ईमेल स्पैम का विकास

पहला स्पैम ईमेल 1978 में Gary Thuerk द्वारा लगभग 400 लोगों को भेजा गया था। उस ईमेल में DECSYSTEM-20 कंप्यूटरों के लिए एक ब्रोशर शामिल था। यह अविश्वसनीय रूप से सफल रहा और इससे लगभग $13 million की बिक्री हुई। इसने ग्राहकों तक पहुँचने और उत्पाद बेचने के लिए ईमेल को एक नए माध्यम के रूप में भी स्थापित किया।

ईमेल स्पैम को देखने के दो तरीके हैं।

1. यह आपके इनबॉक्स में आता है, आप delete पर क्लिक करते हैं, इसमें इतनी बड़ी बात क्या है?

2. बिल्ली और चूहे का एक अंतरराष्ट्रीय खेल, जिसमें आपका इनबॉक्स, और उसमें क्या पहुँचता है, अग्रिम पंक्ति में होता है, जबकि बड़ी टेक कंपनियाँ, सरकारी एजेंसियाँ और आपराधिक संगठन आपकी सुरक्षा, आपका ध्यान और आपके बैंक खाते के लिए लड़ाई लड़ते हैं।

दूसरा नज़रिया नाटकीय लग सकता है, लेकिन अगर इससे आपको कुछ परेशानियों और शायद कुछ पैसों की बचत हो सकती है, तो इसे समझना सही रहेगा, है ना?

खैर… इसकी शुरुआत डिब्बाबंद मांस के एक कैन पर बने मज़ाक से होती है।

स्पैम ईमेल क्या है, और इसे spam क्यों कहा जाता है?

स्पैम कई चीज़ें हो सकता है, विज्ञापन, घोटाले, बेकार newsletters, सूची जारी है। लेकिन स्पैम एक चीज़ नहीं है: आमंत्रित। जैसे गर्मी का ज़िक्र होते ही मच्छरों का झुंड आ जाता है, वैसे ही स्पैम लगभग हमेशा बड़ी मात्रा में आता है। यह अनचाहा, अवांछित और काफ़ी परेशान करने वाला होता है।

लेकिन इसका नाम सूअर के कंधे और ham से बने डिब्बाबंद मांस के कैन जैसा क्यों है? इसके लिए हम एक प्रसिद्ध Monty Python स्केच का धन्यवाद कर सकते हैं, जिसमें “spam” शब्द बार-बार दोहराया गया था, लगभग पागलपन की हद तक। इससे “spam” लगातार और अवांछित चीज़ का प्रतीक बन गया। 1993 में, एक समझदार इंटरनेट उपयोगकर्ता ने इसी विचार को अपनाया और बार-बार की गई पोस्टों की बाढ़ को spam कहा, और बस, यही नाम चल पड़ा।

लेकिन, अपनी विचित्र उत्पत्ति के बावजूद, यह शब्द खुद यह नहीं बताता कि स्पैम कितना नुकसानदायक हो सकता है – या इससे छुटकारा पाना कितना मुश्किल है। मच्छरों की तरह, स्पैम ईमेल अक्सर खतरनाक सामग्री लेकर आते हैं जो आपके उपकरणों पर कहर बरपा सकती है। आपके व्यक्तिगत डेटा के जोखिम का तो ज़िक्र ही नहीं, और संदिग्ध विज्ञापनों से इनबॉक्स भर जाने पर होने वाले सिरदर्द का भी। लेकिन इतिहास को समझना मदद करता है। अगर आप समझ सकते हैं कि स्पैम आपके इनबॉक्स तक कैसे पहुँचता है, तो आप उसे बाहर रखने का बेहतर काम कर पाएँगे।

पहला स्पैम ईमेल कब भेजा गया था?

तो स्पैम मेल आता कहाँ से है? यह जानकर आपको हैरानी हो सकती है कि पहला स्पैम ईमेल इंटरनेट के अस्तित्व में आने से पहले ही भेजा गया था। यह किसी रहस्यमय आपराधिक गिरोह से नहीं आया था, बल्कि एक अकेले मार्केटर से आया था जो कंप्यूटरों की एक नई श्रृंखला बेचना चाहता था, और यकीन मानिए, इससे लाखों की कमाई हुई।

1978 में, मार्केटिंग मैनेजर Gary Thuerk ने ARPANET के माध्यम से लगभग 400 लोगों को एक ईमेल भेजा, जो इंटरनेट से पहले का सैन्य नेटवर्क था। उसका संदेश नए DECSYSTEM-20 कंप्यूटरों पर एक प्रस्तुति के लिए प्रचार था। इस ईमेल से लगभग $13 million की बिक्री हुई, लेकिन इसे पाने वाले लगभग सभी लोग इससे परेशान भी हुए।

स्पैम के इतिहास की इस कहानी का सबसे दिलचस्प हिस्सा यह नहीं है कि ईमेल कब भेजा गया था, बल्कि वह दोधारी तलवार है जो ईमेल स्पैम के पीछे छिपी है। एक ओर, सैकड़ों, हजारों, या यहाँ तक कि लाखों लोगों को भेजे गए विज्ञापनों से चौंका देने वाली मात्रा में पैसा कमाया जा सकता है। लेकिन स्पैम स्पष्ट रूप से परेशान करने वाला होता है। दुर्भाग्य से, यही खींचतान वाला संबंध है जो स्पैम के उथल-पुथल भरे इतिहास में उसके साथ चलता रहेगा।

दशकों में स्पैम कैसे विकसित हुआ है?

अगर आप इतने भाग्यशाली रहे हैं कि Google और Microsoft की सुरक्षा वाले दौर में बड़े हुए हैं, तो हो सकता है कि आपको इंटरनेट के शुरुआती दिन याद न हों, जब अपने इनबॉक्स से स्पैम हटाना ज़्यादा हद तक एक मैन्युअल काम हुआ करता था।

ईमेल स्पैम के विकास की समयरेखा

1980s–1990s: ईमेल का बेकाबू दौर

1983 में, George Orwell की सर्वसत्तावादी महाशक्ति की भविष्यवाणी से एक साल पहले, कुछ बिल्कुल अलग आकार ले रहा था। पहली बार, कई स्वतंत्र नेटवर्कों के लिए एक-दूसरे से जुड़ना संभव हुआ, जिससे आज के वैश्विक नेटवर्क-ऑफ़-नेटवर्क्स, या जिसे हम इंटरनेट कहते हैं, की नींव पड़ी।

अगले दशक में, लाखों नए उपयोगकर्ता ऑनलाइन आए और ईमेल पते बनाना शुरू किया। यह कहने वाला कोई केंद्रीय प्राधिकरण नहीं था कि, “आप ऐसा नहीं कर सकते” और ईमेल मूल रूप से एक मुफ़्त विज्ञापन माध्यम की तरह काम कर सकता था। एक संदेश, जो लगभग बिना किसी लागत के, हजारों, यहाँ तक कि लाखों लोगों तक भेजा जा सकता था।

नतीजा क्या हुआ? 1990 के दशक में, स्पैम में विस्फोटक बढ़ोतरी हुई, और इसे नियंत्रित करने के प्रयासों में भी। 1994 में, वकीलों Canter & Siegel ने हजारों Usenet समूहों में अपना कुख्यात “Green Card Lottery” विज्ञापन अभियान शुरू किया, जिसे अक्सर पहला बड़ा व्यावसायिक स्पैम अभियान माना जाता है। जल्द ही बचाव के उपाय भी सामने आए। Mail Abuse Prevention System (MAPS) ने 1996 में पहली Real-time Blackhole List शुरू की, जो ज्ञात स्पैम सर्वरों से आने वाले मेल को ब्लॉक करती थी, और Spamhaus जैसे समूहों ने blocklists बनाई और जानकारी साझा की ताकि स्पैमर्स को बाहर रखा जा सके।

2000s: वह दशक जब स्पैम अंधेरे में उतर गया

2000s ने भले ही सहस्राब्दी के अंत को चिह्नित किया हो, लेकिन कई लोगों के लिए यही वह समय था जब परेशान करने वाले ईमेल सचमुच इनबॉक्स में भरने लगे। Google, Yahoo, और Microsoft सभी स्पैम रोकने की मुहिम में शामिल हो गए। लेकिन अब यह सिर्फ़ भद्दे विज्ञापन या जल्दी अमीर बनने वाली योजनाएँ नहीं थीं, स्पैम और भी खतरनाक रूप लेने लगा था। स्पैमर्स ने बड़े पैमाने पर स्पैम भेजने के लिए “botnets,” यानी संक्रमित कंप्यूटरों के नेटवर्क, का इस्तेमाल शुरू कर दिया था।

सरकारों ने तय किया कि अब हस्तक्षेप करने का समय आ गया है। 2003 में, US ने CAN-SPAM Act (Controlling the Assault of Non-Solicited Pornography and Marketing) लागू किया। इसने स्पैमर्स को opt-out अनुरोधों का सम्मान करने और भ्रामक subject lines से बचने के लिए बाध्य किया, लेकिन समस्या यह थी कि unsubscribe करने की ज़िम्मेदारी फिर भी प्राप्तकर्ताओं पर ही रही। दूसरी ओर, Europe ने अधिक सख्त रुख अपनाया। EU ने ईमेल मार्केटिंग के लिए opt-in प्रणाली स्थापित की, जिसका मतलब था कि कंपनियाँ पहले अनुमति लिए बिना व्यावसायिक ईमेल नहीं भेज सकती थीं।

2000s ने वास्तव में उस बिल्ली-चूहे के खेल के विस्फोट को चिह्नित किया जिसने स्पैम को परिभाषित किया। स्पैमर्स नई तरकीबें ईजाद करते, और रक्षक उनका मुकाबला करने के तरीके ढूँढते। उदाहरण के लिए Bayesian filtering को लें, यह ईमेल में मौजूद शब्दों को स्कैन करता है, संभावनाओं का विश्लेषण करता है, और तय करता है कि वह junk है या genuine। जब यह पहली बार आया, तो यह इस बात में एक बड़ी सफलता थी कि ईमेल प्रदाता स्पैम पर कैसे लगाम कस सकते हैं। 2004 में, Bill Gates ने यहाँ तक भविष्यवाणी की थी कि स्पैम की समस्या दो साल के भीतर हल हो जाएगी। लेकिन, हमेशा की तरह, स्पैमर्स ने जल्दी ही खुद को ढाल लिया।

कार्रवाई में स्पैम के इस आगे-पीछे के खेल के उदाहरण:

आधुनिक युग: जब स्पैम ने सोचना सीख लिया

Stephen Hawking ने एक बार चेतावनी दी थी कि एक दिन इंसान AI के लिए वही हो सकते हैं जो इंसानों के लिए कुत्ते हैं, यह एक गंभीर विचार है। और भले ही यह निराशाजनक लगे, यह कहना अतिशयोक्ति नहीं होगी कि AI का उदय steam engine के आविष्कार जितना परिवर्तनकारी हो सकता है। इसलिए यह आश्चर्य की बात नहीं कि AI उन लोगों के बीच की लड़ाई को आकार दे रहा है जो स्पैम से मुनाफ़ा कमाना चाहते हैं और जो इसे नियंत्रित करने की कोशिश कर रहे हैं। फर्क यह है कि पारंपरिक स्पैम फ़िल्टरों के विपरीत, AI सीख सकता है और खुद को ढाल सकता है।

यहाँ विडंबना यह है कि ठग अपने स्पैम ईमेल बेहतर बनाने के लिए वही उपकरण इस्तेमाल कर रहे हैं जिनका उपयोग कॉलेज के छात्र अपनी परीक्षाएँ पास करने के लिए करते हैं। AI टूल्स से पहले, स्पैम ईमेल टाइपो, व्याकरण की गलतियों और साफ़ दिखने वाले red flags से भरे होते थे। अब, बड़े language models की बदौलत, बेदाग व्याकरण, स्थानीयकृत लहजे और व्यक्तिगत hooks वाले स्पैम ईमेल बड़े पैमाने पर भेजे जा सकते हैं। 10’000 एक जैसे ईमेल भेजने के बजाय, ठग 10’000 थोड़े अलग ईमेल भेज सकते हैं और सेंसर से बच सकते हैं। spam scoring का अनुकरण करने वाले models के माध्यम से टेक्स्ट चलाकर, हमलावर अपने संदेशों को तब तक बदल सकते हैं जब तक वे “safe” न दिखाई दें।

ईमेल दिग्गज भी यही कर रहे हैं। वे AI और machine learning का उपयोग सिर्फ़ सामग्री स्कैन करने के लिए नहीं, बल्कि प्रेषक के व्यवहार, नेटवर्क संकेतों और यहाँ तक कि संदेशों के संदर्भ का विश्लेषण करने के लिए भी करते हैं। उदाहरण के लिए, Gmail अब संदिग्ध पैटर्न पहचान सकता है, जैसे नए domains से अचानक बड़ी संख्या में ईमेल आना या ऐसा कंटेंट जो ज्ञात फ़िशिंग प्रलोभनों की नकल करता हो, और नई स्पैम मुहिमों को बंद करने के लिए वास्तविक समय में खुद को ढाल सकता है।

स्पैम का ईमेल और व्यवसायों पर क्या प्रभाव पड़ा है?

अगर हम स्पैम मेल की उत्पत्ति की कहानी और उसके Monty Python नामस्रोत पर वापस जाएँ, तो विषय सरल था: परेशान करने वाला। उस समय, अधिकांश स्पैम को ठीक इसी तरह देखा जाता था। लेकिन उसके बाद के दशकों में, यह कहीं अधिक खतरनाक हो गया है। अब गलत लिंक पर क्लिक करने का मतलब वायरस या गंभीर वित्तीय नुकसान हो सकता है।

और जोखिम सिर्फ़ व्यक्तियों तक सीमित नहीं है। 2000s से, ठगों ने बड़े लक्ष्यों पर हमला करने के लिए जटिल तरीके तैयार किए हैं। इनमें से कई योजनाओं के आकर्षक उपनाम भी हैं, जो उनके परिणामों की गंभीरता को कम करके दिखाते हैं।

व्यवसायों को निशाना बनाने वाले स्पैम के उदाहरण:

Mass spam and scams – Bulk ईमेल आज भी रोज़ाना इनबॉक्स भर देते हैं, परेशान करने वाले विज्ञापनों से लेकर नकली लॉटरी या “Nigerian prince” योजनाओं तक। ये निम्न-स्तरीय होते हैं, लेकिन इनबॉक्स को अव्यवस्थित करते हैं और फिर भी कर्मचारियों को धोखा दे सकते हैं।

Phishing emails – भरोसेमंद ब्रांड्स का रूप धारण करते हैं और उपयोगकर्ताओं को नकली साइटों पर ले जाते हैं। पहले भद्दे लगने वाले ये फ़िशिंग ईमेल अब परिष्कृत, स्वचालित और असली से अलग पहचानना मुश्किल हो गए हैं।

Spear phishing and whaling – विशिष्ट कर्मचारियों को धोखा देने के लिए असली नामों या प्रोजेक्ट्स का उपयोग करने वाले लक्षित हमले। जब इनका निशाना executives होते हैं, तो इसे “whaling” कहा जाता है, और इसका लाभ बहुत बड़ा हो सकता है.Business Email Compromise (BEC) – अपराधी CEOs, vendors, या HR बनकर कर्मचारियों को पैसे ट्रांसफ़र करने या डेटा भेजने के लिए धोखा देते हैं।

Malware and ransomware – स्पैम में अक्सर दुर्भावनापूर्ण अटैचमेंट या लिंक होते हैं। एक क्लिक वायरस या ransomware को सक्रिय कर सकता है, पूरे सिस्टम को लॉक कर सकता है और व्यवसायों को लाखों का नुकसान पहुँचा सकता है।

लेकिन असली खतरा परिणामों के पैमाने में है। स्पैम बहुत बड़े स्तर पर समय बर्बाद करता है। कर्मचारी ईमेल पर दोबारा सोचते रहते हैं या प्रबंधक झूठे अलार्म की जाँच करते रहते हैं। यह सब उत्पादकता को कम करता है।

स्पैम की असली लागत

FBI का अनुमान है कि केवल Business Email Compromise ने 2013 और 2022 के बीच $50 billion से अधिक की हानि कराई। यही कारण है कि स्पैम के खिलाफ़ लड़ाई लगातार विकसित हो रही है। फ़िल्टर अब keywords से आगे बढ़कर patterns, attachments, और यहाँ तक कि sender behavior को भी स्कैन करते हैं। CAN-SPAM और GDPR जैसे कानून सहमति और पारदर्शिता के आसपास नियम तय करते हैं। और ईमेल प्रदाताओं ने SPF, DKIM, और DMARC जैसी सुरक्षा जोड़ी है, जिससे हमलावरों के लिए किसी और का रूप धारण करना बहुत कठिन हो गया है।

आज हम स्पैम से कैसे लड़ते हैं?

आधुनिक स्पैम फ़िल्टर AI द्वारा संचालित होते हैं और machine learning का उपयोग करते हैं। वे प्रेषक के व्यवहार और संदेश के संदर्भ का विश्लेषण कर सकते हैं, और फिर वास्तविक समय में खुद को ढाल सकते हैं।

लेकिन, जागरूकता अभी भी महत्वपूर्ण है। सबसे अच्छे spam filters के बावजूद, कर्मचारी प्रशिक्षण को स्पैम रोकने का एक प्रमुख हिस्सा बनना होगा।

स्पैम ईमेल से खुद को कैसे सुरक्षित रखें

आजकल, कंपनियाँ नियमित जागरूकता कार्यक्रम चलाती हैं जो लोगों को धीमे होकर red flags पहचानना, या कार्रवाई करने से पहले अनुरोधों की पुष्टि करना सिखाते हैं। इनमें से कुछ हैं:

क्लिक करने से पहले सोचें

आजमाई हुई और भरोसेमंद सलाह यहाँ भी लागू होती है। अगर आपको ऐसा ईमेल मिला है जिसकी आप उम्मीद नहीं कर रहे थे और आप प्रेषक को नहीं जानते, तो किसी भी random link पर क्लिक न करें। आप desktop पर लिंक पर hover कर सकते हैं, या mobile पर long-press करके पहले असली destination का preview देख सकते हैं। अगर लिंक का पता और असली पता अलग हैं, तो यह एक red flag है।

अगर आप ईमेल लिंक पर क्लिक करने का निर्णय लेते भी हैं, तो URL के पास बने padlock से धोखा न खाएँ, इसका मतलब यह नहीं है कि साइट सुरक्षित है। padlock केवल यह पुष्टि करता है कि किसी ने कनेक्शन को encrypt किया है। दुर्भाग्य से, एक phishing site भी उतनी ही आसानी से SSL certificate प्राप्त कर सकती है जितनी एक वैध साइट।

प्रेषक की पुष्टि करें 

ईमेल पर दिखने वाला नाम हमेशा प्रेषक की वास्तविक पहचान नहीं होता। ऐसा इसलिए है क्योंकि कोई भी इसे बदलकर कुछ बिल्कुल अलग कर सकता है। वास्तविक पहचान की पुष्टि करने के लिए, आपको वह सटीक ईमेल पता देखना होगा जिससे ईमेल आया है।

कभी-कभी यह स्पष्ट होता है, जैसे अगर ईमेल किसी सस्ते, अस्थायी मुफ़्त ईमेल से आया हो। लेकिन यह हमेशा इतना आसान नहीं होता। हमलावर अक्सर कुछ अक्षर बदलकर ईमेल को छिपाते हैं, जैसे @p4ypal.com। अगर आपको यह सुनिश्चित नहीं है कि ईमेल असली है या नहीं, तो आधिकारिक संचार माध्यमों से संपर्क करना सबसे अच्छा है।

SPF, DKIM, DMARC वाले प्रदाता को चुनें

जब बात स्पैम की आती है, SPF, DKIM, and DMARC ईमेल प्रमाणीकरण का gold standard हैं। ये यह बताने का सबसे अच्छा तरीका हैं कि आपके domain से भेजे गए ईमेल वास्तव में आपसे आए हैं, या किसी impostor से। SPF जाँचता है कि ईमेल उस server से आया है जिसे आपकी ओर से भेजने की अनुमति है। DKIM एक छेड़छाड़-रोधी signature जोड़ता है, ताकि संदेश को रास्ते में चुपचाप बदला न जा सके। DMARC इन दोनों को जोड़ता है और receiving server को बताता है कि जब कोई संदेश जाँच में विफल हो जाए तो क्या करना है।

अच्छी खबर यह है कि आपको यह सब हाथ से सेट करने की ज़रूरत नहीं है। एक अच्छा ईमेल प्रदाता यह आपके लिए कर देना चाहिए। इसलिए जब आप अपने ईमेल को host करने के लिए किसी सेवा का चयन करें, तो ऐसी सेवा चुनें जो standard रूप में SPF, DKIM, और DMARC का समर्थन करती हो।

2FA का उपयोग करें

2FA आपके खाते में सुरक्षा की दूसरी परत जोड़ता है। इसका मतलब two-factor authentication है और मूल रूप से इसका अर्थ है कि आप अपनी पहचान एक की बजाय दो चीज़ों से साबित करते हैं। पहली आपका password है, दूसरी आपका phone, एक authenticator app, fingerprint, या security key हो सकती है।

इसका मतलब है कि अगर आपका password चोरी हो जाता है, तो हमलावर दूसरे प्रमाणीकरण साधन के बिना आपके खाते तक पहुँच नहीं सकता। कोई भी 2FA, बिना 2FA से बेहतर है। ऐसे ईमेल प्रदाताओं को चुनें जो यह सुविधा देते हों और जहाँ भी संभव हो इसे चालू करें, शुरुआत अपने ईमेल से करें।

अटैचमेंट्स के साथ सावधान रहें

इंसान जिज्ञासु होते हैं, और हमलावर इसका फ़ायदा उठाते हैं। खुद को सुरक्षित रखने का सबसे अच्छा तरीका यह है कि उन ईमेल अटैचमेंट्स को खोलने से बचें जिनकी आपको उम्मीद नहीं थी। यह तब भी लागू होता है जब वे किसी परिचित व्यक्ति से आए हों। ऐसा इसलिए है क्योंकि खातों पर अक्सर कब्ज़ा कर लिया जाता है और प्रेषकों की नक़ल की जाती है।

हमेशा PDFs, Word और Excel docs, ZIP और RAR archives, HTML files, ISO disk images, और खासकर .exe files के साथ अतिरिक्त सावधानी बरतें। अगर संदेह हो, तो कुछ भी खोलने से पहले किसी अलग माध्यम से प्रेषक से पुष्टि करें।

अपनी टीम को प्रशिक्षित रखें

आख़िरकार, हमलों के मामले में इंसान ही रक्षा की अंतिम पंक्ति होते हैं। फ़िल्टर, प्रमाणीकरण और अटैचमेंट स्कैनिंग बहुत कुछ रोकते हैं, लेकिन जो संदेश इनके पार निकल जाते हैं, वे किसी व्यक्ति को धोखा देने के लिए ही बनाए जाते हैं।

यहीं पर प्रशिक्षण बहुत बड़ा अंतर ला सकता है। सबसे महत्वपूर्ण बात यह है कि कंपनियों को आज के हमलों के लिए प्रशिक्षण देना चाहिए, न कि बीते कल के लिए। इसका मतलब है बिना टाइपो वाले AI-लिखित प्रलोभन, deepfake voice और video, और सिर्फ़ ईमेल ही नहीं बल्कि SMS, QR codes, और MFA prompts के ज़रिए होने वाले घोटाले।