Is it safe? 7 min read
Fake UPI or bank APK on WhatsApp? How to spot it, and what to do if you installed one
WhatsApp पर नकली UPI या बैंक APK? कैसे पहचानें, और इंस्टॉल हो गया हो तो क्या करें
By the ToolsBharat teamPublished 30 Oct 2026How we check
Quick answer
An APK file sent to you on WhatsApp, Telegram or SMS that claims to be from your bank, a UPI app or a government office, often with a 'KYC update' or 'PAN/Aadhaar update' message, should be treated as fraud. UCO Bank's security advisory describes this exact trick: once installed, the app can read messages containing OTPs and PINs and let criminals move money from your account. Install banking and UPI apps only from Google Play or the App Store. If you've lost money, call 1930 or report at cybercrime.gov.in straight away.
The direct answer
Real banks and UPI apps do not send you their app as a file. If an .apk (or a Windows .exe) arrives in a chat or through an SMS link and asks you to install it to update KYC, PAN or Aadhaar details, claim a reward or avoid an account block, don't open it.
UCO Bank's security advisory no. 115 (24 November 2023) lays out how this fraud works:
- Fraudsters pose as government officials and contact people about updating PAN, Aadhaar or KYC details.
- They direct the person to download an unverified app, an ".APK" or ".EXE" file.
- Once installed, the malicious app can read messages that contain OTPs and PINs.
- With control of the phone, the criminals make unauthorised transactions and transfer money out of the account.
Seven warning signs
- The app arrives as a file or a link, not through Google Play or the App Store. UCO Bank's advice is to avoid apps or links shared over unsolicited calls, messages, WhatsApp or Telegram.
- There's pressure and a deadline: "your account will be blocked today", "update KYC now".
- The sender claims to be a government officer or bank official and contacts you first.
- Your phone warns you. Android asks for permission before installing apps from unknown sources, and Google Play Protect warns about risky apps. Treat that warning as a stop sign.
- The app asks for permissions it doesn't need, especially access to SMS, or anything that allows remote control of the phone. UCO Bank advises never to grant permissions that allow remote access.
- Someone asks you to install a screen-sharing or SMS-forwarding app. NPCI's UPI Safety Shield says not to download such apps when an unknown person asks.
- You're told to enter your UPI PIN to receive money. NPCI says the PIN is needed only to send money, never to receive it.
How to install a banking or UPI app safely
- Open Google Play or the App Store yourself and search for the app. Don't tap a link someone sent you.
- Check the developer name before you tap Install. For example, PhonePe's Play developer is "PhonePe", Google Pay's is "Google LLC", and BHIM's is "National Payments Corporation of India (NPCI)". See our pages for PhonePe, Google Pay and BHIM.
- Keep Google Play Protect on. In the Play Store app, tap your profile icon, then Play Protect, then Settings, and check that Scan apps with Play Protect is on. Google says it is on by default.
- Grant only the permissions an app really needs, and keep your phone's software and apps updated, as UCO Bank advises.
If you already installed it
- Lost money, or saw a transaction you didn't make? Call the cyber crime helpline 1930 or file a complaint at cybercrime.gov.in immediately. The Sanchar Saathi portal gives the same advice for anyone who has already lost money.
- Call your bank on the number printed on your card, passbook or official website and ask it to block your cards, UPI and net banking.
- Uninstall the app. Then run a scan from Play Protect in the Play Store.
- From a different, safe device, change your net banking password and UPI PIN once your bank confirms it's safe to do so.
If you got the message but didn't install anything
Report it on the Department of Telecommunications' Chakshu facility on Sanchar Saathi. It accepts suspected fraud calls, SMS and WhatsApp messages, including KYC-update and government-impersonation messages. The page asks you to report within 30 days. Chakshu is for suspected fraud messages. If money has already gone, use 1930 or cybercrime.gov.in instead. Our Sanchar Saathi page links the official app.
Troubleshooting and edge cases
"The message really looks like it's from my bank." Ignore the link. Open your bank's app or website the way you normally do, or call its official number. UCO Bank's first rule is to use official channels for anything about government IDs or banking.
"Play Protect is warning me about an app I want." For anything to do with money, don't override the warning. Delete the file and get the app from Google Play.
"It was an .exe file on my computer, not my phone." The same fraud is sent as Windows files. Before you open any installer, read how to spot fake download sites and check the file's digital signature.
"I only opened the chat, I didn't install it." Receiving a file doesn't install it. Delete the message and report it on Chakshu.
हिंदी में
WhatsApp पर नकली UPI या बैंक APK? कैसे पहचानें, और इंस्टॉल हो गया हो तो क्या करें
WhatsApp, Telegram या SMS पर आई कोई APK फ़ाइल जो आपके बैंक, किसी UPI ऐप या सरकारी दफ़्तर की होने का दावा करे, अक्सर 'KYC update' या 'PAN/Aadhaar update' वाले मैसेज के साथ, उसे धोखाधड़ी ही मानें। UCO Bank की सिक्योरिटी एडवाइज़री ठीक यही तरीका बताती है: इंस्टॉल होते ही ऐसा ऐप OTP और PIN वाले मैसेज पढ़ सकता है और अपराधी आपके खाते से पैसे निकाल सकते हैं। बैंकिंग और UPI ऐप सिर्फ़ Google Play या App Store से इंस्टॉल करें। पैसे कट गए हों, तो तुरंत 1930 पर कॉल करें या cybercrime.gov.in पर शिकायत करें।
सीधा जवाब
असली बैंक और UPI ऐप आपको अपना ऐप फ़ाइल बनाकर नहीं भेजते। अगर चैट में या SMS के लिंक से कोई .apk (या Windows की .exe) फ़ाइल आए और कहे कि KYC, PAN या Aadhaar अपडेट करने, इनाम पाने या खाता बंद होने से बचाने के लिए इसे इंस्टॉल करें, तो उसे न खोलें।
UCO Bank की सिक्योरिटी एडवाइज़री नंबर 115 (24 नवंबर 2023) बताती है कि यह धोखाधड़ी कैसे होती है:
- धोखेबाज़ ख़ुद को सरकारी अधिकारी बताकर PAN, Aadhaar या KYC अपडेट के नाम पर लोगों से संपर्क करते हैं।
- फिर वे बिना जाँचा हुआ ऐप, यानी ".APK" या ".EXE" फ़ाइल, डाउनलोड करने को कहते हैं।
- इंस्टॉल होते ही यह ख़तरनाक ऐप OTP और PIN वाले मैसेज पढ़ सकता है।
- फ़ोन पर क़ब्ज़ा होने के बाद अपराधी बिना इजाज़त लेन-देन करते हैं और खाते से पैसे निकाल लेते हैं।
सात ख़तरे के संकेत
- ऐप फ़ाइल या लिंक के रूप में आया है, Google Play या App Store से नहीं। UCO Bank की सलाह है कि बिन माँगे कॉल, मैसेज, WhatsApp या Telegram पर भेजे गए ऐप और लिंक से दूर रहें।
- दबाव और समय-सीमा: "आज आपका खाता बंद हो जाएगा", "अभी KYC अपडेट करें"।
- भेजने वाला ख़ुद को सरकारी अफ़सर या बैंक अधिकारी बताता है और पहला संपर्क वही करता है।
- फ़ोन ख़ुद चेतावनी देता है। अनजान स्रोत से ऐप इंस्टॉल करने से पहले Android इजाज़त माँगता है, और Google Play Protect ख़तरनाक ऐप के बारे में चेतावनी देता है। इस चेतावनी को रुकने का इशारा मानें।
- ऐप ऐसी अनुमतियाँ माँगता है जिनकी उसे ज़रूरत नहीं, ख़ासकर SMS की, या कोई ऐसी अनुमति जिससे फ़ोन दूर से चलाया जा सके। UCO Bank कहता है कि रिमोट एक्सेस देने वाली अनुमति कभी न दें।
- कोई आपसे screen-sharing या SMS-forwarding ऐप इंस्टॉल करने को कहता है। NPCI का UPI Safety Shield कहता है कि अनजान व्यक्ति के कहने पर ऐसे ऐप डाउनलोड न करें।
- पैसे पाने के लिए UPI PIN डालने को कहा जाता है। NPCI के मुताबिक़ PIN सिर्फ़ पैसे भेजने के लिए चाहिए, पाने के लिए कभी नहीं।
बैंकिंग या UPI ऐप सुरक्षित तरीके से कैसे इंस्टॉल करें
- Google Play या App Store ख़ुद खोलें और ऐप खोजें। किसी के भेजे लिंक पर टैप न करें।
- Install दबाने से पहले developer का नाम देखें। जैसे, Play पर PhonePe का developer "PhonePe" है, Google Pay का "Google LLC", और BHIM का "National Payments Corporation of India (NPCI)"। हमारे PhonePe, Google Pay और BHIM पेज देखें।
- Google Play Protect चालू रखें। Play Store ऐप में अपने profile icon पर टैप करें, फिर Play Protect, फिर Settings, और देखें कि Scan apps with Play Protect चालू है। Google के मुताबिक़ यह डिफ़ॉल्ट रूप से चालू रहता है।
- UCO Bank की सलाह के मुताबिक़ ऐप को सिर्फ़ वही अनुमतियाँ दें जो सच में ज़रूरी हों, और फ़ोन का सॉफ़्टवेयर व ऐप अपडेट रखें।
अगर ऐप इंस्टॉल हो चुका है
- पैसे कट गए, या कोई ऐसा लेन-देन दिखा जो आपने नहीं किया? तुरंत साइबर क्राइम हेल्पलाइन 1930 पर कॉल करें या cybercrime.gov.in पर शिकायत दर्ज करें। जिनके पैसे जा चुके हैं, उन्हें Sanchar Saathi पोर्टल भी यही सलाह देता है।
- अपने कार्ड, पासबुक या बैंक की आधिकारिक वेबसाइट पर दिए नंबर पर बैंक को फ़ोन करें और कार्ड, UPI और नेट बैंकिंग ब्लॉक करवाएँ।
- ऐप अनइंस्टॉल करें। फिर Play Store में Play Protect से स्कैन चलाएँ।
- बैंक के कहने पर किसी दूसरे, सुरक्षित डिवाइस से नेट बैंकिंग पासवर्ड और UPI PIN बदलें।
मैसेज आया, पर कुछ इंस्टॉल नहीं किया
दूरसंचार विभाग की Chakshu सुविधा पर, जो Sanchar Saathi पर है, इसकी रिपोर्ट करें। वहाँ संदिग्ध धोखाधड़ी वाली कॉल, SMS और WhatsApp मैसेज की शिकायत होती है, जिनमें KYC अपडेट और सरकारी अधिकारी बनकर भेजे गए मैसेज भी शामिल हैं। पेज के मुताबिक़ 30 दिन के भीतर रिपोर्ट करें। Chakshu संदिग्ध मैसेज के लिए है। अगर पैसे जा चुके हैं, तो 1930 या cybercrime.gov.in इस्तेमाल करें। हमारे Sanchar Saathi पेज पर आधिकारिक ऐप का लिंक है।
समस्या और ख़ास स्थितियाँ
"मैसेज बिल्कुल मेरे बैंक जैसा लगता है।" लिंक को अनदेखा करें। बैंक का ऐप या वेबसाइट वैसे ही खोलें जैसे रोज़ खोलते हैं, या उसके आधिकारिक नंबर पर कॉल करें। UCO Bank का पहला नियम है: सरकारी पहचान पत्र या बैंकिंग से जुड़ा कोई भी काम सिर्फ़ आधिकारिक चैनल से करें।
"जो ऐप मुझे चाहिए, उस पर Play Protect चेतावनी दे रहा है।" पैसे से जुड़े किसी भी ऐप के लिए चेतावनी को नज़रअंदाज़ न करें। फ़ाइल डिलीट करें और ऐप Google Play से लें।
"फ़ाइल फ़ोन पर नहीं, कंप्यूटर पर .exe के रूप में आई थी।" यही धोखाधड़ी Windows फ़ाइलों के रूप में भी भेजी जाती है। कोई भी इंस्टॉलर खोलने से पहले नकली डाउनलोड साइट कैसे पहचानें और फ़ाइल का डिजिटल सिग्नेचर कैसे जाँचें पढ़ें।
"मैंने सिर्फ़ चैट खोली थी, इंस्टॉल नहीं किया।" फ़ाइल आ जाने भर से वह इंस्टॉल नहीं होती। मैसेज डिलीट करें और Chakshu पर रिपोर्ट करें।
Frequently asked questionsअक्सर पूछे जाने वाले सवाल
- Can an APK steal money just by being downloaded?
- The danger starts when you install and open it and grant its permissions. UCO Bank's advisory describes malicious apps reading OTP and PIN messages after installation. Don't install APKs that arrive in chats.
- क्या APK सिर्फ़ डाउनलोड होने से पैसे चुरा सकता है?
- ख़तरा तब शुरू होता है जब आप उसे इंस्टॉल करके खोलते हैं और उसे अनुमतियाँ देते हैं। UCO Bank की एडवाइज़री बताती है कि इंस्टॉल होने के बाद ख़तरनाक ऐप OTP और PIN वाले मैसेज पढ़ लेते हैं। चैट में आए APK इंस्टॉल न करें।
- Where do I report a fake KYC or bank APK message?
- If you haven't lost money, report the message on Chakshu at sancharsaathi.gov.in within 30 days. If money has been taken, call 1930 or file a complaint at cybercrime.gov.in, and call your bank.
- नकली KYC या बैंक APK वाले मैसेज की शिकायत कहाँ करें?
- अगर पैसे नहीं गए हैं, तो 30 दिन के भीतर sancharsaathi.gov.in पर Chakshu में मैसेज की रिपोर्ट करें। अगर पैसे निकल गए हैं, तो 1930 पर कॉल करें या cybercrime.gov.in पर शिकायत दर्ज करें, और अपने बैंक को फ़ोन करें।
- Do I need my UPI PIN to receive money?
- No. NPCI says you enter your UPI PIN only to send money from your account. Anyone asking for your PIN so you can 'receive' a payment is trying to take money from you.
- क्या पैसे पाने के लिए UPI PIN चाहिए?
- नहीं। NPCI के मुताबिक़ UPI PIN सिर्फ़ अपने खाते से पैसे भेजने के लिए डाला जाता है। जो भी 'पेमेंट पाने' के लिए आपका PIN माँगे, वह आपसे पैसे लेने की कोशिश कर रहा है।
- How do I know a UPI app on Google Play is the real one?
- Check the developer name under the app title: 'PhonePe' for PhonePe, 'Google LLC' for Google Pay, 'National Payments Corporation of India (NPCI)' for BHIM. Look-alike apps use similar names and icons.
- Google Play पर कौन-सा UPI ऐप असली है, यह कैसे पता करें?
- ऐप के नाम के नीचे developer का नाम देखें: PhonePe के लिए 'PhonePe', Google Pay के लिए 'Google LLC', BHIM के लिए 'National Payments Corporation of India (NPCI)'। नकली ऐप मिलते-जुलते नाम और आइकन इस्तेमाल करते हैं।
Sources
Free online tools for this
On our sister site MuftTools.in, made by DVM Techno, the team behind ToolsBharat. They run in your browser, with nothing to install.