Group-IB menerbitkan laporan pada 28 Oktober tentang kluster pelaku bernama CyberDakait yang menyebar tujuh keluarga trojan Android ke pengguna perbankan di India. Peneliti menghitung sedikitnya 17.960 ponsel terinfeksi dan 7.611.443 SMS yang dicegat, termasuk kode sekali pakai (OTP) dan notifikasi transaksi. Korbannya di India, tetapi pola penipuannya bisa dipakai di negara mana pun.
Cara korban dijerat
Penipuan dimulai dari telepon atau pesan dari orang yang mengaku petugas bank. Mereka menyebut ada program “Perlindungan Kartu Kredit” yang akan menimbulkan biaya kecuali dibatalkan, sering kali tak lama setelah korban menerima kartu baru. Korban lalu dikirimi tautan, kadang lewat WhatsApp, ke halaman palsu bertema bank.
Satu tombol di halaman itu mengunduh berkas APK yang di-host di GitHub. Aplikasi tersebut menampilkan layar palsu seolah sedang memperbarui Google Play, sementara diam-diam memasang aplikasi kedua. Aplikasi itu juga meminta pengguna mematikan penghemat baterai supaya tetap berjalan di latar belakang. Formulir palsu kemudian mengumpulkan nomor kartu, tanggal kedaluwarsa, CVV, kredensial internet banking, data identitas, dan foto kartu.
Group-IB menyebut ketujuh keluarga itu cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat, dan tenxen. Kemampuannya mencakup pencegatan dan penerusan SMS, pengalihan panggilan, dan pencurian kartu lewat tampilan palsu. Sebuah komponen bernama d-miner juga memasang penambang kripto berbasis XMRig. Pelaku menyamar sebagai 11 bank India dan dua program pemerintah. Kerugian korban yang tercatat dalam beberapa kasus melebihi 30.500 dolar AS.
Angka infeksi datang dari dua sumber: 2.364 perangkat unik dari notifikasi pemasangan aplikasi, dan 15.596 perangkat lain dari penyimpanan Firebase milik pelaku yang terbuka. Group-IB belum mengaitkan kluster ini dengan kelompok mana pun dan menyebut aktivitasnya berlangsung sejak awal 2025. Akun dan repositori GitHub yang dipakai sudah dilaporkan dan dinonaktifkan.
Langkah yang perlu Anda ambil
Group-IB dan GBHackers menyarankan pembaca menghindari tautan dari pesan yang tidak diminta dan hanya memasang aplikasi dari toko resmi. Jika ada telepon yang mengaku dari bank, tutup, lalu hubungi nomor layanan pelanggan yang tertera di situs atau kartu resmi. Jangan pernah memberikan nomor kartu, CVV, atau kode OTP kepada penelepon.
Periksa izin aplikasi, terutama akses SMS dan layanan aksesibilitas, dan aktifkan Google Play Protect. Ponsel yang tiba-tiba panas atau baterainya cepat habis tanpa sebab bisa menandakan penambang tersembunyi. Bila curiga sudah terinfeksi, hubungi bank segera agar rekening dan kartu dibekukan.
Relevansi bagi pengguna di Indonesia
Laporan ini hanya menyebut India sebagai target, dan tidak ada korban di Indonesia yang disebut. Namun rangkaian taktiknya sama dengan penipuan APK yang bisa menyasar pengguna mobile banking mana pun: telepon palsu dari bank, tautan lewat WhatsApp, lalu aplikasi yang membaca OTP. Pengguna cukup mengingat satu aturan: bank tidak meminta Anda memasang aplikasi dari tautan.