MoSecureSebagian besar kesalahan keamanan mobile di bank bukan karena lalai. Kesalahan itu berasal dari asumsi yang dulu masuk akal, sebagian masih benar, sehingga tidak pernah diperiksa ulang. Berikut lima asumsi yang sering kami temui, ditambah satu tentang kategori produk kami sendiri.
1. “iOS sudah aman, jadi risikonya ada di Android”
Yang benar: App Store Apple yang tertutup dan sandbox yang ketat menghentikan sebagian besar malware massal yang menyerang Android, dan sebagian besar nasabah Indonesia memakai Android: sekitar 79% pengguna mobile pada September 2026, dibandingkan sekitar 21% pengguna iOS.2
Di mana asumsi ini tidak berlaku: satu dari lima nasabah tetap kelompok yang besar, dan iPhone yang di-jailbreak itu ada. Di perangkat yang di-jailbreak, aplikasi Anda bisa dipelajari dan dimodifikasi seperti aplikasi lain. Selain itu, penipuan social engineering, ketika nasabah dibujuk untuk mengirim uangnya sendiri, sama sekali tidak bergantung pada sistem operasi.
Sebaiknya: perlakukan iOS sebagai lebih aman, bukan aman. Terapkan pemeriksaan integritas dan keputusan di sisi server yang sama untuk kedua aplikasi, meskipun volume ancamannya berbeda.
2. “Obfuscation sudah cukup”
Yang benar: obfuscation membuat kode hasil dekompilasi jauh lebih sulit dibaca, dan menaikkan biaya untuk mempelajari aplikasi Anda.
Di mana asumsi ini tidak berlaku: obfuscation memperlambat orang yang membaca aplikasi. Obfuscation tidak menghentikan orang yang menempel ke aplikasi saat sedang berjalan, atau yang mem-build ulang salinan yang dimodifikasi lalu menyebarkannya. Apa pun yang ikut di dalam aplikasi, termasuk key dan konfigurasi, sebaiknya dianggap pada akhirnya bisa dibaca oleh penyerang yang gigih.
Sebaiknya: gabungkan hardening saat build dengan pemeriksaan saat aplikasi berjalan, simpan rahasia yang sesungguhnya di server, dan biarkan server memverifikasi bahwa ia berkomunikasi dengan salinan asli aplikasi Anda.
3. “Pen test kami sudah lolos”
Yang benar: pen test menemukan masalah nyata, dan regulator serta auditor mengharapkannya.
Di mana asumsi ini tidak berlaku: pen test adalah potret sesaat. Pen test mencakup satu build, dengan cakupan dan jumlah hari yang terbatas. Aplikasi Anda berubah di setiap rilis; penyerang mengerjakannya setiap hari, tanpa tenggat dan dengan tool terbaru. Pen test menguji aplikasi Anda sekali. Penyerang mengujinya setiap hari setelahnya.
Sebaiknya: tetap lakukan pen test, lalu tambahkan perlindungan yang terus bekerja setelahnya, di setiap perangkat dan setiap sesi, dengan visibilitas atas apa yang benar-benar terjadi di lapangan.
4. “Deteksi root sudah menyelesaikan masalah”
Yang benar: ponsel yang di-root atau di-jailbreak adalah salah satu sinyal risiko yang paling jelas.
Di mana asumsi ini tidak berlaku: ada tool yang dibuat khusus untuk menyembunyikan root dari aplikasi, dan tool tersebut terus diperbarui. Satu pemeriksaan ya/tidak di dalam aplikasi bisa dikelabui, dan penyerang yang gigih terkadang bisa lolos dari semua pemeriksaan di perangkat.
Sebaiknya: gunakan pemeriksaan berlapis alih-alih satu pemeriksaan, tambahkan atestasi berbasis hardware dari platform jika memungkinkan, dan ambil keputusan akhir di server, tempat keputusan itu tidak bisa dihapus dari aplikasi.
5. “Keamanan ada di server; aplikasi hanya tampilan depan”
Yang benar: server adalah tempat penegakan yang tepat, dan kontrol di sisi server tetap penting.
Di mana asumsi ini tidak berlaku: serangan saat ini terjadi di ponsel. Malware menampilkan overlay, menyalahgunakan Accessibility, atau membiarkan operator mengendalikan perangkat; kampanye yang didokumentasikan Group-IB pada September 2026 menjalankan aplikasi bank hasil kloning di work profile tersembunyi.3 Server lalu melihat pengguna yang benar, password yang benar, dan OTP yang valid. Bukti bahwa ada yang salah hanya ada di perangkat.
Sebaiknya: bawa bukti perangkat dan sesi ke dalam keputusan server, dan pastikan bukti itu segar serta berasal dari aplikasi asli, bukan token yang diputar ulang atau disalin.
Dan satu tentang kategori kami sendiri: “Pasang RASP, aplikasi tidak bisa dibobol”
Vendor yang jujur tidak seharusnya mengklaim ini. Perlindungan di dalam aplikasi menaikkan biaya dan upaya untuk menyerang aplikasi, mendeteksi banyak serangan saat terjadi, dan memungkinkan Anda merespons. Perlindungan ini tidak membuat aplikasi mustahil dibobol, dan tidak menggantikan desain yang aman.
Standar keamanan mobile OWASP menyatakan hal yang sama: obfuscation, anti-tampering, dan runtime self-protection adalah lapisan pertahanan tambahan, dan “tidak boleh digunakan sebagai pengganti arsitektur keamanan yang tepat” (terjemahan kami). Standar itu juga mengingatkan bahwa beragamnya perangkat Android dapat menimbulkan false positive yang membuat pengguna sah tidak bisa memakai aplikasi.1 Karena itu kami menyarankan untuk memulai dengan mode report, membaca data dari pengguna Anda yang sebenarnya, baru kemudian mengubah respons ancaman menjadi block.
Ringkasan
| Asumsi | Yang benar | Yang terlewat |
|---|---|---|
| iOS sudah aman | Jauh lebih sedikit malware massal | Jailbreak, dan penipuan yang tidak peduli platform |
| Obfuscation sudah cukup | Memperlambat pembacaan kode | Serangan pada aplikasi yang sedang berjalan, dan salinan hasil build ulang |
| Pen test sudah lolos | Masalah nyata ditemukan dan diperbaiki | Setiap hari dan setiap rilis setelah pengujian |
| Deteksi root sudah cukup | Sinyal risiko yang kuat | Tool penyembunyi root; satu pemeriksaan mudah dikelabui |
| Keamanan ada di server | Penegakan memang di sana | Bukti yang hanya ada di perangkat |
| RASP membuat aplikasi tak bisa dibobol | Menaikkan biaya penyerang | Desain yang aman tetap diperlukan |
Posisi MoSecure. MoTogu memperkuat aplikasi Anda yang sudah jadi, lalu terus memeriksanya selama berjalan, dari perangkat yang di-root atau di-jailbreak, hooking, debugger, emulator, repackaging, hingga intersepsi jaringan, dengan respons yang Anda atur dan ubah dari server. MoNetra membawa bukti perangkat dan sesi yang segar dan teratestasi hardware ke dalam keputusan backend Anda saat login, device binding, dan transfer. Keduanya tidak menggantikan desain yang aman atau kontrol yang sudah Anda miliki; keduanya adalah lapisan tambahan di atasnya.
Baca juga: Lima tahap mobile fraud · Gigabud dan aplikasi bank hasil kloning
Sumber
- OWASP MASVS: MASVS-RESILIENCE, Resilience against reverse engineering and tampering
- StatCounter: Mobile operating system market share in Indonesia (September 2026)
- Group-IB, 9 Sep 2026: Vwork: Weaponized Open-source Software as an Addon for Gigabud (bahasa Inggris)
Angka sesuai laporan sumber di atas pada saat tulisan ini dibuat. Menemukan kesalahan? Kirim email ke contact@mosecure.id dan kami akan memperbaikinya.