WhatsApp Web Bukan Lagi Aman: Inti Masalah HermeticReader
Celah keamanan HermeticReader adalah kelemahan pada ekstensi Adobe Acrobat PDF di browser berbasis Chromium yang memungkinkan situs berbahaya membaca dan mengendalikan sesi WhatsApp Web, termasuk menukar kode QR saat penautan perangkat baru, sehingga peretas dapat mengambil alih akun dan menyamar sebagai pemilik asli dengan akses penuh ke pesan dan data sensitif pengguna.
Artinya, keamanan WhatsApp Web bukan lagi soal siapa yang memegang ponsel, tetapi juga apa yang terpasang di browser. Celah ekstensi browser ini menyerang lewat jalur yang banyak orang abaikan: plugin PDF yang tampak sepele tapi punya izin luas. Begitu kode QR WhatsApp Web diganti dan dipindai, sesi milik penyerang yang tertaut ke akun korban. Dari titik itu, akun WhatsApp diambil alih tanpa tanda yang mencolok bagi pemiliknya.
Saat WhatsApp Web diambil alih, peretas bisa bertindak seolah-olah pemiliknya membaca chat, membalas pesan, mengirim file dan melanjutkan percakapan yang sudah terbuka untuk menipu kontak. Inilah mengapa proteksi WhatsApp Web tidak boleh diserahkan pada kebiasaan "sekadar login" di komputer mana saja.
Apa Saja yang Terbuka untuk Peretas Saat Akun Diambil Alih?
Begitu HermeticReader dimanfaatkan, batas antara perangkat Anda dan perangkat penyerang menghilang. Situs berbahaya bisa membaca isi WhatsApp Web, sampai menukar kode QR ketika pengguna menautkan perangkat baru. Jika kode palsu tersebut terpindai, akun WhatsApp korban akan terhubung langsung ke sesi milik peretas.
Dari sana, pelaku berpotensi mendapatkan akses penuh terhadap akun yang diambil alih. Mereka bisa melihat percakapan pribadi dan grup, nama kontak, nomor telepon, foto profil, file media, dokumen, data kerja, informasi bisnis, sampai negosiasi invoice. Mereka juga berpotensi mengirimkan file berbahaya ke kontak dan grup WhatsApp. Karena pesan datang dari nomor yang sudah dikenal, social engineering menjadi jauh lebih efektif dibanding sekadar meniru foto profil dengan nomor lain.
Lebih berbahaya lagi, pelaku dapat melanjutkan percakapan yang sudah berlangsung, membaca konteks sebelumnya, lalu menyusun modus penipuan yang terlihat wajar. Bahkan, mengambil alih akun lain yang menggunakan WhatsApp sebagai sarana verifikasi karena kode OTP yang masuk ikut terbaca. Ini bukan sekadar kebocoran data; ini pengambilalihan identitas komunikasi Anda.
Siapa yang Paling Rentan dan Versi Mana yang Berbahaya?
Target utama celah ini adalah pengguna keamanan WhatsApp Web yang memakai browser Chromium (seperti Chrome atau Edge) dengan ekstensi Adobe Acrobat PDF terpasang. HermeticReader tercatat sebagai CVE-2026-48294 dan bekerja melalui celah pada ekstensi tersebut, bukan pada aplikasi WhatsApp-nya.
Menurut Vaksincom, versi yang terdampak celah HermeticReader adalah 26.5.2.2 dan versi sebelumnya. Versi yang telah mendapatkan tambalan keamanan adalah 26.5.2.3 atau yang lebih baru. Artinya, siapa pun yang belum memperbarui ekstensi ini berada di garis depan risiko tanpa sadar. Pengguna yang menginstal banyak ekstensi dengan izin akses ke seluruh situs juga otomatis menambah permukaan serangan.
Di lingkungan organisasi, risiko ini berlipat. Banyak karyawan memakai WhatsApp Web di browser kerja, sementara tim IT mungkin tidak memantau semua ekstensi yang terpasang. Ekstensi dengan izin mengakses semua situs perlu diprioritaskan untuk ditinjau, dan ekstensi yang tidak dikelola sebaiknya dibatasi lewat kebijakan grup. Mengabaikan inventarisasi ekstensi sama saja membiarkan pintu belakang tetap terbuka.
Deteksi Dini: Tanda-Tanda Akun Anda Sedang Dimainkan
Celah ekstensi browser ini licik karena bekerja tanpa pop-up dramatis. Karena itu, Anda perlu peka terhadap tanda halus bahwa keamanan WhatsApp Web terganggu. Beberapa tanda yang bisa diperhatikan antara lain pesan yang tiba-tiba sudah terbaca, adanya chat yang tidak pernah dikirim, atau kontak yang mengaku menerima pesan aneh dari akun tersebut. Itu semua adalah sinyal klasik akun WhatsApp diambil alih.
Ada satu panel yang sayangnya sering diabaikan: Perangkat Tertaut. Untuk memastikan tidak ada pihak luar yang mengakses akun WhatsApp Web, kalian dapat memeriksa menu Perangkat Tertaut atau Linked Devices di aplikasi WhatsApp pada smartphone. Caranya, buka WhatsApp, tekan tiga titik di sudut kanan, dan pilih Linked Devices. Di sana akan terlihat seluruh komputer, browser, tablet, atau smartphone lain yang tersambung ke akun WhatsApp kalian.
Periksa satu per satu. Jika menemukan browser, sistem operasi, waktu akses, atau perangkat yang tidak dikenali, segera putuskan aksesnya dengan menekan perangkat tersebut dan pilih Log Out. Pemeriksaan ini sebaiknya dilakukan secara berkala, bukan hanya saat ada aktivitas mencurigakan. Mengabaikan menu ini sama dengan membiarkan penyerang duduk manis di kursi tamu digital Anda.
Lindungi Diri Sekarang: Dari Update Ekstensi ke Aplikasi Resmi
Jika Anda masih memakai WhatsApp Web di browser utama, sikap aman berarti berubah kebiasaan, bukan sekadar panik sesaat. Langkah pertama: pastikan disiplin melakukan update OS, aplikasi, dan ekstensi. Untuk ekstensi Adobe Acrobat PDF, yang rentan adalah versi 26.5.2.2 dan sebelumnya, sementara versi aman adalah 26.5.2.3 ke atas. Di Chrome, cek lewat chrome://extensions, dan di Edge lewat edge://extensions, lalu lihat detail Adobe Acrobat PDF untuk memastikan versinya.
Langkah kedua, bersihkan browser Anda. Hindari menginstal ekstensi apa pun yang tidak benar-benar diperlukan di browser. Logikanya sederhana: makin sedikit aplikasi dan ekstensi terinstal, makin sedikit pintu masuk yang harus Anda jaga. Usahakan menggunakan browser khusus yang terpisah untuk WhatsApp Web, atau lebih baik lagi gunakan aplikasi WhatsApp resmi untuk OS yang digunakan. Buat kalian yang masih menggunakan WhatsApp Web, pertimbangkan untuk beralih ke aplikasi WhatsApp untuk Windows atau macOS saja.
Dengan menggunakan aplikasi terpisah, WhatsApp tidak berada di dalam lingkungan browser yang sama dengan berbagai ekstensi lainnya, termasuk Adobe Acrobat PDF. Jawabannya bukan paranoia, melainkan disiplin: rutin cek Linked Devices, batasi ekstensi, perbarui Adobe Acrobat PDF, dan utamakan aplikasi resmi sebagai proteksi WhatsApp Web harian. Kalau komunikasi Anda adalah aset, perlakukan browser sebagai area berisiko tinggi, bukan ruang aman bawaan.
