Kalau aplikasi bank di HP kamu tiba-tiba minta di-uninstall, lalu muncul lagi dalam versi yang kelihatannya sama, jangan langsung pencet ya. Itu bisa jadi bukan update beneran, tapi cara kerja malware baru bernama Hirudo.
Hirudo ini lagi ramai dibahas karena sasarannya justru pengguna mobile banking di Indonesia. Cara kerjanya beda dari malware bank biasa yang cuma numpangin layar login palsu. Hirudo ini mengganti aplikasi bank asli dengan versi yang sudah dimodifikasi, supaya pengaman di dalam aplikasi itu sendiri bisa dibypass dari dalam.
Intinya dulu, biar cepat
- Hirudo adalah trojan Android jenis remote access, dilaporkan firma keamanan ThreatFabric pada 14 Oktober 2026.
- Ia menargetkan 42 aplikasi keuangan, tapi versi pengganti yang khusus dibuat baru ada untuk 8 aplikasi bank Indonesia dari 7 bank.
- Nama banknya satu per satu belum terkonfirmasi dari sumber yang dibaca, jadi artikel ini tidak menulis daftar bank seolah sudah resmi.
- Jumlah korban juga belum diketahui, dan tidak ada bukti sistem bank yang dibobol. Yang diserang adalah HP pengguna.
- Langkah pencegahannya bisa langsung kamu praktikkan, dan risikonya rendah kalau dilakukan dengan benar.
Hirudo itu apa, dan kenapa beda?
Bayangin begini. Malware bank yang lama biasanya kerja seperti ini: kamu buka aplikasi bank asli, lalu tiba-tiba muncul layar login palsu di atasnya, dan kamu tanpa sadar mengetik PIN di layar palsu itu. Hirudo tidak main begitu. Ia mencoba mengganti aplikasi banknya sekalian.
Versi pengganti itu, menurut ThreatFabric, hampir semua kodenya masih sama dengan aplikasi asli, tapi sudah disisipi mesin hooking yang dibangun dari framework open source YAHFA dan Dobby. Mesin itu yang bikin aplikasi palsu bisa mengembalikan sertifikat asli saat ditanya, menyembunyikan layanan Aksesibilitas yang aktif, menghapus batasan tangkapan layar, dan meneruskan cek Play Integrity ke server operator lewat HTTP biasa. Hasilnya, pengaman yang seharusnya ada di dalam aplikasi jadi tidak berfungsi seperti seharusnya.
ThreatFabric juga menemukan panel backend operator yang tidak diamankan, berisi ribuan entri kredensial aplikasi, plus data perangkat, riwayat kunci layar, dan profil keuangan. Itu gambaran seberapa banyak data yang sudah dikumpulkan operasi ini, bukan angka korban yang pasti.
Dari mana Hirudo masuk ke HP?
Jalur masuknya lewat aplikasi umpan yang kelihatan normal dan memang berfungsi. Nama-nama yang disebut di laporan adalah Shopora untuk belanja, 1V1 X untuk konten dewasa, dan ZoyaTV serta KoiShort untuk drama pendek. Aplikasi umpan itu membawa Hirudo sebagai paket instalasi terpisah, yang lalu ditawarkan sebagai update di dalam aplikasi.
Ada juga laporan soal halaman web palsu yang meniru Play Store, yang disebarkan lewat iklan Meta. Jadi bukan cuma dari APK yang beredar di forum gelap. Jalurnya bisa lewat iklan yang kelihatan meyakinkan.
Yang penting diingat: Hirudo tidak langsung jalan sendiri begitu aplikasi umpan terpasang. Ia butuh izin sendiri, terutama Aksesibilitas dan notifikasi, sebelum bisa melakukan aksi jahatnya. Dan saat mengganti aplikasi bank, ia tetap butuh persetujuan pengguna di prompt sistem Android, karena versi pengganti itu memakai kunci tanda tangan yang berbeda dari bank asli, sehingga Android tidak akan menimpanya begitu saja di atas aplikasi asli. Aplikasi asli harus dihapus dulu, lalu versi pengganti diinstal dengan persetujuan pengguna.
Apa yang bisa dicuri kalau sudah terpasang?
Kalau sudah aktif, Hirudo bisa mencuri password bank, PIN pembayaran, rahasia buka kunci perangkat, dan SMS. Ia juga bisa mengendalikan HP dari jarak jauh secara real time, mengambil tangkapan layar, merekam audio, dan mengakses kedua kamera, menurut laporan ThreatFabric yang dikutip banyak media.
Ada juga halaman checkout palsu yang transparan di atas halaman pesanan di aplikasi umpan. Halaman itu bisa menangkap PIN pembayaran dan mengembalikan hasil pembelian palsu yang seolah berhasil. Ini yang bikin korbannya bisa merasa transaksinya normal, padahal datanya sudah diambil.
Buat kamu yang penasaran soal model AI untuk keamanan siber, bedanya jelas: di sana AI dipakai buat membantu defender menemukan kerentanan, di sini malware dipakai buat menyerang pengguna lewat HP-nya sendiri. Dua sisi yang sama-sama soal keamanan, tapi arahnya berlawanan.
Ciri-ciri yang wajib kamu curigai
Pertama, aplikasi yang bukan bank tiba-tiba minta update yang berujung ke instalasi aplikasi lain. Kedua, aplikasi bank tiba-tiba muncul prompt uninstall yang tidak kamu minta, apalagi diikuti prompt instalasi baru. Ketiga, aplikasi belanja atau hiburan minta izin Aksesibilitas. Fitur Aksesibilitas memang dibuat untuk membantu, tapi kalau dipakai aplikasi yang tidak butuh, itu bisa dipakai membaca layar dan mengetuk atas nama kamu.
Keempat, ada halaman pembayaran yang munculnya aneh, misalnya checkout yang menutupi halaman pesanan asli tapi tidak nyambung dengan riwayat transaksimu. Kalau ada satu saja dari ciri ini, berhenti dulu. Jangan lanjutkan instalasi dari prompt itu.
Langkah pencegahan yang bisa langsung kamu praktikkan
Langkah-langkah ini aman, tidak menghapus data, dan tidak melewati keamanan HP kamu. Lakukan dari yang paling gampang dulu.
Pertama, unduh aplikasi hanya dari Google Play Store atau kanal resmi pengembangnya. Jangan pasang APK dari tautan, iklan, atau situs yang meniru Play Store, sekalipun tampilannya mirip banget.
Kedua, tolak permintaan Aksesibilitas dari aplikasi belanja, video, atau hiburan. Kalau ada aplikasi yang sudah terlanjur dapat izin itu dan kamu tidak yakin kenapa ia butuh, cabut izinnya lewat Pengaturan, lalu Aksesibilitas, lalu cek aplikasi mana saja yang aktif di sana.
Ketiga, cek berkala di Android lewat Pengaturan, lalu Keamanan, lalu Google Play Protect, lalu jalankan pemindaian. Perbarui juga sistem HP kamu, karena pembaruan sistem sering menutup celah yang dipakai malware.
Keempat, kalau kamu sudah sempat memasukkan PIN setelah prompt mencurigakan, jangan panik tapi jangan tunda juga. Hapus aplikasi umpan yang dicurigai, pasang ulang aplikasi bank hanya dari Play Store, ganti PIN dan password dari perangkat lain yang bersih, dan hubungi bank lewat nomor resmi untuk memastikan tidak ada transaksi aneh.
Yang tidak perlu kamu lakukan duluan
Jangan jadikan reset pabrik sebagai langkah pertama. Reset memang bisa membersihkan HP, tapi ia menghapus data di HP, jadi itu opsi terakhir setelah cadangan data selesai. Mulai dari langkah pencegahan dan pembersihan aplikasi yang dicurigai dulu, baru pikirkan reset kalau HP masih menunjukkan gejala aneh setelah itu.
Jangan juga mengunduh aplikasi antivirus dari tautan yang tidak jelas dengan dalih mau membersihkan Hirudo. Itu justru bisa jadi jalur masuk malware baru. Pakai Play Protect dan kanal resmi dulu.
Terakhir, jangan berasumsi semua HP Android di Indonesia sudah terinfeksi, dan jangan juga berasumsi HP kamu aman hanya karena belum ada gejala. Hirudo ini menargetkan aplikasi bank Indonesia secara spesifik, jadi kewaspadaan ekstra memang masuk akal, tapi panik yang berlebihan tidak membantu.
Buat siapa artikel ini paling penting?
Paling penting buat kamu yang pakai mobile banking setiap hari di Android, apalagi kalau kamu sering instal aplikasi dari iklan atau dari luar Play Store. Buat kamu yang cuma pakai HP untuk chat dan tidak pernah instal aplikasi aneh, risikonya memang lebih kecil, tapi langkah pencegahan di atas tetap layak dilakukan karena murah dan cepat.
Buat tim keamanan dan pengembang aplikasi bank, laporan ini juga jadi pengingat: cek Play Integrity di sisi server saja tidak cukup kalau responsnya bisa diteruskan dan dipengaruhi dari dalam aplikasi. ThreatFabric menyarankan verifikasi di server yang diikat ke sesi pengguna dan aksi yang dilindungi, plus pengecekan apakah sertifikat attestation sudah dicabut. Itu ranah teknis bank, bukan tugas pengguna, tapi bagus buat kamu tahu kenapa bank perlu berlapis-lapis pengaman.
Putusan akhir
Hirudo ini bukan sekadar gosip HP. Ini contoh nyata bagaimana malware bank berevolusi: dari sekadar meniru layar login, jadi mengganti aplikasinya sekalian. Kabar baiknya, jalur masuknya masih butuh klik dan izin dari pengguna, jadi kamu masih punya banyak kesempatan untuk menghentikannya di awal.
Pegang tiga hal ini: unduh hanya dari Play Store, tolak Aksesibilitas dari aplikasi yang tidak butuh, dan berhenti kalau ada prompt uninstall atau instalasi aplikasi bank yang tidak kamu minta. Tiga hal itu saja sudah menutup sebagian besar jalur Hirudo.
Tanya jawab singkat
Apakah Hirudo membobol sistem bank? Tidak ada bukti itu. Yang diserang adalah HP pengguna dan aplikasi yang terpasang di HP itu.
Apakah semua bank Indonesia sudah jadi korban? Laporan menyebut 8 aplikasi dari 7 bank sudah disiapkan versi penggantinya, tapi nama banknya satu per satu belum terkonfirmasi dari sumber yang dibaca.
Apakah Hirudo jalan sendiri tanpa izin? Tidak. Ia butuh izin Aksesibilitas dan notifikasi sendiri, plus persetujuan pengguna di prompt sistem saat mengganti aplikasi bank.
Apakah reset pabrik wajib dilakukan? Tidak sebagai langkah pertama. Lakukan pencegahan dan pembersihan aplikasi yang dicurigai dulu, dan jadikan reset sebagai opsi terakhir setelah cadangan data.
Sumber
- BleepingComputer, Hirudo Android malware replaces banking apps to evade security checks
- The Hacker News, Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks
- Security Affairs, Hirudo Android Trojan Replaces Banking Apps to Steal Credentials
- NeoTeo, Hirudo Android malware: how it replaces bank apps
Gambar di artikel ini adalah ilustrasi hasil generate, bukan tangkapan layar asli malware atau aplikasi bank. Artikel ini ditulis 1 November 2026 berdasarkan laporan ThreatFabric 14 Oktober 2026 dan pemberitaan yang mengutipnya, dan nama bank yang ditiru tidak ditulis karena belum terkonfirmasi satu per satu dari sumber yang dibaca. Gambar dari sumber asli yang berlisensi tidak tersedia untuk topik ini tanpa risiko menyesatkan, sehingga ilustrasi dipakai dengan keterangan yang jelas.
