Meta dilaporkan memperingatkan pengguna WhatsApp soal aplikasi palsu yang menyamar sebagai versi resmi untuk memata-matai korban. Ancaman ini disebut menyasar sekitar 200 pengguna Android dan iPhone, dengan fokus utama di Italia.
Peringatan itu penting karena serangan tidak disebut berasal dari celah pada aplikasi resmi WhatsApp. Meta menegaskan risiko justru muncul ketika pengguna mengunduh aplikasi dari sumber tidak resmi atau melakukan sideload aplikasi yang tampak seperti WhatsApp.
Meta sebut aplikasi palsu dipakai untuk memata-matai pengguna
Berdasarkan pernyataan yang dikutip kantor berita ANSA di Italia, Meta mengatakan aplikasi WhatsApp palsu digunakan untuk mengintai korban dan mengakses data mereka. Perusahaan juga disebut telah memutus akun yang terdampak dan memberi tahu korban mengenai risiko privasi dan keamanan yang mereka hadapi.
Laporan itu menyebut spyware tersebut dibuat oleh Asigint, perusahaan yang berada dalam grup Sio Spa yang berbasis di Cantu, Italia. Meta menduga pelaku memakai teknik social engineering untuk menipu “sejumlah terbatas pengguna” agar mengunduh aplikasi berbahaya yang menyamar sebagai WhatsApp resmi.
Social engineering biasanya bekerja dengan memanfaatkan rasa percaya atau kepanikan korban. Pelaku dapat mengirim tautan, instruksi instalasi, atau halaman unduhan palsu yang dibuat menyerupai layanan resmi.
Bukan kebocoran dari aplikasi resmi WhatsApp
Media La Repubblica melaporkan Meta mengeklaim spyware ini tidak mengeksploitasi kerentanan inheren di WhatsApp. Artinya, aplikasi resmi WhatsApp tetap dinilai aman digunakan selama diunduh dari toko aplikasi atau platform yang telah diverifikasi.
Meta juga dilaporkan menyatakan perusahaan tidak sedang mengalami pelanggaran pada aplikasi resmi WhatsApp, infrastruktur, maupun sistem enkripsinya. Penegasan ini penting karena banyak pengguna kerap mengira semua serangan yang mengatasnamakan WhatsApp berarti sistem inti aplikasi telah dibobol.
WhatsApp sendiri baru-baru ini memperkenalkan alat perlindungan baru untuk menghadapi penipuan dan fraud. Salah satunya adalah sistem peringatan tautan perangkat, yang dirancang untuk memberi tahu pengguna jika ada upaya mencurigakan untuk mengambil alih akun dari jarak jauh.
Mengapa aplikasi palsu ini berbahaya
Risiko terbesar dari aplikasi palsu bukan hanya pengambilalihan akun. Jika aplikasi itu memang berfungsi sebagai spyware, pelaku dapat memperoleh akses luas ke isi perangkat dan aktivitas komunikasi korban.
Meta menilai aplikasi palsu tersebut berpotensi memberi akses tak terbatas ke chat pengguna. Berbeda dengan WhatsApp resmi, aplikasi tiruan itu tidak mendukung end-to-end encryption yang memastikan hanya pengirim dan penerima yang bisa membaca isi pesan.
Tanpa perlindungan enkripsi tersebut, data percakapan menjadi jauh lebih mudah diakses oleh pihak yang tidak berwenang. Selain chat, spyware juga bisa membuka jalan ke data pribadi lain, termasuk kredensial, informasi sensitif, dan kemungkinan akses ke layanan lain di perangkat.
Pengguna Android dan iPhone sama-sama perlu waspada
Kasus ini relevan untuk pengguna Android maupun iPhone. Android sudah lama mengizinkan pemasangan aplikasi di luar toko resmi, sementara iPhone di negara-negara Uni Eropa kini juga mendapat opsi sideload dan marketplace pihak ketiga setelah perubahan aturan di bawah Digital Markets Act.
Aturan itu diterapkan di 27 negara Uni Eropa dan mendorong Apple membuka distribusi aplikasi di luar App Store. Di sisi lain, perubahan ini juga meningkatkan pentingnya literasi keamanan digital karena jalur distribusi aplikasi menjadi lebih beragam.
Meta karena itu mendorong pengguna di Uni Eropa untuk mengunduh WhatsApp hanya dari platform yang telah diverifikasi. Langkah tersebut menjadi cara paling sederhana untuk mengurangi risiko memasang aplikasi palsu yang tampilannya meyakinkan.
Tanda-tanda aplikasi WhatsApp palsu yang patut dicurigai
Beberapa ciri berikut dapat membantu pengguna mengenali risiko lebih awal:
- Aplikasi diunduh dari tautan chat, email, atau situs yang tidak dikenal.
- Nama pengembang tidak sesuai dengan penerbit resmi WhatsApp.
- Aplikasi meminta izin yang tidak relevan sejak awal pemasangan.
- Tampilan login atau verifikasi terasa berbeda dari aplikasi resmi.
- Pengguna diminta menonaktifkan proteksi sistem agar instalasi bisa lanjut.
Tanda-tanda itu tidak selalu muncul bersamaan. Namun satu indikator saja sudah cukup untuk membuat pengguna menunda instalasi dan memeriksa ulang sumber unduhan.
Langkah aman untuk pengguna
Agar akun dan perangkat tetap terlindungi, pengguna dapat mengikuti langkah berikut:
- Unduh WhatsApp hanya dari Google Play Store, App Store, atau kanal resmi yang diverifikasi.
- Hindari file APK, profil instalasi, atau marketplace yang tidak jelas asal-usulnya.
- Aktifkan verifikasi dua langkah pada WhatsApp.
- Periksa peringatan tautan perangkat dan segera cabut perangkat yang tidak dikenali.
- Perbarui sistem operasi dan aplikasi keamanan secara rutin.
- Jangan klik tautan instalasi yang dikirim oleh pihak yang tidak dapat diverifikasi.
Meta disebut sedang menyiapkan peringatan resmi kepada perusahaan yang terkait dengan pembuatan spyware tersebut agar menghentikan aktivitas berbahaya. Bagi pengguna, pesan yang paling relevan tetap sama: aplikasi resmi WhatsApp masih aman, tetapi versi palsu yang dipasang dari sumber tak tepercaya dapat membuka akses ke chat, data pribadi, dan perangkat secara menyeluruh.
