La actualización de la aplicación de MobiKwik permitió que los pagos UPI se liquidaran con PIN incorrectos: 40 crore de rupias desaparecidas en 48 horas

El 11 y 12 de septiembre de 2025, los rieles UPI de MobiKwik pagaron bajo condiciones que el sistema bancario jamás habría aceptado. Una actualización de software distribuida a principios de ese mes había roto silenciosamente dos verificaciones básicas en sus pagos vinculados a la billetera: los usuarios podían enviar importes muy superiores al saldo de su billetera, y las transacciones se liquidaban incluso cuando el PIN introducido era incorrecto. En focos limitados de Haryana, comerciantes registrados y usuarios se coludieron para reclamar liquidaciones no autorizadas a gran escala; la denuncia (FIR) que MobiKwik acabó presentando cifró el importe en 40 crore de rupias.

La empresa se enteró dos días tarde. Una auditoría interna señaló transacciones sospechosas fechadas el 11 y 12 de septiembre, y un empleado denunció la brecha el 13 de septiembre. MobiKwik presentó una FIR en Gurugram bajo los artículos de estafa y apropiación indebida de la Bharatiya Nyaya Sanhita; la policía detuvo a seis hombres —cinco de Nuh, uno de Palwal—, identificó a unos 2.500 beneficiarios y congeló 8 crore de rupias en cuentas bancarias. MobiKwik recuperó cerca de 14 crore de rupias, dejando un impacto neto estimado de 26 crore de rupias según su comunicación al mercado.

El fallo golpeó el motor de crecimiento de la empresa. MobiKwik había estado vendiendo a los inversores Pocket UPI —pagos UPI canalizados a través de la billetera MobiKwik en lugar de una cuenta bancaria— con un valor bruto de mercancías (GMV) que creció un 53% interanual en el primer trimestre del ejercicio fiscal 2026 sobre un volumen UPI en aumento. El volumen es la métrica; los límites son su antimétrica. El fraude impactó los libros del trimestre de septiembre como una pérdida neta de 28,6 crore de rupias, aproximadamente ocho veces la pérdida de 3,6 crore de rupias de un año antes, y la acción cayó tras la divulgación.

40 crore de rupias desviadas en 48 horas; 14 crore recuperadas, impacto neto de 26 crore; seis detenidos, 8 crore congeladas, 2.500 beneficiarios identificados

La versión se distribuyó sin las dos pruebas más importantes en pagos: un intento con PIN incorrecto y un envío por encima del saldo. Ambas pasaron en los rieles de producción.

La detección fue a posteriori. Dos días de tráfico de liquidación anómalo procedente de unos pocos distritos no se señalaron en tiempo real; una auditoría interna, no una alerta, le puso fin.

La historia de crecimiento elevó las apuestas: el impulso de volumen de Pocket UPI hizo que los límites parecieran fricción, y los límites fueron exactamente lo que falló.

La policía sospechó ayuda interna para revelar el fallo: el conocimiento privilegiado de la actualización nunca se aisló ni se monitorizó.

En pagos, las rutas negativas son el producto: una versión que nunca prueba PIN incorrectos ni envíos por encima del saldo convierte el motor de crecimiento en un desagüe. La reversión es un control, no una contingencia.

MobiKwik denunció 40 crore de rupias, recuperó 14 crore y comunicó a las bolsas que el impacto neto estimado era de 26 crore de rupias, con esfuerzos de cobro y legales en curso. Seis acusados pasaron a custodia judicial; la policía de Nuh pidió públicamente a los residentes que recibieron transferencias inexplicables el 11 y 12 de septiembre que se presentaran y las devolvieran. La pérdida contribuyó a convertir el segundo trimestre del ejercicio fiscal 2026 en una pérdida neta de 28,6 crore de rupias. También fue la tercera divulgación de fraude en la historia reciente de MobiKwik —tras un fraude de 19 crore de rupias en 2017 y un fraude de un ex empleado de 1,26 crore de rupias entre agosto de 2023 y septiembre de 2024—, un patrón que los inversores ahora leen en conjunto.