आपको एक असली दोस्त से, ऐसे किसी व्यक्ति से जिसे आप बरसों से जानते हैं, एक व्हाट्सएप मैसेज मिलता है। इसमें आपसे कहा जाता है कि एक लिंक पर क्लिक करके उनके बच्चे को डांस प्रतियोगिता में, उनके कुत्ते को फोटो प्रतियोगिता में, या उनके स्कूल को किसी चंदा अभियान में वोट दें। इसमें ऐसा कुछ भी नहीं लगता जो घोटाला होने का इशारा करे — यह आपका बैंक पासवर्ड नहीं मांग रहा, और यह उसी संपर्क से आ रहा है जिस पर आप भरोसा करते हैं, उसी बातचीत में जो बरसों से चल रही है।

बात यही तो है। Malwarebytes के सुरक्षा शोधकर्ताओं ने अगस्त 2026 की शुरुआत में इस तरीके को दर्ज किया: यह मैसेज किसी नकली नंबर से नहीं आता। यह आपके दोस्त के असली, हैक किए जा चुके व्हाट्सएप अकाउंट से आता है। हमलावर उनका रूप नहीं धर रहा — वह उनके अकाउंट के भीतर मौजूद है, उन्हीं के नाम से मैसेज भेज रहा है, उनकी कॉन्टैक्ट लिस्ट के हर व्यक्ति को, जिसमें आप भी शामिल हैं।

पासवर्ड के बिना अकाउंट कैसे हड़प लिया जाता है

व्हाट्सएप एक अकाउंट को एक साथ चार अतिरिक्त डिवाइसों पर लॉग-इन रहने देता है — आपके फोन के अलावा, किसी ब्राउज़र पर व्हाट्सएप वेब, एक डेस्कटॉप ऐप, वगैरह — "लिंक्ड डिवाइसेज़" नाम के एक फीचर के ज़रिए। किसी नए डिवाइस को लिंक करने का सामान्य तरीका यह होता है कि आप अपने फोन पर व्हाट्सएप खोलें, सेटिंग्स में जाएं, और नए डिवाइस पर दिख रहा QR कोड स्कैन करें। इसके लिए किसी पासवर्ड की ज़रूरत नहीं पड़ती, क्योंकि आपका फोन पहले से लॉग-इन है और नए सेशन की गारंटी दे रहा है।

यह घोटाला लॉगिन को नहीं, बल्कि इसी प्रक्रिया को हाईजैक करता है। पीड़ित एक लिंक पर क्लिक करता है — कभी-कभी तो असली wa.me डोमेन पर ही — जो उसे कुछ ऐसा दिखाता है जो "व्हाट्सएप वेब सेटअप" जैसा लगे, या उसे अपनी ही लिंक्ड-डिवाइसेज़ स्क्रीन में एक कोड डालने को कहता है। इन चरणों का पालन करने से ठीक एक ही काम होता है: यह हमलावर के डिवाइस को पीड़ित के अकाउंट पर एक नए लिंक्ड सेशन के रूप में मंज़ूरी दे देता है। उस पल के बाद, हमलावर उस डिवाइस पर, जिसे पीड़ित कभी देखता ही नहीं, अकाउंट मालिक की तरह मैसेज पढ़ और भेज सकता है।

यही वजह है कि यह उन चेतावनी संकेतों में से किसी को भी सक्रिय नहीं करता जिनके लिए लोगों को सतर्क रहना सिखाया गया है। पासवर्ड नहीं बदलता, इसलिए "आपका पासवर्ड बदला गया" वाला ईमेल नहीं आता। कोई लॉगिन विफल नहीं होता, इसलिए कोई सुरक्षा अलर्ट नहीं आता। अकाउंट मालिक का अपना फोन बिल्कुल सामान्य ढंग से काम करता रहता है। इसका इकलौता निशान लिंक्ड-डिवाइसेज़ की लिस्ट में चुपचाप बैठी एक अतिरिक्त, अनजान एंट्री होती है — और तब तक लगभग कोई भी उस लिस्ट को नहीं देखता जब तक उसे यह न पता हो कि देखना है।

अभी अपने लिंक्ड डिवाइसेज़ जांच लें

चाहे आपको ऐसा कोई मैसेज मिला हो या न मिला हो, यह ज़रूर करें, क्योंकि इसमें दो मिनट से भी कम समय लगता है और इसकी कोई कीमत नहीं है:

  • आईफोन या एंड्रॉइड पर: व्हाट्सएप खोलें → सेटिंग्स पर टैप करें (एंड्रॉइड पर थ्री-डॉट मेन्यू) → लिंक्ड डिवाइसेज़।
  • हर एंट्री की जांच करें। हर एक में डिवाइस का प्रकार (Chrome, Windows, Mac, कोई और फोन) और वह आखिरी बार कब सक्रिय था, दिखता है। अगर आप व्हाट्सएप केवल अपने फोन पर ही इस्तेमाल करते हैं, तो यह लिस्ट खाली होनी चाहिए। अगर आप घर या ऑफिस के कंप्यूटर पर व्हाट्सएप वेब इस्तेमाल करते हैं, तो आपको हर एक एंट्री पहचाननी चाहिए।
  • जो एंट्री आपको न पहचान में आए — उसे तुरंत हटा दें। उस डिवाइस पर टैप करें, फिर "लॉग आउट" चुनें, या अगर यकीन न हो कि कौन-सी एंट्री समस्या है तो "सभी डिवाइसों से लॉग आउट करें" इस्तेमाल करें। इससे हमलावर की पहुंच तुरंत खत्म हो जाती है; इसके लिए आपको अपना पासवर्ड या फोन नंबर बदलने की ज़रूरत नहीं पड़ती।

फिर अपने पीछे दरवाज़ा बंद कर लें

बदमाश डिवाइस को हटाने से तुरंत की पहुंच तो रुक जाती है, लेकिन इससे कोई भी उसी तरीके से एक नया डिवाइस लिंक करने से नहीं रुकता। दो अगले कदम मायने रखते हैं:

  • टू-स्टेप वेरिफिकेशन चालू करें। सेटिंग्स → अकाउंट → टू-स्टेप वेरिफिकेशन → इनेबल करें। इससे एक 6-अंकों का पिन जुड़ जाता है जो कुछ संवेदनशील कार्यों के लिए ज़रूरी होता है, और इससे यह और मुश्किल हो जाता है कि अगर कोई आपको दोबारा भी धोखा दे दे, तो वह नियंत्रण फिर से हासिल कर सके।
  • किसी मैसेज के कहने भर से कभी भी अपनी व्हाट्सएप सेटिंग्स में कोई कोड न डालें। यही इस घोटाले का असली तरीका है। असली डिवाइस लिंकिंग हमेशा इस तरह शुरू होती है कि आप खुद व्हाट्सएप वेब या डेस्कटॉप खोलते हैं और अपने फोन के कैमरे से QR कोड स्कैन करते हैं — यह कभी भी किसी चैट, टेक्स्ट या लिंक में आए कोड को टाइप करने से शुरू नहीं होती। अगर कोई पेज आपसे ऐसा करने को कहे, तो उसे बंद कर दें।

अगर मैसेज आपके दोस्त की तरफ से आया हो, आपकी तरफ से नहीं

लिंक पर क्लिक न करें, और अगर बातचीत आगे बढ़कर पैसे मांगने तक पहुंच जाए तो पैसे न भेजें — हमलावर के पहुंच बना लेने के बाद अक्सर यही अगला कदम होता है, क्योंकि किसी असली दोस्त के अकाउंट से आई इमरजेंसी पैसों की मांग किसी अजनबी की तरफ से आई उसी मांग से कहीं ज़्यादा भरोसेमंद लगती है। इसके बजाय, उस दोस्त से किसी बिल्कुल अलग माध्यम से संपर्क करें — फोन कॉल, टेक्स्ट, ईमेल, कुछ भी जो खुद उस व्हाट्सएप थ्रेड से अलग हो, क्योंकि हो सकता है वह थ्रेड असल में वे न हों। उन्हें बताएं कि आपको क्या मिला है और सुझाव दें कि वे अपनी लिंक्ड-डिवाइसेज़ लिस्ट जांच लें। अगर पता चले कि उनका अकाउंट हैक हो गया था, तो उन्हें अपने बाकी संपर्कों को भी इसी तरह आगाह करना चाहिए, क्योंकि हमलावर की पूरी रणनीति इसी बात पर टिकी होती है कि मैसेज बिल्कुल उतना ही भरोसेमंद दिखे जितना वह अभी दिख रहा है।

इनमें से किसी भी काम के लिए एंटीवायरस सॉफ्टवेयर, पासवर्ड मैनेजर, या व्हाट्सएप की अपनी सेटिंग्स मेन्यू के अलावा किसी और टूल की ज़रूरत नहीं है। इसके लिए बस यह जानना ज़रूरी है कि "लिंक्ड डिवाइसेज़" एक ऐसी लिस्ट है जिसे जांचना ज़रूरी है — और यह कि किसी असली इंसान की तरफ से आई मदद की गुज़ारिश इस बात का सबूत नहीं है कि वह गुज़ारिश वाकई उसी ने की है।