File berakhiran .apk yang masuk lewat chat adalah pemasang aplikasi Android, bukan undangan, resi paket, atau tagihan. Dokumen asli datang sebagai gambar, PDF, atau tautan ke situs resmi.
Jangan ketuk file .apk di chat, jangan izinkan pemasangannya, dan hapus pesannya. Membuka pesan saja tidak memasang apa-apa; bahayanya mulai saat Anda mengetuk file lalu menyetujui pemasangan. Bila sudah terlanjur terpasang, putuskan internet, hubungi bank dari perangkat lain, cabut izin dan hapus aplikasinya, lalu atur ulang HP bila ragu.
Apa itu APK dan mengapa penipu memakainya
APK adalah format berkas pemasang aplikasi Android, setara dengan .exe di Windows. Aplikasi resmi dipasang dari Google Play Store, tempat aplikasinya diperiksa lebih dulu. File APK yang dikirim lewat chat tidak melewati pemeriksaan itu, jadi isinya bisa apa saja.
Pada Februari 2023, Direktur Jenderal Aplikasi Informatika Kominfo (kini Komdigi) meminta masyarakat tidak mengunduh file APK dari nomor asing. Saat itu beredar APK berkedok “Surat Undangan Pernikahan Digital” di WhatsApp. Programnya bisa memerintahkan HP mengambil kata sandi dan data pribadi. Pesannya singkat: kalau bukan nomor resmi, jangan diklik.
Kemasannya berganti-ganti: undangan pernikahan, kurir yang mengirim foto atau resi paket, tagihan BPJS Kesehatan, sampai pemberitahuan pajak. Pelaku juga sering mengaku dari bank atau instansi agar pesannya terlihat meyakinkan.
Setelah terpasang, aplikasi semacam ini bisa membaca SMS, termasuk kode OTP, lalu mencoba masuk ke mobile banking atau dompet digital Anda. Cara kerjanya mirip aplikasi pemantau yang dibahas di panduan memeriksa HP disadap: meminta izin luas seperti Accessibility, akses SMS, atau akses notifikasi.
Ciri file APK berbahaya di chat
| Ciri | Mengapa mencurigakan |
|---|---|
| Namanya berakhiran .apk, atau seperti “undangan.pdf.apk” | Undangan, resi, dan tagihan asli tidak berupa pemasang aplikasi. Nama ganda memancing Anda mengira itu PDF |
| Datang dari nomor asing, atau dari kenalan yang tidak biasa mengirim file | Akun kenalan bisa saja sudah dibajak (lihat panduan WhatsApp dibajak) |
| Pengirim mengaku dari bank, kurir, atau instansi, tetapi lewat WhatsApp pribadi | Bank tidak meminta data pribadi atau perbankan lewat pesan online, dan layanan resmi punya aplikasi atau situs sendiri |
| Alasannya mendesak: paket tertahan, tagihan jatuh tempo, undangan “lihat sekarang” | Desakan membuat orang mengetuk sebelum berpikir |
| Android menanyakan izin “pasang aplikasi dari sumber ini” | Dokumen biasa tidak butuh izin memasang aplikasi |
| Setelah terpasang, aplikasi meminta izin Accessibility, SMS, atau admin perangkat | Izin itu memberi akses membaca layar dan pesan, jauh melebihi kebutuhan sebuah “undangan” |
Ceklis 30 detik sebelum mengetuk file dari chat
- Lihat nama dan ekstensi file. Bila berakhiran .apk, berhenti di sini.
- Tanyakan: apakah saya menunggu dokumen ini, dan apakah pengirimnya orang yang saya kenal?
- Hubungi pengirim lewat telepon biasa, bukan membalas chat yang sama, untuk memastikan.
- Untuk paket, tagihan, dan undangan, buka situs atau aplikasi resmi kurir, penyedia layanan, atau penyelenggara yang Anda buka sendiri.
- Bila Android menanyakan izin memasang aplikasi dari sumber tidak dikenal, tolak.
Tiga lapis pengaman di HP Android
HP sudah punya penjaga bawaan, tetapi cara kerjanya berbeda-beda. Tabel ini menunjukkan apa yang bisa diandalkan dan apa yang tidak.
| Pengaman | Yang dilakukan | Batasnya |
|---|---|---|
| Play Protect | Memeriksa aplikasi yang dipasang dari luar Play Store saat Anda mencobanya, dan memindai HP setiap hari. Aplikasi yang paling berbahaya dihapus otomatis, yang kurang berbahaya dinonaktifkan | Biasanya hanya memberi peringatan; pemasangan baru diblokir dalam kasus ekstrem. Ancaman yang masih baru bisa lolos, jadi peringatan jangan diabaikan |
| Perlindungan ancaman yang diperkuat (Enhanced Threat Protection) | Fitur tambahan Play Protect untuk aplikasi dari luar Play Store, diluncurkan di Indonesia oleh Kemenkomdigi dan Google pada 18 Februari 2025 | Rincian izin yang diblokirnya di Indonesia tidak dijelaskan dalam pengumuman peluncuran, jadi jangan dijadikan satu-satunya andalan |
| Auto Blocker (HP Samsung Galaxy) | Memblokir pemasangan aplikasi dari luar Galaxy Store dan Google Play. Buka Settings > Security and privacy > Auto Blocker. Pilihan Maximum restrictions juga memblokir tautan dan pratinjau di pesan | Aktif bawaan hanya di Galaxy yang dirilis dengan One UI 6.1.1; HP yang diperbarui ke versi itu mempertahankan setelan lamanya. Aplikasi yang diunduh saat fitur mati tidak bisa diperbarui selama fitur menyala |
Pengaman paling efektif tetap kebiasaan Anda: tidak mengetuk file yang tidak diminta. Bila Auto Blocker menolak aplikasi yang Anda yakini aman, matikan sementara, pasang, lalu nyalakan lagi.
Kalau sudah terlanjur terpasang
Bertindaklah dalam urutan ini. Dua langkah pertama menutup jalan bagi pencuri data sebelum Anda membersihkan HP.
| Urutan | Yang dilakukan | Alasannya |
|---|---|---|
| 1 | Aktifkan mode pesawat atau matikan wifi dan data seluler | Memutus aplikasi dari penerima data |
| 2 | Jangan buka mobile banking atau dompet digital dari HP ini. Hubungi bank dari perangkat lain atau telepon biasa, minta blokir kartu atau akses, dan ganti PIN | Aplikasi bisa membaca layar dan SMS, jadi apa pun yang Anda ketik bisa ikut terbaca |
| 3 | Cari aplikasi yang asalnya tidak jelas, cabut izin SMS-nya, lalu hapus. Periksa juga Device admin apps, Accessibility, dan Notification access (lihat langkah pemeriksaan 10 menit). Bila tombol hapus abu-abu, matikan dulu haknya di Device admin apps | Aplikasi tidak bisa dihapus selama masih memegang hak pengelola perangkat |
| 4 | Dari perangkat yang bersih, ganti kata sandi email utama dan keluarkan semua sesi di Akun Google dan WhatsApp | Kata sandi yang diketik di HP itu mungkin sudah terbaca |
| 5 | Bila masih ragu, cadangkan foto dan kontak lalu atur ulang pabrik (lihat cara backup HP Android dan panduan reset pabrik). Pasang hanya aplikasi yang diperlukan, jangan memulihkan semua aplikasi dari cadangan | Atur ulang pabrik adalah cara paling yakin membuang aplikasi tersembunyi |
| 6 | Lapor ke bank, dan bila ada kerugian, ke OJK dan polisi (lihat bagian berikutnya) | Pelaporan cepat membantu penelusuran dana |
Mode aman (Safe mode) menjalankan HP tanpa aplikasi pihak ketiga, jadi aplikasi yang bandel kadang lebih mudah dihapus di sana. Di Samsung Galaxy: matikan HP, nyalakan lagi, dan tahan tombol Volume bawah begitu logo Samsung muncul sampai tulisan “Safe mode” tampil di pojok kiri bawah. Restart HP untuk keluar.
Ke mana melapor
Pengaduan penipuan sektor keuangan bisa lewat Kontak OJK 157 (telepon 157, WhatsApp 081 157 157 157, email konsumen@ojk.go.id). Pengaduan juga bisa lewat Indonesia Anti-Scam Centre (IASC) yang dibentuk OJK bersama pihak terkait. Satgas PASTI pernah mengimbau agar pengguna waspada pada situs palsu yang mengaku sebagai IASC.
Karena itu, jangan membuka alamat pelaporan dari tautan di chat atau iklan; ketik sendiri atau tanyakan ke 157. Untuk bank, pakai nomor di kartu atau aplikasi resminya, misalnya Mandiri Call 14000 atau Halo BCA 1500888.
Pencegahan yang paling efektif
- Pasang aplikasi hanya dari Google Play Store. Pastikan Play Protect aktif: Play Store, ikon profil, Play Protect, Setelan, lalu nyalakan Pindai aplikasi dengan Play Protect.
- Jangan beri izin memasang aplikasi dari sumber tidak dikenal. Izin ini diberikan per aplikasi dan bisa dicabut kapan saja. Di Pixel: Settings > Apps > Special app access > Install unknown apps, pilih aplikasinya, lalu matikan Allow from this source. Di merek lain letak menunya bisa berbeda; cari “tak dikenal” atau “unknown apps” di kolom pencarian Setelan. Cabut dari WhatsApp, browser, dan pengelola berkas.
- Anggap file di chat sebagai tamu tak diundang. Konfirmasi lewat jalur lain sebelum membuka.
- Beri tahu keluarga yang kurang terbiasa dengan teknologi. Orang tua sering menjadi sasaran karena terbiasa mengetuk apa yang dikirim anak atau kenalan.
Anggapan yang sering keliru
- “Membuka pesannya saja sudah membuat HP terinfeksi.” Tidak. Aplikasi baru terpasang bila Anda mengetuk file dan menyetujui pemasangannya.
- “iPhone bisa tertipu APK juga.” Format APK hanya untuk Android. Pengguna iPhone tetap perlu waspada pada tautan palsu, tetapi file APK tidak bisa dipasang di iPhone.
- “Kalau dari teman, pasti aman.” Akun teman bisa dibajak. Konfirmasi lewat telepon.
- “Ada Play Protect, jadi aman mengetuk.” Untuk aplikasi dari luar Play Store, Play Protect biasanya hanya memberi peringatan, dan keputusan akhir tetap di tangan Anda. Pemasangan baru diblokir dalam kasus ekstrem.
Pertanyaan yang Sering Ditanyakan
Bagaimana cara tahu file itu APK bila ekstensinya tersembunyi?
Ketuk dan tahan file untuk melihat info, lalu baca nama lengkapnya. Nama seperti “undangan.pdf.apk” tetap APK walau diawali .pdf. Cara teraman: jangan membuka berkas yang tidak Anda minta.
Apakah penipu bisa mengambil uang hanya karena aplikasi terpasang?
Aplikasi berbahaya bisa membaca SMS, termasuk kode OTP, lalu pelaku mencoba mengakses mobile banking atau dompet digital. Karena itu langkah pertama yang mendesak adalah menghubungi bank dari perangkat lain.
Haruskah saya membalas dan memarahi pengirim?
Tidak perlu. Hapus pesannya, blokir nomornya, dan bila pengirimnya kenalan, beri tahu lewat telepon bahwa akunnya mungkin dibajak.
Sumber dan rujukan resmi
Imbauan pemerintah soal APK undangan digital dimuat dalam pemberitaan Kompas tentang imbauan Kementerian Kominfo. Pengaturan Play Protect ada di halaman bantuan Google Play Protect, sedangkan perlakuannya terhadap aplikasi dari luar Play Store dijelaskan di dokumentasi perlindungan Play Protect di perangkat.
Untuk izin pemasangan, lihat halaman bantuan Pixel tentang mengunduh aplikasi (bahasa Inggris) dan halaman Samsung tentang Auto Blocker (bahasa Inggris). Kanal pengaduan ada di imbauan Satgas PASTI OJK tentang IASC, dan langkah bila APK terlanjur terpasang dilengkapi halaman waspada Bank Mandiri.
Punya pertanyaan atau menemukan kekeliruan di panduan ini? Kirim ke info@infopintar.com.