“Bu, jangan dibuka.”
Kalimat itu terdengar dari dapur ketika Maya baru saja melihat ibunya menyentuh file di WhatsApp.
Nama filenya: TAGIHAN_PAKET_AGUSTUS.apk
Pengirimnya nomor asing dengan foto profil logo jasa kirim.
Bu Rini mengangkat ponsel.
“Ini katanya paket belum dibayar.”
Maya datang sambil masih pegang gelas.
“APK itu aplikasi, Bu.”
“Kirain PDF.”
“Justru itu.”
Bu Rini memicingkan mata.
“Namanya tagihan.”
“Nama file bisa apa aja.”
Percakapan seperti ini bukan lagi teori keamanan digital yang jauh dari kehidupan sehari-hari.
Pada Juni 2026, Direktorat Jenderal Ekosistem Digital Komdigi kembali memperingatkan modus “paket tertukar” yang mengarahkan korban untuk mengeklik tautan atau mengunduh file APK yang berpotensi mengandung malware untuk mencuri data atau mengambil alih perangkat. Bank juga terus mengingatkan pengguna agar tidak menginstal aplikasi dari sumber tidak dikenal dan hanya mengunduh aplikasi resmi lewat toko aplikasi tepercaya.
Masalah paling besar bukan karena semua orang tidak paham teknologi.
Masalahnya karena file itu datang dengan cerita yang membuat kita penasaran.
Paket.
Tagihan.
Undangan.
Foto.
Surat.
Resi.
Invoice.
Daftar pesanan.
Kita tidak ingin “menginstal malware”.
Kita cuma ingin tahu, “Paket apa?”
Dan satu ketukan lahir dari rasa penasaran itu.
APK bukan dokumen, meski namanya dibuat seperti dokumen
Bu Rini masih memperhatikan nama file.
“Kalau PDF kan belakangnya .pdf?”
“Iya.”
“Kalau .apk?”
“Aplikasi Android.”
“Kalau dibuka langsung gimana?”
“Bisa minta instalasi.”
File APK adalah paket aplikasi Android. Ia bukan file dokumen biasa seperti PDF atau gambar.
Di perangkat Android, pemasangan aplikasi dari luar toko resmi bisa dibatasi oleh sistem. Tetapi scammer mencoba meyakinkan pengguna untuk melewati batas itu.
“Kalau muncul ‘izinkan instalasi dari sumber ini’, jangan lanjut,” kata Maya.
“Kenapa HP kasih pilihan kalau bahaya?”
“Karena ada penggunaan yang sah juga. Tapi buat kita, kalau aplikasi dikirim nomor asing, nggak ada alasan.”
Ini salah satu miskonsepsi penting.
Ponsel menampilkan tombol bukan berarti tindakan itu aman.
Sistem cuma memberi kemampuan.
Pengguna tetap harus menilai sumber.
Modusnya menang dari rasa ingin tahu, bukan dari teknologi canggih
Mari lihat alurnya.
Pesan masuk.
“Paket Anda tertahan.”
Korban berpikir, “Gue memang lagi nunggu paket.”
File dikirim.
“Silakan cek resi.”
Korban berpikir, “Oh, mungkin detailnya di sini.”
Lalu aplikasi meminta izin.
Akses SMS.
Notifikasi.
Kontak.
Accessibility.
Atau hak lain yang seharusnya tidak diperlukan untuk membaca resi.
Kalau korban sudah percaya bahwa file itu bagian dari proses kurir, permintaan izin bisa dilewati dengan refleks.
Bu Rini bertanya, “Kalau dia cuma minta akses foto?”
“Pertanyaannya bukan cuma izinnya apa. Pertanyaannya, kenapa aplikasi resi dari WhatsApp butuh diinstal?”
Maya benar.
Kita sering terlalu cepat masuk ke level teknis, izin apa yang berbahaya, permission mana yang boleh.
Padahal filter pertama lebih sederhana.
Apakah ada alasan masuk akal untuk memasang aplikasi yang dikirim nomor asing?
Kalau tidak, berhenti di situ.
“Tapi paket gue memang belum datang”
Ini yang bikin modus kurir efektif.
Hampir semua orang yang aktif belanja online punya kemungkinan sedang menunggu paket.
Apalagi satu rumah bisa punya beberapa penghuni.
Bu Rini memanggil suaminya.
“Pak, kamu beli sesuatu?”
Pak Hendra dari ruang depan menjawab, “Nggak.”
“Maya?”
“Gue ada paket, tapi statusnya masih perjalanan di aplikasi.”
“Berarti bisa itu.”
“Bisa juga penipu cuma nebak.”
Scammer tidak selalu harus tahu detail hidup kita.
Kalau kirim pesan cukup banyak, sebagian penerima pasti sedang menunggu paket.
Sama seperti pesan “akun bank Anda bermasalah” yang dikirim ke banyak orang. Sebagian pasti nasabah bank tersebut.
Kecocokan konteks tidak otomatis membuktikan identitas pengirim.
Kalau kamu memang sedang menunggu barang, cek status dari aplikasi marketplace atau aplikasi kurir resmi.
Jangan menjadikan file WhatsApp sebagai sumber utama.
Tagihan palsu bekerja dengan emosi yang sedikit berbeda
Kalau resi memancing penasaran, “tagihan” memancing takut.
TAGIHAN_TERTUNDA.apk
DENDA_PEMBAYARAN.apk
INVOICE_TERAKHIR.apk
Orang ingin cepat tahu apakah ada kewajiban yang terlupakan.
“Kalau ini tagihan listrik?” tanya Bu Rini.
“Cek di aplikasi atau kanal resminya.”
“Kalau internet rumah?”
“Sama.”
“Kalau pajak?”
“Sama lagi.”
Prinsipnya konsisten: kalau suatu lembaga punya portal atau aplikasi resmi, mulai pengecekan dari sana.
Jangan dari lampiran tidak dikenal.
File berbahaya sering mencoba memindahkan kita dari ekosistem resmi ke ruang yang dikendalikan pelaku.
Jangan percaya ikon
Salah satu trik visual paling sederhana adalah membuat file terlihat seperti dokumen.
Nama memakai kata PDF.
Ikon dibuat mirip dokumen.
Thumbnail terlihat familiar.
Tapi ekstensi file tetap penting.
Dan pada banyak kasus, lebih aman tidak membuka lampiran dari pengirim yang tidak dikenal sama sekali.
“Orang tua tuh suka nggak lihat belakangnya,” kata Maya.
Bu Rini memandangnya.
“Anak muda juga suka klik ‘setuju’ tanpa baca.”
Maya diam.
Pak Hendra tertawa dari ruang depan.
“Skor satu-satu.”
Poin Bu Rini valid.
Risiko bukan soal umur.
Orang muda bisa lebih familiar dengan aplikasi, tapi justru lebih cepat menekan tombol karena merasa paham.
Orang tua bisa lebih hati-hati, tapi mungkin kesulitan membedakan jenis file.
Yang dibutuhkan bukan merasa lebih pintar dari penipu.
Yang dibutuhkan adalah kebiasaan yang membuat kita tidak perlu menang adu cepat.
Izin aplikasi itu bukan formalitas
Maya membuka pengaturan ponselnya sendiri untuk menjelaskan.
“Lihat, aplikasi bisa minta macam-macam izin.”
Bu Rini mendekat.
“Kontak buat apa?”
“Nah, itu yang harus ditanya.”
Aplikasi yang sah pun bisa meminta izin. Tapi pengguna tetap perlu menilai apakah izin tersebut masuk akal terhadap fungsi aplikasinya.
Aplikasi kamera wajar meminta kamera.
Aplikasi peta wajar meminta lokasi ketika fitur tertentu dipakai.
Tapi “resi paket” yang datang lewat chat dan meminta akses ke SMS, notifikasi, atau layanan aksesibilitas patut dicurigai keras.
Beberapa malware memanfaatkan izin sensitif untuk membaca informasi, memantau notifikasi, atau membantu mengambil alih aktivitas di perangkat.
Kita tidak perlu menjadi analis malware untuk menolak.
Kalau sumber aplikasinya tidak tepercaya, keputusan paling aman sudah bisa dibuat sebelum membaca daftar permission.
“Jadi jangan pencet install sama sekali?”
“Iya.”
“Lebih gampang.”
“Memang.”
Kalau sudah terlanjur menginstal
Ini bagian yang harus dilakukan tanpa panik, tapi juga tanpa menunda.
Kalau baru mengunduh tetapi belum menginstal, hapus file dan jangan jalankan.
Kalau sudah menginstal aplikasi mencurigakan, terutama jika memberi izin sensitif, anggap perangkat berisiko.
Putuskan langkah berikutnya dari perangkat yang aman bila memungkinkan.
Jangan melakukan transaksi finansial baru dari ponsel yang mungkin sudah terkompromi.
Hubungi bank atau penyedia layanan pembayaran melalui kanal resmi bila ada risiko terhadap akun.
Ganti kredensial penting dari perangkat yang tepercaya.
Periksa sesi login.
Periksa aplikasi yang terpasang dan izin yang diberikan.
Kalau perlu, minta bantuan teknis profesional untuk membersihkan perangkat.
Jangan mengikuti instruksi dari pengirim file untuk “menghapus virus” dengan menginstal aplikasi kedua.
Itu bisa menjadi jebakan lanjutan.
Maya menatap ponsel ibunya.
“Bu, tadi sempat install?”
“Nggak. Baru mau.”
“Oke, aman. Hapus chat.”
“Blokir?”
“Iya.”
“Lapor spam?”
“Iya.”
Bu Rini menekan beberapa tombol.
Lalu dia berhenti.
“Kalau mereka kirim dari nomor lain?”
“Kita pakai aturan yang sama.”
Ada juga satu kebiasaan yang layak dibangun setelah menerima pesan mencurigakan: jangan meneruskan file APK itu ke grup keluarga hanya untuk bertanya, “Ini scam nggak?”
Bu Rini hampir melakukan itu.
“Mama kirim ke grup RT aja biar mereka lihat?”
“Screenshot pesannya boleh kalau perlu. File-nya jangan diterusin.”
“Kenapa?”
“Karena nanti malah ada yang kepencet.”
Ini contoh sederhana bagaimana niat memperingatkan orang bisa tanpa sengaja memperluas distribusi file berbahaya.
Kalau ingin minta pendapat, kirim tangkapan layar yang tidak mengandung data sensitif. Jangan meneruskan lampiran executable.
Kalau ingin memperingatkan keluarga, cukup jelaskan pola pesannya.
Nomor asing.
Mengaku kurir atau penagih.
Mengirim APK.
Meminta instalasi.
Selesai.
Tidak perlu membuat semua orang punya salinan file yang sama.
Dan kalau pesan datang ke grup komunitas, admin sebaiknya menghapus lampiran mencurigakan secepat mungkin agar anggota lain tidak mengunduh karena penasaran.
Keamanan digital sering bukan satu keputusan heroik.
Lebih sering berupa rangkaian keputusan kecil yang membatasi penyebaran risiko.
Bikin aturan keluarga yang gampang diingat
Di banyak rumah Jakarta, keamanan digital sebenarnya lebih efektif kalau dibahas seperti aturan rumah, bukan seminar.
Jangan instal APK dari chat.
Jangan kasih OTP.
Kalau soal paket, cek aplikasi.
Kalau soal bank, hubungi bank dari kanal resmi.
Kalau bingung, tanya orang rumah sebelum klik.
Bu Rini mengulang.
“APK dari WhatsApp, jangan.”
“Betul.”
“OTP jangan dikasih.”
“Betul.”
“Kalau diskon 90 persen?”
Maya tertawa.
“Itu topik lain.”
Tapi aturan sederhana punya kelebihan: bisa dipakai saat otak sedang sibuk.
Kita tidak selalu membaca pesan mencurigakan dalam kondisi ideal. Bisa saat memasak, di kendaraan, sedang meeting, mengurus anak, atau menunggu lift.
Semakin kompleks aturan keamanan, semakin mudah dilupakan.
Kurir tidak perlu mengubah ponselmu jadi proyek IT
Kalau ada paket, jalur verifikasi mestinya masuk akal.
Nomor resi bisa dicek.
Status bisa dilihat.
Marketplace punya riwayat.
Kurir bisa punya kanal bantuan.
Tidak ada alasan normal untuk sebuah file resi membuat kamu harus mengaktifkan izin instalasi dari sumber tidak dikenal.
Kalau sebuah “dokumen” meminta kamu mengubah pengaturan keamanan ponsel, itu sudah keluar dari karakter dokumen.
Sore itu paket Maya yang asli akhirnya datang.
Kurir menelepon dari depan rumah.
“Mbak, paket.”
Bu Rini membuka pintu, menerima kotak, lalu menoleh ke Maya.
“Nggak ada APK.”
“Ya memang.”
“Resinya juga nempel.”
Pak Hendra dari sofa menyahut, “Teknologinya canggih sekali.”
Bu Rini tertawa.
Maya memotret label paket untuk memastikan barangnya benar, lalu membuang plastik pembungkus.
Pesan WhatsApp yang tadi sudah diblokir.
Tidak ada drama.
Tidak ada aplikasi aneh.
Tidak ada rekening yang perlu diselamatkan.
Kadang keberhasilan keamanan digital bentuknya memang membosankan.
Sebuah file datang.
Kita tidak buka.
Hidup lanjut.