একটি OTP প্রতারণা আসলে কীভাবে তৈরি হয়
OTP প্রতারণা প্রযুক্তিগত আক্রমণ নয়, এটি তিন ধাপের সামাজিক কৌশল, এবং প্রতিটি ধাপের আলাদা কাজ আছে। প্রথম ধাপ হল অজুহাত: ফোন বা মেসেজের এমন একটি কারণ যা ভয়ংকর নয়, বরং নিতান্ত দাপ্তরিক ও একঘেয়ে শোনায়। আপনার কার্ড নবীকরণের সময় হয়েছে। আপনার অ্যাকাউন্টে টাকা ফেরত আসবে। আজ রাতে আপনার রিওয়ার্ড পয়েন্ট শেষ হয়ে যাচ্ছে। এই একঘেয়েমি ইচ্ছাকৃত, কারণ নাটকীয় গল্প সন্দেহ জাগায়, নীরস গল্প জাগায় না।
দ্বিতীয় ধাপ হল কৃত্রিম বিশ্বাসযোগ্যতা তৈরি করা। ফোনকারী শুরুই করেন এমন কিছু দিয়ে যা তিনি আগে থেকেই জানেন — আপনার পুরো নাম, কার্ডের শেষ চারটি সংখ্যা, আপনার শাখা, কখনো সম্প্রতি কোথায় টাকা দিয়েছেন তার নাম। এর কোনোটিই গোপন নয়। ফাঁস হয়ে যাওয়া দোকানের ডেটাবেস, ডেলিভারির স্টিকার, ঋণের আবেদনপত্র আর সোশ্যাল মিডিয়া থেকে এসব বেরিয়ে যায়। কিন্তু অচেনা কারও মুখে এগুলি শুনলে একটি শক্তিশালী অথচ ভুল সিদ্ধান্ত তৈরি হয়: এ কথা তো কেবল আমার ব্যাংকই জানতে পারে। বাস্তবে নাম আর কার্ডের শেষ চার সংখ্যা জানা কিছুই প্রমাণ করে না, কারণ ঠিক এই তথ্যগুলিই সবচেয়ে বেশি ফাঁস হয়।
তৃতীয় ধাপ হল সময়ের চাপ, এবং আসল ক্ষতিটা এখানেই হয়। আপনাকে বলা হয় সময় ফুরিয়ে আসছে — দশ মিনিটে কার্ড বন্ধ হয়ে যাবে, মধ্যরাতে টাকা ফেরতের সুযোগ শেষ, এই ফোনেই অফার শেষ। সময় কমে এলে ভাবনার জায়গা কমে যায়। গল্পটা যুক্তিসঙ্গত কি না, সেই প্রশ্ন আপনি আর করেন না, শুধু কাজটা শেষ করতে চান। ঠিক সেই মুহূর্তেই ছয়টি সংখ্যা চাওয়া হয় — যা প্রতারকের একমাত্র প্রয়োজন ছিল। তাঁর কাছে আপনার পাসওয়ার্ড নেই, দরকারও নেই। আপনার OTP সেই লেনদেনটিকেই অনুমোদন করে যা তিনি আগেই সাজিয়ে রেখে অপেক্ষা করছেন।
যে নিয়মটি সব ধরনের প্রতারণাতেই খাটে: OTP ব্যাংকের কাছে আপনার পরিচয় প্রমাণ করার জিনিস নয়। এটি একটি লেনদেনের আপনার অনুমোদন। গত ষাট সেকেন্ডে আপনি নিজে কোনো লেনদেন শুরু না করে থাকলে, অনুমোদন করার মতো বৈধ কিছুই নেই। SMS-টি নিজে পড়ুন — তাতে টাকার অঙ্ক ও প্রতিষ্ঠানের নাম লেখা থাকে। ওই অঙ্কটি আপনি না চেয়ে থাকলে ফোনটি প্রতারণা, ফোনকারী নিজেকে যেই বলুন না কেন।
প্রথম দরজা SMS। মেসেজ আসে যে আপনার KYC-র মেয়াদ শেষ, আপনার অ্যাকাউন্ট বন্ধ হয়ে যাচ্ছে, কিংবা আজ রাতেই বিদ্যুৎ সংযোগ কাটা যাবে — সঙ্গে একটি ছোট করা লিংক। লিংকটি খুললে হুবহু আপনার ব্যাংকের মতো দেখতে একটি পাতা আসে এবং লগ-ইন করতে বলে। আসল প্রমাণ সবসময় ঠিকানার ঘরে, নকশায় নয়। প্রথম স্ল্যাশের ঠিক আগের ডোমেনটি দেখুন: আসল ব্যাংকের ডোমেন ছোট ও চেনা, আর ফিশিং ডোমেনে ব্যাংকের নামটি সাব-ডোমেন বা হাইফেন দেওয়া লম্বা শব্দের ভিতরে লুকোনো থাকে। ব্যাংক কখনো SMS-এ পাঠানো লিংক দিয়ে KYC করায় না।
দ্বিতীয় দরজা ফোন কল, এবং এটিই সবচেয়ে কার্যকর, কারণ জীবন্ত কণ্ঠস্বর আপনার দ্বিধা অনুযায়ী তৎক্ষণাৎ কথা বদলে নিতে পারে। কলার আইডি-র কোনো মূল্য নেই — নম্বর নকল করা সহজ ও বিনামূল্যে করা যায়। সবচেয়ে বিপজ্জনক ধাপ হল যখন ফোনকারী 'সাহায্য' করার নাম করে কোনো অ্যাপ ইনস্টল করতে বলেন। স্ক্রিন-শেয়ারিং বা রিমোট-সাপোর্ট অ্যাপ আপনার চলতি স্ক্রিন, আর অনেক ফোনে আপনার আসা SMS-ও তুলে দেয় — অর্থাৎ সেই মুহূর্ত থেকে প্রতিটি OTP। ব্যাংকের কোনো কর্মী ফোনে কথা বলতে বলতে কখনোই কিছু ইনস্টল করতে বলবেন না।
তৃতীয় দরজা সার্চ। প্রতারকরা বিজ্ঞাপন কিনে ও ভুয়ো ব্যবসায়িক তালিকা বানিয়ে নকল কাস্টমার কেয়ার নম্বরকে আসলটির উপরে তুলে দেন। আপনি নিজে ফোন করেন, ফলে স্বাভাবিক সন্দেহটুকুও চলে যায়, কারণ যোগাযোগটা আপনিই শুরু করেছেন। চতুর্থ দরজা অ্যাপ স্টোর: ব্যাংকের নাম ও আইকনের এত কাছাকাছি নকল অ্যাপ যে এক ঝলকে ধরা যায় না। হেল্পলাইন নম্বর নিন ডেবিট কার্ডের পিছন থেকে, পাসবই থেকে, বা ব্যাংকের নিজস্ব অ্যাপ থেকে — কখনোই সার্চ ফলাফল থেকে নয়। আর ব্যাংকিং অ্যাপ ইনস্টল করুন কেবল ব্যাংকের সরকারি ওয়েবসাইটের লিংক ধরে।
একটি অভ্যাসেই চারটি দরজা বন্ধ হয়: যে মাধ্যম দিয়ে আপনার সঙ্গে যোগাযোগ করা হয়েছে, সেই মাধ্যমে কথা এগোবেন না। কোনো মেসেজ, ফোন বা সার্চ ফলাফল দুশ্চিন্তা তৈরি করলে থামুন, এবং আগে থেকে আপনার কাছে থাকা নম্বর বা অ্যাপ দিয়ে নিজে যোগাযোগ করুন। সমস্যা সত্যি হলে ফিরে ফোন করলেও তা থাকবে। প্রতারণা এই বদল সহ্য করতে পারে না।
UPI কালেক্ট রিকোয়েস্টের ফাঁদ
UPI-র একটি নিয়ম পুরোপুরি বুঝে রাখা দরকার, কারণ প্রায় প্রতিটি UPI প্রতারণা মানুষের এই নিয়ম না-জানার উপরেই দাঁড়িয়ে আছে। আপনার UPI পিন অ্যাকাউন্ট থেকে টাকা বেরোনোর অনুমতি দেয়। টাকা ঢোকার জন্য তা কখনোই লাগে না। টাকা নেওয়া নিষ্ক্রিয় ব্যাপার: কেউ আপনাকে টাকা পাঠালে তা এমনিতেই ঢুকে যায়, আপনাকে কিছুই করতে হয় না। তাই 'টাকা পেতে' পিন দিতে বলা যেকোনো নির্দেশ আসলে ব্যতিক্রমহীনভাবে টাকা দেওয়ার নির্দেশ।
যে ব্যবস্থাটির অপব্যবহার হত তার নাম কালেক্ট রিকোয়েস্ট — এমন এক সুবিধা, যা দিয়ে কেউ আপনাকে টাকা দিতে অনুরোধ করতে পারতেন। আপনার পর্দায় তা টাকার অঙ্ক ও একটি নোট সহ নোটিফিকেশন হিসেবে আসে, আর সেই নোটের লেখাটি প্রতারক নিজেই ঠিক করে দেয়। ফলে সেখানে লেখা থাকতে পারে 'বাতিল হওয়া অর্ডারের টাকা ফেরত' বা 'পুরস্কারের টাকা', অথচ আসলে ওটি টাকা কেটে নেওয়ার অনুরোধ। অনুমোদন করে পিন দিলে টাকা বেরিয়ে যায়। NPCI ১ অক্টোবর ২০২৫ থেকে ব্যক্তি-থেকে-ব্যক্তি কালেক্ট রিকোয়েস্ট বন্ধ করে দিয়েছে, ফলে এই ফাঁদের সবচেয়ে প্রচলিত রূপটি উঠে গেছে — কিন্তু মার্চেন্টের পেমেন্ট অনুরোধ, পেমেন্ট লিঙ্ক ও ভুয়ো মার্চেন্ট হ্যান্ডেল এখনো আছে, আর প্রতারকরা সেদিকেই সরে গেছে। পরিস্থিতিগুলি একই আছে: পুরনো জিনিস বেচাকেনা, যেখানে 'ক্রেতা' বলেন জিনিসের দাম পেতে কিছু একটা অনুমোদন করুন, আর ভুয়ো অর্ডার বাতিলের পর টাকা ফেরতের নাটক।
QR কোড স্ক্যান করাও একইভাবে কাজ করে। QR কোডে টাকা পাঠানোর গন্তব্য লেখা থাকে। এটি আপনার দিকে টাকা টেনে আনতে পারে না। কেউ যদি টাকা পাওয়ার জন্য কোড স্ক্যান করতে বলেন, কিংবা স্ক্যানের পর পিন দিতে বলেন, তবে লেনদেনটি আপনাকে যা বলা হয়েছে তার ঠিক উল্টো দিকে চলছে। অনুমোদনের আগে নিশ্চিতকরণের পর্দাটি পড়ুন: সেখানে সবসময় স্পষ্ট লেখা থাকে আপনি টাকা দিচ্ছেন না নিচ্ছেন — এবং ওটিই শেষ সত্যি কথা যা আপনি দেখতে পাবেন।
এটি মনে রাখলে গোটা শ্রেণির প্রতারণা থেকেই আপনি নিরাপদ: টাকা নেওয়ার জন্য কখনো পিন লাগে না। UPI-তে নয়, ভারতের কোনো পেমেন্ট অ্যাপে নয়, একবারও নয়।
যাচাইয়ের এমন অভ্যাস, যা আপনি সত্যিই মেনে চলবেন
চাপের মুখে ইচ্ছাশক্তি ভেঙে যায়, অভ্যাস টিকে থাকে। যাচাইয়ের অভ্যাস মানে একটি ছোট নির্দিষ্ট ধাপক্রম, যা নতুন কাউকে টাকা পাঠানোর সময় আপনি প্রতিবার মেনে চলেন — যাতে ঠিক সেই দিনটিতে সতর্ক থাকার উপর ভরসা করতে না হয়। চারটি পরীক্ষাই যথেষ্ট। প্রথমত, IFSC যাচাই করে দেখুন সেটি প্রাপকের বলা শাখাতেই পৌঁছচ্ছে। দ্বিতীয়ত, অ্যাকাউন্ট নম্বর অক্ষরে অক্ষরে মিলিয়ে নিন প্রাপকের সরাসরি পাঠানো তথ্য থেকে, ফরোয়ার্ড করা মেসেজ থেকে নয়। তৃতীয়ত, প্রাপক যোগ করার পর আপনার ব্যাংকিং অ্যাপ যে নাম দেখাচ্ছে তা মিলিয়ে নিন। চতুর্থত, অনুমোদনের আগে টাকার অঙ্কটি জোরে পড়ুন।
তৃতীয় পরীক্ষাটিই সবচেয়ে গুরুত্বপূর্ণ, অথচ সবচেয়ে বেশি এড়িয়ে যাওয়া হয়। প্রাপক যোগ করার সময় আপনার ব্যাংক সেই অ্যাকাউন্টে নথিভুক্ত নামটি এনে দেখায়। যাঁকে টাকা পাঠাচ্ছেন বলে ভাবছেন তাঁর সঙ্গে সেই নাম না মিললে থামুন — যত ব্যাখ্যাই দেওয়া হোক। 'ওটা আমার দাদার অ্যাকাউন্ট', 'কোম্পানির অ্যাকাউন্ট হিসাবরক্ষকের নামে', 'নামটা পরে বদলে যাবে' — প্রায় প্রতিটি ছদ্মপরিচয়ের অভিযোগে ঠিক এই বাক্যগুলিই পাওয়া যায়। নাম না মেলা নিছক আনুষ্ঠানিকতা নয়। এটি ব্যবস্থার তরফে আপনাকে জানানো যে টাকা আপনার ভাবা জায়গার বাইরে অন্য কোথাও যাচ্ছে।
বড় অঙ্কের প্রথম লেনদেনে আগে অল্প টাকা পাঠিয়ে দেখুন, তারপর আগে থেকে আপনার কাছে থাকা নম্বরে ফোন করে প্রাপকের কাছ থেকে সরাসরি নিশ্চিত হন — যে কথোপকথনে টাকা চাওয়া হয়েছে সেখান থেকে পাওয়া নম্বরে নয়। রেফারেন্স নম্বর সহ নিশ্চিতকরণের স্ক্রিনশট রেখে দিন। পরে কিছু গোলমাল হলে ওই রেফারেন্সই অস্পষ্ট অভিযোগকে অনুসন্ধানযোগ্য অভিযোগে বদলে দেয়, আর টাকা আটকানো যাবে কি না তা এই অনুসন্ধানের গতির উপরেই নির্ভর করে।
এই অভ্যাস কাজ করে কেবল তখনই, যখন তাতে কোনো ছাড় থাকে না। অনুরোধ জরুরি বলে যেদিন আপনি ধাপগুলি এড়িয়ে যাবেন, সেদিন সিদ্ধান্তটা আসলে তুলে দেবেন সেই জরুরি ভাবটি যিনি তৈরি করেছেন তাঁর হাতে — আর এই জরুরি ভাব সত্যি হওয়ার চেয়ে বানানো হওয়ার সম্ভাবনাই অনেক বেশি।
যদি ঘটেই যায়: প্রথম চব্বিশ ঘণ্টা
টাকা ফেরত আসবে কি না, তা ঠিক করে গতি — কারণ প্রতারক কয়েক ঘণ্টার মধ্যেই টাকা কয়েকটি অ্যাকাউন্টে ঘুরিয়ে দেয়। সেদিনই জাতীয় সাইবার ক্রাইম হেল্পলাইন ১৯৩০-এ ফোন করুন, cybercrime.gov.in-এ অভিযোগ দাখিল করুন এবং ব্যাংককে লিখিতভাবে জানান; প্রতিটি রেফারেন্স নম্বর সংরক্ষণ করুন। কোন কাজ কোন ক্রমে করবেন, RBI-র দায় সংক্রান্ত নিয়ম আপনার টাকার জন্য কী বোঝায়, আর ব্যাংক সাহায্য না করলে কোথায় যাবেন — সব আছে আমাদের প্রথম ২৪ ঘণ্টার ধাপে ধাপে নির্দেশিকায়।
নিশ্চিত না হলেও সেদিনই অভিযোগ জানান। পরে অভিযোগ তুলে নেওয়া খুব সহজ। তিনটি অ্যাকাউন্ট ঘুরে যাওয়া টাকা ফিরিয়ে আনা প্রায়ই অসম্ভব।