क्या आपको लगता है कि हमने गलत किया?
हमें यह साबित करने के लिए मजबूर करो।

हम यह अक्सर सुनते हैं। हम बहस नहीं करेंगे — लेकिन ईमानदारी से कहें तो हमें समझ नहीं आता कि यह कठोरता कहाँ है, या किसके प्रति है। इसलिए यहाँ ठीक-ठीक बताया गया है कि हम क्या करते हैं, और आप इसके हर हिस्से की जाँच कर सकते हैं।

"बड़े पैमाने" का मतलब है कि हम कितने फ़िशिंग डोमेन संभालते हैं, न कि हम उनमें से किसी एक पर कितनी ज़ोर से वार करते हैं। हर डोमेन के लिए एक रिपोर्ट भेजी जाती है — उसके रजिस्ट्रार को। फ़ॉलो-अप तभी भेजा जाता है जब डोमेन अब भी सक्रिय हो, और यह ICANN या TLD ऑपरेटर को भी भेजा जा सकता है। फ़ॉलो-अप की दर सख़्ती से सीमित है: पिछली रिपोर्ट के बाद 48 घंटे बीतने से पहले कभी नहीं। हमारे अपने आँकड़ों के अनुसार, 2026 में लगभग 7% डोमेन को पहली रिपोर्ट के अलावा कुछ और मिला — और उनमें से हर एक के दुर्भावनापूर्ण होने की पुष्टि हुई। हमारा सिस्टम खुला है: किसी भी डोमेन के लिए भेजी गई रिपोर्टों की संख्या सार्वजनिक है।

हम रजिस्ट्रारों पर "इन्हें बैन करो" कहकर नहीं चिल्लाते। हमारे पास किसी को मजबूर करने की कोई ताक़त नहीं है, और हमारे रिपोर्ट टेम्पलेट लंबे समय से सार्वजनिक हैं। उनमें रजिस्ट्रार की एब्यूज़ टीम से डोमेन, उसके मालिक और उसकी सामग्री की तुरंत जाँच करने का अनुरोध किया जाता है। हम यह दावा नहीं करते कि मालिक दुर्भावनापूर्ण है, या यहाँ तक कि सामग्री उसी की है। हम कहते हैं कि शायद साइट से छेड़छाड़ की गई हो या वह हैक हो गई हो, और रजिस्ट्रार या होस्ट से जाँच करने को कहते हैं। हम स्पष्ट रूप से उनकी आंतरिक प्रक्रियाओं का सम्मान करते हैं और निर्णय उनकी AUP और सेवा की शर्तों पर छोड़ देते हैं। रिपोर्ट में यह भी उल्लेख होता है कि सुरक्षा समुदाय को सूचित करने के लिए डोमेन को टाइमस्टैम्प के साथ हमारी सार्वजनिक सूची में जोड़ा गया है।

हम किसी पर आरोप नहीं लगाते, और न ही ब्लॉक करने की माँग करते हैं। ऐसा करना अनुचित होगा, और यह हमारे अधिकार क्षेत्र से बाहर है। हमारे निष्कर्ष योग्य स्कैनिंग सिस्टम और हमारे द्वारा स्वयं एकत्र किए गए संकेतकों पर आधारित होते हैं, लेकिन कोई भी स्कैनर, प्रमाणित हो या नहीं, शून्य त्रुटि की गारंटी नहीं दे सकता — अकेले क्लोकिंग ही इसके लिए काफ़ी है। हमने कभी दावा नहीं किया कि हमसे गलतियाँ नहीं होतीं। हम हर जगह इसके उलट कहते हैं।

अगर हम रजिस्ट्रारों पर हमला कर रहे होते, तो उन्होंने हमें बहुत पहले ब्लॉकलिस्ट कर दिया होता।

इस मिथक के पीछे एक लेखक है। लगभग एक साल पहले, स्कैमर्स ने NiceNIC के निलंबन से बचने की एक गाइड प्रकाशित की थी। उसमें रजिस्ट्रार के लिए दिए गए टेम्पलेट पत्र में दावा किया गया था कि उनका स्कैम कैसीनो "प्रतिस्पर्धियों द्वारा करवाए गए समन्वित सामूहिक हमलों" का निशाना था।

नहीं। यह बात AI ने "सीड-फ़्रेज़ फ़्लडिंग" शब्दों से गढ़ी है। AI के लिए "फ़्लड" का मतलब है दुर्भावनापूर्ण हमला। पर यह वैसा नहीं है।

सीड फ़्लडिंग का मतलब है किसी फ़िशिंग किट के डेटा-संग्रह फ़ॉर्म में नकली रिकवरी फ़्रेज़ जमा करना। इससे चुराया गया डेटा बेकार हो जाता है और पता चलता है कि किट उसे कैसे प्रोसेस करती है, ताकि उसके बैकएंड की रिपोर्ट की जा सके। EmailJS जैसी सेवाओं ने ज़्यादातर मामलों में उन कुंजियों को रद्द करके प्रतिक्रिया दी है जिनसे फ़िशिंग साइटों की पहचान होती थी। हमने कई इन्फ्रास्ट्रक्चर जाँचों में इस तरीके का उपयोग किया है, और पूरी विधि /seed-flooding/ पर बताई गई है।

हर रन लॉग किया जाता है — लक्ष्य, समय और अनुरोधों की संख्या। मात्रा बड़ी हो सकती है, कभी-कभी दस लाख सबमिशन तक। लेकिन यह लगभग कभी भी पूरी तरह स्वचालित नहीं रहा। वर्षों पहले हमने Google विज्ञापनों वाले फ़िशिंग फ़ॉर्मों के ख़िलाफ़ इसे स्वचालित करने की कोशिश की थी, लेकिन यह काम नहीं आया: फ़िशर्स ने फ़ॉर्मेट बदल दिए, कैप्चा जोड़ दिए और पेलोड एन्क्रिप्ट कर दिए, और सही मौक़ा अपने-आप ढूँढ पाना संभव नहीं था।

• एक सबमिशन 12 शब्दों का एक अकेला POST अनुरोध और एक रिस्पॉन्स स्टेटस भर है। अपने IP से कोई वेबसाइट खोलना इससे कहीं ज़्यादा भारी होता है।
• इन सभी वर्षों में लगभग हर उपयोग Cloudflare के भीतर ही हुआ, Cloudflare से Cloudflare तक। पैकेट के आकार, साझा इन्फ्रास्ट्रक्चर और लोड के वितरण को देखते हुए, यह हमले की तरह काम कर ही नहीं सकता। दो अपवादों में बुनियादी सावधानियाँ बरती गईं: होस्टिंग प्रदाता को हमारी टेस्टिंग के बारे में पहले से आगाह किया गया था।
• हम एक गैर-लाभकारी प्रोजेक्ट हैं। हमारे पास न कोई बॉटनेट है, न प्रॉक्सी, न ही ऐसा कुछ जिससे किसी सर्वर को गिराया जा सके।
• किसी वैध साइट को डरने की कोई ज़रूरत नहीं है। अगर आपके पास कोई फ़ॉर्म है भी, तो 12/24 शब्दों का फ़्रेज़ उस पर कोई असर नहीं डालता। किट के हैंडलर्स में ख़ास वेरिएबल होते हैं; किसी सामान्य साइट पर ये बस हानिरहित POST अनुरोध हैं जो कहीं नहीं पहुँचते।

हमें आउटेज का ठीक उल्टा चाहिए: जब तक रजिस्ट्रार जाँच कर रहा हो, फ़िशिंग साइट को चालू रहना चाहिए। PhishDestroy ने कभी किसी पर DDoS हमला नहीं किया। हमें यह तरीका सुखद नहीं लगता, लेकिन इसमें कोई दुर्भावना नहीं है, और हम इसे उचित सीमाओं के भीतर रखते हैं।

हमें सीधे बताएँ — GitHub इश्यू या Telegram बॉट के ज़रिए। हम जवाब देते हैं।

हमें किसी वैध चीज़ को या गलती से किसी चीज़ को सूची में डालने में कोई दिलचस्पी नहीं है। इससे हमें कुछ हासिल नहीं होता, सिर्फ़ हमारी प्रतिष्ठा को नुकसान पहुँचता है और हमारे अपने सिस्टम पर फ़िल्टर और सख़्त हो जाते हैं। लेकिन सिस्टम में योगदानकर्ता भी हैं। बिना जाँच के सबमिट करने का अधिकार तभी मिलता है जब पहले काफ़ी संख्या में डोमेन सामान्य समीक्षा से गुज़र चुके हों। इस दर्जे का मूल्य है, और इसका दुरुपयोग हुआ है, जैसे कुछ "स्ट्रेस-टेस्ट" सेवाओं और ग्रे ज़ोन में चलने वाले एक इंडोनेशियाई कैसीनो कारोबार के मामले में।

हम इसके सख़्त ख़िलाफ़ हैं कि कोई फ़िशिंग से लड़ने के बजाय निजी फ़ायदे के लिए PhishDestroy का इस्तेमाल करे। भले ही आपकी अपनी सेवा पूरी तरह साफ़-सुथरी न हो, अगर आपको लगता है कि कोई साइटें बंद करवाने के लिए पैसे दे रहा है, तो हमें वह डोमेन या डोमेन्स भेजें। हम जाँच करेंगे। अगर हमारे समुदाय का कोई सदस्य साइटें बंद करवाने की सेवा बेचता है, तो हम उस सदस्य को और उसके द्वारा व्यावसायिक रूप से सूचीबद्ध हर डोमेन को ब्लॉक कर देते हैं। हर सवाल का हल निकल सकता है। लेकिन अगर आपकी साइट वाकई अवैध है, तो इसकी संभावना कम है कि हम उसे हटाएँगे।

हाँ। हर फर्जी पॉज़िटिव का असर हमारे नियमों पर पड़ता है। बड़े पैमाने के मामले या विसंगतियाँ — जैसे एक साथ कई वैध साइटों का डेटाबेस में होना — कभी अनदेखी नहीं रहतीं: हम पता लगाते हैं कि कौन-सा संकेत विफल हुआ, वह किस स्रोत से आया, और उस स्रोत ने और किन चीज़ों को प्रभावित किया।

हाँ। हर फर्जी पॉज़िटिव डोमेन को सार्वजनिक रूप से GitHub से हटाया जाता है और एक अलग कमिट के रूप में allow/allowlist.json में जोड़ा जाता है। जिस सुधार की कोई जाँच न कर सके, उसका कोई मूल्य नहीं है।