्यादातर QR कोड वाली इमेज और एक छोटा-सा निर्देश होता है।
- आपके नाम की जगह सामान्य संबोधन।
- स्कैन के बाद लॉगिन पेज: कोड ऐसे पेज पर ले जाता है जो आपका ऑफ़िस ईमेल और पासवर्ड, या OTP माँगता है।
आख़िरी बात सबसे अहम है। असली IT डिपार्टमेंट को शायद ही कभी ज़रूरत पड़ती है कि आप ईमेल में भेजे QR कोड से साइन इन करें।
ऐसा ईमेल आए तो क्या करें
अगर आप कर्मचारी हैं और QR कोड वाला संदिग्ध ईमेल आता है:
- अपने फ़ोन से इसे स्कैन न करें।
- असली है या नहीं, यह पूछने के लिए सहकर्मियों को फ़ॉरवर्ड न करें, क्योंकि कोई उसे स्कैन कर सकता है।
- कंपनी के फ़िशिंग रिपोर्ट बटन से या किसी जाने-पहचाने माध्यम से IT को बताकर रिपोर्ट करें।
- अकाउंट ख़ुद जाँचें। अगर ईमेल में पासवर्ड या डॉक्यूमेंट की बात है, तो सर्विस को उसके सामान्य एड्रेस या ऐप से सीधे खोलें।
- रिपोर्ट करने के बाद, अगर कंपनी का नियम कहे, तो डिलीट कर दें।
अगर आप पहले ही कोड स्कैन करके अपनी डिटेल डाल चुके हैं, तो जल्दी कदम उठाएँ। पासवर्ड बदलें, IT को तुरंत बताएँ, और हमारी गाइड ख़तरनाक QR कोड स्कैन कर लिया तो क्या करें के कदम अपनाएँ।
ऑफ़िस के बाहर भी यही आदतें काम आती हैं। अगर आप बिना खोले जानना चाहते हैं कि कोड कहाँ ले जाता है, तो ऐसा स्कैनर जो पहले डेस्टिनेशन दिखाए, जैसे QR-TH का ऑनलाइन QR स्कैनर, आपको क्लिक करने से पहले देखने का मौका देता है।
कंपनियाँ कर्मचारियों को कैसे बचाएँ
कोई एक टूल हर QR फ़िशिंग कोशिश को नहीं रोकता। अच्छी सुरक्षा टेक्नोलॉजी, प्रक्रिया और लोगों, तीनों को जोड़ती है।
ईमेल और सिक्योरिटी टूल
- ऐसी ईमेल सिक्योरिटी इस्तेमाल करें जो इमेज और अटैचमेंट में QR कोड पहचानकर उनके लिंक जाँच सके
- कंपनी के डिवाइस पर, और जहाँ उचित हो वहाँ मैनेज्ड फ़ोन पर भी, लिंक चेकिंग और सेफ़-ब्राउज़िंग सुरक्षा चालू रखें
- संस्था के बाहर से आए ईमेल पर साफ़ निशान लगाएँ, ख़ासकर वे जो अंदरूनी जैसे नाम इस्तेमाल करते हैं
मज़बूत साइन-इन सुरक्षा
- सभी कर्मचारी अकाउंट के लिए मल्टी-फ़ैक्टर ऑथेंटिकेशन अनिवार्य करें
- जहाँ संभव हो, फ़िशिंग-रोधी तरीके जैसे पासकी या सिक्योरिटी की चुनें, क्योंकि नकली पेज पर OTP भी लोगों से निकलवाए जा सकते हैं
- SMS की जगह ऑथेंटिकेटर ऐप को बढ़ावा दें। हमारी गाइड टू-फ़ैक्टर ऑथेंटिकेशन विकल्प समझाती है।
- असामान्य साइन-इन पर नज़र रखें, जैसे नए देशों या डिवाइस से लॉगिन
साफ़ प्रक्रियाएँ
- सबको पता हो कि IT कभी भी ईमेल में भेजे QR कोड से साइन इन करने को नहीं कहेगा
- संदिग्ध मैसेज रिपोर्ट करने का एक आसान तरीका दें, और रिपोर्ट करने वालों का धन्यवाद करें
- जब कोई ग़लती की रिपोर्ट करे, तो पासवर्ड तुरंत रीसेट करने और सेशन ख़त्म करने की योजना तैयार रखें
ऐसी ट्रेनिंग जो याद रहे
- ट्रेनिंग में असली जैसे दिखने वाले QR फ़िशिंग ईमेल के उदाहरण दिखाएँ
- एक आसान सवाल सिखाएँ: "इसमें QR कोड की ज़रूरत क्यों है?"
- QR कोड वाले फ़िशिंग सिमुलेशन चलाएँ, और उसके बाद दोष देने की जगह दोस्ताना फ़ीडबैक दें
जो कर्मचारी ग़लती बताने में सुरक्षित महसूस करते हैं, वे जल्दी बताते हैं, और इससे नुक़सान सीमित रहता है।
ईमेल में असली QR कोड
ईमेल में हर QR कोड ख़तरनाक नहीं होता। इवेंट टिकट, बोर्डिंग पास और कुछ लॉगिन पेयरिंग में ये वैध रूप से इस्तेमाल होते हैं। फ़र्क आमतौर पर संदर्भ में होता है: आपको ईमेल की उम्मीद थी, वह आपके किसी काम से जुड़ा है, और कोड ऐसा है जिसे आप दिखाते हैं या किसी जाने-पहचाने ऐप में इस्तेमाल करते हैं, न कि किसी अनजान पेज पर पासवर्ड टाइप करने की वजह।
असली QR कोड भेजने वाले बिज़नेस मदद कर सकते हैं: बताएँ कि कोड क्या करता है, विकल्प के तौर पर पास में एक पहचानने लायक लिंक दें, और भरोसेमंद डोमेन इस्तेमाल करें।
FAQ
फ़िशिंग ईमेल लिंक की जगह QR कोड क्यों इस्तेमाल करते हैं?
क्योंकि लिंक लोगों और कुछ फ़िल्टर, दोनों से छिप जाता है, और स्कैन करने पर पीड़ित फ़ोन पर पहुँच जाता है, जहाँ सिक्योरिटी कंट्रोल और दिखने वाले सुराग अक्सर कमज़ोर होते हैं।
क्या मेरा ईमेल प्रोवाइडर QR कोड फ़िशिंग रोक सकता है?
कई ईमेल सिक्योरिटी सर्विस अब इमेज में QR कोड ढूँढकर लिंक जाँचती हैं, लेकिन कोई भी सब कुछ नहीं पकड़ती। आपकी अपनी सावधानी अब भी एक अहम परत है।
क्या बैंक के ईमेल में आए QR कोड को स्कैन करना सुरक्षित है?
सावधान रहें। बैंक शायद ही कभी ईमेल में भेजे QR कोड से साइन इन करने को कहते हैं। इसकी जगह बैंक का आधिकारिक ऐप खोलें या उसका एड्रेस ख़ुद टाइप करें।
अगर स्कैन करके मैंने ऑफ़िस का पासवर्ड डाल दिया तो क्या करूँ?
तुरंत पासवर्ड बदलें, अपनी IT या सिक्योरिटी टीम को बताएँ, और उन्हें संदिग्ध साइन-इन जाँचने दें। जितनी जल्दी, उतना बेहतर।
खोलने से पहले देखें
QR फ़िशिंग तब कामयाब होती है जब लोग बिना सोचे स्कैन करते हैं। जाँचना आदत बना लें: जब कोई अनचाहा कोड आए, तो कुछ भी खोलने से पहले QR-TH के ऑनलाइन QR कोड स्कैन करें टूल से देखें कि वह कहाँ ले जाता है।