पैसे भेजने से पहले बैंक शाखा जाँच लें

OTP धोखाधड़ी कोई तकनीकी हमला नहीं है। यह तीन चरणों वाली सामाजिक चाल है, और हर चरण का अपना काम है। पहला चरण है बहाना: कॉल या संदेश की ऐसी वजह जो डरावनी नहीं, बल्कि दफ़्तरी और उबाऊ लगे। आपका कार्ड नवीनीकरण के लिए बाकी है। आपके खाते में रिफ़ंड आने वाला है। आपके रिवॉर्ड पॉइंट आज रात खत्म हो रहे हैं। यह उबाऊपन जान-बूझकर है, क्योंकि नाटकीय कहानी शक पैदा करती है और नीरस कहानी नहीं।

दूसरा चरण है बनावटी विश्वसनीयता। कॉल करने वाला शुरुआत ही ऐसी बात से करता है जो उसे पहले से पता है — आपका पूरा नाम, कार्ड के आखिरी चार अंक, आपकी शाखा, कभी-कभी हाल ही में किया गया कोई भुगतान। इनमें से कुछ भी गोपनीय नहीं है। यह सब लीक हुए व्यापारी डेटाबेस, डिलीवरी के लेबल, कर्ज़ के आवेदन और सोशल मीडिया से बाहर आ जाता है। लेकिन किसी अजनबी के मुँह से यह सुनकर एक ताकतवर और गलत नतीजा बनता है: यह तो सिर्फ़ मेरा बैंक ही जान सकता है। हकीकत में नाम और कार्ड के आखिरी चार अंक जानना कुछ भी साबित नहीं करता, क्योंकि यही जानकारी सबसे ज़्यादा लीक होती है।

तीसरा चरण है समय का दबाव, और असली नुकसान यहीं होता है। आपसे कहा जाता है कि समय निकला जा रहा है — दस मिनट में कार्ड बंद हो जाएगा, आधी रात को रिफ़ंड खत्म, इसी कॉल पर ऑफ़र समाप्त। समय सिकुड़ते ही सोचने की जगह खत्म हो जाती है। आप यह पूछना बंद कर देते हैं कि कहानी में दम है या नहीं, और बस काम निपटाने लगते हैं। ठीक उसी क्षण छह अंक माँगे जाते हैं — ठग को शुरू से यही चाहिए था। उसके पास आपका पासवर्ड नहीं है, ज़रूरत भी नहीं। आपका OTP उस लेनदेन को मंज़ूरी देता है जो वह पहले ही तैयार करके इंतज़ार कर रहा है।

वह नियम जो हर रूप में काम आता है: OTP बैंक के सामने आपकी पहचान का सबूत नहीं है। यह किसी लेनदेन को आपकी मंज़ूरी है। यदि पिछले साठ सेकंड में आपने खुद कोई लेनदेन शुरू नहीं किया, तो मंज़ूरी देने लायक कुछ वैध है ही नहीं। SMS खुद पढ़ें — उसमें रकम और दुकान का नाम लिखा होता है। यदि वह रकम आपने नहीं चाही, तो कॉल धोखाधड़ी है, चाहे कॉल करने वाला खुद को कोई भी बताए।

पहला दरवाज़ा SMS है। संदेश आता है कि आपकी KYC खत्म हो गई, आपका खाता बंद हो रहा है, या आज रात बिजली कट जाएगी — साथ में एक छोटा किया हुआ लिंक। लिंक खोलने पर हूबहू आपके बैंक जैसा पन्ना खुलता है और लॉग-इन करने को कहता है। पहचान हमेशा पते की पट्टी में होती है, डिज़ाइन में नहीं। पहले स्लैश से ठीक पहले वाला डोमेन देखें: असली बैंक का डोमेन छोटा और पहचाना हुआ होता है, जबकि फ़िशिंग डोमेन में बैंक का नाम सब-डोमेन या हाइफ़न वाली लंबी लड़ी के भीतर छिपा होता है। बैंक SMS के लिंक से KYC नहीं कराते।

दूसरा दरवाज़ा फ़ोन कॉल है, और यही सबसे कारगर है, क्योंकि जीवित आवाज़ आपकी हिचक देखकर उसी वक्त अपनी बात बदल लेती है। कॉलर आईडी का कोई मतलब नहीं — नंबर बदलकर दिखाना आसान और मुफ़्त है। सबसे खतरनाक मोड़ तब आता है जब कॉल करने वाला 'मदद' के नाम पर कोई ऐप इंस्टॉल करने को कहे। स्क्रीन-शेयरिंग या रिमोट-सपोर्ट ऐप आपकी चालू स्क्रीन, और कई फ़ोनों में आपके आने वाले SMS भी सौंप देता है — यानी उस पल से आने वाला हर OTP। बैंक का कोई कर्मचारी कॉल के दौरान कभी कुछ इंस्टॉल करने को नहीं कहेगा।

तीसरा दरवाज़ा सर्च है। ठग विज्ञापन खरीदकर और नकली कारोबारी लिस्टिंग बनाकर फ़र्ज़ी कस्टमर केयर नंबर को असली से ऊपर पहुँचा देते हैं। आप खुद कॉल करते हैं, जिससे आपका स्वाभाविक शक भी खत्म हो जाता है, क्योंकि संपर्क आपने शुरू किया। चौथा दरवाज़ा ऐप स्टोर है: ऐसे ऐप जो बैंक के नाम और आइकन की इतनी करीबी नकल हैं कि एक नज़र में पकड़ में नहीं आते। हेल्पलाइन नंबर अपने डेबिट कार्ड के पीछे से, पासबुक से, या बैंक के अपने ऐप से लें — सर्च के नतीजे से कभी नहीं। और बैंकिंग ऐप सिर्फ़ बैंक की आधिकारिक वेबसाइट के लिंक से ही इंस्टॉल करें।

एक आदत चारों दरवाज़े बंद कर देती है: जिस माध्यम से आपसे संपर्क किया गया, उसी पर बात आगे न बढ़ाएँ। कोई संदेश, कॉल या सर्च नतीजा चिंता पैदा करे तो रुकें, और पहले से अपने पास मौजूद नंबर या ऐप से खुद संपर्क करें। समस्या असली होगी तो वापस कॉल करने पर भी बनी रहेगी। धोखाधड़ी यह बदलाव नहीं झेल पाती।

UPI का एक नियम पूरी तरह समझ लेना चाहिए, क्योंकि लगभग हर UPI धोखाधड़ी लोगों के इसे न जानने पर ही टिकी है। आपका UPI पिन खाते से पैसा निकलने की मंज़ूरी देता है। पैसा आने के लिए यह कभी नहीं चाहिए। पैसा लेना निष्क्रिय काम है: कोई आपको पैसे भेजे तो वे अपने आप आ जाते हैं, आपको कुछ नहीं करना पड़ता। इसलिए 'पैसे पाने के लिए' पिन डालने का कोई भी निर्देश, बिना किसी अपवाद के, पैसे देने का निर्देश है।

जिस सुविधा का दुरुपयोग होता था उसका नाम है कलेक्ट रिक्वेस्ट — एक ऐसी सुविधा, जिससे कोई आपसे भुगतान माँग सकता था। आपकी स्क्रीन पर यह रकम और एक नोट के साथ सूचना बनकर आती है, और उस नोट का पाठ ठग खुद लिखता है। इसलिए उसमें लिखा हो सकता है 'रद्द ऑर्डर का रिफ़ंड' या 'इनाम की राशि', जबकि असल में वह रकम काटने की माँग है। मंज़ूरी देकर पिन डालते ही पैसा बाहर चला जाता है। NPCI ने 1 अक्टूबर 2025 से व्यक्ति-से-व्यक्ति कलेक्ट रिक्वेस्ट बंद कर दी, जिससे इस जाल का सबसे आम रूप खत्म हो गया — लेकिन मर्चेंट भुगतान अनुरोध, पेमेंट लिंक और नकली मर्चेंट हैंडल अब भी मौजूद हैं, और ठग उन्हीं की ओर मुड़ गए हैं। हालात वही हैं: पुरानी चीज़ें बेचने के सौदे, जहाँ 'खरीदार' कहता है कि सामान का पैसा पाने के लिए कुछ मंज़ूर कर दीजिए, और नकली ऑर्डर रद्द होने के बाद रिफ़ंड का नाटक।

QR कोड स्कैन करना भी इसी तरह काम करता है। QR कोड में भुगतान का गंतव्य दर्ज होता है। वह आपकी तरफ़ पैसा खींच नहीं सकता। यदि कोई पैसा पाने के लिए कोड स्कैन करने को कहे, या स्कैन के बाद पिन डालने को कहे, तो लेनदेन उस दिशा के ठीक उलट चल रहा है जो आपको बताई गई है। मंज़ूरी से पहले पुष्टि वाली स्क्रीन पढ़ें: उस पर हमेशा साफ़ लिखा होता है कि आप भुगतान कर रहे हैं या पा रहे हैं — और वही आखिरी सच्ची बात है जो आपको दिखेगी।

यह याद रख लें और इस पूरी श्रेणी से सुरक्षित हो जाएँ: पैसा पाने के लिए कभी पिन नहीं लगता। UPI पर नहीं, भारत के किसी भुगतान ऐप पर नहीं, एक बार भी नहीं।

दबाव में इरादे टूट जाते हैं, आदतें टिकी रहती हैं। जाँच की आदत यानी एक छोटा तय क्रम, जिसे आप किसी नए व्यक्ति को भुगतान करते समय हर बार दोहराते हैं — ताकि जिस दिन असल ज़रूरत हो उस दिन सतर्क रहने के भरोसे न रहना पड़े। चार जाँच काफ़ी हैं। पहली, IFSC जाँचकर देखें कि वह उसी शाखा तक पहुँचता है जो प्राप्तकर्ता ने बताई। दूसरी, खाता संख्या अक्षर-दर-अक्षर मिलाएँ, वह भी प्राप्तकर्ता की सीधे भेजी जानकारी से, किसी फ़ॉरवर्ड किए संदेश से नहीं। तीसरी, प्राप्तकर्ता जोड़ने के बाद बैंकिंग ऐप जो नाम दिखाए उसे मिलाएँ। चौथी, मंज़ूरी से पहले रकम ज़ोर से पढ़ें।

तीसरी जाँच सबसे भारी है और सबसे ज़्यादा छोड़ी जाती है। प्राप्तकर्ता जोड़ते समय आपका बैंक उस खाते में दर्ज नाम लाकर दिखाता है। यदि वह उस व्यक्ति से मेल न खाए जिसे आप भुगतान कर रहे हैं, तो रुक जाएँ — सफ़ाई चाहे जो दी जाए। 'वह मेरे भाई का खाता है', 'कंपनी का खाता अकाउंटेंट के नाम है', 'नाम बाद में अपडेट हो जाएगा' — लगभग हर पहचान-चोरी की शिकायत में यही वाक्य मिलते हैं। नाम का न मिलना कोई औपचारिकता नहीं है। यह व्यवस्था की ओर से आपको बताया जा रहा है कि पैसा आपकी सोची जगह के अलावा कहीं और जा रहा है।

बड़ी रकम के पहले भुगतान में पहले थोड़ा-सा भेजकर देखें, फिर पहले से अपने पास मौजूद नंबर पर फ़ोन करके प्राप्तकर्ता से सीधे पुष्टि करें — उसी बातचीत में मिले नंबर पर नहीं जिसमें पैसे माँगे गए। पुष्टि का स्क्रीनशॉट संदर्भ संख्या सहित रखें। बाद में कुछ गड़बड़ हो तो वही संदर्भ एक धुँधली शिकायत को खोजी जा सकने वाली शिकायत में बदल देता है, और पैसा रोका जा सकेगा या नहीं, यह इसी खोज की रफ़्तार पर निर्भर करता है।

यह आदत तभी काम करती है जब इसमें कोई छूट न हो। जिस दिन आप 'अनुरोध ज़रूरी है' कहकर इसे छोड़ेंगे, उस दिन फ़ैसला उसी के हाथ सौंप देंगे जिसने वह जल्दबाज़ी पैदा की — और यह जल्दबाज़ी असली होने से कहीं ज़्यादा बार गढ़ी हुई होती है।

पैसा वापस आएगा या नहीं, यह रफ़्तार तय करती है, क्योंकि ठग कुछ ही घंटों में रकम कई खातों में घुमा देता है। उसी दिन राष्ट्रीय साइबर क्राइम हेल्पलाइन 1930 पर कॉल करें, cybercrime.gov.in पर शिकायत दर्ज करें और अपने बैंक को लिखित में सूचना दें; हर रेफ़रेंस नंबर सँभालकर रखें। कौन-सा काम किस क्रम में करें, RBI के देयता नियम आपके पैसे के लिए क्या मायने रखते हैं, और बैंक मदद न करे तो कहाँ जाएँ — यह सब हमारी पहले 24 घंटे की चरण-दर-चरण गाइड में है।

पक्का न हो तब भी उसी दिन शिकायत दर्ज कराएँ। शिकायत बाद में वापस लेना बहुत आसान है। तीन खातों से घूम चुका पैसा वापस लाना अक्सर असंभव होता है।