सोशल इंजीनियरिंग के उदाहरण: 15 हमले और उन्हें रोकने के तरीके

अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) के शब्दों में, सोशल इंजीनियरिंग एक ऐसा हमला है जहाँ "एक हमलावर किसी संगठन या उसके कंप्यूटर सिस्टम के बारे में जानकारी प्राप्त करने या उसमें सेंध लगाने के लिए मानवीय संपर्क (सामाजिक कौशल) का उपयोग करता है।"यह इसलिए काम करता है क्योंकि यह सॉफ्टवेयर को नहीं बल्कि लोगों को निशाना बनाता है। वेरिजॉन की 2026 डेटा ब्रीच इन्वेस्टिगेशन रिपोर्ट में पाया गया कि 62% उल्लंघनों में मानवीय तत्व मौजूद था।जो पिछले वर्ष के 60% से अधिक है।

यहां सोशल इंजीनियरिंग के 15 उदाहरण 3 सेटों में दिए गए हैं, प्रत्येक सेट में 5 उदाहरण हैं। प्रत्येक उदाहरण के साथ एक चेतावनी संकेत और उसे रोकने के लिए आवश्यक कार्रवाई दी गई है। सेट 1 में फ़िशिंग के प्रकार, सेट 2 में प्रीटेक्स्टिंग और प्रतिरूपण, और सेट 3 में शारीरिक हमले और प्रलोभन शामिल हैं। प्रत्येक सेट एक विस्तृत विवरण के साथ समाप्त होता है। हमारी चुनरीसबसे पहले हम जिस उदाहरण को प्रशिक्षित करेंगे, उसके लिए एक पंक्ति में कारण बताएँगे।

नीचे दिए गए सभी उदाहरण कंपनियां, व्यक्ति और संदेश काल्पनिक हैं।

सेट 1: फ़िशिंग परिवार

1. ईमेल फ़िशिंग। एक संदेश जो किसी बैंक, आपूर्तिकर्ता या आपकी अपनी आईटी टीम से आया हुआ प्रतीत होता है, आपसे एक लिंक पर क्लिक करके साइन इन करने के लिए कहता है। सीआईएसए का कहना है कि फ़िशिंग हमले ईमेल या दुर्भावनापूर्ण वेबसाइटों का उपयोग करते हैं। किसी विश्वसनीय संगठन के रूप में प्रस्तुत होकर व्यक्तिगत जानकारी प्राप्त करना. भयसूचक चिह्न: एक प्रेषक का पता जो किसी वास्तविक व्यवसाय की नकल करता हो, एक सामान्य अभिवादन जैसे "प्रिय मूल्यवान ग्राहक", या एक लिंक जिसका पता उस पर माउस ले जाने पर दिखने वाले टेक्स्ट से मेल नहीं खाता हो। रुकें: क्लिक न करें। कृपया स्वयं पता टाइप करके वेबसाइट पर जाएं, या संदेश की रिपोर्ट करें।
2. स्पीयर फ़िशिंग। वही चाल, लेकिन सिर्फ एक व्यक्ति को निशाना बनाकर। भेजने वाला आपका नाम, आपके मैनेजर का नाम और उस प्रोजेक्ट का नाम इस्तेमाल करता है जिस पर आप वास्तव में काम करते हैं, जिसे सार्वजनिक जानकारी से इकट्ठा किया जा सकता है। भयसूचक चिह्न: एक ऐसा अनुरोध जो विचित्र रूप से विशिष्ट होने के साथ-साथ उसके स्वभाव के विपरीत भी है, जैसे कि "मुझे एटलस अनुबंध आज ही भेजें"। रुकें: प्रेषक से किसी दूसरे माध्यम से पूछें, जैसे कि आपके पास पहले से मौजूद किसी नंबर पर कॉल करके।
3. मुस्कुराना। टेक्स्ट मैसेज के ज़रिए फ़िशिंग। CISA इसका वर्णन करता है। smishing यह एक प्रकार की सोशल इंजीनियरिंग है जो एसएमएस संदेशों का दुरुपयोग करती है, जिनमें लिंक, नंबर या पते होते हैं जो टैप करने पर ब्राउज़र खोलते हैं या कॉल डायल करते हैं। भयसूचक चिह्न: एक छोटा सा लिंक के साथ "पार्सल रोक दिया गया है" या "खाता लॉक कर दिया गया है" संदेश। रुकें: इसे डिलीट करें और असली ऐप या साइट खुद खोलें।
4. विशिंग. आवाज के जरिए फ़िशिंग। सीआईएसए का कहना है। विशिंग यह सिस्टम वॉइस कॉल का उपयोग करता है और कॉलर आईडी को स्पूफ किया जा सकता है, इसलिए किसी परिचित नाम वाली कॉल से कुछ भी साबित नहीं होता। भयसूचक चिह्न: एक ऐसा कॉलर जो दबाव बनाता है और कोड या पासवर्ड मांगता है। रुकें: फोन काट दें और स्टेटमेंट या कंपनी की वेबसाइट पर छपे नंबर पर दोबारा कॉल करें।
5. क्यूआर कोड फिशिंग। क्यूआर कोड उस पते को छुपाता है जिस पर वह ले जाता है। एफबीआई ने चेतावनी दी है कि बिना मांगे भेजे गए पैकेज जिनमें क्यूआर कोड मौजूद है जो प्राप्तकर्ता से व्यक्तिगत और वित्तीय जानकारी मांगता है या डेटा चुराने वाला सॉफ़्टवेयर स्थापित करता है। भयसूचक चिह्न: एक ऐसा कोड जिसकी आपको उम्मीद नहीं थी, और जिसमें प्रेषक की कोई जानकारी नहीं है। रुकें: अज्ञात स्रोतों से प्राप्त क्यूआर कोड को स्कैन न करें।

हमारी पसंद: उदाहरण 4, विशिंग। वेरिज़ोन ने पाया कि फ़िशिंग सिमुलेशन में, औसत क्लिक दर मोबाइल-केंद्रित माध्यम जैसे कि वॉइस और टेक्स्ट मैसेजिंग में 40% की वृद्धि हुई। ईमेल की तुलना में ईमेल के माध्यम से बातचीत करना अधिक प्रभावी है। लोग फोन कॉल की तुलना में ईमेल पर अविश्वास करना अधिक तेजी से सीख गए हैं।

सेट 2: बहाना बनाना और प्रतिरूपण करना

वेरिज़ोन प्रीटेक्स्टिंग को एक हमलावर रणनीति के रूप में परिभाषित करता है जिसमें मनगढ़ंत परिदृश्यों के माध्यम से एक भरोसेमंद रिश्ता बनता है। उपयोगकर्ता को किसी ऐसे कार्य के लिए बरगलाना जिससे संगठन को नुकसान पहुंचे, अक्सर आवाज के माध्यम से, लेकिन ईमेल या टेक्स्ट के माध्यम से भी। 2026 की रिपोर्ट में सभी उल्लंघनों में इसका प्रतिशत 6 था, जबकि फ़िशिंग का प्रतिशत 16 था।

6. सीईओ धोखाधड़ी और व्यावसायिक ईमेल का दुरुपयोग। एफबीआई के इंटरनेट अपराध शिकायत केंद्र (आईसी3) द्वारा परिभाषित किया गया है व्यवसाय ईमेल समझौता (बीईसी) यह एक ऐसा घोटाला है जो व्यवसायों को निशाना बनाता है और अनधिकृत धन हस्तांतरण के लिए ईमेल खातों और अन्य संचार माध्यमों को हैक करके काम करता है। 2025 में IC3 ने 24,768 बीईसी शिकायतें दर्ज कीं और लगभग 3.05 बिलियन डॉलर के नुकसान की सूचना दी। भयसूचक चिह्न: एक वरिष्ठ नेता की ओर से उपहार कार्ड खरीदने या भुगतान करने का एक तत्काल अनुरोध, जिसमें "किसी को मत बताना" की शर्त शामिल है। रुकें: भुगतान संबंधी किसी भी अनुरोध की पुष्टि फोन या व्यक्तिगत रूप से करें।
7. नकली आईटी सहायता। किसी ने हेल्प डेस्क से होने का दावा किया और समस्या को ठीक करने के लिए आपके पासवर्ड या रिमोट एक्सेस की मांग की। IC3 को यह सूचना प्राप्त हुई। 2025 में तकनीकी सहायता संबंधी 47,794 शिकायतें दर्ज की गईं।रिपोर्ट के अनुसार, कंपनी को 2.1 अरब डॉलर से अधिक का नुकसान हुआ है। भयसूचक चिह्न: आईटी विभाग पहले आपसे संपर्क करेगा और पासवर्ड या वन-टाइम कोड मांगेगा। रुकें: असली आईटी टीमों को आपके पासवर्ड की ज़रूरत नहीं है। फ़ोन काट दें और सामान्य तरीके से शिकायत दर्ज करें।
8. विक्रेता के बिल में बदलाव। एक ईमेल, जो जाहिरा तौर पर एक नियमित आपूर्तिकर्ता से आया है, कहता है कि उसके बैंक विवरण बदल गए हैं। IC3 की BEC परिभाषा उन घोटालों को कवर करती है जो लक्षित करते हैं। आपूर्तिकर्ताओं के साथ काम करने वाले और नियमित रूप से वायर ट्रांसफर करने वाले व्यवसाय. भयसूचक चिह्न: भुगतान की समय सीमा सहित नए बैंक विवरण। रुकें: कोई भी बदलाव करने से पहले, आपूर्तिकर्ता को उनके रिकॉर्ड में मौजूद नंबर पर कॉल करें।
9. फर्जी भर्तीकर्ता। एक "भर्तीकर्ता" किसी कर्मचारी से पदोन्नति जैसी दिखने वाली भूमिका का प्रस्ताव देकर संपर्क करता है, फिर व्यक्तिगत दस्तावेज़ या डाउनलोड की आवश्यकता वाले परीक्षण कार्य के लिए कहता है। IC3 को प्राप्त हुआ। 2025 में रोजगार घोटाले की 24,688 शिकायतें दर्ज की गईं।. भयसूचक चिह्न: एक ऐसा प्रस्ताव जिसके लिए आपने आवेदन नहीं किया था, और जिसमें प्रक्रिया बहुत तेजी से आगे बढ़ रही है। रुकें: भर्तीकर्ता की जानकारी कंपनी के अपने करियर पेज के माध्यम से जांचें, और कभी भी साक्षात्कार के लिए कोई सॉफ्टवेयर इंस्टॉल न करें।
10. डीपफेक आवाज। आपके निर्देशक जैसी दिखने वाली एक क्लोन की गई आवाज तत्काल भुगतान की मांग करती है। IC3 का कहना है। वायर पेमेंट का अनुरोध करने के लिए वॉइस क्लोनिंग का उपयोग किया जा सकता है। और व्यवसायों ने बताया कि 2025 में एआई से जुड़े बीईसी घोटालों में 30 मिलियन डॉलर से अधिक का नुकसान हुआ। भयसूचक चिह्न: एक वॉइस मैसेज या कॉल जो आपको जांच करने से पहले ही कार्रवाई करने के लिए मजबूर कर दे। रुकें: भुगतान के लिए एक कोड वर्ड या कॉल-बैक नियम पर सहमति बनाएं, इसलिए केवल प्रभावशाली आवाज ही पर्याप्त नहीं है।

हमारी पसंद: उदाहरण 6, सीईओ धोखाधड़ी और बीईसी। यह यहाँ का सबसे महंगा उदाहरण है, जो IC3 के 2025 के आंकड़ों में तकनीकी सहायता घोटालों से भी आगे है, और इसे रोकने की कार्रवाई सस्ती है: किसी भी प्रकार का पैसा स्थानांतरित होने से पहले एक ज्ञात नंबर पर एक फोन कॉल करना होता है।

सेट 3: शारीरिक हमले और प्रलोभन

इन हमलों के लिए कीबोर्ड की आवश्यकता नहीं होती। ये इसलिए महत्वपूर्ण हैं क्योंकि इमारत में मौजूद कोई अजनबी भी फ़ायरवॉल द्वारा सुरक्षित की गई चीज़ों तक पहुँच सकता है।

11. टेलगेटिंग। कोई व्यक्ति सुरक्षित दरवाजे से आपका पीछा करता है "क्योंकि उसके हाथ भरे हुए हैं"। भयसूचक चिह्न: एक ऐसा व्यक्ति जिसके पास बैज नहीं है, लेकिन वह शांत और मिलनसार है। रुकें: उनसे विनम्रतापूर्वक स्वयं बैज लगाने के लिए कहें, या उन्हें रिसेप्शन तक ले जाएं।
12. यूएसबी ड्राइव का उपयोग करके चारा डालना। "वेतन समीक्षा 2027" लेबल वाली एक यूएसबी स्टिक कार पार्क या लॉबी में छोड़ दी जाती है। भयसूचक चिह्न: कोई भी रिमूवेबल ड्राइव जिसे आपने नहीं खरीदा हो। रुकें: किसी भी मिले हुए उपकरण को कभी भी सीधे प्लग इन न करें। इसे आईटी विभाग को सौंप दें, जो इसकी सुरक्षित रूप से जांच कर सकते हैं।
13. प्रत्यक्ष प्रेक्षण तकनीक। कोई व्यक्ति आपकी स्क्रीन पढ़ रहा है या ट्रेन में या किसी हॉट डेस्क पर पिन टाइप करते हुए आपको देख रहा है। भयसूचक चिह्न: कोई व्यक्ति आपके बहुत करीब खड़ा हो या आपके स्क्रीन की ओर फोन को तिरछा करके रखे। रुकें: प्राइवेसी फिल्टर का इस्तेमाल करें, जब आप स्क्रीन से दूर जाएं तो उसे लॉक कर दें और दीवार की ओर पीठ करके बैठें।
14. कूड़े के ढेर में से सामान ढूंढना। साधारण कूड़ेदान में फेंके गए मुद्रित ईमेल, संगठन चार्ट और मीटिंग नोट्स हमलावर को अगली कॉल के लिए नाम, फोन नंबर और प्रोजेक्ट के पदनाम प्रदान करते हैं। भयसूचक चिह्न: खुले कूड़ेदान में नाम या संख्या लिखे हुए कागज। रुकें: कागज़ को फाड़ने वाली मशीन या बंद कूड़ेदान का उपयोग करें, और अपनी मेज को साफ-सुथरा रखने की आदत बनाए रखें।
15. नकली डिलीवरी। ब्रांडेड जैकेट पहने एक कूरियर रिसेप्शन से आगे जाने या पार्सल को सर्वर रूम में छोड़ने के लिए कहता है। भयसूचक चिह्न: ऐसी डिलीवरी जिसका किसी ने ऑर्डर नहीं दिया हो, या ऐसी डिलीवरी जो रिसेप्शन तक नहीं पहुंच सकती। रुकें: इसे रिसेप्शन से ले लें, और लेबल पर लिखे व्यक्ति के पास अप्रत्याशित पार्सल की जांच करवा लें।

हमारी पसंद: उदाहरण 11, टेलगेटिंग। इसमें किसी कौशल की आवश्यकता नहीं होती और न ही कोई खर्च आता है, और अच्छे शिष्टाचार ही इसे कारगर बनाते हैं। कर्मचारियों को एक विनम्र स्क्रिप्ट दें, ताकि किसी को चुनौती देना सामान्य लगे, न कि असभ्य।

इन सभी 15 को कैसे रोकें

इन 15 उदाहरणों में एक बात समान है: ये आपको तेजी से और अकेले काम करने के लिए प्रेरित करते हैं। तीन आदतें इस प्रवृत्ति को तोड़ देती हैं।

1. दूसरे माध्यम से सत्यापित करें। यदि किसी अनुरोध में धन, पासवर्ड, कोड या पहुंच शामिल है, तो अपने पास मौजूद संपर्क विवरणों का उपयोग करके किसी अन्य माध्यम से इसकी पुष्टि करें। CISA सलाह देता है कि यदि आप किसी अनुरोध की वास्तविकता के बारे में अनिश्चित हैं, कंपनी से सीधे संपर्क करके इसकी पुष्टि करें।और संदेश में दी गई संपर्क जानकारी के साथ नहीं।
2. इसकी रिपोर्ट करें। संदिग्ध फ़िशिंग के लिए CISA की सलाह यह है कि... संदेश की रिपोर्ट करें और फिर उसे डिलीट कर दें। रिपोर्टिंग को एक क्लिक में होने वाली, बिना किसी को दोष दिए, एक आदत बना दें, ताकि जो भी व्यक्ति कुछ गड़बड़ देखे, वह दूसरों को भी आगाह कर दे।
3. धीरे चलिए. सीआईएसए सूचियाँ अत्यावश्यक या भावनात्मक रूप से अपील करने वाली भाषा फ़िशिंग के सामान्य संकेतों में से एक है। CISA यह भी नोट करता है कि सही व्याकरण अब सुरक्षा का प्रमाण नहीं है, क्योंकि AI की बदौलत कुछ ईमेल में वर्तनी बिल्कुल सही होती है। जब कोई संदेश तेज़ी से भेजने की मांग करे, तो यह रुकने का संकेत है।

प्रशिक्षण से आदतें पक्की होती हैं। उल्लंघन के 62% मामलों में मानवीय तत्व मौजूद होता है। वेरिज़ोन की 2026 की रिपोर्टइन 15 उदाहरणों को पहचानने का अभ्यास करने वाली टीम आपकी रक्षा पंक्ति का एक महत्वपूर्ण हिस्सा है। व्यापक कार्यक्रम के लिए, हमारी मार्गदर्शिका देखें। साइबर सुरक्षा जागरूकता प्रशिक्षण.

सोशल इंजीनियरिंग सेशन आयोजित करने के तरीके AhaSlides

इन 15 उदाहरणों को लाइव चलाएं, किसी कमरे में या वीडियो कॉल पर, और लोगों के जवाब देने के साथ ही उत्तर स्क्रीन पर दिखाई देंगे।

1. अपना उत्तर चुनें: "असली है या नकली?" प्रत्येक उदाहरण के लिए एक मनगढ़ंत संदेश दिखाएं और पूछें कि क्या यह वास्तविक है। संदेहास्पद संकेत को उजागर करें और उस पर चर्चा करें।
2. वर्ड क्लाउड: "वह घोटाला जिसका आप सबसे ज्यादा शिकार होते हैं"। सबसे बड़ा शब्द यह दर्शाता है कि सबसे पहले किसका अभ्यास करना है।
3. रेटिंग स्केल: "नकली चीज़ को पहचानने में आप कितने आश्वस्त हैं?" सेशन से पहले और बाद में 1 से 5 के बीच रेटिंग देने के लिए कहें और औसत की तुलना करें।
4. खुला प्रश्न: "मुझे एक संदिग्ध संदेश प्राप्त हुआ"। नामों को हटाकर वास्तविक उदाहरण एकत्र करें और सबसे अच्छे उदाहरण को अगले दौर के परिदृश्य के रूप में उपयोग करें।

फ़िशिंग और सोशल इंजीनियरिंग कोर्स का टेम्पलेट आपको अनुकूलन के लिए तैयार स्लाइड प्रदान करता है, और इनसाइडर थ्रेट अवेयरनेस टेम्पलेट पूरी टीम के लिए एक अच्छा अनुवर्ती पाठ्यक्रम है।

ज़्यादातर पूछे जाने वाले सवाल

सोशल इंजीनियरिंग के उदाहरण क्या हैं?

फ़िशिंग, प्रीटेक्स्टिंग, बेटिंग और टेलगेटिंग मुख्य प्रकार हैं। इस पोस्ट में ईमेल फ़िशिंग और विशिंग से लेकर फ़ेक आईटी सपोर्ट, यूएसबी बेटिंग और फ़ेक डिलीवरी तक, 15 प्रकार सूचीबद्ध हैं।

सोशल इंजीनियरिंग का सबसे आम प्रकार क्या है?

फ़िशिंग। वेरिज़ोन की 2026 की रिपोर्ट के अनुसार, सभी सुरक्षा उल्लंघनों में से 16% फ़िशिंग के कारण होते हैं, जबकि प्रीटेक्स्टिंग के कारण 6% होते हैं, और IC3 को 2025 में फ़िशिंग और स्पूफिंग से संबंधित 191,561 शिकायतें प्राप्त हुईं।

आप सोशल इंजीनियरिंग को कैसे रोक सकते हैं?

दूसरे माध्यम से अनुरोधों की पुष्टि करें और संदिग्ध अनुरोधों की रिपोर्ट करें। नियमित रूप से संक्षिप्त प्रशिक्षण कार्यक्रम आयोजित करें, क्योंकि हमले किसी भी एक बार के प्रशिक्षण की तुलना में तेज़ी से बदलते रहते हैं।

प्रीटेक्स्टिंग क्या है?

जानकारी या पहुंच प्राप्त करने के लिए गढ़ी गई एक कहानी। हमलावर किसी विश्वसनीय परिदृश्य, जैसे कि हेल्प डेस्क कॉल, के माध्यम से विश्वास बनाता है, फिर पासवर्ड, भुगतान या दरवाजा खुला रखने का अनुरोध करता है।

कहा से शुरुवात करे

एक उदाहरण चुनें और अगली टीम मीटिंग में उस पर चर्चा करें। अगर आपके पास सिर्फ एक उदाहरण के लिए समय है, तो विशिंग का उदाहरण लें और फिर सभी से पूछें कि अगली बार अचानक कॉल आने पर वे क्या करेंगे।