पुणे में Whale Phishing का खतरनाक मामला: अकाउंटेंट का फोन हैक, शुगर ट्रेडर के ₹3 करोड़ उड़ाए…..
पुणे के एक शुगर ट्रेडर के साथ साइबर अपराधियों ने ऐसी ठगी की, जिसमें सिर्फ फर्जी नंबर या नकली प्रोफाइल का इस्तेमाल नहीं हुआ, बल्कि कंपनी के अकाउंटेंट के फोन को ही निशाना बनाया गया। इसके बाद अपराधियों ने कारोबारी के नाम से अकाउंटेंट को निर्देश भेजे और महज एक घंटे से भी कम समय में ₹3 करोड़ कंपनी के बैंक खाते से दूसरे खातों में ट्रांसफर करा दिए। यह मामला Whale Phishing / CEO Scam के उस नए और ज्यादा खतरनाक रूप को दिखाता है, जिसमें हमलावर पहले संचार उपकरण पर कब्जा करते हैं और फिर भरोसेमंद व्यक्ति बनकर वित्तीय आदेश देते हैं।
आखिर पूरा मामला क्या है?
पुणे के मार्केट यार्ड इलाके में पारिवारिक कारोबार चलाने वाले 42 वर्षीय शुगर ट्रेडर के अकाउंटेंट को 31 अगस्त की सुबह करीब 10:47 बजे WhatsApp पर एक संदेश मिला। नंबर फोन में कारोबारी के नाम से सेव दिखाई दे रहा था। संदेश में कंपनी के Internet Banking Account में उपलब्ध राशि के बारे में पूछा गया।
अकाउंटेंट ने बताया कि खाते में करीब ₹8.50 करोड़ मौजूद हैं।
इसके कुछ ही समय बाद एक Bank of Baroda खाते की जानकारी भेजी गई और ₹3 करोड़ ट्रांसफर करने का निर्देश दिया गया। अकाउंटेंट को लगा कि आदेश उसके मालिक ने ही दिया है। उसने कंपनी के accounting software के जरिए ₹1 करोड़ की तीन अलग-अलग transactions कर दीं। जांच में सामने आया कि रकम मध्य प्रदेश के रीवा जिले से जुड़े mule accounts में गई थी।
ठगी का खुलासा तब हुआ जब अकाउंटेंट ने transaction से संबंधित GST number लेने के लिए कारोबारी से संपर्क किया। कारोबारी ने साफ कहा कि उसने ऐसा कोई भुगतान करने का निर्देश नहीं दिया था।
इसके बाद कंपनी ने अकाउंटेंट के फोन और कंप्यूटर की जांच की। पता चला कि कुछ दिन पहले उसे “Transaction_Details_31/08/2026 img” नाम की संदिग्ध फाइल WhatsApp पर भेजी गई थी। पुलिस को संदेह है कि इसी malware-infected file के जरिए डिवाइस को compromise किया गया और फिर हमलावरों ने contacts तथा communication तक पहुंच बनाई।
सबसे खतरनाक बात क्या थी?
यह सामान्य phishing से अलग है।
आम तौर पर अपराधी किसी CEO या मालिक की तस्वीर लगाकर नए नंबर से कर्मचारी को संदेश भेजते हैं। लेकिन इस मामले में कथित तौर पर हमलावरों ने अकाउंटेंट के डिवाइस को ही compromise कर लिया। इससे उन्हें पहले से मौजूद communication और contacts का फायदा मिला।
पुणे और पिंपरी-चिंचवड़ पुलिस ने हाल के मामलों में इसी तरह के कई उदाहरण देखे हैं। एक मामले में poultry-products कंपनी के अकाउंटेंट का डिवाइस compromise करके CEO के नाम से ₹70 लाख ट्रांसफर कराया गया, जबकि दूसरे मामले में automobile dealer कंपनी को करीब ₹2.2 करोड़ का नुकसान हुआ। पुलिस के मुताबिक पिछले दो महीनों में ऐसे device-hacking-based whale-phishing cases सामने आए हैं।
यानी अपराधियों की रणनीति अब केवल “नकली CEO बनना” नहीं है। वे पहले उस कर्मचारी के डिजिटल वातावरण तक पहुंच बनाने की कोशिश कर रहे हैं, जिसके पास वास्तविक वित्तीय अधिकार या कंपनी की संवेदनशील जानकारी होती है।
Whale Phishing आखिर क्या है?
Whale Phishing को कई बार CEO Fraud, Boss Scam या Executive Impersonation भी कहा जाता है।
इसमें अपराधी आम व्यक्ति को बड़े पैमाने पर संदेश भेजने के बजाय ऐसे व्यक्ति को चुनते हैं जो कंपनी में पैसे, बैंकिंग या महत्वपूर्ण जानकारी तक पहुंच रखता हो।
उदाहरण के लिए:
CEO → Accountant → Bank Transfer
अपराधी इस भरोसे की कड़ी को तोड़ते हैं।
इस मामले में हमला और ज्यादा sophisticated इसलिए था क्योंकि अपराधियों ने केवल CEO की पहचान की नकल नहीं की, बल्कि कथित तौर पर अकाउंटेंट के compromised device और communication environment का फायदा उठाया। इससे संदेश ज्यादा विश्वसनीय दिखाई दिया।
इस ठगी से क्या बड़ा सबक निकलता है?
1. WhatsApp अब सिर्फ बातचीत का माध्यम नहीं
कंपनियों में WhatsApp पर payment instructions, invoices, account details और business decisions साझा किए जाते हैं। यही आदत अपराधियों के लिए attack surface बन सकती है।
2. Contact Name पर भरोसा खतरनाक है
फोन में किसी नंबर के सामने CEO का नाम या फोटो दिखना इस बात का प्रमाण नहीं है कि संदेश वास्तव में CEO ने भेजा है।
3. Malicious File सबसे बड़ा entry point बन सकती है
“Transaction Details”, “Invoice”, “Payment Receipt”, “GST”, “Salary Sheet” जैसे नाम वाली फाइलें कर्मचारियों को सामान्य लग सकती हैं। लेकिन अज्ञात स्रोत से आई फाइल डिवाइस compromise करने का माध्यम बन सकती है।
4. ₹1 करोड़ जैसे भुगतान के लिए अकेली approval पर्याप्त नहीं
यह घटना corporate internal controls की जरूरत भी दिखाती है। बड़ी रकम के भुगतान में कम-से-कम दो स्वतंत्र अधिकारियों की approval और beneficiary verification बेहद महत्वपूर्ण है।
कंपनियां इस तरह की ठगी कैसे रोक सकती हैं?
₹5 लाख, ₹10 लाख या ₹1 करोड़—रकम चाहे जितनी हो, messaging app पर मिले payment instruction को अंतिम आदेश नहीं मानना चाहिए।
कंपनी में यह 4-step verification protocol लागू किया जा सकता है:
Step 1 — Call Back:
CEO/Director के उसी पुराने और verified नंबर पर फोन करके आदेश की पुष्टि करें।
Step 2 — Dual Approval:
बड़े financial transfers के लिए कम-से-कम दो अधिकृत व्यक्तियों की approval रखें।
Step 3 — Beneficiary Check:
नया bank account मिलने पर account holder name, bank और अन्य beneficiary details स्वतंत्र माध्यम से verify करें।
Step 4 — Device Security:
WhatsApp Web/Linked Devices sessions की नियमित जांच करें, Multi-Factor Authentication (MFA) इस्तेमाल करें और unknown files/software installation पर रोक लगाएं।
पुणे साइबर पुलिस ने भी बड़े financial transfers और beneficiary-account changes को किसी दूसरे verified communication channel से independently confirm करने की सलाह दी है।
विश्लेषण: अब साइबर ठगी का अगला मोर्चा “भरोसा” नहीं, “भरोसे का डिजिटल इंफ्रास्ट्रक्चर” है
इस मामले को केवल ₹3 करोड़ की ठगी के रूप में देखना अधूरा होगा। असली खतरा यह है कि digital identity और communication channel खुद attack target बन रहे हैं।
पहले अपराधी कहते थे—“मैं CEO हूं, पैसे भेजो।”
अब ज्यादा sophisticated मॉडल में सवाल बदल गया है—“CEO की तरह दिखने और उसकी communication history तक पहुंचने के बाद कर्मचारी को कैसे विश्वास दिलाया जाए कि आदेश असली है?”
यही वजह है कि Whale Phishing traditional phishing से ज्यादा खतरनाक हो सकती है।
हाल के पुणे मामलों में investigators ने compromised WhatsApp Web sessions, altered contact details और existing conversations के दुरुपयोग की बात सामने रखी है।
भारत में digital transactions का विशाल पैमाना भी cybercriminals के लिए आकर्षक target बनाता है। Reuters के अनुसार, सरकारी आंकड़ों के मुताबिक भारत में 2025 में लगभग $2.4 billion के cyber-fraud losses दर्ज हुए। अगस्त 2026 में I4C ने Google Firebase पर hosted कम-से-कम 57 संदिग्ध websites/databases को malware और sensitive financial information चोरी से जोड़ते हुए कार्रवाई के लिए चिन्हित किया था।
इसलिए corporate cybersecurity को केवल antivirus और firewall तक सीमित रखना पर्याप्त नहीं है। कंपनियों को अब People + Process + Device + Payment Verification—चारों स्तरों पर सुरक्षा बनानी होगी।
इस केस में अकाउंटेंट ने जरूरी नहीं कि लापरवाही की हो—हमलावरों ने उसके भरोसे के सिस्टम को ही निशाना बनाया।
यही इस घटना का सबसे महत्वपूर्ण सबक है:
“बॉस का नाम दिखना, बॉस का आदेश होने का सबूत नहीं है।”
हर बड़े payment instruction को Independent Verification से गुजरना चाहिए—खासकर तब, जब वह WhatsApp या किसी messaging platform से आया हो।
About The Author
