Mikulnews.com – Peneliti keamanan siber mengungkap teknik serangan baru yang disebut pixnapping, yaitu metode untuk mencuri informasi visual dari layar ponsel Android termasuk kode OTP. Modus ini menjadi sorotan karena kemampuan mencuri data hanya dalam hitungan detik dan tidak memerlukan izin sistem tradisional saat aplikasi berbahaya dipasang di perangkat korban.
Menurut para peneliti, serangan diawali ketika korban tergoda mengunduh dan memasang aplikasi yang tampak sah namun berbahaya. Setelah terpasang, aplikasi tersebut mampu membaca informasi yang muncul di layar target. Dengan memanfaatkan cara perangkat merender piksel di GPU, pelaku dapat memetakan kembali piksel menjadi huruf, angka, atau simbol yang terlihat pada layar dan merekonstruksi data sensitif seperti kode autentikasi dua faktor.
Dalam demonstrasi lapangan, tim peneliti menunjukkan pixnapping mampu mengekstraksi informasi dalam waktu kurang dari 30 detik pada kondisi tertentu. Kecepatan ini meningkatkan risiko bila korban sedang menerima kode OTP untuk transaksi perbankan dengan masa berlaku singkat. Hasil pengujian juga menunjukkan bahwa metode ini dapat diterapkan pada beragam merek dan model ponsel Android, meski efektivitasnya memerlukan penyesuaian bergantung konfigurasi perangkat dan versi sistem operasi.
Peneliti menambahkan bahwa pixnapping bukan sekadar membaca teks biasa. Metode ini memungkinkan pencurian berbagai konten visual yang tampil di layar, seperti percakapan chat, notifikasi email, serta elemen antarmuka aplikasi yang memuat informasi sensitif. Namun, informasi yang tidak ditampilkan secara visual di layar — misalnya data terenkripsi yang hanya diproses di dalam aplikasi tanpa tampil — relatif tidak terpengaruh.
Sejumlah pihak pembuat sistem operasi mobile dikabarkan telah merilis pembaruan keamanan untuk menutup celah yang memungkinkan teknik tersebut. Meski demikian, menurut para pengamat, pembaruan awal belum sepenuhnya menonaktifkan semua mekanisme serangan. Oleh karena itu, pembaruan lanjutan dan verifikasi patch dari produsen perangkat dinilai penting untuk menutup celah sisa yang masih dapat dimanfaatkan penyerang.
Para ahli keamanan mengimbau pengguna untuk lebih berhati-hati dalam memasang aplikasi. Mereka merekomendasikan agar pengguna hanya mengunduh aplikasi dari toko resmi, memeriksa reputasi pengembang, dan menghindari praktik sideloading kecuali benar-benar diperlukan. Selain itu, memasang pembaruan sistem dan aplikasi secara berkala dapat mengurangi risiko eksploitasi kerentanan.
Dari sisi mitigasi teknis, disarankan pula penggunaan metode autentikasi yang lebih kuat, seperti autentikator berbasis perangkat keras atau biometrik, ketika tersedia. Penggunaan notifikasi transaksi langsung dari layanan perbankan juga membantu mendeteksi aktivitas mencurigakan lebih cepat sehingga korban bisa segera mengambil tindakan pencegahan.
Akademisi dan pengembang platform menyoroti perlunya evaluasi ulang terhadap arsitektur rendering grafis dan kebijakan akses metrik GPU. Mereka mengusulkan isolasi proses yang lebih ketat antar aplikasi serta pembatasan akses terhadap data performa grafis yang bisa digunakan sebagai kanal eksfiltrasi visual. Upaya kolaboratif antara penyedia sistem operasi, pembuat perangkat, serta peneliti independen dinilai krusial untuk mengurangi kemungkinan eksploitasi serupa di masa depan.
Sementara itu, langkah praktis yang dapat dilakukan oleh pengguna saat ini meliputi: menolak instalasi aplikasi dari sumber tak jelas, memeriksa ulasan dan jumlah unduhan aplikasi, tidak mengklik tautan mencurigakan, dan segera mengganti kata sandi serta melapor ke layanan keuangan bila ada indikasi kompromi. Jika mendapati aktivitas tidak biasa pada akun perbankan, segera hubungi pihak bank untuk memblokir akses sementara.
Insiden pixnapping menegaskan bahwa ancaman keamanan digital terus berkembang dan bisa memanfaatkan lapisan yang selama ini kurang mendapat perhatian, yakni cara layar dan GPU bekerja. Karena itu, pencegahan harus berjalan beriringan dengan peningkatan desain arsitektur platform untuk menghadirkan perlindungan yang lebih menyeluruh bagi pengguna.
