फ़िशिंग ईमेल की पहचान कैसे करें: वे संकेत जो सच में काम के हैं

यह एक गढ़ा हुआ नमूना है, जो इसी लेख के लिए लिखा गया है। इसके पतों तक पहुँचा नहीं जा सकता, और इसे सिर्फ़ इसलिए दिखाया गया है कि आप इसे पढ़ने का अभ्यास कर सकें।

फ़िशिंग मैसेज का उदाहरण, असली नहीं
From: "Mailbox Support" <helpdesk@mail-storage-notice.example>
Subject: Your mailbox is 98% full, messages are being held

प्रिय यूज़र, आपका स्टोरेज भर जाने के कारण 14 आने वाले मैसेज डिलीवर नहीं हो सके। उन्हें छुड़ाने और सस्पेंशन से बचने के लिए 24 घंटे के भीतर अपना अकाउंट वेरिफ़ाई करें।
[मेरे मैसेज छुड़ाएँ]

इसके खोट हैं: भेजने वाले का डोमेन, जो ऐसे किसी का नहीं है जिससे आपका लेना-देना हो; ऐसा संबोधन जो आपका नाम नहीं जानता; धमकी के साथ जुड़ी समय-सीमा; और एक बटन जो आपसे साइन इन करवाना चाहता है। कहीं कोई वर्तनी की गलती नहीं है, और आजकल यही आम है। आप फ़िशिंग ईमेल की पहचान इन तरीकों से करते हैं: भेजने वाले का असली पता जाँचकर, यह पढ़कर कि लिंक असल में कहाँ जाते हैं, पासवर्ड, पैसे या फ़ाइल खोलने के अनचाहे अनुरोधों को शक से देखकर, और किसी भी ज़रूरी बात की पुष्टि मैसेज के बजाय ऐसे रास्ते से करके जिस पर आप पहले से भरोसा करते हैं।

फ़िशिंग वह मैसेज है जो किसी भरोसेमंद व्यक्ति या संस्था का रूप धरता है, ताकि आप अपने क्रेडेंशियल सौंप दें, पैसे भेज दें, मैलवेयर इंस्टॉल कर लें, या ऐसी जानकारी दे दें जो बाद के हमले में काम आए। खराब व्याकरण और भद्दे लोगो पर टिकी सलाह अब पुरानी पड़ चुकी है, क्योंकि किसी ब्रांड का डिज़ाइन कॉपी करना आसान है और अनुवाद और लिखने के औज़ार हर किसी के पास हैं। जो भरोसेमंद बचा है वह यह है कि मैसेज आपसे क्या करवाना चाहता है, और तकनीकी सबूत उसके स्रोत के बारे में क्या कहते हैं।

किन संकेतों पर ध्यान देना चाहिए

चेतावनी के सभी संकेत बराबर नहीं होते। यह क्रम हमलों के काम करने के तरीके पर आधारित एक आकलन है, मापा हुआ आँकड़ा नहीं, लेकिन यह दिखाता है कि आपके कुछ सेकंड का ध्यान कहाँ लगाना चाहिए।

संकेत	यह कितना बताता है	क्यों
लिंक ऐसे डोमेन पर जाता है जो बताई गई संस्था का नहीं है	बहुत ज़्यादा	यह बेमेल होना ही क्रेडेंशियल फ़िशिंग की जड़ है
ईमेल पासवर्ड, वन-टाइम कोड या पूरा कार्ड नंबर माँगता है	बहुत ज़्यादा	वैध सर्विसें ये चीज़ें ईमेल से नहीं माँगतीं
भुगतान की जानकारी ईमेल से "तुरंत" बदलवाई जा रही है	बहुत ज़्यादा	बिज़नेस ईमेल फ़्रॉड का आम तरीका
भेजने वाले का डोमेन संस्था से मेल नहीं खाता	ज़्यादा	मिलते-जुलते और फ़्री-मेल वाले भेजने वाले आम हैं
अनचाहा आर्काइव, HTML फ़ाइल या मैक्रो वाला दस्तावेज़	ज़्यादा	मैलवेयर या नकली लॉगिन पेज पहुँचाने के आम तरीके
बताए गए डोमेन के लिए DMARC फ़ेल	ज़्यादा	जालसाज़ी का मज़बूत सबूत, हालाँकि पास होना ज़्यादा कुछ साबित नहीं करता
तेज़ जल्दबाज़ी या धमकियाँ	मध्यम	फ़िशिंग में आम, पर असली सुरक्षा अलर्ट भी जल्दी वाले हो सकते हैं
सामान्य संबोधन	मध्यम	बल्क कैंपेन इसे इस्तेमाल करते हैं, जबकि निशाना बनाकर किए गए हमले आपका नाम लेते हैं
वर्तनी और व्याकरण की गलतियाँ	कम से मध्यम	आज की फ़िशिंग अक्सर सधी होती है, और असली मेल में भी टाइपो होते हैं
लोगो या लेआउट कुछ अजीब लगे	कम	किसी ब्रांड का डिज़ाइन कॉपी करने में मिनट लगते हैं

गौर करें कि तालिका का ऊपरी हिस्सा मंज़िल और माँग के बारे में है, और निचला हिस्सा दिखावट के बारे में। सबसे काम की मानसिक बदलाव यह है कि "क्या यह असली लगता है?" पूछना छोड़ें और पूछें "यह मुझसे क्या चाहता है, और इस मैसेज का इस्तेमाल किए बिना मैं यह कैसे जाँच सकता हूँ?"

लिंक को सही तरह से पढ़ना

अगर आप इस लेख से सिर्फ़ एक तकनीकी हुनर सीखें, तो यही सीखें, क्योंकि लिंक का दिखने वाला टेक्स्ट और उसकी असली मंज़िल पूरी तरह अलग चीज़ें हैं। "Sign in to your account" लिखा बटन कहीं भी ले जा सकता है। कंप्यूटर पर लिंक पर क्लिक किए बिना कर्सर ले जाएँ और स्टेटस बार या टूलटिप में दिखने वाला पता पढ़ें। फ़ोन पर लिंक को दबाए रखकर उसका प्रीव्यू देखें, फिर रद्द कर दें।

ज़्यादातर लोग वेब पते को बाईं ओर से पढ़ते हैं, और हमलावर इसी पर भरोसा करते हैं। मालिकाना हक होस्ट नाम के दाहिने सिरे से तय होता है: रजिस्टर्ड डोमेन और उसका अंत, पहले एकल स्लैश से ठीक पहले। उसके बाईं ओर जो कुछ है वह सबडोमेन है, जिसे मालिक कोई भी टेक्स्ट बना सकता है। स्लैश के बाद जो है वह पाथ है, और वह भी कुछ भी कह सकता है। इन चार उदाहरणों को देखें, जिनमें दूसरा, तीसरा और चौथा काल्पनिक हैं:

• https://accounts.google.com/signin Google का है, क्योंकि डोमेन google.com है।
• https://accounts.google.com.secure-login.example/signin secure-login.example का है। ब्रांड का नाम बस एक सबडोमेन है।
• https://secure-login.example/accounts.google.com/ भी secure-login.example का है, जिसमें ब्रांड पाथ में रखा गया है।
• https://www.paypal.com@203.0.113.7/ एक पुरानी चाल इस्तेमाल करता है। @ से पहले की हर चीज़ को यूज़रनेम माना जाता है, और असली मंज़िल उसके बाद वाला IP पता है।

कुछ और लिंक पैटर्न आपको धीमा कर देने चाहिए। किसी बड़े ब्रांड के मैसेज में URL शॉर्टनर अजीब है, क्योंकि उसके पास अपना डोमेन छिपाने की कोई वजह नहीं है। फ़ॉर्म बनाने वाली या फ़ाइल-शेयरिंग सर्विसों के वे लिंक जो "दस्तावेज़ देखने के लिए लॉग इन करें" कहते हैं, ख़ास पसंदीदा हैं, क्योंकि फ़िशिंग पेज अक्सर वैध क्लाउड प्लेटफ़ॉर्म पर होस्ट होते हैं। इसलिए पते में किसी भरोसेमंद होस्टिंग का नाम होना इस बात का सबूत नहीं कि पेज सुरक्षित है। सवाल यह है कि क्या डोमेन उस संस्था का है जिससे आप समझ रहे हैं कि आपका वास्ता है।

पैडलॉक भी किसी तरफ़ मदद नहीं करता। HTTPS सिर्फ़ यह बताता है कि कनेक्शन एन्क्रिप्टेड है, और मुफ़्त सर्टिफ़िकेट हर किसी को मिलते हैं, अपराधियों को भी। पैडलॉक वाला नकली बैंक पेज एक चोर के साथ एन्क्रिप्टेड कनेक्शन है।

अंतरराष्ट्रीय हमशक्ल पतों से भी सावधान रहें। डोमेन में दूसरी वर्णमालाओं के ऐसे अक्षर हो सकते हैं जो लैटिन अक्षरों जैसे ही दिखते हैं, जैसे लैटिन "a" की जगह सिरिलिक "а"। ब्राउज़र अक्सर इन्हें xn-- से शुरू होने वाले कोडित रूप में दिखाते हैं, और जहाँ आप कोई जाना-पहचाना ब्रांड देखने की उम्मीद करते हैं वहाँ यह उपसर्ग दिखना काम का इशारा है।

भेजने वाले को पढ़ना

मेल ऐप डिस्प्ले नाम को बड़े अक्षरों में दिखाते हैं और अक्सर पता छिपा देते हैं, जबकि डिस्प्ले नाम खुला टेक्स्ट है जिसे भेजने वाला चुनता है। "Microsoft Account Team" दिखाने वाला मैसेज किसी असंबंधित डोमेन से या किसी हैक हुए मेलबॉक्स से आ सकता है। कंप्यूटर पर नाम पर कर्सर ले जाएँ या क्लिक करें। फ़ोन पर उसे खोलने के लिए टैप करें। फिर @ के बाद वाला हिस्सा देखें, इन पैटर्न को ध्यान में रखते हुए (यहाँ डोमेन उदाहरण के लिए हैं):

• बदले हुए अक्षर, जैसे m की जगह rn, या अक्षर l की जगह अंक 1।
• जोड़े गए शब्द, जैसे netflix-billing.example। ब्रांड अकाउंट मेल के लिए अपने नाम के हाइफ़न वाले रूप कम ही इस्तेमाल करते हैं।
• अलग अंत, जैसे yourbank.com की जगह yourbank.co।
• कोई मुफ़्त निजी मेलबॉक्स जो खुद को बैंक, लॉ फ़र्म या आपका मुख्य कार्यकारी बता रहा हो।

फिर रिप्लाई पता जाँचें। कोई मैसेज विश्वसनीय From पंक्ति दिखा सकता है और Reply-To हमलावर के मेलबॉक्स पर रख सकता है, जिससे आपका जवाब कहीं और चला जाता है। कई ऐप Reply दबाने पर मंज़िल दिखा देते हैं, इसलिए भेजने से पहले देख लें।

भेजने वाले की जाँच की एक साफ़ सीमा है: यह हाइजैक हुए अकाउंट के बारे में कुछ नहीं बताती। अगर किसी असली सहकर्मी या सप्लायर का मेलबॉक्स कब्ज़े में ले लिया गया है, तो पता बिल्कुल सही होगा। उस हालत में माँग ही आपका इकलौता संकेत है, जो हमें अगले मुद्दे पर लाता है।

ऐसी माँगें जो कोई ईमानदार भेजने वाला ईमेल से नहीं करता

कुछ माँगें संदिग्ध होती हैं चाहे बाकी मैसेज कितना भी अच्छा लगे। आपका पासवर्ड या PIN। वह वन-टाइम कोड जो आपको अभी SMS या ऐप से मिला। सिक्योरिटी कोड के साथ पूरा कार्ड नंबर। गिफ़्ट कार्ड या क्रिप्टोकरेंसी से भुगतान, या किसी नए खाते में वायर। किसी ऐसी समस्या के लिए आपके कंप्यूटर तक रिमोट एक्सेस जो आपने कभी बताई ही नहीं। "ऑडिट के लिए" किसी बाहरी पते पर भेजी जाने वाली गोपनीय फ़ाइलें या स्टाफ़ का डेटा।

वन-टाइम कोड की माँग को समझना ज़रूरी है, क्योंकि यह इतनी बेहानि लगती है। जिस हमलावर के पास आपका पासवर्ड पहले से है, वह लॉगिन शुरू करता है, जिससे असली सर्विस से आपको असली कोड मिलता है। फिर वह सपोर्ट बनकर आपको मैसेज करता है और उस कोड को "कन्फ़र्म" करने को कहता है। जो भी आपको मिला हुआ कोड माँगे, वह आपकी जगह साइन इन करने की कोशिश कर रहा है।

सरकारी संस्थाएँ भी आम आड़ हैं। उदाहरण के लिए अमेरिका का IRS कहता है कि वह करदाताओं से निजी या वित्तीय जानकारी माँगने के लिए ईमेल से संपर्क शुरू नहीं करता, और दूसरे कई देशों की कर एजेंसियाँ भी ऐसी ही चेतावनियाँ छापती हैं। अगर आपको लगता है कि रिफ़ंड या जुर्माना असली हो सकता है, तो एजेंसी का पता खुद टाइप करें और वहीं साइन इन करें।

सावधान लोग भी फिर क्यों फँस जाते हैं

फ़िशिंग सॉफ़्टवेयर से ज़्यादा व्यवहार को निशाना बनाती है। अच्छी तरह बने मैसेज तेज़ भावनात्मक प्रतिक्रिया जगाने का लक्ष्य रखते हैं ताकि आप पहले करें और बाद में सोचें। जल्दबाज़ी साफ़ हथियार है ("24 घंटे में अकाउंट बंद"), साथ में डर ("असामान्य साइन-इन", "कानूनी कार्रवाई लंबित"), और अधिकार, जहाँ मुख्य कार्यकारी, बैंक या IT सपोर्ट को भेजने वाला बताया जाता है। इनाम और जिज्ञासा भी काम करते हैं, रिफ़ंड, पुरस्कार और "देखें किसने आपकी प्रोफ़ाइल देखी" के रूप में। फिर सीधी मदद करने की भावना है, जैसे जब किसी सहकर्मी को तुरंत किसी फ़ाइल की समीक्षा चाहिए।

रोज़मर्रा की आदत शायद सबसे ताकतवर है। नकली इनवॉइस, डिलीवरी नोटिस या साझा दस्तावेज़ उन दर्जनों असली चीज़ों जैसा दिखता है जिन्हें आप हर हफ़्ते सँभालते हैं, और जो काम आप ऑटोपायलट पर करते हैं उन पर आप सबसे कम चौकस होते हैं। इसी वजह से लक्ष्य हर ईमेल पर शक करना नहीं है, जिसे कोई निभा नहीं सकता। लक्ष्य उस पल को पहचानना है जब कोई मैसेज कुछ संवेदनशील माँगता है, और उसी पल प्रतिक्रिया देने से जाँचने की ओर बदल जाना।

हमलों के प्रकार, और हर एक क्या बदलता है

नाम से ज़्यादा मायने इसके हैं कि हर रूप ऊपर की सलाह पर क्या असर डालता है। इनमें से कुछ आम जाँचों को मात दे देते हैं।

प्रकार	यह क्या है	आपके लिए क्या बदलता है
बल्क फ़िशिंग	बड़ी लिस्टों को भेजा गया सामान्य मैसेज, जैसे भरा मेलबॉक्स या अटका पार्सल	पकड़ना सबसे आसान, क्योंकि यह कम ही आपकी ज़िंदगी से मेल खाता है
स्पियर फ़िशिंग	आपके लिए गढ़ा गया, सोशल मीडिया या ब्रीच डेटा के नाम और जानकारी के साथ	निजी जानकारी कुछ साबित नहीं करती
व्हेलिंग	अधिकारियों या पैसे पर नियंत्रण रखने वालों पर निशाना साधती स्पियर फ़िशिंग	बड़ा पद आपको निशाना बना देता है
बिज़नेस ईमेल कॉम्प्रोमाइज़	पैसे का रुख मोड़ने के लिए किसी अधिकारी, सप्लायर या सहकर्मी की नकल करना या उसका अकाउंट कब्ज़ाना	अक्सर न लिंक, न अटैचमेंट, इसलिए स्कैनर को कुछ नहीं दिखता
क्लोन फ़िशिंग	पहले के किसी असली ईमेल की कॉपी, जिसमें लिंक या फ़ाइल बदली गई हो	जानी-पहचानी सामग्री कोई सबूत नहीं
थ्रेड हाइजैकिंग	हैक हुए मेलबॉक्स से किसी असली बातचीत के भीतर जवाब देना	भेजने वाले की जाँच पास हो जाती है
क्विशिंग	लिंक की जगह QR कोड	आपको फ़ोन पर ले जाता है, डेस्कटॉप सुरक्षा और लिंक स्कैनरों से दूर
कंसेंट फ़िशिंग	कोई हानिकारक ऐप असली "Allow" स्क्रीन पर एक्सेस माँगता है	कोई पासवर्ड नहीं चुराया जाता, और साइन-इन पेज असली होता है
कॉलबैक फ़िशिंग	नकली इनवॉइस या रिन्यूअल में कॉल करने के लिए फ़ोन नंबर दिया होता है	क्लिक करने को कुछ नहीं, और धोखा कॉल पर होता है
डिवाइस कोड फ़िशिंग	आपसे असली साइन-इन पेज पर एक कोड डलवाया जाता है, जो हमलावर के डिवाइस को अधिकृत कर देता है	डोमेन की जाँच पास हो जाती है, इसलिए अनचाही माँग ही सुराग है

आखिरी तीन के लिए एक वाक्य की व्यावहारिक सलाह है। किसी भी "Allow access" स्क्रीन पर अनुमतियों की सूची पढ़ें, और अगर कोई अनजान ऐप आपका मेल पढ़ना चाहे तो मना कर दें। अनचाहे इनवॉइस में छपे नंबर पर कभी कॉल न करें। और किसी साइन-इन पेज पर कोड तब कभी न डालें जब ईमेल या चैट में किसी ने कहा हो, सिवाय इसके कि वह प्रक्रिया आपने खुद अपने सामने रखे डिवाइस पर शुरू की हो।

नमूना मैसेज, टिप्पणियों के साथ

नीचे के सभी उदाहरण व्यापक रूप से दर्ज पैटर्न पर आधारित गढ़े हुए हैं। नाम और डोमेन काल्पनिक हैं।

उदाहरण: साझा किया गया दस्तावेज़

सिर्फ़ उदाहरण
From: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Subject: Jordan shared "Q3 Payment Schedule" with you

Open in Docs

यह शेयरिंग नोटिस की नकल है, लेकिन भेजने वाला एक बाहरी पता है जिसे आप नहीं जानते, और बटन एक ऐसे पेज पर ले जाता है जो आपके ईमेल का पासवर्ड माँगता है, अक्सर प्रोवाइडरों के लोगो की एक कतार के साथ। असली सूचनाएँ प्लेटफ़ॉर्म के अपने डोमेन से आती हैं और उस सेशन में खुलती हैं जिसमें आप पहले से साइन इन हैं। अगर आप किसी Jordan को जानते हैं, तो उनसे पूछें। जो भी हो, "साझा फ़ाइल" वाले ईमेल से पहुँचे किसी पेज पर अपना पासवर्ड न डालें।

उदाहरण: सप्लायर का नया बैंक खाता

सिर्फ़ उदाहरण
From: "Accounts Receivable" <ar@supplier-co.example>
Subject: RE: Invoice 4471

कृपया ध्यान दें कि ऑडिट के कारण हमारे बैंक विवरण बदल गए हैं। इस और आगे के भुगतानों के लिए संलग्न नए खाते का विवरण इस्तेमाल करें। भुगतान लंबित है, इसलिए कृपया आज ही प्रोसेस करें।

यहाँ कोई लिंक न हो, और यह सप्लायर के असली, कब्ज़े में लिए गए मेलबॉक्स से किसी असली थ्रेड के भीतर आया हो सकता है। हर तकनीकी जाँच पास हो सकती है। खतरे का निशान माँग है: ईमेल से भुगतान की जानकारी बदलना, वह भी जल्दबाज़ी के साथ। कुछ भी चुकाने से पहले सप्लायर को उस नंबर पर कॉल करें जो आपके पास पहले से दर्ज है, ईमेल या उसके सिग्नेचर वाले नंबर पर नहीं। अगर पैसा जा चुका है, तो तुरंत अपने बैंक को कॉल करें और भुगतान वापस बुलाने के बारे में पूछें, और अमेरिका में इसकी रिपोर्ट ic3.gov पर करें।

उदाहरण: पार्सल की फ़ीस

सिर्फ़ उदाहरण
Subject: Your parcel is on hold: customs fee unpaid

हमने आपका पैकेज डिलीवर करने की कोशिश की। दोबारा तय करने के लिए एक छोटी फ़ीस लगेगी। भेजने वाले को लौटाए जाने से बचने के लिए अभी भुगतान करें।

छोटी रकम आपकी सतर्कता घटा देती है, और असली मकसद आपके पूरे कार्ड की जानकारी है, जिसे बाद में बड़े फ़्रॉड में इस्तेमाल किया जा सकता है। डिलीवरी को रिटेलर के अपने ऑर्डर पेज या कूरियर के आधिकारिक ऐप के नंबर से ट्रैक करें।

उदाहरण: "मीटिंग में" व्यस्त अधिकारी

सिर्फ़ उदाहरण
From: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Subject: quick favor

क्या आप उपलब्ध हैं? मुझे चाहिए कि आप एक क्लाइंट के लिए एक काम चुपचाप सँभाल लें। मैं मीटिंग में हूँ, इसलिए सिर्फ़ ईमेल।

निजी मेलबॉक्स, गोपनीयता की माँग और "सिर्फ़ ईमेल" मिलकर यह पैटर्न बनाते हैं, और आगे आमतौर पर गिफ़्ट कार्ड कोड या ट्रांसफ़र माँगा जाता है। मैसेज में स्कैन करने लायक कुछ नहीं है। अधिकारी से कंपनी की डायरेक्टरी, चैट या फ़ोन के ज़रिए संपर्क करें, और IT को बताएँ।

उदाहरण: QR कोड

सिर्फ़ उदाहरण
Subject: Multi-factor authentication update required

आपकी MFA सेटिंग आज खत्म हो रही हैं। दोबारा रजिस्टर करने के लिए नीचे दिया QR कोड अपने फ़ोन से स्कैन करें।

मल्टी-फ़ैक्टर सेटिंग ईमेल से एक्सपायर नहीं होतीं। कोड आपको फ़ोन पर ले जाता है, जहाँ पता जाँचना कठिन है और कंपनी की सुरक्षा शायद लागू न हो। इसे स्कैन न करें। IT से पूछें, या अकाउंट की सुरक्षा सेटिंग सीधे देखें।

उदाहरण: टैक्स रिफ़ंड

सिर्फ़ उदाहरण
Subject: You are eligible for a tax refund

आपकी गतिविधि की वार्षिक गणना के बाद आप रिफ़ंड पाने के पात्र हैं। फ़ॉर्म 48 घंटे के भीतर जमा करें।

बिना माँगा तोहफ़ा, और साथ में पहचान और कार्ड की जानकारी माँगता फ़ॉर्म। सरकारी आधिकारिक पोर्टल पर उसका पता टाइप करके जाएँ, या एजेंसी का प्रकाशित नंबर मिलाएँ।

उदाहरण: अकाउंट अलर्ट जो आंशिक रूप से सच है

सिर्फ़ उदाहरण
From: "Account Security" <no-reply@secure-acct-center.example>
Subject: Action required: unusual sign-in activity

हमने एक नए डिवाइस से साइन-इन की कोशिश पकड़ी। अपना अकाउंट चालू रखने के लिए 24 घंटे के भीतर अपनी पहचान वेरिफ़ाई करें। [अभी वेरिफ़ाई करें]

असली सर्विसें साइन-इन अलर्ट भेजती हैं, इसलिए इस श्रेणी में बाकियों से ज़्यादा सावधानी चाहिए। यहाँ डोमेन सामान्य है और मैसेज सर्विस का नाम तक नहीं लेता। इसके बारे में ईमेल के भीतर से तर्क न करें। सर्विस का ऐप खोलें या उसका पता टाइप करें, और हाल की गतिविधि वाला पेज देखें। अगर वहाँ कुछ नहीं दिखता, तो ईमेल नकली था। यह आदत असली अलर्ट पर भी काम करती है, क्योंकि वे वहाँ भी दिखेंगे।

अनिश्चित हों तो हेडर जाँचना

हेडर में इसके तकनीकी सबूत होते हैं कि मैसेज कहाँ से आया। Gmail में तीन-बिंदु वाला मेनू खोलकर Show original चुनें, जो ऊपर एक छोटा सारांश भी देता है। वेब पर Outlook में View, View message source इस्तेमाल करें। Apple Mail में View, Message, All Headers इस्तेमाल करें।

जो नतीजे आप देखेंगे उनके पीछे तीन मानक हैं। SPF किसी डोमेन को यह प्रकाशित करने देता है कि कौन-से सर्वर उसका मेल भेज सकते हैं, और पाने वाला भेजने वाले सर्वर को उस सूची से मिलाता है। DKIM एक क्रिप्टोग्राफ़िक सिग्नेचर जोड़ता है, जिसे साइन करने वाले डोमेन के DNS में रखी पब्लिक की से जाँचा जाता है, और यह दिखाता है कि साइन किए गए हिस्सों में बदलाव नहीं हुआ और डोमेन ने ज़िम्मेदारी ली। DMARC इन्हें दिखने वाली From पंक्ति के डोमेन से जोड़ता है, जिस गुण को अलाइनमेंट कहते हैं, और पाने वालों को बताता है कि फ़ेल होने पर क्या करना है: कुछ नहीं, क्वारंटीन या रिजेक्ट। 2024 से Google और Yahoo ने बल्क भेजने वालों के लिए DMARC रिकॉर्ड प्रकाशित करना ज़रूरी किया है, जिससे ये नतीजे ज़्यादा आम हुए हैं।

Authentication-Results: से शुरू होने वाली पंक्ति खोजें। एक काल्पनिक उदाहरण में वह कुछ ऐसी दिख सकती है:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

यहाँ हर जाँच पास है और सभी डोमेन मेल खाते हैं। जाली मैसेज में dmarc=fail दिख सकता है, या From पंक्ति वाले डोमेन से बिल्कुल अलग डोमेन के लिए पास। जो आप पाएँ उसका मतलब यह तालिका बताती है।

नतीजा	इसका मतलब	इसका मतलब नहीं
ब्रांड के असली डोमेन के लिए DMARC पास	उस डोमेन ने या उसकी ओर से भेजा गया	इससे उस कंपनी के हैक हुए अकाउंट की संभावना खत्म नहीं होती
मिलते-जुलते डोमेन के लिए DMARC पास	हमलावर उस डोमेन का मालिक है और उसने उसे सही ढंग से सेट किया है	मैसेज सुरक्षित नहीं है, और फ़िशिंग में यह आम है
ब्रांड के डोमेन के लिए DMARC फ़ेल	जालसाज़ी का मज़बूत संकेत, या फ़ॉरवर्डिंग जिसने जाँच तोड़ दी	मेलिंग लिस्ट और फ़ॉरवर्डिंग कभी-कभी असली मेल भी तोड़ देते हैं
कोई DMARC रिकॉर्ड नहीं	डोमेन ने कोई नीति प्रकाशित नहीं की	अकेले यह कुछ साबित नहीं करता, पर उस डोमेन की जालसाज़ी आसान है

सबक यह है कि ऑथेंटिकेशन बताता है कि मैसेज किसने भेजा, और ईमानदारी अलग बात है। bank-resolution-center.example से आया परफ़ेक्ट नतीजों वाला ईमेल भी फ़िशिंग है। आप जो मिली-जुली जाँच चाहते हैं वह यह है कि ऑथेंटिकेट हुआ डोमेन वही संस्था हो जो आप समझ रहे हैं।

Received: पंक्तियाँ रास्ते के हर सर्वर को दर्ज करती हैं, सबसे नया ऊपर। वे दिखा सकती हैं कि "स्थानीय बैंक" का ईमेल किसी असंबंधित सर्वर से शुरू हुआ, लेकिन उस बिंदु के नीचे जो कुछ है जहाँ आपके अपने प्रोवाइडर ने मैसेज लिया, वह जाली हो सकता है, इसलिए सिर्फ़ उन्हीं प्रविष्टियों पर भरोसा करें जो आपके प्रोवाइडर के सर्वरों ने जोड़ीं। ज़्यादातर लोगों के लिए ऑथेंटिकेशन की पंक्ति और डोमेन की जाँच काफ़ी है।

फ़िशिंग ईमेल में अटैचमेंट और तस्वीरें

अटैचमेंट मैलवेयर पहुँचाते हैं या नकली लॉगिन पेज तक ले जाते हैं। सबसे ज़्यादा सावधानी वाले फ़ॉर्मैट हैं: आर्काइव और डिस्क इमेज जैसे .zip, .rar, .7z, .iso और .img, HTML फ़ाइलें जो लोकल नकली साइन-इन पेज खोलती हैं, Office दस्तावेज़ जो "Enable Content" या "Enable Editing" के लिए कहते हैं, invoice.pdf.exe जैसे दोहरे एक्सटेंशन, .js, .vbs, .lnk और .bat जैसी स्क्रिप्ट और शॉर्टकट, और ऐसी PDF जिनमें सिर्फ़ एक बटन या QR कोड हो। हमारी अटैचमेंट सुरक्षा गाइड बताती है कि हर प्रकार को कैसे परखें और संदिग्ध फ़ाइल कम जोखिम के साथ कैसे खोलें।

तस्वीरें ज़्यादा चुपचाप काम करती हैं। रिमोट तस्वीर भेजने वाले को बता सकती है कि आपका पता चालू है, और "वेरिफ़ाइड" पतों की सूचियाँ ऐसे ही बनती हैं। यह कैसे काम करता है और कौन-सी सेटिंग इसे रोकती हैं, यह हम अपने लेख ईमेल ट्रैकिंग पिक्सल में समझाते हैं। अपने मेल ऐप को बाहरी तस्वीरें दिखाने से पहले पूछने पर सेट करने का यह एक छोटा कारण है।

फ़ोन पर अतिरिक्त सावधानी

फ़ोन इस सबको और कठिन बना देते हैं। स्क्रीन छोटी होती है, पते डिफ़ॉल्ट रूप से छिपे रहते हैं, और लिंक प्रीव्यू के लिए देर तक दबाना पड़ता है। कुछ आदतें इसकी भरपाई करती हैं। मैसेज पर भरोसा करने से पहले पता खोलने के लिए भेजने वाले के नाम पर टैप करें। लिंक पर टैप करने के बजाय उन्हें दबाए रखें। बैंक, दुकानों और सोशल नेटवर्क के लिए, ईमेल की किसी भी चीज़ का पीछा करने के बजाय आधिकारिक ऐप खोलें। ईमेल में QR कोड को खास शक के साथ देखें, क्योंकि आप उन्हें उसी डिवाइस से स्कैन करते हैं जिस पर आप पढ़ रहे हैं। अगर आपका कैमरा खोलने से पहले पते का प्रीव्यू दिखाता है, तो उसे वैसे ही पढ़ें जैसे आप किसी भी लिंक को पढ़ते हैं।

यही चालें SMS और मैसेजिंग ऐप पर भी आती हैं, जिसे आमतौर पर स्मिशिंग कहते हैं, और ईमेल के बाद एक फ़ोन कॉल उसे ज़्यादा विश्वसनीय बनाने के लिए आ सकती है, जिसे विशिंग कहते हैं। जो कॉल करने वाला आपके अभी मिले ईमेल का ज़िक्र करे, उसने कुछ पक्का नहीं किया, क्योंकि हो सकता है उसी ने वह भेजा हो। फ़ोन काट दें और वह नंबर मिलाएँ जो आपके पास पहले से है।

संदिग्ध मैसेज का क्या करें

1. क्लिक न करें, डाउनलोड न करें, कोड स्कैन न करें और जवाब न दें। "क्या यह असली है?" पूछने के लिए जवाब देना हमलावर तक पहुँचता है, जो हाँ कह देगा।
2. ऊपर बताए अनुसार भेजने वाले का पता और लिंक की मंज़िलें जाँचें।
3. अलग से पुष्टि करें। आधिकारिक ऐप खोलें या पता टाइप करें। अपने कार्ड के पीछे, अपने पास मौजूद इनवॉइस पर या कंपनी की डायरेक्टरी में दिया नंबर मिलाएँ।
4. अपने प्रोवाइडर को रिपोर्ट करें। Gmail में तीन-बिंदु वाले मेनू में Report phishing है। Outlook में Report के नीचे Report phishing खोजें। दफ़्तर में रिपोर्ट बटन इस्तेमाल करें या अपनी सुरक्षा टीम के निर्देश मानें, और मैसेज को सहकर्मियों को पूछने के लिए फ़ॉरवर्ड न करें, क्योंकि इससे चारा फैलता है।
5. जिस संस्था की नकल की गई है, उसे रिपोर्ट करें अगर वह अपने सुरक्षा पेज पर फ़िशिंग का पता देती है। उदाहरण के लिए Apple reportphishing@apple.com इस्तेमाल करता है।
6. जहाँ सार्वजनिक रिपोर्टिंग सर्विस हो वहाँ उसका इस्तेमाल करें। UK में नेशनल साइबर सिक्योरिटी सेंटर report@phishing.gov.uk पर फ़ॉरवर्ड किए ईमेल लेता है। अमेरिका में FTC reportfraud.ftc.gov पर रिपोर्ट लेता है। Anti-Phishing Working Group reportphishing@apwg.org पर फ़ॉरवर्ड मैसेज स्वीकार करता है। दूसरे देश भी ऐसी ही सेवाएँ चलाते हैं, आमतौर पर उपभोक्ता सुरक्षा या साइबर अपराध की एजेंसी के ज़रिए।
7. रिपोर्ट करने के बाद उसे डिलीट कर दें।

अगर आप पहले ही क्लिक कर चुके हैं

क्लिक हो जाना आम है और आमतौर पर सुधारा जा सकता है। शर्मिंदगी को देर न करवाने दें, क्योंकि यहाँ रफ़्तार हर चीज़ से ज़्यादा मदद करती है। नीचे वह मामला खोजें जो आपके साथ हुआ।

आपने क्लिक किया और कुछ नहीं डाला

टैब बंद करें और पेज ने जो भी डाउनलोड करने को कहा उसे डाउनलोड न करें। पक्का करें कि आपका ब्राउज़र और सिस्टम अपडेट हैं, और अगर कुछ अपने आप डाउनलोड हो गया तो सुरक्षा स्कैन चलाएँ। और मैसेज आने की उम्मीद रखें, क्योंकि क्लिक से पक्का हो गया होगा कि आपका पता पढ़ा जाता है। ज़्यादातर मामलों में बात यहीं खत्म हो जाती है।

आपने पासवर्ड डाल दिया

1. पता टाइप करके असली साइट पर जाएँ और पासवर्ड अभी बदल दें।
2. जहाँ भी आपने वही या मिलता-जुलता पासवर्ड इस्तेमाल किया, वहाँ बदलें। अगर चुराया गया पासवर्ड आपके ईमेल का था, तो इसे ज़रूरी मानें, क्योंकि ईमेल से बाकी सब रीसेट हो जाता है।
3. दूसरे सेशन से साइन आउट करें। Google अकाउंट में आप सुरक्षा पेज पर Your devices देख सकते हैं और जिन्हें न पहचानें उन्हें साइन आउट कर सकते हैं, और Gmail इनबॉक्स के नीचे Last account activity का ब्योरा हाल की पहुँच दिखाता है। दूसरी सर्विसों में ऐसा ही नियंत्रण होता है।
4. टू-फ़ैक्टर ऑथेंटिकेशन चालू करें, बेहतर हो कि पासकी, सिक्योरिटी की या ऑथेंटिकेटर ऐप से।
5. उन बदलावों को खोजें जो हमलावर ने किए हो सकते हैं: रिकवरी ईमेल और फ़ोन, फ़ॉरवर्डिंग नियम और फ़िल्टर, जुड़े ऐप, अनजान डिवाइस।
6. दफ़्तर के अकाउंट के लिए तुरंत IT को बताएँ। हमलावर अक्सर कब्ज़े में लिए मेलबॉक्स से कुछ ही घंटों में आपके सहकर्मियों को फ़िश करते हैं।

हमारी गाइड डेटा ब्रीच के बाद क्या करें पासवर्ड की सफ़ाई ज़्यादा गहराई से बताती है, क्योंकि कदम आपस में मिलते हैं।

आपने कोड डाल दिया या प्रॉम्प्ट मंज़ूर कर दिया

मान लें कि हमलावर के पास चालू सेशन हो सकता है। पासवर्ड बदलें, सभी सेशन से साइन आउट करें, सुरक्षा सेटिंग जाँचें, और दफ़्तर के अकाउंट के लिए IT को सूचित करें। आधुनिक "adversary-in-the-middle" किट आपके टाइप करते ही आपका लॉगिन असली साइट को पास कर देते हैं और उसके नतीजे में बनी सेशन कुकी पकड़ लेते हैं। इसी वजह से अकेले वन-टाइम कोड इन्हें नहीं रोकते।

आपने भुगतान की जानकारी डाल दी

अपने बैंक या कार्ड जारी करने वाले को तुरंत कॉल करें, अपने कार्ड पर छपे नंबर पर। उनसे कार्ड ब्लॉक करने और फ़्रॉड पर नज़र रखने को कहें, और अगले कुछ हफ़्ते अपने स्टेटमेंट देखें। अगर आपने पहचान की जानकारी भी डाली थी, तो देखें कि आपका देश क्या सुविधा देता है। अमेरिका में IdentityTheft.gov रिकवरी प्लान देता है, और क्रेडिट ब्यूरो से क्रेडिट फ़्रीज़ मिल सकता है।

आपने अटैचमेंट खोला या मैक्रो चालू किए

अगर मैलवेयर का शक है तो डिवाइस को नेटवर्क से अलग कर दें, पूरा स्कैन चलाएँ, और दफ़्तर में कुछ और करने से पहले IT से संपर्क करें। ज़रूरी पासवर्ड किसी दूसरे, साफ़ डिवाइस से बदलें।

आपने किसी ऐप को एक्सेस दे दिया

अपने अकाउंट की सुरक्षा सेटिंग में जाएँ, एक्सेस वाले थर्ड-पार्टी ऐप की सूची खोजें, और अनजान ऐप हटा दें। सिर्फ़ पासवर्ड बदलने से ऐसा ऐप नहीं कट सकता जिसे एक्सेस दिया जा चुका है, इसलिए हटाना पहले आता है। फिर एहतियात के तौर पर पासवर्ड बदलें और अपने मेलबॉक्स के नियम जाँचें।

चीज़ें ऐसे सेट करें कि एक गलती की कीमत कम हो

आप हर बार सब कुछ नहीं पकड़ पाएँगे, खासकर किसी खराब दिन। अच्छे डिफ़ॉल्ट का मतलब है कि एक चूक कम नुकसान करे, और उनमें से कुछ आपके लिए पहचानने का कुछ काम खुद कर देते हैं।

इनमें सबसे मज़बूत पासकी और हार्डवेयर सिक्योरिटी की हैं। अमेरिकी साइबर सुरक्षा एजेंसी CISA फ़िशिंग-प्रतिरोधी मल्टी-फ़ैक्टर ऑथेंटिकेशन को गोल्ड स्टैंडर्ड बताती है, और FIDO तथा WebAuthn को उसका व्यापक रूप से उपलब्ध रूप कहती है। ये क्रेडेंशियल असली डोमेन से बँधे होते हैं, इसलिए ये नकली साइट पर बस काम ही नहीं करते, परफ़ेक्ट कॉपी पर भी नहीं। ऑथेंटिकेटर ऐप ज़्यादातर सिर्फ़-पासवर्ड वाले हमलों को रोकते हैं पर लाइव रिले के सामने कमज़ोर हैं, इसलिए वे अच्छा कदम हैं, आखिरी नहीं। अगर आपका बैंक या ईमेल प्रोवाइडर पासकी देता है, तो इस लेख को पढ़ने के बाद उन्हें चालू करना शायद सबसे कीमती काम है।

पासवर्ड मैनेजर आपको एक दूसरी, ख़ामोश जाँच देता है। वह हर पासवर्ड के लिए सटीक डोमेन सहेजता है। जब आप किसी हमशक्ल पेज पर पहुँचते हैं और वह कोई सहेजा लॉगिन नहीं सुझाता, तो वह चुप्पी चेतावनी है, और यह उन पेजों को पकड़ती है जो पिक्सल-परफ़ेक्ट दिखते हैं। पासवर्ड कॉपी-पेस्ट करके इसे ओवरराइड न करें। एक छोटी शर्त है: पासवर्ड मैनेजर कभी-कभी उस असली साइट को नहीं पहचान पाते जिसने अपना लॉगिन डोमेन बदल दिया। इसलिए चुप्पी का मतलब है "रुकें और साइट का पता टाइप करके वहाँ जाएँ", यह नहीं कि "यह पक्का नकली है"।

बचाव	यह क्या करता है	मेहनत
पासकी या हार्डवेयर की	क्रेडेंशियल फ़िशिंग और लाइव रिले रोकती हैं, क्योंकि क्रेडेंशियल असली डोमेन से बँधा है	कम से मध्यम
ऑटोफ़िल वाला पासवर्ड मैनेजर	नकली डोमेन पर भरने से मना करता है और दोबारा इस्तेमाल रोकता है	सेट होने के बाद कम
ऑथेंटिकेटर ऐप	ज़्यादातर सिर्फ़-पासवर्ड वाले हमले रोकता है	कम
ब्राउज़र सुरक्षा	Chrome का Safe Browsing और Edge का SmartScreen कई जाने-पहचाने खराब पेजों की चेतावनी देते हैं	आमतौर पर पहले से चालू
सॉफ़्टवेयर अपडेट	हानिकारक फ़ाइलों और पेजों के इस्तेमाल किए खामियाँ बंद करते हैं	कम
दिखने वाले फ़ाइल एक्सटेंशन	दोहरे एक्सटेंशन की चाल उजागर करते हैं	एक सेटिंग
रिमोट तस्वीरें लोड करने से पहले पूछना	कई पिक्सल को आपके पते की पुष्टि करने से रोकता है	एक सेटिंग
भुगतान बदलावों के लिए लिखित कॉल-बैक नियम	ईमेल कैसा भी दिखे, ज़्यादातर इनवॉइस फ़्रॉड रोकता है	प्रक्रिया में बदलाव
असली पता कहाँ जाए यह सीमित करना	कम लिस्टों और ब्रीच में वह मिलता है	एक आदत

किसी कारोबार के लिए कॉल-बैक नियम वह है जिसे लिख लेना चाहिए। ईमेल कॉम्प्रोमाइज़ पर FBI का मार्गदर्शन और बैंकिंग उद्योग की सलाह मूल बातों पर एकमत हैं: भुगतान निर्देशों में किसी भी बदलाव की पुष्टि ईमेल के बाहर करें, उस नंबर पर जो आपके पास पहले से है। यह इसलिए काम करता है कि यह किसी के कुछ पहचानने पर निर्भर नहीं करता, और यह जूनियर स्टाफ़ को वजह देता है कि वे जो दिखने में उनका बॉस है उससे कह सकें "मुझे पहले कॉल करना होगा"।

अपने मुख्य पते को लिस्टों से दूर रखना

फ़िशर उन पतों पर भेजते हैं जिन्हें उन्होंने खरीदा, स्क्रैप किया या ब्रीच डेटा से निकाला। हर बार जब आप अपना असली पता कम भरोसे वाली साइट को देते हैं, तो उसके इन्हीं में से किसी लिस्ट में पहुँचने की संभावना रहती है। एक बार के साइन-अप के लिए अलग पता इस्तेमाल करने से आपके मुख्य इनबॉक्स को निशाना बनाए जाने के मौके घटते हैं, और बाकी मेल को परखना भी आसान हो जाता है, क्योंकि जिस पते को आपने सिर्फ़ अपने बैंक को दिया, उस पर आया बैंक का मैसेज ज़्यादा मायने रखता है।

सबसे निचले स्तर के लिए अस्थायी इनबॉक्स एक विकल्प है, जहाँ साइट की शर्तें इजाज़त दें। VookMail के साथ पेज लोड होते ही पता तैयार होता है, बिना रजिस्ट्रेशन या पासवर्ड के। आप नया दबाकर यूज़रनेम लिख सकते हैं और 30 से ज़्यादा डोमेन में से चुन सकते हैं, या रैंडम पते के लिए पीला रैंडम बटन दबा सकते हैं, जो ज़्यादा सुरक्षित चुनाव है क्योंकि जो भी किसी पते को जानता या अंदाज़ा लगाता है वह उस इनबॉक्स को खोल सकता है। मैसेज और अटैचमेंट करीब एक दिन बाद हट जाते हैं, इसलिए अगर उस पते पर बाद में फ़िशिंग आए, तो वह ऐसी जगह पहुँचती है जो आपके बैंक, दफ़्तर और मुख्य अकाउंट से जुड़ी नहीं है।

यह किसी रिसोर्स डाउनलोड, फ़ोरम पर एक बार के सवाल, या अपने ही फ़ॉर्म के परीक्षण के लिए ठीक है। यह उन अकाउंट के लिए ठीक नहीं जिन्हें आपको रखना या रिकवर करना है, और बैंकिंग, सरकारी, स्वास्थ्य, दफ़्तर या मुख्य सोशल अकाउंट के लिए तो कभी नहीं। FAQ उचित इस्तेमाल के बारे में बताता है, और प्राइवेसी पॉलिसी समझाती है कि आने वाले मेल को कैसे सँभाला जाता है।

लाल झंडे किसी भी इनबॉक्स पर लागू होते हैं, अस्थायी इनबॉक्स पर भी। दरअसल अस्थायी पता एक काम की कसौटी देता है: अगर वहाँ कोई मैसेज आपसे अपने असली बैंक या ईमेल अकाउंट में लॉग इन करने को कहे, तो वह लगभग पक्का फ़िशिंग है, क्योंकि आपने उन सर्विसों को वह पता कभी दिया ही नहीं।

गलत धारणाएँ जो हमलावर के काम आती हैं

• "इसमें पैडलॉक है।" इसका मतलब एन्क्रिप्टेड है, ईमानदार नहीं।
• "लोगो और नाम सही हैं।" दोनों आसानी से कॉपी हो जाते हैं।
• "व्याकरण एकदम सही है।" अब कई कैंपेन अच्छी तरह लिखे जाते हैं।
• "मैं ईमेल में दिए नंबर पर ही कॉल कर लूँगा।" वह नंबर सीधे हमलावर तक जा सकता है।
• "यह मेरे सहकर्मी के असली पते से आया है।" अकाउंट कब्ज़े में लिए जाते हैं, इसलिए माँग की जाँच फिर भी ज़रूरी है।
• "मैंने क्लिक कर दिया, पर IT को बताना शर्मिंदगी भरा होगा।" चुप्पी हमलावरों को और समय देती है, और यह आमतौर पर सबसे महँगा विकल्प है।
• "मेरे पास चुराने लायक कुछ नहीं है।" आपका मेलबॉक्स आपके दूसरे अकाउंट रीसेट कर सकता है और आपके संपर्कों को फ़िश करने में इस्तेमाल हो सकता है।

आपके सामने मौजूद मैसेज के लिए एक चेकलिस्ट

जब कोई ईमेल आपसे कुछ करने को कहे, तो ये सवाल एक मिनट से कम लेते हैं। अगर कोई भी जवाब चिंता में डाले, तो रुकें और किसी दूसरे रास्ते से पुष्टि करें।

1. क्या मुझे इसकी उम्मीद थी?
2. क्या भेजने वाले का असली पता उसी संस्था का है जिसका वह दावा करता है?
3. लिंक असल में कहाँ जाते हैं, डोमेन को दाईं ओर से पढ़ने पर?
4. क्या यह पासवर्ड, कोड, भुगतान या फ़ाइल माँग रहा है?
5. क्या यह जल्दबाज़ी, डर, गोपनीयता या इनाम का दबाव बना रहा है?
6. क्या कोई अनचाहा अटैचमेंट, QR कोड या "enable content" प्रॉम्प्ट है?
7. क्या मेरा पासवर्ड मैनेजर लॉगिन पेज को पहचानता है?
8. क्या मैं इसकी जगह ऐप खोलकर या किसी जाने-पहचाने नंबर पर कॉल करके इसे जाँच सकता हूँ?

फ़िशिंग के बारे में लोग क्या पूछते हैं

क्या सिर्फ़ फ़िशिंग ईमेल खोलने से मैं हैक हो सकता हूँ?

अपडेटेड मेल ऐप के साथ मैसेज खोलना आमतौर पर कम जोखिम वाला होता है। खतरा लिंक पर क्लिक करने, क्रेडेंशियल डालने, अटैचमेंट खोलने, मैक्रो चालू करने या जानकारी के साथ जवाब देने से आता है। तस्वीरें लोड हों तो खोलने से यह पक्का हो सकता है कि आपका पता चालू है, और रिमोट तस्वीरें ब्लॉक करने का यह एक कारण है।

फ़िशिंग ईमेल स्पैम फ़िल्टर से कैसे निकल जाते हैं?

हमलावर नए डोमेन रजिस्टर करते हैं, हैक हुए वैध अकाउंट से भेजते हैं, भरोसेमंद क्लाउड सर्विसों पर पेज होस्ट करते हैं और अपने शब्द लगातार बदलते रहते हैं। कुछ फ़िशिंग तो SPF, DKIM और DMARC भी पास कर लेती है क्योंकि वह ऐसे डोमेन से आती है जिसे हमलावर सच में नियंत्रित करता है।

क्या फ़िशिंग ईमेल हमेशा गलतियों से भरे होते हैं?

नहीं। कई अच्छी तरह लिखे होते हैं और असली ब्रांड ईमेल जैसे ही दिखते हैं। अपना ध्यान तकनीकी संकेतों और इस पर लगाएँ कि क्या माँगा जा रहा है।

किसी असली कंपनी ने मुझे साइन इन करने को कहता लिंक भेजा। क्या यह हमेशा फ़िशिंग है?

नहीं। कंपनियाँ वैध लिंक भेजती हैं, और साइन-इन असली हो सकता है। सुरक्षित आदत दोनों मामलों में काम करती है: ईमेल छोड़ें, सर्विस खुद खोलें, और देखें कि कुछ आपके ध्यान की ज़रूरत रखता है या नहीं। आप ज़्यादा से ज़्यादा कुछ सेकंड गँवाते हैं।

क्या अस्थायी पता मुझे फ़िशिंग से बचाता है?

यह जोखिम घटाता है। उस पते पर निशाना बनाकर की गई फ़िशिंग ऐसे इनबॉक्स में पहुँचती है जो आपके असली अकाउंट से जुड़ा नहीं है और करीब एक दिन बाद हट जाती है। जो मेल आपके मुख्य इनबॉक्स में आता है उसके लिए यह कुछ नहीं करता, इसलिए वहाँ ऊपर की जाँचें अब भी लागू होती हैं।