How to Identify Phishing Emails and Fake Links
Avoid fraud by checking suspicious emails, links and login pages carefully.
What phishing looks like
Phishing is a message that pretends to be from someone you trust – your bank, Income Tax, a courier, Netflix, your school principal – to make you click a link, open an attachment, or share a password or OTP. It arrives by email, SMS, WhatsApp, Telegram or even a phone call.
8 warning signs
| Sign | Example |
|---|---|
| Urgency or fear | “Your account will be blocked in 2 hours” |
| Too good to be true | “You won ₹25 lakh in KBC lucky draw” |
| Sender address does not match | “SBI” alerts@sbi-kyc-update.info |
| Link text differs from the real address | Text says sbi.co.in, hovering shows sbi.co.in.verify-user.top |
| Asks for password, OTP, PIN, CVV | Real banks and Google never ask for these |
| Unexpected attachment | Invoice_8821.zip, Courier.apk, .html file |
| Generic greeting and mistakes | “Dear Customer, kindly do the needful immediate” |
| Pressure to keep it secret | “Do not tell anyone, this is confidential” |
How to check a link without clicking
- On a computer, hover the mouse over the link; the real address appears at the bottom-left of the browser. On a phone, long-press the link to see it.
- Read the domain from the right: in
https://sbi.co.in.verify-user.top/loginthe real domain is verify-user.top, not sbi.co.in. - Watch for look-alikes: paytrn.com (rn instead of m), amaz0n, g00gle, extra words like -secure, -kyc.
- “https” and the padlock only mean the connection is encrypted – fake sites have them too.
- When in doubt, do not click: open the official app or type the address yourself.
Check the sender properly (Gmail)
- Click the sender name to see the full email address.
- Open ⋮ → Show original: look for SPF: PASS, DKIM: PASS and DMARC: PASS for the real domain. Failures are a red flag.
- Gmail shows a yellow or red warning banner for suspicious emails – take it seriously.
- A real colleague’s account can also be hacked. If a known person suddenly asks for gift cards or urgent transfers, call them on their known number.
Clicked a phishing link? Do this now
- Do not enter anything more. Close the page.
- If you typed a password, change it immediately from the official site/app – and everywhere you used the same password.
- If you shared bank, card or UPI details or an OTP, call your bank and 1930 right away; file a complaint on cybercrime.gov.in.
- If you downloaded a file or app, do not open it; delete it and run a full antivirus scan.
- Check Gmail Security → Your devices and Recent security activity; turn on 2-Step Verification.
Report it
- Gmail: ⋮ → Report phishing.
- SMS/WhatsApp/call fraud: Sanchar Saathi → Chakshu (sancharsaathi.gov.in).
- Financial loss: 1930 and cybercrime.gov.in.
- In a school or office: forward it to the IT team as an attachment and warn others.
Quick test
Which of these is safe to open? (1) SMS: “Your electricity will be cut tonight, call 98xxxxxx12.” (2) Email from no-reply@accounts.google.com saying a new sign-in happened, with SPF/DKIM pass, which you open from the Google app. (3) WhatsApp: “Hi Dad, my phone broke, send ₹15,000 to this new number.” — Only (2), and only after checking in the Google app itself. (1) and (3) are classic scams: verify by calling the electricity office or your child on known numbers.
Phishing कैसा दिखता है
Phishing ऐसा message है जो किसी भरोसेमंद – आपका बैंक, Income Tax, courier, Netflix, आपके school principal – की तरफ़ से होने का दिखावा करता है, ताकि आप link पर click करें, attachment खोलें, या password या OTP share करें। यह email, SMS, WhatsApp, Telegram या phone call से भी आता है।
8 चेतावनी संकेत
| संकेत | उदाहरण |
|---|---|
| जल्दबाज़ी या डर | “2 घंटे में आपका account block हो जाएगा” |
| सच से ज़्यादा अच्छा | “आपने KBC lucky draw में ₹25 लाख जीते” |
| भेजने वाले का address मेल नहीं खाता | “SBI” alerts@sbi-kyc-update.info |
| Link का text असली address से अलग | Text sbi.co.in, hover करने पर sbi.co.in.verify-user.top |
| Password, OTP, PIN, CVV माँगना | असली बैंक और Google ये कभी नहीं माँगते |
| अनपेक्षित attachment | Invoice_8821.zip, Courier.apk, .html file |
| आम संबोधन और ग़लतियाँ | “Dear Customer, kindly do the needful immediate” |
| गुप्त रखने का दबाव | “किसी को मत बताइए, यह confidential है” |
बिना click किए link कैसे जाँचें
- Computer पर link पर mouse hover करें; असली address browser के नीचे-बाएँ दिखता है। Phone पर link को देर तक दबाकर देखें।
- Domain दाईं ओर से पढ़ें:
https://sbi.co.in.verify-user.top/loginमें असली domain verify-user.top है, sbi.co.in नहीं। - मिलते-जुलते नामों से सावधान: paytrn.com (m की जगह rn), amaz0n, g00gle, -secure, -kyc जैसे extra शब्द।
- “https” और ताला सिर्फ़ बताते हैं कि connection encrypted है – नकली sites में भी होते हैं।
- शक हो तो click न करें: आधिकारिक app खोलें या address ख़ुद type करें।
भेजने वाले को ठीक से जाँचें (Gmail)
- पूरा email address देखने के लिए भेजने वाले के नाम पर click करें।
- ⋮ → Show original खोलें: असली domain के लिए SPF: PASS, DKIM: PASS और DMARC: PASS देखें। Fail होना ख़तरे का संकेत है।
- Gmail संदिग्ध emails पर पीली या लाल चेतावनी पट्टी दिखाता है – इसे गंभीरता से लें।
- किसी असली साथी का account भी hack हो सकता है। जान-पहचान वाला अचानक gift cards या तुरंत transfer माँगे तो उसके जाने-पहचाने number पर call करें।
Phishing link पर click हो गया? अभी यह करें
- और कुछ न भरें। Page बंद करें।
- Password डाला हो तो तुरंत आधिकारिक site/app से बदलें – और हर जगह जहाँ वही password इस्तेमाल किया।
- Bank, card, UPI details या OTP दिया हो तो तुरंत बैंक और 1930 पर call करें; cybercrime.gov.in पर शिकायत दें।
- File या app download हुई हो तो न खोलें; delete करके पूरा antivirus scan चलाएँ।
- Gmail Security → Your devices और Recent security activity देखें; 2-Step Verification चालू करें।
Report करें
- Gmail: ⋮ → Report phishing।
- SMS/WhatsApp/call fraud: Sanchar Saathi → Chakshu (sancharsaathi.gov.in)।
- पैसे का नुकसान: 1930 और cybercrime.gov.in।
- School या office में: IT team को attachment के रूप में forward करें और दूसरों को सावधान करें।
जल्दी test
इनमें से कौन खोलना सुरक्षित है? (1) SMS: “आज रात आपकी बिजली कटेगी, 98xxxxxx12 पर call करें।” (2) no-reply@accounts.google.com से नए sign-in का email, SPF/DKIM pass के साथ, जिसे आप Google app से खोलते हैं। (3) WhatsApp: “Hi Papa, मेरा phone टूट गया, इस नए number पर ₹15,000 भेजो।” — सिर्फ़ (2), और वह भी Google app में ख़ुद जाँचने के बाद। (1) और (3) आम scams हैं: जाने-पहचाने numbers पर बिजली दफ़्तर या अपने बच्चे को call करके जाँचें।
Frequently Asked Questions
How can I tell if an email is phishing?
Look for urgency, a mismatched sender address, links whose real domain is different, requests for passwords or OTPs and unexpected attachments. When unsure, open the official app or website yourself instead of clicking.
Is a website safe if it has a padlock (https)?
No. The padlock only means the connection is encrypted. Phishing sites also use https. Check the domain name instead.
What should I do if I entered my password on a fake site?
Change the password immediately from the real site, change it on every site where you reused it, enable 2-Step Verification and check your account’s recent activity and devices.
