1 day ago
2
Kasus viral akun WhatsApp diblokir lalu menyebar link judi memicu spekulasi serangan zero-click.(Dok. Threads)
KEAMANAN data pribadi kembali menjadi sorotan setelah sebuah kasus dugaan pembajakan akun WhatsApp viral di media sosial Threads. Pengguna melaporkan akunnya tiba-tiba diblokir, namun setelah akses dipulihkan, akun tersebut justru mengirimkan pesan massal berisi tautan judi online.
Fenomena ini memicu spekulasi mengenai penggunaan metode serangan siber tingkat tinggi yang dikenal sebagai zero-click attack.
Berdasarkan kronologi yang dibagikan, korban mendapati notifikasi "Akun ini tidak bisa menggunakan WhatsApp" pada 22 Juli 2026. Meski akses berhasil dipulihkan melalui proses peninjauan resmi pada malam harinya, keesokan pagi akun tersebut secara otomatis menyebarkan pesan spam.
Kejanggalan utama terletak pada pengakuan korban yang merasa tidak pernah mengeklik tautan mencurigakan, tidak menerima SMS OTP asing, serta menggunakan perangkat iPhone dengan sistem keamanan tertutup.
Mengenal Spekulasi Serangan Zero-Click
Istilah zero-click merujuk pada kemampuan peretas untuk mengeksploitasi celah keamanan tanpa memerlukan interaksi apa pun dari korban, seperti mengeklik tautan atau mengunduh lampiran. Dalam konteks WhatsApp, kerentanan semacam ini memang pernah tercatat dalam sejarah keamanan siber.
Pada 2025, ditemukan kerentanan berkode CVE-2025-55177 yang menyerang versi lama WhatsApp di ekosistem Apple (iOS dan Mac). Namun, para pakar keamanan menekankan bahwa serangan zero-click biasanya bersifat sangat terarah (targeted) dan berbiaya mahal, umumnya digunakan untuk spionase tingkat tinggi, bukan sekadar menyebarkan promosi judi secara massal.
Hingga saat ini, belum ada bukti teknis yang mengonfirmasi bahwa kasus viral tersebut disebabkan oleh zero-click. WhatsApp sendiri telah menambal celah keamanan tahun 2025 melalui pembaruan aplikasi rutin.
Analisis Akses tanpa OTP SMS
Banyak pengguna berasumsi bahwa tanpa adanya SMS OTP (One-Time Password), akun mereka mustahil diakses orang lain. Namun, terdapat beberapa celah teknis yang memungkinkan peretas masuk tanpa memicu pengiriman kode SMS baru:
- Penyalahgunaan Fitur Perangkat Tertaut: Pelaku mungkin telah berhasil menautkan perangkat mereka melalui WhatsApp Web atau aplikasi desktop sebelumnya. Ini bisa terjadi jika korban terjebak situs phishing yang menyerupai "Pusat Keamanan WhatsApp" dan diminta memindai kode QR.
- Phishing Terstruktur: Hong Kong Computer Emergency Response Team (HKCERT) pada Juni 2026 memperingatkan adanya kampanye phishing masif yang mengarahkan pengguna ke situs palsu untuk mencuri sesi login.
- Kompromi Sesi (Session Hijacking): Jika perangkat komputer yang pernah digunakan untuk WhatsApp Web terinfeksi malware, peretas dapat mengambil alih sesi aktif tanpa perlu login ulang.
Langkah Mitigasi dan Pengamanan Akun
Kasus ini menunjukkan bahwa pemulihan akun setelah pemblokiran tidak menjamin keamanan total. Pengguna disarankan untuk melakukan langkah-langkah berikut guna memastikan tidak ada "penumpang gelap" di akun mereka:
| Cek Perangkat Tertaut | Mengeluarkan (log out) semua sesi asing di WhatsApp Web/Desktop. |
| Verifikasi Dua Langkah | Menambah lapisan PIN tambahan saat mendaftarkan ulang nomor. |
| Update OS & Aplikasi | Menutup celah keamanan (patch) yang mungkin dieksploitasi. |
Komitmen Meta Terhadap Jaringan Scam
Di sisi lain, Meta selaku induk perusahaan WhatsApp terus menggencarkan operasi terhadap jaringan penipuan terorganisasi. Sepanjang tahun 2025 hingga pertengahan 2026, jutaan akun dan iklan penipuan telah dihapus.
Pada Maret 2026, kolaborasi antara Meta, FBI, dan Kepolisian Thailand bahkan berhasil melumpuhkan jaringan scam center di Asia Tenggara dengan menonaktifkan 150.000 akun terkait.
Meskipun Meta terus memperketat pengawasan, kewaspadaan individu tetap menjadi garda terdepan. Pengguna diingatkan untuk tidak pernah memberikan kode verifikasi, PIN, atau memindai kode QR dari sumber yang tidak dikenal, meskipun pesan tersebut tampak datang dari pusat bantuan resmi. (Whatsapp/HKCERT/About Facebook/Z-10)
