Meta bersama WhatsApp mengeluarkan peringatan kepada pengguna di seluruh dunia, baik di perangkat Android maupun iPhone (iOS), terkait maraknya aplikasi WhatsApp palsu yang disusupi perangkat lunak pengintai (spyware). Ratusan pengguna dilaporkan menjadi korban penyadapan setelah tanpa sadar mengunduh aplikasi tiruan tersebut.
Dalam temuan tim keamanan WhatsApp, serangan ini tidak dilakukan dengan membobol sistem inti WhatsApp. Pelaku justru memanfaatkan kelengahan pengguna melalui teknik rekayasa sosial untuk mendorong korban memasang aplikasi dari sumber tidak resmi.
WhatsApp menyebut spyware yang digunakan dibuat oleh ASIGINT, perusahaan intelijen siber yang merupakan anak usaha dari grup SIO Spa asal Italia. Perusahaan tersebut disebut kerap mendistribusikan aplikasi palsu dan menargetkan pengguna secara spesifik. Sekitar 200 pengguna teridentifikasi terdampak, dengan mayoritas korban berada di Italia.
WhatsApp menyatakan telah menindaklanjuti kasus ini dengan memutus atau mengeluarkan (log out) akun-akun yang terdampak serta mengirimkan peringatan langsung kepada para korban mengenai risiko privasi yang dihadapi. Perusahaan juga berencana menempuh jalur hukum agar SIO menghentikan aktivitas tersebut.
Modus penyebaran melalui rekayasa sosial
WhatsApp menegaskan bahwa spyware ini tidak mengeksploitasi kerentanan pada aplikasi resmi maupun membocorkan data dari sistem WhatsApp. Infrastruktur dan sistem enkripsi WhatsApp disebut tetap aman.
Pelaku menyebarkan tautan phishing lewat obrolan, email, atau situs web mencurigakan untuk memancing korban mengunduh aplikasi tiruan dari luar toko aplikasi resmi (sideloading). Aplikasi palsu itu dibuat menyerupai WhatsApp asli, termasuk tampilan antarmuka (user interface), sehingga korban sulit membedakannya.
Risiko privasi karena tanpa enkripsi end-to-end
Aplikasi WhatsApp palsu tidak dilengkapi perlindungan enkripsi end-to-end sebagaimana versi resmi. Kondisi ini membuka peluang spyware untuk memberi akses luas kepada peretas, mulai dari memantau riwayat percakapan, mencuri data pribadi, mengambil kredensial login, hingga mengakses sistem perangkat dan layanan lain di ponsel korban.
Ciri-ciri aplikasi WhatsApp palsu
Pengguna diimbau mewaspadai sejumlah indikator yang kerap muncul pada aplikasi tiruan, antara lain:
1) Aplikasi diunduh melalui tautan dari pesan, email, atau situs web pihak ketiga yang tidak jelas asal-usulnya.
2) Nama pengembang pada profil aplikasi tidak sesuai dengan penerbit resmi, yakni WhatsApp LLC atau Meta Platforms.
3) Aplikasi meminta izin akses (permissions) berlebihan dan tidak relevan segera setelah dipasang.
4) Tampilan halaman login atau verifikasi terasa berbeda dan tidak lazim.
5) Aplikasi meminta pengguna menonaktifkan sistem proteksi keamanan ponsel agar instalasi bisa dilanjutkan.
Langkah mitigasi yang disarankan
Seiring perubahan regulasi seperti Digital Markets Act di Uni Eropa yang disebut mulai melonggarkan aturan sideloading untuk pengguna iPhone, kehati-hatian pengguna dinilai menjadi kunci. Meta merekomendasikan beberapa langkah pencegahan, yaitu mengunduh dan memperbarui WhatsApp hanya dari toko aplikasi resmi (Google Play Store untuk Android dan Apple App Store untuk iOS), mengabaikan tautan instalasi dari nomor tidak dikenal, mengaktifkan verifikasi dua langkah (2FA), serta rutin memeriksa menu “Perangkat Tertaut” (Linked Devices) dan mencabut akses jika menemukan perangkat asing.
WhatsApp menegaskan aplikasi resminya tetap aman. Namun, perlindungan data dan perangkat sangat bergantung pada literasi digital pengguna agar tidak terjebak modus aplikasi palsu.
