किसी को UPI तोड़ने की ज़रूरत नहीं है। बस आपसे 'Pay' दबवाना है।

डिजिटल भुगतान की ठगी की एक तस्वीर लोगों के मन में जमी हुई है — कहीं बैठा कोई हैकर बैंक का एन्क्रिप्शन तोड़ रहा है। यह तस्वीर लगभग पूरी तरह ग़लत है। भारत में हर महीने अरबों UPI लेन-देन होते हैं, और जो ठगी लोगों के खाते ख़ाली करती है वह तकनीकी रूप से बेदाग़ होती है: सही डिवाइस, सही PIN, सही वन-टाइम पासवर्ड, और ऐसा लेन-देन जिसे मंज़ूर करना सिस्टम के लिए बिलकुल ठीक था। ठग ने कुछ तोड़ा ही नहीं। ठग ने खाताधारक से वह भुगतान मंज़ूर करा लिया।

यह क्यों मुमकिन है, यह समझने के लिए यह समझना पड़ेगा कि OTP असल में साबित क्या करता है — और किस बात का दावा उसने कभी किया ही नहीं।

प्रमाणन सिर्फ़ एक सँकरे सवाल का जवाब देता है

हर प्रमाणन व्यवस्था यही पूछती है: इस लेन-देन का निर्देश देने वाला व्यक्ति खाताधारक है या नहीं? चिरपरिचित कारक हैं — जो आप जानते हैं (PIN), जो आपके पास है (फ़ोन, कार्ड, सुरक्षा कुंजी), और जो आप हैं (उँगली का निशान या चेहरा)। दो-कारक प्रमाणन इनमें से दो जोड़ देता है ताकि एक चुरा लेना काफ़ी न हो।

इस पैमाने पर UPI ठीक-ठाक बना है। ऐप डिवाइस और सिम से बँधा होता है, और UPI PIN ऐसे हिस्से में डाला जाता है जिसे ऐप ख़ुद पढ़ नहीं सकता। किसी और देश में बैठा ठग सिर्फ़ आपका PIN टाइप करके पैसा नहीं हिला सकता; उसे आपका फ़ोन भी चाहिए।

पर ग़ौर कीजिए कि सिस्टम किस सवाल का जवाब दे रहा है। वह पूछता है कि निर्देश कौन दे रहा है। वह यह नहीं पूछता — और पूछ भी नहीं सकता — कि क्यों: खाताधारक समझ रहा है या नहीं कि यह लेन-देन करता क्या है, कहीं उसे किसी झूठ पर तो यक़ीन नहीं दिला दिया गया। जो व्यवस्था पहचान बिलकुल ठीक जाँचती है, वह ठीक-ठीक पहचाने गए व्यक्ति को अपनी जमा-पूँजी किसी अजनबी को भेजने की मंज़ूरी दे देगी। भुगतान उद्योग में इस चूक का नाम है अधिकृत पुश पेमेंट ठगी, और जहाँ-जहाँ रीयल-टाइम भुगतान है वहाँ यही सबसे बड़ी श्रेणी है।

OTP क्या है, और क्या नहीं

वन-टाइम पासवर्ड एक छोटी उम्र वाला साझा गुप्त कोड है, जो आम तौर पर SMS से भेजा जाता है ताकि यह साबित हो कि पंजीकृत नंबर आपके पास है। वह एक ख़ास चीज़ से अच्छी सुरक्षा देता है: ऐसे हमलावर से जिसने सिर्फ़ पासवर्ड चुराया है और उससे आगे कुछ नहीं।

इसकी कमज़ोरियाँ संयोग नहीं, बनावट का हिस्सा हैं।

SMS कभी सुरक्षित चैनल के रूप में बना ही नहीं था। संदेश एंड-टू-एंड एन्क्रिप्टेड नहीं होते, SMS की अनुमति पा चुका कोई भी दुर्भावनापूर्ण ऐप उन्हें पढ़ सकता है, और वे व्यक्ति के नहीं, नंबर के पीछे चलते हैं — सिम स्वैप ठगी का पूरा आधार यही है, जहाँ ठग जाली दस्तावेज़ों से आपके नंबर का डुप्लिकेट सिम ले लेता है और हर OTP उसके हैंडसेट पर पहुँचने लगता है। दूरसंचार नियम अब सिम दोबारा जारी होने के बाद कुछ समय तक कुछ लेन-देन पर रोक लगाते हैं, ठीक इसीलिए कि नुक़सान उसी खिड़की में होता है।

गहरी कमज़ोरी यह है कि OTP आगे बताया जा सकता है। यह ऐसा गुप्त कोड है जिसे बोलकर दोहराने के लिए उपयोगकर्ता को फुसलाया जा सकता है, और एक बार वह कॉल पर कोड पढ़ दे तो कोई भी क्रिप्टोग्राफ़ी काम नहीं आती। अब यह रीयल-टाइम में होता है: पीड़ित फ़ोन पर बात कर रहा होता है और ठग उसी वैधता-अवधि के भीतर असली बैंक साइट पर वह कोड डाल देता है।

OTP यह साबित करता है कि आपका नंबर रखने वाले किसी व्यक्ति ने सही अंक टाइप किए। यह कभी यह साबित करने के लिए बना ही नहीं था कि आप समझ रहे थे कि आप क्या मंज़ूर कर रहे हैं। आज की लगभग सारी भुगतान ठगी इसी दरार में रहती है।

दरार का इस्तेमाल कैसे होता है

भारत की लगभग हर आम ठगी उसी एक चाल का रूप है — मंज़ूरी को ही हथियार बना देना।

कलेक्ट रिक्वेस्ट। UPI में कोई आपसे पैसे की माँग भेज सकता है; उसे मंज़ूर करते ही पैसा आपके खाते से निकल जाता है। इसे रिफ़ंड, नौकरी का भुगतान, "₹1 का वेरिफ़िकेशन" या सामान ख़रीदते ग्राहक के रूप में पेश किया जाता है, और पीड़ित यह मानकर PIN डालता है कि पैसा आ रहा है। भारतीय डिजिटल भुगतान का सबसे काम का नियम यही है: पैसा लेने के लिए UPI PIN कभी नहीं डालना पड़ता। आते हुए पैसे को आपसे कुछ नहीं चाहिए। अगर कोई स्क्रीन PIN माँग रही है, तो पैसा जा रहा है।

QR कोड भी ऐसे ही चलते हैं। QR स्कैन करना आपकी तरफ़ से भुगतान तैयार करता है। "रिफ़ंड पाने के लिए यह स्कैन कीजिए" हमेशा भुगतान की माँग है।

स्क्रीन शेयरिंग। पीड़ित को "KYC में मदद" के नाम पर रिमोट-एक्सेस ऐप इंस्टॉल कराया जाता है। उसके बाद ठग स्क्रीन देखता है, OTP समेत, और अक्सर पूरा लेन-देन ख़ुद करा ले जाता है। बैंक और RBI बार-बार चेता चुके हैं; पहचान सीधी है — कोई भी असली बैंक, कभी भी, आपकी स्क्रीन नहीं देखना चाहता।

डर और जल्दबाज़ी। "डिजिटल अरेस्ट" ठगी — पुलिस या कूरियर कंपनी बनकर आया फ़ोन, किसी पार्सल में नशीले पदार्थ या मनी लॉन्ड्रिंग के मुक़दमे का आरोप, घंटों वीडियो कॉल पर बैठाकर "पैसा जाँचने" के लिए ट्रांसफ़र की माँग — भारत में इससे बहुत बड़े व्यक्तिगत नुक़सान हुए हैं। यह उसी सोच-विचार को हटाकर काम करती है जो वरना हो जाता, और साफ़ कह देना चाहिए: भारत की कोई जाँच एजेंसी वीडियो कॉल पर किसी को गिरफ़्तार नहीं करती, और न ही जाँच "साफ़" कराने के लिए पैसे माँगती है।

म्यूल खाते। पैसा पहुँचते ही टुकड़ों में बँटकर खातों की शृंखला से गुज़र जाता है — अक्सर ऐसे खाते, जो मामूली रक़म के बदले किसी आम आदमी से किराए पर लिए गए हैं। इसीलिए रिपोर्ट की रफ़्तार इतनी मायने रखती है, और इसीलिए अपना खाता किसी को "इस्तेमाल के लिए" दे देना एहसान नहीं, अपराध में हिस्सेदारी है।

वह नियम जो ज़रूरत पड़ने तक कोई नहीं पढ़ता

अनधिकृत इलेक्ट्रॉनिक लेन-देन पर RBI का ढाँचा ग्राहकों को असली सुरक्षा देता है: अगर नुक़सान बैंक की तरफ़ की चूक से या किसी तीसरे पक्ष से हुआ हो और ग्राहक की कोई ग़लती न हो, तो तुरंत सूचित करने पर देयता शून्य है, और थोड़ी देर से बताने पर सीमित। देरी ग्राहक का हिस्सा बढ़ाती जाती है।

पर एक श्रेणी इस सबसे बाहर बैठती है — ग्राहक की लापरवाही, जिसमें PIN या OTP बता देना साफ़ तौर पर शामिल है। ऐसे में जब तक ठगी की सूचना नहीं दी जाती, नुक़सान ग्राहक का है। ठग क्रिप्टोग्राफ़ी पर नहीं, बातचीत पर इतनी मेहनत क्यों करते हैं — क़ानूनी वजह यही है: जो लेन-देन आपने मंज़ूर किया, वह पहली नज़र में आपका ही लेन-देन है।

इसके दो व्यावहारिक नतीजे हैं। पहला, ठगी के बाद आपके हाथ में सबसे क़ीमती चीज़ घड़ी है: राष्ट्रीय साइबर हेल्पलाइन 1930 पर तुरंत कॉल कीजिए और cybercrime.gov.in पर शिकायत दर्ज कीजिए, साथ ही बैंक को बताइए — पहले घंटे में पैसा शृंखला के बीच में ही रोका जा सकता है। दूसरा, "तुरंत सूचित किया" उस समय से गिना जाता है जब बैंक को पता चला, उस समय से नहीं जब आपको पता चला — इसलिए पहले रिपोर्ट कीजिए, जाँच-पड़ताल बाद में।

असल में ठीक क्या करेगा

सुरक्षा इंजीनियरिंग मोटे तौर पर इस नतीजे पर पहुँच चुकी है कि समस्या साझा गुप्त कोड हैं, उनका क्रियान्वयन नहीं। रास्ता फ़िशिंग-रोधी प्रमाणन की ओर जाता है: सार्वजनिक-कुंजी क्रिप्टोग्राफ़ी पर बनी साख, जो डिवाइस में रहती है, बायोमेट्रिक से खुलती है, और जिसमें आगे बताने लायक़ कुछ हार्डवेयर से बाहर जाता ही नहीं। पासकी इसी का उपभोक्ता रूप है। असल गुण यह है कि साख असली साइट या ऐप से बँधी होती है, इसलिए हूबहू नक़ल भी उसका इस्तेमाल नहीं कर सकती — और पीड़ित के पास बोलकर बताने के लिए कोई कोड होता ही नहीं। जो गुप्त कोड मौजूद ही नहीं, उसे आगे नहीं बताया जा सकता।

इससे तकनीकी आधी समस्या बंद होती है। दूसरी आधी नहीं, क्योंकि पासकी भी उस भुगतान को मंज़ूर कर देगी जिसके लिए उपयोगकर्ता को मना लिया गया है। वहाँ प्रगति क्रिप्टोग्राफ़ी जैसी नहीं दिखती, सही जगह पर लगाई गई अड़चन जैसी दिखती है: भेजने से पहले पाने वाले का असली पंजीकृत नाम दिखाना, पहली बार की बड़ी रक़म पर थोड़ा ठहराव, प्रति-योजना सीमाएँ, और ऐसे व्यवहार-आधारित सिस्टम जो उस लेन-देन पर झंडी उठाएँ जो इस खाते ने पहले कभी नहीं किया। इनमें से कई भारतीय भुगतान में आ चुके हैं, और इनका डिज़ाइन — कितनी अड़चन, किसके लिए, इस्तेमाल की कितनी असुविधा पर — तय नहीं, खुला शोध-प्रश्न है।

विद्यार्थियों और शोधकर्ताओं के लिए यह क्यों मायने रखता है

भुगतान सुरक्षा में आज दिलचस्प समस्याएँ वहीं हैं, और वे मुख्यतः क्रिप्टोग्राफ़ी की नहीं हैं। म्यूल नेटवर्क पकड़ने के लिए लेन-देन के ग्राफ़ पर धोखाधड़ी-पहचान, यह शोध कि लोग कौन-सी चेतावनी सचमुच पढ़ते हैं और किसे हटाकर आगे बढ़ जाते हैं, यह अर्थशास्त्र कि नुक़सान की ज़िम्मेदारी कहाँ रखने से प्रोत्साहन सही बैठते हैं, और भारत में चल रहे बेतहाशा अलग-अलग एंड्रॉयड फ़ोनों पर सिम बाइंडिंग तथा डिवाइस अटेस्टेशन की सुरक्षा — ये सब ज़िंदा सवाल हैं। और भारत दुनिया का सबसे बड़ा रीयल-टाइम भुगतान परिवेश है, यानी इन्हें पढ़ने की सबसे नतीजेदार जगह भी यही है।

यह ऐसा क्षेत्र भी है जहाँ स्थानीय आँकड़े कम हैं और सख़्त ज़रूरत के हैं। प्रयोग-योग्य सुरक्षा पर छपा ज़्यादातर काम ऐसे प्रतिभागियों के साथ हुआ है जो उस पहली बार स्मार्टफ़ोन चलाते व्यक्ति से बिलकुल अलग हैं, जो सस्ते फ़ोन पर अपनी दूसरी भाषा में लेन-देन कर रहा है — और कहीं और परखे गए डिज़ाइन यहाँ उन वजहों से फेल होते हैं जिनका क्रिप्टोग्राफ़ी से कोई लेना-देना नहीं।

नेटवर्क सुरक्षा पर यही व्यावहारिक काम इंटरनेशनल जर्नल ऑफ़ इन्फ़र्मेशन सिक्योरिटी इंजीनियरिंग (ISSN 3049-1150) का दायरा है, जो 2023 में शुरू हुई पीयर-रिव्यूड जर्नल है और नेटवर्क सुरक्षा में काम आने लायक़ जानकारी पर मूल शोध तथा समीक्षाएँ छापती है। कंप्यूटर विज्ञान और आईटी के विद्यार्थियों के लिए यह उस पाठ्यक्रम का ज़रूरी सुधार है जो साइफ़र पर कहीं ज़्यादा समय देता है और उस वजह पर बहुत कम, जिससे असल नुक़सान लगभग हमेशा होता है।

अक्सर पूछे जाने वाले सवाल

क्या OTP मेरे बैंक खाते की सुरक्षा के लिए काफ़ी है?

नहीं। OTP यह साबित करता है कि आपका पंजीकृत नंबर रखने वाले किसी व्यक्ति ने सही कोड टाइप किया। यह साबित नहीं करता कि लेन-देन आपने समझकर और चाहकर किया — और यह कॉल पर बताया जा सकता है, किसी दुर्भावनापूर्ण ऐप से पढ़ा जा सकता है, या सिम स्वैप से किसी और के फ़ोन पर मोड़ा जा सकता है।

पैसा लेने के लिए क्या UPI PIN डालना पड़ता है?

कभी नहीं। आते हुए पैसे को आपसे कुछ नहीं चाहिए। जो भी स्क्रीन PIN माँगे, या "रिफ़ंड के लिए" स्कैन कराया जाने वाला कोई भी QR — वह आपके खाते से भुगतान तैयार कर रहा है।

सिम स्वैप ठगी क्या है?

ठग जाली पहचान दस्तावेज़ों से आपके नंबर का डुप्लिकेट सिम ले लेता है, जिसके बाद आपके OTP उसके फ़ोन पर जाने लगते हैं। अपने हैंडसेट पर बिना वजह अचानक नेटवर्क चला जाना चेतावनी है, और दूरसंचार नियम सिम दोबारा जारी होने के बाद कुछ समय तक कुछ लेन-देन सीमित रखते हैं।

ठगी होने पर नुक़सान किसका होगा?

RBI के ढाँचे के तहत, बैंक की तरफ़ की या तीसरे पक्ष की चूक से हुए अनधिकृत लेन-देन में तुरंत सूचित करने पर देयता शून्य है और देर से बताने पर सीमित। जहाँ ग्राहक ने PIN या OTP साझा किया, उसे लापरवाही माना जाता है और सूचना देने तक का नुक़सान ग्राहक का होता है।

ठगी के बाद पहले घंटे में क्या करना चाहिए?

साइबर हेल्पलाइन 1930 पर कॉल कीजिए, cybercrime.gov.in पर शिकायत दर्ज कीजिए और तुरंत बैंक को बताइए। पैसा मिनटों में म्यूल खातों से आगे बढ़ जाता है, इसलिए जल्दी रिपोर्ट करना ही उसे रुकवाने लायक़ बनाता है — और देयता की घड़ी बैंक को बताए जाने से चलती है।

पासकी क्या है और वह ज़्यादा सुरक्षित क्यों है?

पासकी डिवाइस में रखी क्रिप्टोग्राफ़िक साख है, जो उँगली के निशान, चेहरे या डिवाइस PIN से खुलती है। आगे बताने लायक़ कुछ भेजा ही नहीं जाता, और वह साख सिर्फ़ असली साइट या ऐप के साथ चलती है — इसलिए न कोई कोड पकड़ा जा सकता है, न किसी ठग को बोलकर बताया जा सकता है।