एशिया में QR कोड स्कैम: छह बाज़ारों से ऑनलाइन सेलर्स के लिए सबक

पूरे एशिया में QR कोड तुरंत भुगतान का आम तरीका बन चुका है और इसी वजह से ठगों का पसंदीदा निशाना भी। 2019 से 2026 के बीच सिंगापुर, मलेशिया, थाईलैंड, फ़िलीपींस, हांगकांग और भारत की पुलिस और नियामकों ने एक जैसे चार तरीके बताए: असली QR को बदलना या उसके ऊपर नकली चिपकाना, नकली पेमेंट पेज, ऐसा QR जो पैसे पाने की उम्मीद कर रहे व्यक्ति से ही पैसे ले लेता है, और पैसे को तेज़ी से इधर-उधर करने वाले म्यूल खाते। इन बाज़ारों में ऑनलाइन बेचने वालों के लिए सबक सीधा है: सबसे कमज़ोर कड़ी वह पल है जब खरीदार QR देखकर भुगतान मंज़ूर करता है, और यह पल व्यापारी के अपने पेज पर होता है।

तुरंत भुगतान वाले QR निशाने पर क्यों आए

भारत का UPI, सिंगापुर का PayNow और SGQR, मलेशिया का DuitNow, थाईलैंड का PromptPay, फ़िलीपींस का QR Ph और हांगकांग का FPS, सब ब्राज़ील की तुरंत भुगतान प्रणाली Pix जैसे ही काम करते हैं: भुगतान करने वाला कोड स्कैन करता है, बैंक या वॉलेट ऐप में रकम देखता है और ट्रांसफ़र मंज़ूर करता है। पैसा उसी समय चला जाता है। बीच में न कार्ड मशीन है, न कार्ड नेटवर्क, न आसान चार्जबैक।

यही सरलता इन प्रणालियों की ताक़त है, और इसी का फ़ायदा ठग उठाते हैं। जिसके हाथ में QR है, उसी के हाथ में पैसे की मंज़िल है। और क्योंकि ट्रांसफ़र ख़ुद भुगतान करने वाला मंज़ूर करता है, बैंक की नज़र में भटकाया गया भुगतान एक सामान्य लेन-देन लगता है।

बार-बार दिखने वाले चार तरीके

1. बदला हुआ या ऊपर चिपकाया गया QR: यह सबसे ज़्यादा बताया गया तरीका है। मई 2023 में सिंगापुर की साइबर सुरक्षा एजेंसी (CSA) और सिंगापुर पुलिस (SPF) ने मिलकर चेतावनी दी कि दुकानों के पेमेंट QR में छेड़छाड़ करके पैसा ठग के खाते में भेजा जा सकता है, और लोगों से असली कोड के ऊपर चिपकाए गए कोड पर ध्यान देने को कहा। फ़िलीपींस में, स्थानीय मीडिया के अनुसार, केंद्रीय बैंक (BSP) के एक अधिकारी ने अप्रैल 2026 में यही चेतावनी दोहराई और व्यापारियों के QR पर चिपकाए गए स्टिकर का ज़िक्र किया। जुलाई 2026 में फ़िलीपींस नेशनल पुलिस (PNP) ने बात दुकान के काउंटर से आगे बढ़ाई: उसने विक्रेताओं के पेमेंट QR बदले जाने का वर्णन किया और नकली QR फैलाने वालों, ख़ासकर ऑनलाइन बिक्री प्लेटफ़ॉर्म पर, के ख़िलाफ़ सूचना प्रौद्योगिकी (DICT) और व्यापार (DTI) विभागों के साथ मिलकर कार्रवाई की घोषणा की।

2. नकली पेमेंट पेज: QR ऐसी वेबसाइटों का दरवाज़ा भी बन सकता है जो बैंक, दुकान या पेमेंट गेटवे की नकल करती हैं। सितंबर 2026 में मलेशिया पुलिस के वाणिज्यिक अपराध विभाग के निदेशक रुसदी मोहम्मद ईसा ने मौजूदा तरीकों में नकली पेमेंट गेटवे और ऐसे नकली पेमेंट QR गिनाए जो पैसा गिरोह के खातों में भेज देते हैं। फ़िलीपींस का BSP सलाह देता है कि लिंक खोलने से पहले पता जाँच लें और QR स्कैन करके खुले पेज पर वित्तीय जानकारी न डालें।

3. पैसा भेजने की जगह पैसा माँगने वाला QR: यहाँ निशाना विक्रेता होता है। ठग खरीदार बनकर कहता है कि वह भुगतान करने वाला है और विक्रेता को पैसा “पाने” के लिए QR या लिंक भेजता है। स्कैन करके मंज़ूरी देते ही पैसा पीड़ित के खाते से चला जाता है। मलेशिया पुलिस ने ऑनलाइन विक्रेताओं के ख़िलाफ़ ठीक यही तरीका बताया और ज़ोर दिया कि DuitNow QR में पैसा पाने वाले को सिर्फ़ अपना कोड दिखाना होता है। भारत में भारतीय रिज़र्व बैंक (RBI) ने 2022 में चेताया था कि पैसा पाने के लिए न QR स्कैन करना पड़ता है, न PIN डालना, और ठग UPI की कलेक्ट रिक्वेस्ट सुविधा का दुरुपयोग करके “पैसा पाने” के लिए PIN माँगने वाले संदेश भेजते हैं। थाईलैंड में पुलिस की सलाह पर आधारित Thai PBS की एक रिपोर्ट ने नियम साफ़ शब्दों में रखा: जो स्कैन करता है, वही भुगतान करता है।

4. म्यूल खाते: पैसा लेने और उसे जल्दी आगे भेजने वाले खाते के बिना इनमें से कोई स्कैम काम नहीं करता। इसीलिए ये बाज़ार भुगतान से पहले जाँच की सुविधाओं में निवेश कर रहे हैं। मलेशिया में पुलिस का SemakMule पोर्टल बैंक खाते, फ़ोन नंबर और कंपनी के नाम जाँचने देता है। हांगकांग में मौद्रिक प्राधिकरण (HKMA) ने नवंबर 2023 में पुलिस के Scameter टूल पर आधारित FPS अलर्ट शुरू किया: 44 बैंक और वॉलेट कंपनियाँ अब उपयोगकर्ता को तब चेताती हैं जब पाने वाले की पहचान (फ़ोन नंबर, ईमेल या FPS ID) ज़्यादा जोखिम वाली सूची में हो।

अधिकारी क्या करने को कहते हैं

सलाह कुछ बिंदुओं पर आकर मिलती है:

• पुष्टि से पहले ऐप में पाने वाले का नाम और रकम जाँचें (सिंगापुर, हांगकांग, थाईलैंड)।
• मैसेज, सोशल मीडिया या अनजान स्रोत से आए QR से सावधान रहें (सिंगापुर, मलेशिया, फ़िलीपींस)।
• पैसा पाने के लिए कभी QR स्कैन न करें, न PIN, पासवर्ड या OTP डालें (मलेशिया, भारत, थाईलैंड)।
• छपे हुए QR को जाँचें कि असली कोड के ऊपर कोई स्टिकर तो नहीं (सिंगापुर, फ़िलीपींस)।
• संस्थाओं की तरफ़ से, हांगकांग ने 2019 में ही विधान परिषद को दिए आधिकारिक जवाब में कहा था कि बैंकों और वॉलेट को QR के असली होने की जाँच करनी चाहिए और भुगतान से पहले पाने वाले का नाम दिखाना चाहिए।

ध्यान दें कि लगभग हर सलाह इस पर टिकी है कि खरीदार ख़ुद कुछ जाँचे। इससे मदद मिलती है, लेकिन जब बदलाव सफ़ाई से किया गया हो तो यह काफ़ी नहीं है।

Pix से तुलना: बदलाव अब चेकआउट पेज पर

ब्राज़ील में यही तरीका स्टिकर से निकलकर वेबसाइट तक पहुँच चुका है। सितंबर 2026 में Kaspersky ने एक अभियान का खुलासा किया जो ग्राहक के Pix चुनते ही असली ऑनलाइन दुकानों के चेकआउट पेज पर Pix का QR और कॉपी-पेस्ट कोड बदल देता था। 90 छोटी और मझोली दुकानें प्रभावित पाई गईं, जिनमें एक बात समान थी: बिना रखरखाव वाला Magento प्लेटफ़ॉर्म। यह अभियान जून 2025 से चल रहा था। व्यापारी को ऑर्डर अधूरा या लंबित दिखता है; ग्राहक को कई दिन बाद पता चलता है, तब तक पैसा म्यूल खातों से गुज़र चुका होता है और ब्राज़ील के केंद्रीय बैंक की वापसी प्रणाली (MED) से उसे वापस पाना मुश्किल हो जाता है। यह हमला कैसे काम करता है, जानने के लिए चेकआउट पर Pix सुरक्षा पेज देखें।

ऐसा ही कोड UPI, PayNow या DuitNow के QR के साथ भी यही कर सकता है। फ़िलीपींस पुलिस पहले ही ऑनलाइन विक्रेताओं के बदले गए QR की बात कर रही है। फ़र्क़ यह है कि ऑनलाइन दुकान में कोई स्टिकर ढूँढ नहीं सकता: नकली QR पेज पर ही बनता है, सही रकम के साथ और बिल्कुल असली जैसा।

इन बाज़ारों में बेचने वाले व्यापारियों के लिए चेकलिस्ट

1. हर ऑर्डर के लिए डायनामिक QR बनाएँ, जिसमें रकम और संदर्भ हो, एक ही स्थायी कोड बार-बार न चलाएँ।
2. पेज पर वह आधिकारिक नाम दिखाएँ जो खरीदार के ऐप में आएगा और पुष्टि से पहले उसे जाँचने को कहें।
3. हर भुगतान का ऑर्डर से अपने-आप मिलान करें और “भुगतान बाकी” में अटके ऑर्डर पर अलर्ट लगाएँ।
4. चेकआउट हल्का रखें: कम प्लगइन और बाहरी स्क्रिप्ट, अपडेटेड प्लेटफ़ॉर्म और एक्सटेंशन, और एडमिन लॉगिन पर टू-फ़ैक्टर ऑथेंटिकेशन।
5. लाइव पेमेंट पेज पर नज़र रखें, जैसा खरीदार उसे देखता है, सिर्फ़ सर्वर का कोड नहीं।
6. स्टाफ़ और ग्राहकों को बताएँ: दुकान रिफ़ंड देने के लिए कभी QR स्कैन करने या PIN डालने को नहीं कहती।
7. स्थानीय जाँच और शिकायत चैनलों का इस्तेमाल करें, जैसे मलेशिया में SemakMule और 997 हेल्पलाइन या हांगकांग में Scameter, और घटना की रिपोर्ट जल्दी करें।
8. “पैसा दे दिया पर ऑर्डर मंज़ूर नहीं हुआ” जैसी शिकायतों को सिर्फ़ देरी नहीं, QR बदले जाने का संभावित संकेत मानें।

इन सभी बाज़ारों में स्कैम एक ही पल में जीतता है: जब खरीदार QR देखकर मंज़ूरी देता है। Proteside दुकान के पेज पर इसी पल की रक्षा करता है। वह खरीदार के ब्राउज़र में जाँचता है कि दिखाया गया QR और कॉपी किया गया कोड (UPI, PayNow/SGQR, DuitNow, PromptPay, QR Ph, FPS या Pix) ठीक वही है जो दुकान ने जारी किया था, पुष्टि से पहले किसी भी बदलाव को रोकता है और आपको अलर्ट भेजता है। 14 दिन मुफ़्त आज़माएँ।