आपका खाता हैक किया गया है और वे पैसे की मांग कर रहे हैं

एक ईमेल कहता है कि कोई आपके डिवाइस के अंदर महीनों से है, आपके वेबकैम के माध्यम से आपको रिकॉर्ड किया है, आपके संपर्कों और चैट्स को कॉपी किया है, और यदि आप 48 घंटों के भीतर क्रिप्टोक्यूरेंसी में भुगतान नहीं करते हैं तो यह सब आपके दोस्तों को भेज देगा। फिर आप संदेश में अपना पासवर्ड छपा हुआ देखते हैं, और यह वास्तविक है, या कभी था।

[[answer]]इनमें से लगभग सभी संदेश सामूहिक रूप से भेजे गए धोखे हैं जो पुराने लीक हुए पासवर्ड डेटाबेस पर आधारित हैं। भेजने वाले के पास आपके डिवाइस तक कोई पहुंच नहीं है और न ही कोई रिकॉर्डिंग है। जांचें कि क्या पासवर्ड किसी ज्ञात उल्लंघन में दिखाई देता है, इसे हर जगह बदलें, दो-चरणीय प्रमाणीकरण या पासकी चालू करें, संदेश को सबूत के रूप में सहेजें, और भुगतान न करें।[[/answer]]

यह पहचान ही पूरी चाल है: सैकड़ों हजारों पते पर भेजा गया एक संदेश अचानक व्यक्तिगत लगता है। इसमें अगले दस मिनट में उत्तर देने की आवश्यकता नहीं है।

क्यों इनमें से अधिकांश संदेश धोखा हैं

इस प्रकार का जबरन वसूली का मेल एक मात्रा का व्यवसाय है। कोई एक पुराने उल्लंघन से पते और पासवर्ड का डंप खरीदता है और उस पर हर पते पर एक टेम्पलेट भेजता है, जिसमें पासवर्ड स्वचालित रूप से डाला जाता है। इसमें कोई निगरानी नहीं होती और न ही स्क्रीनशॉट का कोई फ़ोल्डर — केवल एक स्प्रेडशीट और एक मेल सर्वर होता है।

संकेत लगातार होते हैं। संदेश कभी भी कुछ विशिष्ट का उल्लेख नहीं करता: कोई ऐसा साइट जिसका आप वास्तव में उपयोग करते हैं, कोई वास्तविक बातचीत, कोई नाम नहीं। यह जो कुछ है उसका वर्णन करता है बजाय इसे दिखाने के, क्रिप्टोक्यूरेंसी की मांग करता है क्योंकि वह भुगतान वापस नहीं लिया जा सकता, और एक छोटा समय सीमा निर्धारित करता है, क्योंकि एक डरे हुए व्यक्ति जो एक दिन सोचता है वह डरना बंद कर देता है। यदि यह आपके अपने पते से आता हुआ प्रतीत होता है, तो यह भी कुछ साबित नहीं करता: एक भेजने वाला क्षेत्र उतना ही जालीदार है जितना कि एक लिफाफे पर लौटने का पता। [[post:how-personal-data-is-collected-online|इन ईमेल और पासवर्ड के डेटाबेस का स्रोत जानना]] इससे बहुत सी खतरे की भावना कम हो जाती है।

कैसे जांचें कि क्या पासवर्ड वास्तव में लीक हुआ है

आपको अनुमान लगाने की आवश्यकता नहीं है। मुफ्त उल्लंघन-नोटिफिकेशन डेटाबेस सार्वजनिक डंप से क्रेडेंशियल्स को अनुक्रमित करते हैं और आपको ईमेल पते द्वारा खोजने की अनुमति देते हैं; Have I Been Pwned सबसे प्रसिद्ध है और एक सार्वजनिक-हित परियोजना के रूप में चलता है। यदि आपका पता किसी ऐसी साइट के बगल में दिखाई देता है जिसे आप पहचानते हैं, और वर्ष उस समय से मेल खाता है जब आपने उस पासवर्ड का उपयोग किया था, तो रहस्य हल हो गया।

जांच केवल एक दिशा में मजबूत है, और वह सीमा महत्वपूर्ण है। एक हिट आपको बताती है कि पासवर्ड वर्षों से प्रचलन में है, जो एक धोखे की ओर इशारा करता है। कुछ नहीं मिलने का मतलब केवल यह है कि कोई अनुक्रमित डंप आपके पते को नहीं रखता — चोरी किए गए डेटा की बहुत सारी मात्रा कभी प्रकाशित नहीं होती, कभी संसाधित नहीं होती, या निजी व्यापार में बैठी रहती है। आज चोरी किए गए लॉगिन का सबसे बड़ा एकल स्रोत वास्तव में कोई हैक की गई वेबसाइट नहीं है बल्कि इन्फोस्टीलर मैलवेयर है: ऐसा सॉफ़्टवेयर जो संक्रमित कंप्यूटर के सहेजे गए पासवर्ड स्टोर को खाली करता है और इसे थोक में भेजता है। Have I Been Pwned इस सामग्री के एक भाग को अलग से चोर लॉग के रूप में अनुक्रमित करता है, और एकल बैचों ने 2025 और 2026 के माध्यम से दसियों मिलियन अद्वितीय पते जोड़े। इसलिए एक खाली परिणाम को «अप्रमाणित» के रूप में पढ़ें, कभी भी «मेरा पासवर्ड कभी लीक नहीं हुआ» के रूप में नहीं और कभी भी यह सबूत नहीं कि खतरा वास्तविक होना चाहिए।

गूगल और एप्पल दोनों ने अपने स्वयं के पासवर्ड प्रबंधकों के अंदर एक चेक करने वाला रखा है, जो आमतौर पर तेज़ मार्ग होता है। गूगल का पासवर्ड चेकअप सहेजे गए पासवर्ड की तुलना ज्ञात लीक के खिलाफ करता है। आईफोन और आईपैड पर समकक्ष अलग पासवर्ड्स ऐप में है, इसके सुरक्षा अनुभाग में; पहचान स्वयं सेटिंग्स → ऐप्स → पासवर्ड्स → समझौता किए गए पासवर्ड का पता लगाएं में चालू होती है। दोनों दिखाते हैं कि कौन से लॉगिन एक ही पासवर्ड का पुन: उपयोग करते हैं, आमतौर पर अधिक तात्कालिक प्रश्न। एक नियम: ईमेल पते द्वारा खोजें, और कभी भी किसी ऐसे साइट पर वर्तमान पासवर्ड न टाइप करें जिसे आप सत्यापित नहीं कर सकते। कुछ वैध उपकरण इस तरह से बनाए गए हैं कि पासवर्ड कभी भी आपके डिवाइस को नहीं छोड़ता — Have I Been Pwned का पासवर्ड खोज केवल एक हैश का छोटा उपसर्ग भेजता है और बाकी की तुलना स्थानीय रूप से करता है — लेकिन यह एक विशेषता है जिसे टाइप करने से पहले पुष्टि करना है, मान लेना नहीं।

पहले घंटे में क्या करें

[[steps]] उत्तर न दें और भुगतान न करें :: कोई भी प्रतिक्रिया भेजने वाले को बताती है कि पता सक्रिय है और किसी ऐसे व्यक्ति का है जो प्रतिक्रिया करता है, जो आपको एक छोटे, अधिक आक्रामक सूची में ले जाता है। उल्लंघन रिकॉर्ड के खिलाफ पासवर्ड की जांच करें :: यह पता करें कि यह किस खाते से संबंधित था, फिर अपने ईमेल पते को उल्लंघन अनुक्रमणिका में खोजें। एक मेल धोखे के पक्ष में इसे तय करता है; कुछ नहीं मिलने पर बहुत कम तय होता है, क्योंकि हर डंप अनुक्रमित नहीं होता है। उस पासवर्ड को हर जगह बदलें जहाँ इसका उपयोग किया गया था :: केवल मूल साइट पर नहीं। पुन: उपयोग एक पुराने उल्लंघन को दस सक्रिय खातों में बदल देता है। जहाँ भी पेशकश की जाए, दो-चरणीय प्रमाणीकरण या पासकी चालू करें :: एक ऐप कोड, एक हार्डवेयर कुंजी या एक पासकी एक चोरी किए गए पासवर्ड को असुविधा और एक ब्रेक-इन के बीच का अंतर बनाती है, और एक पासकी अगले उल्लंघन को लीक करने के लिए कोई साझा रहस्य नहीं छोड़ती है। सक्रिय सत्रों और जुड़े ऐप्स की समीक्षा करें :: हर प्रमुख सेवा साइन-इन किए गए उपकरणों और ऐप्स को सूचीबद्ध करती है जिनके पास पहुंच है। किसी भी अपरिचित चीज़ से साइन आउट करें। सबूत सहेजें और किसी को बताएं :: संदेश को उसके हेडर के साथ रखें, और इसे एक व्यक्ति को ज़ोर से कहें जिसे आप भरोसा करते हैं — शर्म और अलगाव ही इसे काम करने का कारण बनाते हैं। [[/steps]]

जब खतरा वास्तविक हो

मामलों का एक अल्पसंख्यक वास्तविक पहुंच शामिल करता है, और तब एक पासवर्ड परिवर्तन पर्याप्त नहीं है। नीचे दिए गए संकेतों को एक साथ पढ़ा जाता है, एक समय में नहीं: कोई एक पंक्ति अपने आप में कुछ भी साबित नहीं करती।

[[compare]] संकेत | सामूहिक रूप से भेजा गया धोखा | वास्तविक समझौता | इसे कैसे जांचें उद्धृत पासवर्ड | पुराना, या केवल एक छोटे से साइट पर उपयोग किया गया | वर्तमान, और कभी पुन: उपयोग नहीं किया गया | अपने पते को उल्लंघन अनुक्रमणिका में खोजें: एक हिट धोखे की ओर इशारा करती है, कोई हिट भी कुछ साबित नहीं करती है प्रमाण पेश किया गया | कोई नहीं, या एक अस्पष्ट विवरण | एक फ़ाइल या संदेश जिसे आप पहचानते हैं | पूछें कि क्या वह प्रमाण सार्वजनिक प्रोफ़ाइल से आ सकता है खाते की गतिविधि | लॉगिन इतिहास सामान्य दिखता है | अज्ञात उपकरण, नए ऐप पासवर्ड | खाते के सुरक्षा या उपकरण पृष्ठ को खोलें यह कहाँ आया | पुराना पता, सामान्य टेम्पलेट | किसी चैट के अंदर जिसका आप उपयोग करते हैं, या अपने खाते से | भेजे गए फ़ोल्डर और संदेश हेडर की जांच करें [[/compare]]

खाते की गतिविधि वह पंक्ति है जो सबसे अधिक वजन रखती है, क्योंकि यह एकमात्र है जिसे भेजने वाला मंचित नहीं कर सकता। यदि किसी संपर्क ने ऐसे संदेश प्राप्त किए हैं जो आपने कभी नहीं लिखे, आपका पुनर्प्राप्ति ईमेल आपके बिना बदल गया, या आप किसी सेवा से लॉग आउट हो गए हैं जिसे आपने कभी नहीं छोड़ा, तो इसे एक सक्रिय ब्रेक-इन के रूप में मानें और [[post:someone-signed-into-my-account|जब कोई वास्तव में आपके खाते में साइन इन हुआ]] के लिए कदम उठाएं। वास्तविक डिवाइस समझौता और भी दुर्लभ है और इसके संकेत छोड़ता है — तेज बैटरी ड्रेन, अस्पष्ट डेटा उपयोग, अपरिचित प्रशासनिक ऐप्स — जो [[post:what-is-spyware-programs|फोन पर स्पाइवेयर वास्तव में कैसे व्यवहार करता है]]।

क्यों भुगतान करना शायद ही कभी इसे समाप्त करता है

जो लोग भुगतान करते हैं उन्हें भुगतान करने वाले लोगों के रूप में रिकॉर्ड किया जाता है। बार-बार रिपोर्ट किया गया पैटर्न यह है कि भुगतान के कुछ दिनों के भीतर एक दूसरा मांग एक बड़े आंकड़े के साथ आता है, क्योंकि पहले ने लक्ष्य को दबाव में लाने का प्रमाण दिया। कोई भी किसी को कुछ भी हटाने के लिए बाध्य नहीं करता है, और एक धोखे में कुछ भी हटाने के लिए नहीं होता है। यहां तक कि दुर्लभ मामलों में जहां सामग्री वास्तव में मौजूद है, भुगतान किसी ऐसे व्यक्ति से एक वादा खरीदता है जो डिजाइन द्वारा अनाम है, जिसके पास यह दिखाने का कोई तरीका नहीं है कि एक प्रति नष्ट कर दी गई।

कहाँ रिपोर्ट करें

रिपोर्टिंग शायद ही कभी एक संदेश की जांच कराती है, लेकिन यह डेटा को खिलाती है जो वॉलेट और अभियानों को बंद कर देती है। संयुक्त राज्य अमेरिका में, FTC रिपोर्टें लेता है reportfraud.ftc.gov और FBI इंटरनेट क्राइम शिकायत केंद्र चलाता है, जो ऑनलाइन जबरन वसूली के बारे में शिकायतें लेता है। यूनाइटेड किंगडम में, यह भूमिका अब रिपोर्ट धोखाधड़ी सेवा को सिटी ऑफ लंदन पुलिस द्वारा चलाया जाता है — ऑनलाइन reportfraud.police.uk या फोन पर 0300 123 2040 — जो 2025-2026 की सर्दियों में एक्शन फ्रॉड को बदलता है और इंग्लैंड, वेल्स और उत्तरी आयरलैंड को कवर करता है; स्कॉटलैंड में, पुलिस स्कॉटलैंड पर 101 पर रिपोर्ट करें। इसे अपने मेल क्लाइंट में भी फ़िशिंग के रूप में चिह्नित करें, और यदि यह एक मैसेंजर के माध्यम से आया है, तो ऐप में रिपोर्ट टूल का उपयोग करें — एप्पल दस्तावेज़ आईफोन पर संदेशों को ब्लॉक, फ़िल्टर और रिपोर्ट करने के तरीके। यदि लक्षित व्यक्ति 18 वर्ष से कम है, तो सीधे कानून प्रवर्तन या बाल सुरक्षा टेकडाउन सेवा के पास जाएं।

अगले को हानिरहित बनाना

जिस कारण एक पासवर्ड वर्षों पहले लीक हुआ था वह आज भी आपको डराता है वह पुन: उपयोग है। एक बार जब हर खाते में अपना पासवर्ड और दूसरा कारक होता है, तो एक पुराना उल्लंघन एक तुच्छता बन जाता है बजाय एक लीवर के, और iOS, Android और ब्राउज़रों में निर्मित पासवर्ड प्रबंधक अधिकांश लोगों के लिए पर्याप्त हैं। जहाँ एक सेवा पासकी की पेशकश करती है, उसे ले लें: क्रेडेंशियल डिवाइस पर या पासवर्ड प्रबंधक में रहता है और सर्वर पर कुछ भी पुन: उपयोग करने योग्य नहीं संग्रहीत होता है, इसलिए उस साइट का भविष्य का उल्लंघन बेचने के लिए कुछ नहीं है। एप्पल, गूगल और माइक्रोसॉफ्ट के खाते सभी पासकी का समर्थन करते हैं, और अंतर्निहित प्रबंधक उन्हें उपकरणों के बीच समन्वयित करते हैं।

पुनर्प्राप्ति संपर्कों को वर्तमान रखें और यदि यह आपको शांत करता है तो लैपटॉप के वेबकैम को ढक दें। यदि ऊपर दिए गए चेक ने धोखे की ओर इशारा किया — एक पुराना पासवर्ड, कोई विशिष्ट प्रमाण नहीं, साफ लॉगिन इतिहास — तो फिर कोई भी पहले स्थान पर आपको व्यक्तिगत रूप से नहीं देख रहा था, और इस तरह का अगला संदेश स्क्रीन पर टेक्स्ट के रूप में आएगा, कुछ और नहीं। यदि उन्होंने दूसरी ओर इशारा किया, तो वास्तविक समझौते पर अनुभाग पहले काम करने के लिए है।

[[faq]] ईमेल में मेरा असली पासवर्ड दिखा — क्या इसका मतलब है कि उन्होंने मुझे हैक किया? :: अकेले नहीं। पासवर्ड बड़े पैमाने पर लीक हुए वेबसाइटों से और ऐसे मैलवेयर से लीक होते हैं जो सहेजे गए पासवर्ड स्टोर को खाली करते हैं, फिर सूचियों में फिर से बेचे जाते हैं, इसलिए एक का उद्धरण केवल यह साबित करता है कि यह प्रचलन में था। मैंने उल्लंघन अनुक्रमणिका में अपने ईमेल की खोज की और कुछ नहीं मिला — क्या खतरा वास्तविक है? :: नहीं। अनुक्रमणिकाएँ केवल उन डंप को कवर करती हैं जो प्रकाशित और संसाधित किए गए थे, इसलिए एक खाली परिणाम का मतलब है «अप्रमाणित», «कभी लीक नहीं हुआ» नहीं। खतरे का मूल्यांकन लॉगिन इतिहास और उपकरणों द्वारा करें, न कि रिकॉर्ड की अनुपस्थिति द्वारा। संदेश मेरे अपने पते से आया, तो क्या वे मेरे खाते के अंदर हैं? :: भेजने वाले के पते को जाली बनाया जा सकता है, और यह इन अभियानों में मानक है। अपने भेजे गए फ़ोल्डर और लॉगिन इतिहास की जांच करें: यदि संदेश वहाँ नहीं है और कोई अपरिचित उपकरण सूचीबद्ध नहीं है, तो आपके मेलबॉक्स से कुछ भी नहीं भेजा गया। क्या मुझे भुगतान करना चाहिए यदि मेरे पास वास्तव में कुछ शर्मनाक है? :: नहीं। भुगतान आपको एक ऐसे व्यक्ति के रूप में चिह्नित करता है जो भुगतान करता है, और आमतौर पर एक दूसरा मांग उसके बाद आता है। यदि वास्तविक सामग्री मौजूद है, तो इसे रिपोर्ट करें बजाय बातचीत करने के — एक अनाम भेजने वाला यह नहीं दिखा सकता कि एक प्रति हटा दी गई। अगर मैंने पहले ही उन्हें जवाब दिया तो क्या होगा? :: प्रतिक्रिया देना बंद करें, नामित या निहित खातों के पासवर्ड बदलें, दो-चरणीय प्रमाणीकरण या पासकी सक्षम करें, और आगे के प्रयासों की अपेक्षा करें। एक उत्तर किसी को कुछ भी एक्सेस नहीं देता।[[/faq]]