Techfin Insight — Pengguna Android di Indonesia perlu lebih berhati-hati saat memasang aplikasi dan menyetujui permintaan pembaruan di ponsel. Perusahaan keamanan siber ThreatFabric mengungkap keberadaan Hirudo, malware yang dirancang untuk mencuri kredensial keuangan dan mengambil alih sebagian kendali perangkat. Dalam laporan yang diterbitkan pada 14 Oktober 2026, peneliti menemukan delapan aplikasi perbankan dari tujuh bank di Indonesia telah disiapkan versi penggantinya yang dimodifikasi.
Ancaman ini tidak sekadar mengandalkan halaman login palsu. Hirudo berupaya mengganti aplikasi mobile banking asli dengan salinan yang telah diubah untuk mengakali sejumlah pemeriksaan keamanan di dalam aplikasi. Kemampuannya juga mencakup pencurian PIN, kata sandi, SMS, serta pemantauan aktivitas perangkat. Meski demikian, temuan tersebut bukan bukti bahwa seluruh bank yang menjadi sasaran telah diretas atau semua nasabahnya sudah menjadi korban.
Bagi pengguna layanan perbankan digital, memahami cara kerja malware ini menjadi langkah awal untuk melindungi rekening dan data pribadi.
Malware Android Hirudo Menyebar Lewat Aplikasi Umpan
Menurut analisis ThreatFabric, Hirudo didistribusikan melalui aplikasi yang menyamar sebagai layanan belanja dan hiburan. Beberapa contoh aplikasi umpan yang diidentifikasi peneliti menggunakan tema toko daring, video, dan drama pendek, sehingga dapat terlihat seperti aplikasi biasa bagi pengguna.
Modus serangan berlanjut ketika aplikasi menampilkan permintaan pembaruan palsu. Pengguna kemudian diarahkan untuk memasang paket aplikasi tambahan yang membawa komponen berbahaya. Setelah terpasang dan memperoleh izin yang dibutuhkan, malware dapat menjalankan fungsi pencurian informasi maupun pengendalian perangkat dari jarak jauh.
Salah satu izin yang berisiko disalahgunakan adalah Accessibility atau Aksesibilitas Android. Fitur ini sebenarnya dibuat untuk membantu pengguna mengoperasikan perangkat, termasuk mereka yang membutuhkan bantuan aksesibilitas. Namun, jika diberikan kepada aplikasi berbahaya, izin tersebut dapat dimanfaatkan untuk membaca informasi pada layar dan menjalankan tindakan tertentu di perangkat.
Karena itu, permintaan memasang aplikasi tambahan dari luar sumber resmi atau memberikan izin yang tidak sesuai dengan fungsi aplikasi patut dicurigai. Pengguna sebaiknya tidak terburu-buru menekan tombol persetujuan hanya karena permintaan tersebut terlihat seperti pembaruan biasa.
Hirudo Bisa Mengganti Aplikasi Mobile Banking Asli
Hal yang membedakan Hirudo dari sebagian malware perbankan lainnya adalah upayanya mengganti aplikasi bank asli dengan versi yang telah dimodifikasi. ThreatFabric menemukan delapan aplikasi perbankan Indonesia dari tujuh bank yang memiliki versi pengganti khusus. Nama bank yang menjadi sasaran tersebut belum diungkap secara terbuka dalam laporan utama.
Dalam skenario yang dianalisis, Hirudo mendeteksi aplikasi perbankan yang menjadi target, kemudian memunculkan permintaan pembaruan palsu. Malware berupaya mengarahkan pengguna menghapus aplikasi asli dan memasang salinan yang sudah dimodifikasi. Salinan tersebut dirancang untuk mempertahankan identitas aplikasi tertentu, sekaligus memanipulasi sejumlah pemeriksaan keamanan dari dalam aplikasi.
Namun, proses penggantian itu tidak sepenuhnya otomatis. Karena salinan berbahaya menggunakan tanda tangan digital yang berbeda dari aplikasi resmi, aplikasi asli harus dihapus sebelum penggantinya dapat dipasang. Pengguna masih memiliki kesempatan untuk membatalkan proses tersebut dan menolak pemasangan aplikasi yang mencurigakan.
Hal ini membuat permintaan untuk menghapus mobile banking resmi atau memasang versi aplikasi melalui tautan yang tidak dikenal menjadi tanda bahaya yang perlu diperhatikan. Jika mengalami situasi seperti itu, jangan lanjutkan proses hanya karena layar menampilkan instruksi yang tampak meyakinkan.
PIN Bukan Satu-satunya Informasi yang Terancam
Hirudo dirancang untuk mengumpulkan berbagai informasi yang dapat dimanfaatkan dalam penipuan keuangan. ThreatFabric melaporkan kemampuan malware ini untuk menangkap kredensial login, PIN pembayaran, dan informasi sensitif lainnya melalui layar palsu maupun mekanisme pengumpulan data pada perangkat.
Selain itu, malware dapat mengumpulkan SMS, mengambil tangkapan layar, dan memberikan akses jarak jauh kepada operatornya. Kemampuan tertentu juga mencakup akses kamera. Jika perangkat terinfeksi dan izin yang diperlukan telah diberikan, informasi yang terlihat atau tersimpan di ponsel berpotensi terekspos.
Risikonya menjadi lebih serius ketika perangkat yang sama digunakan untuk menerima kode verifikasi, mengakses layanan perbankan, dan menyimpan informasi pribadi. Informasi yang terkumpul dapat membantu pelaku memahami aktivitas korban dan mendukung upaya penipuan berikutnya.
Meski demikian, kemampuan teknis tersebut tidak berarti setiap perangkat yang memasang aplikasi umpan pasti telah terinfeksi. Jumlah aplikasi pengganti yang ditemukan juga tidak dapat digunakan untuk menyimpulkan jumlah nasabah yang telah mengalami kerugian.
Lima Langkah Melindungi Mobile Banking di Android
Pengguna tidak perlu panik, tetapi sebaiknya segera memeriksa kebiasaan penggunaan aplikasi dan keamanan perangkat. Berikut langkah-langkah yang dapat dilakukan untuk mengurangi risiko.
1. Unduh aplikasi hanya dari sumber resmi.
Pasang mobile banking melalui Google Play Store atau tautan yang disediakan langsung oleh bank. Periksa nama pengembang dan informasi aplikasinya sebelum memasang. Hindari mengunduh APK dari pesan pribadi, situs yang tidak dikenal, atau tautan promosi yang tidak dapat diverifikasi.
2. Tolak pembaruan yang mencurigakan.
Pembaruan aplikasi sebaiknya dilakukan melalui toko aplikasi resmi atau mekanisme pembaruan yang telah dikonfirmasi pengembang. Jika aplikasi meminta pemasangan APK tambahan, meminta pengguna menghapus mobile banking resmi, atau menampilkan instruksi yang tidak biasa, hentikan proses dan hubungi bank melalui kanal resminya.
3. Periksa izin Aksesibilitas dan aplikasi yang tidak dikenal.
Buka pengaturan Android dan tinjau layanan Aksesibilitas yang aktif. Periksa juga aplikasi yang diizinkan memasang aplikasi tidak dikenal. Cabut izin yang tidak diperlukan dari aplikasi yang tidak dikenal atau tidak dipercaya. Nama menu dan letaknya dapat berbeda tergantung merek ponsel serta versi Android.
4. Aktifkan Play Protect dan perbarui perangkat.
Pastikan Google Play Protect aktif dan lakukan pemindaian keamanan. Perbarui sistem operasi serta aplikasi melalui sumber resmi. Jangan mengabaikan peringatan keamanan, tetapi ingat bahwa hasil pemindaian yang bersih bukan jaminan mutlak bahwa perangkat bebas dari malware.
5. Jaga PIN, kata sandi, dan kode OTP.
Jangan pernah membagikan PIN, kata sandi, atau kode OTP kepada orang lain melalui telepon, pesan, maupun percakapan pribadi. Hindari memasukkan informasi perbankan setelah membuka tautan yang mencurigakan. Jika tampilan aplikasi berubah secara tidak wajar atau muncul permintaan izin yang tidak relevan, hentikan aktivitas dan lakukan verifikasi melalui kanal resmi bank.
Terlanjur Memasang Aplikasi Mencurigakan? Lakukan Ini
Jika telanjur memasang aplikasi dari sumber yang tidak dikenal, menyetujui pembaruan mencurigakan, atau memberikan izin sensitif kepada aplikasi yang tidak dipercaya, jangan langsung menganggap masalah selesai dengan menghapus aplikasinya. Prioritaskan pengamanan akun dan rekening terlebih dahulu.
Pertama, hentikan aktivitas perbankan pada perangkat tersebut. Jangan membuka mobile banking atau memasukkan PIN dan kata sandi tambahan dari ponsel yang dicurigai terinfeksi. Jika memungkinkan, putuskan koneksi internet perangkat untuk mengurangi komunikasi dengan pihak yang mengendalikan malware.
Kedua, hubungi bank melalui kanal resmi. Gunakan nomor layanan pelanggan yang tercantum di situs resmi bank atau aplikasi resmi pada perangkat lain yang tepercaya. Minta bantuan untuk mengamankan akses mobile banking, memeriksa aktivitas transaksi, dan memblokir akses jika diperlukan.
Ketiga, amankan kredensial dari perangkat lain yang tepercaya. Ikuti arahan bank untuk mengganti kata sandi, mencabut sesi yang berisiko, atau mengatur ulang akses. Jika SMS atau kode OTP diduga telah diakses malware, sampaikan informasi tersebut kepada bank agar tindakan pengamanan dapat disesuaikan.
Keempat, periksa dan pulihkan keamanan perangkat. Jika indikasi infeksi kuat, pencopotan aplikasi belum tentu cukup. Minta bantuan teknis tepercaya untuk memeriksa aplikasi dan izin yang mencurigakan. Jika diperlukan, pertimbangkan reset pabrik setelah mengamankan akun dan mencadangkan dokumen penting. Hindari memulihkan aplikasi mencurigakan dari cadangan.
Jika sudah ada transaksi yang tidak dikenal, segera laporkan kepada bank. Simpan bukti yang relevan, seperti notifikasi transaksi, waktu kejadian, dan pesan mencurigakan. Jangan menunda pelaporan sambil menunggu kepastian apakah perangkat benar-benar terinfeksi.
Keamanan Perbankan Digital Dimulai dari Perangkat Pengguna
Temuan Hirudo menunjukkan bahwa ancaman terhadap mobile banking tidak selalu hadir dalam bentuk pesan penipuan yang mudah dikenali. Aplikasi yang terlihat normal dapat menjadi pintu masuk apabila pengguna diarahkan memasang komponen tambahan dan memberikan izin yang berlebihan.
Namun, kewaspadaan tidak perlu berubah menjadi kepanikan. Temuan delapan aplikasi pengganti dari tujuh bank merupakan hasil analisis teknis terhadap sasaran malware, bukan bukti bahwa seluruh sistem inti bank terkait telah diretas. Nama bank yang ditargetkan juga belum diumumkan secara terbuka oleh sumber utama.
Langkah yang paling masuk akal adalah memastikan aplikasi berasal dari sumber resmi, menolak pembaruan yang mencurigakan, memeriksa izin perangkat, dan segera menghubungi bank apabila muncul indikasi penyalahgunaan.
Pada akhirnya, keamanan transaksi digital bukan hanya soal seberapa canggih sistem perlindungan bank, tetapi juga bagaimana pengguna menjaga perangkat yang digunakan untuk mengakses rekening. Kebiasaan memeriksa sumber aplikasi dan tidak terburu-buru mengikuti instruksi di layar dapat menjadi lapisan perlindungan penting bagi keamanan data dan dana.
Penulis: Liora Navindra Shasmitha
Editor: Setiawan Chogah
Kredit Visual: Ilustrasi dan foto pada artikel ini menggunakan sumber berlisensi bebas, aset AI, atau siaran pers resmi yang relevan dengan topik.
