फर्जी RTO चालान ऐप ने 28 मिनट में उड़ाए ₹4.27 लाख, एक APK ने खोला साइबर ठगी का रास्ता….

मुंबई में सामने आए इस मामले ने दिखाया कि सिर्फ एक फर्जी ऐप इंस्टॉल करना कितना महंगा पड़ सकता है। एक बैंक अधिकारी के मोबाइल में कथित तौर पर फर्जी “RTO Challan.apk” इंस्टॉल होने के बाद कुछ ही मिनटों में उनके क्रेडिट कार्ड से ₹4.27 लाख से ज्यादा की अनधिकृत खरीदारी हो गई। मामला इसलिए भी गंभीर है क्योंकि इसमें पब्लिक Wi-Fi, फर्जी सरकारी संदेश और मालवेयर APK जैसे कई साइबर जोखिम एक साथ दिखाई देते हैं।

क्या हुआ था?

रिपोर्ट के मुताबिक, मुंबई के एक बैंक अधिकारी ने छत्रपति शिवाजी महाराज टर्मिनस (CSMT) पर फ्री पब्लिक Wi-Fi का इस्तेमाल किया। इसके बाद उनके फोन पर “RTO Challan.apk” नाम की फाइल पहुंची। फाइल देखने में RTO के चालान से जुड़ी सामान्य ऐप जैसी लग रही थी।

उपयोगकर्ता ने इसे वास्तविक समझकर डाउनलोड और इंस्टॉल कर लिया। इसके बाद फोन में मौजूद संवेदनशील जानकारी के साथ छेड़छाड़ होने की आशंका सामने आई।

सबसे चौंकाने वाली बात यह रही कि मालवेयर इंस्टॉल होने के लगभग 28 मिनट के भीतर पांच अनधिकृत क्रेडिट कार्ड ट्रांजैक्शन किए गए। कुल नुकसान ₹4,27,264 बताया गया है। पुलिस ने मामले में FIR दर्ज कर जांच शुरू कर दी है।

लेकिन एक जरूरी तथ्य

यह कहना अभी जल्दबाजी होगी कि CSMT का आधिकारिक Wi-Fi ही सीधे तौर पर हैकिंग का स्रोत था। पुलिस इस बात की जांच कर रही है कि मोबाइल किसी असुरक्षित नेटवर्क, फर्जी हॉटस्पॉट या किसी दूसरी तकनीकी प्रक्रिया के जरिए संक्रमित हुआ था या नहीं। इसलिए “पब्लिक Wi-Fi से ही फोन हैक हुआ” को फिलहाल अंतिम निष्कर्ष नहीं माना जाना चाहिए।

असली खतरा APK फाइल में क्या था?

APK यानी Android Package Kit, Android फोन में ऐप इंस्टॉल करने वाली फाइल होती है। सामान्य तौर पर Google Play Store से डाउनलोड किए गए ऐप के बजाय जब कोई व्यक्ति WhatsApp, SMS, Telegram, ईमेल या किसी अनजान वेबसाइट से APK इंस्टॉल करता है, तो जोखिम काफी बढ़ जाता है।

साइबर अपराधी अक्सर ऐसी फाइलों के नाम सरकारी सेवाओं से जोड़ देते हैं, जैसे:

• RTO Challan.apk
• RTO E Challan.apk
• MParivahan.apk

CERT-In ने भी मार्च 2026 में Android यूजर्स को ऐसे फर्जी RTO/e-Challan मैलवेयर अभियान के बारे में चेतावनी दी थी। एडवाइजरी के मुताबिक अपराधी सरकारी RTO और e-Challan सिस्टम की नकल करते हुए लोगों को मालवेयर ऐप इंस्टॉल करवाने की कोशिश कर रहे थे।

ठगी का मॉडल कैसे काम करता है?

इस तरह के साइबर फ्रॉड में अपराधी आमतौर पर डर + भरोसा + जल्दबाजी—इन तीन चीजों का इस्तेमाल करते हैं।

पहला चरण: फोन पर मैसेज आता है—आपकी गाड़ी का चालान हो गया है।

दूसरा चरण: मैसेज में चालान देखने या जुर्माना भरने का लिंक/फाइल दी जाती है।

तीसरा चरण: फाइल का नाम सरकारी सेवा जैसा रखा जाता है, जिससे व्यक्ति को शक कम हो।

चौथा चरण: पीड़ित APK इंस्टॉल करता है और यदि ऐप को खतरनाक permissions मिल जाती हैं, तो फोन की संवेदनशील जानकारी जोखिम में आ सकती है।

पांचवां चरण: अपराधी चोरी हुई जानकारी का इस्तेमाल वित्तीय धोखाधड़ी या अन्य साइबर अपराध में कर सकते हैं।

यानी यहां ठगी का सबसे महत्वपूर्ण हथियार केवल तकनीक नहीं, बल्कि यूजर का भरोसा है।

यह मामला कितना बड़ा संकेत देता है?

यह घटना अकेली नहीं है। फरवरी 2026 में गाजियाबाद में भी एक महिला कथित फर्जी RTO चालान APK के झांसे में आ गई थीं और उनके खाते से ₹6 लाख से अधिक की रकम निकाले जाने की रिपोर्ट सामने आई थी।

साइबर सुरक्षा शोध में भी फर्जी RTO/e-Challan APK अभियान की पहचान की जा चुकी है। इसका मतलब है कि अपराधी अलग-अलग शहरों में एक ही तरह के भरोसेमंद सरकारी नामों का इस्तेमाल करके मोबाइल यूजर्स को निशाना बना रहे हैं।

सबसे बड़ी गलती क्या थी?

इस घटना में सिर्फ “लिंक पर क्लिक करना” मुद्दा नहीं है। असली खतरा तब बढ़ा जब अनजान स्रोत से आई APK फाइल को फोन में इंस्टॉल किया गया।

इसे एक आसान नियम से समझिए:

SMS/WhatsApp से आया चालान = पहले जांच, फिर कार्रवाई।

सरकारी नाम देखकर किसी फाइल को असली न मानें।

असली e-Challan कैसे जांचें?

अगर आपको लगता है कि आपकी गाड़ी का चालान हुआ है, तो किसी अनजान APK को डाउनलोड करने के बजाय सरकारी e-Challan सिस्टम पर जाकर खुद वाहन की जानकारी जांचना ज्यादा सुरक्षित तरीका है।

खास तौर पर ध्यान रखें:

• SMS में आए APK को इंस्टॉल न करें।
• अनजान लिंक पर क्लिक करने से बचें।
• सरकारी सेवा के लिए आधिकारिक वेबसाइट/ऐप का इस्तेमाल करें।
• फोन में “Install unknown apps” जैसी अनुमति अनावश्यक रूप से चालू न रखें।
• ऐप कोई असामान्य permission मांगे तो तुरंत रुक जाएं।
• पब्लिक Wi-Fi पर बैंकिंग और संवेदनशील वित्तीय गतिविधियों से बचना बेहतर है।
• बैंक/क्रेडिट कार्ड में अनजान transaction दिखते ही कार्ड को block/freeze कराएं और बैंक को सूचित करें।

अगर आपने गलती से APK इंस्टॉल कर लिया तो?

समय यहां सबसे महत्वपूर्ण है।

1. तुरंत इंटरनेट कनेक्शन बंद करें—Wi-Fi और mobile data दोनों।
2. संदिग्ध ऐप को हटाने की कोशिश करें।
3. बैंक और कार्ड जारी करने वाली संस्था को तुरंत सूचना दें।
4. अनधिकृत transaction को तुरंत report करें।
5. अपने महत्वपूर्ण passwords किसी सुरक्षित डिवाइस से बदलें।
6. फोन की security जांच कराएं।
7. भारत में साइबर वित्तीय धोखाधड़ी होने पर 1930 हेल्पलाइन और आधिकारिक साइबर अपराध शिकायत व्यवस्था का इस्तेमाल करें।

: असली सीख क्या है?

इस घटना को केवल “₹4.27 लाख की साइबर ठगी” के रूप में देखना अधूरा होगा।

इसमें साइबर अपराध का नया पैटर्न दिखाई देता है—सरकारी सेवा की पहचान + मोबाइल मालवेयर + सामाजिक इंजीनियरिंग + तेज वित्तीय निकासी।

अपराधी अब हमेशा बैंक अधिकारी बनकर फोन नहीं करते। वे ऐसी चीज चुन रहे हैं जिससे व्यक्ति को खुद लगे कि “मुझे यह ऐप अभी डाउनलोड करना जरूरी है।”

RTO चालान इसी मनोविज्ञान पर फिट बैठता है। चालान का डर व्यक्ति को जल्दबाजी में निर्णय लेने पर मजबूर कर सकता है।

इसलिए साइबर सुरक्षा का सबसे महत्वपूर्ण नियम तकनीकी नहीं, व्यवहारिक है:

“सरकारी नाम देखकर भरोसा मत कीजिए—स्रोत की पुष्टि कीजिए।”

₹4.27 लाख का यह मामला चेतावनी है कि आज के साइबर फ्रॉड में बैंक OTP से पहले ही मोबाइल फोन को निशाना बनाया जा सकता है। एक गलत APK इंस्टॉल करना कभी-कभी पूरी डिजिटल सुरक्षा श्रृंखला को कमजोर कर सकता है।