Satu Klik Izin Aksesibilitas, Saldo Rekening Terbang Tanpa Sentuhan Tangan

HP boros baterai, tiba-tiba panas di kantong, dan kuota habis jauh lebih cepat dari biasanya. Banyak yang langsung menyalahkan usia baterai atau memori yang penuh. Padahal ada satu kemungkinan lain yang nyaris tidak pernah kepikiran: peneliti Bitdefender menemukan 60.000 aplikasi Android disusupi adware yang sudah beroperasi lebih dari enam bulan tanpa tertangkap, dan salah satunya bisa saja diam-diam menetap di perangkat kita sekarang juga.

HP Menunjukkan Gejala, Kita Menyalahkan Baterai Tua

Satu gejala saja tidak cukup untuk memvonis. Tapi ketika baterai cepat habis, perangkat panas tanpa aktivitas berat, performa mendadak melambat, dan pemakaian kuota merangkak naik datangnya hampir bersamaan, itu pola yang layak diperiksa. Harian Jogja merangkum sepuluh ciri infeksi spyware dari FTC, CISA, dan Google, dan yang menarik hampir semuanya adalah hal-hal yang biasa kita anggap HP sedang lelah biasa.

Indikator kamera atau mikrofon yang menyala tanpa alasan jauh lebih sulit diabaikan. Android 12 ke atas memunculkan titik hijau, sedangkan iOS 14 ke atas menampilkan titik oranye untuk mikrofon dan hijau untuk kamera. Kalau titik itu muncul saat layar sedang diam, bukan saat kita membuka aplikasi, itu bukan glitch sistem. Ada proses lain yang sedang bekerja di latar belakang.

Lalu ada tanda yang paling sering disepelekan, yaitu aplikasi asing. Malware pintar menyamarkan diri dengan nama seperti System Service supaya terlihat seperti layanan resmi. Kalau di daftar aplikasi muncul sesuatu yang tidak pernah kita instal, itu bukan hadiah dari sistem operasi.

Izin Aksesibilitas Adalah Pintu Brankas yang Kita Buka Sendiri

Sebagian besar malware modern akan lumpuh kalau kita cuma menolak satu izin, yaitu aksesibilitas. Sayangnya izin ini hampir selalu diklik asal karena dialognya menyatakan aplikasi butuh izin itu untuk berjalan normal. Padahal izin aksesibilitas pada dasarnya memberi aplikasi hak membaca dan mengendalikan seluruh antarmuka perangkat.

Kaspersky mendokumentasikan bagaimana trojan Zanubis bekerja. Setelah aplikasi palsu dipasang, layar memunculkan logo organisasi yang ditiru, lalu meminta izin aksesibilitas. Begitu izin diberikan, pelaku bisa membaca konten layar dan notifikasi, termasuk kata sandi, pesan, dan detail perbankan, tanpa harus menjebol enkripsi apa pun. Zanubis pertama muncul pada 2022 dengan menyamar sebagai pembaca PDF dan aplikasi instansi pemerintah, lalu pada 2025 bertransformasi menjadi aplikasi perusahaan energi dan aplikasi bank, dilengkapi pencatat tombol keyboard dan perekam layar.

Albiriox mengikuti pola yang sama. Pertama terdeteksi September 2025 di kanal Telegram tertutup, lalu Oktober 2025 dijual terbuka sebagai Malware-as-a-Service di forum kejahatan berbahasa Rusia. Tahap pertama infeksinya adalah dropper yang disembunyikan dengan teknik JSONPacker supaya lolos dari sistem keamanan. Tahap kedua, korban ditampilkan antarmuka pembaruan sistem palsu yang meminta izin instalasi dari sumber tidak dikenal.

Medusa atau TangleBot menambahkan lima kemampuan baru pada 2024, termasuk membuat layar seakan mati atau terkunci padahal malware tetap berjalan di latar belakang, mengambil tangkapan layar dari aplikasi yang sedang terbuka, dan mencopot aplikasi lain dari perangkat. Pengguna tidak akan tahu layarnya sedang dikendalikan dari jauh lewat server command and control.

Inti permasalahannya bukan seberapa canggih kodenya. Intinya adalah satu tombol Izinkan yang kita tekan sendiri tanpa membaca keterangannya.

Enkripsi End-to-End Tidak Pernah Dipecahkan, Pesan Dibaca di Layar

Banyak pengguna merasa aman karena WhatsApp, Telegram, dan Signal menggunakan enkripsi end-to-end. RRI merangkum temuan Google tentang trojan Sturnus, dan pola yang ditemukan cukup mengejutkan. Malware tidak perlu memecahkan enkripsi sedikit pun, karena pesan yang sudah didekripsi tetap harus ditampilkan dalam bentuk terbaca di layar supaya bisa dibaca. Di titik itu, semua perlindungan matematis jadi tidak relevan kalau aplikasi lain di perangkat yang sama punya akses untuk melihat layar yang sama.

Pencurian kode OTP menggunakan jalur yang lebih murah. Zimperium menemukan sekitar 2.600 bot Telegram yang menawarkan aplikasi Android bajakan gratis, dan lebih dari 107.000 sampel malware dibuat cuma untuk satu hal, yaitu membaca isi SMS. Kampanye ini sudah menargetkan pengguna Android di 113 negara.

Ada juga jebakan yang tidak butuh aplikasi sama sekali. BCA mengingatkan modus Fake BTS, perangkat ilegal yang meniru menara operator resmi sehingga SMS penipuan masuk dari nomor SMS bank yang asli. Karena nomornya sama dengan pengirim OTP resmi, korban hampir mustahil membedakan mana pesan resmi dan mana pesan penipu. Solusi yang disarankan adalah mengalihkan pengiriman kode OTP dari SMS ke aplikasi myBCA atau BCA mobile.

Mode Darurat Saat HP Sudah Dikuasai Orang Lain

Langkah pertama bukan menguninstall aplikasi yang terlihat mencurigakan, melainkan memutus koneksi internet. Matikan Wi-Fi dan data seluler untuk sementara. Akses pelaku ke perangkat dan ke server pengendalian langsung terputus, dan kita membeli waktu untuk berpikir jernih.

Setelah itu, amankan akun penting dari perangkat lain yang dipercaya aman. Ubah kata sandi email utama, aplikasi perbankan, dan WhatsApp, lalu aktifkan verifikasi dua langkah. WhatsApp punya enam pengaturan keamanan bawaan yang sering luput, mulai dari verifikasi dua langkah, kunci layar, hingga memeriksa daftar perangkat tertaut yang masih memiliki akses ke akun kita.

Selesai dari sana, baru periksa izin aplikasi melalui Pengaturan, Keamanan dan Privasi, lalu Manajer Izin. Tinjau kategori sensitif seperti kamera, mikrofon, lokasi, dan kontak. Aplikasi senter atau kalkulator yang meminta akses ke daftar kontak adalah anomali yang jelas. Lalu jalankan Google Play Protect, karena fitur ini memindai lebih dari 350 miliar aplikasi Android setiap hari.

Kalau gejala tidak hilang juga, reset pabrik tetap menjadi pilihan terakhir setelah data penting dicadangkan dan dipastikan bersih.

Mencegah Jauh Lebih Murah dari Memperbaiki

Hampir semua langkah pencegahannya membosankan dan sudah sering didengar. Pasang aplikasi hanya dari Google Play Store, jangan buka APK dari pesan nomor tidak dikenal, perbarui sistem operasi setiap ada pembaruan, dan audit izin aplikasi secara berkala. Instansi resmi, bank, dan perusahaan ekspedisi tidak pernah mengirim dokumen penting dalam format APK.

Modusnya memang terus berganti. Ada yang memakai akun WhatsApp palsu mencatut nama pejabat untuk meminta transfer RTGS, ada pula yang datang ke rumah korban mengaku HP-nya terlacak lewat Find My iPhone. Tapi semuanya memanfaatkan satu hal yang sama, yaitu kerepotan kita memverifikasi sebelum mempercayai sesuatu.

Keamanan perangkat pada akhirnya tidak ditentukan oleh antivirus paling mahal, melainkan oleh kebiasaan membaca sekilas dialog izin yang muncul di layar. Karena malware paling mahal pun harus menunggu satu hal dulu sebelum bisa menguras rekening, yaitu jari kita yang menekan tombol Izinkan.