Hirudo di Android: Waspadai APK Umpan dan Update Palsu
Riset ThreatFabric menguraikan Hirudo, malware Android yang dapat mencuri kredensial dan mengendalikan perangkat. Metode yang dilaporkan mencakup aplikasi umpan dan APK pembaruan terpisah; beberapa aplikasi bank Indonesia menjadi sasaran penggantian. Berikut arti temuan itu bagi pengguna dan cara mengurangi risiko.
Apa yang ditemukan peneliti?
Fakta: Dalam laporan teknis bertanggal 14 Oktober 2026, tim Mobile Threat Intelligence ThreatFabric menyebut Hirudo sebagai trojan perbankan Android dengan kemampuan remote access. Menurut analisis mereka, malware menggabungkan pencurian kredensial di perangkat dengan kendali jarak jauh.
Fakta: ThreatFabric menjelaskan pola dua aplikasi: aplikasi umpan bertema belanja atau hiburan mengajak pengguna memasang payload melalui prompt “update” palsu. Peneliti juga menemukan delapan APK pengganti yang dirancang untuk aplikasi dari tujuh bank Indonesia. Temuan ini menunjukkan sampel dan teknik yang dianalisis, bukan bukti bahwa semua nasabah bank tersebut atau perangkat pengguna Indonesia telah terinfeksi.
Fakta pendukung: Pada 5 November 2026, OJK menyatakan Indonesia Anti-Scam Center menerima 737.686 laporan penipuan sejak beroperasi sampai 28 Oktober 2026; dana korban yang diblokir tercatat Rp967,5 miliar. Data agregat ini memberi konteks risiko penipuan keuangan, tetapi tidak khusus mengukur infeksi Hirudo.
Mengapa “update” dari dalam aplikasi patut dicurigai?
Interpretasi — keyakinan tinggi: Rantai serangan memanfaatkan kepercayaan terhadap aplikasi hiburan dan kebiasaan memasang pembaruan. Karena itu, pengguna tidak cukup hanya memeriksa tampilan aplikasi. Permintaan memasang APK terpisah, mengaktifkan Accessibility, atau memberi akses SMS dan notifikasi yang tidak relevan adalah alasan kuat untuk berhenti dan memeriksa.
ThreatFabric melaporkan bahwa versi Hirudo yang dianalisis dapat menampilkan permintaan palsu, mengambil informasi pada perangkat, serta mengendalikan perangkat dari jarak jauh setelah izin dan komponennya aktif. Hindari menganggap keberadaan fitur keamanan seperti biometrik atau OTP otomatis membuat perangkat aman apabila aplikasi atau perangkat telah dikompromikan.
Langkah pencegahan yang realistis
- Pasang aplikasi dari toko resmi. Jangan mengunduh APK dari tautan chat, iklan, situs streaming, atau instruksi di dalam aplikasi yang tidak dapat diverifikasi.
- Update melalui toko aplikasi atau pengaturan Android. Jika aplikasi meminta memasang paket kedua, membolehkan sumber tak dikenal, atau memberi akses Accessibility/SMS tanpa alasan jelas, batalkan proses.
- Periksa penerbit, nama aplikasi, dan izin. Cari aplikasi bank secara mandiri di toko resmi; jangan ikuti tautan dari SMS atau akun media sosial. Tolak izin yang tidak sesuai fungsi aplikasi.
- Jaga kode dan kredensial. Jangan pernah membagikan PIN, password, OTP, atau pola kunci kepada siapa pun. Jangan mengetik data bank ke layar/formulir yang muncul setelah promosi atau “update” mencurigakan.
- Aktifkan perlindungan akun. Gunakan kunci layar kuat, pembaruan sistem, dan autentikasi yang disediakan layanan. Pantau notifikasi transaksi melalui kanal resmi.
Jika telanjur memasang aplikasi atau APK
Jangan buka mobile banking atau memasukkan kredensial dari perangkat yang dicurigai. Dari perangkat lain yang tepercaya, hubungi bank lewat nomor di kartu atau situs resmi untuk mengamankan akses dan meninjau transaksi. Cabut izin aplikasi mencurigakan bila aman dilakukan, simpan nama aplikasi, waktu kejadian, pesan, dan bukti transaksi. Jika tidak yakin perangkat telah bersih, minta bantuan teknis tepercaya atau lakukan reset setelah data penting diamankan.
Jika ada transaksi tidak dikenal, segera minta bank atau penyedia pembayaran menangani pemblokiran, kemudian lapor melalui Indonesia Anti-Scam Center (IASC) dan kepolisian. Pelaporan cepat tidak menjamin dana kembali, namun membantu proses penanganan.
Kesimpulan dan batas fakta
Temuan Hirudo layak ditanggapi sebagai peringatan tentang risiko pemasangan APK dan pembaruan palsu, bukan alasan panik atau bukti adanya infeksi massal. Keyakinan tinggi untuk gambaran teknis di atas karena bersumber pada laporan analisis primer ThreatFabric. Keyakinan sedang untuk risiko praktis bagi setiap pengguna karena laporan tidak mengukur jumlah korban atau prevalensi infeksi di Indonesia.
Yang belum diketahui: belum ada data publik yang kami temukan tentang jumlah perangkat Indonesia yang terinfeksi Hirudo atau kerugian yang secara teratribusi ditimbulkan malware ini. Status terkini distribusi dan dampak aktual memerlukan konfirmasi dari penegak hukum, bank, dan peneliti independen.
Sumber: ThreatFabric — Hirudo: From Fake Updates to Patched Banking Apps (14 Oktober 2026); Kontan — IASC Terima 737.686 Laporan Kasus Penipuan hingga Oktober 2026 (5 November 2026); CNBC Indonesia — Scam Makin Marak, Nyaris Rp1 Triliun Duit Warga Raib (5 November 2026).