Worm Buatan AI Zero-Click Dapat Membajak Akun WeChat melalui Panggilan Telepon — Tencent Diam-diam Menambalnya

Para peneliti di perusahaan keamanan Calif telah mendemonstrasikan worm yang dapat menyebar sendiri dan dapat mengambil alih akun WeChat hanya melalui panggilan masuk – targetnya tidak perlu menjawab, mengetuk tautan, atau menyentuh telepon. Perusahaan mengatakan kecerdasan buatan membantunya menemukan bug yang mendasarinya dan menulis eksploitasi pertama yang berhasil dalam waktu sekitar dua hari.

Demonstrasi tersebut, yang dilaporkan pada tanggal 8 September oleh The Hacker News dan The New York Times, menunjukkan betapa AI secara dramatis mempersingkat waktu pengembangan alat serangan yang serius. Tidak ada serangan yang menggunakan kelemahan ini yang dilaporkan, dan Tencent mengatakan eksploitasi tersebut telah diblokir untuk semua pengguna sejak akhir Agustus — namun seperti yang dicatat oleh berita keamanan AI sepanjang tahun 2026, eksploitasi yang dipercepat AI berpindah dari teori ke praktik.

Cacing yang Menyebar dengan Cara Berdering

Serangan ini berhasil melalui fitur panggilan WeChat. Worm tersebut mengambil alih akun WeChat korban ketika ponsel mereka menerima panggilan dari penyerang — bahkan jika panggilan tersebut tidak dijawab, dan bahkan jika telepon hanya berdering di meja di seberang ruangan. Menjawab tidak membantu: Calif mengatakan korban tidak mendengar apa pun dan eksploitasi masih berhasil. Menolak panggilan akan menghentikan upaya tersebut, namun penyerang dapat mencoba lagi nanti, misalnya saat target tidur.

Ada satu batasan: penelepon harus sudah menjadi salah satu kontak WeChat target. Calif berargumentasi bahwa hal ini bukanlah penghalang dalam praktiknya, karena begitu satu kontak disusupi, kepercayaan ekstra yang diberikan WeChat pada komunikasi kontak-ke-kontak akan menguntungkan penyerang. Setiap akun yang dibajak menjadi titik peluncuran baru.

Demonstrasi tersebut menunjukkan reaksi berantai tersebut. Salah satu ponsel Android menelepon iPhone dan mengambil alih akun WeChat-nya saat telepon masih berdering. IPhone yang baru disusupi kemudian disebut sebagai ponsel Android kedua dan mengambil alih kendali dengan cara yang sama.

Setelah eksploitasi berjalan, penyerang mendapatkan kendali penuh atas akun WeChat – membaca dan mengirim pesan, melakukan panggilan, dan bertindak sebagai pemilik akun. Kontrol atas ponsel itu sendiri tidak termasuk, tetapi untuk aplikasi yang daftar tunggalnya mencakup pembayaran, akun resmi, dan program mini, pengambilalihan akun merupakan hasil yang serius. Tencent melaporkan gabungan 1,439 miliar pengguna aktif bulanan untuk WeChat dan Weixin pada 30 Juni 2026.

Garis Waktu yang Dipercepat AI

Detail yang paling penting mungkin adalah seberapa cepat hal ini terjadi. Menurut Calif, timnya bekerja dengan AI untuk menemukan bug tersebut dan menghasilkan eksploitasi pertama yang mampu menjalankan kode di ponsel dalam waktu sekitar dua hari; membangun worm membutuhkan waktu seminggu lagi.

Garis waktu yang dipublikasikan oleh perusahaan ini lebih konservatif namun tetap mencolok: tim tekniknya mengidentifikasi bug tersebut pada tanggal 23 Juli, menyelesaikan eksploitasi Android pertama pada tanggal 30 Juli, dan mendemonstrasikan worm yang berfungsi pada tanggal 11 Agustus. The Hacker News mencatat bahwa angka yang lebih pendek mungkin hanya menghitung waktu kerja aktif — namun bagaimanapun juga, jarak dari penemuan awal hingga worm zero-click yang menyebar sendiri diukur dalam hitungan minggu, bukan bulan atau tahun yang biasanya dibutuhkan kemampuan seperti itu.

Peneliti keamanan telah memperingatkan selama dua tahun bahwa model bahasa yang besar akan mengurangi hambatan untuk mengeksploitasi pembangunan. Kasus ini merupakan data nyata: AI tidak menggantikan para insinyur, namun secara signifikan mempercepat penemuan kerentanan dan persenjataan.

Perbaikan Tenang Tencent

Calif melaporkan kelemahan tersebut ke Tencent pada bulan Juli. Perusahaan tersebut mengatakan bahwa Tencent telah melakukan mitigasi terhadap eksploitasi tersebut untuk semua pengguna, dan pada tanggal 28 Agustus mereka mengonfirmasi bahwa pemblokiran tersebut diterapkan pada server Tencent — yang berarti perlindungan tidak bergantung pada pengguna yang menginstal apa pun.

Tencent mengirimkan WeChat versi 8.0.77 untuk Android dan 8.0.76 untuk iOS pada tanggal 21 Agustus, menurut log rilisnya sendiri, dan rilis tersebut mengurangi bug tersebut di California. Khususnya, Tencent tidak menerbitkan peringatan keamanan tentang kelemahan tersebut. Catatan rilisnya menggambarkan pembaruan hanya sebagai perbaikan bug, dan tidak ada pengenal CVE yang ditetapkan pada tanggal 8 September. The Hacker News menghubungi kedua perusahaan untuk memberikan komentar.

Tidak ada perusahaan yang mengatakan versi WeChat mana yang terpengaruh, apakah kelemahan tersebut meluas ke klien WeChat di HarmonyOS, Windows, Mac, atau Linux, atau apakah bug tersebut pernah dieksploitasi secara liar. Calif mengatakan tidak ada serangan yang dilaporkan – dan pengguna tidak memiliki cara untuk memeriksa apakah mereka menjadi sasaran, karena panggilan tidak terjawab yang gagal secara diam-diam mungkin tidak meninggalkan jejak.

Apa Artinya bagi Keamanan Seluler

Serangan zero-click pada kelas ini sebagian besar dikaitkan dengan vendor spyware yang memiliki sumber daya yang baik dan beroperasi terhadap sejumlah kecil target bernilai tinggi. Worm – kode serangan yang menyebar dari satu korban ke korban lainnya – mengubah perhitungan karena membuat kemampuan yang sama berpotensi untuk diperluas ke ratusan juta akun. The New York Times, mengutip para ahli, melaporkan bahwa serangan tersebut pada prinsipnya dapat membahayakan sejumlah besar perangkat dalam hitungan jam jika digunakan secara jahat.

California menyembunyikan rincian teknis mengenai kerentanan dan worm tersebut sampai mereka dapat menyajikan analisis lengkap pada konferensi keamanan, dan mereka tidak mempublikasikan apa pun yang dapat dicari oleh para pembela HAM. Pembatasan ini akan membatasi peniru, namun juga membuat ekosistem yang lebih luas – aplikasi perpesanan lain dengan arsitektur panggilan serupa – harus mengaudit dirinya sendiri tanpa referensi.

Bagi pengguna, manfaat praktisnya sempit: blok sisi server berarti tidak ada tindakan yang diperlukan, meskipun menjalankan rilis WeChat saat ini tetap disarankan. Bagi industri keamanan, dampaknya lebih luas. Alur kerja berbantuan AI yang mengubah awal yang berdiri menjadi worm zero-click yang bekerja dalam waktu kurang dari tiga minggu bukan lagi sebuah eksperimen pemikiran — melainkan sebuah pipeline yang terdokumentasi dan teruji.

Tetap Terdepan dalam AI

Ikuti perkembangan terkini tentang keamanan, penyalahgunaan, dan pertahanan AI di AI Buzz Wire.

Baca berita AI selengkapnya →