آپ کا فون نمبر آپ کی ڈیجیٹل زندگی کی ماسٹر چابی ہے — یہ آپ کے بینک، آپ کی ای میل، اور آپ کے سوشل اکاؤنٹس کے لیے لاگ ان کوڈز، پاس ورڈ ری سیٹ لنکس، اور تصدیق متن وصول کرتا ہے۔ سم سویپنگ وہ حملہ ہے جو اس ماسٹر چابی کو چراتا ہے۔ مجرم آپ کی موبائل کمپنی کو قائل کرتا ہے کہ آپ کا نمبر اس سم کارڈ پر منتقل کرے جسے وہ کنٹرول کرتا ہے، اور اس لمحے سے آپ کے لیے ہر SMS کوڈ اس کے بجائے اسے جاتا ہے۔ یہ گائیڈ بالکل بتاتی ہے کہ حملہ کیسے کام کرتا ہے، کن انتباہی نشانیوں پر نظر رکھیں، اور وہ دفاعی اقدامات جو آپ کو مشکل ہدف بناتے ہیں۔ یہ خالص دفاعی گائیڈ ہے — یہاں موجود ہر چیز آپ کے اپنے اکاؤنٹس کے لیے قانونی حفاظت ہے۔

سم سویپ حملہ کیسے کام کرتا ہے

حملہ سوشل انجینئرنگ ہے، تکنیکی ہیکنگ نہیں۔ یہ عام طور پر تین مراحل میں سامنے آتا ہے:

مرحلہ 1 — معلومات جمع کرنا۔ حملہ آور آپ کی ذاتی تفصیلات ان ذرائع سے جمع کرتا ہے جنہیں آپ مکمل کنٹرول نہیں کر سکتے: ڈیٹا چوری سے آپ کا مکمل نام اور فون نمبر، سوشل میڈیا پوسٹس سے آپ کی تاریخ پیدائش اور پتہ، یا مشکوک ڈیٹا بروکرز سے خریدی گئی تفصیلات۔ ان میں سے کافی تفصیلات کے ساتھ وہ فون پر آپ جیسا قائل طور پر لگ سکتا ہے۔

مرحلہ 2 — کمپنی کو قائل کرنا۔ حملہ آور آپ کی موبائل کمپنی سے رابطہ کرتا ہے — فون سے، اسٹور میں، یا آن لائن چیٹ سے — آپ ہونے کا دعویٰ کر کے۔ وہ دعویٰ کرتا ہے کہ اس نے اپنا فون کھو دیا ہے یا اس کی سم خراب ہو گئی ہے اور نمبر نئی سم پر منتقل کرنے کی ضرورت ہے۔ اگر کمپنی کی شناخت جانچ کمزور ہو (چند ذاتی تفصیلات جو حملہ آور کے پاس پہلے سے ہیں) تو منتقلی ہو جاتی ہے۔ نایاب صورتوں میں حملہ آور کمپنی اسٹور میں اندرونی شخص کو رشوت دیتا ہے یا دھوکہ دیتا ہے۔

مرحلہ 3 — اکاؤنٹ قبضہ۔ جب آپ کا نمبر حملہ آور کی سم پر ہو تو ہر SMS تصدیق کوڈ، ہر "پاس ورڈ بھول گئے" لنک، اور ہر ٹو فیکٹر متن اسے جاتا ہے۔ وہ آپ کا ای میل پاس ورڈ ری سیٹ کرتا ہے، پھر آپ کا بینک پاس ورڈ، پھر اس ای میل سے منسلک ہر چیز۔ شکار کو اکثر احساس نہیں ہوتا کہ کچھ غلط ہے جب تک ان کا فون اچانک "No Service" نہ دکھائے — جس وقت تک نقصان جاری ہوتا ہے۔

انتباہی نشانیاں کہ آپ کا نمبر حملے میں ہو سکتا ہے

اگر آپ پہلی نشانی دیکھیں — غیر وضاحتی سروس نقصان — تو اسے ایمرجنسی سمجھیں: دوسرے فون سے یا ذاتی طور پر اپنی کمپنی سے رابطہ کریں، اور دوسرے آلے سے اپنے سب سے اہم اکاؤنٹس (پہلے ای میل) کو محفوظ کرنا شروع کریں۔

اپنی حفاظت کے لیے 10 دفاعی اقدامات

1. سم PIN یا کمپنی اکاؤنٹ PIN سیٹ کریں

زیادہ تر کمپنیاں آپ کو اپنے اکاؤنٹ پر PIN یا پاس کوڈ سیٹ کرنے دیتی ہیں جو کسی بھی سم تبدیلی، پورٹ آؤٹ، یا اکاؤنٹ تبدیلی سے پہلے دینا چاہیے۔ یہ سم سویپنگ کے خلاف واحد سب سے موثر دفاع ہے — یہ کمزور شناخت جانچ کو ایسے راز میں بدل دیتا ہے جو حملہ آور کے پاس نہیں ہے۔ اپنی کمپنی کو کال کریں یا اسٹور جائیں اور آج ہی ایک سیٹ کریں۔ ایسا PIN چنیں جو آپ کی سالگرہ یا آپ کی سوشل میڈیا سے اندازہ لگانے کے قابل کچھ نہ ہو۔

2. SMS پر مبنی ٹو فیکٹر تصدیق سے دور جائیں

SMS کوڈز بالکل وہی ہیں جنہیں روکنے کے لیے سم سویپنگ ڈیزائن کی گئی ہے۔ جہاں بھی کوئی سروس اسے پیش کرے، اپنی ٹو فیکٹر تصدیق کو تصدیقی ایپ (جو آپ کے آلے پر کوڈز بناتی ہے، کسی چیز سے منسلک نہیں جسے حملہ آور چرا سکے) یا اس سے بہتر ہارڈویئر سیکیورٹی کی یا پاس کی پر منتقل کریں۔ SMS بطور بیک اپ طریقہ ہٹا دینا چاہیے یا آخری حل تک کم کر دینا چاہیے جہاں بھی سروس اجازت دے۔

3. پہلے اپنا ای میل اکاؤنٹ بند کریں

آپ کی ای میل تقریباً ہر چیز کے لیے ری سیٹ نقطہ ہے۔ اسے سب سے مضبوط حفاظت دیں جو آپ کے پاس ہے: پاس ورڈ مینیجر میں محفوظ منفرد، لمبا پاس ورڈ، تصدیقی ایپ (SMS نہیں) ٹو فیکٹر تصدیق، اور تازہ بحالی آپشنز۔ اگر حملہ آور آپ کی ای میل حاصل کر لے تو دنیا کا ہر "پاس ورڈ بھول گئے" لنک اس کا ہے۔

4. اپنے بارے میں تیرتی ذاتی تفصیلات کم کریں

حملہ آور اپنی کمپنی نقالی آپ کے عوامی نقشے سے بناتے ہیں۔ اپنی مکمل تاریخ پیدائش، گھر کا پتہ، اور فون نمبر عوامی سوشل میڈیا پروفائلز سے ہٹا دیں۔ ماضی کی پوسٹس کو جہاں ممکن ہو صرف دوستوں کے لیے سیٹ کریں۔ ہر ذاتی تفصیل جو آپ آف لائن لیتے ہیں وہ نقالی کرنے والے کے لیے ایک کم آلہ ہے۔

5. اپنی کمپنی سے پورٹ آؤٹ حفاظت کے بارے میں پوچھیں

بہت سی کمپنیاں مخصوص "پورٹ آؤٹ بلاک" یا "نمبر منتقلی لاک" پیش کرتی ہیں جو آپ کے نمبر کو اضافی تصدیق کے بغیر دوسری کمپنی میں منتقل ہونے سے روکتی ہے۔ یہ سم PIN سے الگ ہے — دونوں فعال کریں اگر آپ کی کمپنی انہیں پیش کرے۔ واضح طور پر پوچھیں؛ یہ خصوصیات اکثر آپٹ ان ہوتی ہیں اور خراب مشتہر ہوتی ہیں۔

6. اعلیٰ قیمت والے اکاؤنٹس کے لیے الگ نمبر استعمال کریں

اپنے سب سے حساس اکاؤنٹس (بینکنگ، بنیادی ای میل، کرپٹو) کو ایسے نمبر پر رکھنے پر غور کریں جسے آپ کہیں شائع نہیں کرتے — مثال کے طور پر دوسری سم یا eSIM لائن جو صرف اکاؤنٹ سیکیورٹی کے لیے استعمال ہوتی ہے۔ حملہ آور اسے سوشل انجینئر نہیں کر سکتے جس کے وجود کے بارے میں وہ نہیں جانتے۔

7. فشنگ پر نظر رکھیں جو سویپ سے پہلے آتی ہے

سم سویپ اکثر فشنگ سے پہلے آتے ہیں: جعلی "کمپنی" پیغامات جو آپ سے اکاؤنٹ تفصیلات کی تصدیق مانگتے ہیں، یا جعلی لاگ ان صفحات جو نقالی کال کے لیے ضروری ذاتی ڈیٹا جمع کرتے ہیں۔ اپنے موبائل اکاؤنٹ کے بارے میں کسی بھی غیر مطلوب پیغام کو دشمن سمجھیں — اپنی کمپنی سے ان کے سرکاری نمبر سے رابطہ کریں، کبھی پیغام میں لنک سے نہیں۔

8. ناواقف سرگرمی کے لیے اپنے اکاؤنٹس کی نگرانی کریں

اپنی ای میل، بینک، اور بڑے سوشل اکاؤنٹس کے لیے لاگ ان الرٹس آن کریں تاکہ آپ کو نئے سائن انز کی فوراً اطلاع ملے۔ فعال سیشنز وقتاً فوقتاً دیکھیں اور نامعلوم آلات سے سائن آؤٹ کریں۔ جلد پتہ لگانا تباہی کو تکلیف میں بدل دیتا ہے۔

9. بحالی منصوبہ لکھ کر رکھیں — آف لائن

اگر آپ کا نمبر ہائی جیک ہو جائے تو آپ SMS رسائی کھو سکتے ہیں بالکل اس وقت جب آپ کو اس کی سب سے زیادہ ضرورت ہو۔ آف لائن فہرست (کاغذ پر، دراز میں) رکھیں: اپنی کمپنی کا سپورٹ نمبر، آپ کا اکاؤنٹ PIN، آپ کی تصدیقی ایپ کے بیک اپ کوڈز، اور آپ کے بینک اور ای میل فراہم کنندہ کے براہ راست رابطہ صفحات۔ آپ انہیں بغیر سروس والے فون سے گوگل نہیں کر سکتے۔

10. اگر یہ آپ کے ساتھ ہو تو تیزی سے عمل کریں

اگر آپ کی سروس غیر متوقع طور پر گر جائے: دوسرے آلے سے فوراً اپنی کمپنی سے رابطہ کریں اور ان سے نمبر منجمد کرنے اور سم تبدیلی واپس کرنے کو کہیں۔ پھر محفوظ آلے سے پہلے اپنا ای میل پاس ورڈ بدلیں (یہ ہر چیز کی چابی ہے)، نامعلوم سیشنز دیکھیں اور منسوخ کریں، اور اپنے بینک سے رابطہ کریں تاکہ اکاؤنٹ کو جھنڈا لگائیں۔ اپنی کمپنی کے فراڈ شعبے کو رپورٹ درج کریں — یہ ریکارڈ بناتا ہے اور اگلے کسٹمر کے لیے تصدیق سخت کرنے میں ان کی مدد کر سکتا ہے۔

کمپنیاں اور ریگولیٹرز کیا کر رہے ہیں

کمپنیوں پر سم تبدیلی تصدیق مضبوط کرنے کا دباؤ رہا ہے: بہت سی اب ذاتی شناخت جانچ، سویپ سے پہلے پرانی سم کو ایک بار کے کوڈز، یا لازمی انتظار مدت کا مطالبہ کرتی ہیں۔ یہ مدد کرتے ہیں، لیکن پالیسیاں کمپنیوں اور ممالک کے درمیان وسیع مختلف ہوتی ہیں، اور سوشل انجینئرنگ کمزور عمل کے خلاف ابھی بھی کامیاب ہوتی ہے۔ اسی لیے اوپر والے دفاع اہم ہیں — آپ اپنی کمپنی کے طریقہ کار کو کنٹرول نہیں کر سکتے، لیکن آپ کنٹرول کر سکتے ہیں کہ آیا SMS آپ کی ناکامی کا واحد نقطہ ہے۔

سم سویپنگ کے بارے میں عام افسانے

آخری بات

سم سویپنگ کام کرتی ہے کیونکہ ہماری اکاؤنٹ سیکیورٹی اس مفروضے پر بنی تھی کہ فون نمبر شخص کے برابر ہے۔ یہ مفروضہ غلط ہے — فون نمبر آپ کی کمپنی میں صرف ڈیٹا بیس اندراج ہے، اور ڈیٹا بیس اندراجات کسی بھی کافی قائل شخص سے بدل سکتے ہیں۔ اصلاح یہ ہے کہ اپنے نمبر کو شناخت کا ثبوت سمجھنا بند کریں: کمپنی PIN سیٹ کریں، اپنے اہم اکاؤنٹس کو تصدیقی ایپس یا پاس کیز پر منتقل کریں، اور آف لائن بحالی منصوبہ رکھیں۔ یہ اقدامات دوپہر لیتے ہیں، اور وہ بالکل وہ دروازہ بند کرتے ہیں جس سے یہ حملہ گزرتا ہے۔

متعلقہ گائیڈز

اپنی پیش رفت محفوظ کریں: گائیڈ مکمل کر لی؟