UPI fraud कैसे काम करता है: Rajesh के case से सीखें

वह पल जब सब टूट गया

Rajesh real name नहीं है। पर Gurugram की एक Tuesday afternoon जो उनके साथ हुआ — real है। इसी साल हज़ारों Indians ने लगभग वही sequence देखा: bank जैसा message, authentic-looking page, OTP, और minutes में खाता खाली।

UPI fraud कैसे काम करता है — यह सिर्फ “suspicious link मत खोलो” वाली एक लाइन सलाह नहीं है। यह phishing design, OTP psychology, mule-account cash-out, और banking liability architecture का मिला-जुला सिस्टम है। जब तक ये चारों समझ में न आएँ, protection अधूरी रहती है।

Rajesh desk पर था — software engineer, 32, पैसे के मामले में careful। Phone buzz हुआ। Message “ICICI Bank” जैसा दिख रहा था (बारह साल से ICICI account)। लिखा था: Your card has been blocked due to suspicious activity. Click here to verify.

Link “सही” लगा। Page भी ICICI जैसी लगी। Muscle memory चल पड़ी — username, password, फिर phone पर आया 6-digit OTP। तीन सेकंड बाद उसका UPI ID किसी और के device पर Bengaluru में active था। छह मिनट में ₹84,000 गायब — बहन की wedding outfit के लिए बचाए तीन महीने।

अगली सुबह उन्होंने CyberSathi जैसी helpline पर वो सवाल पूछा जो हर victim पूछता है: “क्या मैं जान सकता था?”

वास्तव में मशीनरी क्या थी

Phishing pages अब “obvious fake” नहीं रह गईं

पुराने scams में “1C1C1 Bank” जैसी spelling गलतियाँ आम थीं। आज के pages अक्सर pixel-perfect होते हैं — logo, fonts, layout, यहाँ तक कि loading animation। Domain एक character अलग हो सकता है: icicibank-verify.com बनाम असली bank domain। Victim उस पल card block की घबराहट में होता है, URL audit में नहीं। Panic design का हिस्सा है, accident नहीं।

OTP firewall नहीं — last lock है

बहुत लोग मानते हैं OTP ही सुरक्षा है। UPI fraud में OTP अक्सर last credential बन जाता है जिसे victim खुद type कर देता है। Flow roughly ऐसा होता है:

Scammer phishing से username/password ले लेता है (या MITM से real bank session तक relay करता है)।
Transaction / login उनकी तरफ initiate होता है।
OTP आपके phone पर SMS से आता है — इसलिए “bank ने भेजा” लगता है।
आप OTP phishing page या caller को दे देते हैं।
NPCI/UPI rails तेज़ी से money move कर देते हैं क्योंकि system मानता है: OTP = user authorization।

यही asymmetry है: bank देखता है “authorized OTP”; आप महसूस करते हैं “मुझे धोखा हुआ।” दोनों बातें एक साथ सच लग सकती हैं — और यही dispute को कठिन बनाता है।

Mule account के बाद पैसा बिखरता है

Stolen funds अक्सर सीधे scammer के personal account में नहीं रुकते। पहला hop money mule होता है — temporary account, कभी forged KYC से। वहाँ से crypto exchange, cash-out, या और hops। जब victim freeze माँगता है, trail पहले ही पतली हो चुकी होती है। विस्तार: Money mule account क्या होता है?

Rajesh के साथ system क्यों fail दिखा

बुधवार सुबह fraud helpline — कई transfers — हर बार लगभग एक ही लाइन: “Sir, transaction OTP से initiate हुई, मतलब आपने authorize किया।” Technically उनके playbook में सही; practically phishing context गायब।

RBI के unauthorized / liability frameworks paper पर मौजूद हैं, पर customer को अक्सर negligence / authorization का बोझ उठाना पड़ता है। UPI पर बहुत बड़ा volume है — detection और friction banks के लिए cost है; जब proof burden customer पर हो, calculus bank-favour झुक सकता है।

Rajesh-like cases में रास्ता लंबा होता है: local cyber complaint / FIR, bank grievance, कभी CERT-In / nodal, फिर Ombudsman। Months लग सकते हैं। इसलिए same-day trail सबसे महत्वपूर्ण है — बाद की eloquence से ज़्यादा। देखें: 1930 पर क्या होता है? · Cyber crime कैसे report करें · 7 दिन बाद recovery

2027 से revised digital fraud compensation clocks अलग हैं (cut-off समझें): RBI rules 2027 · Claim steps

Ground reality — fraud कैसे फैल रहा है

तीन साल में vector evolve हुआ: crude SMS → WhatsApp “पुराना friend” forwards (“UPI verify — tax claim”) → fake telecom/bank calls जो OTP माँगते हैं → job “verification payment” ₹100 → screen/UPI ID harvest → credential markets।

Entry barrier कम है: सस्ता phishing host, number lists, mule accounts, crypto on-ramps। Conversion छोटा होने पर भी economics crime को sustainable बना सकती है — यही वजह है attacks रुकने के बजाय बढ़ते हैं।

आसपास के channels: WhatsApp scam India · Fake KYC SMS · AnyDesk UPI refund scam · SIM-swap fraud

“Simply don’t click” क्यों अधूरी सलाह है

हाँ, bank links मत खोलो — app सीधे खोलो। अच्छी आदत। लेकिन card-blocked वाले message पर दिमाग शांत seminar mode में नहीं जाता; security panic आता है। Scammers checkers नहीं खेल रहे — आपकी anxiety के साथ खेल रहे हैं।

दूसरा: कुछ attacks MITM जैसे होते हैं जहाँ fake page credentials को real bank तक relay करती है। OTP आपके real phone पर आता है; scammer उसे real session में घुसा देता है। आपको “लगता” है सब official है।

तीसरा: real bank notifications में भी कभी CTA / confirm language होती है। Real और fake का अंतर कभी एक शब्द का होता है। यह सिर्फ “ज्ञान की कमी” नहीं — product/design की समस्या भी है।

Hard truth

अगर scammer आपके credentials/context तक पहुँच गया और आपसे OTP दिलवा लिया, UPI की गति उसके पक्ष में काम करती है। System पहले money को fast move करने के लिए optimize है; “always protect the panicked human” उसका default नहीं।

Rajesh जैसे कई cases में पूरा amount वापस नहीं आता। जो बदलता है वह यह है: parents/family को सिखाना कि bank message/call पर OTP नहीं माँगता; link से नहीं, app से verify करते हैं; unexpected OTP पर freeze पहले।

आज से लागू करने योग्य 7 steps

Unexpected OTP = कहीं type न करें। अलग device/number से bank fraud desk।
UPI app पर अलग PIN/biometric — सिर्फ phone lock पर्याप्त नहीं।
Bank messages: link मत खोलो। Official app खोलो; helpline number card/statement से — Google/message से नहीं।
संभव हो तो banking-only device — उस पर WhatsApp/email कम से कम।
Daily UPI limit अपनी जरूरत से थोड़ा ऊपर सेट करें — drain को cap मिलती है।
Same day FIR / cybercrime.gov.in / 1930 — acknowledgement dispute की नींव है।
Statements weekly देखें — छोटे recurring drains भी pattern बनाते हैं।