Modul Aplikasi Jahat Ini Bisa Bajak Akun WhatsApp Anda

Penemuan Modul lotusbail Ungkap Ancaman Baru di Repositori npm

Peneliti keamanan siber dari Koi Security menemukan modul npm bernama lotusbail yang menyamar sebagai API WhatsApp Web dan ternyata menyimpan potensi berbahaya. Modul ini telah diunduh lebih dari 56.000 kali, memanfaatkan kepercayaan developer terhadap library populer dan membuka celah pencurian data secara sistematis.

Penemuan ini menambah panjang daftar ancaman keamanan digital yang menyasar rantai pasok software melalui repositori publik. Tanpa disadari, banyak pengembang telah menggunakan modul ini dalam proyek mereka, sehingga membuka jalan bagi pelaku untuk menyusup ke sistem pengguna akhir.

Lotusbail bekerja sebagai turunan dari pustaka populer @whiskeysockets/baileys, dan menggunakan protokol WebSocket untuk berkomunikasi langsung dengan server WhatsApp. Namun, alih-alih memperkuat konektivitas, modul ini justru mengalihkan lalu lintas komunikasi ke server berbahaya yang dikendalikan oleh aktor jahat.

Baca Juga : “5 Monitor Gaming Samsung Odyssey Siap Hadapi 2026“

Data WhatsApp Pengguna Rentan Bocor Tanpa Disadari

Modul lotusbail merekam seluruh aktivitas pengguna WhatsApp yang terhubung ke API palsu tersebut. Termasuk dalam data yang terekspos adalah:

Token login pengguna
Pesan masuk dan keluar
Daftar kontak lengkap
File media seperti gambar, video, dan dokumen

“Modul ini benar-benar bekerja seperti API WhatsApp resmi,” ujar Tuval Admoni, peneliti utama dari Koi Security. Ia menambahkan bahwa modul ini secara aktif mengirim dan menerima pesan, namun secara paralel juga menyedot informasi sensitif pengguna.

Akun WhatsApp yang terkena dampak berisiko dibajak sepenuhnya. Setelah token autentikasi diperoleh, pelaku bisa menyambungkan perangkat mereka ke akun korban tanpa sepengetahuan pengguna. Bahkan setelah modul jahat dihapus, perangkat penyerang tetap bisa terhubung dan mengakses akun korban.

Teknik Eksfiltrasi Data Menggunakan Obfuscation Berlapis

Untuk menghindari pendeteksian oleh alat keamanan konvensional, modul lotusbail menerapkan empat lapisan teknik obfuscation:

Manipulasi Unicode – menyamarkan karakter agar tampak normal di permukaan.
Kompresi LZString – mengecilkan ukuran payload untuk penyelundupan efisien.
Encoding Base-91 – meningkatkan kompleksitas decoding oleh antivirus.
Enkripsi AES – menjaga isi data tetap tidak terbaca sebelum sampai ke server penyerang.

“Semua yang melewati API ini akan diduplikasi dan dipersiapkan untuk dikirim keluar, mulai dari pesan, token, hingga file media,” jelas Admoni dalam laporan yang dikutip dari The Register.

Serangan Rantai Pasok Jadi Ancaman Utama di Ekosistem npm

Modul ini menjadi contoh nyata dari serangan supply chain, yaitu infiltrasi ke dalam ekosistem pengembangan perangkat lunak melalui dependensi pihak ketiga. Ekosistem npm sendiri bukan pertama kalinya terkena dampak serupa.

Sebelumnya, terdapat lebih dari 150.000 modul npm yang teridentifikasi sebagai bagian dari kampanye Tea token farming, sebuah strategi eksploitasi untuk mengumpulkan token secara masif. Serangan tersebut menyebabkan terganggunya registry npm dan memaksa perubahan pada kebijakan dan protokol keamanannya.

CEO Tea, Tim Lewis, menyatakan bahwa insiden-insiden seperti ini mencerminkan kegagalan sistemik yang membutuhkan perombakan mendalam. “Saya melihat ini sebagai pertanda buruk bagi ekosistem pengembangan perangkat lunak terbuka,” kata Lewis kepada The Register.

WhatsApp Hadirkan Fitur Draf Status untuk Pengguna yang Lebih Produktif

Di tengah kabar buruk seputar keamanan, WhatsApp juga tengah menyiapkan fitur baru yang memberikan nilai tambah bagi pengguna. Fitur bernama “Simpan sebagai Draf” akan hadir dalam pembaruan WhatsApp untuk menyimpan progres status yang belum selesai dibuat.

Fitur ini sedang diuji pada versi 2.25.36.6 dan akan menawarkan tiga pilihan saat pengguna meninggalkan halaman status:

Simpan sebagai draf
Buang
Lanjutkan

Tujuannya adalah menghindari kehilangan konten secara mendadak, terutama saat menyusun status dengan teks panjang, gambar, atau elemen kreatif lainnya. Fitur ini akan sangat membantu pengguna kreatif yang membutuhkan waktu lebih untuk menyusun konten mereka.

Stiker Animasi Bertema “2026” Jadi Fitur Baru Sambut Tahun Baru

Masih dalam pengembangan, WhatsApp juga menyiapkan stiker animasi musiman bertema “2026”. Fitur ini mendukung penyesuaian warna hanya dengan sekali ketuk, memberi keleluasaan ekspresi saat pengguna menyambut tahun baru di platform.

Stiker ini juga dirancang untuk kompatibel dengan fitur tata letak multi-foto, memungkinkan penyusunan visual yang lebih menarik dalam satu tampilan status. Meski belum dirilis secara luas, peluncurannya diperkirakan segera hadir sebelum pergantian tahun.

WhatsApp Larang Chatbot AI dari Microsoft dan OpenAI Mulai Januari 2026

Dalam langkah yang cukup mengejutkan, WhatsApp mengumumkan perubahan kebijakan layanan yang akan berdampak langsung terhadap chatbot pihak ketiga seperti ChatGPT dan Copilot. Mulai 15 Januari 2026, hanya chatbot buatan Meta yang boleh digunakan di platform WhatsApp.

Menurut laporan dari The Verge, OpenAI sudah mengonfirmasi akan menarik layanan ChatGPT dari WhatsApp, disusul Microsoft dengan Copilot. Meta menekankan bahwa API WhatsApp Business hanya boleh digunakan untuk layanan pelanggan, bukan untuk menjual chatbot sebagai produk tersendiri.

Dengan ketentuan baru ini, Meta memastikan kontrol lebih besar terhadap pengalaman pengguna dan membatasi pemanfaatan platform oleh kompetitor. Chatbot seperti Perplexity juga diprediksi akan ikut keluar dalam waktu dekat.

Tips Keamanan: Cara Hindari Modul Jahat di Repositori Publik

Bagi para pengembang dan profesional IT, ada beberapa langkah penting untuk menghindari paket berbahaya seperti lotusbail:

Periksa jumlah unduhan dan ulasan pengguna sebelum menggunakan modul npm.
Audit kode sumber secara manual jika memungkinkan.
Gunakan alat pemindaian keamanan otomatis seperti Snyk, npm audit, atau OWASP Dependency-Check.
Hindari instalasi dari pengembang anonim atau modul dengan dokumentasi minim.

Langkah preventif ini dapat meminimalisir potensi kompromi sistem akibat ketergantungan pihak ketiga yang tampaknya valid namun ternyata berbahaya.

Kesimpulan: Kewaspadaan Developer Jadi Kunci Pertahanan Digital

Kasus lotusbail menjadi pengingat keras bahwa modul terbuka sekalipun bisa menjadi senjata berbahaya di tangan pihak yang salah. Ketergantungan pada pustaka eksternal menuntut developer untuk bersikap lebih kritis, teliti, dan tidak tergesa-gesa saat mengintegrasikan API pihak ketiga.

Dengan serangan supply chain yang kian canggih dan terorganisir, komunitas developer harus mengadopsi kebijakan keamanan yang ketat dan memperkuat verifikasi setiap dependensi. Meningkatkan literasi keamanan siber di kalangan pengembang adalah langkah strategis untuk menjaga integritas sistem secara menyeluruh.