भुगतान धोखाधड़ी की रोकथाम: क्या कारगर है और क्या दिखावा है

दो पेमेंट ऐप्स, एक ही तरह का खतरा, लेकिन बिल्कुल विपरीत परिणाम। एक तरफ कैश ऐप है, जिसकी मूल कंपनी को 2025 की शुरुआत में ग्राहक धोखाधड़ी के दावों से निपटने के तरीके को लेकर 175 मिलियन डॉलर का भुगतान करने का आदेश दिया गया था। दूसरी तरफ पेपाल है , जिसने उस वर्ष एक ट्रिलियन डॉलर से अधिक का लेनदेन किया और फिर भी अपनी हानि दर को कुल लेनदेन के लगभग 0.08% पर बनाए रखा। दोनों को एक ही तरह के धोखेबाजों, एक ही तरह के चोरी हुए कार्डों और एक ही तरह के सोशल-इंजीनियरिंग तरीकों का सामना करना पड़ता है। तो फिर एक का जिक्र नियामक की प्रेस विज्ञप्ति में क्यों हुआ और दूसरे का जिक्र सिर्फ एक अर्निंग्स कॉल के फुटनोट में क्यों हुआ?

अंतर बजट का नहीं है। अंतर इस बात का है कि प्रत्येक कंपनी किन नियंत्रणों पर भरोसा करती है। भुगतान धोखाधड़ी रोकथाम के नाम पर जो कुछ भी किया जाता है, वह दिखावा मात्र है: देखने में तो यह आश्वस्त करने वाला लगता है, स्लाइड में भर जाता है, लेकिन इससे कुछ खास फर्क नहीं पड़ता। कुछ ही नियंत्रण वास्तव में काम करते हैं। PayPal और Cash App इन दोनों में अंतर बताने के लिए एक स्पष्ट और स्वाभाविक उदाहरण हैं, क्योंकि इनके मामले में एक नियामक ने हमारे लिए मूल्यांकन किया है। यह एक व्यावहारिक मार्गदर्शिका है जो बताती है कि क्या कारगर है और क्या चुपचाप विफल हो जाता है।

भुगतान धोखाधड़ी से अर्थव्यवस्था को अब क्या नुकसान हो रहा है?

ये आंकड़े इतने चौंकाने वाले हैं कि इन्हें देखकर कोई भी चौंक सकता है। एफटीसी के कंज्यूमर सेंटिनल नेटवर्क के अनुसार , अमेरिकियों ने 2024 में धोखाधड़ी के कारण 12.5 अरब डॉलर का नुकसान होने की सूचना दी, जो एक ही वर्ष में 25% की वृद्धि है। विश्वव्यापी कार्ड धोखाधड़ी 33.41 अरब डॉलर तक पहुंच गई, और वैश्विक कार्ड लेनदेन के लगभग एक चौथाई हिस्से पर अमेरिका को लगभग 42% नुकसान उठाना पड़ा।

सबसे महत्वपूर्ण तथ्य इन आंकड़ों के पीछे छिपा है: पैसा असल में कहां लीक होता है। रिपोर्ट किए गए नुकसान के हिसाब से शीर्ष दो भुगतान विधियां बैंक ट्रांसफर (2.09 बिलियन डॉलर) और क्रिप्टोकरेंसी (1.42 बिलियन डॉलर) थीं - कार्ड नहीं। यह कोई संयोग नहीं है। ये माध्यम पैसे को तेजी से आगे बढ़ाने के लिए बनाए गए हैं, जिनमें इसे वापस लेने का कोई अंतर्निहित तरीका नहीं है। कार्ड नेटवर्क के पास दशकों से विवाद समाधान तंत्र मौजूद है। खाते से खाते में होने वाले ट्रांसफर में आमतौर पर ऐसा कोई तंत्र नहीं होता। धोखाधड़ी सबसे कम बचाव के रास्ते पर चलती है।

भुगतान धोखाधड़ी के सामान्य प्रकार, भुगतानकर्ता के आधार पर क्रमबद्ध

हर धोखाधड़ी संबंधी गाइड आपको एक दर्जन प्रकार के हमलों की एक ही तरह की सूची देती है। लेकिन नुकसान का बोझ किस पर पड़ता है, इसके आधार पर इन्हें वर्गीकृत करना अधिक उपयोगी है, क्योंकि यही तय करता है कि आपको इस पर ध्यान देना चाहिए या नहीं। भुगतान धोखाधड़ी के सामान्य प्रकारों में नुकसान का बोझ सभी पर समान रूप से नहीं पड़ता।

बिजनेस ईमेल कॉम्प्रोमाइज़ और ऑथराइज़्ड पुश पेमेंट स्कैम सबसे ऊपर हैं, क्योंकि इनमें पीड़ित को धोखा देकर खुद पैसे भेजवा दिए जाते हैं और आमतौर पर पीड़ित को वो पैसे वापस नहीं मिलते। यूके फाइनेंस ने 2025 के पहले छह महीनों में ही पुश पेमेंट फ्रॉड से 257.5 मिलियन पाउंड कमाए, जो पिछले साल के मुकाबले 12% ज़्यादा है। इसके बाद अकाउंट हैकओवर का नंबर आता है: एक फ्रॉड करने वाला किसी असली अकाउंट में घुसकर उसे खाली कर देता है, जिसका मतलब है कि असली मालिक को साबित करना पड़ता है कि फ्रॉड फ्रॉड ने नहीं किया है। कार्ड फ्रॉड भी काफी आम है, लेकिन ग्राहकों के मामले में, ज़्यादातर मामलों में जारीकर्ता चार्जबैक के ज़रिए इसकी भरपाई कर लेता है। फिर आता है फ्रेंडली फ्रॉड, जिसमें एक असली ग्राहक किसी असली खरीदारी पर विवाद करता है - ई-कॉमर्स चार्जबैक में इसका अनुमानित 75% से 79% हिस्सा होता है और भुगतान व्यापारी को करना पड़ता है। डीपफेक और वॉइस-क्लोन स्कैम नए हैं, जो आज भले ही डॉलर में छोटे हैं, लेकिन तेज़ी से बढ़ रहे हैं। पैटर्न सीधा है: पेमेंट का तरीका जितना कम रिवर्सिबल होगा, फ्रॉड का शिकार उतना ही ज़्यादा उस व्यक्ति पर होगा जो इसे झेलने में सबसे कम सक्षम होगा।

कैश ऐप: धोखाधड़ी रोकथाम के क्षेत्र में एक केस स्टडी

अगर आप बड़े पैमाने पर धोखाधड़ी रोकने के दिखावे को देखना चाहते हैं, तो कैश ऐप को देखिए। जब तक नियामक आए, तब तक इसके लगभग 5.6 करोड़ सक्रिय खाते और एक आकर्षक, उपयोगकर्ता-अनुकूल ऐप बन चुका था। लेकिन इसके पीछे जो चीज़ें नहीं थीं, वे थीं पर्दे के पीछे की वास्तविक प्रक्रियाएं: असली जांच, एक चालू फोन लाइन, और यह एहसास कि अनधिकृत हस्तांतरण को ठीक करना कंपनी की ज़िम्मेदारी है।

नियामकों को वास्तव में क्या मिला

जनवरी 2025 में, उपभोक्ता वित्तीय संरक्षण ब्यूरो (CFPB) ने कैश ऐप की मूल कंपनी ब्लॉक को 175 मिलियन डॉलर का भुगतान करने का आदेश दिया - जिसमें से 120 मिलियन डॉलर पीड़ित उपयोगकर्ताओं को वापस करने थे और 55 मिलियन डॉलर का जुर्माना भी शामिल था । इस आदेश को ध्यान से पढ़ना चाहिए। CFPB ने कहा कि कंपनी ने धोखाधड़ी की शिकायतों को अपने पक्ष में दबाने के लिए "जानबूझकर घटिया जांच प्रक्रियाओं" का इस्तेमाल किया। धोखाधड़ी हेल्पलाइन पर कॉल करने वाले ग्राहकों को एक बंद, पहले से रिकॉर्ड किया हुआ संदेश ही सुनाई देता था; कई वर्षों तक वहां कोई लाइव एजेंट उपलब्ध ही नहीं था। उसी महीने, 48 राज्य नियामकों के एक गठबंधन ने मनी लॉन्ड्रिंग विरोधी उपायों में विफलता के लिए अलग से 80 मिलियन डॉलर का जुर्माना भी लगाया। कुल मिलाकर लगभग 255 मिलियन डॉलर का नुकसान हुआ। यह सब चालाक हैकरों के बारे में नहीं था। यह उस कंपनी के बारे में था जिसने फोन का जवाब देना वैकल्पिक समझा।

अपरिवर्तनीय P2P स्थानांतरण संरचनात्मक दोष क्यों हैं?

इस कानूनी कार्रवाई के पीछे एक जटिल समस्या छिपी है। कैश ऐप एक खाते से दूसरे खाते में पैसे ट्रांसफर करता है, जैसे नकद। एक बार पैसा ट्रांसफर हो जाने के बाद, उसे वापस लाने के लिए कोई कार्ड नेटवर्क मौजूद नहीं है। यह तब तक ठीक है जब तक कोई धोखाधड़ी या हैकिंग का शिकार न हो जाए, लेकिन फिर "यह तो नकद की तरह है" वाली बात "आपको खुद ही सब कुछ संभालना होगा" में बदल जाती है। संघीय कानून (विनियमन E) के तहत बैंकों और भुगतान ऐप्स को अनधिकृत इलेक्ट्रॉनिक ट्रांसफर की जांच करने और उपयोगकर्ताओं को पूरा मुआवजा देने की आवश्यकता है। लेकिन मैं बार-बार इस बात पर आता हूं कि यह गलती कितनी सामान्य थी: यह कोई डेटा लीक नहीं था, बल्कि अनधिकृत ट्रांसफर को ग्राहक की समस्या मान लेने का एक निर्णय था। CFPB ने इस निर्णय को उल्लंघन बताया।

पेपाल का धोखाधड़ी का पता लगाने का सिस्टम असल में कैसे काम करता है

पेपाल एक कारगर उदाहरण है, लेकिन इसका मार्केटिंग संस्करण गलत है। पेपाल धोखाधड़ी से मुक्त नहीं है, और ऐसा दिखावा करना असलियत को छुपाना है। इसके अपने दस्तावेज़ों से पता चलता है कि 2025 में लेनदेन और क्रेडिट में 1.72 अरब डॉलर का नुकसान हुआ, जो पिछले वर्ष की तुलना में 19% अधिक है। पेपाल के अंदर धोखाधड़ी अभी भी सक्रिय है। असली सवाल यह है कि आगे क्या होता है।

खरीदार और विक्रेता संरक्षण एक प्रतिवर्ती परत के रूप में

PayPal ने लेन-देन के दोनों पक्षों की सुरक्षा के लिए अपने उत्पाद में रिवर्सिबिलिटी (प्रतिवर्तीता) की सुविधा शामिल की है। योग्य खरीदारी पर खरीदार सुरक्षा मिलती है, और विक्रेताओं को अपना अलग कवरेज मिलता है, साथ ही विवाद और दावा प्रक्रिया भी उपलब्ध है। धोखाधड़ी होने पर, सिस्टम अक्सर खरीदार को रिफंड कर देता है या लेन-देन को रद्द कर देता है, बजाय इसके कि उन्हें बीच में ही छोड़ दिया जाए। यही वह सुविधा है जिसकी कमी Cash App में थी। यह महंगा, धीमा और कई जटिल समस्याओं से भरा हुआ है, और PayPal को इसके बारे में बहुत सारी शिकायतें मिलती हैं। लेकिन "एक निराशाजनक विवाद प्रक्रिया" और "फोन लाइन का काम न करना" विफलता की एक ही श्रेणी नहीं हैं।

लेन-देन के समय मशीन-लर्निंग द्वारा जोखिम स्कोरिंग

दूसरी परत है पहचान। PayPal सैकड़ों संकेतों - डिवाइस, स्थान, इतिहास, गति, व्यवहार - के आधार पर लेन-देन का वास्तविक समय में विश्लेषण करता है ताकि पैसे के लेन-देन से पहले ही संदिग्ध लेन-देनों को चिह्नित किया जा सके। इसका मुख्य परिणाम यह है कि नुकसान की दर कुल भुगतान मात्रा के लगभग 0.08% के आसपास बनी हुई है, जो एक रिकॉर्ड निम्न स्तर के करीब है, भले ही पैमाने के साथ वास्तविक नुकसान बढ़ रहा हो। इन दोनों आंकड़ों को एक साथ पढ़ने पर आपको सच्चाई समझ में आ जाएगी: अधिक मात्रा का मतलब है धोखाधड़ी से होने वाली आय में वृद्धि, लेकिन अनुकूली विश्लेषण दर को कम रखता है। यह प्रणाली कोई जादू नहीं है। इसे बस बनाए रखा जाता है।

कारगर उपाय: धोखाधड़ी को कम करने वाले सर्वोत्तम तरीके

तो असल में संख्या में बदलाव किस वजह से होता है? विक्रेता तंत्रों की जटिल प्रक्रियाओं को हटा दें तो धोखाधड़ी को रोकने वाले वास्तविक नियंत्रण संक्षिप्त और उबाऊ होते हैं। उनमें एक समानता है: वे एक स्थिर नियंत्रण प्रणाली पर भरोसा करने के बजाय, या तो अनुकूलित होते हैं या एक दूसरी स्वतंत्र जाँच प्रणाली जोड़ते हैं।

मल्टी-फैक्टर ऑथेंटिकेशन सबसे सस्ता और प्रभावी नियंत्रण है। माइक्रोसॉफ्ट ने बताया है कि MFA स्वचालित खाता-भेदभाव प्रयासों के 99.9% से अधिक को रोकता है, और लगभग सभी प्रभावित खातों ने इसे कभी चालू नहीं किया था। मशीन-लर्निंग ट्रांजैक्शन स्कोरिंग, डिवाइस फिंगरप्रिंटिंग और व्यवहारिक बायोमेट्रिक्स उन पैटर्न को पकड़ लेते हैं जिन्हें निश्चित नियम पकड़ नहीं पाते; एक बैंक ने व्यवहारिक विश्लेषण लागू करने के बाद धोखाधड़ी से होने वाले नुकसान में लगभग 35% की कमी दर्ज की, हालांकि यह आंकड़ा विक्रेता द्वारा रिपोर्ट किया गया है और इसे सांकेतिक माना जाना चाहिए, न कि अंतिम सत्य। 3-D सिक्योर 2 के माध्यम से मजबूत ग्राहक प्रमाणीकरण कार्ड भुगतान पर एक सत्यापन चरण जोड़ता है; इसमें कुछ कमियां हैं (लगभग पांच में से एक प्रमाणीकरण प्रयास विफल हो जाता है), लेकिन यह जिम्मेदारी को स्थानांतरित करता है और चोरी किए गए कार्ड के उपयोग के एक बड़े हिस्से को रोकता है। ऑनबोर्डिंग के समय नो-योर-कस्टमर जांच और वेलोसिटी लिमिट इस सूची को पूरा करते हैं।

सुरक्षा का दिखावा: धोखाधड़ी से बचाव जो विफल हो जाता है

अब बात करते हैं बजट बर्बाद करने वाले उपायों की, जो धोखाधड़ी से सुरक्षा का दिखावा तो करते हैं लेकिन असल में कुछ भी नहीं देते। सुरक्षा प्रश्न इनमें सबसे बड़े दोषी हैं। इनके उत्तर (आपकी माँ का पहला नाम, आपका पहला पालतू जानवर) आसानी से अनुमान लगाए जा सकते हैं, इन्हें चुराया जा सकता है या इनमें सेंध लगाई जा सकती है। अमेरिकी मानक संस्था NIST ने अब ज्ञान-आधारित प्रमाणीकरण को वैध लॉगिन कारक के रूप में औपचारिक रूप से प्रतिबंधित कर दिया है। यह "एक अतिरिक्त सुरक्षा परत" नहीं जोड़ता, बल्कि एक झूठी सुरक्षा परत जोड़ता है।

एसएमएस वन-टाइम कोड अगला जाल है। ये एमएफए (मल्टी-फैक्टर ऑथेंटिकेशन) की तरह लगते हैं, लेकिन ये एक फोन नंबर पर आधारित होते हैं जिसे हमलावर सिम स्वैप के जरिए चुरा सकता है। उद्योग अनुसंधान से पता चलता है कि सिम स्वैप में लगभग 80% मामलों में सफलता मिलती है; एफबीआई ने अकेले 2024 में सिम स्वैप से हुए नुकसान के रूप में लगभग 26 मिलियन डॉलर दर्ज किए। फिर स्टैटिक, केवल नियमों पर आधारित इंजन हैं जो कभी सीखते नहीं हैं, और धीमी मैनुअल समीक्षा प्रक्रियाएं हैं जो किसी इंसान के देखने से पहले ही धोखाधड़ी को अंजाम दे देती हैं। इन सबमें सबसे महंगा धोखा वह है जो कैश ऐप ने हमें सिखाया: ट्रांसफर को डिफ़ॉल्ट रूप से अपरिवर्तनीय बनाना और इसे गति कहना। इंजीनियर आमतौर पर रिवर्सिबिलिटी को एक बाधा के रूप में देखते हैं जिसे डिजाइन से हटा दिया जाना चाहिए। पीड़ित के लिए, यही असली मुद्दा है।

खाता अधिग्रहण धोखाधड़ी: जहां मॉडल अलग हो जाते हैं

खाता अधिग्रहण धोखाधड़ी इस पूरे तर्क का सबसे सटीक उदाहरण है, क्योंकि दोनों कंपनियों को एक ही तरह के हमले का सामना करना पड़ता है: एक अपराधी किसी असली उपयोगकर्ता के क्रेडेंशियल प्राप्त कर लेता है और पैसे निकालने की कोशिश करता है। इनपुट एक समान, लेकिन परिणाम बिल्कुल अलग।

रोकथाम के लिहाज़ से, उपाय अच्छी तरह से स्थापित हैं: मज़बूत मल्टी-फैक्टर ऑथेंटिकेशन (SMS कोड नहीं) लागू करें, लॉगिन के दौरान ऐसे संकेतों पर नज़र रखें जो उपयोगकर्ता से मेल नहीं खाते हों, और संदिग्ध गतिविधियों को सीमित करें। लेकिन रोकथाम में हमेशा कुछ न कुछ कमी रह जाती है, और दूसरा सवाल यह है कि जब ऐसा होता है तो क्या होता है। PayPal की रिवर्सिबिलिटी और विवाद समाधान प्रक्रिया, प्रभावित उपयोगकर्ता को वापसी का रास्ता देती है। कैश ऐप का पुराना रुख, जिसमें अनधिकृत हस्तांतरण को उपयोगकर्ता की गलती माना जाता था, उन्हें अधर में छोड़ देता था, और यही वह कारण था जिसने एक सुरक्षा घटना को 175 मिलियन डॉलर के जवाबदेही मामले में बदल दिया। वही धोखाधड़ी, लेकिन परिणाम बिल्कुल अलग, एक नीतिगत निर्णय द्वारा तय किया गया, न कि किसी कोड के कारण।

धोखाधड़ी होने के बाद उससे कैसे निपटा जाए

जांच का पता लगाना तो सिर्फ आधा काम है; असली परीक्षा तो प्रतिक्रिया पर होती है, जिसके आधार पर नियामक मूल्यांकन करते हैं। जब कोई अनधिकृत हस्तांतरण हो जाता है, तो अमेरिकी भुगतान ऐप्स के लिए कानूनी आधार विनियमन E है: तुरंत जांच करें और यदि हस्तांतरण अनधिकृत था, तो उपयोगकर्ता को पूरा मुआवजा दें। इसका मतलब है एक वास्तविक जांच, एक सुलभ व्यक्ति और एक समयबद्ध प्रक्रिया। कैश ऐप पर लगे 175 मिलियन डॉलर के जुर्माने का हैकिंग से कोई लेना-देना नहीं था। यह इस बात पर निर्भर था कि कंपनी ने बाद में कैसे प्रतिक्रिया दी, या देने से इनकार कर दिया। सिर्फ दीवार खड़ी करने से काम नहीं चलेगा, बल्कि प्रतिक्रिया तैयार होगी।

धोखाधड़ी के रुझान: रोकथाम किस दिशा में आगे बढ़ रही है

अगला चरण हथियारों की होड़ है, जिसमें दोनों पक्ष एक ही हथियार का इस्तेमाल कर रहे हैं। जनरेटिव एआई सबसे तेजी से बढ़ते हमले के तरीके को शक्ति प्रदान कर रहा है: डेलॉइट का अनुमान है कि अमेरिका में एआई-सक्षम धोखाधड़ी से होने वाले नुकसान 2023 में 12.3 बिलियन डॉलर से बढ़कर 2027 तक लगभग 40 बिलियन डॉलर हो जाएंगे, और उद्योग के अनुमानों के अनुसार, डीपफेक से होने वाले घोटाले 2025 तक अरबों डॉलर तक पहुंच जाएंगे। यही तकनीक सबसे बेहतरीन बचाव को भी शक्ति प्रदान करती है। निलसन रिपोर्ट के अनुसार, एआई ने कार्ड उद्योग के लिए अब तक के सबसे मजबूत धोखाधड़ी-रोधी मॉडल तैयार किए हैं। जो भी तेजी से सुधार करेगा, वही जीतेगा, और यही कारण है कि स्थिर बचाव विफल हो जाएंगे और अनुकूलनीय बचाव विफल नहीं होंगे।

भुगतान धोखाधड़ी की रोकथाम के लिए इसका क्या अर्थ है?

पेपाल और कैश ऐप से मिलने वाला सबक यह नहीं है कि "टेक्नोलॉजी पर ज़्यादा खर्च करो।" दोनों ने ही खूब खर्च किया। असल दांव सीधा और सरल है: लेन-देन को पलटना, जवाबदेही और कुछ ऐसे नियंत्रण जो दिखावे के बजाय परिस्थितियों के अनुसार ढलते हैं। दिखावा करना सस्ता लगता है, जब तक कि कोई नियामक उस पर 175 मिलियन डॉलर का जुर्माना न लगा दे। इसलिए ऊपर दी गई तालिका के आधार पर अपनी स्थिति का आकलन करें और केवल एक ही सवाल पूछें जो मायने रखता है। यदि आप धोखाधड़ी से किए गए ट्रांसफर को पलट नहीं सकते या ग्राहक के साथ धोखाधड़ी होने पर फोन नहीं उठा सकते, तो आपके पास भुगतान धोखाधड़ी रोकथाम प्रणाली नहीं है। आपके पास सिर्फ एक लोगो है।

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.