Akun WhatsApp Diblokir Lalu Sebar Link Judi, Benarkah Serangan Zero-Click?

Kasus viral akun WA diblokir lampau menyebar link gambling memicu spekulasi serangan zero-click.(Dok. Threads)

KEAMANAN info pribadi kembali menjadi sorotan setelah sebuah kasus dugaan pembajakan akun WA viral di media sosial Threads. Pengguna melaporkan akunnya tiba-tiba diblokir, namun setelah akses dipulihkan, akun tersebut justru mengirimkan pesan massal berisi tautan gambling online.

Fenomena ini memicu spekulasi mengenai penggunaan metode serangan siber tingkat tinggi nan dikenal sebagai zero-click attack.

Berdasarkan kronologi nan dibagikan, korban mendapati notifikasi "Akun ini tidak bisa menggunakan WhatsApp" pada 22 Juli 2026. Meski akses sukses dipulihkan melalui proses peninjauan resmi pada malam harinya, keesokan pagi akun tersebut secara otomatis menyebarkan pesan spam.

Kejanggalan utama terletak pada pengakuan korban nan merasa tidak pernah mengeklik tautan mencurigakan, tidak menerima SMS OTP asing, serta menggunakan perangkat iPhone dengan sistem keamanan tertutup.

Mengenal Spekulasi Serangan Zero-Click

Istilah zero-click merujuk pada keahlian peretas untuk mengeksploitasi celah keamanan tanpa memerlukan hubungan apa pun dari korban, seperti mengeklik tautan alias mengunduh lampiran. Dalam konteks WhatsApp, kerentanan semacam ini memang pernah tercatat dalam sejarah keamanan siber.

Pada 2025, ditemukan kerentanan berkode CVE-2025-55177 nan menyerang jenis lama WA di ekosistem Apple (iOS dan Mac). Namun, para master keamanan menekankan bahwa serangan zero-click biasanya berkarakter sangat terarah (targeted) dan berbiaya mahal, umumnya digunakan untuk spionase tingkat tinggi, bukan sekadar menyebarkan promosi gambling secara massal.

Hingga saat ini, belum ada bukti teknis nan mengonfirmasi bahwa kasus viral tersebut disebabkan oleh zero-click. WA sendiri telah menambal celah keamanan tahun 2025 melalui pembaruan aplikasi rutin.

Analisis Akses tanpa OTP SMS

Banyak pengguna berasumsi bahwa tanpa adanya SMS OTP (One-Time Password), akun mereka mustahil diakses orang lain. Namun, terdapat beberapa celah teknis nan memungkinkan peretas masuk tanpa memicu pengiriman kode SMS baru:

• Penyalahgunaan Fitur Perangkat Tertaut: Pelaku mungkin telah sukses menautkan perangkat mereka melalui WA Web alias aplikasi desktop sebelumnya. Ini bisa terjadi jika korban terjebak situs phishing nan menyerupai "Pusat Keamanan WhatsApp" dan diminta memindai kode QR.
• Phishing Terstruktur: Hong Kong Computer Emergency Response Team (HKCERT) pada Juni 2026 memperingatkan adanya kampanye phishing masif nan mengarahkan pengguna ke situs tiruan untuk mencuri sesi login.
• Kompromi Sesi (Session Hijacking): Jika perangkat komputer nan pernah digunakan untuk WA Web terinfeksi malware, peretas dapat mengambil alih sesi aktif tanpa perlu login ulang.

Langkah Mitigasi dan Pengamanan Akun

Kasus ini menunjukkan bahwa pemulihan akun setelah pemblokiran tidak menjamin keamanan total. Pengguna disarankan untuk melakukan langkah-langkah berikut guna memastikan tidak ada "penumpang gelap" di akun mereka:

Tindakan Tujuan

Cek Perangkat Tertaut	Mengeluarkan (log out) semua sesi asing di WA Web/Desktop.
Verifikasi Dua Langkah	Menambah lapisan PIN tambahan saat mendaftarkan ulang nomor.
Update OS & Aplikasi	Menutup celah keamanan (patch) nan mungkin dieksploitasi.

Komitmen Meta Terhadap Jaringan Scam

Di sisi lain, Meta selaku induk perusahaan WA terus menggencarkan operasi terhadap jaringan penipuan terorganisasi. Sepanjang tahun 2025 hingga pertengahan 2026, jutaan akun dan iklan penipuan telah dihapus.

Pada Maret 2026, kerjasama antara Meta, FBI, dan Kepolisian Thailand apalagi sukses melumpuhkan jaringan scam center di Asia Tenggara dengan menonaktifkan 150.000 akun terkait.

Meskipun Meta terus memperketat pengawasan, kewaspadaan perseorangan tetap menjadi garda terdepan. Pengguna diingatkan untuk tidak pernah memberikan kode verifikasi, PIN, alias memindai kode QR dari sumber nan tidak dikenal, meskipun pesan tersebut tampak datang dari pusat support resmi. (Whatsapp/HKCERT/About Facebook/Z-10)