Dari pencurian OTP ke remote control: evolusi fraud perbankan Android di Indonesia

Banyak pengguna WhatsApp di Indonesia mungkin masih ingat undangan pernikahan yang ternyata bukan undangan. Pada awal 2023, pesan berisi file bernama "Surat Undangan Pernikahan" menyebar luas. File tersebut adalah APK Android. Untuk memasangnya, korban harus mengabaikan peringatan sumber tidak dikenal dan memberi akses SMS. Tujuannya: menyadap one-time password (OTP) yang dikirim bank melalui SMS.¹

Saat itu pun, seorang pakar keamanan yang dikutip media sudah menunjukkan batasannya: SMS OTP saja tidak cukup. Penyerang tetap membutuhkan user ID, password, atau PIN korban yang diperoleh dengan cara lain.¹ Serangan itu mencuri satu faktor dan bergantung pada upaya mendapatkan faktor lainnya.

Tiga tahun kemudian, penyerang tidak memerlukan kode

Volumenya meningkat. Kaspersky mencatat kenaikan 56% serangan trojan perbankan di smartphone Android pada 2025, serta 255.090 paket instalasi berbahaya baru, naik 271% dibanding tahun sebelumnya. Aplikasi pesan dan halaman web berbahaya disebut sebagai jalur penyebaran yang umum.²

Namun, perubahan terbesar ada pada kemampuannya. Kampanye Gigabud yang didokumentasikan Group-IB pada September 2026 tidak perlu membaca kode lalu memakainya di tempat lain. Malware ini meminta akses Accessibility, menangkap kode kunci layar lewat overlay tak terlihat, mengkloning aplikasi bank ke work profile tersembunyi, dan membiarkan operator mengetuk serta mengetik di ponsel korban secara real time, di balik layar hitam.³ Transfer berasal dari perangkat nasabah sendiri. OTP apa pun akan tiba di perangkat yang sama, tempat operator yang mengendalikan layar secara langsung bisa membacanya.

Artinya bagi step-up

SMS OTP menjawab pertanyaan "apakah orang ini memegang ponsel nasabah?" Begitu penyerang mengendalikan ponsel tersebut, jawabannya selalu ya. Menambah prompt OTP tidak mengubah hal itu; justru menambah biaya dan membuat nasabah terbiasa menyetujui tanpa membaca.

Pertanyaan yang lebih tepat saat transfer adalah apakah perangkat dan sesi ini bisa dipercaya saat ini juga. Artinya, melihat hal-hal yang tidak bisa dilihat OTP:

• apakah ada aplikasi tak dikenal yang memegang akses Accessibility atau overlay,
• apakah aplikasi bank merupakan instalasi baru atau hasil kloning, bukan perangkat yang sudah Anda binding berbulan-bulan lalu,
• apakah ritme sesinya terlihat seperti manusia atau operator, dan
• apakah perangkat, akun, atau penerimanya pernah muncul dalam kasus fraud lain.

Dengan cara ini, OTP menjadi salah satu dari beberapa opsi step-up yang dipicu secara selektif saat perangkat atau sesi terlihat janggal, bukan jawaban default untuk setiap transfer.