Sebuah SMS yang tidak pernah muncul di kotak masuk bisa membuat ponsel Android kehilangan sinyal, memutus panggilan, bahkan terjebak bootloop. Peneliti keamanan Mark Blaszczyk memberi nama celah ini “SMS of Death” atau SMS Maut. Yang membuatnya serius: korban tidak perlu mengeklik apa pun. Cukup pesan itu sampai ke nomor Anda, dan sistem Android yang belum ditambal akan mencoba memprosesnya berulang kali.
Ringkasan singkat
- Celah “SMS of Death” memakai WAP Push SMS khusus; tidak perlu klik atau buka lampiran.
- Berdampak pada Android 12 ke atas; sekitar 20 pesan disebut cukup membuat ponsel nyaris tidak bisa dipakai.
- Perbaikan masuk pembaruan keamanan Oktober 2026 untuk Android 14–17.
- Android 13 dan versi lebih lama belum mendapat perbaikan; upgrade atau ganti perangkat adalah jalur paling aman.
Apa yang sebenarnya ditemukan
Blaszczyk melaporkan temuan ini kepada Google pada 5 Mei 2026. Menurut catatannya, Google sempat menilai laporan itu bukan masalah keamanan. Ia lalu mempublikasikan demonstrasi serangan yang berfungsi pada 29 Oktober 2026. Google sendiri ternyata sudah membuat perbaikan di kode Android pada 15 Juni 2026, dan perbaikan itu masuk ke pembaruan keamanan Oktober untuk Android 14 sampai 17.
Inti masalahnya ada di cara Android menangani WAP Push SMS. WAP Push adalah jenis pesan yang biasanya membawa tautan atau notifikasi layanan. Pada kondisi normal, pesan ini muncul sebagai notifikasi dan pengguna memutuskan apakah ingin membukanya. Pada kasus ini, pesan dirancang dengan struktur yang membuat sistem gagal memprosesnya, tetapi tetap mencoba lagi di latar belakang.
Kegagalan itu terjadi di telephony framework, bagian Android yang mengurus panggilan dan jaringan seluler. Akibatnya bukan sekadar aplikasi pesan yang error. Panggilan yang sedang berjalan bisa terputus, termasuk panggilan ke layanan darurat. Jika pesan terus dikirim, ponsel bisa kehilangan sinyal untuk sementara atau terjebak restart berulang.
Kenapa WAP Push jadi jalur yang berbahaya
WAP Push sengaja dibuat agar operator dan penyedia layanan bisa mengirim konfigurasi atau tautan tanpa interaksi pengguna. Karena itu, pesan ini diproses oleh sistem, bukan hanya disimpan di kotak masuk. Desain itu berguna untuk layanan lama, tetapi menjadi masalah ketika parser pesan tidak siap menghadapi input yang cacat.
Dalam serangan SMS Maut, pesan tidak muncul di inbox. Pengguna tidak melihat pengirim, tidak mendapat notifikasi, dan tidak punya kesempatan untuk menghapus pesan sebelum sistem memprosesnya. Inilah yang membedakannya dari phishing. Pada phishing, ada umpan yang harus diklik. Di sini, kerusakan terjadi di lapisan sistem sebelum pengguna bisa bereaksi.
Blaszczyk menyebut sekitar 20 pesan serupa sudah cukup untuk membuat ponsel nyaris tidak bisa digunakan. Jumlah pastinya bisa berbeda tergantung perangkat dan versi Android. Ia juga berhasil mereproduksi serangan pada beberapa model, termasuk Google Pixel. Laporan menyebut sejumlah perangkat Samsung Galaxy juga terdampak, tetapi daftar lengkap perangkat tidak dipublikasikan.
Siapa yang perlu waspada
Kerentanan ini ada di kode Android 12 ke atas. Artinya, ponsel yang masih menerima pembaruan keamanan pun bisa terdampak jika belum memasang patch Oktober 2026. Ponsel yang sudah berhenti mendapat pembaruan, atau masih memakai Android 13 ke bawah, tetap berisiko karena perbaikan tidak tersedia untuk versi tersebut.
Bagi pengguna di Indonesia, ini bukan alasan untuk panik, tetapi alasan untuk memeriksa versi Android dan tanggal patch keamanan. Banyak ponsel menengah baru masih dikirim dengan Android 14 atau 15, sehingga patch bisa dipasang. Ponsel lama yang tertahan di Android 13 perlu dipertimbangkan untuk diganti, terutama jika dipakai untuk perbankan dan komunikasi kerja.
Operator seluler punya peran. Pesan dikirim melalui jaringan mereka, dan pesan yang gagal diproses bisa dikirim ulang. Karena itu, memulihkan ponsel dengan factory reset belum tentu menyelesaikan masalah jika operator masih menyimpan dan mengirim ulang pesan bermasalah. Perbaikan di sisi sistem tetap menjadi solusi utama.
Cara memeriksa apakah HP Anda sudah ditambal
Di Android, buka Settings → About phone → Android version. Cari juga Android security update atau Security patch level. Tanggal yang Anda butuhkan adalah Oktober 2026 atau lebih baru. Beberapa produsen menamai menu berbeda, misalnya “Security update” di Xiaomi atau “Patch keamanan” di Samsung.
Jangan hanya melihat versi Android. Android 14 yang patch-nya masih September 2026 tetap belum terlindungi. Sebaliknya, ponsel dengan patch Oktober 2026 sudah memakai perbaikan yang mengenali pesan bermasalah dan menghapusnya sebelum diproses lebih lanjut.
Jika pembaruan belum muncul, coba periksa Settings → System → System update beberapa kali. Pembaruan biasanya bergulir per wilayah dan per model. Jika ponsel Anda sudah tidak didukung, tidak ada patch yang akan datang. Dalam kondisi itu, mengurangi risiko berarti mengganti perangkat atau menghindari pemakaian nomor utama untuk hal sensitif.
| Versi Android | Status per 3 November 2026 | Tindakan |
|---|---|---|
| Android 14–17 | Perbaikan tersedia lewat patch Oktober 2026 | Pasang patch, lalu restart |
| Android 13 | Belum mendapat perbaikan yang sama | Pertimbangkan upgrade perangkat |
| Android 12 | Kode rentan sudah ada; patch bergantung produsen | Cek patch; jika tidak ada, ganti perangkat |
| Android 11 ke bawah | Di luar cakupan perbaikan | Risiko lebih tinggi; batasi pemakaian |
Kalau ponsel sudah terkena
Gejalanya bisa bertahap: panggilan terputus tanpa sebab, sinyal hilang, ponsel terasa berat, lalu restart berulang. Jika Anda mengalami ini setelah menerima pesan aneh, jangan langsung menyimpulkan kerusakan hardware. Coba catat kapan gejala muncul dan apakah ada pesan yang tidak terlihat di inbox.
Menurut laporan, factory reset belum tentu permanen karena operator bisa mengirim ulang pesan yang sama. Salah satu cara pemulihan yang disebut adalah menghubungkan ponsel ke komputer dan menghapus pesan bermasalah secara manual. Ini memerlukan penanganan teknis dan tidak praktis untuk pengguna biasa.
Langkah yang lebih aman: matikan ponsel, keluarkan SIM jika memungkinkan, lalu minta bantuan operator atau service center. Setelah ponsel bisa menyala, segera pasang patch keamanan sebelum memasukkan SIM kembali. Jika perangkat tidak lagi didukung, jangan gunakan nomor utama di perangkat itu.
Yang belum tersedia dan perlu dipantau
Tidak ada tombol “blokir WAP Push” yang bisa diandalkan di semua ponsel. Beberapa aplikasi pesan pihak ketiga pun tidak mengubah cara sistem memproses WAP Push di lapisan telephony. Filter spam dari operator juga tidak dirancang untuk mengenali pesan yang mengeksploitasi parser.
Karena itu, klaim bahwa aplikasi antivirus tertentu bisa mencegah serangan ini perlu diperiksa dengan skeptis. Yang dibutuhkan adalah perbaikan di sistem operasi. Pantau pengumuman produsen ponsel Anda dan halaman buletin keamanan Android untuk pembaruan berikutnya.
Troubleshooting
Patch keamanan tidak muncul di menu pembaruan
Pembaruan bergulir bertahap. Periksa beberapa kali dalam beberapa hari, gunakan Wi-Fi, dan pastikan penyimpanan cukup. Jika ponsel dibeli dari operator tertentu, pembaruan bisa lebih lambat. Cek juga halaman dukungan resmi produsen untuk model Anda.
Ponsel bootloop setelah menerima SMS
Jangan terus menekan tombol power. Coba masuk ke recovery mode dan pilih reboot; jika tetap gagal, factory reset adalah langkah terakhir, tetapi data akan hilang. Hubungi service center karena penghapusan pesan di lapisan sistem mungkin diperlukan.
Ragu apakah pesan tertentu berbahaya
Jangan membalas, jangan membuka tautan, dan jangan mengirim ulang. Simpan nomor pengirim jika terlihat, lalu laporkan ke operator. Jika ponsel mulai kehilangan sinyal, segera matikan dan pasang patch setelah perangkat bisa menyala.
Kesimpulan
SMS Maut menunjukkan bahwa fitur lama pun bisa menjadi jalur serangan serius ketika parser-nya rapuh. Yang membuatnya berbahaya bukan teknik eksploitasi yang rumit, melainkan kenyataan bahwa pengguna tidak perlu melakukan apa pun. Perbaikan sudah ada untuk Android 14–17 lewat patch Oktober 2026, tetapi perangkat yang tertinggal di Android 13 atau lebih lama masih terbuka. Periksa tanggal patch hari ini, dan jangan menunda pembaruan keamanan berikutnya.
Baca juga: Cara Mengamankan SSH dengan fail2ban di Ubuntu Server · CrowdSec: Blokir IP Penyerang di Semua Server · Cara Setting Firewall UFW di Ubuntu Server · ZFS di Ubuntu: Snapshot yang Menyelamatkan Data Anda · Monitoring Homelab: Prometheus dan Grafana Tanpa Alert Berisik
Sumber: Kompas Tekno — Hati-hati, Ada “SMS Maut” yang Bisa Lumpuhkan HP Android · Mark Blaszczyk — SMS of Death · Android Security Bulletin
-Lengkap-Dengan-Gambar.jpg)
Posts
0 comments:
Post a Comment