Modus Link Foto WA Ini Bisa Bajak Akun Tanpa Kode OTP

Pagi-pagi baru buka mata, tiba-tiba ada pesan masuk di WhatsApp dari teman lama yang mengirim tautan foto sambil bilang ada fotomu di sana. Jempol refleks ingin langsung menekan tautan itu, apalagi pratinjaunya tampak rapi mirip unggahan Facebook.

Tahan dulu rasa penasaranmu karena bisa jadi itu umpan pembajakan akun bernama GhostPairing, yakni teknik pencurian akses obrolan yang mengelabui korban agar menautkan perangkat pelaku secara sadar. Pelaku tidak perlu menebak kata sandi atau mencuri kode OTP lewat SMS untuk mengambil alih seluruh isi pesanmu.

Cara Kerja Jebakan Link Foto di WhatsApp

Perusahaan keamanan siber Gen Digital pertama kali mengungkap serangan GhostPairing pada Desember 2025. Polanya sederhana, pelaku memakai akun milik kenalan korban yang sudah lebih dulu berhasil dibajak agar pesan jebakan terasa akrab.

Begitu tautan berpratinjau mirip Facebook itu ditekan, layar ponsel tidak langsung menampilkan gambar apa pun. Korban justru diarahkan ke halaman web tiruan yang meminta verifikasi identitas terlebih dahulu sebelum foto bisa terbuka.

Desain halamannya memang dibuat semirip mungkin dengan tampilan Facebook agar pengguna tidak curiga saat melihat tombol masuk. Padahal alamat situs aslinya sama sekali bukan milik jaringan media sosial tersebut.

Halaman palsu ini lalu memandu korban memasukkan nomor ponsel dan menyalin kode pairing 8 digit, yaitu deretan angka resmi yang biasa dipakai WhatsApp untuk menyambungkan satu akun ke perangkat tambahan. Dalam kondisi terburu-buru atau penasaran, banyak orang mengikuti instruksi tersebut tanpa curiga.

Supaya gampang dibayangkan, fitur Perangkat Tertaut di WhatsApp sebenarnya mirip layanan pembuatan kunci duplikat pintu rumah agar kita bisa membuka obrolan dari laptop kantor. Lewat jebakan ini, pelaku tidak perlu mencongkel gembok rumah atau mencuri kunci utama berupa kode OTP.

Korban sendirilah yang tanpa sadar menyerahkan kunci duplikat tersebut kepada pencuri sambil mengira sedang mengisi buku tamu. Begitu kode 8 digit dimasukkan, browser di komputer pelaku langsung tertaut ke akun WhatsApp korban secara otomatis.

Setelah berhasil masuk, pelaku bisa membaca riwayat obrolan sekaligus memantau chat baru yang masuk secara langsung. Dari situ, akun korban dipakai lagi untuk menyebar tautan foto palsu yang sama ke seluruh kontak di daftar telepon.

Kenapa Modus Tanpa OTP Ini Sering Berhasil

Selama ini sebagian besar pengguna internet sudah hafal satu aturan dasar, jangan pernah memberikan kode OTP 6 digit kepada siapa pun. Kebiasaan baik ini ternyata ikut dibaca oleh komplotan penjahat siber yang terus mengubah taktik mereka.

Karena tidak ada pesan SMS berisi kode rahasia enam angka yang diminta, alarm kewaspadaan di kepala kita sering kali tidak berbunyi. Rasanya seperti menjaga ritsleting utama tas dengan rapat, padahal pencopetnya diam-diam menyayat dari kantong samping.

Hal lain yang membuat modus ini sulit disadari adalah akun di ponsel korban tidak langsung keluar atau terblokir. Korban masih bisa berkirim pesan dengan lancar seperti biasa, sementara pelaku leluasa mengintip dari layar komputer lain.

Banyak orang baru tersadar akunnya sudah ditumpangi orang asing setelah kerabat atau rekan kerja menelepon karena mendapat pesan pinjaman uang mendesak. Pelaku memang mengandalkan rasa penasaran dan kepercayaan korban terhadap nama pengirim yang sudah dikenal. Pada titik itu, reputasi dan kontak pribadi korban sudah terlanjur dimanfaatkan untuk menipu orang terdekat.

Tingginya ancaman di aplikasi pesan instan ini juga terlihat dari data lapangan di Indonesia. Sepanjang 2026, laporan pemantauan SAFEnet mencatat WhatsApp sebagai platform dengan insiden serangan digital terbanyak di tanah air.

Laporan tersebut mencatat 43 kasus serangan digital melalui aplikasi ini pada kuartal pertama periode Januari hingga Maret 2026. Angka itu kemudian melonjak menjadi 77 kasus pada kuartal kedua periode April hingga Juni 2026.

Lonjakan ini masuk akal kalau diibaratkan seperti pasar yang paling ramai pengunjung setiap pagi. Karena hampir seluruh urusan keluarga hingga pekerjaan menumpuk di WhatsApp, pelaku kejahatan tentu paling rajin mencari mangsa di sana.

Peringatan Dini Baru dari Meta dan WhatsApp

Melihat maraknya pembajakan lewat fitur Perangkat Tertaut, pihak Meta dan WhatsApp mulai menggulirkan fitur peringatan dini pada Maret hingga Juni 2026. Pembaruan ini dirancang khusus untuk menghadang aksi pembajakan sebelum perangkat asing sempat terhubung ke akun pengguna.

Saat sistem mendeteksi permintaan penautan ke perangkat yang tidak dikenal, layar ponsel akan langsung memunculkan kotak notifikasi pengingat. Di sana pengguna diberi saran jelas untuk segera memilih opsi 'Jangan tautkan' apabila memang tidak merasa sedang menyambungkan akun ke browser lain.

Mekanisme ini bisa dibayangkan seperti satpam perumahan yang mencegat tamu asing di pos jaga depan. Sebelum mengangkat palang pintu, satpam tersebut mengetuk kaca dan meminta konfirmasi langsung kepada pemilik rumah.

Bagi orang yang sedang sibuk bekerja atau buru-buru membalas pesan di perjalanan, kemunculan peringatan ini berfungsi sebagai polisi tidur. Jeda sejenak saat membaca notifikasi membantu memutus mode autopilot di kepala kita yang nyaris saja menuruti perintah halaman palsu.

Notifikasi tersebut memang sangat berguna untuk menahan langkah pengguna yang hampir terkecoh. Namun, fitur keamanan tetap punya batas apabila pemilik akun sendiri yang bersikeras memberikan izin akses.

Jika pengguna mengabaikan peringatan lalu tetap memasukkan kode pairing demi melihat foto palsu tadi, sistem akan menganggap penautan itu sah. Pengaman bawaan aplikasi cuma berfungsi layaknya rem darurat, sedangkan keputusan untuk berhenti atau terus melaju tetap ada di tangan kita sendiri.

Pastikan juga aplikasi WhatsApp di ponselmu selalu mendapatkan pembaruan rutin dari toko aplikasi resmi. Menggunakan versi lama sering membuat perangkat tertinggal dari pembaruan perlindungan terbaru yang sudah dirilis pengembang untuk menambal celah penipuan.

Langkah Simpel Mengamankan Akun WhatsApp Kamu

Kamu tidak perlu mengerti bahasa pemrograman atau memasang aplikasi antivirus aneh-aneh untuk terhindar dari jebakan GhostPairing. Kebiasaan kecil yang konsisten sudah cukup menjaga akun tetap aman dari incaran penipu.

Berikut beberapa langkah praktis yang bisa langsung kamu praktikkan hari ini.

• Buka pengaturan WhatsApp lalu masuk ke menu Perangkat Tertaut secara berkala untuk memeriksa daftar perangkat yang sedang aktif. Segera keluarkan browser atau perangkat asing yang tidak kamu kenali layaknya membersihkan meja kerja dari tumpukan kertas misterius.
• Tahan jarimu saat menerima tautan foto atau kiriman aneh, meskipun pengirimnya adalah teman akrab atau anggota keluarga sendiri. Hubungi pengirimnya lewat panggilan suara biasa untuk memastikan apakah ia benar-benar mengirimkan tautan tersebut.
• Jangan pernah mengetikkan nomor ponsel maupun kode 8 digit pada situs web yang terbuka dari obrolan, meskipun tampilannya menyerupai Facebook atau layanan populer lain. Ingat bahwa melihat foto di media sosial tidak pernah membutuhkan proses penautan perangkat WhatsApp.
• Aktifkan fitur verifikasi dua langkah atau two-step verification di menu pengaturan akun dengan membuat enam digit kode pengaman pribadi. Lapisan kunci tambahan ini bekerja seperti gembok ekstra pada pagar rumah agar penyusup jauh lebih sulit menembus akunmu.
• Segera tekan pilihan 'Jangan tautkan' jika sewaktu-waktu muncul notifikasi penautan perangkat mencurigakan di layar ponselmu. Jangan menunda keputusan tersebut supaya celah akses ke browser pelaku langsung tertutup rapat sebelum sempat menyalin isi pesan.

Biasakan juga memberi tahu orang tua atau kerabat yang kurang akrab dengan jebakan siber soal modus link foto ini. Mereka biasanya menjadi sasaran empuk karena mudah panik atau terlalu percaya ketika melihat nama kontak teman muncul di layar.

Coba luangkan waktu sepuluh detik sekarang untuk mengecek menu Perangkat Tertaut di ponselmu. Adakah perangkat asing yang diam-diam ikut nongkrong di akunmu hari ini?