डुप्लीकेट SIM ने खोला बैंक खाते का रास्ता, OTP किसी और को मिला और लाखों रुपये पलक झपकते गायब हो गए।

डुप्लीकेट SIM पर पहुंचते रहे बैंक के OTP, ₹79 लाख की ठगी; Bank of India को करीब ₹1.5 करोड़ चुकाने का आदेश…..

मुंबई: डिजिटल बैंकिंग में OTP को सुरक्षा की आखिरी दीवार माना जाता है, लेकिन अगर वही OTP किसी दूसरे व्यक्ति के मोबाइल पर पहुंच जाए तो पूरा बैंक खाता खतरे में पड़ सकता है। ऐसा ही एक मामला करीब 11 साल पुराने SIM Swap Fraud से जुड़ा है, जिसमें पुणे की चार्टर्ड अकाउंटेंसी और ऑडिट फर्म G D Apte & Co को करीब ₹79 लाख का नुकसान हुआ।

महाराष्ट्र के Information Technology Act, 2000 के तहत नियुक्त Adjudicating Authority ने मामले में Bank of India को प्रमुख रूप से जिम्मेदार मानते हुए ₹64.44 लाख का मुआवजा देने का आदेश दिया है। इस रकम पर 12 प्रतिशत सालाना ब्याज भी देना होगा। करीब एक दशक के ब्याज को जोड़ने पर कुल भुगतान लगभग ₹1.5 करोड़ बैठता है। मामले में डुप्लीकेट SIM जारी करने वाली Idea Cellular Ltd, जो अब Vodafone Idea के नाम से जानी जाती है, पर भी ₹5 लाख का मुआवजा लगाया गया है।

कैसे हुआ पूरा फ्रॉड?

मामला वर्ष 2015 का है। 10 मार्च को ऑडिट फर्म का बैंक से जुड़ा रजिस्टर्ड मोबाइल नंबर अचानक काम करना बंद हो गया। उस समय फर्म को अंदाजा नहीं था कि उसी मोबाइल नंबर के लिए किसी दूसरे व्यक्ति को Duplicate SIM जारी किया जा चुका है।

इसका सबसे खतरनाक परिणाम यह हुआ कि बैंक से आने वाले OTP और Transaction Alerts असली ग्राहक के फोन के बजाय फ्रॉडस्टर के SIM पर पहुंचने लगे।

इसके अगले दिन यानी 11 मार्च 2015 को खाते से लगातार अनधिकृत RTGS Transactions किए गए।

रिपोर्ट के अनुसार:

• एक खाते से करीब ₹6.6 लाख ट्रांसफर हुए।
• ओवरड्राफ्ट खाते से 12 लेनदेन के जरिए करीब ₹78.93 लाख निकाले गए।
• कुल संदिग्ध लेनदेन करीब ₹85.53 लाख के थे।
• करीब ₹14 लाख ही वापस हासिल किए जा सके।
• बाकी नुकसान की भरपाई के लिए फर्म ने लंबी कानूनी लड़ाई लड़ी।

असली सवाल: OTP आया किसके पास?

इस मामले की सबसे महत्वपूर्ण बात यही है।

आमतौर पर बैंक ग्राहक के रजिस्टर्ड मोबाइल नंबर पर OTP भेजता है। लेकिन SIM Swap के बाद मोबाइल नंबर वही रहता है, जबकि SIM कार्ड किसी दूसरे व्यक्ति के नियंत्रण में चला जाता है।

यानी बैंक के सिस्टम को लगता है कि OTP सही नंबर पर भेजा गया है, जबकि वास्तव में वह फ्रॉडस्टर के फोन पर पहुंच रहा होता है।

यही वजह है कि सिर्फ यह कहना कि “OTP भेज दिया गया था”, अपने आप में पर्याप्त सुरक्षा नहीं माना जा सकता। महाराष्ट्र में 2026 के दूसरे मामलों में भी अदालतों ने यह माना है कि अगर जांच से SIM swapping और ग्राहक की गलती न होने की बात सामने आती है, तो केवल OTP भेजे जाने के आधार पर ग्राहक को जिम्मेदार नहीं ठहराया जा सकता।

बैंक की गलती कहां मानी गई?

इस मामले में केवल SIM की समस्या नहीं थी। Banking Controls पर भी सवाल उठे।

फर्म के खाते में एक Maker-Checker Authorisation System था। इसका मतलब है कि कोई व्यक्ति भुगतान शुरू करे और उसे आगे बढ़ाने से पहले निर्धारित वरिष्ठ उपयोगकर्ताओं द्वारा उसकी पुष्टि की जाए।

लेकिन प्राधिकरण के सामने मौजूद रिकॉर्ड से यह स्पष्ट नहीं हो पाया कि कथित फर्जी लेनदेन के समय यह सुरक्षा प्रक्रिया वास्तव में प्रभावी ढंग से लागू हुई थी।

इसके अलावा, ओवरड्राफ्ट खाते के लिए RTGS की ₹50 लाख की मासिक सीमा होने के बावजूद करीब ₹79 लाख के लेनदेन हो गए। बैंक इस अंतर को संतोषजनक तरीके से स्पष्ट नहीं कर पाया। यही बिंदु बैंक की जवाबदेही तय करने में महत्वपूर्ण रहा।

Telecom कंपनी की भी जिम्मेदारी

फ्रॉड की शुरुआत बैंक से पहले मोबाइल SIM के स्तर पर हुई थी।

प्राधिकरण के अनुसार, डुप्लीकेट SIM लेने वाले व्यक्ति द्वारा प्रस्तुत Identity Documents, Letterhead और Stamp की पर्याप्त जांच नहीं की गई।

यही SIM बाद में बैंक के OTP और अलर्ट प्राप्त करने का माध्यम बन गया।

इसलिए मामले में Idea Cellular Ltd को भी ₹5 लाख का मुआवजा देने का आदेश दिया गया।

इस मामले से आम बैंक ग्राहक क्या समझे?

1. मोबाइल नेटवर्क अचानक बंद होना हमेशा सामान्य समस्या नहीं है

अगर आपका SIM अचानक No Service दिखाने लगे और आपने खुद SIM बदलने का अनुरोध नहीं किया है, तो इसे गंभीरता से लें।

यह SIM Swap Fraud का संकेत हो सकता है।

2. OTP कभी साझा न करें

बैंक कर्मचारी, पुलिस, RBI अधिकारी या कोई सरकारी एजेंसी बनकर फोन करने वाला व्यक्ति भी OTP मांगता है तो उसे न दें।

लेकिन इस मामले की खास सीख यह है कि OTP बताए बिना भी ठगी हो सकती है, यदि अपराधी आपके मोबाइल नंबर से जुड़ा SIM अपने कब्जे में ले ले।

3. SMS Alert बंद होना भी चेतावनी है

अगर अचानक बैंक के SMS, OTP या Transaction Alerts आना बंद हो जाएं, तो केवल नेटवर्क समस्या मानकर इंतजार न करें।

अपने बैंक और Telecom Operator से तुरंत संपर्क करें।

4. बड़े खातों में Transaction Limits जरूरी हैं

व्यवसायिक खातों में Transaction Limits, Maker-Checker Approval और Multiple Authorisation जैसी सुरक्षा व्यवस्थाएं केवल औपचारिकता नहीं होनी चाहिए।

इस मामले में यही सवाल उठा कि निर्धारित सीमा और approval mechanism के बावजूद बड़ी रकम कैसे निकल गई।

विश्लेषण: OTP अकेला पर्याप्त सुरक्षा कवच नहीं

इस केस की सबसे बड़ी सीख यह है कि OTP को अंतिम सुरक्षा मानना अब पर्याप्त नहीं है।

OTP की सुरक्षा इस धारणा पर टिकी होती है कि रजिस्टर्ड मोबाइल नंबर का नियंत्रण वास्तविक ग्राहक के पास है। लेकिन SIM Swap Fraud इस धारणा को ही तोड़ देता है।

2026 में सामने आए अन्य न्यायिक मामलों में भी यही समस्या दिखाई दी है। एक मामले में ₹1.24 करोड़ के अनधिकृत लेनदेन के संदर्भ में अदालत ने पाया कि डुप्लीकेट SIM के कारण OTP ग्राहक तक नहीं पहुंचे और ग्राहक की ओर से लापरवाही साबित नहीं हुई।

इसका मतलब है कि भविष्य की बैंकिंग सुरक्षा को केवल Password + OTP पर निर्भर रहने के बजाय कई स्तरों पर काम करना होगा।

उदाहरण के लिए:

SIM Change Detection → Cooling Period → Transaction Risk Analysis → Device Verification → Beneficiary Verification → Transaction Limit → Human Confirmation

यानी अगर किसी ग्राहक का SIM हाल में बदला है और उसी समय अचानक नया beneficiary जोड़कर बड़ी रकम RTGS की जा रही है, तो बैंक के सिस्टम को ऐसे लेनदेन को स्वतः High-Risk Transaction मानकर अतिरिक्त सत्यापन करना चाहिए।

क्या ग्राहक को हर हाल में पैसा वापस मिलेगा?

नहीं।

यह समझना जरूरी है कि यह फैसला हर साइबर फ्रॉड मामले में बैंक को स्वतः जिम्मेदार नहीं बनाता।

हालिया न्यायिक फैसलों में यह स्पष्ट किया गया है कि RBI की Customer Liability Framework के तहत ग्राहक की लापरवाही, बैंक की कमी और third-party breach जैसे तथ्यों को अलग-अलग देखा जाता है। यदि ग्राहक की गलती साबित होती है तो स्थिति अलग हो सकती है।

इस मामले में महत्वपूर्ण बात यह थी कि कथित धोखाधड़ी में Duplicate SIM, OTP Interception, Banking Controls और Transaction Limits से जुड़े कई स्तरों पर सुरक्षा संबंधी सवाल सामने आए।

निष्कर्ष

यह मामला सिर्फ ₹79 लाख की साइबर ठगी की कहानी नहीं है। यह डिजिटल बैंकिंग के एक बड़े कमजोर बिंदु की ओर इशारा करता है—मोबाइल नंबर पर जरूरत से ज्यादा निर्भरता।

आज बैंकिंग का बड़ा हिस्सा मोबाइल नंबर, OTP और SMS Alerts पर टिका है। यदि अपराधी मोबाइल नंबर का नियंत्रण ही हासिल कर लेता है, तो OTP जैसी मजबूत दिखने वाली सुरक्षा भी कमजोर पड़ सकती है।

इसलिए ग्राहक के लिए संदेश साफ है:

SIM अचानक बंद हो → बैंक को तुरंत सूचना दें।
अचानक OTP/SMS बंद हों → जांच कराएं।
अनजान Transaction दिखे → तुरंत बैंक और Cyber Crime authorities को रिपोर्ट करें।
बड़ी रकम वाले खाते हों → Multiple Approval और Transaction Limits जरूर रखें।

और बैंकों के लिए सबसे बड़ी सीख है—“OTP भेज दिया” को सुरक्षा की अंतिम जिम्मेदारी मानने के बजाय पूरे authentication chain की निगरानी करनी होगी।