स्कैम लिंक पर क्लिक कर दिया? क्या करना है, यह इस पर निर्भर है कि उसके बाद आपने क्या किया

प्रतीकात्मक तस्वीर (Unsplash)। इसमें दिखाए गए लोग या संस्थाएं इस खबर से जुड़ी नहीं हैं।

स्कैम लिंक खोलना हमेशा बेखतरा नहीं होता, और हर बार फोन में वायरस भी नहीं आता। असल बात यह है कि क्लिक के बाद क्या हुआ: क्या आपने पासवर्ड डाला, कार्ड की जानकारी या OTP दिया, कोई पेमेंट मंज़ूर किया, कोई ऐप इंस्टॉल किया, या किसी को अपनी स्क्रीन दिखाई?

01 / अपना मामला पहचानें

ज़्यादातर स्कैम लिंक इसलिए बनाए जाते हैं कि आप उसके बाद कुछ करें। ब्रिटेन के National Cyber Security Centre (NCSC) के मुताबिक स्कैम लिंक आपको ऐसी साइट पर ले जाता है जो वायरस डाउनलोड कर सकती है या आपके पासवर्ड और दूसरी निजी जानकारी चुरा सकती है। RBI भी ऐसे लिंक से सावधान करता है जो गोपनीय जानकारी निकलवाने के लिए बनाए जाते हैं, और ऐसे ऐप्स से जो ठगों को आपके फोन तक पहुंच दे देते हैं। इसलिए शुरुआत इससे करें कि क्लिक के बाद आपने क्या किया।

• सिर्फ़ खोला, कुछ टाइप नहीं किया, कुछ इंस्टॉल नहीं किया: सेक्शन 02।
• पासवर्ड डाला: सेक्शन 03।
• कार्ड या UPI की जानकारी डाली, या OTP बताया: सेक्शन 04।
• कोई पेमेंट या collect request मंज़ूर किया: सेक्शन 05।
• कोई ऐप या APK फ़ाइल डाउनलोड या इंस्टॉल की: सेक्शन 06।
• किसी को फोन कंट्रोल करने दिया या स्क्रीन दिखाई: सेक्शन 07।

एक से ज़्यादा चीज़ें कीं? हर लागू सेक्शन के कदम उठाएं, और शुरुआत उससे करें जो आपके पैसों के सबसे करीब है।

02 / आपने सिर्फ़ लिंक खोला

हो सकता है सब ठीक हो, लेकिन यह मानकर न चलें। ब्राउज़र में ऐसी खामियां होती हैं जिनका फ़ायदा कोई खास तरह से बनाया गया वेब पेज उठा सकता है। मिसाल के तौर पर, Google Chrome पर CERT-In के 1 अक्टूबर 2026 के नोट के मुताबिक हमलावर उसमें बताई गई खामियों का फ़ायदा पीड़ित से एक खास तरह से बनाई गई वेब रिक्वेस्ट खुलवाकर उठा सकते थे। ऐसे मामलों में बचाव अपडेट ही है।

• पेज बंद कर दें। उसमें कुछ टाइप न करें और उसके बटन न दबाएं।
• अगर कोई फ़ाइल डाउनलोड हुई है, तो उसे खोलें नहीं। डिलीट कर दें।
• अपना ब्राउज़र और फोन अपडेट करें। Google के मुताबिक Android पर Chrome, Play Store के ज़रिए अपडेट होता है, और इन खामियों के लिए CERT-In की सलाह कंपनी का अपडेट लगाने की है।
• लिंक की शिकायत Chakshu पर करें (सेक्शन 08), ताकि दूसरे लोग सावधान रहें।

पक्का नहीं कि लिंक स्कैम था? पढ़ें नंबर, लिंक, ऐप या UPI ID कैसे जांचें।

03 / आपने पासवर्ड डाल दिया

• अभी पासवर्ड बदलें, असली ऐप या वेबसाइट पर। पता खुद टाइप करें या ऐप खोलें। उस लिंक का दोबारा इस्तेमाल न करें।
• जहां-जहां वही पासवर्ड है, वहां भी बदलें। NCSC कहता है कि जिस भी अकाउंट में वही पासवर्ड है, उसका पासवर्ड बदलें।
• अगर ईमेल का पासवर्ड गया है, तो ईमेल की सेटिंग जांचें। NCSC चेतावनी देता है कि अपराधी अक्सर हैक हुए मेलबॉक्स में forwarding rule लगा देते हैं, जिससे वे आपके दूसरे पासवर्ड रीसेट कर सकते हैं। Google भी कहता है कि जो filter या forwarding rule आपने नहीं लगाया, उसे हटा दें।
• टू-स्टेप वेरिफ़िकेशन चालू करें (2SV, जिसे 2FA भी कहते हैं)। NCSC और Google दोनों के मुताबिक इससे अपराधी पासवर्ड जानकर भी अंदर नहीं आ पाते।
• अनजान डिवाइस साइन आउट करें। Google आपको अपने अकाउंट में साइन इन हर डिवाइस देखने और जिन पर शक हो उन्हें साइन आउट करने देता है। NCSC भी सभी डिवाइस लॉग आउट करने की सलाह देता है।

अगर यह आपका WhatsApp, Instagram या Facebook था, तो हमारी गाइड देखें: WhatsApp हैक हो गया और Instagram या Facebook अकाउंट हैक हो गया।

04 / आपने कार्ड या UPI की जानकारी डाली, या OTP बताया

• अभी बैंक को कॉल करें और कार्ड, UPI और नेट बैंकिंग ब्लॉक करवाएं। बैंक की आधिकारिक वेबसाइट, ऐप या कार्ड पर लिखा नंबर इस्तेमाल करें, या हमारी बैंक हेल्पलाइन सूची देखें। RBI चेतावनी देता है कि सर्च इंजन पर मिले नंबर नकली हो सकते हैं।
• पैसे न कटे हों, तब भी ऐसा करें। RBI के 2017 के नियमों के मुताबिक बैंकों को फ्रॉड की शिकायत करने और कार्ड ब्लॉक करने के लिए 24x7 रास्ते देने होते हैं। नियम यह भी कहते हैं कि बैंक को बताने में जितनी देर होगी, नुकसान का खतरा उतना बढ़ेगा।
• जानकारी खुद डाली हो, तब भी ऐसा करें। इन्हीं नियमों के मुताबिक शिकायत करने के बाद होने वाला कोई भी नुकसान बैंक उठाता है। Mint ने केरल हाई कोर्ट के एक मामले की रिपोर्ट में, जिसमें ग्राहक ने OTP बता दिया था, यह भी लिखा कि जल्दी शिकायत करने से आगे का नुकसान रुकता है।
• बाद में लिखित शिकायत भी करें और शिकायत नंबर संभालकर रखें। Mint के मुताबिक मौजूदा नियमों में, थर्ड-पार्टी ब्रीच की शिकायत तीन वर्किंग डे के अंदर करने पर आपकी देनदारी शून्य होती है।

OTP सिर्फ़ पेमेंट ही मंज़ूर नहीं करता। अगर OTP WhatsApp कोड था, तो WhatsApp वाली गाइड देखें।

05 / आपने कोई पेमेंट या collect request मंज़ूर कर दी

अगर आपने UPI PIN डाला, तो पैसे शायद जा चुके हैं। RBI और NPCI दोनों कहते हैं कि पैसे पाने के लिए कभी PIN डालने या QR कोड स्कैन करने की ज़रूरत नहीं होती। जो 'collect request' आपसे PIN मांगे, वह असल में पैसे भेजने की रिक्वेस्ट है।

• अभी 1930 पर कॉल करें, फिर cybercrime.gov.in पर शिकायत करें। सरकार के मुताबिक 1930 पीड़ितों को जल्दी शिकायत दर्ज कराने में मदद करता है और, जहां मुमकिन हो, फ्रॉड वाले ट्रांज़ैक्शन फ्रीज़ करवाता है।
• फिर बैंक को कॉल करें और UPI ब्लॉक करवाएं।
• पढ़ें UPI फ्रॉड के बाद पहले घंटे में क्या करें, या हमारी पैसे गए तो क्या करें वाली चेकलिस्ट में तीन सवालों के जवाब दें।

ठग को नहीं, बल्कि गलती से किसी असली व्यक्ति को पैसे चले गए? उसका रास्ता अलग है: देखें गलत UPI ID पर पैसे भेज दिए।

06 / आपने कोई ऐप या APK फ़ाइल डाउनलोड या इंस्टॉल की

यह सबसे गंभीर मामला है। इंस्टॉल हुआ ऐप आपके मैसेज और OTP पढ़ सकता है। कॉल किसी दूसरे फोन से करें।

• फोन ऑफ़लाइन करें: फ़्लाइट मोड चालू करें, या Wi-Fi और मोबाइल डेटा बंद करें। CERT-In के मुताबिक ऐसा ही एक ऐप, SpyMax, चुराई गई जानकारी अपने ऑपरेटरों के सर्वर पर भेजता है और वहीं से कमांड लेता है। CloudSEK नाम की फ़र्म का ऐप हटाने का जो तरीका MediaNama ने छापा, वह भी इसी कदम से शुरू होता है।
• बैंक को कॉल करें और UPI, नेट बैंकिंग और कार्ड ब्लॉक करवाएं। अगर पैसे कट चुके हैं, तो पहले 1930 पर कॉल करें।
• ऐप को Safe Mode में हटाएं। I4C की मार्च 2026 की advisory के मुताबिक Safe Mode थर्ड-पार्टी ऐप्स को बंद कर देता है, जिससे उनकी हटाए जाने से बचने की कोशिश नाकाम हो जाती है। CloudSEK का तरीका भी यही कहता है। Google के मुताबिक Safe Mode शुरू करने का तरीका हर फोन में अलग होता है। फिर Device admin apps और Accessibility में कोई अनजान चीज़ हो तो देखें।
• ऐप वापस आ जाए तो फ़ैक्टरी रीसेट करें, यह I4C की सलाह है।

हमारी गाइड लिंक या ऐड से इंस्टॉल हुए ऐप में हर कदम क्रम से है, call forwarding की जांच समेत।

07 / आपने रिमोट एक्सेस दिया या स्क्रीन शेयर की

RBI चेतावनी देता है कि ठग लोगों को ऐसे ऐप डाउनलोड करवाते हैं जो उनके फोन या कंप्यूटर का सारा डेटा देख सकते हैं। जिसने आपकी स्क्रीन देखी, उसने आपके PIN, पासवर्ड और OTP भी देखे होंगे।

• सेशन और कॉल खत्म करें। इंटरनेट बंद कर दें।
• दूसरे फोन से बैंक को कॉल करें और UPI, नेट बैंकिंग और कार्ड ब्लॉक करवाएं। अगर पैसे कट चुके हैं, तो पहले 1930 पर कॉल करें।
• जो ऐप इंस्टॉल करवाया गया, उसे अनइंस्टॉल करें। अगर वह न हटे, तो सेक्शन 06 देखें। NCSC के मुताबिक जिस फोन में वायरस होने का शक हो, उसके लिए फ़ैक्टरी रीसेट सबसे सुरक्षित उपाय है।
• अपने पासवर्ड और PIN बदलें, किसी दूसरे भरोसेमंद डिवाइस से, जैसा सेक्शन 03 में बताया है।

08 / कुछ न हुआ हो, तब भी शिकायत करें

• पैसे नहीं गए: लिंक या मैसेज की शिकायत संचार साथी के Chakshu पर करें। इसमें संदिग्ध वेब लिंक की शिकायत का विकल्प है, और शिकायत 30 दिन के अंदर करनी होती है। Chakshu के सरकारी आंकड़ों में 'malicious link / website' की एक अलग श्रेणी भी है।
• पैसे चले गए: इसके लिए Chakshu सही जगह नहीं है। संचार साथी खुद कहता है कि 1930 या cybercrime.gov.in पर शिकायत करें।

मैसेज और पेज के स्क्रीनशॉट, और क्लिक करने का समय, संभालकर रखें। बैंक और पुलिस इन्हें मांग सकते हैं।

09 / पुष्टि बनाम सामान्य सलाह

आधिकारिक दस्तावेज़ों से पुष्टि: Chrome की खामियां और अपडेट की सलाह, CERT-In के नोट CIVN-2026-0486 से; पासवर्ड, ईमेल forwarding, 2SV और साइन-आउट के कदम, NCSC और Google से; 24x7 शिकायत की ज़िम्मेदारी, देरी की चेतावनी और यह नियम कि शिकायत के बाद का नुकसान बैंक उठाता है, RBI के 6 जुलाई 2017 के सर्कुलर से; PIN और QR वाला नियम, RBI और NPCI से (NPCI की साइट ऑटोमैटिक जांच को रोकती है, इसलिए हमने उसे 30 अक्टूबर 2026 को ब्राउज़र में पढ़ा); Safe Mode और रीसेट के कदम, I4C की advisory TAU/ADV/012 से; SpyMax का व्यवहार, CERT-In से; Chakshu पर लिंक की शिकायत और 30 दिन की सीमा, संचार साथी से; 1930 की भूमिका, PIB से।

मीडिया रिपोर्ट: CloudSEK का ऐप हटाने का तरीका (MediaNama); केरल हाई कोर्ट का मामला और तीन वर्किंग डे का नियम (Mint)। सामान्य सलाह, कोई आधिकारिक नियम नहीं: पेज बंद करना और बिना खोली डाउनलोड फ़ाइल डिलीट करना। हम यह नहीं कहते कि हर क्लिक से फोन में वायरस आ जाता है, और न यह कि क्लिक हमेशा बेखतरा होता है। बाहर से यह कोई नहीं बता सकता, इसलिए वही कदम उठाएं जो क्लिक के बाद आपके किए काम से मेल खाते हैं।