भारत में QR कोड धोखाधड़ी: किन बातों से सावधान रहें

भारत में QR कोड धोखाधड़ी बहुत सारी डरावनी सुर्खियां पैदा करती है और अपेक्षाकृत कम भरोसेमंद डेटा, तो शुरुआत उससे करनी चाहिए जो वाकई रिपोर्ट हुआ है।

भारतीय रिज़र्व बैंक की 2024-25 की वार्षिक रिपोर्ट ने बैंकिंग व्यवस्था में ₹3,497 करोड़ के 11,615 धोखाधड़ी मामले दर्ज किए, जो पिछले साल के 35,530 मामलों और ₹5,856 करोड़ से तेज़ी से कम हैं। उस कुल के भीतर, कार्ड और इंटरनेट धोखाधड़ी संख्या के हिसाब से मामलों का 66.8% थी — 7,756 घटनाएं — लेकिन मूल्य का सिर्फ 7.2%, यानी ₹252 करोड़।

यह बनावट बताती है कि ज़मीन पर qr code fraud india असल में कैसा दिखता है: बहुत ऊंची बारंबारता, बहुत कम औसत मूल्य। ये कुछ परिष्कृत तकनीकी सेंधों के बजाय व्यक्तिगत उपभोक्ताओं और छोटे व्यापारियों को निशाना बनाने वाले बड़ी संख्या में छोटे, मौकापरस्त घोटाले हैं। उस डेटा में औसत कार्ड-या-इंटरनेट धोखाधड़ी का मामला मोटे तौर पर ₹3 लाख बैठता है, और ज़्यादातर लोग जो आम QR-विशिष्ट घटना झेलते हैं वह उससे कहीं छोटी होती है — कुछ सौ या कुछ हज़ार रुपये।

यह इसलिए मायने रखता है कि आप इससे कैसे बचें। बचाव तकनीकी परिष्कार नहीं है। यह लगातार अपनाई गई मुट्ठी भर आदतें हैं।

प्रमुख तरीके में कोई तकनीक शामिल ही नहीं होती। एक ठग एक QR स्टिकर छापकर उसे एक व्यापारी के असली भुगतान कोड पर चिपका देता है — एक किराना काउंटर पर, एक पेट्रोल पंप पर, एक पार्किंग कर्मी के बोर्ड पर, एक ठेले पर, एक खड़े ऑटो पर।

ग्राहक नेकनीयती से स्कैन करता है, भुगतान करता है, और व्यापारी को सफल लेन-देन की स्क्रीन दिखाता है। व्यापारी, व्यस्त होने के नाते, उस पर एक नज़र डालकर उसे जाने देता है। पैसा ठग के पास गया। अक्सर किसी को तब तक पता नहीं चलता जब तक व्यापारी दिन की कमाई का हिसाब न मिलाए और कमी न पाए — और तब तक कई ग्राहक भुगतान करके जा चुके होते हैं।

इसे असरदार बनाने वाली बात यह है कि स्टिकर को छोड़कर इस स्थिति की हर चीज़ वैध है। दुकान असली है, व्यापारी असली है, लेन-देन वाकई पूरा होता है। ध्यान देने लायक कुछ भी संदिग्ध नहीं है, जब तक आप खासतौर पर अपनी स्क्रीन पर प्राप्तकर्ता का नाम न देखें, या व्यापारी खासतौर पर अपना कोड न जांचे।

यही वजह है कि पूरे विषय की दो सबसे कीमती आदतें हैं: ग्राहक पुष्टि करने से पहले प्राप्तकर्ता का नाम पढ़ें, और व्यापारी अपने कोड नियमित रूप से जांचें। हमारी नकली QR कोड पहचानने की गाइड भौतिक संकेत विस्तार से बताती है।

यह अपने अलग हिस्से का हकदार है क्योंकि यह बेहद आम है और एक नियम से पूरी तरह टाला जा सकता है।

UPI में पाने-के-लिए-स्कैन जैसा कोई तंत्र है ही नहीं। एक QR कोड स्कैन करना हमेशा सिर्फ आपके खाते से भुगतान शुरू कर सकता है। यह पैसे अंदर नहीं ला सकता। रिफंड पाने, इनाम लेने, कैशबैक इकट्ठा करने, लौटाई जा रही जमानत पाने, या किसी खरीदार से भुगतान लेने के तरीके के रूप में पेश किया गया कोई भी कोड बनावट से ही धोखाधड़ी है — कभी-कभी नहीं, आमतौर पर नहीं, हमेशा।

आम प्रस्तुतियां:

• क्लासिफाइड खरीदार। एक मार्केटप्लेस ऐप पर, आपकी पुरानी चीज़ का एक "खरीदार" यह दावा करते हुए QR कोड भेजता है कि इससे भुगतान आपको ट्रांसफर होगा। अक्सर वे भरोसा बनाने के लिए पहले एक छोटी रकम भेजते हैं, फिर बड़े "ट्रांसफर" के लिए एक कोड भेजते हैं जो असल में आपसे रकम काटता है।
• रिफंड घोटाला। किसी "कस्टमर केयर" नंबर से एक कॉल करने वाला कहता है कि आपके रिफंड को प्रोसेस होने के लिए एक QR स्कैन चाहिए।
• इनाम या कैशबैक का दावा। एक SMS में या स्क्रैच कार्ड पर एक कोड, जिसे जीत का दावा करने के रूप में पेश किया जाता है।
• Collect अनुरोध। यह QR है ही नहीं लेकिन उसी परिवार का है — आने वाले भुगतान के भेस में एक UPI collect अनुरोध, जिसे आप अपने PIN से मंज़ूर करके पैसे भेज देते हैं।

नियम सरल है और इसका कोई अपवाद नहीं: पैसे पाने के लिए आप कभी अपना UPI PIN नहीं डालते। अगर कोई स्क्रीन आपका PIN मांग रही है, तो पैसा आपके खाते से जा रहा है।

दो प्रमुख तरीकों से आगे:

• नकली पार्किंग और चालान सूचनाएं। विंडस्क्रीन वाइपर के नीचे एक छपी पर्ची जिस पर जुर्माने के "तुरंत भुगतान" के लिए एक QR कोड होता है, जो एक भरोसेमंद दिखने वाले नकली भुगतान पेज पर ले जाता है।
• डिलीवरी दोबारा भेजने का शुल्क। एक पैकेज की पर्ची या एक SMS पर कोड जो दावा करता है कि विफल डिलीवरी को दोबारा शेड्यूल करने के लिए एक छोटा शुल्क और कार्ड विवरण चाहिए।
• KYC समाप्ति। एक SMS या एक छपी बैंक सूचना में कोड जो दावा करता है कि आपकी KYC दोबारा सत्यापित होनी है, और आपके बैंक के लॉगिन की नकल करने वाले क्रेडेंशियल चुराने वाले पेज पर ले जाता है।
• नकली दान और चंदा कोड। खासकर त्योहारों और आपदाओं के आसपास, जब असली दान QR कोड भी व्यापक होते हैं और नकली उनमें घुल-मिल जाते हैं।
• नौकरी और लोन आवेदन कोड। एक आवेदन के बहाने आधार, PAN और बैंक विवरण जुटाने वाले पेज पर ले जाता कोड।
• समझौता किए गए व्यापारी डिस्प्ले। कम आम लेकिन ज़्यादा नुकसानदेह: एक असली छपी स्टैंडी पर QR कोड जो उत्पादन या वितरण के दौरान बदल दिया गया, व्यापारी तक पहुंचने से भी पहले।

इन सबके बीच साझा धागा यह है कि QR कोड सिर्फ पहुंचाने का ज़रिया है। असली हमला उसके पीछे का पेज या भुगतान अनुरोध है, और असली बचाव है कुछ करने से पहले अपने सामने जो है उसे पढ़ना।

अगर आपके साथ धोखाधड़ी हुई है, तो तेज़ी नतीजे पर ठोस असर डालती है — अगर शिकायत बैंक तक पैसा आगे निकाले जाने से पहले पहुंच जाए तो कभी-कभी रकम रोकी या पलटी जा सकती है।

• राष्ट्रीय साइबर-धोखाधड़ी हेल्पलाइन, 1930 पर कॉल करें। यह वित्तीय साइबर धोखाधड़ी के लिए भारत सरकार का समर्पित नंबर है, और यह खासतौर पर ट्रांसफर हुई रकम पर तेज़ रोक लगवाने के लिए मौजूद है। सबसे पहले, किसी और चीज़ से पहले इसी पर कॉल करें।
• cybercrime.gov.in पर राष्ट्रीय साइबर क्राइम रिपोर्टिंग पोर्टल पर शिकायत दर्ज करें। इससे एक औपचारिक शिकायत रिकॉर्ड बनता है, जो किसी भी बैंक विवाद के लिए आपको चाहिए होगा।
• अपने बैंक या भुगतान प्रदाता से उनके आधिकारिक ऐप या एक प्रकाशित नंबर से संपर्क करें। कभी संदिग्ध पेज पर दिखे, SMS में आए, या संपर्क करने वाले के दिए नंबर से नहीं — नकली "कस्टमर केयर" नंबर खुद भारत में एक बड़ी घोटाला श्रेणी हैं।
• सबूत रखें। लेन-देन, पेज, SMS, UPI संदर्भ संख्या के स्क्रीनशॉट, और अगर कोई भौतिक कोड था तो उसकी तस्वीर।
• भौतिक कोड की शिकायत करें। व्यापारी को बताएं, और अगर यह सार्वजनिक ढांचे पर था — एक पार्किंग बोर्ड, एक नगरपालिका सूचना — तो संबंधित अधिकारी को बताएं ताकि उसे हटाया जा सके।

छोटी रकम के लिए भी यह करें। व्यक्तिगत शिकायतें ही अधिकारियों को बड़ी संख्या में छोटी धोखाधड़ियों के पीछे के खाते और पैटर्न पहचानने देती हैं।

QR धोखाधड़ी में व्यापारी अनदेखे पीड़ित हैं। एक बदला हुआ स्टिकर उनकी बिक्री, उनका माल और एक ग्राहक का भरोसा ले जाता है — और उन्हें आमतौर पर सबसे आखिर में पता चलता है।

व्यावहारिक, कम-लागत बचाव:

• हर सुबह अपना कोड जांचें। इसे दुकान खोलने का हिस्सा बनाएं। सही स्थिति की तस्वीर लें और उसे वहां रखें जहां स्टाफ मिला सके।
• इसे ऐसे लगाएं कि साफ तरीके से ढका न जा सके। एक्रिलिक के नीचे, एक फ्रेम में, लैमिनेटेड, या स्टिकर की तरह चिपकाने के बजाय सीधे एक कड़े बोर्ड पर छपा हुआ।
• कोड पर और उसके आसपास अपने कारोबार का नाम दिखाएं, ताकि एक सादा बदला हुआ स्टिकर साफ तौर पर गलत दिखे।
• प्राप्तकर्ता का नाम पुष्ट करें, सिर्फ "भुगतान सफल" स्क्रीन नहीं। स्टाफ को सिखाएं कि ग्राहक जो दिखाए उसे वाकई देखें। एक धोखाधड़ी वाला भुगतान भी सफल स्क्रीन दिखाता है — प्राप्तकर्ता का नाम ही अकेला फर्क करने वाला विवरण है।
• अपने ऐप से मिलान करें। निर्णायक पुष्टि आपके अपने UPI ऐप में जमा की सूचना है, ग्राहक के फोन की स्क्रीन नहीं।

खासकर मार्केटिंग QR कोड के लिए, वही अनुशासन एक अलग नतीजे के साथ लागू होता है: एक बदला हुआ मार्केटिंग कोड आपके ग्राहकों को आपके ब्रांड के नाम पर किसी और के पेज पर भेजता है। ज़्यादा आवाजाही वाले प्लेसमेंट जांचें, और एक ब्रांडेड छोटा डोमेन (Premium प्लान, ₹14,999/माह) इस्तेमाल करें ताकि URL प्रीव्यू खुद आपकी पुष्टि करे। हमारी भारत के लिए UPI QR कोड गाइड भुगतान पक्ष को और गहराई से बताती है।

QR कोड प्रकाशित करने वाले कारोबार के लिए धोखाधड़ी से बचाव का एक हिस्सा ऐसा है जो स्टैटिक कोड दे ही नहीं सकते।

अगर किसी मार्केटिंग कोड से समझौता हो जाए — एक डेस्टिनेशन पेज बिगाड़ दिया जाए, एक डोमेन एक्सपायर होकर किसी और के नाम दर्ज हो जाए, एक कैंपेन लिंक का दुर्भावनापूर्ण इस्तेमाल हो — तो एक डायनामिक कोड आपको डैशबोर्ड से उसे तुरंत कहीं और इंगित करने देता है। बाज़ार में पहले से मौजूद हर प्रिंटेड कॉपी सेकंडों में कहीं सुरक्षित जगह जाने लगती है। एक स्टैटिक कोड के साथ, डेस्टिनेशन पैटर्न में है और इकलौता इलाज है ऐसी सामग्री वापस मंगाकर दोबारा प्रिंट करना जो दस हज़ार कार्टन पर हो सकती है।

दूसरा फायदा दृश्यता है। डायनामिक कोड स्कैन एनालिटिक्स बनाते हैं, और उस डेटा में असामान्यताएं अक्सर पहला दिखने वाला संकेत होती हैं कि कुछ गलत है — एक अचानक मात्रा का उछाल, ऐसे भूगोल से स्कैन जहां आपकी कैंपेन पहुंची ही नहीं, एक ऐसे कोड पर गतिविधि जो सुप्त होना चाहिए। एक स्टैटिक कोड आपको तब तक कुछ नहीं बताता जब तक कोई ग्राहक शिकायत न करे।

इनमें से कोई भी किसी ठग को आपके कोड पर स्टिकर चिपकाने से नहीं रोकता — भौतिक जांच के अलावा कुछ नहीं रोकता। लेकिन इनका मतलब यह ज़रूर है कि जब आपके नियंत्रण वाले किसी कोड में कुछ गलत हो, तो आप प्रिंट चक्रों के बजाय मिनटों में कार्रवाई कर सकते हैं।

SMLLR पर अपना QR कोड बनाएं, अपने भौतिक प्लेसमेंट नियमित रूप से जांचें, और पक्का करें कि आपके ग्राहक जानते हों कि आपके कोड कहां जाने चाहिए।