KALIMANTAN UTARA — Group-IB, perusahaan keamanan siber global, merilis laporan yang mengungkap modus operandi kampanye WindRelay yang berlangsung antara November 2025 hingga Juli 2026. Serangan ini terbilang unik karena pelaku tidak hanya mencuri data, tetapi mengendalikan langsung perangkat korban secara real-time melalui panggilan telepon yang berlangsung lama. Target utama serangan ini adalah pengguna HP Android di Republik Ceko, Slowakia, dan Slovenia.
Kombinasi Vishing dan Malware NFC yang Mematikan
Serangan diawali dengan pengintaian. Pelaku mengumpulkan informasi pribadi korban seperti nomor telepon dan identitas, kemungkinan dari kebocoran data sebelumnya. Setelah itu, pelaku menelepon korban dengan menyamar sebagai pegawai bank dan mengarahkan korban untuk menginstal aplikasi bernama SpyNote melalui package installer, metode standar untuk memasang aplikasi di luar toko resmi Google Play Store.
SpyNote adalah trojan akses jarak jauh (RAT) yang memungkinkan pelaku mengambil alih perangkat. Namun, alih-alih berhenti di situ, pelaku secara manual menginstal malware kedua bernama WindRelay. Malware ini dirancang khusus untuk memanfaatkan fitur Near-Field Communication (NFC) pada HP Android.
Setelah WindRelay aktif, HP korban berubah fungsi menjadi terminal Point of Sale (POS) ilegal. Saat korban menempelkan kartu pembayaran contactless ke bagian belakang HP, data kartu langsung dikirim ke terminal milik penyerang. Proses ini terjadi secara real-time, memungkinkan pelaku melakukan pembayaran atau transfer tanpa sepengetahuan korban.
Panggilan Telepon Rata-rata Berlangsung 13 Menit
Yang membuat serangan ini berbahaya adalah lamanya durasi panggilan. Group-IB mencatat rata-rata panggilan berlangsung sekitar 13 menit. Selama waktu tersebut, korban tidak hanya menginstal dua malware, tetapi juga diminta menempelkan kartu bank mereka ke HP untuk "verifikasi keamanan". Dalam satu kasus yang ditemukan peneliti, pelaku bahkan berhasil mengajukan pinjaman atas nama korban di bank, memperbesar kerugian finansial.
Peneliti Group-IB menemukan 23 sampel malware yang diunggah ke VirusTotal selama periode tujuh bulan. Jumlah ini mengindikasikan serangan bersifat sangat personal dan terukur, bukan kampanye massal. Setiap sampel malware memiliki teks dalam bahasa lokal negara target dan beberapa di antaranya memuat elemen UI yang dipersonalisasi, seperti nama lengkap korban.
Label Aplikasi dengan Nama Pribadi Jadi Ciri Khas
"Taktik semacam ini lebih efektif untuk melemahkan pertahanan alami dan kecurigaan korban. Ini menghilangkan satu isyarat yang biasa diperiksa orang sebelum menginstal sesuatu yang tidak dikenal — nama aplikasi yang aneh atau generik — tepat pada saat mereka paling ragu," tulis peneliti Group-IB dalam laporannya. Pelaku mempersonalisasi label aplikasi SpyNote dengan nama korban untuk membangun kepercayaan.
Metode vishing plus malware sebenarnya bukan hal baru di dunia keamanan siber. Kelompok peretas ShinyHunters pernah menggunakan teknik serupa dengan menyamar sebagai tim IT dan mengarahkan korban ke portal login palsu. Namun, kampanye WindRelay menunjukkan evolusi signifikan karena pelaku bertahan di telepon sampai seluruh proses selesai, tidak hanya sampai korban menyerahkan kredensial.
Langkah Mitigasi untuk Pengguna Android
Group-IB mengingatkan pengguna untuk waspada terhadap aplikasi yang labelnya memakai nama pribadi, terutama jika diminta menginstal melalui package installer. Instalasi aplikasi di luar Google Play Store adalah sinyal bahaya utama yang tidak boleh diabaikan. Pengguna juga disarankan menambah verifikasi berlapis untuk pengajuan pinjaman di aplikasi perbankan.
Bagi pengguna Android di Indonesia, serangan ini menjadi pengingat bahwa fitur NFC yang memudahkan pembayaran juga bisa menjadi celah keamanan. Pastikan NFC dalam keadaan mati saat tidak digunakan dan jangan pernah menempelkan kartu ke HP milik orang lain atau perangkat yang tidak dikenal. Jika menerima panggilan mengatasnamakan bank yang meminta instalasi aplikasi, segera tutup dan hubungi call center resmi bank terkait.
