Anggota Parlemen Australia, Staf Diretas dalam Serangan WhatsApp oleh 'Aktor Asing'
Bagaimana Peretasan WhatsApp Terjadi
Dalam serangan phishing yang ditargetkan pada 6 Maret 2026, seorang anggota parlemen federal Australia dan tiga staf memiliki akun WhatsApp pribadi mereka yang dikompromikan. Para peretas menggunakan metode sederhana namun efektif: pertama-tama mereka memicu kode verifikasi yang sah ke perangkat korban, kemudian menghubungi korban dengan menyamar sebagai kontak tepercaya yang meminta kode tersebut. Setelah diberikan, peretas menghubungkan akun ke perangkat mereka sendiri, secara efektif mendapatkan kendali komunikasi penuh. Pelanggaran tersebut dikonfirmasi selama sidang Senate Estimates pada 25 Mei, di mana pejabat Departemen Layanan Parlemen (DPS) merinci perkembangan insiden tersebut.
Kepala Petugas Informasi DPS Mike Webb menjelaskan bahwa pola serangan menunjukkan upaya terkoordinasi oleh aktor negara asing. Akun yang dikompromikan bersifat pribadi tetapi juga diakses di perangkat yang dikelola DPS, meningkatkan kekhawatiran tentang kerentanan lintas platform. Tujuan peretas adalah pengambilalihan akun, yang berhasil mereka capai dalam keempat kasus. DPS segera memberi tahu Direktorat Sinyal Australia (ASD) dan untuk sementara memblokir akses web WhatsApp di jaringan parlemen dari 9 Maret hingga 16 Maret untuk membatasi potensi penyebaran.
Taktik Phishing dan Rekayasa Sosial
Serangan ini sangat bergantung pada rekayasa sosial daripada eksploitasi teknis yang canggih. Phishing tetap menjadi salah satu ancaman siber paling efektif karena menargetkan psikologi manusia. Peretas menyamar sebagai kontak tepercaya—bahkan mungkin anggota parlemen lain yang akunnya sudah dikompromikan—untuk meminta kode verifikasi. Pendekatan berbasis kepercayaan ini membuat korban lebih mungkin untuk mematuhi. Setelah peretas memasukkan kode, WhatsApp secara otomatis menautkan perangkat mereka, memberi mereka akses penuh ke pesan, media, dan daftar kontak.
Peringatan Serupa dari Badan Global
Metode ini mencerminkan taktik yang diperingatkan oleh badan keamanan siber di seluruh dunia. Pada tahun 2025, Pusat Keamanan Siber Nasional Inggris dan Badan Keamanan Siber dan Infrastruktur AS mengeluarkan imbauan yang merinci teknik phishing identik yang menargetkan pengguna WhatsApp. Serangan Australia menunjukkan bahwa aktor ancaman ini menjadi lebih agresif, secara khusus menargetkan tokoh politik bernilai tinggi. Pejabat DPS mencatat bahwa para peretas tampaknya memiliki pengetahuan sebelumnya tentang jaringan korban, membuat pesan phishing sangat meyakinkan.
Respons dan Langkah Mitigasi
Setelah menemukan pelanggaran, DPS bertindak cepat untuk mengisolasi ancaman. Mereka memblokir browser web WhatsApp di jaringan parlemen—langkah yang mengganggu alur kerja tetapi mencegah kompromi akun lebih lanjut. Individu yang terkena dampak menerima dukungan segera, dan ASD melakukan investigasi forensik. Pasca-insiden, DPS mendesak semua anggota parlemen dan staf untuk meninjau pengaturan keamanan mereka, mengaktifkan autentikasi dua faktor, dan berhati-hati saat membagikan kode verifikasi atau informasi sensitif melalui aplikasi perpesanan.
Lanskap Ancaman Siber yang Lebih Luas
Insiden ini adalah bagian dari pola serangan siber yang lebih besar yang menargetkan entitas pemerintah Australia. Antara Juli 2025 dan Maret 2026, DPS mendeteksi 46 insiden malware, hampir 20.000 upaya phishing, dan 1.458 peringatan siber. Volume yang besar ini menekankan ancaman persisten yang dihadapi kantor politik. Pejabat menekankan bahwa sementara aplikasi perpesanan seperti WhatsApp menawarkan kenyamanan, aplikasi tersebut tidak dirancang untuk komunikasi yang sangat sensitif. Pelanggaran ini memperkuat perlunya protokol keamanan siber yang kuat dan pelatihan staf yang berkelanjutan.
Pelajaran untuk Kantor Politik
Insiden peretasan ini menyoroti kerentanan kritis dalam penggunaan perangkat pribadi di lingkungan yang aman. Tokoh politik dan staf mereka harus mengadopsi pola pikir keamanan-pertama, memperlakukan setiap permintaan tak terduga untuk kode verifikasi dengan kecurigaan. Menerapkan metode autentikasi tahan-phishing, seperti kunci keamanan perangkat keras, dapat menambahkan lapisan perlindungan ekstra. Latihan keamanan siber rutin dapat membantu staf mengenali dan melaporkan upaya phishing sebelum berhasil. Seiring ancaman berkembang, adaptasi berkelanjutan dan kewaspadaan tetap menjadi pertahanan terbaik, memastikan bahwa saluran komunikasi yang paling tepercaya pun tidak menjadi pintu gerbang bagi musuh asing.