MobiKwik 앱 업데이트로 잘못된 PIN에도 UPI 결제 승인 — 48시간 만에 ₹40 crore 유출

2025년 9월 11일과 12일, MobiKwik의 UPI 결제망은 은행 시스템이라면 결코 허용하지 않았을 조건으로 지급을 승인했다. 그달 초 배포된 소프트웨어 업데이트가 지갑 연동 결제의 기본 검사 두 가지를 조용히 무력화한 것이다. 사용자는 지갑 잔액을 훨씬 초과하는 금액을 보낼 수 있었고, 입력한 PIN이 틀려도 거래가 승인됐다. 하리아나주의 일부 지역에서 등록 가맹점과 사용자들이 공모해 대규모로 무권한 정산을 청구했다. 이후 MobiKwik이 접수한 FIR에는 그 금액이 ₹40 crore로 기재됐다.

회사는 이틀이 지나서야 알았다. 내부 감사에서 9월 11~12일자 의심 거래가 표시됐고, 9월 13일 한 직원이 침해 사실을 보고했다. MobiKwik은 구르가온에서 Bharatiya Nyaya Sanhita의 사기 및 횡령 조항에 따라 FIR을 접수했다. 경찰은 남성 6명(누 5명, 팔왈 1명)을 체포하고 약 2,500명의 수혜자를 확인했으며, 은행 계좌 전반에서 ₹8 crore를 동결했다. MobiKwik은 약 ₹14 crore를 회수했고, 거래소 공시에 따르면 추정 순영향은 ₹26 crore로 남았다.

이 결함은 회사의 성장 엔진을 강타했다. MobiKwik은 은행 계좌 대신 MobiKwik 지갑을 경유하는 UPI 결제인 Pocket UPI를 투자자들에게 내세워 왔으며, UPI 거래량 증가에 힘입어 2026 회계연도 1분기 총거래액(GMV)이 전년 동기 대비 53% 늘었다. 거래량이 지표라면 한도는 그 반대 지표다. 이 사기로 9월 분기 실적은 ₹28.6 crore 순손실로 돌아섰는데, 이는 1년 전 ₹3.6 crore 손실의 약 8배다. 주가는 이 공시에 하락했다.

48시간 만에 ₹40 crore 유출, ₹14 crore 회수, 순영향 ₹26 crore, 6명 체포, ₹8 crore 동결, 수혜자 2,500명 추적

이 릴리스는 결제에서 가장 중요한 두 가지 테스트 없이 배포됐다. 잘못된 PIN 시도와 잔액 초과 송금이다. 두 검사 모두 실제 운영 환경에서 걸러지지 않고 그대로 통과됐다.

탐지는 사후에 이뤄졌다. 몇몇 지역구에서 이틀간 이어진 이상 정산 트래픽이 실시간으로 표시되지 않았고, 경보가 아니라 내부 감사가 이를 끝냈다.

성장 서사가 위험을 키웠다. Pocket UPI의 거래량 밀어붙이기는 한도를 마찰처럼 보이게 했고, 바로 그 한도가 무너졌다.

경찰은 결함을 드러내는 데 내부 협력이 있었을 것으로 의심했다. 업데이트에 대한 특권적 지식은 격리되거나 감시되지 않았다.

결제에서 부정 경로가 곧 제품이다. 잘못된 PIN과 잔액 초과 송금을 결코 테스트하지 않는 릴리스는 성장 엔진을 유출구로 바꾼다. 롤백은 비상 대책이 아니라 통제 수단이다.

MobiKwik은 ₹40 crore를 신고했고 ₹14 crore를 회수했으며, 거래소에 추정 순영향이 ₹26 crore라고 밝혔고 회수 및 법적 노력은 계속되고 있다. 피의자 6명은 구속됐다. 누 경찰은 9월 11~12일에 설명되지 않는 송금을 받은 주민들에게 공개적으로 나와서 반환해 달라고 요청했다. 이 손실은 2026 회계연도 2분기를 ₹28.6 crore 순손실로 만들었다. 이는 또한 MobiKwik의 최근 세 번째 사기 공시였다. 2017년 ₹19 crore 사기, 2023년 8월부터 2024년 9월까지 이어진 전 직원 ₹1.26 crore 사기에 이은 것으로, 투자자들은 이제 이를 하나의 패턴으로 읽는다.