फ़ाइल 019 · प्लेटफ़ॉर्म जोखिम
KYC में दिया आधार, PAN और चेहरा — लीक हुआ तो क्या होता है
हाँ। कम से कम एक मामला कंपनी ने ख़ुद अपनी फ़ाइलिंग में माना है; एक और मामले पर आज तक अलग-अलग दावे हैं। पर «लीक» और «आपका पैसा चला गया» के बीच कई क़दम पड़े हैं — और उनमें सबसे अहम वाला क़दम आपके अपने हाथ में है।
रजिस्ट्रेशन का आधा रास्ता कट चुका होता है — ईमेल डल गया, पासवर्ड बन गया — और तभी स्क्रीन पर «पहचान की पुष्टि» आ जाती है। PAN का नंबर, आधार या पासपोर्ट की दोनों तरफ़ की तस्वीर, और फिर कैमरे की तरफ़ देखकर पलक झपकाइए, सिर घुमाइए। उँगली वहीं रुक जाती है, और अगर मन में यही ख़याल आ रहा है, तो यह लेख आपके लिए है: यह सब देने के बाद कल को कहीं और तो नहीं पहुँच जाएगा।
यह डर बेजा नहीं है।
एक्सचेंजों का KYC डेटा सचमुच बाहर निकला है। Coinbase की 2025 की फ़ाइलिंग के मुताबिक़ डेटा उन सपोर्ट कर्मचारियों ने निकाला जिन्हें पैसे देकर ख़रीदा गया था — किसी ने बाहर से दीवार नहीं तोड़ी; 2019 के संदिग्ध मामले पर दावे अलग-अलग हैं और कोई पक्का नतीजा नहीं। और डेटा बाहर जाने भर से खाते की रक़म कम नहीं होती; नुक़सान तब होता है जब कोई वही जानकारी हाथ में लेकर प्लेटफ़ॉर्म बनकर आपसे बात करता है और आप उसकी बात मान लेते हैं। इसलिए बचाव के दो हिस्से हैं: देने से पहले यह तय करना कि किसे और कहाँ से दे रहे हैं, और लीक के बाद नक़लची को दूसरा मौक़ा न देना।
प्लेटफ़ॉर्म यह सब माँगता क्यों है
वजह यह नहीं है कि उसे आपमें कोई दिलचस्पी है। वजह यह है कि उसके ऊपर मनी लॉन्ड्रिंग रोकने वाली ज़िम्मेदारी है और उससे वह बच नहीं सकता। दुनिया के ज़्यादातर देशों ने क्रिप्टो सेवा देने वालों को इसी दायरे में लाया है — ग्राहक की पहचान पक्की करो, रिकॉर्ड रखो, संदिग्ध लेन-देन की सूचना दो। भारत में भी क्रिप्टो सेवा देने वाले इसी ढाँचे में आते हैं और उन्हें FIU-IND के पास रिपोर्टिंग इकाई के तौर पर पंजीकरण कराना होता है (जाँचा गया: सितंबर 2026)। इसी प्रक्रिया को उद्योग में KYC कहते हैं — बैंक में खाता या डीमैट खुलवाते समय जो होता है, वही।
इसका उलटा भी उतना ही सच है। जो प्लेटफ़ॉर्म ख़ुद बढ़-चढ़कर कहे कि «यहाँ कोई KYC नहीं, सीधे बड़ी रक़म डालिए और निकालिए», वह आपकी निजता का हमदर्द नहीं है — वह कहीं ज़्यादा संभावना से नियमों के बाहर खड़ा है। यह उन दरारों में से एक है जो खाता खोलने से पहले मिलने वाली ठगी वाली फ़ाइल में गिनाई गई हैं।
एक मामला पक्का, एक अब तक अनसुलझा
| घटना | सार्वजनिक तौर पर क्या कहा गया | याद रखने लायक़ बात |
|---|---|---|
| अगस्त 2019 — Binance के उपयोगकर्ताओं की कथित KYC तस्वीरें इंटरनेट पर | Jiemian की 07-08-2019 की रिपोर्ट के मुताबिक़ नेट पर बड़ी संख्या में ऐसी तस्वीरें आ गईं जिनमें लोग अपना पहचान-पत्र और «Binance» लिखा काग़ज़ पकड़े दिख रहे थे; रिपोर्ट में कई देशों के लोगों का ज़िक्र था। प्लेटफ़ॉर्म ने कहा कि वह जाँच कर रहा है, और यह भी कहा कि घूम रही सामग्री उसके सिस्टम के रिकॉर्ड से मेल नहीं खाती और उस पर उसका भीतरी डिजिटल वॉटरमार्क नहीं है। | दोनों तरफ़ के दावे अलग रहे और मामला किसी अंतिम नतीजे तक नहीं पहुँचा। फिर भी बात यह है: KYC की तस्वीर जब कई हाथों और कई चरणों से गुज़रती है, तब उसका बाहर आ जाना सिर्फ़ किताबी ख़तरा नहीं रह जाता। |
| मई 2025 — Coinbase के सपोर्ट स्टाफ़ को पैसे देकर ख़रीदा गया | कंपनी ने अमेरिकी बाज़ार नियामक SEC को दी गई सूचना में लिखा कि अमेरिका से बाहर सपोर्ट का काम करने वाले कुछ लोगों को पैसे देकर ख़रीद लिया गया और उन्होंने कुछ ग्राहकों के नाम, पते, फ़ोन, ईमेल, आंशिक रूप से ढके बैंक खाता नंबर, पहचान-पत्र की तस्वीरें, बैलेंस और लेन-देन का ब्योरा निकाला; उसी सूचना में यह भी लिखा है कि पासवर्ड, निजी कुंजी और ग्राहकों का पैसा उनके हाथ नहीं लगा। | जिन्होंने डेटा निकाला, उनके पास देखने का अधिकार पहले से था। प्लेटफ़ॉर्म कितना भी बड़ा हो, «अधिकार वाले आदमी को ख़रीद लेना» क़िस्म की घटना वह रोक नहीं पाता। |
ऊपर की दोनों बातें सितंबर 2026 में मूल रिपोर्ट और मूल सूचना से मिलाकर लिखी गई हैं। यहाँ सिर्फ़ वही दोहराया गया है जो उन दस्तावेज़ों में लिखा है; किसी पक्ष के बारे में नतीजा हमने नहीं निकाला।
बाहर निकलने के बाद चोट किस क़दम पर लगती है
एक लिस्ट की कल्पना कीजिए जो आगे बेची जा रही है। हर पंक्ति में इतना ही है: नाम, मोबाइल नंबर, किस प्लेटफ़ॉर्म पर खाता है, और मोटे तौर पर कितनी रक़म पड़ी है।
जिसके हाथ यह लिस्ट लगती है उसे आपके पासवर्ड की ज़रूरत नहीं पड़ती। वह फ़ोन करता है, आपका नाम ठीक-ठीक बोलता है, आपके प्लेटफ़ॉर्म का नाम बोलता है, कभी-कभी पिछला लेन-देन तक बता देता है — और फिर कहता है कि «आपके खाते में संदिग्ध लॉगिन दिखा है, रक़म बचाने के लिए इसे हमारे सुरक्षित पते पर भेज दीजिए।» शुरुआत का सारा ब्योरा सही निकला हो, तो आगे की बात पर शक करना आसान नहीं रहता।
Coinbase वाली उसी सूचना में कंपनी ने जिन ग्राहकों को हरजाना देने की बात कही, वे ठीक वही थे — जिनसे नक़लची ने बहला-फुसलाकर पैसा भिजवा लिया। डेटा ने अपने आप किसी का बैलेंस नहीं छुआ; बैलेंस उस फ़ोन कॉल ने छुआ जो बाद में आई।
कोई भी — चाहे वह आपकी कितनी भी सही जानकारी बोल दे — अगर कहे कि «संपत्ति सुरक्षित पते पर भेज दीजिए», या OTP माँगे, या कहे कि स्क्रीन शेयर वाला ऐप डाल लीजिए, तो कॉल वहीं काट दीजिए। असली प्लेटफ़ॉर्म जोखिम दिखने पर खाता रोकता या सीमित करता है; वह आपसे रक़म कहीं भेजने को नहीं कहता। सामने वाला आपके बारे में जितना ज़्यादा जानता हो, सतर्कता उतनी बढ़नी चाहिए — घटनी नहीं।
जो बदला जा सकता है और जो नहीं
यही वह फ़र्क़ है जिस पर बेचैनी असल में टिकी होती है:
- पासवर्ड, ऑथेंटिकेटर, जुड़ा हुआ ईमेल — लीक हो जाएँ तो बदले जा सकते हैं।
- आधार और PAN का नंबर, चेहरा, पता — बदले नहीं जा सकते। चेहरा तो उम्र भर एक ही है।
फिर भी इस तरफ़ एक काम करने लायक़ है और भारत में वह मुफ़्त है: UIDAI के myAadhaar पोर्टल पर बायोमेट्रिक लॉक चालू किया जा सकता है, ताकि आपकी उँगली या आँख से होने वाला सत्यापन तब तक चले ही नहीं जब तक आप ख़ुद उसे खोल न दें। नंबर और तस्वीर पहले ही बाहर जा चुकी हो, तब भी यह एक दरवाज़ा बंद कर देता है। पता हमेशा UIDAI की मुख्य साइट से होकर खोलिए, सर्च के नतीजों से नहीं — इस पते की नक़ल करने वाले पेज बहुत हैं।
क़ानून की तरफ़ हाल पहले से बेहतर है: डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 लोगों के डिजिटल निजी डेटा को सँभालने वालों पर ज़िम्मेदारी डालता है, और उसके प्रावधान चरणों में लागू होते रहे हैं। पर साथ में एक व्यावहारिक बात भी देख लीजिए: आप जो एक्सचेंज इस्तेमाल करते हैं वह अक्सर भारत के बाहर पंजीकृत होता है (इससे जुड़ा पूरा ब्योरा क़ानूनी पहलू वाली फ़ाइल में है)। सचमुच लीक हो जाने पर विदेश में बैठी कंपनी से भारत में बैठकर हिसाब लेना काग़ज़ पर जितना सीधा दिखता है, ज़मीन पर उतना नहीं। यह «मत कीजिए» कहने के लिए नहीं लिखा — यह कहने के लिए लिखा है कि «क़ानून बचा लेगा» मानकर निश्चिंत मत हो जाइए।
अपलोड से पहले पाँच चीज़ें आपके हाथ में
- KYC सिर्फ़ उसी ऐप या बुकमार्क किए पते पर कीजिए जो आपने ख़ुद खोला हो। «आपका KYC अधूरा है, दोबारा पूरा कीजिए» वाले SMS, WhatsApp मैसेज और मेल बहुत आम हैं; उनमें दिया लिंक हूबहू असली जैसा पेज खोलता है और वहाँ माँगा यही जाता है — दस्तावेज़ और चेहरा। पता कैसे मिलाना है, वह आधिकारिक रास्ता जाँचने वाली सूची में एक-एक क़दम में लिखा है।
- दस्तावेज़ सिर्फ़ KYC वाले पेज में जाएँ, किसी चैट बॉक्स में नहीं। असली सपोर्ट कभी नहीं कहेगा कि आधार की तस्वीर WhatsApp या Telegram पर भेज दीजिए, और «हाथ में आधार और आज की तारीख़ लिखा काग़ज़ पकड़कर सेल्फ़ी» किसी निजी नंबर पर भेजने को तो बिलकुल नहीं कहेगा। जो यह माँगे, बातचीत वहीं ख़त्म।
- किसी और के लिए KYC मत कीजिए, और अपनी पहचान किसी को उधार मत दीजिए। «बस एक बार चेहरा दिखा दीजिए, कुछ हज़ार मिल जाएँगे» सुनने में हल्का लगता है, पर खाता उसके बाद आपके नाम रहता है — उसमें किसका पैसा आया-गया और साफ़ था या नहीं, यह आपको पता ही नहीं होता। पैसे की जाँच शुरू होने पर सबसे पहले खाताधारक तक पहुँचा जाता है; यह वही कड़ी है जिस पर खाता फ़्रीज़ होने वाली फ़ाइल है।
- KYC निपटने के बाद गैलरी से वे तस्वीरें हटा दीजिए जो आपने ख़ास इसी काम के लिए खींची थीं — «हाल में हटाए गए» फ़ोल्डर समेत। गैलरी का अपने आप क्लाउड पर चढ़ जाना, फ़ोन किसी को पकड़ा देना, नया फ़ोन लेते समय सब कुछ कॉपी कर देना — ये रास्ते प्लेटफ़ॉर्म के लीक से कहीं ज़्यादा रोज़मर्रा के हैं।
- निजता नीति में दो ही जगह देख लीजिए: डेटा किसी तीसरे सेवा-प्रदाता को दिया जाएगा या नहीं, और रखा कितने समय जाएगा। बदल आप कुछ नहीं सकते, पर कम से कम यह पता रहेगा कि सहमति किस बात पर दी है।
मास्क्ड आधार का क्या? मेरी अपनी आदत यह है कि जहाँ विकल्प मिलता है वहाँ पहले वही देता हूँ और पूरा दस्तावेज़ तभी, जब सामने से मना आ जाए — क्योंकि जिन जगहों पर पूरा नंबर मिलाना ज़रूरी होता है, वहाँ ढकी हुई कॉपी लौटा दी जाती है और वही काम दो बार करना पड़ता है। भीतर बैठे जिस आदमी के पास मूल फ़ाइल देखने का अधिकार है, उसके सामने मास्किंग वैसे भी कुछ नहीं रोकती। इसलिए इस पर ज़्यादा देर अटकने का फ़ायदा नहीं; ज़ोर पहले वाले बिंदु पर लगाइए — जा कहाँ रहा है।
ख़बर आ जाए कि आपके प्लेटफ़ॉर्म से डेटा निकला
पहला मन खाता बंद कर देने का करता है। वह जल्दबाज़ी है — जो निकल चुका उसे बंद करना लौटाता नहीं, और प्लेटफ़ॉर्म की आधिकारिक सूचना आपसे छूट सकती है। क्रम यह रखिए:
- घोषणा सिर्फ़ अपने खोले हुए ऐप में पढ़िए। SMS, मेल और ग्रुप में घूमते «अपना नाम लिस्ट में जाँचिए» वाले लिंक मत खोलिए। लीक की ख़बर के पीछे-पीछे दूसरी लहर आ सकती है, और आती है तो ख़बर के ही नाम पर आती है।
- खाते की सुरक्षा कस लीजिए: ऐसा पासवर्ड जो कहीं और इस्तेमाल न हुआ हो, दूसरी परत के लिए SMS की जगह ऑथेंटिकेटर ऐप, और निकासी पतों की व्हाइटलिस्ट चालू। ये सेटिंग कहाँ हैं, यह खाता खोलने और जाँचने वाली फ़ाइल में है।
- घर में एक बार बोल दीजिए। अगले कुछ हफ़्ते जो भी फ़ोन ख़ुद को प्लेटफ़ॉर्म, पुलिस, या «आपका पैसा वापस दिला देंगे» वाली एजेंसी बताए — पहले काट दीजिए, फिर आधिकारिक रास्ते से ख़ुद पता कीजिए। घर का जो सदस्य इस पूरी बात से वाक़िफ़ नहीं होता, कॉल अक्सर उसी के पास जाती है।
- सिम पर नज़र रखिए। फ़ोन का नेटवर्क अचानक चला जाए, या सिम बदलने-निकलवाने का मैसेज आए जबकि आपने कुछ किया ही न हो, तो तुरंत अपने ऑपरेटर से बात कीजिए — हो सकता है कोई आपकी पहचान की जानकारी लेकर डुप्लिकेट सिम निकलवा रहा हो, ताकि OTP उसके पास पहुँचें।
और अगर पैसा भेजा जा चुका है तो «वापस दिला देंगे» वाली किसी टीम के पास मत जाइए — हेल्पलाइन 1930 और cybercrime.gov.in से शुरू कीजिए, और क्रम ठगी के बाद की कार्रवाई सूची से मिलाते चलिए।
तो KYC करें या नहीं
इसका कोई ऐसा जवाब नहीं जिसमें दोनों तरफ़ फ़ायदा हो। दस्तावेज़ और चेहरा नहीं देना है, तो नियमों के भीतर चलने वाले प्लेटफ़ॉर्म का रास्ता बंद है; और जो रास्ते KYC से बचाते हैं — निजी सौदे, बिना अता-पते वाले छोटे प्लेटफ़ॉर्म — वे एक अपलोड बचाकर बदले में यह दे जाते हैं कि आए हुए पैसे का स्रोत आप साबित नहीं कर सकते और गड़बड़ होने पर कोई ज़िम्मेदार नहीं। शुरुआत कर रहे आदमी के लिए दूसरा पलड़ा आम तौर पर भारी पड़ता है।
तो असल सवाल «लीक होगा या नहीं» नहीं है। असल सवाल यह है: यह जानकारी एक बार चली गई तो वापस नहीं आएगी — यह बात मुझे मंज़ूर है या नहीं? मंज़ूर है, तो ऊपर वाली पाँच आदतें बना लीजिए और आगे बढ़िए। नहीं है, तो फ़िलहाल न ख़रीदना भी पूरी तरह जायज़ नतीजा है — किन लोगों को क्रिप्टो नहीं ख़रीदना चाहिए वाली फ़ाइल में ऐसे लोग पहले से गिने हुए हैं जिनका मन इस क़िस्म के सौदे पर नहीं मानता।
जो सवाल अक्सर आगे पूछे जाते हैं
मास्क्ड आधार देने से क्या काम चल जाएगा?
बहुत जगह चल जाता है, पर हर जगह नहीं। जहाँ पूरा नंबर मिलाना ज़रूरी है, वहाँ ढकी हुई कॉपी लौटा दी जाती है और वही काम दोबारा करना पड़ता है। तरीक़ा यह है कि जहाँ विकल्प दिखे वहाँ मास्क्ड या ऑफ़लाइन वाला रास्ता पहले आज़माइए, और मना होने पर ही पूरा दस्तावेज़ दीजिए — वह भी सिर्फ़ प्लेटफ़ॉर्म के अपने KYC पेज पर, किसी चैट या मेल में नहीं।
खाता बंद कर दूँ तो क्या प्लेटफ़ॉर्म मेरे दस्तावेज़ और चेहरा मिटा देगा?
तुरंत नहीं। मनी लॉन्ड्रिंग रोकने वाले नियम आम तौर पर यह माँगते हैं कि ग्राहक की पहचान से जुड़े रिकॉर्ड रिश्ता ख़त्म होने के बाद भी कुछ साल रखे जाएँ। कितने साल — यह इस पर निर्भर है कि प्लेटफ़ॉर्म किस देश के नियमों के अधीन है, और यह उसकी निजता नीति में लिखा होता है। इसलिए खाता बंद करने से आगे का डेटा बनना रुकता है, जो दे चुके हैं वह उसी दिन मिट नहीं जाता।
बिना KYC क्रिप्टो ख़रीदने का कोई रास्ता है?
है, पर वे रास्ते ज़्यादातर आमने-सामने के निजी सौदे या ऐसे छोटे प्लेटफ़ॉर्म हैं जिनका कोई अता-पता नहीं। वहाँ दस्तावेज़ वाला क़दम बच जाता है और बदले में यह जोखिम आ जाता है कि आए हुए पैसे का स्रोत आप साबित नहीं कर सकते और गड़बड़ होने पर कोई ज़िम्मेदार नहीं। नए आदमी के लिए यह सौदा आम तौर पर दस्तावेज़ लीक होने से ज़्यादा सीधा और ज़्यादा भारी पड़ता है।