Perusahaan keamanan siber ThreatFabric dikabarkan telah mendokumentasikan trojan Android bernama Hirudo yang menyasar nasabah perbankan di Indonesia. Malware ini diklaim mampu menghapus aplikasi perbankan resmi di ponsel korban lalu menggantinya dengan salinan yang telah dimodifikasi. Temuan yang pertama kali diungkap ThreatFabric pada 14 Oktober ini kembali menjadi sorotan di tengah lonjakan ancaman siber terhadap sektor keuangan nasional pada awal November 2026.
Cara Kerja Trojan Hirudo di Ponsel Korban
Berbeda dengan trojan perbankan pada umumnya yang menampilkan layar login palsu di atas aplikasi asli, Hirudo dikabarkan langsung memicu fitur pencopotan pemasangan (uninstaller) bawaan Android untuk menghapus aplikasi bank resmi. Setelah aplikasi asli terhapus, malware tersebut memasang “salinan modifikasi yang diam-diam mematikan pemeriksaan keamanan milik bank itu sendiri”.
Secara keseluruhan, Hirudo diklaim memantau 42 aplikasi keuangan di berbagai negara, dengan target pencurian kredensial yang mencakup Indonesia, China, India, Meksiko, Maroko, dan Thailand. Namun, ThreatFabric mencatat hanya delapan aplikasi asal Indonesia dari tujuh bank berbeda yang memiliki unduhan pengganti khusus di dalam skema malware ini. Identitas ketujuh bank di Indonesia tersebut tidak diungkap ke publik, dan jumlah total korban hingga kini belum diketahui.
Untuk menginfeksi perangkat, Hirudo dikabarkan menyamar di dalam aplikasi umpan, antara lain aplikasi belanja bernama Shopora serta aplikasi drama pendek ZoyaTV dan KoiShort. Setelah terpasang di perangkat korban, aplikasi umpan tersebut mendorong pembaruan palsu yang memuat trojan. Tim peneliti ThreatFabric juga mengklaim sempat menemukan server backend milik operator Hirudo dalam keadaan terbuka, dengan data yang terekam pada Agustus memuat ribuan catatan kredensial dan perangkat.
Respons Regulator dan Perbankan Nasional
Laporan mengenai trojan Hirudo ini beredar bersamaan dengan catatan peta ancaman publik FortiGuard yang menghitung 1,2 juta percobaan serangan terhadap sektor keuangan dan perbankan Indonesia dalam kurun 24 jam hingga 9 November pukul 20.00 WIB. Meski demikian, anggota Komisi I DPR menyampaikan pada 9 November bahwa belum ada laporan kebobolan pada sistem perbankan nasional. Anggota Komisi I DPR, Oleh Soleh, menyatakan pihaknya berencana memanggil Badan Siber dan Sandi Negara (BSSN) guna memaparkan peta ancaman nasional serta koordinasi bersama Otoritas Jasa Keuangan (OJK), Bank Indonesia, dan Kementerian Komunikasi dan Digital, sembari mendorong penyelesaian RUU Keamanan dan Ketahanan Siber (RUU KKS) yang kini berada di tahap pembicaraan tingkat pertama.
Di sisi regulator keuangan, OJK dikabarkan telah menempatkan perbankan dalam status siaga 24 jam sejak 8 November, disusul instruksi Bank Indonesia pada 9 November agar penyelenggara sistem pembayaran melaporkan insiden lebih cepat. Presiden Direktur CIMB Niaga, Lani Darmawan, turut menyatakan bahwa pihaknya sedang merilis patch keamanan baru sesuai dengan instruksi regulator.
Bagi pengguna perangkat Android di Indonesia, modus distribusi Hirudo menunjukkan pentingnya menghindari pemasangan aplikasi seperti Shopora, ZoyaTV, dan KoiShort maupun pembaruan aplikasi di luar toko resmi, serta mewaspadai permintaan pencopotan aplikasi mobile banking yang muncul secara tiba-tiba di layar ponsel.
Sumber: Cybersecurity ASEAN. Gambar: Ilustrasi AI