Undangan digital penipuan APK: ciri dan langkah jika terlanjur terbuka

Undangan digital berbentuk website dibuka di browser. Tamu cukup mengetuk link, lalu halaman undangan terbuka. Undangan palsu yang banyak beredar meminta tamu memasang sebuah file berakhiran .apk. File itu adalah aplikasi Android. Setelah dipasang, aplikasi itu bisa membaca SMS, termasuk kode OTP mobile banking.

Kalau pesan undangan meminta penerima memasang sesuatu, berhenti di situ.

Cara kerja modus APK undangan

Pelaku mengirim file lewat WhatsApp dengan nama yang mirip undangan, misalnya "Surat Undangan Pernikahan Digital" (Selular.ID, 2023). Bank Mandiri mencatat pelaku bisa mengaku sebagai kerabat dekat yang mengirim undangan pesta pernikahan (Bank Mandiri, 2025).

OJK menyebut modus ini berhasil karena penerima merasa wajar untuk memeriksa undangan yang datang (OJK, dikutip Kontan, 2023). Kominfo (sekarang Komdigi) menjelaskan bahwa file seperti itu bisa menyusup ke HP dan mengambil informasi penting, termasuk data keuangan (Kominfo, dikutip Selular.ID, 2023).

Ciri undangan digital yang aman dibuka

Undangan yang aman dibuka biasanya:

• Berupa link yang membuka halaman di browser, seperti Chrome atau Safari, tanpa memulai unduhan file.
• Tidak meminta memasang apa pun. Halaman undangan cukup dibaca, digulir, dan diisi formulir kehadiran.
• Tidak meminta data rahasia seperti PIN, kode OTP, atau data rekening. Bank Mandiri menegaskan bank tidak pernah meminta data pribadi lewat media online (Bank Mandiri, 2025).

Tanda-tanda ini tidak membuktikan pengirimnya asli. Baca nama situs di teks link itu sendiri, karena judul dan nama di kartu pratinjau WhatsApp bisa diatur siapa saja.

Undangan berbentuk gambar atau PDF juga umum. Periksa jenis file yang ditampilkan WhatsApp di gelembung chat; kalau tertulis APK, jangan dibuka. Penipu juga bisa mengirim link. Kalau link memulai unduhan, meminta memasang aplikasi, atau meminta data bank dan OTP, tutup halamannya.

Ciri undangan palsu

• Nama file berakhiran .apk, termasuk yang disamarkan seperti .pdf.apk.
• HP menampilkan peringatan soal memasang aplikasi dari sumber yang tidak dikenal.
• Aplikasi meminta izin membaca SMS.
• Pengirim tidak dikenal atau nomornya baru. Pesan dari nomor kenalan juga bisa berbahaya kalau akun WhatsApp-nya dibajak, dan pelaku bisa mengaku kerabat. File .apk tetap jangan dibuka, siapa pun pengirimnya.

Bank Mandiri menganjurkan memastikan aplikasi berasal dari sumber resmi seperti Google Play Store atau Apple App Store (Bank Mandiri, 2025).

Simpan bukti dulu

Saran kami: sebelum menghapus apa pun, foto layar pesan dan nomor pengirim. Bukti itu berguna saat melapor ke bank atau polisi. Kalau file sudah terpasang, putuskan internet dulu; cara menyimpan buktinya ada di bagian "Kalau file sudah terlanjur dipasang".

Kalau file belum dipasang

Langkah dari Diskominfo Kabupaten Purworejo (dikutip detikJateng, 2023):

1. Hapus pesan yang berisi file.
2. Kalau file datang di grup, hapus pesannya, minta admin mengeluarkan pengirim, lalu telepon pengirim.
3. Batalkan pemasangan kalau HP sudah menampilkan layar instal.

Kalau file sudah terlanjur dipasang

Langkah dari Diskominfo Kabupaten Purworejo:

1. Jangan langsung mematikan HP.

2. Segera matikan Wi-Fi dan data seluler.

3. Cabut kartu SIM dari HP yang terinfeksi.

   Saran kami: setelah langkah 3 dan sebelum langkah 5, foto nama aplikasi yang terpasang dengan kamera HP lain. Catat transaksi yang tidak dikenal dari HP lain, layanan telepon bank, atau mutasi rekening, bukan dengan membuka aplikasi bank di HP yang terinfeksi.

4. Pasang kartu SIM di HP lain. Kabari bank, teman, dan keluarga bahwa akun di HP itu mungkin disalahgunakan, supaya mereka berhati-hati terhadap permintaan uang dan akses ke akun.

5. Hapus aplikasi yang menyimpan akun di HP yang terinfeksi, seperti mobile banking, WhatsApp, dan aplikasi belanja.

6. Cadangkan data penting ke komputer lewat kabel atau kartu memori.

7. Kembalikan HP ke setelan pabrik (factory reset).

Bank Mandiri menganjurkan segera menghapus aplikasi yang tidak jelas asal-usulnya, mematikan izin membaca SMS untuk aplikasi yang mencurigakan, dan memeriksa transaksi rekening serta dompet digital. Kalau ada transaksi yang tidak dikenal, hubungi call center bank atau layanan terkait (Bank Mandiri, 2025).

Saran kami: kerjakan anjuran Bank Mandiri sebelum langkah 7 (setelan pabrik). Periksa transaksi dari HP lain atau lewat telepon, dan ambil nomor call center dari balik kartu ATM atau situs resmi bank, bukan dari pesan yang diterima.

Memastikan link undangan dari Sampul asli

Link undangan Sampul berawalan sampul.id/u/, diikuti nama undangan. Kartu gambar yang kadang dikirim bersamanya hanya gambar biasa. Baca alamatnya di teks link: harus persis sampul.id, bukan nama mirip yang ditambah huruf atau tanda hubung.

Sampul sendiri tidak pernah meminta tamu memasang aplikasi atau menyebutkan kode OTP, dan tidak mengirim file APK. Isi undangan ditulis oleh pembuatnya, jadi link sampul.id hanya memastikan halaman itu dibuat di Sampul, bukan siapa pembuatnya. Kalau ada tombol yang mengunduh file atau rekening hadiah yang terasa janggal, tanyakan dulu ke pengantin lewat nomor yang sudah tersimpan di kontak sejak sebelumnya, bukan nomor yang tertera di pesan atau di halaman undangan.

Halaman undangan Sampul tidak memuat pixel iklan. Rinciannya ada di halaman keamanan.

Kalau pengirimnya nomor baru, tanyakan lewat keluarga atau kenalan bersama sebelum membuka apa pun.