Shopify के Shop ऐप में कॉलबैक फिशिंग स्कैम: नकली रसीदों से कैसे बचें?

साइबर अपराधी Shopify के Shop ऑर्डर-ट्रैकिंग ऐप में नकली खरीद रसीदें डालकर एक नए प्रकार का कॉलबैक फिशिंग स्कैम चला रहे हैं। जब उपयोगकर्ता इन नकली रसीदों पर दिए गए फर्जी सपोर्ट नंबर पर कॉल करते हैं, तो स्कैमर्स खुद को कस्टमर सर्विस एजेंट बताकर उनकी संवेदनशील जानकारी चुराने या उनके डिवाइस पर रिमोट एक्सेस सॉफ्टवेयर इंस्टॉल करने की कोशिश करते हैं । यह स्कैम Norton, McAfee, Apple और PayPal जैसे जाने-माने ब्रांडों का रूप धारण करता है, जिसमें iPhone खरीद, Apple गिफ्ट कार्ड और नकली सुरक्षा सब्सक्रिप्शन की रसीदें शामिल हैं । गौरतलब है कि Gen Digital और Shopify के साइबर सुरक्षा शोधकर्ताओं को इस बात का कोई सबूत नहीं मिला है कि Shop ऐप या Shopify के प्लेटफॉर्म में ही कोई सेंध लगी हो — स्कैमर्स ऑर्डर-ट्रैकिंग सिस्टम की एक वैध सुविधा का दुरुपयोग कर रहे हैं ।

स्कैम कैसे काम करता है

इस धोखाधड़ी का मुख्य आधार Shop ऐप पर उपयोगकर्ताओं का भरोसा है। यह ऐप कई रिटेलरों से ऑर्डर ट्रैकिंग और रसीदों को एक ही इंटरफेस में जोड़ता है । स्कैमर्स नकली ऑर्डर बनाकर उन्हें उपयोगकर्ता के ऑर्डर इतिहास में डाल देते हैं, जो असली खरीदारी के साथ दिखाई देते हैं। चूंकि Shop ऐप कनेक्टेड ईमेल अकाउंट्स (Gmail, Outlook आदि) से ऑर्डर को अपने आप जोड़ लेता है, इसलिए यह नकली रसीद एक भरोसेमंद और परिचित संदर्भ में दिखाई देती है ।

नकली ब्रांड और सोशल इंजीनियरिंग

रिपोर्ट की गई नकली रसीदें Norton, McAfee, Apple (iPhone और Apple गिफ्ट कार्ड) जैसे ब्रांडों का रूप लेती हैं और इनमें PayPal-शैली के भुगतान के दावे शामिल होते हैं । ब्रांड का चुनाव जानबूझकर किया गया है: $300+ के सुरक्षा सब्सक्रिप्शन या महंगे Apple उत्पाद की नकली रसीद तुरंत घबराहट और तात्कालिकता पैदा करती है, जिससे उपयोगकर्ता शुल्क को विवादित करने के लिए दिए गए नंबर पर कॉल करने को मजबूर हो जाता है ।

कॉलबैक फिशिंग का असली खतरा

इस स्कैम का मुख्य तत्व ऑर्डर के विवरण, शिपिंग पता फ़ील्ड या उत्पाद विवरण में एम्बेड किया गया एक फोन नंबर होता है, जिसमें अक्सर एक संदेश होता है कि यदि शुल्क अनधिकृत है तो "सपोर्ट" पर कॉल करें । जब पीड़ित कॉल करता है, तो स्कैमर एक सहायता एजेंट के रूप में जवाब देता है और निम्नलिखित प्रयास करता है:

• रिफंड जारी करने के बहाने क्रेडिट कार्ड नंबर और व्यक्तिगत जानकारी चुराना।
• अकाउंट लॉगिन क्रेडेंशियल प्राप्त करना।
• उपयोगकर्ता को रिमोट एक्सेस सॉफ्टवेयर इंस्टॉल करने के लिए प्रेरित करना, जिससे डिवाइस का पूरा नियंत्रण हमलावर को मिल जाता है ।

अधिकांश रिपोर्ट किए गए मामलों में, उपयोगकर्ता के बैंक खाते या क्रेडिट कार्ड पर कोई वास्तविक शुल्क नहीं दिखता — पूरा खतरा सिर्फ कॉल करने में है ।

Shopify की प्रतिक्रिया

इस स्कैम के जवाब में, Shopify ने BleepingComputer को बताया कि उसने प्लेटफॉर्म का दुरुपयोग करने वाले बुरे तत्वों की पहचान कर ली है और नए नियंत्रण लागू कर दिए हैं जिनसे "इस गतिविधि में काफी कमी आई है और आगे इसका पता लगाने की हमारी क्षमता में सुधार हुआ है" । विशिष्ट तकनीकी उपायों का विवरण नहीं दिया गया, लेकिन कंपनी उपयोगकर्ताओं को फिशिंग, विशिंग और स्मिशिंग की पहचान करने पर अपने आधिकारिक सुरक्षा दिशानिर्देशों का पालन करने का निर्देश देती है, जिसमें @shopify.com जैसे आधिकारिक Shopify डोमेन से ईमेल की पुष्टि करना और संदिग्ध नंबरों पर कभी कॉल न करना शामिल है ।

आधिकारिक रिपोर्टिंग चैनल

Shopify उपयोगकर्ताओं को संदिग्ध ईमेल phishing@shopify.com पर अग्रेषित करने के लिए प्रोत्साहित करता है। Gen Digital, जिसका Norton ब्रांड इन स्कैम में इस्तेमाल हो रहा है, भी Norton से संबंधित संदिग्ध ईमेल spam@norton.com पर रिपोर्ट करने की सलाह देता है ।

संदिग्ध रसीद मिलने पर उठाए जाने वाले कदम

यदि आपको अपने Shop ऐप में कोई अप्रत्याशित ऑर्डर या रसीद दिखे, तो उसमें दी गई संपर्क जानकारी का उपयोग न करें। इसके बजाय, इन चरणों का पालन करें:

1. ऑर्डर में दिए गए किसी भी फोन नंबर पर कॉल न करें। वैध कंपनियां विवादित शुल्कों के लिए डिजिटल रसीदों में सपोर्ट नंबर शामिल नहीं करती हैं ।

2. सीधे अपने बैंक या कार्ड जारीकर्ता से शुल्क की पुष्टि करें। अपने वित्तीय खातों में उनके आधिकारिक ऐप या वेबसाइट के माध्यम से लॉग इन करें — नोटिफिकेशन में दिए गए लिंक के माध्यम से नहीं — यह पुष्टि करने के लिए कि कोई वास्तविक शुल्क है या नहीं ।

3. संदिग्ध ऑर्डर से किसी भी लिंक पर क्लिक न करें या कोई फ़ाइल डाउनलोड न करें ।

4. अस्थायी रूप से Shop ऐप से ईमेल सिंक को डिस्कनेक्ट करें: Settings > Email Integration पर जाकर, ताकि अधिक नकली ऑर्डर अपने आप न आ सकें ।

5. स्कैम की रिपोर्ट करें। नोटिफिकेशन या ईमेल को phishing@shopify.com पर अग्रेषित करें, और यदि यह Norton का रूप धारण करता है, तो इसे spam@norton.com पर भी भेजें ।

6. यदि आपने पहले ही नंबर पर कॉल कर लिया है, तो तुरंत अपने बैंक से संपर्क करें और खातों को फ्रीज करवाएं, अपने डिवाइस पर मैलवेयर स्कैन चलाएं, अपना Shopify पासवर्ड बदलें और दो-चरणीय प्रमाणीकरण सक्षम करें ।

7. Shop ऐप में ऑर्डर को संदिग्ध के रूप में चिह्नित करें जहां यह सुविधा उपलब्ध हो, इससे प्लेटफॉर्म को समान धोखाधड़ी वाले ऑर्डर की पहचान करने और उन्हें ब्लॉक करने में मदद मिल सकती है ।

मुख्य निष्कर्ष

Shopify के Shop ऐप को लक्षित करने वाला यह कॉलबैक फिशिंग स्कैम फिशिंग तकनीकों में एक उल्लेखनीय विकास है: हमलावर ईमेल से आगे बढ़कर सीधे एक भरोसेमंद एप्लिकेशन के अंदर नकली रसीदें डाल रहे हैं, जहां उपयोगकर्ता अपनी वास्तविक खरीदारी को मैनेज करते हैं। यह स्कैम Shopify के बुनियादी ढांचे में किसी तकनीकी कमजोरी के बजाय प्लेटफॉर्म में उपयोगकर्ता के भरोसे का शोषण करता है। सबसे प्रभावी बचाव सरल है: कभी भी किसी रसीद में एम्बेड किए गए फोन नंबर पर कॉल न करें, किसी भी आरोपित शुल्क को आधिकारिक चैनलों के माध्यम से सत्यापित करें, और संदिग्ध गतिविधि की रिपोर्ट प्रभावित प्लेटफॉर्म को करें।