Hati-hati! Ekstensi Chrome Bisa Kirim Spam WhatsApp Tanpa Terdeteksi di HP

JawaPos.com - Pengguna WhatsApp perlu mewaspadai ekstensi browser yang terpasang di komputer. Bukan hanya perangkat asing yang bisa menyalahgunakan akun, ekstensi berbahaya juga dapat memanfaatkan sesi WhatsApp Web untuk mengirim pesan spam tanpa langsung terlihat di ponsel pemilik akun.

Modus ini menjadi perhatian setelah seorang warganet mengaku mendapati akun WhatsApp miliknya mengirim pesan promosi judi online ke sejumlah nomor asing. Pesan tersebut dikirim dari laptop miliknya sendiri setelah login ke WhatsApp Web.

Yang membuat kasus itu berbeda dari pembajakan WhatsApp pada umumnya, pesan yang terkirim tidak muncul dalam riwayat chat di ponsel. Bahkan, pesan tersebut tidak dapat dihapus menggunakan opsi 'Delete for Everyone'.

Pemilik akun juga telah mengaktifkan verifikasi dua langkah dan memeriksa menu Perangkat Tertaut. Tidak ditemukan perangkat asing yang terhubung ke akunnya.

Menurut Alfons Tanujaya, Pengamat Keamanan Siber Vaksincom, pola tersebut mengarah pada dugaan penyalahgunaan ekstensi browser yang terpasang di komputer korban.

131 Ekstensi Chrome Pernah Membajak WhatsApp Web

Modus tersebut memiliki kemiripan dengan temuan Socket.dev yang dipublikasikan pada Oktober 2025.

Perusahaan keamanan siber itu mengungkap 131 ekstensi Chrome yang menyamar sebagai perangkat untuk CRM WhatsApp, pemasaran, maupun otomatisasi bisnis.

Alih-alih hanya menawarkan fitur pengelolaan kontak atau otomatisasi, ekstensi tersebut menyuntikkan skrip ke halaman WhatsApp Web dan memanfaatkannya untuk mengirim pesan secara otomatis.

Google kemudian menghapus seluruh ekstensi yang teridentifikasi dari Chrome Web Store. Namun, lebih dari 20.000 pengguna disebut sempat terdampak sejak ekstensi tersebut beredar pada awal 2025.

Kasus yang diteliti Socket.dev terjadi di Brasil dan berkaitan dengan spam bisnis secara umum, bukan promosi judi online. Meski demikian, teknik yang digunakan dapat direplikasi untuk berbagai bentuk penyalahgunaan WhatsApp.

"Artinya, modus serupa secara teknis dapat digunakan untuk menyebarkan spam, termasuk promosi judi online," kata Alfons kepada JawaPos.com.

Mengapa Pesan Bisa Hilang dari HP?

Fenomena pesan terkirim dari WhatsApp Web tetapi tidak terlihat di ponsel berkaitan dengan sistem multi-device WhatsApp.

Dalam sistem tersebut, perangkat yang terhubung, termasuk WhatsApp Web dan WhatsApp Desktop, dapat bekerja sebagai klien independen dengan mekanisme enkripsi masing-masing.

Saat pengguna mengirim pesan melalui WhatsApp Web, klien web bertugas mengenkripsi dan mendistribusikan pesan kepada penerima sekaligus membuat salinan untuk kebutuhan sinkronisasi dengan perangkat milik pengirim.

Di sinilah ekstensi berbahaya dapat menjadi masalah.

Ekstensi yang memiliki akses terhadap halaman WhatsApp Web dapat memanfaatkan logika JavaScript yang berjalan di dalamnya. Dalam skenario tertentu, ekstensi dapat mengarahkan pesan kepada penerima spam tetapi mengganggu proses sinkronisasi salinan pesan ke ponsel.

"Akibatnya, server WhatsApp tetap menerima dan meneruskan paket data yang dikirim dari klien web, sementara pemilik akun tidak melihat pesan tersebut di riwayat pada ponselnya," lanjut Alfons.

Bukan Selalu Karena Akun Dibajak

Kondisi tersebut menunjukkan bahwa pesan asing yang terkirim dari akun WhatsApp tidak selalu berarti ada orang lain yang berhasil mengambil alih akun.
Perangkat yang digunakan sendiri dapat menjadi sumber masalah.

Pengguna bisa saja memasang ekstensi dengan alasan membutuhkan fitur CRM, broadcast, pemasaran, atau otomatisasi WhatsApp. Ekstensi tetap menjalankan fungsi yang dijanjikan sehingga aktivitas mencurigakan di belakang layar sulit diketahui.

Lebih jauh, komputer yang digunakan bersama juga membuka kemungkinan ekstensi dipasang oleh orang lain yang memiliki akses ke perangkat tersebut.

Menurut Alfons, kemungkinan itu perlu dipertimbangkan ketika investigasi tidak menemukan perangkat asing dalam daftar Perangkat Tertaut.

Meski demikian, risiko ini tidak terbatas pada Google Chrome.

Browser berbasis Chromium seperti Microsoft Edge, Brave, dan Opera juga mendukung ekstensi dengan mekanisme yang serupa. Karena serangan berlangsung pada tingkat browser, sistem operasi yang digunakan juga bukan faktor pembatas utama.

Dengan demikian, komputer Windows, macOS, maupun Linux tetap dapat berisiko apabila browser di dalamnya menjalankan ekstensi berbahaya.

Bagi pengguna WhatsApp Web, pemeriksaan keamanan tidak cukup hanya dilakukan pada aplikasi WhatsApp di ponsel. Browser dan ekstensi yang memiliki akses terhadap sesi WhatsApp Web juga perlu diperhatikan.

Kasus ini menjadi pengingat bahwa fitur keamanan seperti verifikasi dua langkah memang penting, tetapi tidak selalu dapat mencegah penyalahgunaan yang bersumber dari perangkat lunak yang sudah berjalan di komputer pengguna.

Artikel Terkait