Follow us on Google News
नई दिल्ली। Cyber fraud के मामलों में केवल OTP, MPIN या अन्य banking credentials के इस्तेमाल का हवाला देकर customer पर पूरी जिम्मेदारी डालना बैंक के लिए पर्याप्त नहीं हो सकता। Delhi की District Consumer Disputes Redressal Commission ने एक महत्वपूर्ण आदेश में Canara Bank को ₹4,14,488 refund करने, उस रकम पर 9 प्रतिशत सालाना ब्याज देने और महिला ग्राहक को अलग से ₹1 लाख compensation तथा ₹50,000 litigation expenses देने का निर्देश दिया है।
मामला April 2024 में हुए cyber fraud से जुड़ा है, जिसमें complainant Vinita के Canara Bank savings account से दो IMPS transactions के जरिए कुल ₹5,44,488 निकल गए थे।
Fraud के बाद ₹1.30 लाख की रकम recover हो गई थी, लेकिन ₹4,14,488 वापस नहीं मिल सके। इसी unrecovered amount को लेकर महिला Consumer Commission पहुंची थी।
Commission ने पाया कि bank यह साबित नहीं कर सका कि disputed transactions महिला ने जानबूझकर authorise किए थे या पूरी financial loss केवल उसकी negligence से हुआ था।
Order 28 October 2026 को pronounce किया गया।
Fraud Call के अगले दिन Account से निकले ₹5.44 लाख
Commission के सामने आए facts के मुताबिक Vinita को 7 April 2024 की शाम करीब 4 बजे एक fraudulent telephone call आया था।
- अगली सुबह उसके Canara Bank savings account से दो IMPS transactions हुए।
- पहला transaction ₹5 लाख का था और दूसरा ₹44,488 का।
- इस तरह कुल ₹5,44,488 account से debit हो गए।
- Vinita का कहना था कि उसने ये transactions voluntarily नहीं किए थे।
Transaction की जानकारी मिलने के बाद उसने Cyber Crime Helpline पर complaint की और bank से account block कराने की कोशिश की।
उसका आरोप था कि nearest branch पर उसे immediate assistance नहीं मिली और उसे दूसरी branch—Ganga Ram Hospital branch—जाने को कहा गया।
इस बीच disputed transactions complete हो चुके थे।
₹1.30 लाख Recover हुए, ₹4.14 लाख बाकी
Complaint के मुताबिक fraud की कुल रकम ₹5.44 lakh थी।
इसमें से ₹1.30 lakh किसी stage पर hold/recover होकर वापस account में credit हो गए। लेकिन remaining ₹4,14,488 वापस नहीं मिले।
Repeated follow-ups के बावजूद जब dispute resolve नहीं हुआ तो Vinita ने consumer proceedings शुरू कीं और bank पर deficiency in service का आरोप लगाया।
उसने unrecovered amount के refund के साथ interest, mental harassment के लिए compensation और litigation cost की मांग की।
Bank का Argument—Customer ने Screen Share की, Credentials Compromise हुए
Canara Bank ने complaint contest करते हुए कहा कि महिला fraudsters के संपर्क में आई थी और उसने अपना mobile screen share किया था।
Bank के मुताबिक इससे confidential banking information compromise हो सकती थी। Bank ने यह भी कहा कि disputed transactions MPIN/UPIN और OTP जैसे credentials के जरिए authenticate हुए थे।
इसी आधार पर Canara Bank ने RBI के 6 July 2017 circular on Customer Protection – Limiting Liability of Customers in Unauthorised Electronic Banking Transactions पर भरोसा किया। Bank का argument था कि यदि unauthorized transaction customer की negligence—जैसे payment credentials share करने—के कारण होता है तो reporting तक होने वाला loss customer को bear करना पड़ सकता है।
यह principle RBI framework में मौजूद है।
लेकिन Commission के सामने असली सवाल यह था कि क्या bank ने इस particular case में customer की negligence को पर्याप्त evidence से establish किया था।
OTP इस्तेमाल हुआ, इसका मतलब Customer ने Payment Approve किया—यह जरूरी नहीं
Commission ने bank की सबसे महत्वपूर्ण defence पर सवाल उठाया।
Bench ने कहा कि किसी transaction का banking system में successfully authenticate होना और customer द्वारा उसे voluntarily authorise करना हर case में एक ही बात नहीं मानी जा सकती।
Cyber fraud में attacker deceptive techniques, compromised device, remote access या stolen credentials के जरिए authentication process पूरा कर सकता है।
इसलिए केवल यह दिखा देना कि OTP, MPIN या UPI PIN technically इस्तेमाल हुआ, अपने-आप यह establish नहीं करता कि account holder ने consciously transaction approve किया था।
यही distinction इस order का सबसे महत्वपूर्ण legal principle बनकर सामने आया है।
Bank IP Logs और Device Records नहीं दिखा सका
Commission ने पाया कि Canara Bank ने disputed transactions का complete technical evidence record पर नहीं रखा।
Available reporting के मुताबिक bank ने पर्याप्त रूप से ये records produce नहीं किए:
- IP logs,
- device verification details,
- beneficiary-addition logs,
- complete transaction audit trail,
और applicable fraud-monitoring तथा cooling-off safeguards से संबंधित evidence।
यानी bank ने transaction authentication का दावा किया, लेकिन Commission के अनुसार उससे आगे जाकर यह establish नहीं किया कि transactions किस device से initiate हुए, beneficiary कैसे add किया गया, customer के regular banking pattern से यह transaction कितना अलग था और fraud-detection safeguards ने क्या response दिया।
Screen Sharing Negligence हो सकती है, लेकिन इससे पूरा Case खत्म नहीं
Commission ने customer conduct को पूरी तरह ignore भी नहीं किया।
Order के मुताबिक mobile screen share करना परिस्थितियों के आधार पर negligence माना जा सकता है।
लेकिन Commission का कहना था कि bank को यह establish करना था कि पूरा loss solely customer की negligence की वजह से हुआ।
सिर्फ यह कहना कि उसने fraudster से बातचीत की या screen share किया, disputed transactions को voluntary authorisation में convert नहीं करता।
इस distinction का practical importance बड़ा है।
अगर customer ने वास्तव में OTP, password, card PIN या UPI PIN जानबूझकर fraudster को बताया हो और वही unauthorized transaction का direct कारण बना हो तो RBI framework में उसकी liability बन सकती है।
लेकिन यह negligence assume नहीं की जा सकती—bank को reliable material से इसे prove करना पड़ सकता है।
Canara Bank की अपनी Policy भी Burden of Proof Bank पर रखती है
इस मामले का एक महत्वपूर्ण regulatory angle Canara Bank की अपनी customer-protection policy से जुड़ा है।
Bank की Policy on Compensation and Customer Protection for Unauthorized Electronic Banking Transactions RBI के 2017 framework को implement करती है।
Canara Bank की published policy के मुताबिक unauthorized electronic banking transaction में customer की liability prove करने का burden सामान्यतः bank पर रहता है, subject to specified exceptions—जैसे customer द्वारा credentials negligently share करना।
यानी banking policy भी यह नहीं मानती कि disputed transaction हो जाने भर से customer automatically liable हो जाएगा।
Bank को facts और transaction records के आधार पर responsibility determine करनी होती है।
RBI का 2017 Rule क्या कहता है?
RBI ने 6 July 2017 को unauthorized electronic banking transactions के लिए customer liability का framework जारी किया था।
इस framework का उद्देश्य यह तय करना था कि electronic fraud होने पर loss customer bear करेगा या bank।
RBI के अनुसार customer की zero liability broadly दो महत्वपूर्ण situations में arise कर सकती है।
- पहली—जहां fraud, negligence या deficiency bank की तरफ से हो।
- ऐसी स्थिति में customer ने transaction कब report किया, यह zero-liability principle के लिए निर्णायक नहीं रहता।
- दूसरी—third-party breach, जहां fault न bank का हो और न customer का, लेकिन customer bank को unauthorized transaction की information तीन working days के भीतर दे दे।
- इसके विपरीत, यदि customer ने खुद payment credentials negligently share किए हों, तो transaction bank को report करने तक का loss customer को bear करना पड़ सकता है।
लेकिन report होने के बाद होने वाला further loss bank की liability हो सकता है।
तीन दिन की Reporting क्यों इतनी महत्वपूर्ण?
RBI framework में prompt reporting critical है।
Unauthorized transaction जितनी जल्दी bank को report किया जाए, उतनी ही अधिक संभावना होती है कि beneficiary account identify करके रकम hold कराई जा सके।
इस case में Commission ने इस fact को महत्व दिया कि complainant ने transactions का पता चलते ही cybercrime authorities और bank से संपर्क किया।
Financial cyber fraud के मामलों में delay से रकम कई accounts में transfer, cash में withdraw या crypto में convert की जा सकती है।
इसी कारण RBI लगातार customers से unauthorized transaction तुरंत bank को report करने को कहता है।
NCDRC के 2026 फैसले पर Commission ने किया भरोसा
Delhi Consumer Commission ने अपने analysis में National Consumer Disputes Redressal Commission के State Bank of India v. Prodosh Kumar Banerjee मामले के फैसले पर भी भरोसा किया।
NCDRC ने 15 April 2026 को दिए उस decision में स्पष्ट किया था कि banks customer negligence को केवल presume नहीं कर सकते।
उस case में complainant electricity bill scam का शिकार हुआ था और उसने fraudster के कहने पर application download की थी।
उसके account से unauthorized transactions हुए।
SBI का argument था कि transactions customer द्वारा credentials/OTP share करने के कारण हुए होंगे।
लेकिन NCDRC ने कहा कि negligence को cogently establish करना होगा।
केवल यह तथ्य कि customer ने fraudulent application download की, अपने-आप यह साबित नहीं करता कि उसने बाद के transactions voluntarily authorise किए।
इस precedent ने current Canara Bank case में authentication बनाम authorisation distinction को मजबूत आधार दिया।
Supreme Court तक पहुंच चुका है Unauthorized Transaction का Principle
NCDRC के Prodosh Kumar Banerjee decision में Gauhati High Court के State Bank of India v. Pallabh Bhowmickjudgment का भी reference है।
Gauhati High Court ने unauthorized electronic transactions और prompt reporting के context में customer protection के RBI framework को लागू किया था।
उस judgment के खिलाफ SBI की Special Leave Petition को Supreme Court ने 3 January 2025 को dismiss कर दिया था, जैसा NCDRC ने अपने 2026 decision में record किया।
इस jurisprudence का broad message यह है कि cyber fraud में bank liability तय करते समय केवल credentials इस्तेमाल होने की बात पर्याप्त नहीं हो सकती; transaction circumstances और customer conduct को evidence के आधार पर जांचना होगा।
Pending Cybercrime Investigation Consumer Case नहीं रोकती
Canara Bank ने यह argument भी किया कि cybercrime investigation pending होने के कारण consumer complaint पर decision नहीं होना चाहिए।
Commission ने यह objection स्वीकार नहीं किया।
Bench ने कहा कि fraudsters के खिलाफ criminal investigation और bank की deficiency in service से संबंधित consumer proceedings अलग legal fields में operate करती हैं।
Cybercriminal कौन था और उसने fraud कैसे किया—यह police investigation का subject हो सकता है।
लेकिन bank ने customer complaint को कैसे handle किया, applicable security safeguards follow किए या नहीं, और liability correctly determine की या नहीं—यह consumer jurisdiction में independently examine किया जा सकता है।
इसलिए criminal investigation pending होना consumer relief को automatically suspend नहीं करता।
₹4,14,488 पर 9% Interest भी देना होगा
Commission ने Canara Bank को unrecovered principal amount ₹4,14,488 वापस करने का आदेश दिया है।
इस amount पर 8 April 2024 से actual payment तक 9 प्रतिशत सालाना interest देना होगा।
Interest date transaction के अगले दिन से effectively financial deprivation को account करती है।
इसके अलावा Commission ने अलग-अलग heads में additional compensation भी award किया।
₹1 लाख Mental Harassment के लिए, ₹50,000 Legal Cost
Bank को principal refund के अलावा:
₹1,00,000 compensation mental agony, harassment और inconvenience के लिए, और ₹50,000 litigation expenses देने होंगे।
इस तरह interest को छोड़कर bank की immediate monetary liability principal समेत ₹5,64,488 बनती है।
Actual amount इससे अधिक होगा क्योंकि ₹4,14,488 पर April 2024 से payment date तक 9% annual interest भी payable है।
45 दिन में Payment, नहीं तो 12% Interest
Commission ने Canara Bank को order comply करने के लिए 45 days का समय दिया है।
यदि bank निर्धारित अवधि में payment नहीं करता, तो payable amount पर default की date से realisation तक 12 प्रतिशत सालाना additional interest लागू होगा।
इससे order की timely compliance सुनिश्चित करने के लिए stronger financial consequence जुड़ जाता है।
क्या इस फैसले का मतलब हर Cyber Fraud में Bank पैसा लौटाएगा?
नहीं।
इस order को इस तरह पढ़ना गलत होगा कि cyber fraud होने पर bank हर स्थिति में automatically liable होगा।
RBI framework customer और bank दोनों की conduct को महत्व देता है।अगर bank यह साबित कर दे कि customer ने willingly OTP, UPI PIN, password या card credentials fraudster से share किए और वही loss का direct कारण बना, तो customer liability बन सकती है।
Current case में decisive factor यह था कि Commission के मुताबिक Canara Bank ने customer negligence और voluntary authorisation साबित करने के लिए पर्याप्त evidence नहीं दिया।
इसलिए decision fact-specific है।
OTP Share करने का Evidence क्यों जरूरी?
Banking fraud disputes में OTP issue अक्सर central question बन जाता है।
Bank system यह record कर सकता है कि OTP generate हुआ, deliver हुआ या transaction authentication successfully complete हुई।
लेकिन legal dispute में अगला सवाल यह हो सकता है कि OTP वास्तव में किसने enter किया।
- क्या customer ने knowingly दिया?
- क्या screen-sharing या remote-access tool के जरिए fraudster ने device control किया?
- क्या malicious software ने credentials intercept किए?
- क्या beneficiary पहले से fraudulently add किया गया?
- इन questions का answer technical logs से आ सकता है।
- इसी कारण Commission ने IP logs, device information और audit trail की absence को महत्वपूर्ण माना।
Beneficiary Addition Logs क्यों महत्वपूर्ण हैं?
IMPS या other digital banking fraud में कई बार attacker पहले नया beneficiary add करता है और उसके बाद बड़ी रकम transfer करता है।
Bank के security systems में beneficiary addition के बाद cooling-off period, transaction limits या risk monitoring जैसे safeguards हो सकते हैं।
अगर fraud के तुरंत पहले नया beneficiary add हुआ हो तो bank logs से यह देखा जा सकता है कि:
- beneficiary किस device से add किया गया;
- किस IP address से login हुआ;
- customer के normal device से activity match करती थी या नहीं;
- और bank के fraud-monitoring system ने unusual transaction flag किया या नहीं।
Current case में Commission ने कहा कि complete beneficiary-addition और transaction records सामने नहीं रखे गए।
Fraud Detection System भी Bank की Responsibility का हिस्सा
RBI का customer-protection framework केवल customer को सावधान रहने की जिम्मेदारी नहीं देता।
Banks को भी robust fraud-detection और prevention mechanism maintain करना होता है।
RBI framework में banks से appropriate security systems, dynamic fraud-detection mechanisms, risk-assessment process और unauthorized transactions से arising liability को mitigate करने के measures रखने की अपेक्षा की गई है।
इसीलिए unusual transaction होने पर केवल OTP authentication को final answer नहीं माना जा सकता।
अगर customer का सामान्य transaction pattern comparatively छोटा हो और अचानक ₹5 lakh का transfer हो, तो risk systems का response भी relevant बन सकता है।
हालांकि current case के public record में complainant का complete historical transaction profile उपलब्ध नहीं है।
Customer को Cyber Fraud होते ही क्या करना चाहिए?
यह फैसला customers के लिए भी कुछ महत्वपूर्ण lessons देता है।
Unauthorized transaction का पता चलते ही:
- bank को immediate report करना चाहिए;
- account/card/UPI access block कराना चाहिए;
- 1930 cybercrime helpline पर complaint करनी चाहिए;
- National Cyber Crime Reporting Portal पर report दर्ज करनी चाहिए;
- transaction alerts और screenshots सुरक्षित रखने चाहिए;
- और complaint acknowledgement लेना चाहिए।
Bank को जितनी जल्दी transaction report होगी, recovery और liability protection की संभावना उतनी बेहतर हो सकती है।
Screen Sharing Apps से विशेष सावधानी
Current case में bank ने screen-sharing allegation उठाया था।
Cybercriminal अक्सर victims को customer-support, KYC update, refund या account verification के बहाने screen-sharing या remote-control app use करने के लिए कहते हैं।
ऐसे apps के जरिए attacker user की screen देख सकता है और कभी-कभी device interaction भी control कर सकता है।
Banking applications use करते समय unknown person के साथ screen share करना high-risk behaviour है।
लेकिन जैसा Commission ने current case में माना, ऐसी negligence का legal effect facts और evidence पर depend करेगा।
Bank के लिए क्या संदेश?
इस order का सबसे बड़ा institutional message banks के लिए है।
Cyber fraud dispute में सिर्फ system-generated statement कि transaction “successful” था, liability determine करने के लिए पर्याप्त नहीं हो सकता।
Bank को complete evidence preserve और produce करना पड़ सकता है:
- login logs,
- IP address,
- device fingerprint,
- OTP delivery record,
- beneficiary addition,
- transaction timing,
- fraud alerts,
- risk score,
- और complaint के बाद की response timeline।
अगर customer liability का argument evidence से establish नहीं होता तो Consumer Commission bank की service को deficient मान सकता है।
Canara Bank Case एक Broader Judicial Trend का हिस्सा
यह अकेला ऐसा मामला नहीं है जिसमें consumer forums ने unauthorized transactions पर banks की responsibility examine की है।
October 2026 में Karnataka consumer commission ने भी Canara Bank को एक अलग case में ₹4.84 lakh refund करने का आदेश दिया था, जहां bank customer द्वारा OTP share करने का allegation documentary evidence से establish नहीं कर पाया था।
इससे पहले Bengaluru consumer commission ने एक अन्य Canara Bank customer को cyber fraud में ₹1.75 lakh refund करने का आदेश दिया था।
इन decisions का common principle यही है कि bank को customer negligence साबित करनी होगी; केवल disputed transaction का banking credentials से authenticated होना हर मामले में पर्याप्त proof नहीं है।
लेकिन Customers की जिम्मेदारी भी खत्म नहीं होती
इन judgments को cyber safety rules ignore करने का licence नहीं समझना चाहिए।
Customers को OTP, MPIN, UPI PIN, ATM PIN, CVV और net-banking password किसी से share नहीं करना चाहिए।
Unknown applications install करना, remote-access देना या fraudster के कहने पर QR/payment request approve करना customer liability को प्रभावित कर सकता है।
RBI framework negligence को expressly recognise करता है।
इसलिए legal protection का सबसे मजबूत position वही है जहां customer security precautions follow करे और suspicious transaction तुरंत report करे।
फैसले का व्यापक महत्व
Delhi Consumer Commission का यह order digital banking disputes में एक महत्वपूर्ण distinction को फिर सामने लाता है—authentication और consent अलग concepts हैं।
Technology यह दिखा सकती है कि transaction valid credentials से complete हुआ।
लेकिन कानून में यह अलग सवाल है कि उन credentials का इस्तेमाल किसने किया और customer ने transfer genuinely approve किया था या नहीं।
Cybercrime के increasingly sophisticated होने के साथ यह difference महत्वपूर्ण होता जा रहा है।
Current case में Commission ने Canara Bank को इसलिए liable माना क्योंकि bank complete technical evidence के जरिए यह establish नहीं कर पाया कि Vinita ने disputed transactions voluntarily authorise किए थे या पूरा loss solely उसकी negligence से हुआ था।
इसलिए decision का core message यह नहीं है कि “OTP होने पर भी bank हमेशा liable होगा”।
सही legal takeaway यह है—सिर्फ OTP या credential authentication दिखाकर bank हर cyber fraud claim reject नहीं कर सकता; customer liability facts और evidence से establish करनी होगी।
