Bahaya Instal Aplikasi APK dari Luar Play Store

"Undangan Pernikahan.apk", "Foto Paket.apk", "Surat Tilang Elektronik.apk", "Tagihan BPJS.apk". Nama-nama file seperti ini beredar di WhatsApp dan sudah membuat banyak orang kehilangan isi rekeningnya. Yang membuatnya berbahaya: korban tidak perlu memberikan kode OTP atau PIN kepada siapa pun. Cukup memasang satu file, dan pelaku bisa mengambil alih sisanya.

Artikel ini menjelaskan apa itu file APK, mengapa memasang aplikasi dari luar toko resmi berisiko, tanda-tanda aplikasi berbahaya, serta langkah yang perlu diambil jika sudah terlanjur memasangnya.

Apa Itu File APK?

APK (Android Package Kit) adalah format file untuk memasang aplikasi di Android. Setiap aplikasi yang Anda unduh dari Google Play Store sebenarnya juga berupa APK, tetapi prosesnya terjadi di balik layar dan aplikasinya sudah melalui pemeriksaan keamanan.

Masalah muncul ketika file APK didapatkan dari luar Play Store, misalnya dari pesan WhatsApp, Telegram, email, atau situs unduhan tidak resmi. File seperti ini tidak melalui pemeriksaan yang sama, sehingga bisa saja berisi program jahat.

Apa yang Bisa Dilakukan Aplikasi Berbahaya?

Setelah terpasang, aplikasi berbahaya biasanya meminta izin tertentu. Jika izin diberikan, aplikasi tersebut bisa:

• Membaca dan meneruskan SMS, termasuk kode OTP dari bank dan dompet digital.
• Memakai layanan aksesibilitas untuk membaca isi layar, mencatat apa yang Anda ketik, bahkan menekan tombol secara otomatis.
• Menampilkan layar palsu di atas aplikasi bank untuk mencuri PIN dan kata sandi.
• Mengirim pesan ke kontak Anda untuk menyebarkan dirinya.
• Menyembunyikan ikonnya agar tidak mudah ditemukan dan dihapus.

Dengan kombinasi kemampuan ini, pelaku bisa masuk ke aplikasi keuangan korban dan melakukan transaksi tanpa korban sadari, sering kali di malam hari ketika korban tidur.

Modus Penyebaran yang Umum

Undangan asli biasanya dikirim sebagai gambar, PDF, atau tautan ke situs undangan digital, bukan sebagai file APK. Foto paket juga dikirim sebagai gambar. Jika sebuah "dokumen" meminta Anda memasang aplikasi, itu sudah cukup menjadi alasan untuk menolak.

Tanda-Tanda Aplikasi Mencurigakan

• Nama file berakhiran .apk, terutama jika dikirim lewat chat.
• Meminta izin yang tidak masuk akal, misalnya aplikasi "undangan" yang meminta akses SMS dan aksesibilitas.
• Meminta Anda mengaktifkan Instal aplikasi tidak dikenal atau Izinkan dari sumber ini.
• Ikon menghilang setelah dipasang.
• Ponsel menjadi lebih lambat, baterai cepat habis, atau kuota data terpakai tanpa sebab.
• Muncul SMS terkirim yang tidak Anda kirim, atau kontak memberi tahu menerima pesan aneh dari Anda.

Cara Mencegah

1. Pasang aplikasi hanya dari Google Play Store atau toko aplikasi resmi produsen ponsel.
2. Matikan izin "Instal aplikasi tidak dikenal" untuk WhatsApp, browser, dan pengelola file. Di sebagian besar ponsel Android, menunya ada di Setelan > Aplikasi > Akses aplikasi khusus > Instal aplikasi tidak dikenal.
3. Pastikan Google Play Protect aktif. Buka Play Store, ketuk foto profil, lalu pilih Play Protect. Fitur ini memindai aplikasi di ponsel Anda secara berkala.
4. Matikan unduhan otomatis media dan dokumen di WhatsApp, agar file tidak tersimpan tanpa Anda sadari.
5. Periksa izin aplikasi secara rutin di Setelan > Privasi > Pengelola izin. Perhatikan aplikasi yang punya akses SMS dan aksesibilitas.
6. Perbarui sistem operasi dan aplikasi. Pembaruan sering menutup celah keamanan.

Jika Sudah Terlanjur Memasang

Bergeraklah cepat. Urutan langkah ini penting:

1. Putuskan koneksi internet. Matikan data seluler dan Wi-Fi, atau aktifkan mode pesawat. Ini memutus komunikasi aplikasi dengan pelaku.
2. Hubungi bank dan penyedia dompet digital dari ponsel lain. Minta pemblokiran sementara akses mobile banking dan kartu.
3. Hapus aplikasinya. Buka Setelan > Aplikasi, cari aplikasi yang mencurigakan, lalu copot pemasangan. Jika tidak bisa dihapus, periksa apakah aplikasi tersebut terdaftar sebagai aplikasi admin perangkat dan cabut hak itu terlebih dahulu.
4. Cabut izin aksesibilitas yang tidak dikenal di Setelan > Aksesibilitas.
5. Pertimbangkan reset pabrik jika aplikasi tetap tidak bisa dihapus atau Anda ragu ponsel sudah bersih. Pastikan data penting sudah dicadangkan. Panduannya ada di Cara Backup Data HP dengan Metode 3-2-1.
6. Ganti kata sandi dan PIN email, mobile banking, dan dompet digital dari perangkat yang aman.
7. Laporkan ke Indonesia Anti-Scam Centre melalui kanal OJK (telepon 157 atau WhatsApp 081-157-157-157) jika ada transaksi yang tidak Anda lakukan.
8. Beri tahu kontak Anda agar tidak membuka file yang mungkin terkirim dari nomor Anda.

Bagaimana dengan iPhone?

Di sebagian besar wilayah, iPhone hanya bisa memasang aplikasi dari App Store, sehingga modus file APK tidak berlaku. Namun pengguna iPhone tetap bisa menjadi sasaran penipuan lain, seperti tautan phishing dan permintaan kode OTP. Baca Cara Mengenali Link Phishing Sebelum Diklik dan Modus Penipuan Kode OTP di Indonesia.

Pertanyaan yang Sering Diajukan

Apakah semua file APK berbahaya?

Tidak. APK adalah format resmi aplikasi Android. Yang berbahaya adalah APK dari sumber tidak jelas, terutama yang dikirim lewat chat dengan kedok dokumen, undangan, atau tagihan.

Saya sudah menghapus aplikasinya, apakah HP sudah aman?

Jika aplikasi berhasil dihapus dan izin aksesibilitas yang mencurigakan sudah dicabut, risikonya jauh berkurang. Namun tetap ganti kata sandi dan PIN akun keuangan dari perangkat lain, dan pantau transaksi selama beberapa minggu.

Apakah antivirus diperlukan di Android?

Google Play Protect sudah memberikan perlindungan dasar untuk sebagian besar pengguna. Kebiasaan tidak memasang aplikasi dari luar toko resmi jauh lebih efektif dibanding aplikasi antivirus apa pun.

Satu aturan sederhana sudah cukup untuk menghindari hampir semua modus ini: jangan pernah memasang aplikasi yang dikirim lewat chat. Tidak peduli siapa pengirimnya, seberapa mendesak ceritanya, atau seberapa resmi nama filenya. Jika memang butuh sebuah aplikasi, cari sendiri di Play Store.