फर्जी e-Challan मैसेज ने बढ़ाई परेशानी, APK के रास्ते साइबर ठगों ने खाते से लाखों रुपये निकाल लिए।

फर्जी ई-चालान का लिंक बना जाल, APK डाउनलोड करते ही अहमदाबाद के कारोबारी के खाते से ₹5.67 लाख गायब….

अहमदाबाद: ट्रैफिक चालान के नाम पर भेजा गया एक सामान्य-सा मोबाइल मैसेज अहमदाबाद के 61 वर्षीय फल कारोबारी के लिए भारी पड़ गया। मकरबा इलाके में रहने वाले कारोबारी ने कथित तौर पर मैसेज में दिए गए लिंक पर क्लिक किया। इसके बाद उनके फोन में mParivahan.apk नाम की एक संदिग्ध Android फाइल डाउनलोड हो गई। कुछ दिनों बाद उनके बैंक खाते से कई लेनदेन के जरिए कुल ₹5.67 लाख निकल गए।

मामले की शिकायत के बाद साइबर क्राइम पुलिस ने जांच शुरू कर दी है। पुलिस अब उस APK फाइल, पैसे जिन खातों में भेजे गए उनकी जानकारी और पूरे ट्रांजैक्शन नेटवर्क की जांच कर रही है।

कैसे शुरू हुआ पूरा मामला?

पुलिस के मुताबिक कारोबारी को 22 अगस्त को एक अनजान नंबर से संदेश मिला। इसमें बताया गया कि उनकी कार का ट्रैफिक चालान बकाया है और उसे चुकाने के लिए दिए गए लिंक पर जाना होगा।

कारोबारी ने लिंक खोल दिया। इसके बाद फोन में mParivahan.apk नाम की एप्लिकेशन फाइल डाउनलोड हो गई। उन्होंने फाइल को तुरंत बंद कर दिया और उन्हें उस समय किसी बड़े खतरे का अंदाजा नहीं हुआ।

लेकिन असली नुकसान कुछ दिनों बाद सामने आया।

1 और 2 सितंबर के बीच उनके बैंक खाते से कुल सात IMPS ट्रांजैक्शन किए गए। इनमें ₹67,700, ₹50,000 और ₹1 लाख जैसी रकम भी शामिल थी। सभी लेनदेन मिलाकर करीब ₹5.67 लाख खाते से बाहर चले गए। रकम अलग-अलग खातों में भेजी गई, जिनमें कुछ खाते NSDL Payments Bank से जुड़े बताए गए हैं।

2 सितंबर की सुबह बैंक से पैसे कटने के लगातार संदेश मिलने पर कारोबारी को धोखाधड़ी का पता चला। उन्होंने अपने भाई को इसकी जानकारी दी और बैंक की नारोदा शाखा पहुंचे। इसके बाद साइबर क्राइम अधिकारियों से संपर्क किया गया।

जांच के दौरान उनके फोन में वही संदिग्ध APK फाइल मिली, जिसे उन्होंने चालान वाले संदेश के बाद डाउनलोड किया था। पुलिस को आशंका है कि इसी दुर्भावनापूर्ण एप्लिकेशन ने फोन और बैंकिंग संबंधी संवेदनशील जानकारी तक पहुंच बनाने में मदद की।

यह सिर्फ एक व्यक्ति की कहानी नहीं है

इस घटना को केवल एक स्थानीय साइबर फ्रॉड मानना ठीक नहीं होगा। CERT-In (Indian Computer Emergency Response Team) ने मार्च 2026 में देशभर में चल रहे इसी तरह के RTO/e-Challan themed Android malware campaign को लेकर चेतावनी जारी की थी।

सरकारी साइबर सुरक्षा एजेंसी के अनुसार ठग “RTO Challan.apk”, “RTO E Challan.apk” और “MParivahan.apk” जैसे नामों का इस्तेमाल करके लोगों को यह विश्वास दिलाने की कोशिश कर रहे हैं कि फाइल सरकारी ट्रैफिक सेवा से संबंधित है।

यानी अहमदाबाद का मामला किसी बिल्कुल नए तरीके का प्रयोग नहीं है। यह उस व्यापक पैटर्न से मेल खाता है जिसमें सरकारी सेवा का नाम + जरूरी कार्रवाई का दबाव + APK डाउनलोड—इन तीन चीजों को जोड़कर व्यक्ति को फंसाया जाता है।

APK फाइल इतनी खतरनाक क्यों हो सकती है?

यहां एक महत्वपूर्ण बात समझना जरूरी है।

APK यानी Android Package Kit Android फोन में एप्लिकेशन इंस्टॉल करने वाली फाइल होती है। सामान्य तौर पर जब कोई व्यक्ति Play Store से ऐप इंस्टॉल करता है, तो प्रक्रिया एक नियंत्रित प्लेटफॉर्म के जरिए होती है। लेकिन जब कोई अनजान व्यक्ति SMS, WhatsApp या किसी वेबसाइट से APK डाउनलोड करवाता है, तो जोखिम काफी बढ़ जाता है।

CERT-In के अनुसार इस तरह के फर्जी e-Challan malware फोन में कई संवेदनशील permissions मांग सकते हैं। इनमें SMS और कॉल तक पहुंच, background में चलने की अनुमति और कुछ मामलों में VPN connection बनाने जैसी क्षमताएं शामिल हो सकती हैं। इससे हमलावर संवेदनशील जानकारी और वित्तीय गतिविधियों पर नजर रखने की कोशिश कर सकते हैं।

सबसे गंभीर खतरा यह है कि SMS तक पहुंच मिलने पर OTP जैसे संदेश भी जोखिम में आ सकते हैं। इसलिए केवल यह सोच लेना कि “मैंने OTP किसी को बताया ही नहीं” पर्याप्त सुरक्षा नहीं है।

ठग चालान के नाम का इस्तेमाल क्यों करते हैं?

यह पूरा खेल तकनीक से ज्यादा भरोसे और जल्दबाजी पर आधारित है।

लोगों को जब “आपका चालान लंबित है” जैसा संदेश मिलता है, तो उनके दिमाग में तुरंत जुर्माने या वाहन जब्त होने जैसी चिंता पैदा हो सकती है। इसी घबराहट में व्यक्ति लिंक की जांच किए बिना उसे खोल देता है।

इसे साइबर सुरक्षा की भाषा में Social Engineering कहा जाता है—यानी तकनीकी कमजोरी के साथ-साथ इंसानी व्यवहार का फायदा उठाना।

फर्जी संदेश को विश्वसनीय दिखाने के लिए अपराधी सरकारी विभागों, परिवहन सेवाओं या पुलिस से मिलते-जुलते नामों और शब्दों का इस्तेमाल कर सकते हैं।

देश के दूसरे हिस्सों में भी सामने आए ऐसे मामले

यह तरीका केवल अहमदाबाद तक सीमित नहीं है।

इससे पहले गुजरात के ही एक अन्य मामले में अहमदाबाद के एक व्यक्ति ने कथित तौर पर फर्जी RTO e-Challan APK इंस्टॉल किया था और उसके बाद उसके खाते से ₹10.7 लाख की रकम निकल गई थी। जांच में APK के जरिए मोबाइल तक अनधिकृत पहुंच और OTP से संबंधित गतिविधियों की बात सामने आई थी।

वडोदरा में भी एक व्यक्ति को कथित RTO चालान के नाम पर APK डाउनलोड करवाकर करीब ₹7.4 लाख की आर्थिक क्षति पहुंचाने का मामला सामने आया।

इन मामलों से संकेत मिलता है कि साइबर अपराधी एक ही तरह के malware-based fraud template को अलग-अलग शहरों और अलग-अलग बहानों के साथ इस्तेमाल कर रहे हैं।

असली चालान कैसे जांचें?

सबसे सुरक्षित तरीका है कि SMS में आए किसी अनजान लिंक पर क्लिक करने के बजाय खुद आधिकारिक वेबसाइट खोलकर जानकारी जांची जाए।

CERT-In ने लोगों को ट्रैफिक चालान की जानकारी केवल आधिकारिक e-Challan पोर्टल या संबंधित राज्य की आधिकारिक ट्रैफिक पुलिस वेबसाइट/ऐप से सत्यापित करने की सलाह दी है।

याद रखें:

• SMS में आए अनजान APK को इंस्टॉल न करें।
• WhatsApp या Telegram से मिले “e-Challan App” को डाउनलोड न करें।
• किसी अनजान वेबसाइट से Android ऐप इंस्टॉल न करें।
• फोन में Install from Unknown Sources विकल्प बंद रखें।
• बैंकिंग ऐप, UPI और फोन के SMS की गतिविधियों पर नजर रखें।
• कोई संदेश सरकारी जैसा दिखे, फिर भी उसकी पुष्टि आधिकारिक माध्यम से करें।

अगर APK गलती से डाउनलोड हो गया तो क्या करें?

अगर आपने केवल फाइल डाउनलोड की है और उसे इंस्टॉल नहीं किया, तो उसे खोलने या इंस्टॉल करने से बचें और डिलीट कर दें।

अगर APK इंस्टॉल भी हो चुका है, तो मामले को हल्के में न लें।

CERT-In की सलाह के अनुसार सबसे पहले फोन को मोबाइल डेटा और Wi-Fi से डिस्कनेक्ट करें। संदिग्ध ऐप को हटाएं, भरोसेमंद सुरक्षा सॉफ्टवेयर से जांच करें और बैंकिंग खातों की गतिविधि देखें। जरूरत पड़ने पर बैंकिंग पासवर्ड और UPI PIN को सुरक्षित डिवाइस से बदलें।

अगर खाते से पैसा निकल चुका है तो इंतजार न करें। भारत सरकार के National Cyber Crime Reporting Portal के अनुसार वित्तीय साइबर धोखाधड़ी की सूचना 1930 पर दी जा सकती है। ऑनलाइन शिकायत cybercrime.gov.in पर भी दर्ज की जा सकती है।

सबसे बड़ा सबक: “चालान” देखकर नहीं, लिंक देखकर सावधान हों

इस घटना में रकम किसी जटिल तकनीकी हैक के कारण ही गई हो, ऐसा निष्कर्ष अभी निकालना जल्दबाजी होगा। पुलिस की जांच जारी है। लेकिन उपलब्ध तथ्यों से इतना साफ है कि एक संदिग्ध APK डाउनलोड करना जोखिम का महत्वपूर्ण हिस्सा था।

आज साइबर ठगी में अपराधी हमेशा बैंक अधिकारी या पुलिस अधिकारी बनकर फोन नहीं करते। कभी वे चालान, कभी बिजली बिल, कभी गैस बिल और कभी KYC के नाम पर मोबाइल में एक ऐप पहुंचाने की कोशिश करते हैं।

इसलिए एक आसान नियम याद रखें:

“सरकारी काम के नाम पर आया अनजान APK = तुरंत STOP.”

पहले आधिकारिक वेबसाइट खोलकर जांच करें। जरूरत हो तो संबंधित विभाग से सीधे संपर्क करें। कुछ सेकंड की सावधानी हजारों या लाखों रुपये के नुकसान से बचा सकती है।