NPCI inför maskering av telefon- och kontonummer vid UPI-transaktioner

Indiens betalningsråd (NPCI) har utfärdat en instruktion som kräver att alla banker och UPI-applikationer upphör med att visa kunders fullständiga mobilnummer under transaktioner, med ett efterlevnadsdatum satt till den 4 september 2026. Denna åtgärd vidtas som svar på ökande farhågor kring säkerhet och identitetsstöld.

Enligt de nya reglerna kommer endast de sista fyra siffrorna i ett användarnummer att visas för den andra parten i en transaktion. Fullständiga telefonnummer kommer inte heller att visas vid QR-kodbetalningar. Även kontonummer och UPI ID:n (virtual payment addresses, VPAs) kommer att omfattas av samma maskeringskrav.

NPCI uppmanar också UPI-appar att som standard använda en användarnamnbaserad VPA för nya användare, istället för en som är baserad på mobilnumret. Detta minskar risken för att användares telefonnummer kopplas samman med deras betalningshistorik eller begäranden, vilket stärker integriteten och minskar risken för oönskad kontakt.

Direktivet är kopplat till Indiens lag om skydd för personuppgifter (DPDP Act). UPI är Indiens ledande plattform för digitala betalningar med över 550 miljoner användare. De tekniska anpassningarna kräver samordning mellan banker, NPCI och apputvecklare för att säkerställa en smidig implementering före deadline.