APK WhatsApp Bisa Jadi Modus Penipuan? Ini Faktanya

Pesan WhatsApp yang berisi file atau tautan menuju APK memang perlu diwaspadai. APK sendiri bukan berarti penipuan, karena APK merupakan paket aplikasi Android yang dapat digunakan untuk mendistribusikan dan memasang aplikasi pada perangkat Android. Aplikasi yang sah juga dapat didistribusikan dalam bentuk APK melalui berbagai jalur, termasuk website atau marketplace aplikasi.

Masalah muncul ketika pelaku menggunakan APK sebagai sarana untuk menyamarkan aplikasi berbahaya atau sebagai bagian dari skenario penipuan.

Android memiliki mekanisme keamanan untuk melindungi pengguna dari pemasangan aplikasi yang berasal dari sumber selain toko aplikasi tepercaya. Pada Android modern, pemasangan dari sumber tersebut umumnya memerlukan persetujuan pengguna untuk mengizinkan sumber tertentu memasang aplikasi.

Google Play Protect juga memeriksa aplikasi yang terpasang dari sumber lain, memberikan peringatan terhadap aplikasi yang berpotensi berbahaya, dan dalam kondisi tertentu dapat mencegah pemasangan atau menghapus aplikasi berbahaya.

Di Indonesia, modus penipuan menggunakan APK yang dikirim melalui WhatsApp juga pernah mendapat perhatian kepolisian. Pada 20 Maret 2023, TribrataNews Polda Sulawesi Tengah memberitakan imbauan Polres Banggai mengenai modus pesan WhatsApp yang mengatasnamakan surat tilang dan mengarahkan penerima untuk mengunduh aplikasi berformat APK. Polisi meminta masyarakat berhati-hati terhadap pesan dari pihak yang tidak dikenal.

Apa Itu APK?

APK adalah paket aplikasi yang dapat dipasang pada perangkat Android. Secara sederhana, APK dapat dianalogikan sebagai paket yang berisi komponen aplikasi yang diperlukan agar aplikasi dapat dipasang dan dijalankan pada perangkat Android.

Aplikasi Android dapat didistribusikan melalui Google Play maupun jalur lainnya. Android Developers juga menjelaskan bahwa pengembang dapat menyediakan APK melalui website atau server sendiri.

Karena itu, keberadaan file .apk tidak otomatis berarti file tersebut merupakan malware atau penipuan.

Yang perlu diperhatikan adalah siapa pengembangnya, dari mana file diperoleh, apakah distribusinya dapat diverifikasi, serta perilaku dan izin yang diminta aplikasi setelah dipasang.

Android menggunakan sistem sandbox untuk membatasi akses aplikasi terhadap sistem dan aplikasi lain. Secara default, aplikasi tidak memiliki akses bebas terhadap data atau fungsi aplikasi lain.

Mengapa APK yang Dikirim Lewat WhatsApp Perlu Diwaspadai?

WhatsApp merupakan salah satu sarana komunikasi yang dapat dimanfaatkan pelaku untuk melakukan social engineering. Pelaku dapat mengirim pesan yang dibuat seolah-olah berasal dari teman, perusahaan, kurir, instansi, atau pihak lain.

Social engineering adalah teknik manipulasi yang bertujuan mendorong seseorang melakukan tindakan tertentu atau memberikan informasi yang seharusnya tidak diberikan.

Pola semacam ini juga ditemukan dalam phishing. FTC memperingatkan bahwa penipu dapat mengirim pesan palsu yang mendorong korban mengeklik tautan, memberikan informasi pribadi atau finansial, maupun berinteraksi dengan layanan palsu. FTC juga mencatat bahwa pesan tertentu dapat digunakan untuk memasang malware yang mencuri informasi pribadi atau finansial.

Contohnya, seseorang dapat menerima pesan seperti:

“Ini surat tilang kamu, silakan buka aplikasinya.”

atau:

“Ada paket yang belum bisa dikirim. Instal aplikasi berikut untuk melihat detailnya.”

Pesan semacam itu dapat memanfaatkan urgensi, kekhawatiran, atau iming-iming tertentu agar korban bertindak tanpa melakukan verifikasi terlebih dahulu.

Karena itu, masalah utamanya bukan terletak pada ekstensi .apk semata, tetapi pada asal aplikasi, identitas pengembang, cara aplikasi didistribusikan, perilaku aplikasi, serta akses yang diminta setelah aplikasi dipasang.

Apakah Sekadar Klik APK Langsung Membuat Rekening Dibobol?

Tidak selalu.

Pernyataan seperti “sekali klik APK, rekening pasti langsung terkuras” terlalu menyederhanakan cara kerja serangan.

Perlu dibedakan antara menerima pesan, mengunduh file, membuka file, memasang aplikasi, menjalankan aplikasi, memberikan akses tertentu, dan kemudian memasukkan informasi sensitif atau melakukan transaksi.

Menerima atau mengunduh sebuah file APK tidak sama dengan menjalankan aplikasi tersebut. Risiko yang ditimbulkan juga bergantung pada jenis file, versi Android, pengaturan perangkat, mekanisme keamanan yang aktif, serta tindakan yang dilakukan pengguna.

Pada Android modern, pemasangan aplikasi dari sumber di luar toko aplikasi tepercaya umumnya memerlukan pengguna memberikan izin kepada sumber tersebut untuk memasang aplikasi. Android 8.0 dan versi lebih tinggi, misalnya, menggunakan pengaturan Install unknown apps untuk mengatur sumber mana yang diperbolehkan memasang aplikasi.

Selain itu, Android menggunakan sandbox dan sistem permission untuk membatasi akses aplikasi terhadap data dan fungsi sensitif. Beberapa akses membutuhkan persetujuan pengguna saat aplikasi berjalan, sementara akses tertentu termasuk kategori khusus dan memiliki mekanisme persetujuan tersendiri.

Setelah aplikasi berbahaya berhasil dipasang dan memperoleh akses yang dibutuhkan untuk melakukan aktivitas tertentu, risikonya dapat meningkat. Google Play Protect bahkan secara khusus menyebut adanya aplikasi dari sumber online seperti browser, aplikasi pesan, atau file manager yang dapat meminta akses sensitif dan berpotensi disalahgunakan untuk penipuan finansial.

Karena itu, lebih tepat jika dikatakan:

Menerima atau mengklik file APK tidak otomatis berarti rekening akan dibobol. Namun, memasang dan menjalankan APK mencurigakan dapat meningkatkan risiko keamanan, terutama jika aplikasi memperoleh akses sensitif atau pengguna kemudian memberikan informasi penting kepada pelaku.

APK Resmi dan APK Mencurigakan Itu Berbeda

Pembaca juga perlu memahami bahwa APK bukanlah jenis malware.

APK merupakan format paket aplikasi Android. Aplikasi yang sah juga dapat didistribusikan dalam bentuk APK. Android Developers menjelaskan bahwa pengembang dapat mendistribusikan APK melalui marketplace aplikasi maupun website atau server sendiri.

Yang perlu diperhatikan adalah apakah aplikasi tersebut berasal dari pengembang dan sumber distribusi yang dapat diverifikasi.

Google Play Protect juga tetap melakukan pemeriksaan terhadap aplikasi dari sumber lain. Fitur tersebut dapat memberikan peringatan, menonaktifkan, menghapus, atau dalam kondisi tertentu mencegah pemasangan aplikasi yang teridentifikasi berpotensi berbahaya.

Karena itu, pengguna sebaiknya tidak menggunakan aturan sederhana seperti:

“Semua APK berbahaya.”

Aturan yang lebih tepat adalah:

“Jangan memasang APK dari sumber yang tidak dapat diverifikasi, terutama jika file tersebut dikirim secara tiba-tiba dan disertai pesan yang mencurigakan atau mendesak.”

Jadi, Benarkah APK WhatsApp Bisa Menjadi Modus Penipuan?

Benar, tetapi APK-nya sendiri bukan penipuannya.

Pelaku dapat menggunakan APK sebagai bagian dari skenario penipuan untuk meyakinkan korban agar memasang aplikasi tertentu. Modus tersebut dapat digabungkan dengan phishing dan social engineering sehingga korban percaya bahwa aplikasi tersebut diperlukan untuk melihat surat tilang, menerima paket, membuka dokumen, mendapatkan hadiah, atau menyelesaikan masalah tertentu.

Salah satu contoh yang pernah mendapat perhatian kepolisian adalah modus pesan WhatsApp yang mengatasnamakan surat tilang dan mengarahkan penerima untuk mengunduh aplikasi berformat APK. Dalam pemberitaannya pada 20 Maret 2023, TribrataNews Sulteng mengimbau masyarakat agar tidak mudah percaya terhadap pesan semacam itu dan mewaspadai risiko kebocoran data.

Namun, kasus tersebut tidak seharusnya digunakan untuk menyimpulkan bahwa setiap orang yang sekadar mengeklik APK pasti langsung kehilangan saldo rekening. Dampak serangan bergantung pada aplikasi, perangkat, izin atau akses yang diperoleh, serta tindakan lanjutan yang dilakukan korban.

Dengan demikian, jangan panik hanya karena menerima file APK, tetapi jangan pula langsung memasangnya. Jika file datang tanpa diminta, berasal dari nomor atau pihak yang tidak dapat diverifikasi, atau disertai pesan yang mendesak, langkah yang lebih aman adalah tidak menginstalnya dan melakukan verifikasi melalui website, aplikasi, atau kontak resmi yang diketahui benar. FTC juga merekomendasikan agar pengguna tidak menggunakan informasi kontak yang tercantum dalam pesan mencurigakan ketika melakukan verifikasi.

Penutup

File APK yang dikirim melalui WhatsApp memang perlu diwaspadai, tetapi menerima atau mengeklik file APK tidak otomatis berarti perangkat atau rekening langsung dibobol. APK hanyalah format paket aplikasi Android yang juga dapat digunakan untuk aplikasi yang sah.

Risiko keamanan menjadi lebih serius ketika pengguna memasang dan menjalankan APK yang tidak dapat diverifikasi, terlebih jika aplikasi tersebut memperoleh akses sensitif atau pengguna kemudian memasukkan data pribadi, kredensial, maupun informasi finansial.

Karena itu, jangan menilai keamanan hanya dari ekstensi .apk. Perhatikan siapa yang mengirim file, dari mana aplikasi berasal, apakah identitas pengembang dapat diverifikasi, izin apa yang diminta, dan apakah pesan tersebut menggunakan pola yang mendesak atau mencurigakan.

Jika menerima APK secara tiba-tiba melalui WhatsApp, langkah paling aman adalah jangan langsung memasangnya. Lakukan verifikasi melalui sumber resmi sebelum mengambil tindakan apa pun.

Pada bagian berikutnya, kita akan membahas berbagai modus penipuan menggunakan APK yang sering ditemukan, mulai dari undangan pernikahan, resi paket, surat tilang, hingga dokumen palsu, serta bagaimana modus tersebut dapat menjerat korban.

Ingin mempelajari lebih banyak seputar web development, cloud computing, keamanan siber, server, hingga berbagai tren teknologi terbaru? Kunjungi blog Hosteko untuk mendapatkan artikel yang informatif, mudah dipahami, dan selalu diperbarui mengikuti perkembangan dunia digital.

Jangan lewatkan berbagai panduan, tips, serta tutorial yang dapat membantu Anda mengembangkan website, meningkatkan performa bisnis online, dan memperluas wawasan di bidang teknologi. Temukan artikel menarik lainnya hanya di Hosteko Blog dan terus ikuti informasi terbaru untuk mendukung perjalanan digital Anda.