Ancaman keamanan di Android makin canggih. Tim peneliti internasional menemukan metode serangan baru bernama Pixnapping, yang bisa mencuri informasi sensitif di layar seperti kode 2FA, pesan pribadi, dan riwayat lokasi hanya dalam waktu sekitar 30 detik. Yang paling mengejutkan, serangan ini bisa dilakukan tanpa izin apa pun dari sistem Android.
Bagaimana Pixnapping Bekerja
Pixnapping memanfaatkan kelemahan di bagian grafis ponsel (GPU). Ketika ponsel menampilkan sesuatu di layar, sistem akan merender jutaan piksel agar tampilan terlihat halus. Dari sini, peneliti menemukan celah: waktu render tiap piksel bisa diukur dan dianalisis untuk menebak warna, bentuk, atau karakter yang muncul.
Aplikasi jahat yang dipasang di ponsel tidak benar-benar “melihat” isi layar seperti screenshot, tapi cukup dengan menghitung berapa lama tiap piksel dirender. Selisih waktu yang kecil bisa memberi petunjuk apakah piksel itu putih, hitam, atau berwarna. Dari ribuan piksel yang dianalisis, informasi seperti angka 2FA atau teks pesan bisa disusun ulang secara akurat.
Tahapan Serangan
Peneliti menjelaskan bahwa serangan Pixnapping terjadi dalam tiga langkah sederhana:
- Aplikasi jahat memancing tampilan data sensitif.
Misalnya, aplikasi itu membuka Google Authenticator supaya kode 2FA muncul di layar. - Lapisan transparan dibuat di atas aplikasi target.
Lapisan ini tidak terlihat oleh pengguna, tapi di balik layar ia mengukur waktu render piksel tertentu menggunakan API grafis Android. - Data direkonstruksi dari hasil pengukuran.
Setiap piksel yang warnanya berbeda menghasilkan waktu render yang berbeda. Dari pola itu, aplikasi bisa “membaca” angka atau huruf di layar pengguna.
Dalam pengujian di laboratorium, para peneliti berhasil mencuri kode 2FA enam digit di berbagai perangkat Google Pixel dengan tingkat keberhasilan hingga 73 persen. Waktu yang dibutuhkan rata-rata antara 14 hingga 25 detik, masih dalam batas waktu validitas kode 2FA. Sementara di Samsung Galaxy S25, serangan belum stabil karena sistem keamanan tambahan Samsung menimbulkan gangguan waktu render.
Tanggapan dari Google
Menanggapi laporan ini, Google merilis patch keamanan September 2025 dengan kode CVE-2025-48561. Patch ini memperkuat perlindungan terhadap proses render layar, meski belum sepenuhnya menutup celah. Google memastikan akan mengirimkan pembaruan lanjutan pada Desember 2025, sekaligus menegaskan bahwa belum ada bukti serangan nyata di lapangan.
Meskipun demikian, para ahli menilai penelitian ini penting karena menyoroti batasan model keamanan Android. Selama ini, Android mengandalkan sistem izin (permission) antar-aplikasi, tapi Pixnapping membuktikan bahwa celah bisa muncul bahkan tanpa izin sama sekali.
Dampak bagi Pengguna
Kalau dipikir, kebanyakan pengguna tidak sadar bahwa tampilan di layar bisa “dibaca” oleh aplikasi lain. Celah seperti Pixnapping bisa dimanfaatkan untuk mencuri kode OTP, data transaksi, hingga isi pesan pribadi tanpa notifikasi apa pun.
Ancaman ini menambah panjang daftar risiko keamanan di Android, terutama karena serangan bisa berjalan hanya dengan memasang satu aplikasi berbahaya.
Cara Melindungi Diri dari Serangan
Untuk pengguna biasa, langkah perlindungan berikut wajib dilakukan:
- Segera perbarui sistem Android. Pastikan patch keamanan terbaru sudah diinstal lewat pengaturan ponsel.
- Hanya unduh aplikasi dari Play Store. Hindari file APK dari sumber tidak jelas yang sering disusupi malware.
- Gunakan metode autentikasi modern. Pilih verifikasi berbasis perangkat seperti Google Prompt atau security key FIDO2, bukan kode angka di layar.
- Periksa izin aplikasi. Jika ada aplikasi yang sering muncul di atas aplikasi lain, cabut izin “Display over other apps”.
- Aktifkan Play Protect. Fitur ini bisa mendeteksi dan memblokir aplikasi mencurigakan sebelum dijalankan.
Mengapa Serangan Seperti Ini Bisa Terjadi
Masalah utama ada pada arsitektur grafis di ponsel modern. GPU dirancang untuk performa tinggi, bukan keamanan. Akibatnya, waktu render piksel bisa dimanfaatkan sebagai side channel untuk membaca data.
Pixnapping bukan serangan pertama yang memakai teknik ini. Tahun 2023, serangan GPU.zip juga menggunakan prinsip serupa di browser, dan sampai sekarang belum benar-benar ditutup di level perangkat keras.
Ini menunjukkan bahwa dunia keamanan digital terus berubah. Setiap kali celah ditutup di satu sisi, hacker menemukan cara baru dari sisi lain. Oleh karena itu, update rutin dan kewaspadaan pengguna menjadi pertahanan paling nyata.
Kesimpulan
Pixnapping mungkin masih sebatas penelitian, tapi dampaknya nyata. Ia membuktikan bahwa keamanan visual di ponsel tidak sesederhana tampilan layar yang kita lihat. Setiap piksel yang muncul bisa menjadi pintu informasi bagi pihak yang tidak bertanggung jawab.
Karena itu, jangan tunda pembaruan sistem dan selalu waspada terhadap aplikasi gratis yang mencurigakan. Dunia digital makin pintar, tapi hacker juga makin licik.