Nextren.com - Penipuan yang menyasar pengguna ponsel Android dengan memanfaatkan aplikasi APK Android Package Kit, terus berkembang dan menyasar pengguna mayoritas awam.
Motif penipuan ini tujuannya klasik, yaitu mendapatkan keuntungan finansial.
Karena terjadi digitalisasi yang cukup masif dalam dunia perbankan, maka transaksi keuangan banyak dilakukan melalui kanal digital, baik melalui mobile banking dan dompet digital.
Sebenarnya secara teknis pengamanan verifikasi transaksi keuangan di Android sudah cukup baik, karena pemilik akun harus memasukkan PIN / Password rahasia setiap kali melakukan transaksi finansial.
Lalu untuk verifikasi penting seperti memindahkan rekening ke ponsel lain atau berganti nomor ponsel, harus memasukkan password sekali pakai OTP (One Time Password) yang merupakan bagian dari pengamanan TFA Two Factor Authentication atau otentikasi dua faktor, yang hanya diketahui oleh pemilik akun.
Masalahnya, pengiriman OTP ini dilakukan menggunakan sarana SMS, karena alasan praktis dimana OTP menggunakan SMS yang memiliki cakupan pengguna yang paling luas, murah, mudah digunakan oleh semua kalangan dan tidak terlalu rumit dibandingkan OTP lain, seperti menggunakan Token atau aplikasi otentikasi seperti Google Authenticator atau Authy.
Tapi celakanya OTP menggunaan SMS ini termasuk kategori OTP yang paling lemah dari sisi pengamanannya dibandingkan OTP lainnya, karena SMS merupakan teknologi komunikasi jadul yang tidak dienkripsi, mudah dicuri dan melibatkan pihak ketiga dalam pengirimannya.
Harusnya nasabah dan bank yang menggunakan SMS sebagai OTP, penting menyadari hal ini dan sangat berhati-hati dalam melakukan aktivitas digitalnya dan menjaga jangan sampai SMSnya bocor, karena akan berakibat fatal dana rekeningnya dibobol.
Selain itu, pihak penyelenggara layanan finansial baik bank maupun dompet digital juga perlu memberikan perhatian khusus jika SMS OTP nasabah berhasil dicuri dan melakukan langkah pengamanan tambahan, misalnya verifikasi fisik untuk aktivitas vital, seperti perpindahan akun finansial ke nomor ponsel baru atau ponsel baru.
Teknik yang paling sering dilakukan dalam mencuri SMS OTP dan banyak memakan korban adalah teknik rekayasa sosial, yang dirancang sedemikian rupa guna mengelabui korbannya.
Salah satu rekayasa sosial yang populer adalah mengirimkan Undangan Pernikahan melalui Whatsapp.
Undangan pernikahan pencuri SMS ini dirancang dengan cermat dan mayoritas korbannya akan percaya bahwa pesan Whatsapp yang diterimanya adalah benar Undangan Pernikahan. Sehingga tanpa curiga korban akan membuka dan menjalankan aplikasi tersebut.
Aplikasi tersebut akan memberikan tampilan yang sangat meyakinkan (lihat gambar 1)
Gambar 1, Contoh Undangan Pernikahan yang disalahgunakan penipu Pencuri SMS
Ketika Undangan ini dibuka akan menampilkan tampilan seperti undangan pernikahan kekinian lengkap dengan foto yang sangat meyakinkan, sehingga korbannya percaya. Jadi kunci dari rekayasa sosial ini adalah ketika ia meminta akses izin mengirim dan melihat SMS. (lihat gambar 2)
Gambar 2, Aplikasi Undangan Pernikahan pencuri SMS meminta izin mengirim dan melihat SMS
Jika korbannya mengizinkan hal ini, maka aplikasi ini akan dapat membaca SMS ponsel dan kemudian akan mengirimkan semua SMS yang masuk, termasuk SMS OTP m-banking, SMS OTP Whatsapp dan SMS lainnya ke akun Telegram penipu.
Jika hal ini terjadi dan penyelenggara layanan finansial tidak mengamankan nasabahnya dengan baik seperti melakukan verifikasi tambahan jika akun m-banking tersebut diakses dari ponsel lain, maka penipu akan bisa mengakses akun m-banking korbannya dan melakukan transaksi finansial mencuri dana dari rekening korbannya.
Pencegahan dan mitigasi
Sebenarnya pengembang Android berusaha menjaga dengan baik penggunanya dan aplikasi pencuri SMS ini tidak bisa diinstal dari Play Store, toko aplikasi resmi Android.
Dan aplikasi pencuri SMS ini hanya bisa diinstal dari luar Play Store dan setiap kali pengguna menginstal aplikasi dari luar Play Store akan muncul peringatan kepada penggunanya. (lihat gambar 3)
Gambar 3, Peringatan ketika menginstal aplikasi dari luar Play Store
Karena itu, sangat penting bagi anda untuk menonaktifkan fitur ini dengan cara klik gambar roda gigi di pojok kanan atas ponsel, pilih [Pengaturan] [Instal aplikasi yg tidak dikenal] atau dalam menu bahasa Inggris [Settings] [Install unknown apps].
Tidak boleh ada aplikasi yang diizinkan menginstal aplikasi tidak dikenal atau dari luar Play Store. Terutama untuk aplikasi yang sering anda gunakan seperti Whatsapp, Chrome, SMS, Telegram, Zoom dan lainnya. (lihat gambar 4)
Gambar 4, Nonaktifkan semua pilihan pada [Pengaturan] [Instal aplikasi yg tdk dikenal]
Harap menjadi perhatian ketika muncul peringatan ketika instal aplikasi tidak dikenal untuk segera berhati-hati dan dibatalkan dan jangan tekan [Lanjutkan] atau [Instal].
Sebenarnya Android juga akan menginformasikan ketika aplikasi meminta akses menririm dan membaca SMS dan jika hal ini tidak diperbolehkan, maka aksi pencurian SMS tidak akan berhasil (lihat gambar 2 di atas).
Apa yang harus dilakukan jika kita sudah terlanjur instal aplikasi pencuri SMS ini, yang bisa berbentuk Aplikasi Kurir Online, Undangan Pernikahan, Surat Tilang atau Tagihan Pajak ?
Jujur saja, sebenarnya sudah terlambat dan jika institusi keuangan / bank yang anda gunakan tidak mewajibkan verifikasi tambahan setiap kali akun berganti ponsel atau nomor telepon, maka kemungkinan besar akun anda sudah berhasil dieksploitasi.
Karena itu sangat penting bagi anda untuk memastikan kalau layanan keuangan digital yang anda gunakan mewajibkan adanya verifikasi tambahan seperti mengunjungi CS untuk tatap muka, mengunjungi ATM dan mendapatkan kode / PIN untuk berganti ponsel atau misalnya verifikasi lainnya seperti verifikasi wajah atau telepon langsung dari call center untuk memastikan bahwa yang meminta akses ke rekening memang adalah pemegang rekening yang bersangkutan.
Namun untuk memastikan di ponsel Android anda tidak ada aplikasi pencuri SMS, anda dapat melakukan pengecekan dengan cara klik roda gigi untuk masuk ke [Pengaturan] [Manajer izin][SMS] dan periksa ada aplikasi apa saja yang memiliki hak iuntuk mengirim dan menampilkan pesan SMS.
Pada contoh gambar 5 di bawah ini, aplikasi "Undangan Pernikahan" adalah aplikasi jahat yang harusnya tidak boleh terinstal, apalagi diberikan izin mengirimkan dan menampilkan pesan SMS.
Gambar 5, Cek aplikasi apa saja yang memiliki hak untuk mengakses SMS
(Penulis : Alfons Tanujaya, Pakar Keamanan Data Vaksin.com)