A gugatan baru(jendela baru) menempatkan kembali keamanan WhatsApp di bawah sorotan. Attaullah Baig, mantan kepala keamanan aplikasi tersebut, menuduh bahwa Meta mengabaikan celah kritis yang memungkinkan ratusan karyawan mengakses data pengguna yang sensitif dan gagal menghentikan peretasan akun massal. Meta menolak klaim tersebut, tetapi bagi 3 miliar pengguna WhatsApp(jendela baru), pertanyaannya tetap sama: Apakah WhatsApp benar-benar aman digunakan?

Apakah WhatsApp aman untuk obrolan pribadi?

Terlepas dari klaim gugatan tersebut, enkripsi end-to-end (E2EE) WhatsApp tetap utuh. Tidak ada yang menunjukkan bahwa protokol enkripsi WhatsApp telah ditembus atau konten percakapan dapat dibaca oleh Meta. Itu berarti teks, foto, dan panggilan suara masih terlindungi dari akses luar, termasuk dari Meta sendiri.

Namun, metadata Anda (dengan siapa berbicara, kapan, dll.) dapat dibaca oleh WhatsApp dan, tergantung pada lokasi tempat tinggal, membagikan data tersebut dengan Meta. Jadi, keamanannya bergantung pada seberapa banyak informasi yang ingin dijaga agar tetap pribadi.

Mengapa Meta digugat atas kekhawatiran privasi WhatsApp?

Attaullah Baig, yang memimpin tim keamanan WhatsApp antara tahun 2021 dan 2025, mengatakan bahwa aplikasi tersebut tidak se-pribadi yang diklaim oleh Meta. Dalam gugatannya, ia menuduh bahwa sekitar 1.500 karyawan memiliki akses ke informasi pengguna yang sensitif, termasuk lokasi, foto profil, keanggotaan grup, dan daftar kontak.

Jika klaim ini benar, hal tersebut akan memperjelas posisi WhatsApp terkait enkripsi end-to-end(jendela baru): Pesan bersifat pribadi, tetapi lokasi, foto profil, keanggotaan grup, dan daftar kontak bebas diakses. Akses tanpa batas semacam itu membuka pintu bagi ancaman orang dalam dan kebocoran data, yang membuat informasi sensitif dapat dicuri dan dijual di dark web.

Mantan kepala keamanan tersebut berpendapat bahwa tingkat akses ini juga dapat melanggar perintah pemerintah AS yang mengikat yang memaksa Meta (saat itu Facebook) membayar denda rekor $5 miliar pada tahun 2020(jendela baru) setelah skandal Cambridge Analytica.

Ia juga menuduh perusahaan mengabaikan lebih dari 100.000 pengambilalihan akun setiap hari dan menolak perbaikan yang diusulkannya. Menurut gugatan tersebut, ketika Baig menyampaikan kekhawatiran ini kepada kepemimpinan senior, termasuk Mark Zuckerberg, Meta memecatnya.

Meta telah menolak klaim Baig dan mengambinghitamkan kinerjanya yang buruk atas pemecatannya. Tuduhan tersebut juga menarik perhatian politik, dengan para senator mendesak Zuckerberg(jendela baru) untuk memberikan jawaban tentang praktik keamanan WhatsApp.

Gugatan Baig muncul hanya beberapa hari setelah sekelompok enam karyawan Meta saat ini dan mantan karyawan(jendela baru) mengklaim bahwa perusahaan menutupi bukti anak-anak yang terekspos pada grooming, pelecehan, dan kekerasan di platform realitas virtualnya. Meta juga menolak klaim tersebut.

Apa saja risiko keamanan dan privasi WhatsApp?

Dengan penanganan data pengguna WhatsApp yang sedang menjadi sorotan, berikut adalah risiko keamanan dan privasi yang mungkin dihadapi saat menggunakan aplikasi ini:

Malware dan spyware

Aplikasi atau tautan berbahaya dapat menginstal spyware di ponsel, memungkinkan penyerang mencegat pesan atau kode. Salah satu contohnya adalah PixPirate(jendela baru), malware Android yang pertama kali ditemukan di Brasil, yang menargetkan sistem pembayaran instan negara tersebut, Pix. Sejak itu, malware ini telah terpantau di India, Meksiko, dan Italia. Tujuannya adalah untuk mencuri kredensial perbankan, mencegat kode autentikasi dua faktor (2FA), memulai transfer Pix tanpa izin dari akun korban, dan memblokir upaya untuk mencopot pemasangan atau menonaktifkan Google Play Protect.

Penyerang telah menggunakan WhatsApp untuk menyebarkan PixPirate. Jika malware tidak mendeteksi WhatsApp di perangkat(jendela baru), malware tersebut akan mengunduhnya untuk mengirim lebih banyak tautan berbahaya ke kontak.

Eksploitasi zero-click

Pada tahun 2025, para peneliti menemukan serangan tanpa klik yang memungkinkan peretas menyusup ke iPhone dan Mac melalui WhatsApp(jendela baru) tanpa pengguna mengklik apa pun. Eksploitasi tersebut menggabungkan dua celah: satu pada cara macOS dan iOS memproses gambar, dan celah lainnya pada fitur penautan perangkat WhatsApp.

Penjahat siber dapat mengirimkan spyware ke pengguna Apple melalui pesan WhatsApp dan mencuri data dari perangkat mereka, termasuk pesan. Meta mengatakan bahwa kurang dari 200 pengguna yang terdampak, dan Apple serta WhatsApp telah menambal kerentanan tersebut.

Pada tahun yang same, kerentanan tanpa klik terpisah memengaruhi perangkat Samsung (CVE-2025-21042(jendela baru)). Penyerang dapat mengompromikan ponsel Galaxy dengan mengirimkan file gambar berbahaya, tanpa memerlukan interaksi apa pun. Eksploitasi ini digunakan dalam kampanye spyware bertarget hingga Samsung menambal isu tersebut dalam pembaruan keamanan April 2025.

Penipuan pertukaran kartu SIM dan kode verifikasi

Penyerang dapat mengelabui operator seluler untuk mentransfer nomor telepon ke kartu SIM baru yang mereka kendalikan. Kemudian mereka dapat menipu untuk membagikan kode enam digit yang dikirimkan WhatsApp melalui SMS saat menyiapkan perangkat baru. Jika diserahkan, pelaku kejahatan dapat membajak akun, mengunci akses, mencuri identitas, dan menggunakan profil untuk menipu kontak. Polisi di Southwark, London, melaporkan lonjakan serangan ini pada tahun 2021(jendela baru), memberikan peringatan kepada orang-orang agar tidak pernah membagikan kode WhatsApp mereka.

Metadata yang terekspos

Obrolan mungkin terenkripsi secara end-to-end, tetapi WhatsApp (dan perusahaan induknya, Meta) masih mengumpulkan metadata — seperti dengan siapa berbicara, seberapa sering, rincian perangkat, dan lokasi. Metadata tidak dapat digunakan untuk mengidentifikasi secara langsung, tetapi dapat direferensikan silang dengan informasi lain untuk mengidentifikasi ulang diri Anda(jendela baru). Dan karena Meta berbasis di AS, Meta dapat membagikan semua yang diketahuinya tentang Anda kepada pemerintah AS tanpa pemberitahuan.

Ekspos massal 3,5 miliar nomor telepon WhatsApp

Pada tahun 2025, sekelompok peneliti independen Austria menemukan(jendela baru) celah privasi di WhatsApp yang memungkinkan mereka mengambil 3,5 miliar nomor telepon — beserta foto profil, rincian perangkat, stempel waktu, teks “tentang”, dan info bisnis — menggunakan metode enumerasi telepon yang mudah direproduksi. Kerentanan yang sama pertama kali dilaporkan pada tahun 2017, tetapi Meta tidak mengatasinya. Yang penting, tidak ada pembobolan data WhatsApp terkonfirmasi yang dilaporkan secara publik memanfaatkan metode khusus ini.

Meskipun nomor telepon dan metadata tidak mengidentifikasi Anda secara langsung, data tersebut dapat dicocokkan dengan data lain untuk mengungkapkan siapa Anda. Mungkin Anda menggunakan kembali foto profil yang sama di berbagai platform sosial, atau pernah menjadi bagian dari pembobolan data masa lalu tempat email, nama pengguna, atau lokasi terekspos — yang semuanya dapat ditautkan kembali ke metadata WhatsApp Anda.

Para peneliti juga memperoleh kunci publik yang digunakan untuk enkripsi end-to-end WhatsApp dan menemukan masalah serius, termasuk kunci enkripsi yang digunakan kembali ratusan kali di berbagai akun berbeda, dan pre-key sekali pakai yang muncul berulang kali meskipun dirancang untuk dibuat baru di setiap sesi.

Isu keamanan ini menunjukkan penggunaan klien WhatsApp tidak resmi atau palsu dengan enkripsi yang rusak. Jika menggunakan aplikasi modifikasi ini, pesan Anda mungkin rentan terhadap penyadapan, dekripsi, atau penyamaran akun.

Meta mengatakan telah memperbaiki isu enumerasi tersebut, meremehkan sensitivitas data yang terekspos, dan tidak mengatasi masalah kunci publik atau fakta bahwa mereka telah diperingatkan tentang celah besar ini hampir satu dekade sebelumnya.

Iklan bertarget di semua platform Meta

WhatsApp mengatakan bahwa mereka tidak menggunakan konten pesan untuk iklan(jendela baru), tetapi mereka menggunakan data lain — seperti info akun (kode negara, usia), info perangkat (bahasa, lokasi), and aktivitas di Status dan Saluran (apa yang dilihat, diikuti, atau diklik). Karena WhatsApp adalah bagian dari Meta, data ini dapat dibagikan ke Facebook dan Instagram, meskipun pembagian data ini dibatasi di Eropa berkat GDPR.

Sejak WhatsApp mengubah kebijakan privasinya pada tahun 2021, WhatsApp juga telah membagikan data pembayaran dan transaksi yang mungkin dilakukan dengan bisnis kepada Meta (saat itu Facebook). Jika menghubungkan WhatsApp ke Pusat Akun Meta, preferensi iklan Anda akan disatukan, yang berarti tindakan di WhatsApp dapat memengaruhi iklan yang dilihat di tempat lain. Dan dengan fitur-fitur baru yang didukung oleh Meta AI, pembagian data di berbagai platform menimbulkan lebih banyak kekhawatiran.

Pelatihan Meta AI

Meta AI tersemat di WhatsApp, Facebook, dan Instagram, memicu kekhawatiran tentang bagaimana data diproses, digunakan untuk pelatihan AI, dan dibagikan di seluruh platform ini.

Di WhatsApp, Meta mengatakan bahwa Meta AI tidak mengakses obrolan pribadi Anda yang terenkripsi secara end-to-end. Namun, perintah dan masukan yang dibagikan kepada Meta AI mungkin tersimpan dan digunakan untuk meningkatkan modelnya. WhatsApp juga menawarkan fitur ringkasan percakapan yang mengandalkan “pemrosesan pribadi,”(jendela baru) yang menurut klaim Meta mencegah ringkasan tersebut dibaca oleh perusahaan atau siapa pun.

Meskipun ada jaminan ini, kekhawatiran tetap ada tentang seberapa besar kendali yang sebenarnya dimiliki orang-orang atas data mereka. Misalnya, pengguna Facebook melaporkan bahwa Meta AI mengaktifkan pengaturan yang memungkinkannya untuk memindai foto yang tidak dipublikasikan dari rol kamera mereka tanpa persetujuan.

Cara agar tetap aman di WhatsApp

Berikut hal yang dapat dilakukan untuk meningkatkan privasi dan keamanan saat menggunakan WhatsApp:

  • Selalu gunakan aplikasi resmi WhatsApp dari App Store atau Google Play untuk memastikan enkripsi end-to-end berfungsi dengan benar.
  • Aktifkan notifikasi keamanan di ponsel untuk mendapatkan peringatan saat kontak memasang ulang WhatsApp, mengganti ponsel, atau menambahkan atau menghapus perangkat yang ditautkan.
  • Buat kunci sandi agar dapat masuk ke WhatsApp dengan wajah, sidik jari, atau kunci layar. Ini mencegah orang lain masuk bahkan jika mereka mendapatkan kode SMS Anda.
  • Tambahkan alamat email untuk memverifikasi atau memulihkan akun jika terkunci. Pastikan email itu sendiri diamankan dengan kata sandi yang kuat dan autentikasi dua faktor.
  • Aktifkan cadangan terenkripsi secara end-to-end untuk melindungi obrolan di iCloud atau Google Drive sehingga bahkan tidak dapat dibaca oleh Apple, Google, atau Meta. WhatsApp tidak mengizinkan pemilihan penyedia penyimpanan cloud. Jika tidak, cadangan obrolan harus dimatikan sepenuhnya.
  • Jangan pernah membagikan kode verifikasi enam digit kepada siapa pun. WhatsApp dan Meta tidak akan pernah memintanya.
  • Minta operator seluler untuk menambahkan PIN atau frasa sandi sebelum nomor dapat dipindahkan ke kartu SIM lain. Ini membuat pertukaran kartu SIM menjadi jauh lebih sulit.
  • Hanya unduh WhatsApp dari Google Play atau App Store dan pastikan aplikasi tersebut — serta sistem operasi seluler dan desktop Anda — diperbarui ke versi terbaru.
  • Jangan pernah mengklik tautan atau menginstal aplikasi dari kontak WhatsApp yang tidak dikenal atau mencurigakan. Jika ragu tentang suatu kontak, hubungi mereka menggunakan metode lain untuk mengonfirmasi identitas mereka.
  • Kunci (jendela baru)pengaturan privasi WhatsApp(jendela baru) dengan membatasi siapa yang dapat menambahkan ke dalam grup dan melihat foto profil, status terakhir dilihat dan status daring, bagian tentang, serta tautan di profil Anda.
  • Memang tidak bisa sepenuhnya mematikan Meta AI di WhatsApp, tetapi langkah-langkah dapat diambil untuk mencegahnya mempelajari terlalu banyak aktivitas Anda — dan melindungi pesan agar tidak berakhir di data pelatihan AI.

Pilih aplikasi pesan instan yang lebih pribadi

Meskipun langkah-langkah dapat diambil untuk meningkatkan keamanan dan membatasi apa yang dapat dilihat oleh pengguna WhatsApp lainnya, hal ini tidak mengubah fakta bahwa Meta masih mengandalkan pengumpulan informasi pengguna, seperti metadata, untuk pendapatan. Jika klaim pelapor baru-baru ini akurat, akses tersebut mungkin lebih luas daripada yang diakui perusahaan. Mengingat sejarah pelanggaran privasi Meta, beberapa skeptisisme sangatlah wajar.

Jika khawatir dengan tingkat kendali ini, pertimbangkan alternatif yang lebih pribadi daripada WhatsApp yang mengumpulkan jauh lebih sedikit data dan tidak terikat dengan perusahaan Raksasa Teknologi yang didenda oleh regulator karena model iklan bayar-atau-setuju mereka.