Celah Zero-Click WeChat Bisa Bajak Akun Lewat Panggilan Masuk

Pengguna WeChat perlu mewaspadai temuan celah keamanan yang memungkinkan akun mereka diambil alih hanya melalui sebuah panggilan masuk. Yang membuatnya semakin mengkhawatirkan, serangan tersebut dapat berlangsung tanpa korban harus mengangkat telepon, menyentuh layar, atau melakukan tindakan apa pun.

Temuan ini diungkap perusahaan keamanan siber Calif. Para peneliti berhasil mengembangkan sebuah worm atau cacing komputer yang memanfaatkan celah pada WeChat untuk mengambil alih akun pengguna. Mereka bahkan memperagakan bagaimana serangan tersebut dapat berpindah dari satu perangkat ke perangkat lain menggunakan panggilan WeChat.

Dalam demonstrasi yang dilakukan Calif, serangan melibatkan tiga ponsel uji. Sebuah ponsel Android digunakan untuk menelepon iPhone. Ketika iPhone masih berdering dan belum disentuh oleh penggunanya, akun WeChat pada perangkat tersebut berhasil dikompromikan.

Tidak berhenti di situ. Setelah berhasil menguasai akun WeChat di iPhone, perangkat tersebut kemudian digunakan untuk menelepon ponsel Android kedua. Serangan kembali berhasil dan mengambil alih akun WeChat pada perangkat penerima.

Demonstrasi tersebut memperlihatkan potensi penyebaran serangan dari satu akun yang telah dikompromikan ke akun lain melalui jaringan kontak WeChat.

Tidak Perlu Mengangkat Panggilan

Ciri utama serangan yang ditemukan Calif adalah sifatnya yang disebut zero-click attack. Istilah tersebut digunakan untuk menggambarkan serangan siber yang dapat berjalan tanpa membutuhkan interaksi dari korban.

Dalam kasus WeChat, pengguna tidak perlu mengeklik tautan, membuka file, memasang aplikasi, ataupun mengangkat panggilan. Cukup dengan menerima panggilan masuk dari kontak tertentu, celah tersebut dapat dieksploitasi. Bahkan, mengangkat panggilan pun tidak menghentikan serangan. Calif mengatakan korban yang menjawab panggilan tidak akan mendengar suara apa pun, tetapi eksploit tetap dapat berjalan di belakang layar.

Sementara itu, menolak panggilan dapat menghentikan percobaan serangan pada saat tersebut. Namun, kondisi ini bukan berarti korban sepenuhnya aman. Penyerang masih dapat mencoba kembali dengan melakukan panggilan pada kesempatan lain.

Misalnya, penyerang dapat menghubungi korban ketika korban sedang tidur atau tidak memperhatikan ponselnya. Dengan begitu, serangan dapat dilakukan tanpa disadari pemilik perangkat.

Penyerang Harus Menjadi Kontak WeChat

Ada satu syarat yang perlu dipenuhi penyerang. Penelepon harus sudah menjadi kontak WeChat dari target. Sekilas, persyaratan tersebut mungkin terlihat sebagai lapisan perlindungan tambahan. Namun, menurut Calif, mekanisme ini bukan penghalang yang terlalu besar.

Masalahnya muncul ketika salah satu kontak pengguna sudah lebih dulu berhasil dikompromikan. Setelah akun tersebut berada di bawah kendali penyerang, hubungan kepercayaan yang sebelumnya diberikan WeChat kepada kontak tersebut justru dapat dimanfaatkan untuk menyerang pengguna lain.

Dengan kata lain, akun yang telah diambil alih dapat menjadi pintu masuk untuk menjangkau kontak-kontak lainnya. Inilah yang membuat konsep worm menjadi penting dalam temuan tersebut. Berbeda dengan serangan yang hanya menargetkan satu korban, worm dirancang untuk menyebar dari satu sistem atau akun yang telah terinfeksi menuju target berikutnya.

Calif memperlihatkan mekanisme tersebut melalui tiga perangkat uji. Android pertama menelepon iPhone dan mengambil alih akun WeChat di dalamnya. Setelah itu, iPhone yang sudah dikompromikan menelepon Android kedua dan melakukan pengambilalihan dengan cara serupa.

Akun WeChat Bisa Dikendalikan Penyerang

Dampak dari eksploit tersebut juga tidak bisa dianggap ringan. Calif mengatakan bahwa setelah eksploit berhasil dijalankan, penyerang memperoleh kendali penuh terhadap akun WeChat korban. Penyerang dapat membaca dan mengirim pesan, melakukan panggilan, serta menggunakan akun tersebut seolah-olah merupakan pemilik sebenarnya.

Namun, terdapat batasan penting. Eksploit ini tidak secara otomatis memberikan kendali penuh terhadap perangkat fisik korban. Artinya, penyerang tidak serta-merta mendapatkan akses terhadap seluruh sistem operasi iPhone atau Android hanya karena berhasil mengambil alih akun WeChat. Kendali yang diperoleh terutama berada pada akun dan fungsi WeChat.

Meski demikian, pengambilalihan akun tetap memiliki risiko besar karena WeChat bukan sekadar aplikasi untuk berkirim pesan.

WeChat Bukan Sekadar Aplikasi Percakapan

Bagi sebagian besar pengguna, WeChat telah berkembang menjadi sebuah ekosistem layanan digital. Selain pesan dan panggilan, aplikasi tersebut menyediakan berbagai fitur lain, termasuk pembayaran, akun resmi, serta mini program.

Karena itu, akun yang berhasil dikuasai penyerang berpotensi memberikan akses terhadap berbagai aktivitas digital yang dilakukan melalui WeChat. Besarnya basis pengguna juga membuat temuan tersebut menjadi perhatian. Tencent menyebut jumlah pengguna aktif bulanan gabungan WeChat dan Weixin mencapai 1,439 miliar pengguna per 30 Juni 2026 dalam laporan hasil kuartal keduanya.

Dengan basis pengguna sebesar itu, sebuah celah yang memungkinkan pengambilalihan akun tanpa interaksi korban berpotensi memberikan dampak yang luas jika sampai dimanfaatkan dalam serangan nyata. Meski demikian, sejauh ini tidak ada serangan di dunia nyata yang diketahui memanfaatkan celah tersebut. Calif juga tidak mengatakan bahwa mereka menemukan bukti eksploitasi terhadap pengguna WeChat secara luas.

Tencent Sudah Memblokir Eksploit

Calif mengatakan pihaknya telah melaporkan celah tersebut kepada Tencent pada Juli 2026. Setelah menerima laporan tersebut, Tencent kemudian merilis pembaruan WeChat. Berdasarkan catatan rilis Tencent, WeChat versi 8.0.77 untuk Android dan 8.0.76 untuk iOS dirilis pada 21 Agustus.

Calif mengatakan pembaruan tersebut telah memitigasi celah yang mereka temukan. Pada 28 Agustus, peneliti juga mengonfirmasi bahwa eksploit telah diblokir melalui server Tencent. Hal ini menjadi kabar baik bagi pengguna karena mekanisme pemblokiran di sisi server berarti pengguna tidak harus memasang perangkat lunak tambahan untuk mendapatkan perlindungan dari eksploit tersebut.

Namun, Calif belum dapat memastikan apakah akar masalah pada perangkat lunak WeChat benar-benar telah diperbaiki. Ketika ditanya mengenai hal tersebut, Calif mengatakan pihaknya tidak dapat memberikan komentar lebih lanjut.

Tencent sendiri belum menerbitkan buletin keamanan khusus yang menjelaskan celah tersebut. Catatan pembaruan WeChat untuk iOS maupun keterangan pada App Store hanya menjelaskan pembaruan sebagai perbaikan bug.

Meski begitu, menggunakan aplikasi versi terbaru tetap menjadi langkah keamanan yang disarankan.

Versi yang Rentan Belum Diketahui Secara Lengkap

Calif mengungkapkan bahwa mereka menguji eksploit pada WeChat 8.0.76 untuk Android dan WeChat 8.0.75 untuk iOS. Kedua versi tersebut masing-masing berada satu tingkat di bawah versi yang dirilis Tencent pada 21 Agustus.

Pengujian dilakukan menggunakan iOS 26.6 serta beberapa versi Android yang lebih lama. Namun, baik Calif maupun Tencent belum mengungkap daftar lengkap versi WeChat yang terdampak. Kondisi tersebut membuat pengguna yang menjalankan versi berbeda belum dapat memastikan apakah perangkat mereka sebelumnya rentan terhadap celah tersebut.

WeChat juga tersedia untuk berbagai platform lain, seperti HarmonyOS, Windows, Mac, dan Linux. Masing-masing platform memiliki jadwal pembaruan tersendiri. Calif tidak mengungkapkan apakah mereka telah menguji eksploit pada seluruh platform tersebut. Tencent juga belum memberikan penjelasan mengenai apakah klien WeChat untuk platform lain ikut terdampak.

Detail Teknis Belum Dibuka ke Publik

Untuk mencegah penyalahgunaan, Calif masih menahan detail teknis mengenai cara kerja eksploit tersebut.

Peneliti berencana memaparkan analisis lengkapnya dalam sebuah konferensi keamanan. Hingga saat ini, mereka belum menerbitkan informasi teknis yang dapat digunakan administrator keamanan untuk mencari indikator eksploitasi.

Situasi tersebut juga membuat pengguna tidak memiliki cara sederhana untuk mengetahui apakah mereka pernah menjadi target eksploit. Pemeriksaan pada 8 September juga tidak menemukan nomor CVE yang dikaitkan dengan celah tersebut. Tidak ditemukan pula pemberitahuan khusus mengenai respons keamanan Tencent di situs keamanan perusahaan.

AI Membantu Menemukan Celah

Ada aspek lain yang menarik dari penelitian ini. Calif mengatakan kecerdasan buatan (AI) digunakan untuk membantu menemukan celah keamanan WeChat sekaligus mengembangkan eksploit.

Menurut Calif, AI membantu menemukan bug dan menghasilkan eksploit pertama yang mampu menjalankan kode pada perangkat dalam waktu sekitar dua hari. Setelah itu, proses membangun worm membutuhkan waktu sekitar satu minggu.

Calif mengatakan bahwa timnya telah merancang serangkaian skills atau kemampuan khusus yang dapat mengarahkan AI untuk mengeksplorasi aplikasi perpesanan dan mengidentifikasi kemungkinan attack surface. Attack surface adalah berbagai bagian dari sebuah sistem yang berpotensi menjadi titik masuk bagi penyerang.

Dengan kemampuan tersebut, AI kemudian menemukan celah pada WeChat.

Namun, linimasa penelitian yang dipublikasikan Calif menunjukkan proses keseluruhan berlangsung lebih lama. Tim engineering mengetahui keberadaan bug pada 23 Juli. Eksploit pertama untuk Android selesai pada 30 Juli, sedangkan demonstrasi worm selesai pada 11 Agustus.

Calif tidak menjelaskan apakah klaim pengerjaan sekitar dua hari tersebut hanya menghitung waktu kerja efektif, bukan keseluruhan rentang waktu penelitian.

Mengapa Serangan Zero-Click Berbahaya?

Temuan ini kembali menunjukkan alasan mengapa zero-click attack menjadi salah satu ancaman keamanan siber yang paling mengkhawatirkan.

Pada serangan konvensional, korban biasanya harus melakukan sesuatu terlebih dahulu. Misalnya, membuka lampiran email, mengeklik tautan berbahaya, memasang aplikasi, atau memberikan informasi sensitif. Zero-click attack menghilangkan kebutuhan tersebut.

Korban bahkan bisa tidak menyadari bahwa serangan sedang berlangsung. Dalam kasus WeChat, ponsel cukup menerima panggilan dari kontak yang sudah dipercaya agar eksploit dapat bekerja. Karena itu, pengguna tidak boleh hanya mengandalkan kewaspadaan saat mengeklik tautan atau membuka pesan mencurigakan. Pembaruan aplikasi dan sistem operasi tetap menjadi bagian penting dari perlindungan perangkat.

Pengguna Disarankan Memperbarui WeChat

Meskipun Calif mengatakan Tencent telah memblokir eksploit tersebut di sisi server, pengguna tetap disarankan menggunakan WeChat versi terbaru. Pembaruan aplikasi penting karena biasanya membawa perbaikan keamanan, selain memperbaiki bug dan meningkatkan stabilitas.

Pengguna juga sebaiknya memperbarui sistem operasi iPhone maupun Android secara berkala serta menghindari penggunaan aplikasi dari sumber yang tidak resmi. Kasus WeChat menunjukkan bahwa ancaman siber tidak selalu hadir dalam bentuk tautan mencurigakan atau file berbahaya. Bahkan sebuah panggilan masuk dari kontak yang dikenal dapat menjadi bagian dari rantai serangan.

Terlebih lagi, ketika satu akun berhasil diambil alih dan kemudian digunakan untuk menyerang kontak lain, ancaman tersebut dapat berkembang menjadi serangan berantai.

Untuk saat ini, tidak ada bukti bahwa celah WeChat yang ditemukan Calif telah digunakan dalam serangan nyata. Namun, temuan tersebut menjadi pengingat bahwa keamanan akun sama pentingnya dengan keamanan perangkat, terutama pada aplikasi yang tidak hanya digunakan untuk komunikasi, tetapi juga terhubung dengan pembayaran dan berbagai layanan digital lainnya.