Modus Penipuan File APK di WhatsApp dan Pencegahannya

APK (Android Package Kit) adalah format file pemasang aplikasi Android. Dalam penipuan lewat WhatsApp, file ini sengaja dinamai seperti dokumen biasa, misalnya "Undangan Pernikahan", "Foto Paket", atau "Surat Tagihan", padahal isinya aplikasi yang bisa membaca SMS dan notifikasi di HP korban.

Begitu aplikasi itu terpasang dan diberi izin, pelaku bisa melihat kode OTP yang masuk, lalu memakainya untuk masuk ke mobile banking, dompet digital, atau akun WhatsApp korban sendiri. Akun WhatsApp yang dibajak kemudian dipakai menyebarkan file yang sama ke kontak korban, sehingga penipuan terus berantai.

Seperti apa modusnya di Indonesia?

Polanya berganti-ganti mengikuti momen, tapi strukturnya sama: pesan yang terasa mendesak atau personal, plus file yang harus dibuka.

Undangan pernikahan atau acara

Pesan berisi ucapan singkat dan file bernama undangan. Karena undangan digital memang umum, korban tidak curiga. Bedanya, undangan asli biasanya berupa gambar, PDF, atau tautan situs undangan, bukan file berakhiran .apk.

Kurir dan resi paket

Pelaku mengaku kurir yang kesulitan menemukan alamat, lalu mengirim "foto paket" atau "cek resi" dalam bentuk APK. Modus ini mengena karena banyak orang memang sedang menunggu kiriman.

Tagihan, pajak, atau surat resmi

File dinamai seperti tagihan listrik, surat tilang, pemberitahuan pajak, atau informasi bantuan sosial. Nada pesannya formal dan sering mengancam denda bila tidak segera dibuka.

Lowongan kerja dan aplikasi undian

Ada juga varian yang menawarkan pekerjaan atau hadiah dan meminta korban memasang "aplikasi resmi" dari file yang dikirim.

Apa yang dicuri aplikasi palsu itu?

Setelah dipasang, aplikasi biasanya meminta izin yang tidak masuk akal untuk sebuah undangan: membaca dan mengirim SMS, akses notifikasi, aksesibilitas, atau menjadi aplikasi SMS bawaan. Izin ini yang dipakai untuk mencuri.

Kode OTP dan SMS

Dengan izin SMS atau notifikasi, aplikasi bisa meneruskan kode OTP dari bank, dompet digital, atau marketplace ke pelaku. Ini alasan OTP lewat SMS saja tidak cukup kuat, seperti dibahas di 2FA aplikasi vs SMS OTP.

Akses ke aplikasi bank dan layar

Izin aksesibilitas memberi kemampuan membaca isi layar dan menekan tombol atas nama pengguna. Pada sebagian kasus, ini dipakai untuk melihat data login atau menjalankan transaksi.

Akun WhatsApp dan kontak

Pelaku bisa memindahkan WhatsApp korban ke perangkat lain dengan OTP yang dicuri, lalu menyebarkan file yang sama ke kontak dan grup.

Perbandingan file aman dan file yang patut dicurigai

Kapan perlu panik, kapan cukup waspada?

Kalau kamu hanya menerima file dan tidak membukanya, kamu aman. Hapus pesannya, laporkan nomornya di WhatsApp, dan beri tahu pemilik akun bila pengirimnya kontak yang kamu kenal, karena kemungkinan akunnya sudah dibajak.

Kalau file sempat dibuka tapi kamu membatalkan saat muncul tombol instal, risikonya kecil. Pastikan tidak ada aplikasi baru di daftar aplikasi.

Situasinya serius bila aplikasi sudah terpasang, apalagi bila kamu sempat memberi izin SMS, notifikasi, atau aksesibilitas. Tanda yang perlu dicek:

• Ada aplikasi baru dengan nama atau ikon asing, kadang ikonnya disembunyikan.
• SMS OTP masuk padahal kamu tidak sedang login atau bertransaksi.
• Baterai dan kuota terkuras tidak wajar.
• Teman melapor menerima file aneh dari nomormu.
• Notifikasi transaksi yang tidak kamu lakukan.

Langkah pemulihan bila sudah terpasang

Urutan berikut membantu membatasi kerugian:

1. Matikan data seluler dan Wi-Fi, atau aktifkan mode pesawat, agar aplikasi berhenti mengirim data.
2. Hubungi bank lewat nomor resmi di kartu atau situsnya, minta blokir akses mobile banking dan kartu sementara. Gunakan HP lain bila perlu.
3. Copot aplikasi mencurigakan. Bila tidak bisa dicopot, cabut dulu izin administrator perangkatnya di pengaturan keamanan. Bila tetap gagal, lakukan reset pabrik setelah data penting dicadangkan.
4. Ganti password email, mobile banking, dompet digital, dan marketplace dari perangkat lain yang bersih.
5. Amankan WhatsApp: aktifkan verifikasi dua langkah dengan PIN, dan keluarkan perangkat tertaut yang tidak dikenal.
6. Kabari kontak agar tidak membuka file dari nomormu.
7. Simpan bukti berupa tangkapan layar chat dan notifikasi transaksi, untuk laporan ke bank dan pihak berwenang.

Untuk pencegahan jangka panjang, cek menu "Instal aplikasi tidak dikenal" di pengaturan Android (letak persisnya beda antarmerek HP) dan pastikan WhatsApp, browser, serta aplikasi pengelola file tidak diberi izin itu. Biarkan Google Play Protect tetap aktif. Pola penipuannya mirip phishing pada umumnya, jadi kebiasaan di cara mengenali phishing juga berlaku di sini.