UPI fraud India: ₹500 कैसे एक click में ₹50,000 बन जाता है

Q: RBI 2027 compensation इस case पर कैसे लागू होता है?

Revised digital fraud compensation framework 1 January 2027 से electronic banking transactions पर apply होता है; 2026 losses का अलग cut-off है। Overview: RBI rules 2027 · Cut-off: 2026 losses।

वह call जिसने सब कुछ बदल दिया

UPI fraud India में एक spoofed "bank fraud" call और shared UPI PIN — account seconds में खाली। Bangalore, February 2023. Ramesh — 52 साल के retired accountant — को call आया: आवाज़ bank के fraud department जैसी शांत और professional थी। "Sir, आपके account पर unusual activity मिली है। Unknown UPI ID पर ₹50,000 का transaction। क्या आपने authorize किया?"

उन्होंने नहीं किया था।

"Sir, हमें तुरंत reverse करना है। Security protocol के लिए अपना UPI PIN share कीजिए — refund आपके account में process कर दूँगा।"

Call display पर familiar bank name देखकर Ramesh ने PIN दे दिया। तीन मिनट में ₹84,000 गायब — ₹50,000 नहीं। Refund कभी नहीं आया। Call दोबारा नहीं आया।

यह case हमें इसलिए पता चला क्योंकि दो हफ्ते बाद उनके बेटे ने हमारी helpline पर call किया — लगभग टूटे हुए। पिता ठीक से खाना छोड़ चुके थे। रात 3 बजे उठकर bank app refresh करते थे, जैसे पैसे लौट आएँगे। Rational mind जानता है कि नहीं लौटेंगे। Grieving mind नहीं मानता।

यह बेवकूफी की कहानी नहीं है। यह कहानी है कि UPI fraud India में आज कैसे काम करता है।

UPI क्यों perfect weapon बन गया

UPI — Unified Payments Interface — money को democratize करने आया था। Branch नहीं, queue नहीं। ₹5 auto-ride या ₹50,000 deposit — सब phone से। NPCI ने इसे fast, accessible, और by design irrevocable बनाया। UPI PIN से authorize होते ही पैसा चला जाता है। System trust पर चलता है, confirmation की परतें कम हैं।

वही speed और simplicity अब weapon है।

India में UPI volumes बहुत बड़े हैं — और साथ में UPI fraud scattered incidents से organized business model बन चुका है। 2015 में digital fraud अक्सर card skimming / ATM cloning था — physical, slow, paper trail। 2019 तक WhatsApp और Facebook पर migrate हो गया। 2023 तक voice-calling और social engineering इतने deep merge हो गए कि victim scammer की आवाज़ को bank से अलग नहीं कर पाता।

यही असल खतरा है।

Fraud कैसे unfold होता है — पाँच entry points

Understanding mechanics से victim का shame कम होता है। पाँच common रास्ते:

1. Impersonation call. Spoofed number (ICICI, SBI, HDFC जैसा prefix) से caller कहता है — fraudulent activity हुई है। UPI PIN या Aadhaar-linked OTP माँगते हैं। Ramesh का case textbook है। Fear real है, bank name real लगता है, PIN चला जाता है, account drain।

2. Fake link. WhatsApp / SMS: "₹2000 Amazon voucher — link अंदर।" Login page perfect replica। Credentials चली गईं। अगर Amazon account UPI auto-pay से linked है, दूसरा breach वहीं से। Victim तब सीखता है जब statement पर ₹15,000 order दिखता है।

3. Job offer. "Work from home. ₹50,000/month. Security deposit ₹500 UPI से भेजो।" आप भेजते हैं। अब उनके पास UPI ID और phone है। छोटे test transfers — ₹10, ₹50 — फिर drain या credentials दूसरे ring को बेचना।

4. QR code swap. Shop का QR normal लगता है। आप ₹500 pay करते हैं — code swapped था, पैसा fraud ring को गया। अगले 24 घंटे में बड़े attempts / repeated notifications की उम्मीद करते हैं कि victim notice न करे।

5. Account compromise. Malware, phishing trojan, या physical theft से phone access। Real-time UPI देखना, payment password reset, drain। पैसा अक्सर mule account में — forged documents वाला shell UPI ID — फिर crypto / illegal transfer network की ओर।

QR / screenshot "customer care" traps: UPI QR या payment screenshot customer care को भेजना safe है? · Remote-access refund: Bank ने AnyDesk माँगा? वह call scam है

Mule account ecosystem

यहीं fraud industrial बनता है।

Scammer stolen money अपने account में नहीं रख सकता — RBI और banks suspicious patterns flag करते हैं। Money mule accounts से गुज़रता है। अक्सर desperate व्यक्ति को ₹2000–₹5000 का "quick cash job" दिखाकर borrowed Aadhaar + नए SIM से account खुलवाया जाता है। 12–18 घंटे बैठता है, फिर दूसरे mule या crypto exchange की ओर।

जब victim FIR file करता है, पैसा अक्सर 4–5 mules पार कर Bitcoin / hawala में बदल चुका होता है।

Cyber-crime officers की frustration: trail mule तक पहुँचती है, holder कहता है transfers authorize नहीं किए (कभी सच — phone compromise)। Investigation stall। Victim सुनता है — recovery मुश्किल।

हकीकत: बहुत से UPI fraud victims पूरा amount कभी recover नहीं करते। कुछ को महीनों बाद 10–20% मिलता है। बहुत से को कुछ नहीं।

Mule क्या है: What is a money mule account · देर से report: 7 दिन बाद report — police recover कर सकती है?

Banks क्यों slow लगते हैं

RBI और NPCI के guidelines हैं — helplines, liability caps, dispute timelines। Paper पर India का UPI safeguard framework मजबूत दिखता है।

Practice में Saturday evening fraud helpline पर call → Monday callback। Monday तक drain पूरा हो चुका होता है। Branch में proof लेकर जाओ तो insurance claim / "PIN secure नहीं रखा" वाला blame-shift शुरू। Individual employees अक्सर उसी system में फँसे होते हैं जहाँ recovery restoration नहीं, loss-minimization लगता है।

Hard truth: bank का incentive आपके ₹84,000 recover करने से ज़्यादा case 45 दिनों में close करने का हो सकता है। इसलिए आपको same-day action लेना पड़ता है।

2027 compensation framework अलग clock चलाता है — देखें: RBI digital fraud compensation 2027 · How to claim

वास्तव में क्या काम करता है

Immediate action. Fraudulent UPI notification आते ही bank से UPI ID block / freeze माँगें। Bleeding रुकती है — अपनी payments भी रुक सकती हैं, फिर भी सही पहला कदम है।
Same-day FIR / cyber complaint. Bank के move का इंतज़ार न करें। Fresh case में mule flag की संभावना बेहतर। 72 घंटे बाद trail बिखर चुकी होती है।
बड़े amounts पर legal pressure. ऊँचे नुकसान पर Consumer Commission / appropriate legal route — banks तब sharper respond करते हैं जब liability / publicity cost साफ हो।
सभी evidence preserve करें. Statements, call logs, WhatsApp chats, complaint receipts — documentation ही bank inertia के खिलाफ हथियार है।
Shame में चुप न रहें. Embarrassment scammer की सबसे बड़ी जीत है। Ramesh ने building residents से बात की — तीन ने वही call पहचाना; एक लगभग फँस चुका था। Story share करना defense है।

Official report: National Cyber Crime Reporting Portal · Helpline 1930 · 1930 पर call करने पर क्या होता है? · How to Report a Cyber Crime in India

वह एक बात जो सब बदलती है

UPI fraud सिर्फ इसलिए नहीं रुकेगा कि यह profitable और distributed है, या क्योंकि capture rate कम है। घटेगा जब हर व्यक्ति माने — phone अब strongest asset और weakest point दोनों है।

UPI PIN email password नहीं है (recover हो जाता है)। यह घर की चाबी है। Compromise = access।
OTP confirmation message नहीं — आपकी signature है। Bank, "customer service", किसी को भी share न करें।
Aadhaar + phone number UPI accounts खोलने की चाबी हैं — documents की तरह protect करें।

आज ही ये पाँच actions लें

UPI daily transaction limit सेट करें — कई banks ₹10,000 / ₹25,000 cap देते हैं। अभी करें।
₹1000 से ऊपर biometric authorization enable करें — PIN type हो सकता है, fingerprint fake करना कठिन।
Bank fraud helpline को contacts में save करें — "BANK FRAUD ALERT — CALL ONLY"। Unexpected "bank" calls पर trust न करें।
Banking / UPI के लिए अलग email — social, shopping, job sites से अलग रखें ताकि एक breach cascade न हो।
Fraud के दिन ही police / 1930 complaint — छोटा amount भी। Small frauds account testing होते हैं; same mule पर pattern arrests तक ले जाता है।

WhatsApp-side social engineering: WhatsApp Scams in India · Fake KYC SMS: Fake KYC update SMS कैसे पहचानें