UPI QR कोड और VPA स्कैम: ऑनलाइन स्टोर कैसे सुरक्षित रहें

UPI में QR कोड स्कैन करना या UPI PIN डालना हमेशा पैसे भेजने की मंज़ूरी होता है, पैसे पाने की कभी नहीं। लगभग हर दर्ज किया गया स्कैम इसी नियम का फ़ायदा उठाता है। लेकिन ऑनलाइन बेचने वालों के लिए असली जोखिम कहीं और है: पेमेंट पेज, जहाँ स्क्रीन पर दिखने वाला QR कोड, VPA और लिंक तय करते हैं कि ग्राहक का पैसा किसके खाते में जाएगा।

UPI में QR कोड और VPA कैसे काम करते हैं

VPA (वर्चुअल पेमेंट एड्रेस, जैसे name@bank) खाता संख्या बताए बिना पैसे पाने वाले की पहचान करता है। UPI QR कोड इसी पते को ले जाने का एक तरीका है। UPI चलाने वाली संस्था NPCI के लिंकिंग स्पेसिफ़िकेशन के अनुसार, QR में एक upi://pay लिंक होता है, जिसमें पाने वाले का VPA और नाम, और ज़रूरत हो तो राशि और ट्रांज़ैक्शन रेफ़रेंस होता है। मर्चेंट पेमेंट में रेफ़रेंस अनिवार्य है, और स्पेसिफ़िकेशन हर भुगतान के लिए अलग से बनने वाले डायनैमिक QR का प्रावधान करता है।

भुगतान करने वाले का ऐप यह जानकारी पढ़कर पहले से भरी हुई पेमेंट स्क्रीन खोलता है। ग्राहक जाँचता है, PIN डालता है और पैसा तुरंत निकल जाता है। वापस लाना आसान नहीं। पैमाना भी बड़ा है: Inc42 द्वारा प्रकाशित NPCI के आँकड़ों के अनुसार, मई 2026 में UPI पर 23.2 अरब ट्रांज़ैक्शन हुए।

सबसे ज़्यादा दर्ज किए गए स्कैम

भारतीय रिज़र्व बैंक (RBI) और पुलिस कुछ बार-बार दोहराए जाने वाले तरीक़ों के बारे में बताते हैं:

• “पैसे पाने के लिए स्कैन करें” वाला QR: ठग ख़रीदार बनकर, अक्सर क्लासिफ़ाइड साइटों पर, विक्रेता को QR भेजता है और कहता है कि इससे भुगतान मिलेगा। दिल्ली पुलिस ऐसे मामलों का ज़िक्र करती है जहाँ पहली बार पैसा कटने के बाद ठग ग़लती का बहाना बनाकर दोगुनी राशि का नया QR भेजता है, और यह सिलसिला चलता रहता है।
• छिपा हुआ कलेक्ट रिक्वेस्ट: UPI में कोई भी भुगतान का अनुरोध (collect request) भेज सकता है। जनवरी 2022 की एक चेतावनी में RBI ने इस सुविधा के दुरुपयोग का ज़िक्र किया, जिसमें “पैसे पाने के लिए अपना UPI PIN डालें” जैसे संदेश भेजे जाते हैं। मंज़ूरी देने का मतलब है भुगतान करना।
• अनधिकृत QR और VPA: उसी चेतावनी में अनधिकृत QR कोड भी ठगी के तरीक़ों में गिनाए गए हैं। दुकान के VPA से मिलता-जुलता VPA और भरोसेमंद लगने वाला नाम अक्सर इतना काफ़ी होता है कि ग्राहक बिना शक किए पुष्टि कर दे।

आधिकारिक सलाह साफ़ है: RBI के अनुसार पैसे पाने के लिए न QR स्कैन करना पड़ता है, न PIN डालना। मार्च 2022 में RBI ने डिजिटल भुगतान से जुड़ी आम धोखाधड़ियों को BE(A)WARE पुस्तिका में भी संकलित किया।

ऑनलाइन कारोबार इसमें कहाँ आता है

दुकान में सबसे आम जोखिम असली QR के ऊपर चिपकाया गया नकली स्टिकर है। ऑनलाइन इसका रूप ज़्यादा छिपा हुआ होता है। QR कोड स्टोर या पेमेंट प्रोवाइडर का सिस्टम बनाता है, लेकिन वह ख़रीदार के ब्राउज़र में दिखता है, उन सब चीज़ों के साथ जो पेज लोड करता है: प्लगइन, मार्केटिंग टूल, चैट, थर्ड-पार्टी स्क्रिप्ट। मोबाइल पर कई स्टोर “UPI ऐप से भुगतान करें” बटन भी देते हैं, जो उसी upi://pay लिंक से ऐप खोलता है।

अगर उस पेज पर कोई दुर्भावनापूर्ण कोड चल रहा है, तो वह QR की तस्वीर, टेक्स्ट में दिखाया गया VPA या बटन का गंतव्य बदल सकता है। ख़रीदार सही राशि चुकाता है, ऐप में भरोसेमंद-सा नाम देखता है और पुष्टि कर देता है। स्टोर को पैसा नहीं मिलता, ऑर्डर अटका रहता है और ग्राहक को पक्का यक़ीन होता है कि उसने भुगतान किया है। किया भी है, बस किसी और को।

कार्ड भुगतान में इस कमज़ोरी के लिए पहले से नियम हैं: PCI DSS की आवश्यकताएँ 6.4.3 और 11.6.1 पेमेंट पेज की स्क्रिप्ट को अधिकृत करने, उनकी सूची रखने और ग्राहक के ब्राउज़र तक पहुँचने वाली सामग्री में अनधिकृत बदलाव पकड़ने की माँग करती हैं। मार्च 2025 में PCI Security Standards Council ने इन दोनों आवश्यकताओं पर एक विशेष मार्गदर्शिका जारी की। यही तर्क UPI QR पर भी लागू होता है: मायने यह रखता है कि ख़रीदार को स्क्रीन पर क्या दिखता है।

UPI से भुगतान लेने वाले स्टोर के लिए चेकलिस्ट

1. हर ऑर्डर के लिए डायनैमिक QR इस्तेमाल करें, तय राशि और यूनिक रेफ़रेंस के साथ, और हर भुगतान का मिलान उसी रेफ़रेंस से करें।
2. QR के पास VPA और पाने वाले का नाम टेक्स्ट में दिखाएँ, और ग्राहक से कहें कि ऐप में दिखा नाम आपकी कंपनी का ही है, यह जाँच लें।
3. रिफ़ंड देने के लिए ग्राहक से कभी QR स्कैन करने या रिक्वेस्ट मंज़ूर करने को न कहें। यह बात अपनी रिटर्न पॉलिसी में साफ़ लिखें, क्योंकि ठग स्टोर के कस्टमर केयर बनकर फ़ोन करते हैं।
4. चेकआउट पर स्क्रिप्ट कम से कम रखें और प्लेटफ़ॉर्म, थीम और प्लगइन अपडेट रखें; जो इस्तेमाल नहीं होता उसे हटा दें।
5. लाइव पेमेंट पेज की निगरानी करें, और स्क्रीन पर दिख रहे QR, VPA और लिंक की तुलना अपने सिस्टम द्वारा जारी किए गए विवरण से करें।
6. “मैंने भुगतान किया पर ऑर्डर कन्फ़र्म नहीं हुआ” को सुरक्षा संकेत मानें, सिर्फ़ सपोर्ट टिकट नहीं।
7. पीड़ितों को कहाँ भेजना है, यह जानें: भारत सरकार वित्तीय धोखाधड़ी की शिकायत के लिए cybercrime.gov.in पोर्टल और 1930 हेल्पलाइन चलाती है।

UPI भुगतान में क्या-क्या बदला जा सकता है और पेज पर दी जाने वाली किसी भी सुरक्षा की सीमा क्या है, यह जानने के लिए देखें UPI भुगतान के लिए सुरक्षा।

Proteside ख़रीदार के ब्राउज़र में ही जाँचता है कि चेकआउट पर दिखने वाला UPI QR, VPA और लिंक बिल्कुल वही है जो आपके स्टोर ने जारी किया था, और भुगतान की पुष्टि से पहले किसी भी अदला-बदली को रोक देता है, साथ ही आपको अलर्ट और PCI DSS के लिए सबूत देता है। यह किसी भी ई-कॉमर्स प्लेटफ़ॉर्म और पेमेंट प्रोवाइडर के साथ काम करता है। 14 दिन मुफ़्त आज़माएँ।