Une mise à jour de l'application MobiKwik a permis à des paiements UPI d'être validés avec un mauvais code PIN — 40 crore de roupies envolés en 48 heures

Les 11 et 12 septembre 2025, les rails UPI de MobiKwik ont effectué des paiements selon des conditions que le système bancaire n'aurait jamais acceptées. Une mise à jour logicielle déployée plus tôt ce mois-là avait discrètement cassé deux contrôles élémentaires dans ses paiements liés au portefeuille : les utilisateurs pouvaient envoyer des montants bien supérieurs au solde de leur portefeuille, et les transactions étaient validées même lorsque le code PIN saisi était erroné. Dans des zones limitées de l'Haryana, des commerçants enregistrés et des utilisateurs ont colludé pour réclamer à grande échelle des règlements non autorisés — la plainte (FIR) que MobiKwik a ensuite déposée chiffrait le montant à 40 crore de roupies.

L'entreprise ne l'a découvert que deux jours plus tard. Un audit interne a signalé des transactions suspectes datées des 11 et 12 septembre, et un employé a rapporté la faille le 13 septembre. MobiKwik a déposé une FIR à Gurugram sous les articles relatifs à l'escroquerie et au détournement de biens du Bharatiya Nyaya Sanhita ; la police a arrêté six hommes — cinq de Nuh, un de Palwal — identifié environ 2 500 bénéficiaires et gelé 8 crore de roupies sur des comptes bancaires. MobiKwik a récupéré environ 14 crore de roupies, laissant un impact net estimé à 26 crore de roupies selon sa communication aux marchés.

La faille a frappé le moteur de croissance de l'entreprise. MobiKwik vantait auprès des investisseurs son Pocket UPI — des paiements UPI acheminés via le portefeuille MobiKwik plutôt que via un compte bancaire — avec une valeur brute des marchandises en hausse de 53 % d'une année sur l'autre au premier trimestre de l'exercice 2026, portée par la progression des volumes UPI. Le volume est l'indicateur ; les limites en sont l'anti-indicateur. La fraude s'est traduite dans les comptes du trimestre de septembre par une perte nette de 28,6 crore de roupies, soit environ huit fois la perte de 3,6 crore de roupies un an plus tôt, et l'action a reculé après la divulgation.

40 crore de roupies siphonnés en 48 heures ; 14 crore de roupies récupérés, impact net de 26 crore de roupies ; six personnes arrêtées, 8 crore de roupies gelés, 2 500 bénéficiaires identifiés

La version a été déployée sans les deux tests les plus importants en matière de paiements : une tentative avec un mauvais code PIN et un envoi supérieur au solde. Les deux sont passés sur les rails de production.

La détection a été a posteriori. Deux jours de trafic de règlement anormal provenant de quelques districts n'ont pas été signalés en temps réel ; c'est un audit interne, et non une alerte, qui y a mis fin.

L'histoire de croissance a accru les enjeux : la poussée sur les volumes de Pocket UPI faisait apparaître les limites comme une friction, et ce sont précisément les limites qui ont défailli.

La police soupçonnait une aide interne dans la révélation de la faille — la connaissance privilégiée de la mise à jour n'a jamais été cloisonnée ni surveillée.

Dans les paiements, les chemins négatifs sont le produit : une version qui ne teste jamais les mauvais codes PIN et les envois supérieurs au solde transforme le moteur de croissance en fuite. Le retour arrière est un contrôle, pas une mesure d'urgence.

MobiKwik a déposé une plainte portant sur 40 crore de roupies, en a récupéré 14 crore de roupies et a indiqué aux marchés que l'impact net estimé était de 26 crore de roupies, les efforts de recouvrement et les démarches juridiques se poursuivant. Six accusés ont été placés en détention judiciaire ; la police de Nuh a publiquement demandé aux habitants ayant reçu des virements inexpliqués les 11 et 12 septembre de se manifester et de les restituer. Cette perte a contribué à transformer le deuxième trimestre de l'exercice 2026 en une perte nette de 28,6 crore de roupies. C'était aussi la troisième divulgation de fraude dans l'histoire récente de MobiKwik — après une fraude de 19 crore de roupies en 2017 et une fraude d'un ancien employé de 1,26 crore de roupies entre août 2023 et septembre 2024 — une série que les investisseurs lisent désormais ensemble.