Fake Bank APK Scam: फोन में ‘Android God Mode’ से कैसे चोरी हो रहा है आपका OTP और पैसा?

एक WhatsApp संदेश आपके फोन पर आता है—

“आपके credit card के reward points आज समाप्त हो रहे हैं।”
“बैंक KYC अपडेट करने के लिए यह ऐप डाउनलोड करें।”
“PM-KISAN की अगली किस्त पाने के लिए APK इंस्टॉल करें।”
“आपकी credit limit बढ़ाई जा रही है।”

संदेश के साथ किसी बैंक या सरकारी योजना के नाम वाली APK file अथवा website link भेजा जाता है। ऐप का नाम और icon असली दिखाई देते हैं, लेकिन उसे इंस्टॉल करते ही अपराधियों को आपके SMS, OTP, notifications, contacts और banking information तक पहुंच मिल सकती है।

भारत में ऐसे fake banking apps और Firebase-hosted phishing pages के बढ़ते दुरुपयोग के बाद Indian Cyber Crime Coordination Centre यानी I4C ने Google को कई संदिग्ध websites और databases हटाने के निर्देश दिए हैं। Reuters के अनुसार अगस्त 2026 में ही कम-से-कम 57 Firebase-hosted websites और databases के विरुद्ध takedown निर्देश जारी किए गए। इनमें कुछ pages SBI, ICICI Bank और Axis Bank जैसी संस्थाओं की नकल कर रहे थे। Reuters की विस्तृत रिपोर्ट

आइए समझते हैं कि Fake Bank APK Scam in India कैसे काम करता है और इससे अपने बैंक खाते, UPI तथा मोबाइल को कैसे सुरक्षित रखा जाए।

APK File क्या होती है?

APK का पूरा नाम Android Package Kit है। यह Android फोन में app install करने वाली file होती है।

Google Play Store से कोई app डाउनलोड करते समय installation प्रक्रिया सुरक्षित channel के माध्यम से होती है। लेकिन APK file को WhatsApp, Telegram, SMS, email या किसी website से डाउनलोड करके सीधे install करना “sideloading” कहलाता है।

हर APK खतरनाक नहीं होती, लेकिन अनजान स्रोत से मिली APK में malware छिपा हो सकता है। खासकर यदि कोई व्यक्ति bank, KYC, credit card reward, बिजली बिल, e-challan या सरकारी योजना के नाम पर APK भेजे, तो उसे install करना बहुत जोखिमपूर्ण है।

Firebase Scam क्या है?

Firebase, Google द्वारा उपलब्ध कराया गया एक वैध app और web-development platform है। Developers इसका उपयोग websites, mobile applications, hosting और databases बनाने के लिए करते हैं।

Firebase स्वयं कोई scam platform नहीं है। समस्या तब होती है जब cybercriminals किसी भरोसेमंद technology का दुरुपयोग करते हैं।

इस scam में अपराधी Firebase का इस्तेमाल कर सकते हैं:

नकली banking website host करने के लिए
Fake login page बनाने के लिए
Malicious APK वितरित करने के लिए
संक्रमित फोन से चुराया गया data प्राप्त करने के लिए
OTP, card details और personal information जमा करने के लिए

Firebase या किसी प्रसिद्ध cloud service का नाम अथवा domain देखकर किसी link को अपने-आप सुरक्षित नहीं मानना चाहिए। वैध infrastructure पर भी fraudulent page बनाया जा सकता है।

Fake Bank APK Scam कैसे काम करता है?

इस ठगी को सामान्यतः पांच चरणों में अंजाम दिया जाता है।

1. भरोसा जीतने वाला संदेश

Victim को बैंक, credit card company, सरकारी योजना या utility service के नाम से संदेश भेजा जाता है।

लुभावने या डर पैदा करने वाले संदेश हो सकते हैं:

Reward points expire हो रहे हैं
KYC बंद होने वाली है
Credit card block हो जाएगा
Credit limit बढ़ाई जा रही है
PM-KISAN की किस्त pending है
बिजली connection कट जाएगा
Refund प्राप्त करने के लिए app install करें

2. Fake website या APK link

संदेश में ऐसा link दिया जाता है जो देखने में bank या government website जैसा लग सकता है। वहां से APK file download कराई जाती है।

3. “Install Unknown Apps” चालू करवाना

फोन APK को रोकता है तो जालसाज victim से security warning ignore करने और “Install unknown apps” permission चालू करने को कहता है।

यही सबसे बड़ा danger signal है।

4. संवेदनशील permissions लेना

Install होने के बाद fake app SMS, contacts, notifications, accessibility और screen-related permissions मांग सकता है। कई लोग जल्दी में बिना पढ़े “Allow” दबाते चले जाते हैं।

5. OTP और banking data की चोरी

App victim द्वारा भरे गए card details, PIN, login information या अन्य data को scammers के server पर भेज सकता है। SMS तथा notification access मिलने पर OTP भी अपराधियों तक पहुंच सकता है।

असली बैंक WhatsApp पर APK क्यों नहीं भेजता?

कोई जिम्मेदार बैंक आपको WhatsApp, Telegram या सामान्य SMS के माध्यम से APK file भेजकर उसे install करने के लिए नहीं कहेगा।

बैंक के official mobile apps सामान्यतः:

Google Play Store या Apple App Store पर उपलब्ध होते हैं
बैंक की सत्यापित official website से linked होते हैं
Verified developer के नाम से प्रकाशित होते हैं
WhatsApp attachment के रूप में नहीं भेजे जाते
KYC के नाम पर unknown-source permission चालू नहीं करवाते

यदि “Bank Update.apk”, “KYC Update.apk”, “SBI Reward.apk”, “Credit Card.apk” या “PM Kisan.apk” जैसी file WhatsApp पर मिले, तो उसे न खोलें।

Golden Rule: बैंक, KYC, reward points या सरकारी योजना के नाम से मिली APK को कभी install न करें। App की जरूरत हो तो Play Store पर स्वयं search करने के बजाय संबंधित संस्था की official website से उसके verified app link तक जाएं।

“Android God Mode” Malware क्या है?

“Android God Mode” किसी एक official Android feature या एक निश्चित malware का तकनीकी नाम नहीं है। Cybersecurity reports में इस phrase का प्रयोग ऐसे malicious apps के लिए किया जा रहा है जो अत्यधिक permissions लेकर फोन पर लगभग पूर्ण नियंत्रण जैसी स्थिति बना लेते हैं।

यदि fake app को Accessibility, SMS, notification, screen overlay या device-administrator जैसी शक्तिशाली permissions मिल जाएं, तो वह संभावित रूप से:

SMS पढ़ सकता है
OTP intercept कर सकता है
Notifications देख सकता है
Contacts और call information चुरा सकता है
Screen पर दिखाई दे रही जानकारी पढ़ सकता है
Fake login screen दिखा सकता है
दूसरे apps पर overlay बना सकता है
Banking details capture कर सकता है
कुछ परिस्थितियों में अपने removal को कठिन बना सकता है
चुराया हुआ data remote server पर भेज सकता है

Reuters ने इसे cybersecurity researchers द्वारा near-total control की स्थिति बताने के लिए प्रयुक्त व्यापक शब्द बताया है। इसलिए इसे Android का कोई वास्तविक “God Mode button” न समझें।

Fake PM-KISAN App Scam कैसे होता है?

इस fraud में किसानों को PM-KISAN की pending installment, beneficiary verification या payment claim करने के नाम पर link भेजा जा सकता है।

Fake website यह दावा कर सकती है कि:

आपकी ₹2,000 की किस्त अटकी हुई है
e-KYC तुरंत पूरी करनी है
beneficiary status verify करना है
पैसा redeem करने के लिए app डाउनलोड करना है

Victim जैसे ही APK install करके permissions देता है, malicious app फोन की जानकारी अपराधियों तक पहुंचा सकता है।

PM-KISAN से संबंधित जानकारी के लिए केवल PM-KISAN की आधिकारिक वेबसाइट का उपयोग करें। WhatsApp से मिली APK install न करें।

WhatsApp पर आए Fake Bank APK की पहचान कैसे करें?

निम्न संकेत दिखाई दें तो message को fraud मानकर सावधान हो जाएं:

संदेश में .apk attachment हो
App Play Store के बजाय WhatsApp से install करवाया जाए
“आज ही करें” या “खाता बंद हो जाएगा” का दबाव बनाया जाए
Reward, cashback या limit increase का लालच दिया जाए
URL में bank का exact official domain न हो
Link shortened या spelling में थोड़ा बदलाव वाला हो
App SMS, Accessibility या notification permission मांगे
Caller screen sharing या remote-access app install करवाए
Card number, CVV, PIN या OTP मांगा जाए
Grammar, logo या भाषा में असामान्य त्रुटियां हों
Unknown number स्वयं को bank manager बताए

ध्यान रखें—साफ भाषा, सही logo और professional design भी authenticity की गारंटी नहीं हैं। AI और cloning tools से नकली content बहुत विश्वसनीय बनाया जा सकता है।

फोन संक्रमित होने के संभावित संकेत

Malware हमेशा स्पष्ट संकेत नहीं देता, फिर भी ये बदलाव suspicious हो सकते हैं:

फोन अचानक धीमा या गर्म रहने लगे
Battery और mobile data तेजी से खत्म हों
अनजान apps दिखाई दें
App drawer में installed app नजर न आए
Screen पर बार-बार pop-ups या overlays आएं
अपने-आप SMS भेजे जाएं
परिचित लोगों को आपके नंबर से suspicious messages मिलें
Banking या UPI notifications अचानक गायब हों
Accessibility में अनजान service enabled दिखाई दे
“Install unknown apps” permission अनजान app को मिली हो
Device Administrator में अपरिचित app दिखाई दे
Bank account में अज्ञात transaction हो
SIM अचानक काम करना बंद कर दे
Google या email account में unfamiliar login alert आए

इनमें से कोई एक संकेत malware का निश्चित प्रमाण नहीं है, लेकिन fake APK install करने के बाद ऐसा हो तो तुरंत कार्रवाई करें।

APK Install हो जाए तो तुरंत क्या करें?

1. फोन को इंटरनेट से अलग करें

तुरंत:

Airplane Mode चालू करें
Wi-Fi बंद करें
Mobile data बंद करें
Bluetooth भी बंद कर दें

इससे malware का remote server से संपर्क अस्थायी रूप से रुक सकता है।

2. उसी फोन से banking न करें

संक्रमित फोन से:

Password न बदलें
Banking app न खोलें
UPI PIN न डालें
Net banking login न करें

Malware screen या keyboard input को capture कर सकता है। सभी महत्वपूर्ण काम किसी साफ और विश्वसनीय दूसरे device से करें।

3. बैंक को तुरंत सूचित करें

दूसरे सुरक्षित फोन से bank के official customer-care number पर संपर्क करें। Number debit/credit card के पीछे, passbook या bank की official website से लें।

Bank से अनुरोध करें:

Internet banking अस्थायी रूप से block करें
UPI access रोकें
Debit/credit card block या freeze करें
संदिग्ध transactions की जांच करें
आवश्यक हो तो account पर debit freeze लगाएं

4. Financial Fraud हो तो 1930 पर कॉल करें

पैसा निकल गया है या transaction शुरू हो चुका है तो तुरंत 1930 पर कॉल करें। जल्दी शिकायत करने से रकम को beneficiary account में रोक पाने की संभावना बेहतर हो सकती है।

National Cyber Crime Reporting Portal भी financial fraud के तत्काल reporting के लिए 24×7 helpline 1930 बताता है। आधिकारिक Cyber Crime Portal

5. Cybercrime.gov.in पर शिकायत दर्ज करें

cybercrime.gov.in पर शिकायत दर्ज करते समय यह जानकारी तैयार रखें:

Bank, wallet या merchant का नाम
Fraud की तारीख और समय
Fraud amount
Transaction ID या UTR number
संदिग्ध mobile number
WhatsApp chat या SMS screenshot
APK का नाम
Fake website URL
Bank statement या transaction screenshot
1930 complaint acknowledgement number

संदिग्ध URL, WhatsApp number, Telegram handle, email अथवा phone number को I4C की Report Suspect सुविधा में भी report किया जा सकता है।

6. Malicious app की permissions हटाएं

यदि आप तकनीकी रूप से सहज हैं, तो Settings में जाकर suspicious app के लिए ये permissions बंद करें:

Accessibility
Device Administrator
Notification Access
Display over other apps
Install Unknown Apps
SMS
Contacts
Phone
Files and Media

इसके बाद app uninstall करने का प्रयास करें। अलग-अलग Android phones में settings के नाम बदल सकते हैं।

7. केवल uninstall को पर्याप्त न मानें

Advanced malware हटाने के बाद भी छिपा रह सकता है। इसलिए:

जरूरी photos और documents का सावधानीपूर्वक backup लें
Unknown APK या app backup न करें
किसी विश्वसनीय mobile-security expert या authorized service centre से जांच कराएं
आवश्यकता होने पर factory reset करें
Reset के बाद apps केवल official store से install करें

Factory reset से पहले fraud के screenshots, transaction details और अन्य आवश्यक evidence सुरक्षित कर लें।

8. सुरक्षित device से passwords बदलें

फोन साफ या reset होने के बाद, अथवा किसी दूसरे trusted device से इन accounts के passwords बदलें:

Primary email
Google account
Net banking
UPI-linked accounts
Social-media accounts
Cloud storage

जहां उपलब्ध हो, two-factor authentication चालू करें। SMS के अलावा authenticator या passkey का विकल्प उपलब्ध हो तो उसका उपयोग करें।

बैंक खाता और UPI कैसे सुरक्षित रखें?

Daily transaction limit कम रखें

UPI और card की transaction limits जरूरत के अनुसार कम रखें। बड़ी limit केवल आवश्यकता होने पर बढ़ाएं।

Banking alerts चालू रखें

हर debit, credit, login और card transaction के लिए SMS तथा email alert सक्रिय रखें।

अलग banking phone या number पर विचार करें

यदि संभव हो तो banking के लिए ऐसा mobile number रखें जिसे public forms और social media पर साझा न किया गया हो।

Card controls का उपयोग करें

Banking app में:

International transactions बंद रखें
Contactless payments जरूरत न हो तो बंद करें
Online transaction limit सीमित रखें
Card को आवश्यकता न होने पर temporarily lock करें

UPI PIN कभी साझा न करें

UPI PIN पैसा प्राप्त करने के लिए नहीं, बल्कि पैसा भेजने या transaction approve करने के लिए डाला जाता है।

Collect request ध्यान से पढ़ें

अजनबी UPI collect request स्वीकार न करें। QR code scan करने से हमेशा पैसा नहीं मिलता; उसके बाद PIN डालने पर पैसा जा सकता है।

फोन अपडेट रखें

Android operating system, Google Play System और सभी apps के security updates समय पर install करें।

Play Protect चालू रखें

Google Play Store की profile settings में जाकर Play Protect scan सक्रिय रखें। यह सुरक्षा की एक अतिरिक्त layer है, हालांकि इसे पूर्ण सुरक्षा की गारंटी न मानें।

यदि पैसा नहीं गया, लेकिन APK इंस्टॉल हो गई है तो क्या शिकायत करें?

हां। Fraud attempt की सूचना देना उपयोगी है, भले ही पैसा न गया हो।

आप संदिग्ध:

Website URL
Mobile number
WhatsApp number
Telegram handle
Email address
Social-media profile

को National Cyber Crime Reporting Portal की Report Suspect सुविधा में भेज सकते हैं। इससे suspicious infrastructure की पहचान और monitoring में मदद मिल सकती है। I4C Report Suspect सुविधा

क्या Play Store का हर App सुरक्षित है?

Google Play Store unknown WhatsApp APK की तुलना में अधिक सुरक्षित माध्यम है, लेकिन किसी भी app को install करने से पहले जांच करना जरूरी है:

Developer का नाम देखें
Official bank website से app link verify करें
Downloads और update history देखें
App कौन-कौन सी permissions मांग रहा है, जांचें
Reviews पर आंख बंद करके भरोसा न करें
Similar spelling वाले cloned apps से सावधान रहें

सुरक्षित तरीका यह है कि bank की official website खोलकर वहीं दिए गए verified app-store link का उपयोग किया जाए।

अक्सर पूछे जाने वाले प्रश्न

Firebase banking scam क्या है?

यह ऐसा fraud है जिसमें अपराधी Firebase जैसी वैध cloud service का दुरुपयोग fake banking pages host करने, malicious apps बांटने या संक्रमित फोन से चुराया data जमा करने के लिए करते हैं।

क्या Firebase स्वयं खतरनाक है?

नहीं। Firebase एक वैध Google development platform है। खतरा उसके criminal misuse से पैदा होता है।

क्या बैंक WhatsApp पर APK भेज सकता है?

किसी WhatsApp attachment से banking APK install नहीं करनी चाहिए। Bank का app केवल उसकी official website से linked verified Google Play Store या Apple App Store listing से डाउनलोड करें।

APK इंस्टॉल करते ही पैसा चोरी हो जाएगा?

हर APK malware नहीं होती और installation मात्र से हर बार पैसा नहीं निकलता। लेकिन malicious app को SMS, Accessibility, notification या screen permissions देने पर खतरा बहुत बढ़ जाता है।

Android God Mode क्या कोई Android setting है?

नहीं। यह कोई official Android setting नहीं है। इसका इस्तेमाल ऐसे malware की क्षमताओं के लिए किया जाता है जो अत्यधिक permissions लेकर फोन पर लगभग पूर्ण नियंत्रण हासिल कर सकता है।

ऑनलाइन ठगी होने पर किस नंबर पर शिकायत करें?

Cyber financial fraud होने पर तुरंत 1930 पर कॉल करें और cybercrime.gov.in पर शिकायत दर्ज करें।

APK uninstall करने से फोन सुरक्षित हो जाएगा?

साधारण malware में मदद मिल सकती है, लेकिन uninstall को पूरी सुरक्षा की गारंटी न मानें। गंभीर स्थिति में professional scan या factory reset आवश्यक हो सकता है।

निष्कर्ष

Fake Bank APK Scam केवल नकली app का मामला नहीं है। यह social engineering, phishing page, malicious permissions और cloud database को जोड़कर किया जाने वाला संगठित cyber fraud हो सकता है।

सुरक्षा का सबसे सरल नियम याद रखें:

WhatsApp, Telegram, SMS या email से मिली किसी भी banking, KYC, reward अथवा सरकारी योजना की APK file install न करें।

यदि APK install हो गई है तो फोन को internet से अलग करें, उसी device पर banking न करें, सुरक्षित फोन से bank को सूचित करें और आर्थिक नुकसान होने पर तुरंत 1930 तथा cybercrime.gov.in पर शिकायत दर्ज करें।

साइबर ठगी में शुरुआती कुछ मिनट महत्वपूर्ण हो सकते हैं—घबराएं नहीं, लेकिन कार्रवाई में देर भी न करें।