Pesan WhatsApp berisi “undangan pernikahan”, “foto paket”, atau “tagihan” dengan lampiran berakhiran .apk sudah beredar sejak beberapa tahun lalu, tetapi belum hilang. Pada 2026 modus ini masih diberitakan, bahkan meluas ke kedok tagihan pajak. Satu kali pasang, malware di dalamnya bisa membaca SMS termasuk kode OTP, lalu membuka jalan untuk menguras rekening.
Apa yang terjadi
DetikJabar pada 27 Juni 2026 kembali mengingatkan bahwa file APK berkedok undangan pernikahan masih beredar di WhatsApp. File APK yang diunduh di luar toko aplikasi resmi dapat berisi malware, spyware, atau trojan yang mampu mencuri data pribadi dan menyasar aplikasi perbankan.
Kedoknya pun berkembang. Direktorat Jenderal Pajak lewat Pengumuman PENG-18/PJ.09/2026 tertanggal 15 Februari 2026, seperti dilaporkan Kompas TV, memperingatkan pelaku yang mengatasnamakan DJP dan meminta wajib pajak mengunduh file .apk lewat WhatsApp, termasuk tautan palsu aplikasi M-Pajak. DJP menegaskan tidak pernah meminta pengunduhan aplikasi berformat APK.
Pusiknas Bareskrim Polri dalam artikelnya (13 Juni 2025) mencatat beragam kedok pesan APK: undangan pernikahan, resi ekspedisi, tagihan listrik, surat tilang, tagihan BPJS, hingga tagihan pajak. Artikel itu juga mencatat bahwa sejak Januari hingga 11 Juni 2025 ada 8.633 korban kejahatan manipulasi data autentik secara elektronik yang ditangani Polri, kategori yang mencakup modus semacam ini.
Cara kerja penipuan file APK, langkah demi langkah
- Pesan umpan. Pelaku mengirim pesan yang terasa wajar: undangan dari “kerabat”, foto paket dari “kurir”, atau tagihan dari “instansi”.
- Lampiran menyamar. Nama file dibuat mirip dokumen atau foto, misalnya “Lihat Foto Paket” atau “Undangan”, padahal berformat .apk.
- Instalasi dan izin. Saat dibuka, ponsel meminta izin memasang aplikasi dari sumber tidak dikenal, lalu aplikasi meminta akses membaca SMS dan notifikasi.
- Pencurian data. Malware diam-diam meneruskan SMS, termasuk OTP perbankan, serta data lain ke pelaku.
- Pengurasan dan penyebaran. Pelaku memakai data itu untuk transaksi dari rekening atau dompet digital korban, dan kadang membajak WhatsApp korban untuk menyebar pesan yang sama ke kontak lain.
Mengapa masih banyak yang tertipu
Pesannya terasa personal dan mendesak. Undangan dari kerabat membuat penasaran, foto paket membuat khawatir ada kiriman bermasalah, dan tagihan pajak atau listrik memicu takut terkena denda. Dalam keadaan seperti itu, orang cenderung langsung menekan lampiran tanpa memperhatikan ekstensi file.
Nomor pengirim juga bisa milik kenalan yang akunnya sudah dibajak. Karena itu, jangan jadikan “saya kenal pengirimnya” sebagai alasan untuk membuka file. Aturannya sederhana: undangan, foto, resi, dan tagihan tidak pernah berbentuk aplikasi. Jika ada lampiran .apk, tanyakan langsung kepada pengirimnya lewat telepon.
Tanda-tanda bahaya
- Lampiran berakhiran .apk, berapa pun nama filenya. Undangan dan foto tidak pernah berbentuk aplikasi.
- Pengirim nomor tidak dikenal, atau nomor kenalan yang tiba-tiba mengirim file tanpa konteks.
- Ponsel meminta izin “instal aplikasi tidak dikenal”.
- Aplikasi baru meminta akses SMS, notifikasi, atau aksesibilitas.
- Setelah dibuka, ponsel menjadi lambat, sering restart, atau muncul notifikasi OTP yang tidak Anda minta.
Cara melindungi diri
- Jangan pernah memasang file APK yang dikirim lewat chat, dari siapa pun.
- Pasang aplikasi hanya dari Google Play Store atau App Store.
- Matikan izin pemasangan dari sumber tidak dikenal dan aktifkan Google Play Protect.
- Verifikasi dengan menelepon pengirim atau instansi lewat kanal resmi.
- Untuk urusan pajak, akses layanan hanya lewat situs resmi pajak.go.id.
Modus ini adalah bagian dari keluarga modus phishing 2026. Perkuat juga kebiasaan menjaga data dengan panduan cara melindungi data pribadi.
Jika Anda telanjur memasang APK
DetikJabar merangkum lima langkah darurat yang sejalan dengan panduan Bank Indonesia:
- Putuskan koneksi internet (data seluler dan Wi-Fi) agar data tidak terus terkirim.
- Hapus aplikasi mencurigakan lewat Pengaturan > Aplikasi, gunakan Safe Mode bila perlu, dan hapus file .apk dari folder unduhan.
- Pindai perangkat dan pastikan Google Play Protect aktif.
- Ganti kata sandi dan PIN mobile banking, dompet digital, email, dan media sosial, sebaiknya dari perangkat lain.
- Pertimbangkan factory reset sebagai langkah terakhir setelah mencadangkan data.
Segera hubungi bank lewat nomor resmi untuk memblokir akses dan memantau transaksi. Jika saldo sudah berkurang, laporkan ke bank agar diteruskan ke IASC, dan ke polisi.
Ke mana melapor
Siapkan bukti berupa tangkapan layar percakapan, bukti transfer, nomor rekening atau nomor telepon pelaku, serta tautan akun atau situs yang digunakan. Lalu hubungi kanal berikut:
- Bank atau penyedia dompet digital Anda lewat nomor resmi, secepat mungkin, agar transaksi bisa ditelusuri dan laporan diteruskan ke Indonesia Anti-Scam Centre (IASC).
- IASC melalui iasc.ojk.go.id (situs resmi, tanpa biaya).
- Kontak OJK 157, WhatsApp 081-157-157-157, atau portal kontak157.ojk.go.id untuk pengaduan terkait jasa keuangan, investasi, dan pinjaman online.
- Satgas PASTI untuk investasi ilegal dan pinjol ilegal, melalui email pasti@ojk.go.id atau kanal pengaduan OJK.
- aduankonten.id (Komdigi) untuk melaporkan situs, akun, aplikasi, atau konten penipuan.
- cekrekening.id untuk mengecek dan melaporkan rekening yang dipakai penipu.
- patrolisiber.id atau kantor polisi terdekat untuk laporan pidana ke Polri.
Pertanyaan yang sering diajukan (FAQ)
Apakah membuka pesan WhatsApp saja sudah berbahaya?
Umumnya bahaya muncul saat file APK dipasang dan diberi izin. Karena itu jangan membuka atau memasang lampiran .apk.
Kenapa pelaku mengincar akses SMS?
Karena kode OTP perbankan sering dikirim lewat SMS. Dengan akses itu, pelaku bisa menyetujui transaksi tanpa sepengetahuan Anda.
Apakah iPhone juga terdampak?
File APK adalah format aplikasi Android, jadi modus ini terutama menyasar pengguna Android. Pengguna iPhone tetap perlu waspada terhadap tautan phishing.
DJP pernah mengirim aplikasi lewat WhatsApp?
Tidak. DJP menegaskan tidak pernah meminta masyarakat mengunduh aplikasi berformat APK.
Sumber
- DetikJabar – Telanjur Klik “APK Undangan” di WhatsApp? Segera Lakukan 5 Langkah Ini (27 Juni 2026)
- Kompas TV – Waspada Penipuan Pajak 2026, Link M-Pajak dan Coretax Palsu (18 Februari 2026)
- Pusiknas Bareskrim Polri – Klik Pesan dengan File APK, Hati-hati Uang Terkuras (13 Juni 2025)
- Bank Indonesia – Telanjur Klik APK Penipuan? Segera Ikuti 5 Langkah Ini
Artikel ini disusun redaksi penipuan.id berdasarkan laporan media dan pernyataan resmi yang dikutip di atas, untuk edukasi masyarakat. Angka dan fakta mengikuti sumber pada tanggal publikasinya.