हम में से ज़्यादातर लोगों के मन में "मेरा अकाउंट हैक हो गया" के लिए एक तयशुदा संकेत होता है: एक पासवर्ड-रीसेट ईमेल जिसकी हमने माँग नहीं की थी, किसी अनजान शहर से लॉगिन को लेकर एक टेक्स्ट मैसेज, या अचानक अकाउंट का लॉक हो जाना। यह संकेत तब कारगर था जब मुख्य खतरा किसी के आपका पासवर्ड अंदाज़ा लगाने या ब्रूट-फोर्स करने का होता था। लेकिन हाल की घटनाओं में सामने आ रहे एक्सेस तरीकों पर यह लगभग बेअसर है, क्योंकि ये खासतौर पर इसी संकेत को ट्रिगर होने से बचाने के लिए बनाए गए हैं।
पिछले कुछ हफ्तों के दो उदाहरण इस पैटर्न को स्पष्ट करते हैं। Malwarebytes ने एक WhatsApp घोटाले का दस्तावेज़ीकरण किया (3 अगस्त, 2026 को प्रकाशित) जिसमें पीड़ितों को कथित "WhatsApp Web सेटअप" के ज़रिए ले जाया जाता है — कभी-कभी असली wa.me डोमेन पर ही — और अंत में वे एक कोड डाल देते हैं जो हमलावर की डिवाइस को उनके अकाउंट से लिंक कर देता है। कहीं भी कोई पासवर्ड नहीं टाइप किया जाता, इसलिए न तो कोई पासवर्ड-रीसेट ईमेल आता है और न ही कोई फेल्ड-लॉगिन अलर्ट ट्रिगर होता है। हमलावर की डिवाइस बस अकाउंट की लिंक्ड-डिवाइसेज़ लिस्ट में एक और चुपचाप शामिल एंट्री बन जाती है, जिसे पूरा रीड और सेंड एक्सेस मिलता है, और फिर वे इसी घोटाले को पीड़ित के कॉन्टैक्ट्स पर चलाने के लिए इसका इस्तेमाल करते हैं। अलग से, Microsoft ने एक ऐसे अभियान को लेकर चेतावनी दी जिसे वह "CaptiveCrunch" कहता है, जो होटल और कॉन्फ्रेंस के वाई-फाई कैप्टिव पोर्टल्स पर यात्रियों को रोकता है, और उन्हें नकली लॉगिन पेजों पर रीडायरेक्ट कर देता है जो न सिर्फ पासवर्ड, बल्कि डिवाइस कोड और OAuth टोकन भी चुरा लेते हैं — ऐसे क्रेडेंशियल्स जो बिना कभी वैसा "नया लॉगिन" नोटिस उत्पन्न किए एक्सेस दे देते हैं जैसा पासवर्ड बदलने पर मिलता।
इनमें एक साझा कड़ी है: दोनों हमले पासवर्ड की बजाय सेशन और ऑथराइज़ेशन तंत्रों — लिंक्ड डिवाइसेज़, OAuth ग्रांट्स, डिवाइस कोड्स — को निशाना बनाते हैं। आपके अकाउंट का बिल्ट-इन अलर्टिंग सिस्टम सामने के दरवाज़े पर नज़र रखने के लिए बनाया गया था। ये तरीके एक ऐसे पिछले दरवाज़े से अंदर आते हैं जिस पर वह नज़र ही नहीं रखता।
इसके बारे में वास्तव में क्या करें
आप ऐसी नोटिफिकेशन का इंतज़ार नहीं कर सकते जो आनी ही नहीं है। इसके बजाय, अपने लिंक्ड डिवाइसेज़ और अधिकृत ऐप्स की जाँच को एक नियमित आदत की तरह अपनाएँ, ठीक वैसे ही जैसे आप स्मोक डिटेक्टर की बैटरी चेक करते हैं। यहाँ एक ठोस प्रक्रिया दी गई है, क्रम में:
1. मैसेजिंग ऐप्स पर लिंक्ड/सक्रिय डिवाइसेज़ जाँचें
- WhatsApp: सेटिंग्स → लिंक्ड डिवाइसेज़। जो भी डिवाइस पहचान में न आए, उस पर टैप करें और "लॉग आउट" करें।
- Telegram: सेटिंग्स → डिवाइसेज़। वही तरीका — हर उस सेशन को खत्म करें जो इस समय आपके हाथ में मौजूद डिवाइस न हो।
- Signal: सेटिंग्स → लिंक्ड डिवाइसेज़, वही जाँच करें।
2. अपने मुख्य अकाउंट्स पर सक्रिय सेशंस और थर्ड-पार्टी ऐप एक्सेस जाँचें
- Google: myaccount.google.com/security → "Your devices" और "Third-party apps with account access"। जो भी अपरिचित लगे उसे रद्द करें, और खासतौर पर उन ऐप्स पर ध्यान दें जिन्हें आपने महीनों या सालों पहले एक्सेस दिया था और भूल गए — एक पुराना ग्रांट भी हमलावर के लिए उतना ही काम का होता है जितना कोई नया।
- Microsoft: account.microsoft.com/security → "Sign-in activity" और "App permissions"।
- Apple ID: सेटिंग्स → [आपका नाम] → सबसे नीचे दी गई डिवाइस लिस्ट जाँचें।
- Facebook/Instagram: सेटिंग्स → "Where you're logged in" / "Active sessions," और साथ ही कनेक्टेड थर्ड-पार्टी एक्सेस के लिए "Apps and websites"।
3. ऐसे किसी भी फ्लो पर शक करें जो पासवर्ड की बजाय कोड डालने के लिए कहे
वैध "इस डिवाइस को लिंक करें" फ्लो वाकई कोड का इस्तेमाल करते हैं — यह अपने आप में कोई खतरे की घंटी नहीं है। जो चीज़ आपको रोकनी चाहिए वह है ट्रिगर: अगर कोड-एंट्री प्रॉम्प्ट किसी कॉन्टैक्ट के मैसेज ("मुझे वोट दो," "यह देखो") की वजह से, किसी पब्लिक वाई-फाई कैप्टिव पोर्टल की वजह से, या किसी ऐसे लिंक की वजह से आता है जिसे आपने खुद शुरू नहीं किया, तो जब तक साबित न हो जाए तब तक इसे नुकसानदायक मानें। इसे बंद करें और लिंक से आगे बढ़ने के बजाय सीधे ऐप या अकाउंट पर जाएँ।
4. जाँचें कि क्या आपकी ईमेल किसी ज्ञात डेटा ब्रीच में सामने आई है
सुरक्षा शोधकर्ता Troy Hunt द्वारा संचालित Have I Been Pwned (haveibeenpwned.com) एक मुफ्त, अच्छी तरह स्थापित सेवा है जो यह जाँचती है कि क्या आपका ईमेल पता किसी ज्ञात डेटा ब्रीच में शामिल है — यह इतनी विश्वसनीय है कि कई राष्ट्रीय सरकारें अपने ही डोमेन के लिए इसका इस्तेमाल करती हैं (इस हफ्ते की रिपोर्टिंग के मुताबिक, नेपाल का राष्ट्रीय साइबर सुरक्षा केंद्र इसे अपनाने वाली 47वीं सरकार बन गया है)। यह लिंक्ड-डिवाइस कॉम्प्रोमाइज़ को नहीं पकड़ेगी, लेकिन अपने मुख्य ईमेल पतों पर यह एक तेज़, मुफ्त जाँच चलाने लायक है, और अगर आपको किसी अकाउंट में किसी दिक्कत का शक हो और समझ न आए कि कहाँ से शुरू करें, तो यही पहला सही कदम है।
5. अविश्वसनीय नेटवर्क्स पर — होटल वाई-फाई, कॉन्फ्रेंस वाई-फाई, एयरपोर्ट वाई-फाई — कैप्टिव पोर्टल पेज के ज़रिए किसी भी संवेदनशील चीज़ में लॉगिन करने से बचें
अगर कोई होटल या वेन्यू का वाई-फाई लॉगिन पेज इंटरनेट एक्सेस देने से पहले सॉफ्टवेयर अपडेट, कोई "सुरक्षा जाँच" डायलॉग, या Microsoft/Google लॉगिन माँगता है, तो सतर्क रहें — पहले कनेक्ट करें, फिर नेटवर्क द्वारा दिए गए किसी भी पेज के बजाय अपने फोन के सेल्युलर कनेक्शन या किसी VPN के ज़रिए अपने असली लॉगिन करें।
इसे कैलेंडर पर डालें
एक बार की सफाई आज की समस्या को ठीक करती है, लेकिन अगली तिमाही की नहीं। कोई नियमित रिमाइंडर तय करें — तिमाही एक उचित अंतराल है, या इसे किसी ऐसी चीज़ से जोड़ दें जो आप वैसे भी नियमित रूप से करते हैं, जैसे मौसम बदलना या कोई बार-बार आने वाला बिल — और अपने दो या तीन सबसे ज़रूरी अकाउंट्स के लिए ऊपर दिए चरण 1 और 2 दोहराएँ: मुख्य ईमेल, जो मैसेजिंग ऐप आप सबसे ज़्यादा इस्तेमाल करते हैं, और आपके पैसों से जुड़ा कोई भी अकाउंट। एक बार मेन्यू कहाँ हैं यह पता चल जाए, तो इसमें पंद्रह मिनट से कम लगते हैं, और यह उस एक्सेस को पकड़ने का इकलौता भरोसेमंद तरीका है जिसे खासतौर पर आपको अलर्ट न करने के लिए डिज़ाइन किया गया था।
