गोपनीयता संबंधी सलाह ऐसी धारणाओं से भरी पड़ी है जो सुनने में तर्कसंगत लगती हैं लेकिन गलत होती हैं, और कुछ तो इस तरह गलत हैं कि उनसे लोगों का पैसा या सुरक्षा दांव पर लग जाती है। कुछ भ्रांतियाँ भ्रामक लेबलों से आती हैं, जैसे पैडलॉक आइकन या “प्राइवेट” विंडो। अन्य मार्केटिंग या पुरानी सलाह से आती हैं जो कभी समझदारी भरी हुआ करती थीं।
यह पृष्ठ आठ सबसे आम मान्यताओं को लेता है और इसके बजाय साक्ष्य क्या कहते हैं यह बताता है, जिसमें यह भी शामिल है कि कहाँ प्रत्येक में सच्चाई का एक अंश है। यह आपको यह नहीं बताता कि कौन सा टूल खरीदना है। आपके लिए क्या मायने रखता है यह तय करने के लिए, थ्रेट मॉडलिंग (threat modeling) देखें। आप किसका सामना करने की सबसे अधिक संभावना रखते हैं, इसके लिए सामान्य खतरे (common threats) देखें।
एक नज़र में
| लोग क्या कहते हैं | सबूत क्या दिखाते हैं |
|---|---|
| इनकॉग्निटो मोड मुझे अज्ञात (anonymous) बनाता है | यह आपके ब्राउज़र को आपके डिवाइस पर हिस्ट्री सेव करने से रोकता है। वेबसाइटें और उनके द्वारा उपयोग की जाने वाली सेवाएं अभी भी आपको देख सकती हैं |
| VPN मुझे अज्ञात और सुरक्षित बनाता है | VPN आपके भरोसे को आपके इंटरनेट प्रदाता से हटाकर VPN कंपनी पर स्थानांतरित कर देता है |
| पैडलॉक का मतलब है कि साइट सुरक्षित है | इसका मतलब है कि कनेक्शन एन्क्रिप्टेड है। 2019 में आधी से अधिक फ़िशिंग साइटों के पास यह था |
| मजबूत पासवर्ड के लिए प्रतीकों और नियमित बदलावों की आवश्यकता होती है | NIST अब कहता है कि लंबाई सबसे अधिक मायने रखती है, और जटिलता के नियम व जबरन बदलाव अक्सर अनुमानित पासवर्ड बनाते हैं |
| टेक्स्ट-मैसेज कोड बेकार हैं | उन्होंने गूगल के अध्ययन में सभी बॉट्स और 96% बल्क फ़िशिंग को रोक दिया |
| मैं लक्षित किए जाने के लिए बहुत महत्वहीन हूँ | अधिकांश खाता हमले स्वचालित होते हैं और वे लक्ष्यों का चयन नहीं करते हैं |
| ओपन सोर्स हमेशा सुरक्षित होता है | ओपन कोड को भी विकृत/क्षतिग्रस्त किया जा सकता है, जैसा कि xz मामले ने दिखाया, और क्लोज्ड कोड डिफ़ॉल्ट रूप से अधिक सुरक्षित नहीं होता है |
| गोपनीयता खत्म हो चुकी है | परिणाम अभी भी नियमों और विकल्पों पर निर्भर करता है |
“इनकॉग्निटो मोड मुझे अज्ञात बनाता है”
इनकॉग्निटो मोड एक काम करता है: यह आपके ब्राउज़र को आपकी हिस्ट्री, कुकीज़, साइट डेटा और फॉर्म प्रविष्टियों को आपके डिवाइस पर सेव करने से रोकता है। यदि आप कंप्यूटर साझा करते हैं तो इससे मदद मिलती है। यह आपको उन वेबसाइटों से नहीं छुपाता है जिन पर आप जाते हैं, उन विज्ञापन और एनालिटिक्स सेवाओं से नहीं छुपाता है जिनका वे साइटें उपयोग करती हैं, या आपके नेटवर्क से नहीं छुपाता है।
नाम और व्यवहार के बीच का यह अंतर अदालत तक पहुंच गया। 2020 में दायर एक क्लास एक्शन मुकदमे, ब्राउन बनाम गूगल, में आरोप लगाया गया कि गूगल थर्ड-पार्टी साइटों पर अपनी विज्ञापन तकनीक के माध्यम से इनकॉग्निटो मोड में लोगों को ट्रैक करता रहा और उपयोगकर्ताओं को यह सोचने पर मजबूर कर दिया कि उनके पास उनकी तुलना में अधिक गोपनीयता थी। 2024 में गूगल समझौते पर सहमत हुआ। वह अरबों रिकॉर्ड हटाएगा या अनाम बनाएगा, पांच साल के लिए इनकॉग्निटो में डिफ़ॉल्ट रूप से थर्ड-पार्टी कुकीज़ को ब्लॉक रखेगा, और अपनी चेतावनी स्क्रीन को यह कहने के लिए बदलेगा कि इनकॉग्निटो यह नहीं बदलता है कि वेबसाइटें और उनके द्वारा उपयोग की जाने वाली सेवाएं (गूगल सहित) डेटा कैसे एकत्र करती हैं। समझौते में कोई भुगतान शामिल नहीं था। गूगल ने मुकदमे को निराधार बताया और कहा कि उसने कभी भी डेटा को व्यक्तियों से नहीं जोड़ा।
“प्राइवेट” लेबल यह वर्णन करता है कि आपके डिवाइस पर क्या रहता है। यह इसका वर्णन नहीं करता है कि अन्य पक्ष क्या देख सकते हैं।
“VPN मुझे अज्ञात और सुरक्षित बनाता है”
एक वर्चुअल प्राइवेट नेटवर्क (VPN) आपके ट्रैफ़िक को एक एन्क्रिप्टेड टनल के माध्यम से कंपनी के सर्वर पर भेजता है। आपका इंटरनेट प्रदाता या किसी कैफ़े का वाई-फ़ाई फिर यह देखता है कि आप VPN का उपयोग कर रहे हैं, लेकिन यह नहीं देख पाता कि आपका ट्रैफ़िक कहाँ जा रहा है। वेबसाइटें आपके पते के स्थान पर VPN का पता देखती हैं। कुछ स्थितियों में ये वास्तविक लाभ हैं, और FTC सार्वजनिक वाई-फ़ाई को ऐसी ही एक स्थिति के रूप में सूचीबद्ध करता है।
पेच यह है कि VPN कंपनी अब वही देख सकती है जो आपका इंटरनेट प्रदाता देखता था। 2018 में यूएस फेडरल ट्रेड कमीशन (FTC) ने चेतावनी दी थी कि VPN ऐप आमतौर पर उपयोगकर्ताओं को पूरी तरह से अनाम नहीं बनाते हैं, क्योंकि ऐप आपके नेटवर्क से भरोसे को VPN प्रदाता पर स्थानांतरित कर देता है। इसने आगे कहा कि साइटें अभी भी बता सकती हैं कि आप VPN का उपयोग कर रहे हैं और आपके द्वारा सीधे उनके साथ साझा की गई किसी भी चीज़ के माध्यम से आपको ट्रैक कर सकती हैं, जैसे कि फॉर्म में टाइप किया गया ईमेल पता। एफटीसी की सलाह थी कि ऐप पर शोध करें, इसकी अनुमतियों की जांच करें, पुष्टि करें कि यह आपके ट्रैफ़िक को एन्क्रिप्ट करता है और देखें कि क्या यह तीसरे पक्षों के साथ जानकारी साझा करता है।
आप स्वयं प्रदाता के “नो लॉग्स” (no logs) के वादे की जांच भी नहीं कर सकते, यह एक ऐसा बिंदु है जो प्राइवेसी गाइड्स (Privacy Guides) अपने VPN मार्गदर्शन में बताता है। एक VPN आपको किसी नकली साइट पर पासवर्ड टाइप करने से भी नहीं रोकेगा। VPN सार्थक है या नहीं यह इस बात पर निर्भर करता है कि आप किस खतरे का सामना कर रहे हैं, और “यह मुझे अनाम बनाता है” कभी भी एक अच्छा कारण नहीं है।
“पैडलॉक का मतलब है कि साइट सुरक्षित है”
पैडलॉक यह दर्शाता है कि आपके ब्राउज़र और साइट के बीच का कनेक्शन HTTPS का उपयोग करके एन्क्रिप्टेड है। यह इस बारे में कुछ नहीं कहता है कि साइट कौन चलाता है या वे ईमानदार हैं या नहीं।
फ़िशर्स ने सालों पहले यह समझ लिया था। एंटी-फ़िशिंग वर्किंग ग्रुप (APWG) ने रिपोर्ट दी कि 2018 की तीसरी तिमाही में लगभग आधी फ़िशिंग साइटों ने HTTPS का उपयोग किया, और 2019 की पहली तिमाही तक 58% ने इसका उपयोग किया। समूह ने HTTPS लेबलों की सार्वजनिक गलतफहमी और भ्रामक ब्राउज़र डिस्प्ले को जिम्मेदार ठहराया, और एफबीआई ने 2019 में एक सार्वजनिक चेतावनी जारी की। जो प्रमाणपत्र कभी पैसे के आते थे वे अब सस्ते या मुफ्त हैं, और अपराधी वैध साइटों में सेंध लगाकर वहां फ़िशिंग पेज भी होस्ट कर सकते हैं।
हमें कोई वर्तमान APWG आंकड़ा नहीं मिल सका, लेकिन ऐसा कुछ भी नहीं है जिससे लगे कि यह हिस्सा कम हुआ है। आइकन पर भरोसा करने के बजाय एड्रेस बार में डोमेन नाम पढ़ें, और किसी भी ऐसे लिंक से सावधान रहें जो पासवर्ड या कोड मांगता है।
“मजबूत पासवर्ड के लिए प्रतीकों और नियमित बदलावों की आवश्यकता होती है”
वर्षों से, सेवाओं ने हर 90 दिनों में एक बड़ा अक्षर (capital letter), एक संख्या, एक प्रतीक और एक नए पासवर्ड की मांग की। अमेरिकी मानक निकाय NIST ने उस दृष्टिकोण को छोड़ दिया। इसके SP 800-63B-4 मार्गदर्शन (जिसे अगस्त 2025 में अंतिम रूप दिया गया) ने अनिवार्य संरचना नियमों को प्रतिबंधित कर दिया, जब तक कि किसी समझौते का संदेह न हो, आवधिक बदलावों को मजबूर करने के खिलाफ सलाह दी, और 15-वर्णों का न्यूनतम मान तय किया जहाँ पासवर्ड ही एकमात्र लॉगिन चरण है (8 जहाँ यह मल्टी-फैक्टर लॉगिन का एक हिस्सा है)। यह सेवाओं से कम से कम 64 वर्णों के पासवर्ड स्वीकार करने का भी अनुरोध करता है। इसके पीछे तर्क यह है कि जटिलता के नियम लोगों को अनुमानित पैटर्न की ओर धकेलते हैं, जैसे कि पहले अक्षर को बड़ा करना और अंत में “1!” जोड़ना।
NIST सेवाओं के लिए नियम लिखता है, आपके लिए नहीं, लेकिन इसका तर्क लागू होता है। एक लंबे पासवर्ड का अनुमान लगाना एक छोटे, सजाए गए पासवर्ड की तुलना में कठिन होता है। सबसे बड़ा जोखिम पुनरुत् उपयोग (reuse) है। गूगल के अकाउंट हाइजैक अध्ययन में, अधिकांश हमले अन्य साइटों से लीक हुए पासवर्ड का प्रयास करने वाले स्वचालित बॉट्स से आए थे। प्रत्येक साइट के लिए एक अलग पासवर्ड इसे रोकता है, और अधिकांश लोगों को उन्हें रखने के लिए एक पासवर्ड मैनेजर की आवश्यकता होती है।
“टेक्स्ट-मैसेज कोड बेकार हैं, इसलिए मैं उन्हें छोड़ दूँगा”
एसएमएस कोड में कमजोरियां होती हैं। एक धोखेबाज़ जो सिम स्वैप के माध्यम से आपके फ़ोन नंबर पर कब्ज़ा कर लेता है, वह आपकी जगह उन्हें प्राप्त करता है, और एक आश्वस्त करने वाला नकली लॉगिन पेज उन्हें एकत्र कर सकता है। कुछ लोग निष्कर्ष निकालते हैं कि वे बेकार हैं।
गूगल का डेटा कुछ और ही कहता है। न्यूयॉर्क यूनिवर्सिटी और यूनिवर्सिटी ऑफ कैलिफोर्निया, सैन डिएगो के साथ अपने अध्ययन में, रिकवरी फ़ोन पर भेजे गए एक एसएमएस कोड ने 100% स्वचालित बॉट, 96% बल्क फ़िशिंग हमले और 76% लक्षित हमलों को रोक दिया। ऑन-डिवाइस प्रॉम्प्ट ने 100%, 99% और 90% पर बेहतर प्रदर्शन किया, और केवल सुरक्षा कुंजियों पर भरोसा करने वाला कोई भी उपयोगकर्ता लक्षित फ़िशिंग का शिकार नहीं हुआ। यह डेटा 2019 में गूगल खातों को कवर करता है।
इसलिए एक टेक्स्ट कोड अकेले पासवर्ड की तुलना में एक बड़ा सुधार है, खासकर बड़े पैमाने पर होने वाले हमलों के खिलाफ जिनका अधिकांश लोग सामना करते हैं। यदि आपका खाता ऐप प्रॉम्प्ट या सुरक्षा कुंजी प्रदान करता है, तो वे अधिक मजबूत हैं। सामान्य खतरे (common threats) सिम स्वैप की व्याख्या करता है और बताता है कि मजबूत विकल्प कब मायने रखते हैं।
“मैं लक्षित किए जाने के लिए पर्याप्त महत्वपूर्ण नहीं हूँ”
यह धारणा मानती है कि हमलावर पीड़ितों का चयन करते हैं। उनमें से अधिकांश ऐसा नहीं करते हैं। गूगल ने पाया कि खाता हाइजैक करने के अधिकांश प्रयास अन्य उल्लंघनों में उजागर हुए पासवर्ड का उपयोग करने वाले स्वचालित बॉट से आए थे। एक बॉट नहीं जानता या उसकी परवाह नहीं करता कि आप कौन हैं। उसे केवल आपके पासवर्ड से मेल खाने की आवश्यकता है।
डेटा विक्रेता भी चयन नहीं करते हैं। सितंबर 2026 में प्रकाशित एक जांच में, डिस्मिसलैब (Dismislab) ने पाया कि बांग्लादेश में विक्रेता राष्ट्रीय आईडी प्रतियां, कॉल रिकॉर्ड और फ़ोन स्थान की पेशकश कर रहे थे, और अक्सर एक खरीदार को केवल एक मोबाइल नंबर की आवश्यकता होती थी। जब उपकरण बड़े पैमाने पर काम करते हैं तो महत्वहीन होना बहुत कम सुरक्षा प्रदान करता है।
सच्चाई का अंश यह है कि वास्तव में लक्षित हमले ज्यादातर दुश्मनों वाले लोगों पर होते हैं, जैसे पत्रकार, कार्यकर्ता और अधिकारी। बाकी सभी के लिए, व्यावहारिक जोखिम एक बहुत बड़े पूल में एक आसान खाता बनना है।
“ओपन-सोर्स सॉफ़्टवेयर हमेशा सुरक्षित होता है”
ओपन-सोर्स सॉफ़्टवेयर वह कोड है जिसे कोई भी पढ़ सकता है, और वह खुलापन कमियों को ढूंढना आसान बना सकता है। यह इस बात की गारंटी नहीं देता कि किसी ने देखा है।
मार्च 2024 में कई लिनक्स सिस्टम में शामिल एक कम्प्रेशन लाइब्रेरी xz Utils के संस्करण 5.6.0 और 5.6.1 में एक बैकडोर पाया गया था। इसे CVE-2024-3094 के रूप में ट्रैक किया गया था और गंभीरता के लिए 10 में से 10 रेटिंग दी गई थी। हमलावर ने परियोजना में योगदान देने में लगभग दो साल बिताए थे, मेंटेनर का दर्जा हासिल किया था और फिर रिलीज़ फाइलों में दुर्भावनापूर्ण कोड छुपा दिया था। माइक्रोसॉफ्ट के एक इंजीनियर, एंड्रेस फ्रायंड (Andres Freund) ने देखा कि SSH लॉगिन उम्मीद से धीमे थे और अधिकांश स्थिर रिलीज़ तक कोड पहुँचने से पहले उन्होंने इसका पता लगा लिया। अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी (CISA) ने एक अलर्ट जारी किया।
यह मामला दोनों तरफ से काम करता है। खुले विकास (open development) ने एक हमलावर को एक विश्वसनीय परियोजना को विकृत करने की अनुमति दी, और खुली जांच ने हमले को पकड़ लिया। क्लोज्ड-सोर्स सॉफ़्टवेयर भी डिफ़ॉल्ट रूप से अधिक सुरक्षित नहीं है। बाहरी लोग इसे नहीं पढ़ सकते हैं, लेकिन इसका ऑडिट किया जा सकता है और शोधकर्ता अभी भी रिवर्स इंजीनियरिंग के माध्यम से कमियां पा सकते हैं, जैसा कि प्राइवेसी गाइड्स नोट करता है। लाइसेंस का प्रकार सुरक्षा तय नहीं करता है। किसी उत्पाद का रिकॉर्ड, रखरखाव और स्वतंत्र ऑडिट सुरक्षा तय करते हैं।
“गोपनीयता खत्म हो चुकी है, इसलिए कोई फ़ायदा नहीं है”
लोग अक्सर कहते हैं कि बहुत देर हो चुकी है क्योंकि सब कुछ पहले ही लीक हो चुका है। कानून के प्रोफेसर नील रिचर्ड्स (Neil Richards) इसके विपरीत तर्क देते हैं: गोपनीयता खत्म नहीं हुई है बल्कि दांव पर है, जिसका अर्थ है कि परिणाम अभी भी बनाए जा रहे नियमों और विकल्पों पर निर्भर करता है। ऊपर दिया गया गूगल डेटा दिखाता है कि कुछ सामान्य कदम अधिकांश बड़े पैमाने के हमलों को रोकते हैं, और सरकारें नए डेटा सुरक्षा कानून पारित करती रहती हैं। गोपनीयता क्यों मायने रखती है (Why privacy matters) विस्तृत तर्क देता है।
स्रोत (Sources)
- Google to Purge Stored Incognito Mode Records, GovTech (Tribune News Service), 2024.
- Google is finally deleting your Incognito mode browsing history, well, some of it, Laptop Mag, 2024.
- FTC Provides Tips on Using VPN Apps, US Federal Trade Commission, फरवरी 2018.
- FTC warning users to do homework before using VPN apps, SC Media, 2018 (एफटीसी का हवाला देते हुए).
- VPN (glossary entry), Privacy Guides, एक्सेस किया गया अक्टूबर 2026.
- HTTPS Protocol Now Used in 58% of Phishing Websites, Trend Micro, 2019 (APWG आंकड़ों की रिपोर्टिंग).
- Latest APWG Phishing Statistics Show Evolving Attack Techniques, Proofpoint, 2019.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, National Institute of Standards and Technology, 2025.
- NIST 800-63B Rev 4: What’s New in Password Security, Enzoic, 2025.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- FTC Issues Guidance On Protecting Against SIM Swap Attacks, BleepingComputer, एफटीसी मार्गदर्शन की रिपोर्टिंग.
- NID in 17 minutes, location in 16: Report finds Bangladeshis’ personal data sold as commodity, bdnews24.com via The Financial Express, 2026 (डिस्मिसलैब की जांच की रिपोर्टिंग).
- SSH Backdoor from Compromised XZ Utils Library, InfoQ, 2024.
- Malicious maintainer introduces sophisticated backdoor in xz, CNCF TAG Security, 2024.
- Common Misconceptions, Privacy Guides, 2025.
- Is privacy dead?, नील रिचर्ड्स के साथ साक्षात्कार, Washington University in St. Louis, 2021.