Apa Itu Serangan Zero-Click WhatsApp dan Mengapa Berbahaya
Serangan zero-click WhatsApp adalah rangkaian eksploit yang mampu mengkloning akun WhatsApp korban dan menulis pesan ke kontak mereka tanpa perlu klik tautan, membuka file, atau memberikan persetujuan apa pun, cukup melalui pesan atau panggilan yang diterima sehingga konten berbahaya otomatis diproses oleh perangkat.
Ancaman ini berbahaya bukan karena bersifat teknis, tetapi karena menyasar kepercayaan antar manusia. Sejak 25 Agustus 2026, telah dilaporkan gelombang pencurian akun WhatsApp pada iPhone dengan iOS 16, di mana korban tidak mengklik apa pun, ponsel tetap di tangan mereka, tetapi seseorang menulis ke kontak dan meminta transfer bank mendesak. Ketika nomor yang digunakan memang nomor asli korban, pesan penipuan terlihat sah dan jauh lebih meyakinkan dibanding phishing biasa. Ini menjadikan serangan zero-click WhatsApp bukan sekadar isu keamanan teknis, tetapi ancaman langsung terhadap relasi, reputasi, dan finansial pengguna.
Cara Kerja Kloning Akun WhatsApp: Dari Celah Teknis ke Penipuan Uang
Serangan zero-click WhatsApp yang dikaitkan dengan gelombang penipuan transfer bank menggabungkan dua celah berbeda di lapisan sistem operasi dan aplikasi. Celah pertama, CVE-2025-43300, adalah kesalahan penulisan di luar batas pada framework ImageIO milik Apple yang memproses gambar dan foto; file gambar yang dirancang khusus dapat merusak memori perangkat. Celah kedua, CVE-2025-55177, menyangkut WhatsApp untuk iOS dan macOS, yaitu cacat pada otorisasi pesan sinkronisasi antar perangkat yang memungkinkan aplikasi mengunduh konten dari URL sembarang tanpa tindakan pengguna.
Digabungkan, kedua celah ini cukup untuk menanamkan kode yang mengkloning sesi WhatsApp dan menulis ke kontak, tanpa meninggalkan jejak di daftar perangkat yang terhubung. Akun yang diklon dipakai untuk mengirim pesan mendesak kepada keluarga atau teman: permintaan transfer bank, isi ulang pulsa, atau pembayaran lain dengan dalih keadaan darurat. Dalam kurang dari setahun, rangkaian teknis yang awalnya dipakai dalam kampanye mata-mata terhadap sekitar 200 jurnalis dan aktivis HAM beralih menjadi alat kejahatan umum dengan tujuan ekonomi langsung. Inilah contoh nyata bagaimana eksploit tingkat tinggi turun kelas menjadi senjata penipu sehari-hari.
Siapa yang Paling Rentan: iOS 16, Kit Coruna, dan Pengguna Android
Gelombang serangan zero-click WhatsApp yang memicu penipuan transfer uang paling banyak diamati pada pengguna iPhone dengan iOS 16, dengan pola yang sama: tidak ada peringatan perangkat baru terhubung, namun pesan transfer bank terkirim dari nomor korban ke kontak-kontak terbaru. Apple telah memperbaiki CVE-2025-43300 di versi setelah iOS 16, sehingga perangkat yang sudah diperbarui tidak lagi rentan terhadap rangkaian spesifik ini. Fakta bahwa serangan memanfaatkan celah yang sudah dipatch lebih dari setahun lalu menunjukkan satu hal: kelalaian update adalah pintu masuk utama bagi peretas.
Kit eksploit iOS bernama Coruna didokumentasikan memiliki lima rangkaian serangan dan 23 eksploit, mampu menyasar iPhone dari versi 13.0 hingga 17.2.1 lewat situs jebakan yang menyuntikkan kode berbahaya melalui iframe tersembunyi. Ada hipotesis bahwa jalur penyebaran kit seperti ini mirip dengan rangkaian yang dipakai dalam penipuan transfer bank WhatsApp, tetapi kaitan langsung dengan CVE-2025-43300 dan CVE-2025-55177 belum terkonfirmasi. Di sisi lain, Android juga tidak bebas dari bahaya: kelemahan di WhatsApp untuk Android memungkinkan pengiriman otomatis file berbahaya di chat grup, memanfaatkan unduhan otomatis konten dan parser multimedia sistem. Singkatnya, keamanan WhatsApp terkini bergantung lebih pada kedisiplinan update sistem operasi daripada sekadar merasa aman dengan enkripsi pesan.
Strict Account Settings: Lapisan Pertahanan Baru di WhatsApp
Menjawab ancaman serangan zero-click WhatsApp, Meta meluncurkan fitur keamanan Strict Account Settings pada 27 Januari 2026 untuk aplikasi WhatsApp. Sistem ini bekerja berbeda dengan enkripsi end-to-end: jika enkripsi mengamankan isi pesan, Strict Account Settings menutup jalur masuk yang biasa dipakai peretas, terutama nomor asing, file media, dan tautan berbahaya. Pendekatan ini mirip dengan Lockdown Mode pada iPhone, yaitu mengorbankan sebagian kenyamanan demi proteksi akun dari hacker yang semakin canggih.
Saat fitur Strict Account Settings aktif, WhatsApp menyaring interaksi secara ketat; semua pesan dan panggilan dari nomor asing yang tidak dikenal dibatasi drastis. Ini penting karena banyak serangan zero-click dieksekusi melalui media atau tautan dari nomor yang baru pertama kali menghubungi pengguna. Dengan membatasi sumber-sumber tersebut, kemungkinan eksploit yang mengandung gambar, file, atau URL berbahaya berkurang signifikan. Konsekuensinya jelas: pengalaman penggunaan bisa terasa lebih kaku, tetapi dalam konteks keamanan WhatsApp terkini, fitur ini adalah investasi keamanan, bukan pengganggu. Pengguna yang mengabaikan setelan ketat ini pada dasarnya sedang memberi keleluasaan tambahan bagi pihak yang berniat mengkloning akun WhatsApp mereka.
Langkah Konkret Melindungi Akun dan Mencegah Penipuan Transfer Uang
Keamanan digital bukan soal satu fitur ajaib, tetapi disiplin kebiasaan. Untuk menahan serangan zero-click WhatsApp dan mencegah kloning akun, langkah pertama adalah memperbarui iOS atau Android ke versi terbaru yang tersedia untuk perangkat, bukan hanya meng-update WhatsApp. Celah utama sering berada di parser multimedia sistem operasi, seperti ImageIO di iOS, yang memproses file berbahaya dari pesan. Menunda update berarti memberi waktu ekstra bagi eksploit yang sudah dipatch untuk tetap berfungsi di perangkat Anda.
Langkah kedua, terapkan kebiasaan verifikasi permintaan uang. Setiap permintaan transfer bank atau pembayaran mendesak via chat, meski berasal dari nomor keluarga atau kolega, sebaiknya dikonfirmasi lewat panggilan suara di saluran terpisah. Ini adalah cara paling langsung untuk menggagalkan penipuan yang mengandalkan kloning akun WhatsApp. Ketiga, matikan unduhan otomatis konten multimedia di grup, opsi yang tersedia di Setelan, Penyimpanan dan Data baik di Android maupun iOS. Kebiasaan ini mengurangi risiko serangan yang memanfaatkan file yang diunduh tanpa Anda sadari. Dikombinasikan dengan Strict Account Settings dan update sistem, langkah-langkah praktis ini menjadikan proteksi akun dari hacker lebih realistis daripada sekadar berharap "tidak akan terjadi pada saya".
