कोई पेलोड नहीं वाली स्कैम: क्यों 'हाय, क्या तुम फ्री हो?' ही पूरी चाल है

सबसे खतरनाक ईमेल जो आपके बॉस ने कभी नहीं भेजा, उसमें कोई लिंक नहीं है, कोई अटैचमेंट नहीं है, और कोई गलत वर्तनी वाली बैंक चेतावनी नहीं है। इसमें चार शब्द हैं: "हाय, क्या तुम फ्री हो?"

यह घोटाला है। पूरी बात। और यह काम करता है क्योंकि यह आपके हर डिफेंस से गुजरने के लिए बनाया गया है — आपकी अपनी प्रवृत्ति सहित।

यहाँ तंत्र है। एक पारंपरिक फिशिंग ईमेल एक हथियार ले जाता है: एक दुर्भावनापूर्ण लिंक, एक जहरीली PDF, एक नकली लॉगिन पेज। आपका स्पैम फिल्टर, आपका ईमेल गेटवे, और तेजी से बढ़ता हुआ आपका AI स्क्रीनिंग लेयर सभी इन्हें सूँघने के लिए प्रशिक्षित हैं। वे भेजने वाले को SPF, DKIM, और DMARC रिकॉर्ड के खिलाफ जाँचते हैं। वे अटैचमेंट को स्कैन करते हैं। वे जरूरीयत को एक भुगतान अनुरोध के साथ फ्लैग करते हैं। एक संदेश जो "हाय, क्या तुम फ्री हो?" कहता है, इनमें से कोई भी नहीं करता, क्योंकि जाँचने के लिए कुछ नहीं है। यह एक मंगलवार जैसा लगता है।

पेलोड ईमेल में नहीं है। पेलोड आपका जवाब है।

एक बार जब आप वापस लिखते हैं — "हाँ, क्या बात है?" — आपने दो चीजें की हैं जो हमलावर को चाहिए थीं। आपने पुष्टि कर दी है कि खाता जीवित है और निगरानी में है, और आपने एक सूत्र खोला है जहाँ आप अब विश्वास प्रदान करने वाले हैं। अगला संदेश वहीं आता है। यह लगभग हमेशा छोटा, प्रशंसनीय, और समय-सीमित होता है: मैं एक बैठक में फँसा हूँ, क्या तुम एक क्लाइंट के लिए कुछ गिफ्ट कार्ड खरीद सकते हो, मैं तुम्हें वापस भुगतान करूँगा, बस मुझे पीछे के कोड भेज दो। कभी-कभी यह एक "नए विक्रेता" को एक ट्रांसफर होता है। गिफ्ट-कार्ड संस्करण लोकप्रिय है बिल्कुल इसलिए क्योंकि गिफ्ट कार्ड लगभग ट्रेस न किए जा सकने वाली नकदी का सबसे करीबी चीज है जो एक सामान्य कर्मचारी CVS पर खरीद सकता है।

यह बिजनेस ईमेल कम्प्रोमाइज है, और यह कोई सीमांत समस्या नहीं है। FBI के Internet Crime Complaint Center ने 2023 में अकेले $2.9 billion की रिपोर्ट की गई BEC हानि दर्ज की — एक श्रेणी जो लगभग पूरी तरह से सादा-पाठ संदेशों पर बनी है जो स्कैनर को परीक्षण करने के लिए कुछ नहीं ले जाते — कोई अटैचमेंट नहीं, कोई लिंक नहीं, कोई मैलवेयर नहीं। FTC ने अलग से गिफ्ट कार्ड को उन शीर्ष भुगतान विधियों में से एक के रूप में ट्रैक किया है जो स्कैमर माँगते हैं, साल दर साल सैकड़ों मिलियन डॉलर इसी तरह खो जाते हैं। ये कार्टून नाइजीरियाई-राजकुमार ईमेल के लिए गिरने वाले लोग नहीं हैं। वे सक्षम कर्मचारी हैं जो एक ऐसे नाम से एक सामान्य पिंग का जवाब दे रहे हैं जिसे वे पहचानते हैं।

और नाम चाल का दूसरा आधा है। वास्तविक भेजने वाले पते को देखें, प्रदर्शन नाम को नहीं। हमलावर समान दिखने वाले डोमेन रजिस्टर करते हैं — एक m के लिए एक rn को स्वैप करें, एक हाइफन जोड़ें, आपके CEO के नाम के साथ एक मुफ्त Gmail का उपयोग करें "from" फील्ड में टाइप किया गया। प्रदर्शन नाम नकली करने के लिए मुफ्त हैं; @ के पीछे का डोमेन नहीं है। वह आपका संकेत है। यदि "Dave Morgan, CEO" dave.morgan.exec@gmail.com से लिख रहा है, तो Dave को एक नया ईमेल पता नहीं मिला है। Dave मौजूद नहीं है।

कारण कि बोरिंग ओपनर चमकदार को हरा देता है वह मनोवैज्ञानिक है, तकनीकी नहीं। पैसे की एक ठंडी माँग संदेह को ट्रिगर करती है। एक गर्म, कम दांव वाला सवाल पहले एक रिश्ता बनाता है, ताकि जब तक पैसा बातचीत में आता है, आपने पहले से ही तय कर लिया हो कि यह व्यक्ति वह है जो वह कहता है कि है। स्कैम आपकी अपनी सुसंगतता को आपके खिलाफ उपयोग करता है।

तो डिफेंस एक खराब लिंक को स्पॉट करना नहीं है, क्योंकि एक नहीं होगा। यह संदेश के बारे में एक नियम है, माँग के बारे में नहीं: गिफ्ट कार्ड, तार ट्रांसफर, या किसी भी भुगतान के लिए कोई भी अनुरोध जो आपकी सामान्य प्रक्रिया के अलावा किसी अन्य चैनल के माध्यम से रूट किया जाता है, बाहर-बैंड सत्यापित हो जाता है। व्यक्ति को कॉल करें। ईमेल हस्ताक्षर में संख्या नहीं — जो आपके फोन में है। उनके डेस्क पर चलें।

स्कैमर गिनती कर रहा है आप जवाब देने के लिए पर्याप्त विनम्र हों और दूसरे भाग की जाँच न करने के लिए काफी व्यस्त हों। उन्हें दूसरे भाग पर गलत साबित करें, और पहला भाग मायने रखना बंद कर देता है।

सुधार, 21 अक्टूबर 2026। एक पहले के संस्करण ने कहा कि ये संदेश वे थे जो "कोई फिल्टर नहीं फ्लैग किया" — अस्तित्व में हर फिल्टर के बारे में एक दावा, जिसे यह लेख समर्थन नहीं कर सकता। जो FBI की आंकड़े वर्णन करते हैं, और जो तर्क वास्तव में जरूरत है, वह है कि संदेश स्कैनर को परीक्षण करने के लिए कुछ नहीं ले जाता है।

@@END@@