Apa Itu Zero-Click Attack dan Cara Melindunginya

Zero-click attack adalah serangan siber yang bisa menginfeksi perangkat tanpa korban perlu mengeklik tautan, membuka berkas, atau menyetujui apa pun. Serangan jenis ini langka dan mahal, tetapi dampaknya besar, sehingga penting untuk memahami cara kerjanya dan langkah pertahanan yang realistis bagi pengguna biasa maupun organisasi.

Apa Itu Zero-Click Attack?

Pada phishing, korban harus melakukan sesuatu: membuka lampiran, menekan tombol, atau memasukkan kata sandi. Pada zero-click attack, tahap interaksi itu hilang. Penyerang cukup mengirimkan data yang sudah dirancang khusus, misalnya pesan, gambar, atau panggilan, ke aplikasi yang memprosesnya secara otomatis.

Kuncinya ada pada kerentanan di perangkat lunak yang menangani data masuk. Banyak aplikasi pesan, surel, dan sistem operasi mengurai lampiran, pratinjau gambar, atau notifikasi sebelum pengguna melihatnya. Jika proses penguraian itu memiliki bug, data yang dibuat khusus dapat memicu eksekusi kode tanpa sepengetahuan pemilik perangkat. Kerentanan semacam ini hampir selalu berupa celah yang belum diketahui vendor, atau yang dikenal sebagai kerentanan zero-day.

Bagaimana Zero-Click Attack Bekerja?

Secara konseptual, serangan ini melewati empat tahap berikut.

1. Penemuan celah. Penyerang atau pengembang spyware komersial menemukan bug pada komponen yang memproses data dari luar, seperti pustaka gambar atau parser dokumen.
2. Pengiriman data khusus. Data dikirim lewat saluran yang memang selalu menerima kiriman, misalnya aplikasi pesan, surel, atau panggilan suara.
3. Eksekusi otomatis. Saat aplikasi memproses data itu, bug terpicu dan kode penyerang berjalan di dalam aplikasi.
4. Pemasangan spyware. Kode awal biasanya dipakai untuk memuat komponen pengintai yang membaca pesan, mikrofon, atau berkas.

Karena korban tidak melihat apa pun yang aneh, serangan ini sulit dideteksi. Pelaku juga sering menghapus jejak pesan pemicu setelah celah berhasil dieksploitasi. Untuk gambaran lebih luas tentang perangkat lunak pengintai itu sendiri, baca artikel kami tentang apa itu spyware.

Contoh Nyata Zero-Click Attack

FORCEDENTRY pada iMessage

Pada September 2021, Citizen Lab mengungkap FORCEDENTRY, eksploit zero-click yang ditemukan di ponsel seorang aktivis Arab Saudi yang terinfeksi spyware Pegasus milik NSO Group. Celah ini berada di pustaka pemrosesan gambar Apple dan dilacak sebagai CVE-2021-30860. Apple menambalnya melalui iOS 14.8 dan pembaruan sistem lain pada hari yang sama dengan publikasi laporan tersebut.

Spyware Graphite dan notifikasi WhatsApp

Pada 31 Januari 2025, WhatsApp memberi tahu sekitar 90 akun yang diyakini menjadi sasaran spyware Graphite buatan Paragon Solutions, termasuk jurnalis dan anggota masyarakat sipil. Menurut Citizen Lab, WhatsApp berhasil mengidentifikasi dan memitigasi eksploit zero-click Paragon. Pada Juni 2025, Citizen Lab juga mengonfirmasi bahwa dua jurnalis Eropa menjadi target Graphite melalui celah iMessage zero-click, yang dilacak sebagai CVE-2025-43200 dan dimitigasi Apple di iOS 18.3.1.

Pola kedua kasus ini sama: sasarannya adalah orang tertentu yang punya nilai intelijen, bukan masyarakat umum. Spyware komersial seperti ini dijual kepada pihak yang sanggup membayar mahal.

Siapa yang Berisiko dan Seberapa Besar Risikonya?

Bagi sebagian besar pengguna, penipuan lewat phishing atau pencurian kata sandi jauh lebih mungkin terjadi daripada zero-click attack. Eksploit zero-click memerlukan riset yang mahal, sehingga biasanya dipakai pada target bernilai tinggi: jurnalis, aktivis, pengacara, pejabat, eksekutif, dan peneliti keamanan. Meski begitu, celah yang sama dapat berpindah tangan atau ditiru kelompok lain seiring waktu, sehingga kebiasaan dasar tetap berguna untuk semua orang.

Cara Melindungi Diri dari Zero-Click Attack

Anda tidak bisa menghindari serangan yang tidak memerlukan klik, tetapi Anda bisa memperkecil peluangnya dan mempersempit dampaknya.

• Pasang pembaruan segera. Setiap eksploit zero-click bergantung pada celah yang akhirnya ditambal vendor. Menunda pembaruan sistem operasi dan aplikasi pesan berarti membiarkan celah yang sudah diumumkan tetap terbuka.
• Kurangi permukaan serangan. Hapus aplikasi yang tidak dipakai dan matikan fitur yang tidak Anda butuhkan, seperti pratinjau otomatis atau penerimaan berkas dari kontak yang tidak dikenal.
• Gunakan Lockdown Mode bila Anda berisiko tinggi. Apple menyediakannya sebagai perlindungan ekstrem opsional untuk orang yang mungkin menjadi target ancaman digital yang sangat canggih. Fitur ini membatasi sejumlah aplikasi, situs, dan fungsi, antara lain memblokir lampiran pesan tertentu, dan didukung mulai iOS 16 dan macOS Ventura.
• Pisahkan perangkat untuk pekerjaan sensitif. Perangkat khusus dengan aplikasi minimal mengurangi data yang bisa dicuri bila satu perangkat terkompromi.
• Waspadai tanda-tanda tidak wajar. Baterai yang cepat habis, perangkat panas tanpa sebab, atau notifikasi peringatan resmi dari penyedia aplikasi perlu ditanggapi serius.

Bagi organisasi, tambahkan manajemen perangkat terpusat, kebijakan pembaruan wajib, pemantauan lalu lintas jaringan, dan prosedur respons insiden bila perangkat eksekutif dicurigai terinfeksi. Uji kesiapan ini secara berkala lewat layanan keamanan resmi di halaman layanan Linuxhackingid.

Mengapa Serangan Ini Sulit Dideteksi?

Pada serangan biasa, korban sering melihat tanda awal seperti pesan aneh atau halaman login palsu. Pada zero-click, tidak ada langkah yang terlihat oleh pengguna. Eksploit berjalan di dalam aplikasi yang sah, sering meninggalkan jejak minimal, dan pesan pemicunya dapat menghilang. Akibatnya, deteksi biasanya baru terjadi lewat analisis forensik perangkat atau peringatan dari vendor, seperti pada notifikasi WhatsApp kepada pengguna yang diduga menjadi sasaran. Jika Anda menerima peringatan resmi semacam itu, anggap serius, perbarui perangkat, dan hubungi tim keamanan atau lembaga yang berpengalaman dalam forensik perangkat bergerak.

Pertanyaan yang Sering Diajukan

Apakah zero-click attack sama dengan zero-day?

Tidak sama. Zero-day menggambarkan celah yang belum diketahui atau belum ditambal vendor, sedangkan zero-click menggambarkan cara serangan berjalan tanpa interaksi korban. Banyak serangan zero-click memakai celah zero-day, tetapi tidak semua zero-day bersifat zero-click.

Apakah antivirus bisa menghentikan zero-click attack?

Antivirus saja tidak cukup. Eksploit ini bekerja di dalam aplikasi yang sah dan memanfaatkan bug yang belum dikenal, sehingga pembaruan perangkat lunak, pengurangan permukaan serangan, dan fitur keamanan bawaan sistem operasi lebih menentukan.

Apakah ponsel saya bisa diretas hanya dengan menerima pesan WhatsApp?

Secara teori bisa bila ada celah yang belum ditambal, seperti yang terjadi pada kampanye Paragon yang ditangani WhatsApp pada 2025. Namun kasus semacam itu menyasar individu tertentu. Selalu perbarui aplikasi dan periksa perangkat tertaut, seperti dibahas di artikel ciri-ciri WhatsApp diretas.

Kesimpulan

Zero-click attack menunjukkan bahwa keamanan tidak hanya soal tidak mengeklik tautan sembarangan. Pertahanan terbaik adalah perangkat yang selalu diperbarui, fitur yang dibatasi seperlunya, dan mode proteksi khusus bagi pengguna berisiko tinggi. Untuk membangun pemahaman keamanan siber secara sistematis, Anda dapat mulai dari kelas yang tersedia di Linuxhackingid.