"बोनस" के चारे से फ़िशिंग और क्लोन साइटें

क्लोन साइटें ब्रांड की नकल कैसे करती हैं

नकल सस्ती है और हमेशा से रही है। ब्रांड को पहचानने के लिए कोई भी आने वाला जिन चीज़ों का इस्तेमाल करता है वे सब खुले वेब पर छपी होती हैं, इसलिए दिखने की समानता इस बारे में कोई जानकारी नहीं देती कि पेज के पीछे कौन है।

नकल किए गए लेआउट और लोगो

किसी पेज को बिना किसी ख़ास पहुँच के हूबहू दोबारा बनाया जा सकता है। लोगो, ब्रांड के रंग, टाइपफ़ेस, प्रोडक्ट के स्क्रीनशॉट और यहाँ तक कि पूरे पेज का ढाँचा हर आने वाले तक बनावट से ही पहुँचता है, यानी उन्हें सहेजकर कहीं से भी दोबारा परोसा जा सकता है। भरोसेमंद नकल कौशल का नहीं, एक दोपहर का मामला है।

नतीजा एक पंक्ति में कहने लायक है: दिखावट पहचान नहीं है। आप जो लेआउट पहचानते हैं वह आपको बताता है कि प्रकाशक ने किसकी नकल करना चुना, यह नहीं कि प्रकाशक कौन है। यह इसलिए मायने रखता है क्योंकि पहचान तेज़ी से और सचेत ध्यान के नीचे होती है, इसलिए जाना-पहचाना इंटरफ़ेस किसी भी टेक्स्ट के पढ़े जाने से पहले ही शक को शांत कर देता है।

छोटी कमियाँ कभी-कभी दिख जाती हैं, जैसे पुराने स्क्रीनशॉट, मिली-जुली भाषाएँ, ऐसे फ़ीचर जो कहीं नहीं ले जाते, या ऐसा सपोर्ट सेक्शन जो बस एक फ़ॉर्म है। जब वे दिख जाएँ तो काम की होती हैं, लेकिन उनका न होना कुछ नहीं कहता, क्योंकि ध्यान से बनाई गई नकल में इनमें से एक भी नहीं होती। नकल में कमियाँ ढूँढ़ने की आदत मत बनाइए।

मिलते-जुलते डोमेन नाम

पता वही हिस्सा है जो चलाने वाला ब्रांड से छीन नहीं सकता, इसलिए उसे लगभग-जैसा बना दिया जाता है। आम तरीक़े हैं: एक अक्षर दोहरा या ग़ायब, दो अक्षर आगे-पीछे, एक हाइफ़न, एक अतिरिक्त शब्द जोड़ा हुआ, ऐसे अक्षर जो एक नज़र में दूसरों जैसे लगें, ब्रांड को किसी असंबंधित डोमेन के सबडोमेन के तौर पर रखना, या ब्रांड को सिर्फ़ पते के एक हिस्से के तौर पर इस्तेमाल करना।

ये सब पढ़ने की एक ही आदत पर टिके हैं। लोग पते में कोई जाना-पहचाना शब्द ढूँढ़ते हैं और मिलते ही रुक जाते हैं, और फ़ोन पर पट्टी छोटी होती है और स्क्रॉल करते समय अक्सर आधी छिपी रहती है। भरोसेमंद विकल्प यह है कि सिर्फ़ रजिस्ट्रेबल डोमेन देखा जाए, यानी वह हिस्सा जो टॉप-लेवल सफ़िक्स से ठीक पहले आता है, जो इस ब्रोकर के लिए iqoption.com है। उसके बाईं ओर की हर चीज़ डोमेन के मालिक के नियंत्रण में है और कुछ भी कह सकती है।

नकली बोनस लैंडिंग पेज

बोनस पेज मंज़िल नहीं, दाख़िले का दरवाज़ा है। वह आने की एक वजह देने के लिए बना होता है, और आम तौर पर पूरे काम का सबसे चमकदार पेज होता है, क्योंकि पहली मुलाकात उसी को झेलनी होती है। उस पर दिया ऑफ़र उदार, गोल और समय-सीमा वाला होगा, क्योंकि यही मेल सबसे अच्छा चलता है।

लैंडिंग पेज के बाद जो आता है वही असली तंत्र है: ऑफ़र "लेने" के लिए साइन-इन फ़ॉर्म, दस्तावेज़ माँगने वाला वेरिफ़िकेशन कदम, या एक्टिवेशन बताया गया कोई पेमेंट कदम। ख़ुद लैंडिंग पेज कुछ लेता नहीं, और इसी से उसे खोलना हानिरहित लगता है। यह जान लेना काम का है कि वह जिस ऑफ़र का विज्ञापन करता है वह वैसे भी नियमों से टकराता है, क्योंकि CySEC के राष्ट्रीय उपाय CFD प्रोवाइडर को CFD की मार्केटिंग, वितरण या बिक्री के सिलसिले में रिटेल क्लाइंट को पेमेंट, मौद्रिक या बाहर रखा गया गैर-मौद्रिक लाभ देने से रोकते हैं। गढ़े हुए कोड ऑफ़र का आम ढर्रा नकली प्रोमो कोड का चारा कैसे काम करता है में रखा गया है।

लेआउट, लोगो और सर्टिफ़िकेट सब दोबारा बनाए जा सकते हैं, इसलिए दिखने वाली कोई चीज़ साइट की पहचान नहीं बताती; सिर्फ़ रजिस्ट्रेबल डोमेन बताता है।

फ़िशिंग पेज किसके पीछे होते हैं

क्लोन पेजों को तीन चीज़ें चाहिए, और कोई पेज इनमें से किसके पीछे है यह जान लेने से पता चल जाता है कि आपका जवाब कितना जल्दी होना चाहिए। तीनों किसी रोज़मर्रा के कदम की शक्ल में आती हैं।

लॉगिन जानकारी और पासवर्ड

सबसे आम निशाना ख़ुद साइन-इन है। पेज एक जाना-पहचाना फ़ॉर्म दिखाता है, जो कुछ टाइप हो उसे पकड़ लेता है, और अक्सर उसके बाद कोई एरर दिखाता है या आपको असली साइट पर आगे भेज देता है, जिससे पूरा अनुभव किसी असामान्य बात के बजाय ग़लत टाइप हुए पासवर्ड जैसा लगता है। यह चुपचाप ख़त्म होना जान-बूझकर होता है।

इससे दो बातें निकलती हैं। पहली सीधी है: किसी के पास ऐसे अकाउंट की लॉगिन जानकारी है जिसमें पैसे हो सकते हैं। दूसरी ज़्यादा फैली हुई है, क्योंकि कहीं और दोबारा इस्तेमाल किया गया पासवर्ड एक उजागर होने को कई में बदल देता है, और ईमेल अकाउंट आम तौर पर अगला निशाना होते हैं क्योंकि उनसे बाकी सब रीसेट किया जा सकता है। कुछ पेज पासवर्ड के ठीक बाद वन-टाइम कोड भी माँगते हैं, वेरिफ़िकेशन के कदम की तरह पेश करके; वन-टाइम कोड होता ही इसलिए है कि वह साबित करे कि उसे रखने वाला व्यक्ति आप हैं, इसलिए उसे सौंप देना नकल को पूरा कर देता है।

पेमेंट और कार्ड की जानकारी

दूसरा निशाना पेमेंट का डेटा है, जो आम तौर पर डिपॉज़िट के कदम या वादा किए गए बोनस के लिए एक्टिवेशन फ़ीस के तौर पर इकट्ठा किया जाता है। कभी-कभी उसे एक छोटा वेरिफ़िकेशन चार्ज बताया जाता है, जो इसलिए असरदार है कि छोटी रकम कम जोखिम वाली लगती है, जबकि जो चीज़ सौंपी जा रही है वह रकम नहीं, ख़ुद कार्ड है।

पेज को परखने से आसान ढाँचे की जाँच है। असली डिपॉज़िट आपके साइन इन रहते प्लेटफ़ॉर्म के कैशियर के अंदर होता है, और आपके अकाउंट को मिलने वाले तरीके आपके देश पर निर्भर करते हैं और वहीं दिखते हैं। लैंडिंग पेज पर लिया गया, किसी वॉलेट पते पर भेजा गया, या किसी निजी अकाउंट में गया पेमेंट पूरी तरह उस रास्ते के बाहर है, और इस तरह के ट्रांसफ़र अक्सर वापस नहीं होते।

पहचान के दस्तावेज़

तीसरा निशाना दस्तावेज़ हैं: पासपोर्ट या पहचान पत्र की तस्वीर, दस्तावेज़ पकड़े हुए सेल्फ़ी, बिजली-पानी का बिल, बैंक स्टेटमेंट। ये वेरिफ़िकेशन की आड़ में माँगे जाते हैं, जो भरोसेमंद लगता है क्योंकि रेगुलेटेड फ़र्में सचमुच पहचान की जाँच करती हैं।

फ़र्क इस बात का है कि जाँच होती कहाँ है। असली वेरिफ़िकेशन का कदम ब्रोकर की अपनी साइट पर आपके वहाँ साइन इन कर लेने के बाद आपके अकाउंट के अंदर होता है, किसी विज्ञापन या संदेश से पहुँचे पेज पर नहीं। दस्तावेज़ उजागर होने की सबसे मुश्किल से पलटी जाने वाली किस्म भी हैं, क्योंकि पासवर्ड एक मिनट में बदला जा सकता है और पहचान का दस्तावेज़ नहीं। जिस साइट तक आप पता टाइप करके नहीं पहुँचे, उसकी दस्तावेज़ की माँग को अयोग्यता मानिए।

फ़िशिंग पेज लॉगिन जानकारी, कार्ड की जानकारी या पहचान के दस्तावेज़ के पीछे होते हैं; दस्तावेज़ों का उजागर होना सबसे मुश्किल से पलटता है, इसलिए दस्तावेज़ की माँग को सबसे गंभीरता से लीजिए।

आम चारे जो वे लगाते हैं

चारे इसलिए चुने जाते हैं कि वे समझा देते हैं कि आपसे कुछ माँगा क्यों जा रहा है। नीचे के तीनों में से हर एक ऐसी वजह देता है जो सामान्य लगती है, और यही उनकी पूरी बनावट है।

"अपना बोनस लीजिए" वाले इशारे

लेने का इशारा सबसे सीधा चारा है। कोई बैनर, संदेश या विज्ञापन कहता है कि बोनस इंतज़ार कर रहा है और एक बटन उसे ले लेता है, और क्लिक करने पर साइन-इन फ़ॉर्म आ जाता है। यह पेशकश साइन-इन को माँग से बदलकर औपचारिकता बना देती है, क्योंकि आपसे कुछ माँगा नहीं जा रहा, आप वह ले रहे हैं जो आपका बनता है।

यह चारा इतना दूर तक इसलिए चलता है कि लोग पहले से ही इसे सर्च कर रहे होते हैं। बोनस और प्रोमो कोड की माँग ख़ुद ऑफ़रों से ज़्यादा दिन जीती रही, इसलिए इनका वादा करने वाला पेज कोई उम्मीद बनाता नहीं, बनी हुई उम्मीद से जा मिलता है। ईमानदार स्थिति सँकरी है और उसे टिकाए रखना आसान: 3 सितंबर 2026 को जाँचे गए शोध के दौरान सार्वजनिक रूप से सत्यापित किया जा सकने वाला कोई आधिकारिक प्रोमो कोड नहीं मिला, CySEC-रेगुलेटेड इकाई के EEA रिटेल क्लाइंट को पैसे का प्रलोभन नहीं दिया जा सकता, और किसी अकेले अकाउंट के अंदर क्या चालू है यह इकाई, देश और तारीख़ पर निर्भर करता है।

नकली अकाउंट-वेरिफ़िकेशन के कदम

दूसरा चारा भावना का सुर उलट देता है। इनाम की जगह एक समस्या होती है: आपके अकाउंट को वेरिफ़िकेशन चाहिए, कोई सुरक्षा जाँच नाकाम रही, कोई निकासी रोक दी गई है, दस्तावेज़ नहीं हैं, कोई गतिविधि पकड़ी गई। जल्दबाज़ी के साथ डर, जल्दबाज़ी के साथ इनाम से ज़्यादा तेज़ी से मनवा लेता है, और इसीलिए यह रूप वहाँ आम है जहाँ असली अकाउंट होने का पता हो।

जवाब हर हाल में एक ही है और उसके लिए संदेश को परखने की ज़रूरत नहीं। लिंक इस्तेमाल मत कीजिए। पता ख़ुद टाइप करके या आधिकारिक ऐप्लिकेशन खोलकर प्लेटफ़ॉर्म तक पहुँचिए, साइन इन कीजिए, और देखिए। अकाउंट की असली दिक्कत अकाउंट के अंदर दिखती है, और जिस संदेश की वहाँ कोई जोड़ी नहीं, वह ब्रोकर की ओर से नहीं था।

वादा किए गए डिपॉज़िट-मैच इनाम

तीसरा चारा इनाम से पहले पेमेंट माँगता है। डिपॉज़िट का मिलान किया जाएगा, पहली पेमेंट दोगुनी होगी, एक छोटा एक्टिवेशन चार्ज कोई क्रेडिट खोल देगा। यह सिर्फ़ लॉगिन जानकारी नहीं, सीधे पैसे इकट्ठा करता है, जिससे यह तुरंत सबसे महँगा पड़ता है।

यह उसी नियम से भी टकराता है जिसका यह हवाला देता है। ESMA की तकनीकी सवाल-जवाब सामग्री रोक का वर्णन "किसी भी रूप के मौद्रिक और गैर-मौद्रिक लाभ जिनका मकसद रिटेल निवेशकों को CFD ट्रेड करने या CFD की बड़ी मात्रा ट्रेड करने के लिए प्रोत्साहित करना हो" को ढँकने वाली बताती है, और उसी दायरे में अकाउंट खोलने के बोनस का नाम लेती है, और CySEC ने 27 सितंबर 2019 को Policy Statement PS-04-2019 में राष्ट्रीय उपायों को स्थायी कर दिया। रेगुलेटेड इकाई के EEA रिटेल क्लाइंट को दिया गया डिपॉज़िट-मैच कोई ऐसा प्रचार नहीं जो आपने जल्दी ढूँढ़ लिया हो; वह उस चीज़ का वर्णन है जो दी ही नहीं जा सकती। रेगुलेटेड ढाँचा इस तरह क्यों चलता है यह डिपॉज़िट बोनस क्यों नहीं है में देखा गया है।

• इनाम की पेशकश: एक बोनस इंतज़ार कर रहा है, उसे लेने के लिए साइन इन कीजिए।
• डर की पेशकश: जब तक आप कुछ न करें आपका अकाउंट या कोई निकासी रुकी है।
• पेमेंट की पेशकश: बड़ा क्रेडिट खोलने के लिए अभी एक छोटी रकम दीजिए।
• अधिकार की पेशकश: ऐसा संदेश जो सपोर्ट या अनुपालन की ओर से आया लगे।

इनाम, डर और पेमेंट — तीनों पेशकशें माँग के लिए एक वजह देती हैं; हर हाल में जवाब यही है कि संदेश छोड़िए और अपने अकाउंट के अंदर जाँचिए।

असली प्लेटफ़ॉर्म पक्का करना

आप असली प्लेटफ़ॉर्म पर हैं यह पक्का करना कोई जाँच-पड़ताल नहीं, दो सेकंड की आदत है। तीन जाँचें इसे ढँक लेती हैं, और पहली अकेले ही ज़्यादातर काम कर देती है।

पता सीधे टाइप करना

सबसे मज़बूत अकेली आदत अपने बल पर वहाँ पहुँचना है। पट्टी में ख़ुद iqoption.com टाइप कीजिए, या ऐसा बुकमार्क इस्तेमाल कीजिए जो आपने सही साइट पर रहते हुए बनाया था। इससे हमलों की वह पूरी श्रेणी हट जाती है जो आपके चले हुए लिंक पर नियंत्रण पर टिकी है, और यह तब भी चलता है जब लिंक विज्ञापन, ईमेल, चैट संदेश, कमेंट या सर्च नतीजे से आया हो।

सर्च नतीजों को लेकर भी सोच-समझकर चलना काम का है। ऑर्गैनिक नतीजों के ऊपर के विज्ञापन के स्लॉट ख़रीदे जाते हैं, और वहाँ मिलता-जुलता डोमेन आ सकता है, इसलिए पहले नतीजे पर क्लिक करने की आदत पता टाइप करने की आदत से कमज़ोर है। एक बार सही साइट पर पहुँच जाएँ तो उसे बुकमार्क कीजिए और उसके बाद बुकमार्क ही इस्तेमाल कीजिए।

सर्टिफ़िकेट का ब्योरा जाँचना

दूसरी जाँच ताला है, जिसे उसकी सीमाएँ समझकर इस्तेमाल किया जाए। सर्टिफ़िकेट की जानकारी खोलिए और पक्का कीजिए कि वह जिस नाम को ढँकता है वह पट्टी में दिख रहे डोमेन से मेल खाता है। कोई चेतावनी, एक्सपायरी या नाम का न मिलना रुक जाने का मौका है, और पैसे से जुड़े पेज पर उसे कभी अनदेखा करके आगे नहीं बढ़ना चाहिए।

सीमा जाँच जितनी ही मायने रखती है। वैध सर्टिफ़िकेट साबित करता है कि कनेक्शन एन्क्रिप्टेड है और आप जिस डोमेन पर हैं उससे मेल खाता है। वह इस बारे में कुछ साबित नहीं करता कि उस डोमेन का मालिक कौन है, और सर्टिफ़िकेट आसानी से मिल जाते हैं, इसलिए क्लोन के पास भी एक होगा। सर्टिफ़िकेट को इस पुष्टि की तरह पढ़िए कि आप पट्टी में लिखे डोमेन से निजी तौर पर बात कर रहे हैं; वह डोमेन सही है या नहीं, यह पहले वाला सवाल है।

आधिकारिक ऐप-स्टोर लिस्टिंग का इस्तेमाल

फ़ोन पर पते की पट्टी इंटरफ़ेस का सबसे कमज़ोर हिस्सा है, इसलिए ऐप्लिकेशन ज़्यादा सुरक्षित रास्ता है। उसे आधिकारिक ऐप-स्टोर लिस्टिंग से इंस्टॉल कीजिए, आइकन के बजाय लिस्टिंग पर प्रकाशक का नाम जाँचिए, और साइन इन के लिए संदेशों में आने वाले लिंक के बजाय उसी इंस्टॉल किए ऐप्लिकेशन का इस्तेमाल कीजिए।

दो चीज़ों से मना कीजिए। चैट से भेजी गई या वेब पेज से डाउनलोड की गई इंस्टॉलर फ़ाइल के पीछे बाँटने की कोई गारंटी होती ही नहीं, और ऐसा "बदला हुआ" या "बोनस" वर्ज़न जो असली प्लेटफ़ॉर्म में मौजूद नहीं फ़ीचर दे रहा हो, अपना वर्णन सही ही कर रहा है। आधिकारिक लिस्टिंग और आधिकारिक प्लेटफ़ॉर्म पर टिके रहना दोनों को ढँक लेता है।

पता टाइप कीजिए या आधिकारिक ऐप लिस्टिंग इस्तेमाल कीजिए, फिर जाँचिए कि सर्टिफ़िकेट डोमेन से मेल खाता है; पेज की दिखावट इसमें कुछ नहीं जोड़ती।

अपना अकाउंट और फंड सुरक्षित रखना

सतर्कता से ज़्यादा अकाउंट की साफ़-सफ़ाई मायने रखती है, क्योंकि आदतें उन दिनों भी काम करती रहती हैं जब ध्यान नहीं करता। चार उपाय लगभग वह सब ढँक लेते हैं जो कोई क्लोन काम आज़मा सकता है।

मज़बूत ऑथेंटिकेशन चालू करना

प्लेटफ़ॉर्म साइन-इन की जो सबसे मज़बूत सुरक्षा देता है उसे चालू कीजिए और दूसरे फ़ैक्टर को पासवर्ड जितना ही निजी मानिए। इससे पकड़े गए पासवर्ड की कीमत घट जाती है, क्योंकि अकेली लॉगिन जानकारी काफ़ी रहना बंद हो जाती है।

इसके साथ जो आदत होनी ही चाहिए वह है वन-टाइम कोड किसी को भी, किसी भी हाल में न देना, उसे भी नहीं जो ख़ुद को सपोर्ट बताकर आए। कोड फ़ोन पर और चैट में भी माँगे जाते हैं, आपकी पहचान पक्की करने के नाम पर, और यह पेशकश ठीक उलटी है: कोड प्लेटफ़ॉर्म के सामने पहचान साबित करता है, इसलिए उसे दे देना आपकी पहचान माँगने वाले को सौंप देता है। संदेश से आने वाले कोड के मुकाबले ऑथेंटिकेटर ऐप्लिकेशन आम तौर पर बेहतर है, क्योंकि उससे ख़ुद संदेश के बीच में पकड़े जाने का ख़तरा हट जाता है।

पासवर्ड कभी दोबारा इस्तेमाल न करना

ट्रेडिंग अकाउंट के लिए और उसके पीछे के ईमेल पते के लिए अलग-अलग पासवर्ड वह उपाय है जो नुकसान का दायरा सीमित करता है। दोबारा इस्तेमाल ही एक उजागर होने को कई सेवाओं तक पहुँच में बदलता है, और इसी वजह से किसी असंबंधित साइट पर हुआ रिसाव महीनों बाद ट्रेडिंग अकाउंट तक पहुँच सकता है।

पासवर्ड मैनेजर इसे इरादे से निकालकर व्यवहार में ले आता है, और उसका एक दूसरा फ़ायदा भी जानने लायक है: वह लॉगिन जानकारी डोमेन से मिलान करके भरता है, इसलिए मिलते-जुलते पते पर भरने से मना कर देगा। वह चुप्पी अपने आप में एक चेतावनी है, और वह आपको बिना कुछ जाँचे मुफ़्त में मिल जाती है।

असामान्य रीडायरेक्ट पर नज़र रखना

आख़िरी आदत हलचल को नोट करना है। ऐसा पेज जो ठहरने से पहले कई पतों से होकर उछलता है, ऐसा साइन-इन जो शुरुआत की जगह से अलग कहीं जा पहुँचता है, ऐसा लिंक जो अनपेक्षित डोमेन खोलता है, या ऐसा फ़ॉर्म जो नीचे के पेज से अलग किसी पॉप-अप विंडो में आता है — इन सब पर रुकना बनता है।

किसी भी रीडायरेक्ट के बाद पट्टी जाँचिए, पहले नहीं, क्योंकि मंज़िल ही मायने रखती है और शॉर्टनर उसे पहुँचने तक छिपाए रखते हैं। अगर कुछ भी अनजाना लगे, टैब बंद कीजिए, पता टाइप करके प्लेटफ़ॉर्म तक पहुँचिए, और देखिए कि पेज ने जिस हालत का वर्णन किया वह आपके अकाउंट के अंदर है या नहीं। आम तौर पर नहीं होगी।

• जो सबसे मज़बूत ऑथेंटिकेशन मिले उसे चालू कीजिए और वन-टाइम कोड कभी साझा मत कीजिए।
• ट्रेडिंग अकाउंट और उसके ईमेल पते के लिए अलग पासवर्ड इस्तेमाल कीजिए।
• पता टाइप करके या आधिकारिक ऐप्लिकेशन से प्लेटफ़ॉर्म तक पहुँचिए।
• किसी भी रीडायरेक्ट के बाद पते की पट्टी दोबारा जाँचिए, पहले नहीं।
• नकल की शिकायत ब्रोकर के आधिकारिक सपोर्ट चैनल पर कीजिए और ब्योरे रखिए।

अगर शुरुआती खिंचाव बोनस था, तो ईमानदार विकल्प को इसमें से किसी जोखिम की ज़रूरत नहीं: मुफ़्त डेमो अकाउंट में $10,000 के वर्चुअल फंड होते हैं, वह रजिस्ट्रेशन के तुरंत बाद बिना डिपॉज़िट और उस कदम पर बिना वेरिफ़िकेशन मिल जाता है, और उसे मुफ़्त में दोबारा भरा जा सकता है। यह पेज 3 सितंबर 2026 को जाँचे गए आधिकारिक CySEC, ESMA और IQ Option स्रोतों को दिखाता है, और जो बात आपके लिए मायने रखती है उसे डिपॉज़िट करने से पहले ब्रोकर की अपनी साइट पर पक्का कर लेना चाहिए। ऑफ़र परखने की बड़ी चेकलिस्ट नकली बोनस ऑफ़र को कैसे पहचानें में है।

मज़बूत ऑथेंटिकेशन, अलग-अलग पासवर्ड, टाइप किए पते से पहुँचना और रीडायरेक्ट के बाद पट्टी जाँचना — ये उस ज़्यादातर चीज़ को हटा देते हैं जिस पर कोई क्लोन काम टिका होता है।