Keluhan akun Whatsapp yang diblokir terus bermunculan di media sosial—akun mendadak 'sedang ditinjau' atau langsung diblokir, tanpa peringatan sebelumnya. Yang menarik disini bukan blokirnya semata, melainkan apa yang ditemukan sebagian pengguna setelah akun mereka pulih.
Banyak akun yang mendadak memiliki riwayat pengiriman pesan broadcast tautan judi online ke nomor-nomor yang tidak mereka kenal, padahal pengguna menyatakan tidak pernah mengirim pesan apa pun.
WhatsApp secara resmi hanya menyebutkan dua penyebab pemblokiran yaitu penggunaan aplikasi tidak resmi (seperti GB WhatsApp atau FM WhatsApp) dan scraping, yaitu pengambilan data pengguna lain secara otomatis.
"Namun pola yang berulang di lapangan sampai hari ini tetap terdeteksi mengirim spam judi online tepat pada rentang waktu akun berstatus ditinjau, menunjukkan bahwa penyebabnya lebih spesifik daripada sekadar kesalahan deteksi sistem semata," jelas pakar keamanan siber Vaksincom, Alfons Tanujaya.
Berdasarkan penelusuran terhadap sejumlah laporan pengguna dan diskusi di berbagai forum, setidaknya ada tiga modus yang berulang kali muncul dengan pola yang konsisten, menurut Alfons. Berikut hasil penemuannya:
Penyewaan akun (sewa WA). Modus rekrutmen berkedok pekerjaan lepas meminta korban menyewakan akun WhatsApp miliknya dengan imbalan harian. Namun akun tersebut kemudian dipakai untuk distribusi spam judi online tanpa kendali pemiliknya. Kepolisian pernah mengungkap sindikat serupa di Palembang yang menjual sekitar 50.000 nomor WhatsApp.
Aplikasi sadap atau kloning WhatsApp. Aplikasi yang dipasarkan untuk memantau percakapan pasangan atau anak bekerja melalui mekanisme resmi Perangkat Tertaut (Linked Device), cukup dengan akses fisik singkat ke ponsel korban untuk memindai kode QR. WhatsApp sendiri menyatakan aplikasi tidak resmi semacam ini dapat memicu pemblokiran akun.
Pencurian sesi melalui perangkat lunak pihak ketiga (infostealer). Beberapa kasus terdokumentasi menunjukkan pustaka (library) pengembang yang disusupi mampu mencuri token sesi WhatsApp Web sekaligus menautkan perangkat pelaku ke akun korban tanpa memerlukan kode OTP.
PIN verifikasi dua langkah hanya diperlukan saat nomor telepon didaftarkan ulang sebagai perangkat utama. Proses penautan perangkat baru melalui pemindaian kode QR sama sekali tidak meminta PIN.
"Dengan kata lain, pengguna yang sudah mengaktifkan verifikasi dua langkah pun tetap dapat menjadi korban apabila ponselnya sempat diakses pihak lain tanpa pengawasan," jelas Alfons.
Bagi pengguna yang akunnya berulang kali diblokir, ada tiga hal yang perlu diperiksa, bukan sekadar menunggu akun pulih dengan sendirinya:
Pastikan tidak menggunakan aplikasi WhatsApp modifikasi, baik GB WhatsApp, FM WhatsApp maupun aplikasi sejenis.
Periksa menu Perangkat Tertaut (Setelan > Perangkat Tertaut) dan pastikan tidak ada perangkat asing yang tercantum.
Hindari penggunaan Whatsapp web dari perangkat yang tidak aman.
"Kalau masih paranoid jangan pakai dulu. Pastikan tidak ada pihak lain—baik pasangan, anggota keluarga, maupun teman—yang pernah mengakses ponsel tanpa sepengetahuan pemiliknya," lanjutnya.
Apabila setelah akun pulih ditemukan riwayat iklan atau tautan judi online yang tidak pernah dikirim, hal ini patut dipahami sebagai indikasi bahwa akun sempat dikuasai pihak lain melalui salah satu dari tiga modus di atas—bukan sebagai kegagalan sistem keamanan WhatsApp.