Trojan Perbankan Android & Serangan NFC Relay: Anatomi Ancaman Mobile Banking yang Mengintai Nasabah Indonesia 2026

Ponsel adalah dompet, kantor, dan identitas digital sebagian besar masyarakat Indonesia. Dengan lebih dari 200 juta pengguna internet yang mayoritas mengaksesnya lewat perangkat Android, layanan mobile banking, dompet digital, dan QRIS telah menjadi tulang punggung ekonomi harian. Sayangnya, konsentrasi nilai finansial itu justru menjadikan smartphone target paling menggiurkan bagi pelaku kejahatan siber. Sepanjang 2025 hingga 2026, para peneliti keamanan mencatat gelombang serangan trojan perbankan Android yang semakin canggih, memadukan taktik lama seperti serangan overlay dengan modus baru yang mengeksploitasi teknologi pembayaran nirsentuh (NFC). Artikel ini membedah cara kerja ancaman tersebut secara teknis, mengapa nasabah Indonesia berada di garis depan, serta langkah pertahanan konkret bagi individu, bank, dan pengembang aplikasi.

Lonjakan Ancaman: Angka yang Perlu Diwaspadai

Data industri keamanan menunjukkan tren yang jelas memburuk. Jumlah deteksi ancaman terhadap perangkat Android tumbuh hampir 50 persen sepanjang 2025, dengan lonjakan deteksi 38 persen pada kuartal ketiga dibanding kuartal sebelumnya. Kategori banking trojan tumbuh bahkan lebih agresif ketimbang jenis malware lain. Salah satu keluarga trojan paling produktif, Anatsa (dikenal juga sebagai TeaBot), yang telah beredar sejak 2020, terus memperbarui kampanyenya dan sempat meraih lebih dari 90.000 unduhan melalui aplikasi pembaca PDF palsu di Google Play Store sebelum akhirnya ditumpas.

Yang lebih mengkhawatirkan bagi kawasan kita, peneliti keamanan telah mengidentifikasi trojan perbankan seluler baru yang "sangat mumpuni" dan secara spesifik menyasar pengguna Android di Indonesia dan negara-negara Asia Tenggara lainnya. Modus operandinya menyesuaikan diri dengan tampilan aplikasi bank lokal, bahasa, dan kebiasaan pengguna, sehingga jauh lebih meyakinkan dibanding kampanye generik.

Tiga Senjata Utama Trojan Perbankan Modern

Trojan seperti Anatsa dan generasi terbarunya, RatOn, kini menggabungkan beberapa kemampuan berbahaya dalam satu payload. Memahami masing-masing komponen membantu kita mengenali titik lemah yang mereka serang.

1. Serangan Overlay (Layar Palsu di Atas Layar Asli)

Setelah terpasang, malware menampilkan jendela transparan atau layar tiruan yang menutupi aplikasi bank asli. Ketika korban mengetik nama pengguna dan kata sandi, yang mereka lihat adalah tampilan mirip aplikasi bank, tetapi input sebenarnya ditangkap oleh malware. Teknik ini memanfaatkan izin draw over other apps (SYSTEM_ALERT_WINDOW) di Android.

2. Penyalahgunaan Layanan Aksesibilitas

Inilah jantung dari sebagian besar trojan perbankan. Layanan Aksesibilitas (Accessibility Service) di Android dirancang untuk membantu penyandang disabilitas, misalnya membaca layar atau mengotomatiskan ketukan. Namun bila izin ini diberikan kepada aplikasi jahat, malware dapat "melihat" seluruh isi layar, membaca teks yang muncul, menekan tombol secara otomatis, bahkan memberi persetujuan sendiri terhadap dialog izin lain. Kemampuan ini memungkinkan Automated Transfer System (ATS), yaitu transfer dana otomatis tanpa interaksi korban, sebagaimana ditemukan pada malware RatOn.

3. Serangan NFC Relay: Wajah Baru Penipuan Kartu

Modus yang paling menonjol pada 2026 adalah eksploitasi NFC. Malware terbaru bernama NFCShare, yang pertama kali didokumentasikan pada Januari 2026, membawa pencurian data kartu ke level fisik. Alih-alih hanya mencuri kredensial login, NFCShare menyalahgunakan antarmuka IsoDep dan perintah EMV di Android untuk berkomunikasi langsung dengan chip kartu pembayaran korban.

Skenarionya berlangsung demikian: korban menerima pesan atau mengunjungi situs phishing yang meniru situs bank, lalu diminta "memperbarui" aplikasi perbankan mereka. Tautan mengarahkan korban ke repositori GitHub yang menghosting berkas APK berbahaya. Setelah terpasang dan mendapat izin, malware menampilkan overlay bertuliskan "Verifikasi Identitas Diperlukan" yang meminta korban menempelkan kartu debit atau kredit fisik ke bagian belakang ponsel sambil memasukkan PIN. Pada saat itulah data kartu dibaca melalui NFC dan dikirim ke server penyerang menggunakan komunikasi WebSocket secara real-time, memungkinkan penyerang melakukan transaksi nirsentuh atau penarikan tunai di lokasi lain. Perlu ditegaskan: bank yang sah nyaris tidak pernah meminta Anda menempelkan kartu ke ponsel untuk "verifikasi".

Rantai Distribusi: GitHub, Sideloading, dan Rekayasa Sosial

Salah satu pergeseran penting adalah cara penyebaran. Kampanye NFCShare terpantau menggunakan repositori GitHub yang, sejak dibuat, telah menghosting puluhan APK unik yang meniru aplikasi bank. Penyerang menyamarkan berkas dengan nama yang mirip aplikasi resmi agar korban tidak curiga. Beberapa sampel terbaru bahkan sengaja dibuat dengan malformed APK packaging, yakni struktur berkas ZIP yang rusak secara sengaja, untuk menggagalkan alat analisis otomatis milik peneliti keamanan.

Titik masuk utama tetap sama: sideloading, yaitu memasang aplikasi dari luar Google Play Store. Selama pengguna dibujuk untuk mematikan proteksi dan memasang APK dari tautan, lapisan pertahanan bawaan Android bisa dilewati. Karena itu, rekayasa sosial, bukan celah teknis, adalah senjata paling ampuh penyerang.

Mengapa Nasabah Indonesia Rentan

Beberapa faktor membuat lanskap Indonesia menarik bagi pelaku. Pertama, adopsi mobile banking dan dompet digital yang masif namun tidak selalu diimbangi literasi keamanan. Kedua, kebiasaan memasang aplikasi dari luar toko resmi (APK) masih lumrah, misalnya untuk aplikasi modifikasi atau versi "gratis". Ketiga, maraknya penipuan berbasis pesan instan (WhatsApp, Telegram) yang menyamar sebagai kurir, petugas bank, atau undangan digital dengan lampiran APK. Kombinasi ini menjadikan rekayasa sosial sangat efektif.

Kerangka Hukum dan Regulasi Indonesia

Ancaman ini bersinggungan langsung dengan sejumlah regulasi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan pengendali data, termasuk bank dan penyedia fintech, menerapkan langkah teknis dan organisasi yang memadai untuk melindungi data pribadi nasabah, termasuk data kartu dan kredensial. Kebocoran akibat lemahnya pengamanan dapat berujung sanksi administratif. Sementara itu, tindakan pelaku, seperti akses ilegal, intersepsi, dan manipulasi sistem elektronik, dapat dijerat dengan Undang-Undang ITE (UU No. 11/2008 sebagaimana diubah terakhir dengan UU No. 1/2024), khususnya pasal terkait akses tanpa hak dan penipuan elektronik. Bank Indonesia dan OJK juga menuntut penyelenggara jasa pembayaran menerapkan standar keamanan transaksi dan edukasi nasabah secara berkelanjutan, sedangkan BSSN mendorong penerapan standar keamanan informasi rujukan seperti ISO/IEC 27001 dan kerangka kerja NIST Cybersecurity Framework.

Langkah Pertahanan yang Bisa Diterapkan Hari Ini

Bagi pengguna, prinsipnya sederhana namun sering diabaikan:

• Unduh aplikasi perbankan hanya dari Google Play Store resmi, dan aktifkan Google Play Protect sebagai lapisan tambahan.
• Jangan pernah memasang APK dari tautan yang dikirim melalui chat, SMS, atau situs yang mengaku "pembaruan bank". Pembaruan sah selalu melalui toko resmi.
• Waspadai permintaan izin Aksesibilitas dari aplikasi yang tidak semestinya membutuhkannya. Ini adalah tanda bahaya paling penting.
• Tolak segala instruksi untuk menempelkan kartu fisik ke ponsel atau memasukkan PIN kartu ke dalam aplikasi.
• Aktifkan notifikasi transaksi dan tetapkan limit transfer harian yang wajar.

Bagi bank dan pengembang aplikasi, pertahanan harus berlapis:

• Terapkan deteksi overlay dan pemeriksaan apakah layanan Aksesibilitas aktif saat aplikasi berjalan, lalu batasi fungsi sensitif bila terdeteksi anomali.
• Gunakan runtime application self-protection (RASP), deteksi rooting/emulator, dan obfuscation kode untuk mempersulit rekayasa balik.
• Manfaatkan pembatasan Android modern (sejak Android 13) yang memblokir pengaktifan layanan Aksesibilitas untuk aplikasi hasil sideloading.
• Edukasi nasabah secara proaktif: peringatkan bahwa bank tidak pernah meminta pembaruan lewat tautan pendek atau meminta menempelkan kartu untuk verifikasi.
• Bangun kemampuan threat intelligence untuk memantau repositori dan domain phishing yang menyalahgunakan merek bank.

Penutup

Trojan perbankan Android dan serangan NFC relay menandai babak baru: penyerang tidak lagi sekadar mencuri kata sandi, tetapi mengubah ponsel korban menjadi terminal penipuan yang membaca kartu fisik secara langsung. Namun kabar baiknya, hampir seluruh serangan ini bergantung pada satu langkah yang dapat dicegah, yaitu membujuk korban memasang aplikasi di luar jalur resmi dan memberikan izin berlebih. Dengan kombinasi kewaspadaan pengguna, pertahanan teknis berlapis di sisi aplikasi, dan penegakan regulasi yang konsisten, ekosistem keuangan digital Indonesia dapat tetap tumbuh tanpa menjadi ladang panen bagi pelaku kejahatan siber. Di Siberindo, kami meyakini keamanan siber bukan sekadar teknologi, melainkan budaya bersama antara penyedia layanan dan penggunanya.

Catatan: Artikel ini disusun untuk tujuan edukasi dan kesadaran keamanan. Segala teknik serangan yang dijelaskan ditujukan untuk pertahanan, bukan penyalahgunaan.