शिकारी उधारी को पहचानना

इस पाठ्यक्रम के बाकी सभी पाठ आपको कोई उधारी प्रोडक्ट इस्तेमाल करना सिखाते हैं। यह पाठ उल्टा कौशल सिखाता है: यह कैसे पहचानें कि कोई प्रोडक्ट आपको नुकसान पहुँचाने के लिए बनाया गया है, और कुछ भी साइन करने या इंस्टॉल करने से पहले क्या करें।

यह एक अलग पाठ इसलिए है — न कि मौजूदा प्रोडक्ट पाठों से जुड़ी कोई चेतावनी — क्योंकि शिकारी उधारी उन श्रेणियों से बाहर काम करती है जिन्हें हम अब तक पढ़ते आए हैं। एक शिकारी होम लोन, बुरी शर्तों वाला होम लोन नहीं होता; यह कुछ मूलभूत रूप से अलग होता है जो होम लोन की आड़ लेकर पैसे ऐंठता है। एक शिकारी डिजिटल ऐप, ऊँचे ब्याज वाला पर्सनल लोन नहीं होता; यह धोखे, डेटा संग्रह और उत्पीड़न का एक ज़रिया होता है जिसमें थोड़े से पैसे ट्रांसफर होते हैं ताकि बाद में बहुत बड़ी रकम वापस माँगी जा सके। यह फ़र्क पहचानने के लिए नियामक परिधि को समझना ज़रूरी है — भारत में कोई ऋणदाता अधिकृत बनाम अनधिकृत क्या होता है — और उन धोखे के खास तरीकों को समझना भी ज़रूरी है जो इस परिधि के अंदर और बाहर दोनों जगह चलते हैं।

इस पाठ के लिए वह पाठक ध्यान में है जो आर्थिक दबाव में हो और जिसे अस्पताल के गलियारे में रात 11 बजे "तुरंत मंज़ूरी, कोई कागज़ नहीं" जैसे ऑफर का लालच आ सकता है, या जिसने अभी-अभी अपने नाम पर ऐसा कर्ज़ देखा हो जो उसे याद नहीं। पहले किस्म के पाठक को रोकथाम चाहिए — जाँच के टूल और पैटर्न पहचान। दूसरे किस्म के पाठक को पाठ 14 का रास्ता चाहिए जहाँ प्रतिक्रिया का ढाँचा दिया गया है।

भारत का 2026 नियामक माहौल डिजिटल लेंडिंग के लिए दुनिया भर में सबसे मज़बूत में से एक है। भारतीय रिज़र्व बैंक का डिजिटल लेंडिंग पर मास्टर डायरेक्शन (अप्रैल 2026) हर अधिकृत ऋणदाता को यह अनिवार्य करता है कि वह किसी भी समझौते से पहले उधारकर्ता को की फैक्ट स्टेटमेंट दे, हर अधिकृत डिजिटल लेंडिंग ऐप की एक सार्वजनिक डायरेक्टरी बनाए रखता है, ऐप को सीधे कर्ज़ की रकम वितरित या वसूल करने से मना करता है, और उधारकर्ता को कम से कम 3 दिन की अनिवार्य कूलिंग-ऑफ अवधि देता है। दूरसंचार विभाग का संचार साथी प्लेटफॉर्म किसी भी नागरिक को यह जाँचने देता है कि उनके नाम पर कौन-से SIM कार्ड और कनेक्शन रजिस्टर हैं, और फ़र्ज़ी eKYC रोकने के लिए अपना आधार लॉक करने की सुविधा देता है। राष्ट्रीय साइबर अपराध हेल्पलाइन (1930) और cybercrime.gov.in पोर्टल धोखाधड़ी पीड़ितों के लिए फास्ट-ट्रैक रिकवरी की सुविधा देते हैं, जिसमें 60 मिनट के भीतर रिपोर्ट करने पर रिकवरी दर लगभग 50% दर्ज की गई है। फिर भी शिकारी ऐप बड़े पैमाने पर चल रहे हैं — प्ले स्टोर से बाहर वितरित, इंस्टाग्राम और व्हाट्सऐप पर विज्ञापित। आधार के दुरुपयोग से पहचान चोरी एक बढ़ती हुई समस्या है। नकली KYC बैंक धोखाधड़ी एक फोन कॉल के दौरान इंस्टॉल किए गए रिमोट-एक्सेस ऐप के ज़रिए 7 मिनट में पीड़ित से ₹2-5 लाख ले जाती है। इन सबको रोकने के टूल मौजूद हैं; जो कमी है वह है पाठक में जागरूकता की।

इस पाठ में चार नामित उधारकर्ता यात्राएँ शामिल हैं: तेजस (मुंबई डिलीवरी राइडर, ₹3,500 का अनधिकृत-ऐप कर्ज़ जो कॉन्टैक्ट लिस्ट उत्पीड़न में बदल गया), अनुराधा (दिल्ली की शिक्षिका जिसने कभी कर्ज़ नहीं लिया लेकिन अपने आधार से फ़र्ज़ी SIM रजिस्टर कर पहचान चोरी के ज़रिए अपने नाम पर ₹15,000 का कर्ज़ पाया), भारती (पुणे की गृहिणी, अस्पताल जाने के दौरान नकली KYC बैंक धोखाधड़ी जिसमें 7 मिनट में ₹2,30,000 गए — पाठ 14 रिकवरी से जुड़ाव), और लोकेश (कोयंबटूर के कपड़ा कार्यशाला मालिक जिनकी 60 सेकंड की RBI DLA डायरेक्टरी जाँच ने उन्हें लगभग ₹16,000 और आगे के उत्पीड़न से बचाया)। हम यह भी देखते हैं कि शिकारी मूल्य निर्धारण का गणित किस तरह काम करता है, की फैक्ट स्टेटमेंट को वैध प्रकटीकरण क्या बनाता है और यह कैसे पहचानें कि कुछ इसके रूप में पेश किया जा रहा है लेकिन है नहीं, संचार साथी और आधार सुरक्षाएँ, और धोखाधड़ी प्रतिक्रिया के लिए गोल्डन आवर अवधारणा।

पूर्व-आवश्यकताएँ: पाठ 1 (आधार — CIBIL और ऋणदाता श्रेणियाँ), 3 (पर्सनल लोन — डिजिटल लेंडिंग के लिए वैध तुलनात्मक)। पाठ 14 (शिकारी उधारी का जवाब) के लिए आगे का संदर्भ उन पाठकों के लिए जो पहले से फँसे हुए हैं।

प्रमुख शब्द

शिकारी उधारी: एक कर्ज़ का लेनदेन जिसमें चार में से कम से कम एक मूल तत्व हो जो इसे महज महंगे लेकिन कानूनी कर्ज़ से अलग करता हो। किसी बैंक का 18% सालाना पर पर्सनल लोन महंगा है, लेकिन अगर वह साइन करने से पहले की फैक्ट स्टेटमेंट देता है, पूरी रकम जमा करता है, भुगतान चूकने पर उधारकर्ता के साथ सम्मान से पेश आता है, और वसूली में RBI फेयर प्रैक्टिसेज़ कोड का पालन करता है — तो यह एक कानूनी व्यावसायिक लेनदेन है। कर्ज़ शिकारी होता है जब इनमें से एक या अधिक सच हो: (a) नियामक परिधि से बाहर काम करना — ऋणदाता RBI द्वारा कर्ज़ देने के लिए अधिकृत ही नहीं है; (b) लागत के बारे में भौतिक धोखा — फ्लैट-रेट कोटेशन, शुल्क काटकर वितरण, न बताई गई चक्रवृद्धि (compounding) जुर्माने, या KFS की अनुपस्थिति के ज़रिए उधारी की असली लागत छुपाना; (c) क्रेडिट अंडरराइटिंग के लिए ज़रूरत से ज़्यादा व्यक्तिगत डेटा इकट्ठा करना — कॉन्टैक्ट लिस्ट, फोटो गैलरी, SMS संदेश, हर मिनट का लोकेशन; (d) ज़बरदस्ती या गैरकानूनी वसूली — कॉन्टैक्ट लिस्ट उत्पीड़न, मॉर्फ्ड तस्वीरें, नकली कानूनी नोटिस, पुलिस गिरफ़्तारी की धमकियाँ।

विनियमित संस्था (Regulated Entity / RE): RBI के 2026 डिजिटल लेंडिंग पर मास्टर डायरेक्शन के तहत, भारत में केवल विनियमित संस्थाएँ (RE) ही पैसे उधार दे सकती हैं। RE का मतलब है — कोई अनुसूचित वाणिज्यिक बैंक (Scheduled Commercial Bank), सहकारी बैंक (Co-operative Bank), RBI के साथ पंजीकृत NBFC, या नेशनल हाउसिंग बैंक के साथ पंजीकृत हाउसिंग फाइनेंस कंपनी। भारत में हर वैध कर्ज़ अंततः एक RE द्वारा ही दिया जाता है — भले ही उधारकर्ता को दिखने वाला इंटरफ़ेस किसी फिनटेक कंपनी का ऐप हो। फिनटेक कंपनी एक "लेंडिंग सर्विस प्रोवाइडर" (LSP) होती है — यानी एक तकनीकी परत; असली कर्ज़दाता हमेशा उसके पीछे कोई RE होती है।

लेंडिंग सर्विस प्रोवाइडर (LSP): एक तकनीकी कंपनी जो किसी विनियमित संस्था (RE) की ओर से उधारकर्ता को दिखने वाला ऐप या वेबसाइट चलाती है। LSP का काम है — लीड जनरेशन, ग्राहक इंटरफ़ेस, V-KYC, दस्तावेज़ संग्रह, और (कुछ मामलों में) अधिकृत वसूली फ़ॉलो-अप। LSP कर्ज़दाता नहीं होती। 2026 मास्टर डायरेक्शन के तहत, LSP न तो कर्ज़ की राशि वितरित कर सकती है और न ही पुनर्भुगतान की राशि प्राप्त कर सकती है — ये दोनों लेन-देन सीधे RE और उधारकर्ता के बैंक अकाउंट के बीच होने चाहिए।

डिजिटल लेंडिंग ऐप (DLA): कोई भी मोबाइल या वेब-आधारित इंटरफ़ेस जो विशेष रूप से कर्ज़ देने की सुविधा के लिए बनाया गया हो। RBI के निर्देशों के तहत, हर DLA को या तो किसी RE द्वारा, या किसी विशेष RE के साथ साझेदारी में काम कर रहे LSP द्वारा संचालित किया जाना चाहिए। RBI rbi.org.in पर DLA की एक सार्वजनिक डायरेक्टरी रखता है (जो 1 जुलाई 2025 से चालू है), जिसमें हर अधिकृत DLA के साथ संबंधित RE का नाम और पंजीकरण प्रमाणपत्र दर्ज है। अगर कोई ऐप इस डायरेक्टरी में नहीं है, तो उसे भारत में कर्ज़ देने का अधिकार नहीं है।

उदाहरण: KreditBee एक DLA है जिसे Krazybee Services Pvt Ltd चलाती है — यह RBI पंजीकरण प्रमाणपत्र संख्या N-02.00250 वाली NBFC है। KreditBee RBI की DLA डायरेक्टरी में दर्ज है; और Krazybee RBI की पंजीकृत NBFC की सूची में भी है। यह क्रॉस-वेरिफ़िकेशन ही असली परीक्षा है। इसके उलट, Instagram पर विज्ञापन देने वाला "QuickCash India" न तो डायरेक्टरी में है, और न ही QuickCash India नाम की कोई NBFC पंजीकृत सूची में — यह ऐप कर्ज़ देने के लिए अधिकृत नहीं है।

मुख्य तथ्य विवरण (Key Fact Statement / KFS): किसी कर्ज़ की हर लागत, शर्त और नियम का एक मानकीकृत, एक-पृष्ठीय सारांश, जिसे RBI ने 1 अक्टूबर 2024 को या उसके बाद स्वीकृत सभी खुदरा और MSME टर्म लोन के लिए अनिवार्य किया है। KFS उधारकर्ता को कोई भी कर्ज़ समझौता (loan agreement) साइन करने से पहले उसकी समझ में आने वाली भाषा में दिया जाना चाहिए; वितरण (disbursement) से पहले उधारकर्ता को इसे डिजिटल रूप से या लिखित में स्वीकार करना होगा। अगर कोई कर्ज़दाता आपको KFS देने से मना करे, तो वह गैरकानूनी तरीके से काम कर रहा है — बस, चाहे कर्ज़ कितना भी अच्छा क्यों न लगे। KFS का प्रारूप RBI के 15 अप्रैल 2024 के परिपत्र के अनुलग्नक A में परिभाषित है, और 2026 डिजिटल लेंडिंग मास्टर डायरेक्शन इसे एक बाध्यकारी पूर्व-संविदात्मक दस्तावेज़ के रूप में पुष्ट करता है। KFS के मानक क्षेत्र हैं: स्वीकृत कर्ज़ राशि, शुद्ध वितरित राशि (अग्रिम शुल्क काटकर), अवधि, ब्याज दर, EMI राशि, कुल देय राशि, सभी शुल्क और प्रभार, दंड शुल्क, प्री-पेमेंट की शर्तें, कम से कम 3 दिन की कूलिंग-ऑफ अवधि, और शिकायत निवारण विवरण जो RBI बैंकिंग लोकपाल तक जाता है।

वार्षिक प्रतिशत दर (Annual Percentage Rate / APR): उधार लेने की कुल वार्षिक लागत, एकल प्रतिशत के रूप में व्यक्त की गई। APR में ब्याज के साथ-साथ अग्रिम शुल्क और अनिवार्य बंडल प्रभार भी शामिल होते हैं; यह इन सबको उस समकक्ष वार्षिक ब्याज दर में बदल देता है जो कुल मिलाकर वही लागत उत्पन्न करे। APR हर KFS में देना ज़रूरी है — यही वह एकल संख्या है जिसका उपयोग उधारकर्ता को दो कर्ज़ प्रस्तावों की तुलना के लिए करना चाहिए, क्योंकि यह कर्ज़दाताओं की अलग-अलग मूल्य-निर्धारण पद्धतियों को एक समान आधार पर लाती है।

उदाहरण: Anjali Patil के HDFC Bank पर्सनल लोन की मुख्य ब्याज दर घटते शेष (reducing balance) पर 14.50% प्रति वर्ष है। KFS में उनकी कर्ज़ राशि ₹1,50,000 दर्शाई गई है, प्रोसेसिंग शुल्क ₹2,250 + GST ₹405 = ₹2,655 अग्रिम, शुद्ध वितरित राशि ₹1,47,345, अवधि 36 महीने, EMI ₹5,150। सभी EMI का कुल = 36 × ₹5,150 = ₹1,85,400। ₹2,655 शुल्क सहित, 3 वर्षों में कुल लागत ₹1,88,055 है। उनका APR 15.36% है — 14.50% से अधिक, क्योंकि अग्रिम शुल्क लागत बढ़ा देता है। गणित यह है: उन्हें प्रभावी रूप से ₹1,47,345 मिले, लेकिन वे ऐसे चुका रही हैं जैसे उन्हें ₹1,50,000 मिले हों, इसलिए उधार की वास्तविक दर अधिक है। KFS में दोनों संख्याएँ दिखाई गई हैं — 14.50% (मुख्य दर) और 15.36% (APR) — और कर्ज़दाताओं की तुलना APR से ही करनी चाहिए।

मुख्य दर बनाम फ्लैट दर बनाम घटता शेष: एक ही पैसे की लागत बताने के तीन अलग-अलग तरीके — और इनकी वास्तविक दरें बहुत अलग होती हैं। घटते शेष (reducing balance) पर ब्याज हर महीने केवल उस बकाया मूल राशि पर लगता है जो उस समय बची होती है, जो चुकाते जाने पर कम होती रहती है। भारत के लगभग सभी वैध कर्ज़दाता घटते शेष की दर बताते हैं। फ्लैट दर पर ब्याज पूरी अवधि में मूल कर्ज़ राशि पर लगता है, भले ही मूल राशि कम होती रहे — 3 वर्षों के लिए 12% फ्लैट का मतलब है कि आप हर साल मूल राशि का 12% चुकाते हैं, चाहे आप कितनी भी मूल राशि पहले ही चुका चुके हों। मुख्य दर वह होती है जो कर्ज़दाता विज्ञापन में दिखाना चाहे — वैध कर्ज़दाता आमतौर पर घटते शेष की दर दिखाते हैं, जबकि कुछ डीलर-फाइनेंस्ड वाहन कर्ज़ या अनधिकृत डिजिटल कर्ज़दाता फ्लैट दर दिखाते हैं जो उनके लिए भ्रम से फायदेमंद होती है।

उदाहरण: 3 वर्षों के लिए 12% फ्लैट दर पर ₹1L के कर्ज़ का कुल ब्याज = ₹1L × 12% × 3 = ₹36,000। उसी कर्ज़ पर 12% घटते शेष पर कुल ब्याज लगभग ₹19,560 होगा। 12% फ्लैट दर लगभग 3 वर्षों में 22% घटते शेष दर के बराबर होती है — यानी लगभग दोगुना। जब कोई अनधिकृत ऐप "12% प्रति वर्ष ब्याज" कहे और एक EMI कैलकुलेटर से एक निश्चित मासिक भुगतान दिखाए, तो जाँचें कि EMI की गणना घटते शेष के अनुसार है या फ्लैट दर के अनुसार। अगर EMI किसी वैध बैंक की उसी मुख्य दर पर EMI से काफ़ी अधिक है, तो आप फ्लैट दर की कीमत देख रहे हैं जिसे घटते शेष के रूप में पेश किया जा रहा है।

शुल्क काटकर वितरण (Disbursement-net-of-fee): यह एक मूल्य-निर्धारण तरीका है जिसमें कर्ज़दाता वितरण से अग्रिम शुल्क काट लेता है, इसलिए उधारकर्ता को कर्ज़ राशि से कम मिलती है, लेकिन पूरी कर्ज़ राशि चुकानी होती है। वैध और शिकारी (predatory) — दोनों तरह के कर्ज़दाता यह तरीका अपनाते हैं, लेकिन इनका अंतर बहुत बड़ा होता है। वैध कर्ज़दाता पर्सनल लोन पर वितरण से 1-3% (प्रोसेसिंग शुल्क + GST + स्टाम्प शुल्क) काटते हैं; स्वीकृत और वितरित राशि का अंतर छोटा होता है। शिकारी ऐप 30-50% अग्रिम काट लेते हैं, इसे "प्रोसेसिंग फ़ीस," "वेरिफ़िकेशन फ़ीस," "कन्वेनिएंस चार्ज," "प्लेटफ़ॉर्म फ़ीस" जैसे नाम देकर — स्वीकृत और वितरित राशि का अंतर बहुत बड़ा होता है, और उधारकर्ता को पूरी स्वीकृत राशि वापस करनी होती है।

उदाहरण: Tejas के "Cash Mantra" ऐप ने ₹5,000 स्वीकृत किए, लेकिन उसके बैंक अकाउंट में ₹3,500 ही भेजे। बाकी ₹1,500 को भ्रामक "शुल्क" के रूप में अग्रिम काट लिया गया। ऐप में उसकी पुनर्भुगतान देनदारी 7 दिनों में ₹6,500 थी। यानी उसे ₹3,500 मिले और 7 दिनों में ₹6,500 चुकाने पड़े। असली गणित: उसने 7 दिनों के लिए ₹3,500 इस्तेमाल करने के लिए ₹3,000 चुकाए। हम नीचे Tejas वाले हिस्से में प्रभावी वार्षिक दर की गणना करेंगे — लेकिन जवाब कई सौ प्रतिशत है।

TAFCOP (टेलीकॉम एनालिटिक्स फॉर फ्रॉड मैनेजमेंट एंड कंज्यूमर प्रोटेक्शन): दूरसंचार विभाग के संचार साथी पोर्टल (sancharsaathi.gov.in) पर मौजूद एक मॉड्यूल, जिससे कोई भी भारतीय नागरिक देख सकता है कि उनके आधार नंबर से कितने मोबाइल कनेक्शन रजिस्टर हैं। दूरसंचार विभाग ने एक आधार पर अधिकतम 9 मोबाइल कनेक्शन की सीमा तय की है। TAFCOP रिपोर्ट में आपकी पहचान से रजिस्टर हर SIM कार्ड दिखता है। अगर कोई अनजान नंबर दिखे, तो आप उसे टेलीकॉम ऑपरेटर की जाँच के लिए फ्लैग कर सकते हैं, जिससे आमतौर पर वह कनेक्शन बंद हो जाता है। पहचान की चोरी (आइडेंटिटी थेफ्ट) पकड़ने के लिए — खासकर जब कोई आपके नाम पर कर्ज़ लेता है — TAFCOP सबसे ज़रूरी टूल है। हर 3-4 महीने में जाँच करना सही रहता है।

आधार लॉक: UIDAI की वेबसाइट (uidai.gov.in) या mAadhaar ऐप पर मिलने वाली एक सुविधा, जो आपके आधार के बायोमेट्रिक या डेमोग्राफिक डेटा को किसी भी ऑथेंटिकेशन रिक्वेस्ट के लिए तब तक ब्लॉक कर देती है जब तक आप इसे अनलॉक न करें। लॉक होने के बाद कोई भी संस्था आपके आधार से eKYC नहीं कर सकती — इससे पहचान की चोरी का सबसे आम तरीका रुक जाता है, जहाँ धोखेबाज़ लीक या चुराई हुई आधार कॉपी से आपके नाम पर नए बैंक अकाउंट, SIM कार्ड या कर्ज़ खुलवा लेते हैं। जब आपको खुद कोई सही KYC करानी हो, तो आप इसे कुछ देर के लिए अनलॉक कर सकते हैं। जो लोग नए अकाउंट नहीं खोल रहे, उनके लिए यह लॉक रखना बेहतर है।

गोल्डन आवर: इमरजेंसी मेडिसिन से लिया गया शब्द, जो साइबर फ्रॉड रिकवरी पर लागू होता है — धोखाधड़ी के लेन-देन के बाद पहले 60 मिनट में रिकवरी की संभावना सबसे ज़्यादा होती है, क्योंकि फ्रॉड चेन (जो पैसे कई मुल अकाउंट से होते हुए वॉलेट, क्रिप्टो या नकद तक पहुँचाती है) अभी पूरी नहीं हुई होती और पैसे वापस मिल सकते हैं। नेशनल साइबर क्राइम के आँकड़े बताते हैं कि 60 मिनट के अंदर रिपोर्ट करने पर रिकवरी दर लगभग 50% रहती है, 24 घंटे बाद यह घटकर लगभग 10% हो जाती है, और 7 दिन बाद लगभग 2% रह जाती है। इसका तरीका है — 1930 हेल्पलाइन और cybercrime.gov.in पोर्टल, जो जल्दी संपर्क करने पर प्राप्तकर्ता का अकाउंट फ्रीज़ करके ट्रांसफर पलट सकते हैं।

1930 / cybercrime.gov.in: नेशनल साइबर क्राइम हेल्पलाइन (24x7 टोल-फ्री) और नेशनल साइबर क्राइम रिपोर्टिंग पोर्टल। 1930 तुरंत प्रतिक्रिया के लिए नंबर है; cybercrime.gov.in वह औपचारिक शिकायत पोर्टल है जहाँ रिपोर्ट एक दर्ज शिकायत बन जाती है और पुलिस जाँच शुरू होती है। दोनों गृह मंत्रालय के इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) द्वारा संचालित हैं।

RBI सचेत पोर्टल (sachet.rbi.org.in): भारतीय रिज़र्व बैंक का शिकायत पोर्टल, जो खासतौर पर बिना अनुमति के कर्ज़ देने वाली संस्थाओं और बिना अनुमति के जमा स्वीकार करने वाली संस्थाओं के लिए है। यहाँ दर्ज रिपोर्ट के आधार पर MeitY (इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय) IT अधिनियम की धारा 69A के तहत ऐप को ब्लॉक कर सकता है, ऐप ऑपरेटर्स के खिलाफ नियामक कार्रवाई हो सकती है, और आपराधिक मामला भी दर्ज किया जा सकता है। सचेत के 2024-26 के रिकॉर्ड में लगभग 1,300 अनधिकृत डिजिटल लेंडिंग ऐप ब्लॉक किए जा चुके हैं।

चक्षु: संचार साथी का एक मॉड्यूल, जिसके ज़रिए आप संदिग्ध SMS, व्हाट्सऐप मेसेज या कॉल — जो बैंक, पुलिस, RBI, आधार अधिकारी या किसी अन्य सरकारी संस्था के नाम पर आए हों — की रिपोर्ट कर सकते हैं। रिपोर्ट में संदेश भेजने वाले का नंबर और संचार का स्क्रीनशॉट शामिल होता है। नकली KYC फ्रॉड के मामलों में "VM-HDFCBK" जैसे जाली सेंडर ID फ्लैग करने के लिए इसका इस्तेमाल होता है।

यह पाठ भारत के 2026 माहौल में क्यों ज़रूरी है

भारत ने नियामक और तकनीकी ढाँचा इस तरह बनाया है कि ज़्यादातर शिकारी उधारी (प्रेडेटरी लेंडिंग) पुरानी बात बन जाए। RBI DLA डायरेक्टरी मौजूद है। KFS अनिवार्य है। कर्ज़दार के अकाउंट में सीधे वितरण ज़रूरी है। TAFCOP और आधार लॉक मुफ्त हैं, ऑनलाइन हैं, और हर एक में 5 मिनट लगते हैं। 1930 हेल्पलाइन 24x7 काम करती है। लेकिन यह सब तब तक बेकार है जब तक उधार लेने वाले को पता ही न हो कि ये चीज़ें मौजूद हैं और इन्हें कैसे इस्तेमाल करें। बचाव तो पाठक की जागरूकता में है — दबाव के उस पल से पहले।

आगे दी गई चार उधारकर्ताओं की कहानियाँ दिखाती हैं कि जागरूकता व्यवहार में कैसी दिखती है और उसकी कमी का क्या नुकसान होता है। Lokesh की 60-सेकंड की जाँच सुरक्षा का उदाहरण है। Anjali Patil का HDFC KFS असली दस्तावेज़ की बनावट समझाता है। Tejas का ₹3,500 वितरण दोनों को नज़रअंदाज़ करने का नतीजा दिखाता है। Anuradha की TAFCOP खोज पहचान की चोरी का वह मामला है जहाँ जागरूकता बाद में आती है, लेकिन समय रहते सुधार हो जाता है। Bharati का अस्पताल में हुआ फ्रॉड सबसे खतरनाक पैटर्न है — जो भरोसेमंद संस्थाओं पर विश्वास का फायदा उठाता है — और उनकी ₹2,30,000 रिकवरी गोल्डन आवर का उदाहरण है।

परिचय

Lokesh, 34 साल के, तमिलनाडु के तिरुपुर में एक छोटी टेक्सटाइल वर्कशॉप चलाते हैं। पाँच कर्मचारी हैं। महीने का कारोबार करीब ₹4.5 लाख है, घरेलू शुद्ध आय करीब ₹65,000 प्रति माह। City Union Bank में उनकी ₹3L की कैश क्रेडिट (CC) सीमा है — जिसमें से आमतौर पर ₹1.8L निकाल ली जाती है। उनका CIBIL स्कोर 738 है।

फरवरी 2026 में एक कपड़े के लॉट का मौका आता है: सीज़न के अंत का एक लॉट जिसे सप्लायर 48 घंटे में 15% की छूट पर निकालना चाहता है। Lokesh को यह लॉट लेने के लिए ₹40,000 चाहिए। CC सीमा पहले से काफी हद तक खिंची हुई है; सप्लायर सोमवार की सुबह बैंक खुलने तक इंतज़ार नहीं करेगा। शुक्रवार की शाम है।

वे इंस्टाग्राम स्क्रॉल कर रहे हैं और एक विज्ञापन आता है: "QuickCash India — RBI approved — Same-day disbursement up to ₹2 lakh — No paperwork." एक बटन लिखा है "Install Now।" नीचे URL है quickcash-india.live। उनके पास शुक्रवार की शाम और शनिवार का वक्त है इसे सुलझाने के लिए, और सोमवार सुबह तक लॉट का भुगतान करना होगा।

लालच सच में है। तीन चीज़ें उन्हें Install टैप करने से रोकती हैं।

60-सेकंड की जाँच

पहली बात — उन्हें URL खटकता है। भारत के असली बैंक और NBFC आमतौर पर अपने कॉर्पोरेट नाम के .com डोमेन पर चलते हैं (जैसे hdfcbank.com, iciciprudential.com)। किसी फाइनेंशियल ऐप पर .live डोमेन असामान्य है।

दूसरी बात — विज्ञापन में लिखा है "RBI approved" — लेकिन RBI ऐप को मंज़ूरी नहीं देता। RBI विनियमित संस्थाओं (Regulated Entities) को मंज़ूरी देता है। कोई ऐप किसी RBI-रजिस्टर्ड NBFC द्वारा चलाया जा सकता है, लेकिन मार्केटिंग के नारे के रूप में "RBI approved" लिखना अपने आप में एक छोटा-सा खतरे का संकेत है।

तीसरा कदम — और यही असली बचाव का तरीका है — लोकेश अपने फोन का ब्राउज़र खोलता है और rbi.org.in टाइप करता है। वह 'Directory of Digital Lending Apps' नाम के सेक्शन में जाता है। वह सर्च करता है: "QuickCash India।" सर्च में कोई नतीजा नहीं आता। वह "Quick Cash India" स्पेस के साथ आज़माता है। फिर भी कोई नतीजा नहीं। वह "Quick Cash" खोजता है। कुछ ऐप्स दिखते हैं, लेकिन किसी का URL या डेवलपर नाम Instagram विज्ञापन के quickcash-india.live से मेल नहीं खाता।

पूरी जाँच में बस 60 सेकंड लगते हैं।

वह इस नतीजे पर पहुँचता है: यह ऐप RBI की डायरेक्टरी में नहीं है। इसके पीछे के लोगों को भारत में कर्ज़ देने की अनुमति नहीं है। उनसे लिया गया कोई भी कर्ज़ कानूनी तौर पर उससे लड़ने का कोई रास्ता नहीं देता; और अगर वे परेशान करें, तो कानून पूरी तरह मदद नहीं कर सकता। वह ऐप इंस्टॉल नहीं करता।

नीचे दिया गया विजेट दिखाता है कि RBI DLA डायरेक्टरी पोर्टल असल में कैसा दिखता है — वही पेज जिस पर लोकेश गया था। यह इसलिए है ताकि जब आप खुद इसे इस्तेमाल करें, तो इसका लेआउट पहचान सकें।

लोकेश का वैकल्पिक रास्ता और लागत की तुलना

सोमवार सुबह, लोकेश City Union Bank की तिरुपुर शाखा में जाता है और एक महीने के लिए ₹50,000 की अस्थायी क्रेडिट कार्ड (CC) लिमिट बढ़ाने का अनुरोध करता है। सप्लायर सोमवार दोपहर तक भुगतान का इंतज़ार करने के लिए राज़ी हो गया है, क्योंकि उसे बताया गया कि बैंक की प्रक्रिया चल रही है। City Union उसी दिन 11.5% सालाना की दर से अतिरिक्त ₹50,000 पर यह बढ़ोतरी मंज़ूर कर देता है, और ब्याज सिर्फ इस्तेमाल की गई राशि पर ही लगता है। कोई नई प्रोसेसिंग फीस नहीं, क्योंकि लोकेश पहले से ही बैंक का ग्राहक है।

कपड़े का माल सोमवार दोपहर को खरीद लिया जाता है। माल अगले 28 दिनों में तय मार्जिन पर बिक जाता है। लोकेश 30वें दिन अपनी बकाया रकम आने पर ₹50,000 की बढ़ाई गई लिमिट चुका देता है।

City Union के रास्ते से कर्ज़ की लागत: ₹50,000 पर 11.5% सालाना की दर से 30 दिनों का ब्याज: ब्याज = मूल राशि × दर × समय = ₹50,000 × 0.115 × (30 / 365) = ₹5,750 × 0.0822 = ₹472। उसने 30 दिनों के लिए ₹50,000 उधार लेने पर ₹472 चुकाए। बस।

QuickCash India के रास्ते से क्या लागत आती, जो आमतौर पर शिकारी कीमत तय करने के तरीके पर काम करते हैं: Instagram पर विज्ञापन देने वाला ऐसा ऐप जो ₹40,000 उसी दिन देने का वादा करे, आमतौर पर कर्ज़दार के बैंक अकाउंट में ₹24,000-28,000 भेजता है, और बाकी ₹12,000-16,000 "प्रोसेसिंग फीस", "वेरिफिकेशन चार्ज", "सर्विस फीस" और "प्लेटफॉर्म फीस" के नाम पर काट लिए जाते हैं — सब पहले से, सब डिस्बर्समेंट से। 7 दिनों में वापस करने की उम्मीद पूरे ₹40,000 की होती है, साथ में एक छोटी "ब्याज" लाइन आइटम, जो आमतौर पर कुल ₹42,000-45,000 होती है। कर्ज़दार को लगभग ₹26,000 मिलते हैं और उसे 7 दिनों में लगभग ₹43,000 वापस करने होते हैं। यानी 7 दिनों के लिए ₹26,000 इस्तेमाल करने पर ₹17,000 की अदायगी।

इसे प्रभावी वार्षिक दर के रूप में समझें — यह गणित नीचे तेजस के सेक्शन में और ध्यान से समझाई गई है — तो हिसाब कुछ ऐसा है: कर्ज़दार ने मिली राशि का 65% हिस्सा 7 दिनों में चुकाया, जिसे सालाना करें तो लगभग: (₹17,000 / ₹26,000) × (365 / 7) = 0.654 × 52.1 = 34.1, यानी लगभग 3,400% प्रति वर्ष।

वास्तविक वार्षिक दर इस बात पर निर्भर करती है कि आप चक्रवृद्धि (compounding) का तरीका अपनाते हैं या साधारण गणित, लेकिन जवाब हज़ारों प्रतिशत की सीमा में आता है। City Union के रास्ते की 0.094% प्रभावी दर (30 दिनों में ₹50,000 में से ₹472) जो सालाना लगभग 11.5% प्रति वर्ष बनती है, 300 गुना से भी सस्ती है।

60 सेकंड की RBI DLA डायरेक्टरी जाँच ने लोकेश को तत्काल लागत में ₹16,000-17,000 की बचत कराई, साथ ही आगे होने वाली परेशानी से भी बचाया — क्योंकि अनधिकृत ऐप एक बार इंस्टॉल होने पर कॉन्टैक्ट लिस्ट और गैलरी की अनुमति माँगता, जो कि अगर लोकेश चुकाने में नाकाम हो जाता तो परेशान करने का हथियार बन जाती।

तेजस की शिकारी ऐप की कहानी देखने से पहले, हमें यह जानना ज़रूरी है कि एक वैध कर्ज़ की जानकारी कैसी दिखती है, ताकि शिकारी तरीकों का फ़र्क साफ़ नज़र आए। अंजलि पाटिल का HDFC Bank पर्सनल लोन, जो उसने नवंबर 2025 में MBA आवेदन के लिए लिया था — अंजलि 24 साल की है, पुणे में TCS में काम करती है और ₹65,000/महीना कमाती है, CIBIL 768, और वह भारती की बेटी है जो आगे आती है — यह वैध उदाहरण देता है।

अंजलि का पर्सनल लोन 36 महीनों के लिए ₹1,50,000 पर 14.50% सालाना घटती बैलेंस दर से मंज़ूर हुआ। प्रोसेसिंग फीस ₹2,250 (लोन राशि का 1.5%) थी, जिस पर GST ₹405 = ₹2,655 अग्रिम। HDFC ने यह राशि उसके डिस्बर्समेंट से काट ली, इसलिए उसे 19 नवंबर 2025 को अपने HDFC सेविंग अकाउंट में ₹1,47,345 मिले। उसकी EMI 36 महीनों के लिए ₹5,150 प्रति माह थी।

लोन डिस्बर्स होने से पहले, HDFC ने उसे उसके रजिस्टर्ड ईमेल और HDFC मोबाइल बैंकिंग ऐप पर एक की फैक्ट स्टेटमेंट (Key Fact Statement) भेजा, जिसे डिजिटली स्वीकार करना ज़रूरी था, तभी डिस्बर्समेंट आगे बढ़ सकता था। KFS वह बाध्यकारी पूर्व-अनुबंध खुलासा है। स्वीकृति का यह कार्य खुद दर्ज होता है — HDFC के KFS नोटेशन में लिखा है: "18 नवंबर 2025 को 15:42 IST पर HDFC मोबाइल बैंकिंग से OTP वेरिफिकेशन ***4892 के ज़रिए डिजिटली स्वीकृत। KFS संस्करण RBI नियम के अनुसार 7 वर्षों तक सुरक्षित रखा जाएगा।"

KFS दस्तावेज़ खुद नीचे दिए विजेट जैसा दिखता है। यही वह चीज़ है जो भारत के हर वैध कर्ज़दाता के KFS में होनी चाहिए — एक जैसा फॉर्मेट, एक जैसे फ़ील्ड, और सभी कर्ज़दाताओं में तुलनायोग्य।

KFS से मिलने वाली मुख्य बात: 2026 में कर्ज़दार की सुरक्षा ऐसी दिखती है — हर लागत, हर संभावित स्थिति, हर शिकायत का रास्ता एक ही दस्तावेज़ पर छपा होता है, जिसे कर्ज़दार को हस्ताक्षर से पहले स्पष्ट रूप से स्वीकार करना होता है। KFS से कर्ज़दाताओं की आपस में तुलना बेहद आसान हो जाती है: KFS A पढ़ो, KFS B पढ़ो, APR और कुल देय राशि की तुलना करो। अगर कोई कर्ज़दाता हस्ताक्षर से पहले KFS दिखाने से इनकार करे, तो वह या तो अनधिकृत है या RBI के नियम का उल्लंघन कर रहा है — दोनों ही स्थितियों में वहाँ से चले जाओ।

पृष्ठभूमि

तेजस, 28 साल का, मुंबई के कांदिवली ईस्ट में रहता है। वह Zomato और Swiggy के लिए डिलीवरी राइडर का काम करता है — जिस शाम जिसका सर्ज रेट बेहतर हो, उसके हिसाब से दोनों के बीच बँटा रहता है। उसकी मासिक आय काम के घंटों और टिप्स के हिसाब से ₹22,000 से ₹26,000 के बीच बदलती रहती है। उसका SBI सेविंग अकाउंट है जिसमें उसकी कमाई हर हफ्ते जमा होती है। उसका CIBIL स्कोर 642 है — पतली फाइल, कभी कोई औपचारिक कर्ज़ नहीं लिया।

उनकी माँ पुणे में रहती हैं। 8 नवंबर 2025 को उन्हें अचानक पेट की तकलीफ होती है और उन्हें पास के नर्सिंग होम में भर्ती करना पड़ता है। तेजस का बड़ा भाई दुबई में है और पैसे भेज सकता है, लेकिन उसमें 24 घंटे लगेंगे। नर्सिंग होम IV ड्रिप और दर्द का इलाज शुरू करने से पहले तुरंत ₹10,000 का एडमिशन डिपॉज़िट माँगता है।

शाम का 11 बज रहे हैं। तेजस उस शाम मुंबई से बस लेकर आया है और अभी पुणे के अस्पताल के कॉरिडोर में खड़ा है। उसके SBI अकाउंट में ₹2,200 हैं। उसे अगले एक घंटे में ₹10,000 चाहिए। नर्सिंग होम SBI अकाउंट बैलेंस को प्रमाण नहीं मानता — उन्हें अपने काउंटर पर डिपॉज़िट स्लिप चाहिए।

वो Google Play Store खोलता है और "instant loan" खोजता है। सबसे ऊपर KreditBee, MoneyTap, Stashfin जैसी ऐप्स आती हैं — सब वैध, सब RBI DLA डायरेक्ट्री में दर्ज, लेकिन सबको CIBIL मूल्यांकन के लिए कम से कम 30-60 मिनट चाहिए, और पतली क्रेडिट हिस्ट्री की वजह से वो उसे मना भी कर सकती हैं। उनसे नीचे स्पॉन्सर्ड विज्ञापन दिखते हैं। इनमें से एक है "Cash Mantra" — जो "तुरंत अप्रूवल, कोई CIBIL जाँच नहीं, 5 मिनट में पैसे" का वादा करता है। डेवलपर का नाम "Mantra Fintech Solutions" दिखता है। Play Store पर कोई रेटिंग नहीं है — लिस्टिंग एकदम नई है।

तेजस को RBI DLA डायरेक्ट्री के बारे में पता नहीं है। उसे यह भी नहीं पता कि "कोई CIBIL जाँच नहीं" अपने आप में एक खतरे की निशानी है (कोई भी वैध भारतीय कर्ज़दाता CIBIL को नज़रअंदाज़ नहीं करता)। वो Cash Mantra इंस्टॉल कर लेता है।

परमिशन की अनुमतियाँ

पहली बार खुलने पर Cash Mantra परमिशन माँगता है: "आपकी पहचान सत्यापित करने और तुरंत अप्रूवल देने के लिए, Cash Mantra को ज़रूरत है:"

• कॉन्टैक्ट्स की अनुमति (आपातकालीन सत्यापन के लिए)
• SMS की अनुमति (बैंक मैसेज से आपकी आमदनी सत्यापित करने के लिए)
• फ़ोटो और मीडिया की अनुमति (KYC दस्तावेज़ अपलोड के लिए)
• कैमरे की अनुमति (सेल्फी KYC के लिए)
• लोकेशन की अनुमति (धोखाधड़ी रोकने के लिए)

तेजस सभी पर "Allow" दबा देता है। अस्पताल के कॉरिडोर का दबाव उसकी जगह सोच रहा है; नर्सिंग होम का काउंटर बंद होने में अब सिर्फ 50 मिनट बचे हैं।

तकनीकी भाषा में, उसने अभी-अभी जो अनुमति दी है वो यह है:

• उसकी पूरी कॉन्टैक्ट लिस्ट — हर नाम, हर फ़ोन नंबर, हर ईमेल पता जो उसने सेव किया है
• उसके फ़ोन के सभी SMS — जिनमें बैंकों के OTP, सैलरी क्रेडिट की सूचनाएँ, और हर निजी मैसेज शामिल हैं
• उसकी फ़ोटो गैलरी को पढ़ने की अनुमति
• कैमरे की अनुमति (यह उसे सेल्फी के लिए ज़रूरी लगी थी)
• लगातार लोकेशन ट्रैकिंग

किसी वैध कर्ज़दाता की ऐप — जैसे KreditBee — सिर्फ कैमरे की अनुमति (सेल्फी KYC के लिए) और SMS रीड की अनुमति माँगती है (केवल लोन आवेदन के दौरान खास OTP के लिए, और वो भी उसी सेशन तक सीमित या बाद में रद्द)। क्रेडिट अंडरराइटिंग के लिए कॉन्टैक्ट लिस्ट या फ़ोटो गैलरी की ज़रूरत नहीं होती। RBI की डिजिटल लेंडिंग पर मास्टर डायरेक्शन साफ़ तौर पर कहती है कि डिजिटल लेंडिंग के लिए जमा किया गया निजी डेटा केवल अंडरराइटिंग के लिए ज़रूरी सीमा तक ही हो, और उस मकसद के बाद उसे रखना मना है। Cash Mantra की परमिशन अनुमतियाँ इसका उल्लंघन करती हैं — लेकिन Cash Mantra एक विनियमित संस्था नहीं है, इसलिए उस पर कोई कार्रवाई नहीं होती।

"कर्ज़"

Cash Mantra तेजस का PAN, आधार नंबर, सेल्फी और बैंक अकाउंट की जानकारी लेता है। वो उसे कोई की फैक्ट स्टेटमेंट (Key Fact Statement) नहीं दिखाता। कोई APR नहीं दिखाता। सिर्फ एक स्क्रीन दिखाता है: "लोन राशि अप्रूव: ₹5,000। आपके अकाउंट में 5 मिनट में।" नीचे एक टिक-बॉक्स है: "मैं नियम और शर्तें स्वीकार करता हूँ।" तेजस उसे दबा देता है।

तीन मिनट बाद उसके SBI अकाउंट में ₹3,500 आते हैं — ₹5,000 नहीं। Cash Mantra ऐप में उसका लोन डैशबोर्ड दिखाता है:

तो उसे मिले ₹3,500। उसे 7 दिनों में ₹6,500 चुकाने होंगे। ऐप पहले से काटे गए ₹1,500 को "शुल्क" और ऊपर से लगने वाले ₹1,500 को "ब्याज" कहती है — लेकिन कर्ज़दार के लिए दोनों आर्थिक रूप से एक ही हैं: उसने 7 दिनों के लिए ₹3,500 इस्तेमाल करने के लिए ₹3,000 चुकाए।

वो ₹3,500 — और SBI में पहले से मौजूद ₹2,200 और एक साथी डिलीवरी राइडर से नकद में उधार लिए ₹4,300 — मिलाकर 11:45 बजे नर्सिंग होम का ₹10,000 का डिपॉज़िट भर देता है। उसकी माँ भर्ती हो जाती हैं।

असली सालाना लागत — गणित

तेजस ने वित्तीय भाषा में देखें तो असल में क्या चुकाया? यह वो गणित है जो Cash Mantra की स्क्रीन ने उसे कभी नहीं दिखाया।

उसे मिले ₹3,500। उसे ₹6,500 चुकाने हैं। कर्ज़ की लागत है ₹6,500 − ₹3,500 = ₹3,000। उसने 7 दिनों के लिए ₹3,500 उधार लेने के लिए ₹3,000 चुकाए। जो राशि मिली उसके अनुपात में लागत: ₹3,000 / ₹3,500 = 0.857, यानी 85.7%। वो 7 दिनों में उधार ली गई राशि का 85.7% लागत के रूप में चुका रहा है।

इसे सरल सालाना दर में बदलने के लिए (7 दिनों को साल के 7/365 हिस्से के रूप में मानते हुए): सालाना लागत = (लागत / मूल राशि) × (365 / दिन) = (₹3,000 / ₹3,500) × (365 / 7) = 0.857 × 52.14 = 44.7, यानी 4,470%।

चक्रवृद्धि (compounding) आधार पर (यदि यही दर लगातार लगाई जाए) तो असली सालाना दर और भी अधिक होगी — लेकिन 4,470% की सरल सालाना दर ही बात को समझाने के लिए काफ़ी है।

तुलना के लिए, उसी ₹3,500 राशि पर 7 दिनों के लिए HDFC Bank की पर्सनल लोन दर 14.50% सालाना पर: वैध ब्याज = ₹3,500 × 14.50% × (7 / 365) = ₹507.50 × 0.0192 = ₹9.73। एक वैध ₹3,500 लोन के लिए 7 दिनों में ब्याज के रूप में लगभग ₹10 चुकाने पड़ते, साथ में शायद एक छोटी-सी प्रोसेसिंग फीस। Tejas ने इसी काम के लिए ₹3,000 चुकाए। उसने वैध लागत से 300 गुना ज़्यादा भुगतान किया।

संख्याओं में यही मतलब है शिकारी मूल्य निर्धारण (predatory pricing) का। कुछ शिकारी ऐप्स जो "12% सालाना" की हेडलाइन दिखाते हैं, वो लोन की असली लागत नहीं होती — वो बस कानूनी बचाव के लिए स्क्रीन पर छापा गया एक नंबर होता है, जबकि शुल्क काटकर रकम देने का तरीका और 7 दिन की चुकौती की खिड़की मिलकर असली पैसा निकाल लेते हैं।

दिन 8 — उत्पीड़न की झड़ी

15 नवंबर 2025 चुकौती की तारीख थी। Tejas ₹6,500 नहीं चुका सका। उसकी माँ के अस्पताल के खर्च बढ़ते गए — पाँच दिनों में कुल ₹18,000। भाई का वायर ट्रांसफर आ गया था (₹15,000) लेकिन वो अस्पताल में खर्च हो गया। उसके अपने SBI अकाउंट में ₹400 बचे थे।

16 नवंबर की सुबह उत्पीड़न शुरू हो गया। Cash Mantra ने Tejas से कोई आपातकालीन संपर्क नॉमिनेट करने को नहीं कहा था। उन्होंने बस इंस्टॉल के समय दी गई "Contacts तक पहुँच" की अनुमति का इस्तेमाल करके उसकी पूरी कॉन्टैक्ट लिस्ट चुरा ली थी।

अगले 7 दिनों में जो उत्पीड़न का सिलसिला चला, वो शिकारी वसूली चक्र (predatory collection cycle) का पूरा रूप था। उस तरीके में (खास संदेशों को दोहराए बिना) शामिल था: उसके दर्जनों कॉन्टैक्ट्स को WhatsApp संदेश भेजना जिसमें कहा गया कि उसने लोन लिया है और चुकाने से मना कर रहा है; उसकी माँ (जो अभी ठीक हो रही थीं) को फोन करके उनसे उसकी तरफ से चुकाने की माँग करना; Swiggy और Zomato पर उसके मैनेजर को फोन करके यह सुझाव देना कि उसे नौकरी से निकाल दिया जाए; उसकी सेल्फी-KYC फोटो को एडिट करके वांटेड-क्रिमिनल पोस्टर जैसा बनाना और उसे "धोखाधड़ी" के सबूत के रूप में कॉन्टैक्ट्स में फैलाना; "पुलिस केस" और "कोर्ट केस" की धमकियाँ देना (जिन्हें शुरू करने का अधिकार ऐप संचालकों के पास नहीं है); रात को देर से फोन करना; SMS संदेश भेजना जिनमें बिना किसी दस्तावेज़ी आधार के दावा किया गया कि कर्ज़ बढ़कर ₹15,000 या ₹25,000 हो गया है।

Tejas की प्रतिक्रिया — जो पाठ 14 में बताई गई है — यह थी कि उसने कांदिवली ईस्ट पुलिस स्टेशन में शिकायत दर्ज की, RBI के Sachet पोर्टल पर शिकायत दर्ज की, और WhatsApp/Meta से तस्वीर हटाने का अनुरोध किया। बदली हुई तस्वीर को हटाने के अनुरोध के 30 घंटे के भीतर Meta के हैश डेटाबेस में जोड़ दिया गया। Sachet शिकायत श्रृंखला के बाद MeitY ने Cash Mantra ऐप को 11 फरवरी 2026 को ब्लॉक कर दिया। Tejas पर कानूनी रूप से कोई बकाया नहीं है — किसी अनधिकृत उधारदाता से लिया गया लोन भारतीय अदालतों में लागू नहीं किया जा सकता — और उसका CIBIL प्रभावित नहीं हुआ क्योंकि Cash Mantra क्रेडिट ब्यूरो को रिपोर्ट नहीं कर सकता।

लेकिन उत्पीड़न असली था और ऐप ब्लॉक होने से पहले लगभग 5 हफ्तों तक चलता रहा। अस्पताल के बिल सामुदायिक मदद से चुकाए गए। उसकी माँ ठीक हो गईं।

मूल सीख यह है: शिकारी कर्ज़ से नुकसान केवल आर्थिक घाटे तक सीमित नहीं होता। इसमें शामिल है — स्वाभिमान पर चोट, रिश्तों को नुकसान, काम पर असर, और उत्पीड़न का मानसिक बोझ। Tejas के मामले में आर्थिक नुकसान ₹3,000 था (₹3,500 मिले, उसके लिए जो रकम चुकाई गई)। उत्पीड़न की लागत — तनाव से गए काम के दिन, माँ को फोन आने से उनकी तकलीफ, मैनेजर की परेशानियाँ — इससे कई गुना ज़्यादा थी।

पृष्ठभूमि

Anuradha, 38 साल, नई दिल्ली के करोल बाग में एक सरकारी स्कूल में हिंदी पढ़ाती हैं। मासिक वेतन ₹52,000। पति Vivek करोल बाग में एक छोटी प्रिंटिंग प्रेस चलाते हैं; दो बच्चे 10 और 7 साल के। परिवार का CIBIL अच्छा है — Anuradha का 758, Vivek का 742 — और वे 2027 की शुरुआत में Dwarka में 2-BHK के लिए होम लोन अप्लाई करने की योजना बना रहे हैं।

उन्होंने कभी पर्सनल लोन नहीं लिया। उनकी एकमात्र क्रेडिट हिस्ट्री 5 साल पुराना HDFC का क्रेडिट कार्ड है (₹50,000 लिमिट, हमेशा पूरा भुगतान किया)। उनकी आधार कॉपी कई बार KYC के लिए इस्तेमाल हो चुकी है — किराया समझौते (परिवार 8 साल में दो बार शिफ्ट हो चुका है), बच्चों के स्कूल में दाखिला, गैस कनेक्शन, प्रिंटिंग प्रेस का बिज़नेस रजिस्ट्रेशन, बिजली मीटर ट्रांसफर। इनमें से हर जगह उन्हें आधार की फोटोकॉपी देनी पड़ी या अपलोड करनी पड़ी।

18 अप्रैल 2026 को उन्हें एक WhatsApp संदेश मिला: "Dear Customer, your FlexiCash loan of Rs.15,000 is overdue since 15 March 2026. Outstanding with penal charges: Rs.16,800. Pay immediately to avoid CIBIL impact. — FlexiCash Recovery Team"

कोई लिंक नहीं था, कोई पहचाना नंबर प्रीफिक्स नहीं था, कोई सही "From" ब्रांडिंग नहीं थी। वो आमतौर पर इसे स्पैम मानकर नज़रअंदाज़ कर देतीं। लेकिन संदेश में एक बात उनकी नज़र रोक गई: उनके PAN के आखिरी चार अंक, और उनके आधार के आखिरी चार अंक — दोनों सही थे।

उन्होंने FlexiCash का नाम कभी नहीं सुना था। उन्होंने FlexiCash नाम से कोई लोन कभी नहीं लिया था। लेकिन संदेश में उनके PAN और आधार के संदर्भ थे।

Sanchar Saathi से मिली जानकारी

Anuradha व्यवस्थित स्वभाव की हैं। उन्हें पहचान की चोरी का शक हुआ। उन्होंने TAFCOP के बारे में पढ़ा था क्योंकि स्कूल ने फरवरी में दूरसंचार विभाग का एक जागरूकता ईमेल सर्कुलेट किया था। उन्होंने अपने फोन का ब्राउज़र खोला और sancharsaathi.gov.in पर गईं। उन्होंने "अपने नाम पर मोबाइल कनेक्शन जानें" विकल्प पर जाकर TAFCOP मॉड्यूल खोला।

उन्होंने अपना मोबाइल नंबर डाला (जो उनके पास 11 साल से है और उनके आधार से जुड़ा है)। OTP मिला, दर्ज किया, और TAFCOP रिपोर्ट लोड हो गई।

रिपोर्ट में उनके आधार से जुड़े 5 मोबाइल कनेक्शन दिखाई दिए:

• दो उन्हें पहचान में आए: उनका अपना नंबर, और एक बैकअप लैंडलाइन जो उनके माता-पिता ने 6 साल पहले करोल बाग में उनके नाम पर एक्टिवेट किया था जब वो उनके साथ रहती थीं
• तीन वो नहीं पहचानतीं: एक नंबर अक्टूबर 2024 में नोएडा से एक्टिवेट, एक जनवरी 2025 में गाज़ियाबाद से एक्टिवेट, और एक मार्च 2026 में फरीदाबाद से एक्टिवेट

उनके पास इन तीनों नंबरों में से किसी भी नंबर वाला कोई फोन नहीं है। वे कभी नोएडा या फरीदाबाद नहीं गईं। गाज़ियाबाद वाला नंबर संभवतः विवेक ने लिया हो सकता था (उन्होंने उसे फोन करके पूछा — नहीं, उसने नहीं लिया था), या गाज़ियाबाद में रहने वाले उनके भाई ने (उन्होंने उसे भी फोन किया — नहीं, उसने भी नहीं लिया था)।

तीनों SIM फ़र्ज़ी हैं। किसी ने उनके आधार का इस्तेमाल करके उनके नाम पर SIM कार्ड हासिल कर लिए। जब एक बार किसी धोखेबाज़ के पास उनकी पहचान से जुड़ी SIM आ जाती है, तो उस SIM का उपयोग उनके नाम पर बैंक अकाउंट खोलने के लिए OTP पाने में, उनके नाम पर डिजिटल लोन के लिए आवेदन करने में, और किसी भी क्रेडिट आवेदन के लिए "रजिस्टर्ड मोबाइल" के रूप में किया जा सकता है।

TAFCOP रिपोर्ट की स्क्रीन नीचे दिए गए विजेट जैसी दिखती है। यह वही असली दस्तावेज़/पोर्टल है जो अनुराधा ने एक मुफ़्त सरकारी वेबसाइट पर 8 मिनट लगाकर तैयार किया।

अनुराधा का आधार किस तरह प्रचलन में आया

अपने आधार को लॉक करने और TAFCOP फ्लैग दर्ज करने के बाद, अनुराधा ने यह पता लगाने का कठिन काम किया कि उनके आधार की कॉपी धोखेबाज़ों तक कैसे पहुँची। इसके लिए उन्होंने दो शाम अपने खुद के रिकॉर्ड खंगाले। उन्होंने दो संभावित माध्यम (vectors) चिह्नित किए:

किराये का KYC, 2022। जब परिवार 2022 में करोल बाग़ के किराये के मकान में शिफ्ट हुआ, तो दलाल (broker) ने रजिस्ट्रेशन एग्रीमेंट के हिस्से के रूप में आधार की फोटोकॉपी माँगी। उस समय दलाल के दफ़्तर में कम से कम तीन और ग्राहक भी मौजूद थे; दलाल के स्टाफ के पास डेटा सँभालने का कोई औपचारिक तरीका नहीं था; आधार की कॉपी एक कागज़ी फ़ाइल में रखी गई। 2022 में भारतीय किराया बाज़ार में यह आम चलन था — और पहचान-दस्तावेज़ की श्रृंखला में एक जाना-माना कमज़ोर बिंदु।

CSC एजेंट का लोन आवेदन, जनवरी 2025। अनुराधा को याद आया कि जनवरी 2025 में वे अपने स्कूल के पास एक कॉमन सर्विस सेंटर (Common Service Centre) में ट्यूशन की नई किताबों के लिए एक छोटे पर्सनल लोन (₹20,000-30,000) के बारे में पूछने गई थीं। CSC एजेंट ने उनकी आधार कॉपी, PAN कॉपी, सैलरी स्लिप और बैंक स्टेटमेंट "सबसे अच्छी दर के लिए कई लेंडर्स के पास जमा करने" के नाम पर ले ली। उन्होंने बाद में आगे न बढ़ने का फ़ैसला किया और कभी फॉलो-अप नहीं किया — लेकिन CSC एजेंट के पास उनके सभी दस्तावेज़ रह गए।

इनमें से कोई भी प्रमाणित तौर पर स्रोत नहीं है, लेकिन दोनों संभावित ज़रूर हैं। उनकी पहचान के खिलाफ धोखाधड़ी तीन चरणों में हुई:

• अक्टूबर 2024 — पहली फ़र्ज़ी SIM (नोएडा) — संभवतः किराये के KYC माध्यम से
• जनवरी 2025 — दूसरी फ़र्ज़ी SIM (गाज़ियाबाद) — CSC एजेंट के समय से मेल खाती है
• मार्च 2026 — तीसरी फ़र्ज़ी SIM (फरीदाबाद) — दोनों में से कोई भी हो सकता है, या उनकी आधार कॉपी के आगे प्रचलन में बने रहने से भी हो सकता है

FlexiCash का ₹15,000 लोन जनवरी 2025 वाली नोएडा SIM (जो लोन आवेदन के लिए "रजिस्टर्ड मोबाइल" बन गई थी) के ज़रिए उनके PAN और आधार क्रेडेंशियल्स का उपयोग करके खोला गया, और राशि एक म्यूल बैंक अकाउंट में भेजी गई। लोन लिया गया, म्यूल को पैसे मिले, और कभी चुकाया नहीं गया। धोखेबाज़ का कभी चुकाने का इरादा ही नहीं था। अनुराधा को की जा रही वसूली की परेशानी "मुनाफ़ा कमाने का चरण" है — धोखेबाज़ का दाँव यह है कि पहचान की चोरी के कुछ 5-10% पीड़ित CIBIL नुकसान के डर से माँगी गई रकम चुका देंगे, भले ही उन्होंने कभी लोन लिया ही न हो।

L13 कदम आगे का नुकसान क्यों रोकते हैं

18-19 अप्रैल 2026 को अनुराधा के उठाए गए कदम बीती बातें नहीं बदलते। म्यूल को भेजी गई ₹15,000 जा चुकी है; CIBIL एंट्री मौजूद है; विवाद प्रक्रिया चलने के दौरान परेशानी कुछ हफ्तों तक जारी रहेगी। लेकिन L13 कदम नया नुकसान रोकते हैं:

UIDAI पर आधार लॉक करने से भविष्य में उनके आधार के ज़रिए कोई भी eKYC उनके स्पष्ट अनलॉक के बिना नहीं हो सकती। उनके नाम पर कोई नया बैंक अकाउंट नहीं खुल सकता। उनके आधार के खिलाफ कोई नया डिजिटल लोन मंज़ूर नहीं हो सकता। उनके आधार पर कोई नई SIM एक्टिवेट नहीं हो सकती। यह लॉक तुरंत लागू होता है और जब भी उन्हें कोई वैध KYC करानी हो, वे इसे किसी भी समय खुद ही हटा सकती हैं।

TAFCOP पर लगाए गए 'NOT MINE' फ्लैग तीनों फ़र्ज़ी SIM के लिए टेलीकॉम ऑपरेटरों की जाँच शुरू कराते हैं। ऑपरेटरों के पास जाँच के लिए 30 दिन होते हैं। अनुराधा के मामले में, निष्क्रियता (deactivation) के आदेश 6 मई, 9 मई और 14 मई 2026 को आए — फ्लैग लगाने के 3-4 हफ्तों के भीतर। एक बार निष्क्रिय होने के बाद, वे SIM OTP नहीं पा सकतीं, जिससे वह श्रृंखला टूट जाती है जो उन नंबरों का उपयोग करके उनकी पहचान के खिलाफ और लोन प्रोसेस होने देती।

FlexiCash के व्हाट्सएप वसूली मैसेज पर Chakshu रिपोर्ट दर्ज करने से शुरुआती व्हाट्सएप नंबर को नकल (impersonation) के लिए फ्लैग किया जाता है। दूरसंचार विभाग (Department of Telecommunications), WhatsApp/Meta के साथ मिलकर, उस परेशान करने वाले नंबर की जाँच कर उसे बंद करा सकता है।

वसूली की कहानी का आगे का हिस्सा — 21 अप्रैल को CIBIL धोखाधड़ी विवाद दर्ज करना, करोल बाग़ पुलिस स्टेशन में FIR, औपचारिक एस्केलेशन का रास्ता — पाठ 14 में है। L13 कदम वे हैं जो L14 की रिकवरी प्रक्रिया चलने के दौरान नुकसान को रोकते हैं।

पृष्ठभूमि

भारती, 51, पुणे (औंध) में रहती हैं। गृहिणी। पति नवीन ब्रेमन चौक के पास एक छोटी फार्मेसी चलाते हैं। बेटी अंजलि पाटिल (हाँ — वही अंजलि जिनका KFS हमने पहले देखा था) 24 साल की हैं और TCS हिंजेवाड़ी में काम करती हैं। घर में ससुर जी हैं, 79 साल के, जिन्हें दिल की बीमारी का इतिहास है।

5 फरवरी 2026 को ससुर जी के सीने में तेज़ दर्द होने लगा। नवीन और भारती उन्हें ससून रोड पर रूबी हॉल क्लिनिक में भर्ती कराते हैं। 7 फरवरी को एंजियोग्राफी और फिर एंजियोप्लास्टी होती है। भारती दिन-रात का अधिकांश समय अस्पताल में बिताती हैं। अंजलि TCS से छुट्टी लेकर मदद के लिए आती हैं।

8 फरवरी 2026 को — भर्ती के 3वें दिन — भारती थकी हुई हैं। वे ICU के बाहर फैमिली रूम में रात करीब 10:40 बजे बैठी हैं। ससुर जी की हालत स्थिर है। तभी उनके फोन पर एक SMS आता है।

10:45 बजे आया SMS

SMS में लिखा है (हम सटीक शब्द नहीं दोहरा रहे, बस भाव बता रहे हैं): "प्रिय ग्राहक, अधूरे KYC के कारण आपका HDFC Bank अकाउंट, जो xxxx से खत्म होता है, आज 12:00 PM पर फ्रीज़ हो जाएगा। फ्रीज़ रोकने के लिए तुरंत [नंबर] पर कॉल करके वेरिफिकेशन पूरा करें। — HDFC Bank"

भेजने वाले की ID "VM-HDFCBK" दिखती है।

भारती अपना फ़ोन देखती है। SMS बिल्कुल HDFC बैंक के मैसेज जैसा लगता है — भेजने वाले की ID का फ़ॉर्मेट "VM-HDFCBK" वही है जो उसने असली HDFC SMS मैसेज में देखा है (ट्रांज़ैक्शन अलर्ट में "AD-HDFCBK" या "VM-HDFCBK" जैसी sender ID होती है)। 12:00 PM की डेडलाइन अब 75 मिनट दूर है। वह सच में HDFC में ही अकाउंट रखती है। उसके अकाउंट नंबर के आख़िरी अंक भी SMS में दिए अंकों से मिलते हैं (दरअसल, SMS में उसके अकाउंट के आख़िरी 4 असली अंक हैं, जो जालसाज़ ने पहले हुई डेटा चोरी से हासिल किए हैं)।

यही सोशल इंजीनियरिंग का जाल है। इस धोखाधड़ी में तीन चालें काम कर रही हैं: (a) sender ID की जालसाज़ी — भारतीय टेलीकॉम नियमों के तहत कंपनियाँ "VM-HDFCBK" जैसी sender ID रजिस्टर करवा सकती हैं, लेकिन अनधिकृत लोग नकली वेरिएंट बनाकर उन्हें ग्रे-मार्केट SMS एग्रीगेटर्स के ज़रिए भेज सकते हैं; (b) डेटा का इस्तेमाल — जालसाज़ के पास किसी डेटा चोरी से भारती का नाम, मोबाइल नंबर और उसके HDFC अकाउंट के आख़िरी 4 अंक पहले से हैं (2022-25 में हुई सैकड़ों घटनाओं में से किसी से); (c) जल्दबाज़ी का दबाव — 12 PM की डेडलाइन सोचने का मौका ही नहीं देती।

भारती को यह बात नहीं पता। वह थकी हुई है, अस्पताल की परेशानी से तनाव में है, और SMS उसे असली लगता है। वह नंबर पर कॉल कर देती है।

10:48 AM पर फ़ोन कॉल

कॉल उठाने वाला शख़्स ख़ुद को "HDFC बैंक वेरिफिकेशन टीम का राजेश" बताता है। उसकी अंग्रेज़ी धाराप्रवाह है; वह सही बैंकिंग शब्दावली इस्तेमाल करता है। वह उसका नाम, अकाउंट के आख़िरी अंक और SMS का रेफ़रेंस नंबर कन्फ़र्म करता है। वह कहता है कि उसकी KYC वेरिफिकेशन की समयसीमा निकल गई है और अकाउंट फ़्रीज़ होने से बचाने के लिए अगले कुछ मिनटों में इसे पूरा करना ज़रूरी है।

वह कहता है: "मैडम, यह एक साधारण वेरिफिकेशन है। आप हमें अपनी KYC अपडेट करने में मदद करेंगी, फ़्रीज़ रद्द हो जाएगा, और आप अपने सामान्य दिन पर वापस जा सकती हैं। वेरिफिकेशन में तीन स्टेप हैं।"

स्टेप 1 — वह एक पता पढ़कर भारती से पूछता है कि क्या यह उसके रजिस्टर्ड पते से मेल खाता है। वह कन्फ़र्म करती है कि हाँ, मेल खाता है। (यह जानकारी पहले से उसके पास थी; वह इसका इस्तेमाल अपनी विश्वसनीयता बनाने के लिए कर रहा है।)

स्टेप 2 — वह कहता है कि HDFC के वेरिफिकेशन सिस्टम को उसके फ़ोन पर लेटेस्ट बैलेंस और बेनिफ़िशियरी लिस्ट स्कैन करनी है। इसे सुरक्षित तरीके से करने के लिए, वह कहता है, उसे Play Store से "AnyDesk QuickSupport" नाम का ऐप इंस्टॉल करना होगा। यह "HDFC की KYC टीम का इस्तेमाल किया जाने वाला सुरक्षित वेरिफिकेशन टूल है।"

यही वह अहम क़दम है। AnyDesk एक असली, वैध रिमोट-डेस्कटॉप ऐक्सेस ऐप्लिकेशन है जिसे कई कॉर्पोरेट IT विभाग इस्तेमाल करते हैं। यह मैलवेयर नहीं है। लेकिन यह एक ऐसा टूल भी है जो सही कोड वाले किसी भी इंसान को आपके फ़ोन का पूरा रिमोट कंट्रोल दे देता है — जिसमें आपकी स्क्रीन देखना, आपके ऐप्स में टाइप करना और आपका बैंकिंग सेशन रियल टाइम में देखना शामिल है। AnyDesk का इस्तेमाल भारतीय बैंक KYC के लिए नहीं करते। जालसाज़ ने AnyDesk इसलिए चुना क्योंकि यह Play Store पर एक असली ऐप है, जिससे यह अनुरोध वैध लगता है।

7 मिनट की धोखाधड़ी, 10:50 AM से 10:57 AM तक

भारती AnyDesk इंस्टॉल करती है। ऐप उसे एक 9-अंकों का ऐक्सेस कोड दिखाता है। "राजेश" उससे कोड पढ़कर बताने को कहता है ताकि HDFC का वेरिफिकेशन सिस्टम "वेरिफाई करने के लिए कनेक्ट" हो सके।

जैसे ही भारती AnyDesk कोड पढ़कर बताती है, जालसाज़ को उसके फ़ोन का पूरा रिमोट व्यू मिल जाता है। उसे यह साफ़ नज़र नहीं आता — उसे AnyDesk ऐप पर "HDFC बैंक वेरिफिकेशन से कनेक्टेड" दिखता है (एक नकली स्टेटस जो AnyDesk असल में नहीं दिखाता; जालसाज़ ने भारती को एक सामान्य "कनेक्टेड" मैसेज को HDFC के लेबल के रूप में समझाने के लिए तैयार किया था)।

स्टेप 3 — "राजेश" उससे HDFC मोबाइल बैंकिंग ऐप खोलकर लॉग इन करने को कहता है। वह कहता है कि उसे बस "बैलेंस चेक करना है और बेनिफ़िशियरी लिस्ट वेरिफाई करनी है" और उसे कहीं नेविगेट नहीं करना है — बस ऐप खुला छोड़ दे।

भारती अपने फ़ोन पर HDFC नेटबैंकिंग खोलती है। वह अपना कस्टमर ID और पासवर्ड दर्ज करती है।

उसे समझ नहीं आता कि आगे क्या होता है, लेकिन वह देखती है कि उसका फ़ोन खुद-ब-खुद काम कर रहा है। "नया बेनिफ़िशियरी जोड़ें" की स्क्रीन खुलती है। एक नाम — "प्रदीप कुमार" — दर्ज होता है। एक अकाउंट नंबर दर्ज होता है। IFSC कोड दर्ज होता है। बेनिफ़िशियरी जोड़ दिया जाता है।

वह "राजेश" से पूछने की कोशिश करती है कि क्या हो रहा है। वह उसे समझाता है: "मैडम, यह वेरिफिकेशन प्रोसेस है। सिस्टम आपकी बेनिफ़िशियरी लिस्ट की फ़ंक्शनैलिटी टेस्ट कर रहा है। कृपया कुछ न दबाएँ; वेरिफिकेशन पूरी होने दें। आपका अकाउंट वेरिफाई हो रहा है।"

"प्रदीप कुमार" को IMPS (तत्काल ट्रांसफर; पूरा होने के बाद वापस नहीं होता) के ज़रिए ₹2,30,000 का ट्रांसफर शुरू किया जाता है। उसकी HDFC नेटबैंकिंग उसके रजिस्टर्ड मोबाइल पर OTP भेजती है।

"राजेश" उससे OTP पढ़कर बताने को कहता है। वह बता देती है। वह एक 6-अंकों का OTP पढ़ती है। उसे समझ नहीं आता कि "KYC चेक" के लिए वेरिफिकेशन में OTP की ज़रूरत क्यों है।

ट्रांसफर 10:57 AM पर पूरा होता है। ₹2,30,000 भारती के HDFC अकाउंट से निकलकर "प्रदीप कुमार" नाम के म्यूल अकाउंट में चला जाता है।

"राजेश" फिर कहता है कि वेरिफिकेशन पूरी हो गई और उससे "अब AnyDesk अनइंस्टॉल करो ताकि आपका फ़ोन सुरक्षित हो जाए" कहता है। वह उसे अनइंस्टॉल कर देती है। वह फ़ोन काट देता है।

भारती ख़ुद अपना HDFC ऐप चेक करती है — उसे डेबिट नोटिफ़िकेशन दिखता है। 7 मिनट में उसके ₹2,30,000 चले गए।

11:12 AM पर गोल्डन ऑवर कॉल

भारती की पहली सोच HDFC के कस्टमर केयर को कॉल करने की है। लेकिन जो नंबर उसके पास है — उसके डेबिट कार्ड के पीछे छपा हुआ — वह स्टैंडर्ड कस्टमर सर्विस लाइन है, जहाँ लंबी वेटिंग क्यू है।

वह इसकी बजाय TCS में अंजलि को कॉल करती है। अंजलि तुरंत उठाती है। भारती उसे सब कुछ बताती है।

अंजलि, 24, ने नेशनल साइबर क्राइम हेल्पलाइन के बारे में पढ़ा हुआ है। वो जानती है कि क्या कहना है। "मम्मा, HDFC कस्टमर केयर पर फ़ोन मत करो। अभी 1930 पर कॉल करो। पहले यही करो। मुझसे बात बंद करो और अभी 1930 पर फ़ोन करो। उनसे शिकायत का रेफ़रेंस नंबर ले लो। फिर मैं अस्पताल आती हूँ।"

भारती 11:12 बजे सुबह 1930 पर फ़ोन करती हैं। कॉल 90 सेकंड के अंदर उठाई जाती है। 1930 ऑपरेटर उनकी पूरी जानकारी लेता है — नाम, फ़ोन नंबर, लेन-देन का विवरण (HDFC अकाउंट, रकम, समय, लाभार्थी का नाम "Pradeep Kumar," IFSC, माध्यम IMPS), और वो सोशल इंजीनियरिंग की पूरी कड़ी जिसके ज़रिए यह हुआ। ऑपरेटर एक शिकायत रेफ़रेंस नंबर — NCRP/2026/02/87651 — जनरेट करता है और भारती को बताता है कि 1930 सिस्टम HDFC बैंक के फ्रॉड डेस्क को तुरंत सूचित करेगा ताकि प्राप्तकर्ता के अकाउंट पर रोक लगाई जा सके।

फ्रॉड वाले ट्रांसफर (10:57 बजे सुबह) से 1930 कॉल (11:12 बजे सुबह) तक का समय 15 मिनट था।

15 मिनट क्यों मायने रखे — रिकवरी का तरीका

लाभार्थी बैंक में "Pradeep Kumar" का म्यूल अकाउंट 10:57 बजे सुबह ₹2,30,000 प्राप्त हुए। आमतौर पर फ्रॉड की इस कड़ी में वो पैसे आगे भेज दिए जाते हैं — दूसरे म्यूल को, फिर तीसरे को, फिर किसी वॉलेट में, फिर ATM से नकद निकासी और कभी-कभी क्रिप्टो में। हर अगले ट्रांसफर के साथ रिकवरी और मुश्किल होती जाती है। जब तक यह कड़ी तीसरे या चौथे पड़ाव पर पहुँचती है, तब तक पैसे आमतौर पर वापस मिलना लगभग नामुमकिन हो जाता है।

1930 सिस्टम एक रियल-टाइम बैंक फ्रॉड मॉनिटरिंग इन्फ्रास्ट्रक्चर से जुड़ा है जिसे I4C-CFCFRMS कहते हैं। जब भारती की 1930 शिकायत 11:14 बजे सुबह सिस्टम में पहुँची, तो प्राप्तकर्ता बैंक के फ्रॉड डेस्क को 11:15 बजे सुबह एक ऑटोमेटेड अलर्ट मिला। फ्रॉड डेस्क ने अलर्ट मिलने के तीन मिनट बाद 11:18 बजे सुबह "Pradeep Kumar" के अकाउंट पर फ्रीज़ लगा दिया। उस वक्त ₹2,30,000 अभी भी म्यूल अकाउंट में था (धोखेबाज़ ने 11:14 बजे सुबह ₹1,80,000 दूसरे अकाउंट में भेजने की कोशिश की थी, लेकिन वो ट्रांसफर पूरा नहीं हुआ था; फ्रीज़ ने बचा हुआ ₹2,30,000 भी रोक लिया और उड़ान भर रहा ₹1,80,000 भी वापस कर दिया)।

उसी दिन 12:45 बजे दोपहर तक पूरा ₹2,30,000 भारती के HDFC अकाउंट में "फ्रॉड रिवर्सल" के तौर पर वापस आ गया। HDFC ने उन्हें क्रेडिट की पुष्टि करते हुए SMS भेजा। फ्रॉड से रिकवरी तक कुल समय: 1 घंटे 48 मिनट।

यही है गोल्डन ऑवर मैकेनिक काम करते हुए। प्रकाशित आंकड़ों में ~50% की रिकवरी दर एक औसत है; जैसे भारती के मामले में जहाँ 1930 पर कॉल 15 मिनट के अंदर हुई और प्राप्तकर्ता बैंक का फ्रॉड डेस्क सक्रिय था, वहाँ रिकवरी दर काफ़ी ज़्यादा होती है। अगर अंजलि को भारती को 1930 पर भेजना नहीं पता होता — अगर भारती पहले 30 मिनट HDFC कस्टमर केयर पर होल्ड में रहती, जब तक धोखेबाज़ के आगे के ट्रांसफर पूरे हो जाते और म्यूल अकाउंट खाली हो जाता — तो रिकवरी की संभावना इकाई अंकों में सिमट जाती।

पाठ 14 में भारती की पूरी प्रतिक्रिया का विस्तृत विवरण — HDFC को लिखित शिकायत, RBI लिमिटेड लायबिलिटी का उपयोग, FIR, आठ दस्तावेज़ों का साक्ष्य पैक — इस 1:48 बजे दोपहर की रिकवरी से आगे शुरू होता है और RBI लिमिटेड लायबिलिटी फ्रेमवर्क के तहत 90-दिन के अंतिम निपटान तक जाता है।

शिकारी सामग्री के लिए कोई विजेट क्यों नहीं

नकली "VM-HDFCBK" SMS, AnyDesk इंस्टॉल स्क्रीन, और फ्रॉड लेन-देन की स्क्रीन — इन सबका ऊपर गद्य में वर्णन किया जा चुका है। इन्हें विजेट के रूप में नहीं दिखाया गया है। इसके पीछे पाठ्यक्रम की संवेदनशील-सामग्री नीति है: नकली KYC SMS की एक विश्वसनीय प्रतिकृति बनाना, या स्क्रीन-दर-स्क्रीन दिखाना कि AnyDesk हमला कैसे काम करता है, इससे दो जोखिम हैं — या तो बुरे लोगों के लिए इस धोखे का एक नमूना तैयार हो जाता है, या इन पैटर्न को बार-बार दिखाकर सामान्य कर दिया जाता है। गद्य में वर्णन पाठक को पैटर्न पहचान देता है — "कोई भी SMS जो कहे 'जब तक आप इस नंबर पर कॉल नहीं करते आपका अकाउंट बंद हो जाएगा' वो फ्रॉड है" — बिना बुरे लोगों को कोई नया हमला टेम्पलेट दिए।

इस पाठ में जो विजेट दिखाई देते हैं — RBI DLA डायरेक्टरी, KFS, संचार साथी TAFCOP रिपोर्ट — ये सब बचाव के दस्तावेज़ हैं: वो चीज़ें जो पाठक फ्रॉड को पहचानने और रोकने के लिए इस्तेमाल करता है। आक्रामक सामग्री केवल गद्य में ही वर्णित है।

बारह ऐसे पैटर्न जो लोगों को ऐसी शिकारी स्थितियों में धकेलते हैं जिन्हें कानून पूरी तरह सुलझा नहीं सकता। हर पैटर्न में यह समझाया गया है — यह गलती होती क्यों है, इसकी कीमत क्या है, और विकल्प क्या है।

इन सभी बारह बातों में एक ही पैटर्न है — शिकारी कर्ज़ देना उस खाई का फायदा उठाता है जो पाठक की मानसिक सोच और नियामक वास्तविकता के बीच होती है। नियामक टूल मौजूद हैं। कानूनी सुरक्षाएं मज़बूत हैं। "कुछ हुआ तो देख लूंगा" की सोच ही कमज़ोर पड़ती है। 18 अप्रैल 2026 को अनुराधा के कदमों में कुल 22 मिनट लगे। तेजस का 60 सेकंड का RBI DLA डायरेक्टरी चेक उसका ₹3,500 वाला कर्ज़ और उसके बाद की परेशानियों की झड़ी रोक सकता था। भारती की बेटी अंजलि को बस एक फोन नंबर — 1930 — पता होना, ₹2,30,000 के नुकसान और ₹2,30,000 की रिकवरी का फर्क बन गया।

इस पाठ का काम है नियामक ढाँचे (जो मौजूद है) को पाठक की आदतों (जो अक्सर नहीं होतीं) में बदलना। पाठ 14 उन पाठकों के लिए है जो पहले से फंसे हुए हैं और जवाब देने का तरीका जानना चाहते हैं।