Para pengguna Android patut waspada. Sebuah serangan baru bernama Pixnapping ditemukan oleh peneliti keamanan dan mampu mencuri data pribadi seperti kode 2FA, pesan chat, hingga lokasi pengguna hanya dalam waktu kurang dari 30 detik. Yang membuatnya berbahaya, aplikasi jahat yang dipakai untuk menjalankan serangan ini tidak memerlukan izin sistem sama sekali.
Apa Itu Pixnapping
Pixnapping adalah metode serangan yang memanfaatkan celah di GPU dan cara Android menampilkan gambar di layar. Aplikasi jahat memanfaatkan perbedaan waktu rendering tiap piksel untuk menebak apa yang muncul di layar pengguna, mirip seperti mengambil screenshot tanpa izin.
Artinya, walaupun pengguna tidak memberikan akses layar atau kamera, hacker masih bisa membaca isi tampilan aplikasi lain seperti Google Authenticator atau aplikasi perpesanan populer.
Peneliti menggambarkan serangan ini seperti “membaca piksel satu per satu” dan menyusunnya menjadi angka atau huruf. Teknik ini mengandalkan pengukuran waktu yang sangat presisi hingga level milidetik.
Cara Serangan Ini Bekerja
Pixnapping berlangsung dalam tiga langkah utama:
- Menjalankan aplikasi target.
Aplikasi jahat terlebih dahulu memicu aplikasi lain agar menampilkan data sensitif di layar, seperti kode 2FA atau percakapan chat. - Melakukan pengukuran piksel.
Setelah data muncul, aplikasi jahat “menggambar” lapisan transparan di atas layar dan melakukan operasi grafis untuk menganalisis warna piksel di area tertentu. - Membaca data dari waktu rendering.
Setiap piksel yang berwarna berbeda menghasilkan waktu render yang sedikit berubah. Dengan mencatat pola waktu itu, aplikasi dapat menebak isi karakter di layar secara akurat.
Dalam pengujian laboratorium, Pixnapping berhasil mencuri kode 2FA enam digit dari Google Authenticator pada beberapa perangkat Pixel hanya dalam waktu 14 sampai 25 detik. Pada Pixel 6, tingkat keberhasilan mencapai 73 persen, sementara pada Pixel 7 dan 8 berkisar antara 50 persen. Namun di Galaxy S25, hasilnya kurang stabil karena sistem keamanan tambahan milik Samsung.
Sudah Ada Patch dari Google
Google mengakui adanya celah ini dan telah merilis patch keamanan September 2025 dengan nomor CVE-2025-48561. Patch ini menutup sebagian jalur serangan, tapi tim peneliti menemukan bahwa versi modifikasi Pixnapping masih bisa berfungsi.
Google menyatakan akan mengeluarkan pembaruan tambahan pada Desember 2025, dan sejauh ini belum ditemukan bukti bahwa serangan ini digunakan secara nyata di dunia maya.
Meski begitu, pakar keamanan menilai riset ini penting karena menunjukkan keterbatasan model keamanan Android. Satu aplikasi seharusnya tidak bisa mengintip tampilan aplikasi lain, namun kenyataannya masih ada celah teknis di level grafis dan GPU.
Bahaya di Dunia Nyata
Serangan ini memang membutuhkan pengguna untuk menginstal aplikasi jahat terlebih dahulu, jadi faktor sosial masih menjadi kunci. Banyak orang yang tertipu dengan aplikasi gratisan, game modifikasi, atau tool yang menjanjikan fitur premium. Begitu aplikasi itu terpasang, ia bisa menjalankan serangan tanpa memerlukan izin tambahan.
Yang lebih menakutkan, kode 2FA hanya berlaku 30 detik. Artinya, hacker bisa memanfaatkan waktu singkat itu untuk masuk ke akun sebelum pengguna sadar.
Cara Melindungi Diri
Beberapa langkah sederhana dapat menghindarkan pengguna dari risiko seperti ini:
- Selalu perbarui sistem Android. Pastikan patch keamanan bulan September 2025 atau yang lebih baru sudah terpasang.
- Jangan asal instal aplikasi. Gunakan hanya dari Play Store dan hindari file APK dari sumber tidak jelas.
- Gunakan metode login lebih aman. Pilih autentikasi berbasis push notifikasi atau security key FIDO2 agar tidak bergantung pada tampilan kode di layar.
- Periksa izin aplikasi. Jika ada aplikasi yang sering muncul di depan layar atau meminta izin overlay, segera nonaktifkan.
- Aktifkan Play Protect. Fitur ini dapat mendeteksi aplikasi berpotensi berbahaya sejak awal.
Kesimpulan
Pixnapping membuka mata banyak orang bahwa ancaman keamanan digital kini makin halus. Tidak perlu izin, tidak perlu akses root, cukup manipulasi waktu rendering dan data pribadi bisa bocor.
Walau serangan ini masih bersifat penelitian, pesan pentingnya jelas: jangan pernah menunda update keamanan dan waspadai aplikasi mencurigakan.
Keamanan ponsel bukan hanya soal antivirus, tapi juga kesadaran pengguna dalam menjaga kebersihan digital.
