HP Bisa Diretas tanpa Pengguna Menekan Apa Pun, Bagaimana Serangan Ini Bekerja?

Bayangkan penyerang mengirimkan file yang dibuat secara khusus. File tersebut dirancang untuk memicu kesalahan pada komponen perangkat lunak tertentu ketika diproses.

Jika terdapat kerentanan yang belum diperbaiki, data tersebut dapat menyebabkan perilaku yang tidak seharusnya terjadi.

Dalam kasus yang sangat canggih, celah pertama kemudian digabungkan dengan kerentanan lain untuk melewati lapisan keamanan tambahan. Rangkaian beberapa kerentanan semacam ini sering disebut exploit chain.

Kasus FORCEDENTRY Menunjukkan Cara Kerjanya

Salah satu contoh terkenal adalah FORCEDENTRY yang dianalisis Citizen Lab dan Google Project Zero.

Serangan tersebut mengeksploitasi iMessage dan dapat bekerja tanpa korban mengeklik sesuatu. Google Project Zero menemukan bahwa file yang dikirim melalui iMessage dapat memicu kerentanan pada proses pengolahan gambar.

Kasus ini menunjukkan sesuatu yang penting: file tidak harus benar-benar dibuka secara manual oleh pengguna agar dapat diproses perangkat.

Sistem komunikasi modern melakukan banyak pekerjaan otomatis sebelum konten muncul di layar.

Citizen Lab juga mengungkap BLASTPASS pada 2023. Rangkaian eksploit tersebut dilaporkan mampu membobol iPhone yang menjalankan iOS 16.6 tanpa interaksi korban melalui lampiran berbahaya yang dikirim menggunakan iMessage.

Bahkan pada September 2026, Citizen Lab kembali melaporkan hasil analisis terhadap iPhone seorang aktivis mahasiswa Serbia. Peneliti menemukan indikator kuat penggunaan eksploit zero-click melalui iMessage untuk memasang spyware Pegasus. Celah yang digunakan dalam kasus tersebut disebut telah diperbaiki Apple pada iOS 18.4.1.

Tidak Hanya Aplikasi Pesan

Secara teknis, konsep zero-click tidak terbatas pada aplikasi pesan.

Komponen modem juga pernah menjadi perhatian peneliti keamanan.

Pada 2023, Google Project Zero mengungkap sejumlah kerentanan pada modem Exynos. Empat kerentanan paling serius memungkinkan skenario Internet-to-baseband remote code execution.

Menurut pengujian Project Zero ketika itu, penyerang dapat membahayakan perangkat pada tingkat baseband tanpa interaksi pengguna dan hanya membutuhkan informasi seperti nomor telepon korban.