बॉस के नाम से आया एक संदेश और कंपनी के खाते से डेढ़ करोड़: बॉस स्कैम में बैंक की ज़िम्मेदारी कहाँ तक जाती है

कंपनी के खाते से डेढ़ करोड़ रुपये निकलने में उस दिन न कोई पासवर्ड चोरी हुआ, न ओटीपी बाहर गया, न बैंक का कोई सर्वर टूटा। पैसा कंपनी के अपने अकाउंटेंट ने भेजा, अपने ही लॉगिन से, आरटीजीएस से, बैंक की हर जाँच पूरी करते हुए।

यही इस ठगी का ढाँचा है, और यही उसकी सबसे महँगी बात है। बैंक के रिकॉर्ड में वह लेनदेन अधिकृत है।

भारतीय प्रतिभूति और विनिमय बोर्ड ने 17 जुलाई 2026 की अपनी विज्ञप्ति में इसे "बॉस स्कैम" या सीईओ/एमडी प्रतिरूपण ठगी कहा है, और बताया है कि यह चेतावनी भारतीय साइबर अपराध समन्वय केंद्र यानी आई4सी की सूचना पर जारी की जा रही है। नीचे वही दस्तावेज़ हैं जिन पर यह तय होता है कि पैसा किसकी जेब से जाएगा: सेबी की विज्ञप्ति, रिज़र्व बैंक के मौजूदा निदेश, 1 जनवरी 2027 से लागू होने वाला उनका संशोधन, लोकपाल योजना का पाठ, और दो उच्च न्यायालयों के आमने-सामने खड़े फ़ैसले।

अहमदाबाद का मामला: एक ज़िप फ़ाइल से आरटीजीएस तक

अहमदाबाद साइबर क्राइम पुलिस में दर्ज शिकायत के अनुसार, एक रियल एस्टेट कंपनी के मालिक प्रवीण नागजीभाई बावलिया को 23 जून 2026 को एक अनजान नंबर से व्हाट्सऐप संदेश मिला। भेजने वाले ने ख़ुद को रिज़र्व बैंक के "रिस्क कंट्रोल" विभाग से बताया और लिखा कि कंपनी के बैंक खाते में असामान्य लेनदेन गतिविधि दिखी है और खाता निलंबित हो सकता है। संदेश के साथ एक ज़िप फ़ाइल थी।

बावलिया ने बीबीसी गुजराती से कहा कि ऐसे संदेश उन्हें छह महीने से आ रहे थे और लगातार आते रहने की वजह से उन्हें लगा कि शायद ये रिज़र्व बैंक के ही संदेश हों। उन्होंने अपनी कंपनी के अकाउंटेंट को लिंक भेजा और कहा कि पता करो, कहीं खाता सीज़ तो नहीं हुआ।

अकाउंटेंट ने वह लिंक अपने डेस्कटॉप पर खोला और फ़ाइल डाउनलोड कर ली। उसके बाद, बावलिया के मुताबिक़, हमलावर उनके डेस्कटॉप से उनके व्हाट्सऐप संपर्क और संदेश देखने लगा। बावलिया उन दिनों उदयपुर में एक शादी में थे, और उनके कहने के मुताबिक़ हमलावर को उनकी यह स्थिति भी पता थी। अगली सुबह उसने बावलिया के नाम से अकाउंटेंट को संदेश भेजा कि कोलकाता की एक गारमेंट कंपनी को तुरंत डेढ़ करोड़ रुपये भेजे जाएँ। अकाउंटेंट ने आरटीजीएस से रक़म भेज दी।

शिकायत 1930 पर दर्ज हुई। पुलिस के अनुसार इस मामले में 1 करोड़ 13 लाख 53 हज़ार 700 रुपये रोके या बरामद किए जा सके, जबकि लगभग 25 लाख रुपये तब तक विदेश भेजे जा चुके थे। पश्चिम बंगाल से दो लोगों को गिरफ़्तार किया गया। पुलिस का आरोप है कि उनमें से एक ठगों को नंबर, फ़र्ज़ी सिम और व्हाट्सऐप पर नियंत्रण दिलाने में मदद कर रहा था, और दूसरा एयरटेल, जियो, वीआई और बीएसएनएल के लिए सेल्स प्रतिनिधि का काम करते हुए ग्राहकों के बायोमेट्रिक फ़िंगरप्रिंट और कंपनियों के ऐप का इस्तेमाल करके उनके नाम पर सिम निकालता था। दोनों पर आरोप हैं, अदालत में कुछ तय नहीं हुआ है।

सेबी के दस्तावेज़ में दर्ज दो तरीक़े

सेबी की विज्ञप्ति संख्या 40/2026 में आई4सी के हवाले से दो अलग रणनीतियाँ दर्ज हैं, और दोनों का मक़सद एक ही है: लेखा या वित्त विभाग के उस कर्मचारी तक पहुँचना जिसके पास भुगतान का बटन है।

पहली रणनीति में ठग एमडी या सीईओ की नक़ल करते हैं। विज्ञप्ति में इसके तीन औज़ार गिनाए गए हैं: आवाज़ की नक़ल यानी वॉयस क्लोनिंग, वीडियो कॉल पर एआई से बनी नक़ली शक्ल, और सोशल मीडिया पर वरिष्ठ अधिकारियों के नाम से बनाए गए फ़र्ज़ी समूह। भुगतान का आदेश इन्हीं संदेशों या नक़ली कॉल पर दिया जाता है, और सेबी के मुताबिक़ कई बार साथ में यह हिदायत भी रहती है कि इस लेनदेन की चर्चा किसी से न करें क्योंकि यह अप्रकाशित मूल्य संवेदी सूचना है। कंपनी सचिव के लिए यह वाक्य सवाल पूछना और मुश्किल बना देता है।

दूसरी रणनीति तकनीकी है और वही अहमदाबाद में इस्तेमाल हुई। संदेश के साथ एक संपीड़ित ज़िप फ़ाइल आती है, जिसमें एक चलने वाली .exe फ़ाइल और उसके साथ एक .dll फ़ाइल होती है। सेबी के शब्दों में, आई4सी ने पाया कि सीईओ यह संदेश अपने वित्त अधिकारियों को आगे भेज देते हैं। जब वित्त अधिकारी विंडोज़ के डेस्कटॉप या लैपटॉप पर वह फ़ाइल निकालकर चलाता है, तो एक ट्रोजन ड्रॉपर शुरू होता है और चालू व्हाट्सऐप वेब सेशन के टोकन क़ब्ज़े में ले लेता है।

उसके बाद दो में से एक रास्ता चुना जाता है। या तो ठग उसी वित्त अधिकारी के व्हाट्सऐप से लेखा विभाग के बाक़ी लोगों को भुगतान का आदेश भेजता है, या, अगर पूरे उपकरण पर नियंत्रण मिल जाए, तो वह चुपचाप फ़ोन की संपर्क सूची बदल देता है और अपना नंबर सीईओ या एमडी के नाम से सहेज देता है। स्क्रीन पर नाम असली दिखता है। नंबर नक़ली होता है।

आँकड़ों में भारत: शिकायतें, रक़म और दो अलग गिनतियाँ

गृह मंत्रालय ने 22 जुलाई 2025 को लोक सभा में जो तालिका रखी, वह इस अपराध का पैमाना बताती है। राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल पर दर्ज कुल साइबर घटनाएँ 2021 में 4,52,429 थीं, 2022 में 10,29,026, 2023 में 15,96,493 और 2024 में 22,68,346। इनमें वित्तीय ठगी की शिकायतें 2023 में 13,10,354 और 2024 में 19,18,865 रहीं।

पैसे का आँकड़ा उससे तेज़ बढ़ा। मंत्रालय के उत्तर के मुताबिक़ नागरिकों ने 2022 में 2,290.24 करोड़ रुपये गँवाए, 2023 में 7,465.18 करोड़ और 2024 में 22,845.73 करोड़। एक बरस में यह तीन गुना से ज़्यादा है।

इसी तालिका में एक अंतर भी दर्ज है जिसकी व्याख्या उत्तर में नहीं है। 2024 के लिए एनसीआरपी पर वित्तीय ठगी की शिकायतें 19,18,865 बताई गई हैं, जबकि नागरिक वित्तीय साइबर फ़्रॉड रिपोर्टिंग एवं प्रबंधन प्रणाली यानी सीएफ़सीएफ़आरएमएस मॉड्यूल में पहुँचीं 17,18,423। दो लाख शिकायतें एक ही साल में, एक ही सरकारी तालिका में, दो अलग गिनतियों के बीच खड़ी हैं। 2023 के लिए यह फ़ासला 1,77,730 शिकायतों का है।

दर्ज मुक़दमों की गिनती इससे अलग दुनिया है। राज्य सभा में 4 फ़रवरी 2026 को दिए उत्तर के साथ लगे परिशिष्ट में राष्ट्रीय अपराध रिकॉर्ड ब्यूरो के आँकड़े हैं, और वे बताते हैं कि साइबर अपराधों में धोखाधड़ी के तहत पूरे देश में 2021 में 14,007, 2022 में 17,470 और 2023 में 19,466 मामले दर्ज हुए। यही ब्यूरो की नवीनतम प्रकाशित रिपोर्ट है, इसलिए 2024 के लिए दर्ज मुक़दमों का कोई आँकड़ा अभी मौजूद ही नहीं है। उसी परिशिष्ट में तेलंगाना अकेले 10,626 मामलों के साथ दर्ज है, यानी देश भर के आधे से ज़्यादा, जबकि कर्नाटक, मणिपुर, मिज़ोरम, नगालैंड और त्रिपुरा के सामने उस साल शून्य लिखा है। ब्यूरो थाने में दर्ज मुक़दमे गिनता है और पोर्टल शिकायतें, इसलिए दोनों तालिकाओं को एक-दूसरे के बदले नहीं पढ़ा जा सकता।

म्यूल खाते और पैसे की परतें

जिस खाते में पीड़ित का पैसा सबसे पहले जाता है, उसे लेयर-1 म्यूल खाता कहते हैं। उस खाते से रक़म दूसरे खातों में जाती है, फिर तीसरे में, और हर परत जाँच को एक क़दम पीछे धकेलती है। गृह मंत्रालय के अनुसार आई4सी ने 30 जून 2026 तक संदिग्ध रजिस्ट्री में शामिल संस्थाओं के साथ 32.08 लाख लेयर-1 म्यूल खातों का ब्योरा साझा किया था। दिसंबर 2025 तक यह संख्या 24.67 लाख थी और बैंकों से मिले 18.43 लाख संदिग्ध पहचान चिह्नों के आधार पर 8,031.56 करोड़ रुपये के लेनदेन रोके जा चुके थे।

परत कितनी गहरी हो सकती है, इसका एक सरकारी उदाहरण सीबीआई की मुंबई आर्थिक अपराध शाखा के पास है। जुलाई 2025 में एजेंसी ने बताया कि एक म्यूल खाते में एक ही दिन में कई पीड़ितों से 3.81 करोड़ रुपये आए, वहाँ से रक़म सौ से ज़्यादा पहली परत के खातों में गई, और उसके बाद हज़ारों खातों से गुज़री।

मुंबई पुलिस की दो जाँचें इसी ढाँचे का निचला सिरा दिखाती हैं। डोंगरी पुलिस ने 110 खातों का एक अंतरराज्यीय नेटवर्क पकड़ा; उनमें से सिर्फ़ 17 खातों की जानकारी 38 शिकायतों और लगभग 25.45 करोड़ रुपये के लेनदेन से जुड़ी निकली, और पुलिस ने 42 पासबुक, 70 डेबिट कार्ड तथा 36 सिम कार्ड बरामद किए। खार पुलिस ने 4.07 लाख रुपये की एक ऑनलाइन टास्क ठगी से शुरू करके 22 खाते खोजे, जो देश भर की 42 शिकायतों और लगभग 7.42 करोड़ रुपये से जुड़े थे।

खाता इस शृंखला में दिखना अपने आप यह साबित नहीं करता कि खाताधारक जानबूझकर शामिल था। कई खाते ज़रूरतमंद लोगों से कमीशन देकर खुलवाए जाते हैं, कई किसी और की केवाईसी पर बनते हैं। रिज़र्व बैंक ने इन्हें पहचानने के लिए म्यूलहंटर.एआई नाम का एक एआई मॉडल तैयार कराया है, जो वित्त राज्य मंत्री के 24 मार्च 2026 के उत्तर के अनुसार 26 बैंकों में चालू है। भुगतान ठगी की पहचान के लिए 16 अक्टूबर 2025 को इंडियन डिजिटल पेमेंट इंटेलिजेंस कॉर्पोरेशन नाम की एक धारा 8 कंपनी भी बनाई गई है।

बैंक की ज़िम्मेदारी: मौजूदा नियम और 1 जनवरी 2027 से बदलता ढाँचा

ग्राहक की देनदारी सीमित करने वाला परिपत्र 6 जुलाई 2017 का है और अब वह भारतीय रिज़र्व बैंक (वाणिज्यिक बैंक - उत्तरदायी व्यावसायिक आचरण) निदेश, 2025 के अध्याय 4 में खंड D, अनुच्छेद 64 से 76 के रूप में मौजूद है। उस खंड का शीर्षक ही सीमा तय कर देता है: यह अनधिकृत इलेक्ट्रॉनिक बैंकिंग लेनदेन के बारे में है।

अनुच्छेद 67 के तहत ग्राहक की देनदारी शून्य होती है अगर चूक बैंक की ओर से हुई हो, या गड़बड़ी न बैंक की हो न ग्राहक की बल्कि व्यवस्था में कहीं और हो और ग्राहक बैंक की सूचना मिलने के तीन कार्यदिवसों के भीतर बता दे। अनुच्छेद 68(1) कहता है कि अगर नुक़सान ग्राहक की लापरवाही से हुआ, जैसे उसने भुगतान क्रेडेंशियल साझा कर दिए, तो सूचना देने तक का पूरा नुक़सान ग्राहक का। चार से सात कार्यदिवसों में सूचना देने पर, और सिर्फ़ तीसरे पक्ष की चूक वाले मामलों में, प्रति लेनदेन देनदारी तालिका 1 की रक़म या लेनदेन मूल्य, जो कम हो, तक सीमित रहती है।

इस तालिका को उल्टा पढ़ लिया जाता है। 25,000 रुपये बैंक से मिलने वाली अधिकतम रक़म नहीं है, यह ग्राहक पर पड़ने वाला अधिकतम बोझ है; बाक़ी बैंक उठाता है। सात कार्यदिवसों के बाद सूचना देने पर देनदारी बैंक की बोर्ड-स्वीकृत नीति से तय होगी। अनुच्छेद 72 के तहत सूचना मिलने के दस कार्यदिवसों में शैडो रिवर्सल करना होता है, अनुच्छेद 73 के तहत शिकायत 90 दिन में निपटानी होती है, और अनुच्छेद 75 साफ़ कहता है कि ग्राहक की देनदारी साबित करने का भार बैंक पर है।

अब वह गाँठ, जिस पर बॉस स्कैम टिका है। यह पूरा ढाँचा उस लेनदेन पर लागू होता है जिसे खाताधारक ने अधिकृत नहीं किया। अहमदाबाद वाले मामले में आरटीजीएस कंपनी के अपने अकाउंटेंट ने, कंपनी के अपने लॉगिन से, अपनी मर्ज़ी से किया। बैंक की नज़र में वह अधिकृत लेनदेन है, और अनुच्छेद 64 से 76 उस पर चलते ही नहीं।

24 जून 2026 के तीसरे संशोधन निदेश ने इस पूरे खंड को हटाकर नया खंड रखा है, जो 1 जनवरी 2027 से किए गए लेनदेन पर लागू होगा। वहाँ पहली बार "कपटपूर्ण इलेक्ट्रॉनिक बैंकिंग लेनदेन" की परिभाषा आई है, और उसकी दो टाँगें हैं: तीसरे पक्ष ने ग्राहक से छल से हासिल क्रेडेंशियल इस्तेमाल किए हों, या ग्राहक ने तीसरे पक्ष के दबाव या धमकी में मंज़ूरी दी हो। धोखे में आकर ख़ुद भुगतान कर देने वाला कर्मचारी न पहली टाँग में आता है न दूसरी में। नए निदेश में ग्राहक की लापरवाही की सूची भी है, और उसमें "दुर्भावनापूर्ण ऐप डाउनलोड करना" तथा बैंक की स्पष्ट चेतावनी की अनदेखी करना दोनों गिनाए गए हैं।

नया ढाँचा कुछ चीज़ें सुधारता ज़रूर है। तीसरे पक्ष की चूक में सूचना देने की मियाद तीन कार्यदिवस से बढ़कर पाँच कैलेंडर दिन हो जाएगी, शिकायत निपटाने की सीमा 90 दिन से घटकर घरेलू मामलों में 45 और सीमापार मामलों में 60 कैलेंडर दिन रह जाएगी, और 500 रुपये से ऊपर के हर लेनदेन पर तुरंत एसएमएस अनिवार्य होगा। मुआवज़े की एक नई व्यवस्था भी जुड़ी है, जिसमें रिज़र्व बैंक ख़ुद 65 प्रतिशत भार उठाएगा। पर उसकी शर्तें पढ़िए: मुआवज़ा सिर्फ़ "एक व्यक्ति, जिसमें एकल स्वामी शामिल है" को मिलेगा, कुल नुक़सान 50,000 रुपये तक होना चाहिए, रक़म शुद्ध नुक़सान का 85 प्रतिशत या 25,000 रुपये, जो कम हो, और जीवन में एक बार। कोई कंपनी, कोई साझेदारी फ़र्म इस दरवाज़े से अंदर नहीं आती।

1930, गोल्डन ऑवर और शिकायत के बाद की प्रक्रिया

नुक़सान का पता चलने के बाद पहला काम 1930 पर कॉल या cybercrime.gov.in पर शिकायत है। यह सलाह अहमदाबाद पुलिस ने भी दी है और सेबी की विज्ञप्ति में भी दर्ज है। शिकायत सीएफ़सीएफ़आरएमएस में जाती है, वहाँ से लेनदेन का ब्योरा निकालकर संबंधित बैंक को भेजा जाता है, और अगर रक़म अब भी उस खाते में पड़ी है तो उस पर रोक लगा दी जाती है। पैसा आगे बढ़ चुका हो तो टिकट अगले बैंक तक जाता है, और यही सिलसिला चलता रहता है।

इसी वजह से पहले कुछ घंटों को गोल्डन ऑवर कहा जाता है। रक़म जितनी परतें पार कर लेती है, उसे पकड़ने की गुंजाइश उतनी घटती जाती है।

शिकायत दर्ज होने का मतलब एफ़आईआर नहीं है। गृह मंत्रालय अपने हर उत्तर में दोहराता है कि एनसीआरपी पर आई शिकायतों का एफ़आईआर में बदलना और आगे की कार्रवाई संबंधित राज्य की पुलिस के हाथ में है। इसी खाई को पाटने के लिए 19 मई 2025 को ई-ज़ीरो एफ़आईआर शुरू हुई। पत्र सूचना कार्यालय की विज्ञप्ति के अनुसार दिल्ली में पायलट के तौर पर एनसीआरपी या 1930 पर आई 10 लाख रुपये से ऊपर की वित्तीय शिकायत अपने आप दिल्ली के ई-क्राइम पुलिस थाने में ज़ीरो एफ़आईआर बन जाती है और वहाँ से इलाक़े के साइबर थाने को भेज दी जाती है। शिकायतकर्ता को तीन दिन के भीतर उस थाने जाकर उसे नियमित एफ़आईआर में बदलवाना होता है। यह व्यवस्था भारतीय नागरिक सुरक्षा संहिता की धारा 173(1) पर टिकी है और इसे बाक़ी राज्यों तक ले जाने की बात विज्ञप्ति में कही गई है।

रुकी हुई रक़म और लौटी हुई रक़म एक चीज़ नहीं हैं। गृह मंत्रालय के अनुसार सीएफ़सीएफ़आरएमएस ने 30 जून 2026 तक 32.80 लाख शिकायतों में 11,158 करोड़ रुपये बचाए, और 31 दिसंबर 2025 तक यह आँकड़ा 23.61 लाख शिकायतों में 8,189 करोड़ रुपये था। यह पूरी अवधि का जोड़ है, किसी एक साल का नहीं, जबकि अकेले 2024 में गँवाई गई रक़म 22,845.73 करोड़ रुपये दर्ज है। और बचाना लौटाना नहीं है: मुंबई के साइबर अपराध उपायुक्त बजरंग बनसोडे के मुताबिक़ शहर में 29,000 से ज़्यादा म्यूल खाते जमे हुए हैं, उनमें लगभग 24 करोड़ रुपये पीड़ितों को लौटाए जाने के इंतज़ार में पड़े हैं, और अब तक लगभग 7 करोड़ रुपये ही लौटे हैं। लौटाने का काम अब मनी रेस्टोरेशन मॉड्यूल के ज़रिए होता है, जो गृह मंत्रालय के अनुसार अप्रैल 2026 में शिकायत निवारण तंत्र के साथ चालू हुआ।

अदालत और लोकपाल: मुआवज़े पर अब तक का रिकॉर्ड

रिज़र्व बैंक एकीकृत लोकपाल योजना, 2021 का दरवाज़ा तभी खुलता है जब आपने पहले बैंक को लिखित शिकायत दी हो और या तो वह ख़ारिज हो चुकी हो या 30 दिन में जवाब न आया हो; उसके बाद एक साल के भीतर लोकपाल के पास जाना होता है। खंड 8(2) कहता है कि विवाद की रक़म पर कोई ऊपरी सीमा नहीं है, पर परिणामी नुक़सान के लिए लोकपाल 20 लाख रुपये तक ही मुआवज़ा दे सकता है, और उसके ऊपर समय, ख़र्च तथा मानसिक परेशानी के लिए अधिकतम एक लाख। खंड 15(4) इसे और साफ़ करता है: यह मुआवज़ा विवाद में शामिल रक़म से अलग है, यानी विवादित रक़म लौटाने का निर्देश खंड 15(3) के तहत "दायित्वों के विशिष्ट निष्पादन" के रूप में आता है, मुआवज़े के रूप में नहीं।

दो सीमाएँ और हैं। खंड 16(2)(e) के तहत लोकपाल ऐसी शिकायत ख़ारिज कर सकता है जिसमें विस्तृत दस्तावेज़ी और मौखिक साक्ष्य की ज़रूरत हो, और मैलवेयर तथा सेशन टोकन वाले मामले ठीक इसी श्रेणी में गिरते हैं। दूसरी तरफ़ योजना का स्पष्टीकरण 2 एक राहत देता है: पुलिस जाँच या आपराधिक कार्यवाही चलते रहना लोकपाल के रास्ते में रुकावट नहीं है, क्योंकि उसे "उसी वाद-हेतुक" नहीं माना जाता।

अदालतों का रिकॉर्ड एक तरफ़ नहीं झुकता। गुवाहाटी उच्च न्यायालय ने 13 सितंबर 2024 को पल्लभ भौमिक के मामले में स्टेट बैंक की अपील ख़ारिज कर दी थी। भौमिक ने 18 अक्टूबर 2021 को एक कपड़ा लौटाने के बाद ख़ुद को कस्टमर केयर बताने वाले फ़ोन पर एक मोबाइल ऐप डाउनलोड किया था, और तीन लेनदेन में 94,204.80 रुपये निकल गए। उन्होंने उसी दिन बैंक को बताया, कार्ड ब्लॉक कराया, जालुकबाड़ी थाने में एफ़आईआर दर्ज कराई और अगले दिन बैंक को लिखित शिकायत दी। रिज़र्व बैंक के लोकपाल ने 7 मार्च 2022 को उनकी शिकायत ख़ारिज कर दी थी; एकल न्यायाधीश ने वह आदेश रद्द किया और बैंक को रक़म जमा करने को कहा। सुप्रीम कोर्ट ने 3 जनवरी 2025 को बैंक की विशेष अनुमति याचिका ख़ारिज करते हुए कहा कि बैंकों को अनधिकृत लेनदेन पकड़ने और रोकने के लिए उपलब्ध सर्वोत्तम तकनीक का इस्तेमाल करना होगा और उनकी ज़िम्मेदारी ओटीपी भेज देने से ख़त्म नहीं होती।

उलटी दिशा का फ़ैसला दिल्ली उच्च न्यायालय से आया। हरे राम सिंह के मामले में मुख्य न्यायाधीश डी. के. उपाध्याय और न्यायमूर्ति तेजस करिया की खंडपीठ ने 29 मई 2026 को एकल न्यायाधीश का वह आदेश रद्द कर दिया जिसमें स्टेट बैंक को 2.60 लाख रुपये लौटाने को कहा गया था। पीठ ने कहा कि ओटीपी साझा न करने का ग्राहक का सिर्फ़ इनकार अपने आप बैंक पर देनदारी नहीं डाल देता, और फ़ोरेंसिक जाँच तथा तकनीकी साक्ष्य के बिना बैंक पर पूरी ज़िम्मेदारी डालने वाला निष्कर्ष नहीं निकाला जा सकता था। संदिग्ध लिंक या अनजान ऐप से संपर्क करने को अदालत ने ग्राहक की लापरवाही माना।

इसी बीच सुप्रीम कोर्ट ने 4 अगस्त 2026 को डिजिटल अरेस्ट से जुड़ी स्वतःसंज्ञान कार्यवाही में मुख्य न्यायाधीश सूर्यकांत तथा न्यायमूर्ति जॉयमाल्य बागची और न्यायमूर्ति वी. मोहना की पीठ से रिज़र्व बैंक को चार हफ़्ते में म्यूल खातों पर एसओपी जारी करने को कहा, राज्यों से शिकायत निवारण तंत्र तथा मनी रेस्टोरेशन मॉड्यूल चालू करने को कहा, और एक अंतर-विभागीय समिति से साझा दायित्व तथा पीड़ित मुआवज़ा ढाँचे पर विचार करने को कहा। वह ढाँचा अभी बना नहीं है।

दफ़्तर के भुगतान नियम: सेबी और अहमदाबाद पुलिस की सूची

सेबी की विज्ञप्ति में विनियमित संस्थाओं और सूचीबद्ध कंपनियों को पाँच काम बताए गए हैं। व्हाट्सऐप, ईमेल या सोशल मीडिया पर आए अनुरोध की पुष्टि अपने वरिष्ठ को फ़ोन करके करें। सिर्फ़ किसी सोशल मीडिया मंच पर मिले निर्देश के आधार पर पैसा न भेजें। भेजने वाले की पहचान सत्यापित किए बिना, या जाने-पहचाने भेजने वाले से आने पर भी फ़ोन कर पुष्टि किए बिना, कोई एक्ज़ीक्यूटेबल फ़ाइल न चलाएँ। व्हाट्सऐप वेब के जो सेशन इस्तेमाल में नहीं हैं उन्हें लॉग आउट कर दें। और किसी भी ठगी की सूचना तुरंत 1930 या cybercrime.gov.in पर दें।

अहमदाबाद पुलिस की सलाह इससे आगे जाती है। अनजान नंबर या ईमेल से आई ZIP, .exe, .dll या .apk फ़ाइल न खोलें। बॉस या सीईओ की ओर से तुरंत भुगतान का कहा जाए तो फ़ोन, वीडियो कॉल या ज्ञात वैकल्पिक नंबर पर पुष्टि करें। व्हाट्सऐप से जुड़े उपकरणों की सूची नियमित देखें और अनजान उपकरण दिखे तो तुरंत लॉग आउट करें, और व्हाट्सऐप पर टू-फ़ैक्टर ऑथेंटिकेशन चालू रखें। कंपनियों के लिए पुलिस ने सॉफ़्टवेयर प्रतिबंध नीति लागू करने को कहा है, जो अनजान .exe और .dll फ़ाइलों को चलने से रोके, और विंडोज़, एंटीवायरस तथा एंडपॉइंट सुरक्षा अद्यतन रखने को कहा है।

दो सरकारी सुविधाएँ ऐसी हैं जिनका ज़िक्र कम होता है। एनसीआरपी पर आई4सी की संदिग्ध पहचान रजिस्ट्री में नागरिक ख़ुद मोबाइल नंबर, ईमेल आईडी, खाता संख्या और यूआरएल खोजकर देख सकते हैं कि वे किसी दर्ज साइबर अपराध से जुड़े तो नहीं; भुगतान से पहले लाभार्थी खाता संख्या जाँचने में यह काम आती है। दूसरी, दूरसंचार विभाग का संचार साथी पोर्टल, जहाँ अपने नाम पर जारी मोबाइल कनेक्शन देखे जा सकते हैं और चक्षु पर संदिग्ध संदेश की सूचना दी जा सकती है।

जो न करें

भुगतान का कोई आदेश संदेश ऐप पर आए, तो उसी धागे पर या उसी नंबर पर उसकी पुष्टि न करें। सेबी की हिदायत पुष्टि किसी दूसरे, पहले से ज्ञात चैनल पर करने की है, और अहमदाबाद पुलिस की सलाह भी यही है।

ज़िप फ़ाइल "देखकर बताओ" कहकर किसी और को न भेजें। उस मामले में मालिक ने संक्रमण ख़ुद अपने अकाउंटेंट तक पहुँचाया, यह पता करने के लिए कि खाता सुरक्षित है या नहीं।

खाते के बारे में रिज़र्व बैंक के नाम से आया कोई संदेश सच न मानें; उस शिकायत में यही पहचान नक़ली निकली।

और शिकायत में देर न करें। मौजूदा निदेशों में तीन कार्यदिवस की, 1 जनवरी 2027 से पाँच कैलेंडर दिन की मियाद है, और 1930 के लिए हिसाब घंटों में चलता है। जिस मामले में कंपनी के अपने कर्मचारी ने भुगतान किया हो, वहाँ बैंक से रक़म वापसी का दावा किस आधार पर बनेगा, यह अब भी खुला सवाल है और उसका जवाब वकील की मेज़ पर मिलेगा, इस पन्ने पर नहीं।