Pengguna WeChat perlu mewaspadai temuan keamanan yang memungkinkan akun diambil alih tanpa perlu menjawab panggilan atau menyentuh layar. Peneliti keamanan dari Calif menemukan worm zero-click yang dapat mengeksploitasi WeChat melalui panggilan masuk pada perangkat iPhone dan Android.

Serangan zero-click berbeda dari serangan siber yang biasanya mengharuskan korban mengeklik tautan atau membuka file. Dalam kasus ini, eksploit dapat berjalan tanpa tindakan apa pun dari pengguna. Calif melaporkan celah tersebut kepada Tencent pada Juli 2026 dan mengatakan perusahaan telah memblokir eksploit di sisi server.

Baca Juga: 4 Tanda Facebook Diretas dan Cara Mengatasinya

Akun WeChat Bisa Diretas lewat Panggilan Masuk

Eksploit yang ditemukan memanfaatkan panggilan masuk melalui WeChat. Korban tidak perlu mengangkat panggilan agar serangan berjalan. Bahkan, menjawab panggilan juga tidak menghentikan proses eksploitasi.

Menurut Calif, karakteristik serangan tersebut meliputi:

• Tidak membutuhkan interaksi dari korban.
• Panggilan masuk menjadi bagian dari mekanisme serangan.
• Menjawab panggilan tidak menghentikan eksploit.
• Menolak panggilan dapat menghentikan percobaan, tetapi penyerang bisa menelepon kembali.
• Serangan dapat berlangsung tanpa disadari pengguna.

Kondisi ini membuat ancaman lebih sulit dikenali karena pengguna tidak harus melakukan kesalahan seperti mengeklik tautan mencurigakan.

Akun yang Diretas Bisa Jadi “Jalan” Menyerang Kontak Lain

Risiko celah ini tidak berhenti pada satu akun. Penyerang harus sudah menjadi kontak WeChat target, tetapi Calif menilai syarat tersebut tidak terlalu sulit dipenuhi karena akun yang telah dikompromikan dapat digunakan untuk menghubungi kontak lainnya.

Dalam demonstrasinya, Calif menunjukkan bagaimana eksploit dapat berpindah dari satu akun ke akun lain dengan skema sebagai berikut:

• Ponsel Android menghubungi iPhone melalui WeChat.
• Akun pada iPhone berhasil diambil alih saat perangkat masih berdering.
• iPhone yang telah dikompromikan kemudian menghubungi ponsel Android lain.
• Akun pada perangkat kedua kembali berhasil diambil alih.

Pola tersebut membuat eksploit menyerupai worm yang dapat menyebar melalui jaringan kontak.

Baca Juga: Akun WhatsApp Bisa Diretas Tanpa OTP, Begini Modusnya

Apa yang Bisa Dilakukan setelah Akun Diambil Alih?

Calif menyebut penyerang dapat memperoleh kendali penuh atas akun WeChat yang berhasil dikompromikan. Artinya, akun dapat digunakan seolah-olah berada di tangan pemilik aslinya.

Aktivitas yang dapat dilakukan penyerang mencakup:

• Membaca pesan.
• Mengirim pesan atas nama korban.
• Melakukan panggilan.
• Bertindak sebagai pemilik akun.
• Menghubungi kontak lain untuk memperluas serangan.

Namun, eksploit tersebut tidak secara otomatis memberikan kendali atas seluruh ponsel. Risikonya tetap signifikan karena WeChat tidak hanya digunakan untuk komunikasi, tetapi juga mencakup pembayaran, akun resmi, dan mini programs. Tencent mencatat pengguna aktif bulanan gabungan WeChat dan Weixin mencapai 1,439 miliar per 30 Juni 2026.

Waspadai Serangan yang Tidak Membutuhkan Klik

Kasus WeChat menunjukkan bahwa ancaman siber tidak selalu bergantung pada kelengahan pengguna. Serangan zero-click dapat memanfaatkan celah teknis dalam aplikasi tanpa memerlukan tindakan langsung dari korban.

Karena itu, keamanan akun perlu didukung dengan kebiasaan digital yang baik, seperti:

• Memperbarui aplikasi ke versi terbaru.
• Menggunakan sistem operasi yang masih mendapat pembaruan keamanan.
• Memantau aktivitas akun secara berkala.
• Segera mengamankan akun saat menemukan aktivitas yang tidak dikenali.
• Tidak mengabaikan pembaruan keamanan meskipun tidak pernah mengeklik tautan mencurigakan.

Temuan ini menjadi pengingat bahwa keamanan aplikasi komunikasi perlu diperhatikan karena satu akun yang berhasil diretas berpotensi menjadi pintu masuk bagi serangan berikutnya.