ईमेल आधुनिक इंटरनेट का सबसे पुराना हिस्सा है जिस पर अधिकांश लोग अभी भी भरोसा करते हैं, और इसे तब डिज़ाइन किया गया था जब गोपनीयता कोई चिंता का विषय नहीं थी। यह ऑनलाइन आपकी हर दूसरी चीज़ की कुंजी भी है, क्योंकि अन्य सेवाएं अपने पासवर्ड रीसेट इसी पर भेजती हैं। वह संयोजन ईमेल सुरक्षा को दो समस्याएं बनाता है: संदेशों को निजी रखना, और खाते को सुरक्षित रखना।
यह पृष्ठ बताता है कि आपका ईमेल कौन पढ़ सकता है, जाली प्रेषक पता (forged sender address) इतना आसान क्यों है, एन्क्रिप्शन क्या कर सकता है और क्या नहीं, और ईमेल खाते कैसे कब्ज़े में लिए जाते हैं। यह विशिष्ट ईमेल प्रदाताओं की सिफारिश नहीं करता है। वे विकल्प परीक्षण योग्य मानदंडों वाले पृष्ठ के अंतर्गत आते हैं।
सरल शब्दों में ईमेल क्या है
जब आप कोई संदेश भेजते हैं, तो आपका ईमेल प्रोग्राम इसे आपके प्रदाता के सर्वर को सौंप देता है। वह सर्वर इसे प्राप्तकर्ता के प्रदाता को पास करता है, और प्राप्तकर्ता का प्रोग्राम इसे प्राप्त करता है। प्रत्येक पड़ाव (hop) किसी के द्वारा चलाया जाने वाला एक कंप्यूटर है, और प्रत्येक सिद्धांत रूप में संदेश को देख और संग्रहीत कर सकता है। प्रणाली इस प्रकार बनाई गई थी कि कोई भी प्रदाता बिना किसी केंद्रीय प्राधिकरण (central authority) के किसी भी अन्य को डिलीवरी कर सके।
वह डिज़ाइन ईमेल की अधिकांश कमज़ोरियों की व्याख्या करता है। संदेश उन मध्यस्थों से होकर गुजरते हैं जिन्हें आपने नहीं चुना है। “From” रेखा में दिखाया गया पता केवल वही पाठ है जो प्रेषक ने टाइप किया है। और किसी संदेश को वितरित करने के लिए आवश्यक जानकारी (जैसे कि किसने भेजा और किसे मिला) को सर्वर द्वारा पठनीय होना पड़ता है।
आपका ईमेल कौन पढ़ सकता है
तीन स्थान हैं जहाँ एक संदेश उजागर हो सकता है।
मार्ग में (In transit)। सर्वरों के बीच चलने वाले मेल को ट्रांसपोर्ट लेयर सिक्योरिटी (TLS) से सुरक्षित किया जा सकता है, जो वेबसाइटों पर पैडलॉक (ताले का निशान) के पीछे की वही तकनीक है। यह केवल तभी काम करता है जब दोनों प्रदाता इसका समर्थन करते हैं। गूगल की पारदर्शिता रिपोर्ट वर्तमान में 98% आउटबाउंड और 99% इनबाउंड जीमेल ट्रैफ़िक को एन्क्रिप्टेड दिखाती है। यह 2014 से एक बड़ा बदलाव है, जब गूगल ने रिपोर्ट किया था कि जीमेल और अन्य प्रदाताओं के बीच 40% से 50% मेल एन्क्रिप्टेड नहीं थे, और Comcast.net पर 1% से कम मेल एन्क्रिप्टेड थे। TLS संदेश की सुरक्षा सर्वरों के बीच करता है, न कि किसी छोर पर।
संग्रहण में (At rest)। आपका प्रदाता आपके मेल को संग्रहीत करता है, आमतौर पर ऐसे रूप में जिसे वह पढ़ सकता है, और प्राप्तकर्ता का प्रदाता भी ऐसा ही करता है। TLS इसके बारे में कुछ नहीं करता है। प्रदाता कभी-कभी स्पैम को फ़िल्टर करने के लिए थर्ड-पार्टी सेवाओं का भी उपयोग करते हैं। यह किसी कंपनी के पास आपके द्वारा रखे जाने वाले किसी भी खाते का समान तर्क है, और गोपनीयता क्यों मायने रखती है (why privacy matters) कवर करता है कि जानकारी रखने वाले का उस पर अधिकार क्यों होता है।
आपके उपकरणों पर और आपके खाते में। कोई भी व्यक्ति जो आपके खाते में या आपके अनलॉक किए गए फ़ोन में प्रवेश करता है, वह इसे पढ़ सकता है। व्यवहार में यह सबसे आम रास्ता है, जैसा कि नीचे दिए गए खाता अधिग्रहण (account takeover) अनुभाग में बताया गया है।
ईमेल के लिए एंड-टू-एंड एन्क्रिप्शन, और इसकी सीमाएँ
एंड-टू-एंड एन्क्रिप्शन का अर्थ है कि केवल आप और प्राप्तकर्ता ही संदेश पढ़ सकते हैं, यहाँ तक कि प्रदाता भी नहीं। ईमेल के लिए यह ऐड-ऑन मानकों से आता है, मुख्य रूप से OpenPGP और S/MIME। दोनों के लिए प्राप्तकर्ता के पास एक कुंजी (key) होना आवश्यक है, और दोनों के लिए सॉफ़्टवेयर और सेट-अप की आवश्यकता होती है जिसका उपयोग अधिकांश लोग नहीं करते हैं।
तीन सीमाओं को जानना उचित है।
मेटाडेटा दृश्यमान रहता है। प्रेषक, प्राप्तकर्ता, तारीख और आमतौर पर विषय रेखा (subject line) को पठनीय रहना पड़ता है ताकि सर्वर संदेश वितरित कर सकें। मुख्य सामग्री (body) को एन्क्रिप्ट करना यह नहीं छुपाता है कि किसने किसे और कब ईमेल किया। मानक इस प्रकार काम करते हैं, हालांकि हमें कोई ऐसा एक अधिकारिक पृष्ठ नहीं मिला है जो हर हेडर को सूचीबद्ध करता हो, इसलिए विवरणों को सामान्य के रूप में मानें।
सॉफ़्टवेयर कमियां (Software flaws)। 2018 में, यूरोपीय शोधकर्ताओं ने EFAIL का खुलासा किया, जो OpenPGP और S/MIME पर हमलों का एक सेट था। एक हमलावर जिसके पास एक एन्क्रिप्टेड संदेश था, वह इसे इस तरह से बदल सकता था कि एक संवेदनशील ईमेल प्रोग्राम, इसे डिक्रिप्ट करते समय और HTML मेल में छवियों जैसी बाहरी सामग्री लोड करते समय, प्लेनटेक्स्ट को हमलावर के सर्वर पर भेज देता था। इसके बाद सुधार और सलाह आए: अपने ईमेल सॉफ़्टवेयर को अपडेट करें, और HTML रेंडरिंग व रिमोट कंटेंट को बंद कर दें, जिसकी सोफ़ोस (Sophos) ने सिफारिश की थी। कुछ टिप्पणीकारों का तर्क था कि यह कमी विशिष्ट कार्यान्वयन में थी, स्वयं OpenPGP में नहीं।
बाधाएं (Friction)। कोई संदेश केवल तभी सुरक्षित होता है जब दूसरा व्यक्ति भी एन्क्रिप्शन का उपयोग करता है, और निजी कुंजियों को सुरक्षित रखना आपका काम है। आमने-सामने की निजी बातचीत के लिए, एन्क्रिप्टेड ईमेल की तुलना में एंड-टू-एंड एन्क्रिप्टेड मैसेजिंग ऐप अधिकांश लोगों के लिए बेहतर काम करता है। किसी स्रोत, वकील या पत्रकार जैसी विशिष्ट आवश्यकता के लिए, एन्क्रिप्टेड ईमेल सार्थक हो सकता है, और थ्रेट मॉडल इसे तय करता है।
जाली प्रेषक क्यों काम करते हैं, और क्या चीज़ उन्हें रोकती है
किसी संदेश में “From” पता केवल एक फ़ील्ड है। बिना किसी जांच के, कोई भी इसमें आपके बैंक का पता टाइप कर सकता है। तीन मानक प्राप्त करने वाले सर्वर को यह तय करने में मदद करते हैं कि क्या कोई संदेश वास्तव में उसी डोमेन से आया है जिसका वह दावा करता है।
- प्रेषक नीति ढांचा (Sender Policy Framework - SPF) उन सर्वरों को सूचीबद्ध करता है जिन्हें किसी डोमेन के लिए भेजने की अनुमति है।
- डोमेनकीज़ आइडेंटिफाइड मेल (DomainKeys Identified Mail - DKIM) एक डिजिटल हस्ताक्षर जोड़ता है जिसे प्राप्तकर्ता सत्यापित कर सकता है।
- डोमेन-आधारित संदेश प्रमाणीकरण, रिपोर्टिंग और अनुरूपता (Domain-based Message Authentication, Reporting and Conformance - DMARC) दोनों पर आधारित है और प्राप्तकर्ताओं को बताता है कि विफल होने वाले मेल के साथ क्या करना है।
ये आपके लिए मायने रखते हैं भले ही डोमेन मालिक ही वे हैं जो इन्हें सेट करते हैं। फरवरी 2024 में, गूगल और याहू ने जीमेल और याहू पतों पर बल्क मेल भेजने वालों के लिए SPF और DKIM का उपयोग करना अनिवार्य कर दिया, और प्रति दिन 5,000 से अधिक संदेश भेजने वालों के लिए DMARC का उपयोग करना अनिवार्य कर दिया। इसने उनके उपयोगकर्ताओं को लक्षित करने वाले कुछ जाली मेल को बाहर कर दिया। यह हर संदेश को सुरक्षित नहीं बनाता है। हमलावर मिलते-जुलते (look-alike) डोमेन का उपयोग करते हैं जो सभी जांच पास कर लेते हैं, और जांच इस बारे में कुछ नहीं कहती है कि प्रेषक ईमानदार है या नहीं।
फ़िशिंग अभी भी मुख्य तरीका है जिससे लोगों के खिलाफ ईमेल का इस्तेमाल किया जाता है। एफबीआई के इंटरनेट क्राइम कम्प्लेन सेंटर (IC3) ने 2025 में 191,561 फ़िशिंग और स्पूफ़िंग शिकायतें दर्ज कीं, जो किसी भी प्रकार में सबसे अधिक थीं, और व्यापार ईमेल समझौता (business email compromise), जहाँ अपराधी भुगतान को पुनर्निर्देशित करने के लिए किसी विश्वसनीय पक्ष का प्रतिरूपण करते हैं, के कारण रिपोर्ट किए गए नुकसान में लगभग $3 बिलियन का नुकसान हुआ। वे दर्ज शिकायतों से बने अमेरिकी आंकड़े हैं। सामान्य खतरे (common threats) फ़िशिंग को अधिक विस्तार से कवर करता है।
दो आदतें मदद करती हैं। केवल प्रदर्शन नाम (display name) नहीं, बल्कि वास्तविक भेजने वाले डोमेन की जांच करें। और पैसे या लॉगिन पर आपको जल्दी से कार्य करने के लिए प्रेरित करने वाले किसी भी संदेश को संदिग्ध मानें, और दूसरे रास्ते से पुष्टि करें। एफबीआई उन संदेशों को चिह्नित (flag) करने की भी सलाह देती है जहाँ उत्तर का पता (reply address) प्रेषक के पते से अलग होता है, जो धोखाधड़ी का एक सामान्य संकेत है।
संदेशों के अंदर ट्रैकिंग
कई व्यावसायिक ईमेलों में एक ट्रैकिंग पिक्सेल (tracking pixel) होता है, जो एक छोटी अदृश्य छवि होती है। जब आपका ईमेल प्रोग्राम इसे लोड करता है, तो प्रेषक का सर्वर सीखता है कि आपने संदेश कब खोला, किस प्रकार के डिवाइस पर, और आपके आईपी पते से आप लगभग कहाँ हैं। प्रोटॉन (Proton), जो गोपनीयता-केंद्रित ईमेल बेचता है और आंकड़ों में रुचि रखता है, कहता है कि लगभग आधे ईमेलों में किसी न किसी प्रकार का ट्रैकर होता है। दूसरों द्वारा उद्धृत प्रिंसटन के एक अलग अध्ययन में पाया गया कि 70% मेलिंग लिस्ट ईमेलों में ऐसा था।
आप इसे सीमित कर सकते हैं। एप्पल मेल की ‘Mail Privacy Protection’ एप्पल के सर्वर के माध्यम से रिमोट छवियों को समय से पहले लोड करती है, इसलिए प्रेषक आपका वास्तविक आईपी पता नहीं देख पाते हैं या यह भी नहीं देख पाते हैं कि क्या आपने वास्तव में संदेश पढ़ा है। कई ईमेल प्रोग्राम आपको पूछे जाने तक रिमोट छवियों को ब्लॉक करने देते हैं। इसका नुकसान यह है कि जब तक आप छवियों को लोड नहीं करते हैं, तब तक कुछ ईमेल टूटे हुए दिखाई देते हैं।
आपका ईमेल खाता मुख्य कुंजी (master key) है
यदि कोई हमलावर आपके ईमेल को नियंत्रित करता है, तो वे आपके बैंक, आपके शॉपिंग खातों और आपके सोशल मीडिया पर पासवर्ड रीसेट कर सकते हैं। खाते की सुरक्षा करना किसी भी एकल संदेश की सुरक्षा करने से अधिक मायने रखता है।
हमलावर सामान्य तरीकों से प्रवेश करते हैं: किसी अन्य डेटा लीक से पुन: उपयोग किया गया पासवर्ड, एक फ़िशिंग पेज, या एक चोरी हुआ सत्र (session)। एक बार अंदर जाने के बाद, एक सामान्य कदम इनबॉक्स नियम (rules) बनाना है। 2021 में एफबीआई ने चेतावनी दी थी कि अपराधी पीड़ितों के वेब-आधारित ईमेल में ऑटो-फ़ॉरवर्डिंग नियम स्थापित कर रहे थे, जो अक्सर डेस्कटॉप प्रोग्राम में अदृश्य होते थे, ताकि संदेशों को अपने पास कॉपी किया जा सके और अपनी गतिविधि को छुपाया जा सके। नियम सुरक्षा चेतावनियों को स्थानांतरित या हटा भी सकते हैं, ताकि आप उन्हें न देख सकें। चूंकि एक नियम प्रतियां फ़ॉरवर्ड करना जारी रख सकता है, इसलिए केवल पासवर्ड रीसेट करने से जोखिम समाप्त नहीं हो सकता है।
खाता अधिग्रहण के संकेतों में ऐसे नियम, फ़िल्टर या फ़ॉरवर्डिंग पते शामिल हैं जिन्हें आपने नहीं बनाया है, ऐसे भेजे गए संदेश जिन्हें आप याद नहीं रखते हैं और ऐसे पासवर्ड रीसेट ईमेल जिनकी आपने मांग नहीं की थी। यदि आपको इसका संदेह है, तो सरकारी साइबर सुरक्षा सलाह पासवर्ड बदलने, अपरिचित नियमों और फ़ॉरवर्डिंग को हटाने, अपने संपर्कों को अपने हाल के संदेशों पर भरोसा न करने के लिए कहने और बहु-कारक प्रमाणीकरण को चालू करने की सिफारिश करती है। यदि आप प्रवेश नहीं कर सकते हैं, तो प्रदाता की खाता पुनर्प्राप्ति (account recovery) प्रक्रिया का तुरंत उपयोग करें।
दो सुरक्षात्मक उपाय सबसे अधिक मायने रखते हैं। एक लंबा, अनूठा पासवर्ड, जिसे पासवर्ड परिचय (introduction to passwords) कवर करता है, और एक दूसरा लॉगिन चरण, जिसे बहु-कारक प्रमाणीकरण (multifactor authentication) कवर करता है। एफबीआई से संबंधित मार्गदर्शन से एक और विवरण: POP और IMAP जैसे पुराने ईमेल प्रोटोकॉल हमलावरों को कुछ खातों पर बहु-कारक प्रमाणीकरण को दरकिनार करने दे सकते हैं, इसलिए किसी भी लीगेसी एक्सेस को बंद कर दें जिसका आप उपयोग नहीं करते हैं।
ईमेल किस लिए अच्छा है
ईमेल को एक पोस्टकार्ड के रूप में मानें जो एक मास्टर कुंजी के रूप में भी काम करता है। यह नोटिस, रसीदें और पासवर्ड रीसेट के लिए, और उन लोगों के साथ संवाद करने के लिए अच्छा है जो किसी अन्य चैनल पर नहीं हैं। जिन बातचीत को आप निजी रखना चाहते हैं, उनके लिए एंड-टू-एंड एन्क्रिप्शन वाला मैसेजिंग ऐप आमतौर पर बेहतर टूल होता है। खाता निर्माण (account creation) बताता है कि कैसे ईमेल उपनाम (aliases) आपके मुख्य पते को हर साइन-अप से बाहर रख सकते हैं।
कहाँ से शुरुआत करें
ये कदम सबसे उपयोगी से कम उपयोगी की ओर चलते हैं।
- अपने ईमेल खाते को एक लंबा, अनूठा पासवर्ड दें, और एक दूसरा लॉगिन चरण चालू करें। एक सुरक्षा कुंजी या ऑथेंटिकेटर ऐप टेक्स्ट-मैसेज कोड से अधिक मजबूत होता है।
- फ़ॉरवर्डिंग पते, इनबॉक्स नियम और कनेक्टेड ऐप्स जिन्हें आप नहीं पहचानते हैं, उनके लिए अपने खाता सेटिंग्स की जांच करें और उन्हें हटा दें।
- पैसे, लॉगिन या डिलीवरी के बारे में अत्यावश्यक संदेशों के प्रति सतर्क रहें। खुद ढूंढे गए नंबर या वेबसाइट का उपयोग करके पुष्टि करें।
- रिमोट छवियों को ब्लॉक करें या अपने ईमेल प्रोग्राम की ट्रैकिंग सुरक्षा चालू करें।
- केवल तभी एन्क्रिप्टेड ईमेल का उपयोग करें जब आपके पास कोई विशिष्ट आवश्यकता हो, और उन खातों के लिए एक अलग पते का उपयोग करें जिन्हें आप खोना बर्दाश्त नहीं कर सकते।
आपको इसमें से कितने की आवश्यकता है यह इस बात पर निर्भर करता है कि खाता किसकी सुरक्षा करता है, जिसे तय करने में थ्रेट मॉडलिंग (threat modeling) आपकी मदद करता है।
स्रोत (Sources)
- Safer Email: Email encryption in transit, Google Transparency Report, एक्सेस किया गया अक्टूबर 2026.
- Google, in promoting encryption, calls out Microsoft and Comcast, InfoWorld, 2014.
- EFAIL opens up encrypted email to prying eyes, Threatpost, 2018.
- The EFAIL vulnerability – why it’s OK to keep on using email, Sophos Naked Security, 2018.
- e-Fail, Thales, 2018.
- Google and Yahoo Set New Email Authentication Requirements, Proofpoint, 2023.
- 2024 DMARC Yahoo, Gmail, and Apple email requirements, EasyITGuys, 2024.
- 2025 Losses to Cybercrime Exceeded $20 Billion, HIPAA Journal, 2026 (एफबीआई IC3 आंकड़ों की रिपोर्टिंग).
- 2025 Internet Crime Report: Nearly $21 Billion Lost, dmarcian, 2026 (एफबीआई IC3 आंकड़ों की रिपोर्टिंग).
- FBI warns of BEC scammers using email auto-forwarding in attacks, BleepingComputer, 2021.
- Criminals Funnelling Money From Businesses In Sophisticated Email Scam, ChannelNews, 2021 (एफबीआई नोटिस की रिपोर्टिंग).
- 14 tips to prevent business email compromise, CSO Online, एक्सेस किया गया अक्टूबर 2026.
- Hidden intruders in the email inbox, save.ch, एक्सेस किया गया अक्टूबर 2026.
- What is email account compromise?, Isle of Man Government साइबर सुरक्षा सलाह, एक्सेस किया गया अक्टूबर 2026.
- Improved protection against email trackers, Proton, एक्सेस किया गया अक्टूबर 2026.
- How Email Tracking Pixels Work and How to Block Them, State of Surveillance, एक्सेस किया गया अक्टूबर 2026.