नकली QR कोड कैसे पहचानें

एक fake qr code पहचानना सीखना जटिल नहीं है, और इसके लिए किसी ऐप या तकनीकी जानकारी की ज़रूरत नहीं। इसके लिए क्रम से तीन जांच चाहिए, और हर एक अलग किस्म की धोखाधड़ी पकड़ती है:

1. स्कैन करने से पहले — भौतिक कोड देखें। स्टिकर बदली और छेड़छाड़ पकड़ती है।
2. स्कैन के बाद, दबाने से पहले — URL प्रीव्यू पढ़ें। फिशिंग और मिलते-जुलते डोमेन पकड़ती है।
3. भुगतान करने या कुछ डालने से पहले — स्क्रीन ध्यान से पढ़ें। धोखाधड़ी वाले भुगतान अनुरोध और क्रेडेंशियल चुराना पकड़ती है।

ज़्यादातर लोग इनमें से एक भी नहीं करते, और ठीक इसीलिए हमले काम करते हैं। तीनों करने में करीब पांच सेकंड लगते हैं और ये असली QR धोखाधड़ी के अधिकांश हिस्से को हरा देते हैं।

भारत में सबसे आम QR धोखाधड़ी में कोई चतुर तकनीक शामिल ही नहीं होती। कोई एक स्टिकर छापकर उसे एक वैध कोड पर चिपका देता है — दुकान के काउंटर पर, पेट्रोल पंप पर, पार्किंग मीटर पर, रेस्टोरेंट की टेबल पर। अगर आप देखें तो संकेत दिखते हैं:

• प्रिंटेड सतह पर एक स्टिकर। अगर कोड एक स्टिकर पर है लेकिन उसके आसपास सब कुछ सीधे बोर्ड या मेन्यू पर छपा है, तो यह एक बेमेल है जिस पर सवाल उठाना चाहिए।
• उखड़ते, फूलते या उठे हुए किनारे। बाद में लगाया गया कोड मूल प्रिंट जितना सपाट कम ही बैठता है।
• आसपास की सामग्री से अलग कागज़, फिनिश या रंग का तापमान। एक चमकदार स्टैंडी पर मैट स्टिकर, या ज़रा अलग सफेद रंग, एक संकेत है।
• गलत संरेखण। जो कोड अपने आसपास के फ्रेम, लोगो या मतन के साथ सीधा न बैठे, उसे शायद उस व्यक्ति ने नहीं लगाया जिसने बोर्ड डिज़ाइन किया।
• नीचे किसी कोड का दिखता किनारा। कोने देखें। मूल से ज़रा छोटा स्टिकर नीचे के कोड की एक पट्टी छोड़ देता है।
• कोई ब्रांडिंग नहीं, या ऐसी ब्रांडिंग जो मेल न खाए। एक नामी दुकान पर भुगतान कोड पर उस दुकान का नाम होना चाहिए। एक ब्रांडेड बोर्ड पर खाली, बिना ब्रांड का कोड सवाल उठाने लायक है।
• ऐसा कोड जो अपने आसपास की हर चीज़ से नया दिखे। साल भर मौसम झेल चुके एक बाहरी साइन पर, एक कड़क सफेद कोड अलग दिखता है।

अगर कुछ भी अटपटा लगे, तो दुकानदार या स्टाफ से पूछें। एक असली कारोबार में, वे अपना कोड जानते होंगे। एक ठगे गए कारोबार में, हो सकता है आप ही वह व्यक्ति हों जो उन्हें बताए।

हर आधुनिक फोन कैमरा खोलने से पहले डेस्टिनेशन दिखाता है। यह प्रीव्यू आपके पास मौजूद सबसे असरदार धोखाधड़ी-रोधी औज़ार है, और यह मुफ्त है और पहले से आपके फोन में है।

क्या देखें:

• डोमेन पढ़ें, पूरी स्ट्रिंग नहीं। डोमेन पहले अकेले स्लैश से ठीक पहले वाला हिस्सा है। उसके बाद सब कुछ उस डोमेन के मालिक के नियंत्रण में है और कुछ साबित नहीं करता।
• मिलते-जुलते नामों से सावधान रहें। sbi-verify.co, hdfc-secure.in, irctc-refund.net — हमलावर असली ब्रांड का नाम अपने नियंत्रण वाले डोमेन में डाल देते हैं, यह दांव लगाकर कि आप ब्रांड पढ़कर रुक जाएंगे। ब्रांड का नाम एक डोमेन के अंदर दिखना उसका डोमेन होने जैसा नहीं है।
• सबडोमेन की चालाकी से सावधान रहें। hdfcbank.com.verify-login.in कोई HDFC डोमेन नहीं है — असली डोमेन verify-login.in है। दाएं से पढ़ें।
• अनजान शॉर्टनर को सावधानी से लें। एक सामान्य शॉर्टनर डेस्टिनेशन पूरी तरह छिपा देता है। जिस कारोबार से आप लेन-देन कर रहे हैं उसका अपना ब्रांडेड छोटा डोमेन कहीं बेहतर संकेत है।
• किसी भी वित्तीय चीज़ पर वर्तनी अक्षर दर अक्षर जांचें। paytrn, phonepay, amazom — एक बदला हुआ अक्षर ही पूरा हमला है।
• https देखें, लेकिन इसे किसी बात का सबूत न मानें। फिशिंग साइटों के पास भी वैध सर्टिफिकेट होते हैं। यह एक न्यूनतम है, वैधता का संकेत नहीं।

अगर कोड पहली दो जांच पार कर ले और आपने पेज या भुगतान ऐप खोल लिया हो, तो एक और पाठ वह पकड़ लेता है जो बाकी चूक जाती हैं:

• एक UPI स्क्रीन पर, प्राप्तकर्ता का नाम पढ़ें। रकम नहीं — नाम। अगर आप "शर्मा जनरल स्टोर" को भुगतान कर रहे हैं और स्क्रीन कुछ असंबंधित दिखाए, तो रुक जाएं। बदले हुए भुगतान स्टिकर को बाद में पकड़ने वाली यही अकेली जांच है।
• पाने के लिए कभी स्कैन न करें। UPI कोड आपकी तरफ से भुगतान शुरू करते हैं। रिफंड पाने, इनाम लेने, या बकाया पैसे पाने के तरीके के रूप में दिया गया कोड बनावट से ही धोखाधड़ी है, बिना किसी अपवाद के।
• OTP, PIN या पासवर्ड के किसी भी अनुरोध पर सवाल करें। किसी वैध कारोबार को आपको कुछ देने के लिए आपका UPI PIN या OTP नहीं चाहिए। स्कैन करके पहुंचे पेज पर OTP का अनुरोध धोखाधड़ी का लगभग निर्णायक सबूत है।
• जल्दबाज़ी पर शक करें। "आपका खाता 2 घंटे में ब्लॉक हो जाएगा," "KYC आज खत्म हो रही है," "10 मिनट के भीतर दावा करें" — गढ़ा हुआ समय का दबाव इसीलिए होता है कि आप ठीक यही जांच न कर पाएं।
• जांचें कि रकम वही है जिसकी आप उम्मीद करते हैं। भुगतान अनुरोध में पहले से भरी रकम उससे अलग हो सकती है जो आपको मौखिक रूप से बताई गई थी।
• कुछ भी इंस्टॉल न करें। एक लेन-देन "पूरा" करने के लिए APK डाउनलोड करने या प्रोफाइल इंस्टॉल करने को कहता पेज एक हमला है, बिना अपवाद के।

कुछ तरीके भारत में इतने आम हैं कि उन्हें नाम से पहचानना ज़रूरी है:

• स्टिकर बदली। एक दुकान के असली भुगतान कोड पर चिपकाया गया नकली QR। आपका पैसा ठग के पास जाता है; दुकानदार को यह कभी नहीं मिलता और अक्सर हिसाब मिलाने तक पता ही नहीं चलता।
• "पैसे पाने के लिए स्कैन करें" वाला जाल। रिफंड, इनाम, आपको भुगतान करता एक मार्केटप्लेस खरीदार, या लौटाई जा रही जमानत के रूप में पेश किया जाता है। UPI में पाने-के-लिए-स्कैन जैसा कोई तंत्र है ही नहीं। यह हमेशा धोखाधड़ी है।
• पार्किंग या चालान कोड। विंडस्क्रीन पर लगी सूचना या पार्किंग बोर्ड पर एक नकली कोड, जो एक भरोसेमंद दिखने वाले भुगतान पेज पर ले जाता है।
• डिलीवरी-ट्रैकिंग पेज। एक पैकेज या पर्ची पर कोड जो एक नकली कूरियर साइट पर ले जाता है जो "दोबारा डिलीवरी शुल्क" और कार्ड विवरण मांगती है।
• KYC-समाप्ति कोड। एक SMS या प्रिंटेड सूचना में कोड जो दावा करता है कि आपके बैंक या वॉलेट की KYC दोबारा सत्यापित होनी है, और एक क्रेडेंशियल चुराने वाले पेज पर ले जाता है।
• मार्केटप्लेस खरीदार। क्लासिफाइड प्लेटफॉर्म पर, एक "खरीदार" यह दावा करते हुए QR कोड भेजता है कि इससे आपको भुगतान ट्रांसफर होगा। नहीं होगा; यह आपसे भुगतान लेगा।

हमारी भारत में QR कोड धोखाधड़ी गाइड परिदृश्य और बाद में क्या करें, यह और गहराई से बताती है।

यहां किसी और चीज़ से ज़्यादा तेज़ी मायने रखती है।

• अगर आपने सिर्फ स्कैन किया है और कुछ किया नहीं, तो आप लगभग निश्चित रूप से ठीक हैं — अकेला स्कैन न पैसे भेजता है न कुछ इंस्टॉल करता है। पेज बंद कर दें।
• अगर आपने क्रेडेंशियल डाले हैं, तो उस पासवर्ड को तुरंत बदलें, असली साइट या ऐप पर जहां आप खुद से पहुंचे हों, और अगर पहले से चालू न हो तो दो-कारक ऑथेंटिकेशन चालू करें।
• अगर आपने भुगतान कर दिया है, तो अपने बैंक या भुगतान प्रदाता से तुरंत उनके आधिकारिक ऐप या प्रकाशित नंबर से संपर्क करें — संदिग्ध पेज पर दिखे किसी नंबर से नहीं। उनसे धोखाधड़ी का विवाद दर्ज करने को कहें।
• इसकी शिकायत करें। भारत में, वित्तीय साइबर धोखाधड़ी की शिकायत राष्ट्रीय साइबर क्राइम रिपोर्टिंग पोर्टल (cybercrime.gov.in) पर और राष्ट्रीय साइबर-धोखाधड़ी हेल्पलाइन 1930 पर की जा सकती है। जल्दी शिकायत करना पैसे रुकने या वापस मिलने की संभावना काफी बढ़ाता है।
• अगर आपने कुछ इंस्टॉल किया है, तो इंटरनेट से हट जाएं, उसे अनइंस्टॉल करें, और उस डिवाइस से पहुंची हर चीज़ के पासवर्ड बदलें।
• कारोबार को बताएं। अगर नकली कोड किसी दुकान के काउंटर पर था, तो दुकानदार को जानना चाहिए — वे भी पीड़ित हैं, और वे अगले ग्राहक से पहले उसे हटा सकते हैं।

आपके काउंटर पर बदला हुआ स्टिकर आपके ग्राहक और आपकी साख को नुकसान पहुंचाता है, और आमतौर पर आपको सबसे आखिर में पता चलता है। व्यावहारिक बचाव:

• अपने कोड एक समय-सारणी पर जांचें। काउंटर पर भुगतान कोड रोज़, बाहरी और ज़्यादा आवाजाही वाले प्लेसमेंट हफ्ते में एक बार। सही स्थिति की तस्वीर रखें ताकि स्टाफ मिला सके।
• भुगतान कोड लैमिनेट या फ्रेम करें, या उन्हें एक्रिलिक के नीचे लगाएं ताकि उन पर स्टिकर साफ तरीके से न चिपकाया जा सके।
• कोड और उसके आसपास को ब्रांड करें। आपके अपने ब्रांडेड फ्रेम के अंदर, आपके कारोबार के नाम के साथ, एक कोड पर बदली साफ दिखने लगती है।
• एक ब्रांडेड छोटा डोमेन इस्तेमाल करें (Premium प्लान, ₹14,999/माह) ताकि URL प्रीव्यू खुद एक जांचा जा सकने वाला संकेत बने।
• स्टाफ को जांचना सिखाएं। काउंटर पर खड़ा व्यक्ति आपकी सबसे अच्छी पहचान-व्यवस्था है, बशर्ते उसे देखना आता हो।
• अपने एनालिटिक्स देखें। जिस प्लेसमेंट पर व्यस्तता होनी चाहिए वहां स्कैन में अचानक गिरावट का मतलब हो सकता है कि आपका कोड किसी और के कोड से ढक दिया गया है।
• डायनामिक कोड इस्तेमाल करें। अगर आपके किसी कोड से कभी समझौता हो या उसका दुरुपयोग हो, तो आप प्रिंटेड सामग्री वापस मंगाने के बजाय उसे तुरंत कहीं और इंगित कर सकते हैं।

SMLLR पर अपना QR कोड बनाएं — डायनामिक डेस्टिनेशन का मतलब है कि समझौता हुआ लिंक डैशबोर्ड का सुधार है, दोबारा प्रिंट नहीं।