Meta dan anak perusahaannya, WhatsApp, kembali membunyikan alarm peringatan keras bagi para penggunanya di seluruh dunia, baik di ekosistem Android maupun iPhone (iOS).
Ratusan pengguna dilaporkan telah menjadi korban penyadapan setelah tidak sengaja mengunduh aplikasi WhatsApp palsu yang ternyata memuat perangkat lunak pengintai (spyware).
Ancaman ini menjadi perhatian serius karena pelaku tidak membobol sistem inti WhatsApp, melainkan menargetkan titik terlemah dalam keamanan siber: kelengahan pengguna.
Berdasarkan hasil identifikasi proaktif oleh tim keamanan WhatsApp, serangan ini digerakkan melalui spyware yang dibuat oleh ASIGINT, sebuah perusahaan intelijen siber yang juga merupakan anak usaha dari grup SIO Spa asal Italia.
Perusahaan pembuat spyware ini diketahui kerap mendistribusikan aplikasi palsu dan menargetkan pengguna secara spesifik. Setidaknya, terdapat sekitar 200 pengguna, sebagian besar berlokasi di Italia, yang teridentifikasi telah menjadi korban dan mengunduh aplikasi berbahaya ini.
WhatsApp menegaskan bahwa pihaknya telah menindaklanjuti kasus ini dengan memutus atau mengeluarkan (log out) akun-akun yang terdampak serta mengirimkan peringatan langsung kepada para korban mengenai risiko privasi yang sedang mereka hadapi. WhatsApp juga berencana menempuh jalur hukum agar SIO segera menghentikan aktivitas berbahayanya.
Modus Operandi
Penting untuk dicatat bahwa spyware ini tidak mengeksploitasi kerentanan atau kebocoran data dari aplikasi WhatsApp resmi. Infrastruktur maupun sistem enkripsi WhatsApp dipastikan tetap aman.
Pelaku kejahatan siber menggunakan teknik rekayasa sosial (social engineering) untuk memanipulasi kepanikan atau rasa percaya korban. Korban umumnya dipancing melalui tautan phishing via obrolan, email, atau situs web mencurigakan agar mau mengunduh aplikasi tiruan dari luar toko aplikasi resmi (sideloading).
Aplikasi palsu ini dirancang sedemikian rupa agar tampilan antarmukanya (user interface) identik dengan aplikasi WhatsApp asli.
Ancaman Privasi Tanpa Enkripsi ‘End-to-End’
Risiko yang ditimbulkan oleh aplikasi WhatsApp palsu ini sangat masif. Berbeda dengan versi resminya, aplikasi tiruan buatan hacker sama sekali tidak didukung oleh sistem keamanan enkripsi end-to-end (ujung-ke-ujung).
Tanpa adanya perlindungan tersebut, spyware yang tertanam dapat memberikan akses tak terbatas bagi peretas. Pelaku dapat memata-matai seluruh riwayat obrolan (chat), mencuri data pribadi, menyedot kredensial login, hingga mendapatkan akses langsung ke sistem perangkat dan layanan lainnya di dalam ponsel pintar korban.
Tanda-Tanda Aplikasi WhatsApp Palsu
Untuk menghindari jebakan spyware ini, pengguna diimbau untuk mewaspadai beberapa indikator aplikasi palsu berikut:
-
Aplikasi diunduh dari tautan pesan, email, atau situs web pihak ketiga yang tidak jelas asal-usulnya.
-
Nama pengembang (developer) di profil aplikasi tidak sesuai dengan penerbit resmi, yakni WhatsApp LLC atau Meta Platforms.
-
Aplikasi meminta izin akses (permissions) yang berlebihan dan tidak relevan sesaat setelah diinstal.
-
Tampilan halaman antarmuka saat login atau verifikasi terasa berbeda dan tidak lazim dari biasanya.
-
Meminta pengguna untuk mematikan atau menonaktifkan sistem proteksi keamanan pada ponsel agar instalasi bisa dilanjutkan.
Langkah Mitigasi dan Pengamanan Diri
Seiring dengan berlakunya regulasi seperti Digital Markets Act di Uni Eropa yang mulai melonggarkan aturan sideloading untuk pengguna iPhone, kehati-hatian pengguna menjadi tameng paling utama. Meta merekomendasikan langkah-langkah keamanan preventif berikut:
-
Gunakan Jalur Resmi: Selalu unduh dan perbarui aplikasi WhatsApp secara eksklusif hanya melalui toko aplikasi resmi, seperti Google Play Store (untuk Android) dan Apple App Store (untuk iOS). Hindari penggunaan file APK modifikasi atau marketplace pihak ketiga.
-
Abaikan Tautan Mencurigakan: Jangan pernah mengklik tautan instalasi aplikasi apa pun yang dikirim oleh nomor yang tidak dikenal.
-
Aktifkan Verifikasi Dua Langkah (2FA): Tambahkan lapisan keamanan ganda pada akun Anda melalui menu pengaturan WhatsApp.
-
Cek Perangkat Tertaut: Secara berkala, periksa fitur “Perangkat Tertaut” (Linked Devices) di dalam aplikasi dan segera cabut akses (logout) jika menemukan perangkat asing yang tidak Anda kenali.
WhatsApp resmi dipastikan tetap aman, namun keamanan data dan perangkat pada akhirnya sangat bergantung pada literasi digital pengguna agar tidak mudah teperdaya oleh modus aplikasi palsu.
