Bayangkan Sabtu siang di sebuah kafe. Layar TV di dinding memutar video musik dari kotak kecil berlabel "Android TV", dibeli murah dua tahun lalu. Kotak itu dicolok ke Wi-Fi yang sama dengan laptop kasir dan kamera CCTV. Sejak hari dipasang, tidak ada yang pernah membuka pengaturannya. (Skenario ini ilustrasi, bukan cerita dari satu usaha tertentu.)

Sekarang bayangkan kotak itu ternyata sudah membawa pintu belakang sejak keluar dari pabrik. Itulah inti kabar yang diumumkan Google pada 2 November 2026. Artikel ini bukan untuk menakut-nakuti, tapi supaya Anda tahu apa yang bisa dicek hari ini.

Apa yang diumumkan Google

Pada 2 November 2026, Google menyatakan Videostrong, pembuat perangkat Android TV bersertifikat, sengaja menanam backdoor di firmware lebih dari 1,3 juta set-top box, lalu menjual aksesnya ke pihak kriminal. Backdoor itu bernama x.cpe, atau com.oemservice di sebagian versi. Google memutus hubungan dengan Videostrong, melarang perusahaan itu dan afiliasinya di masa depan membuat perangkat Android bersertifikat, dan menempuh langkah hukum bersama mitra untuk menurunkan server pengendali botnet-nya.

Google juga menyebut penurunan server itu memutus akses kriminal ke setidaknya 10 juta perangkat lain. Perangkat itu terinfeksi lewat jalur berbeda dan tidak semuanya Android. Di antaranya set-top box ritel, mesin karaoke, dan perangkat telehealth.

Tiga angka dari pengumuman Google 2 November 2026: 1,3 juta TV box, lebih dari 10 juta perangkat lain, dan tanggal pengumuman

Kenapa ini bukan virus biasa

Kebanyakan malware butuh Anda mengklik sesuatu. Yang ini datang di dalam kotak. Backdoor-nya tertanam di firmware dan berjalan dengan hak sistem, jadi menghapus aplikasinya tidak menyelesaikan apa pun: begitu kotak di-restart, ia memasang dirinya lagi dari partisi /oem/. Ia juga bisa mematikan pemeriksaan Google Play Protect, sehingga aplikasi lain bisa masuk tanpa ditanya.

Lalu bagaimana kotak seperti ini lolos sebagai perangkat bersertifikat? Menurut Google, Videostrong menyamarkan kodenya dan baru memuat bagian jahatnya setelah kotak dinyalakan pertama kali, sehingga pengujian kompatibilitas dan keamanan tidak menangkapnya. Google mengakui perangkat itu dijual sebagai perangkat bersertifikat dan aman, dan itu kegagalan di pihak Google.

Apa yang bisa dilakukan operatornya

Laporan Malwarebytes dan BleepingComputer merinci apa yang dilakukan pihak yang membeli akses itu. Mereka bisa memasang aplikasi diam-diam, menjalankan perintah shell, mengambil tangkapan layar, menyuntikkan ketukan tombol, mengumpulkan data akun dan perangkat, memetakan jaringan, dan membuka reverse shell, yaitu jalur masuk jarak jauh ke dalam kotak. Untuk menghasilkan uang, kotak dipakai sebagai pintu keluar proxy residensial dan untuk ad fraud, yaitu klik dan tayangan iklan palsu di latar belakang.

Proxy residensial yang paling dekat dengan urusan usaha Anda. Lalu lintas orang lain keluar ke internet lewat alamat IP toko atau kafe Anda. Malwarebytes mencatat sebagian lalu lintas proxy itu berisi upaya menebak kata sandi akun, sehingga alamat IP pemiliknya bisa dikaitkan dengan aktivitas tersebut.

Satu TV box di jaringan usaha dengan lima akses yang bisa dibuka operatornya: memasang aplikasi, meminjam IP, mengintip jaringan, mengambil tangkapan layar, dan akses jarak jauh

Satu hal perlu dikatakan jujur: laporan-laporan ini tidak menyebut kasir atau CCTV di usaha tertentu pernah dibobol lewat kotak ini. Pendapat kami lebih sederhana. Perangkat yang bisa memetakan jaringan dan membuka jalur jarak jauh tidak seharusnya duduk di jaringan yang sama dengan komputer kasir, apa pun merek dan sertifikatnya.

Yang sudah selesai, dan yang belum

Penurunan server memutus pelaku dari kotak-kotak itu, tetapi tidak membersihkan kotaknya. Menurut Malwarebytes, backdoor tetap ada di perangkat yang sudah terinfeksi dan bisa dimanfaatkan penjahat lain. Google juga belum menerbitkan daftar lengkap model yang terdampak.

Dua kolom: yang sudah dilakukan Google, yaitu memutus server dan melarang Videostrong, dan yang belum selesai, yaitu backdoor yang masih ada di kotak

Artinya kabar baik dari Google tidak otomatis sampai ke kotak di dinding kafe Anda. Pekerjaan membersihkan jatuh ke pemiliknya.

Lima hal yang bisa dicek hari ini

Tidak perlu latar teknis. Cukup ponsel, satu jam, dan kemauan melihat bagian belakang TV.

  1. Catat semua kotaknya. TV box, stick, layar menu digital, mesin karaoke, dan perangkat sejenis yang tersambung internet. Laporan tentang kasus ini menyebut backdoor yang sama juga ditemukan di karaoke dan signage digital, bukan hanya TV box.
  2. Foto label merek dan modelnya, lalu tanyakan ke penjual. Synthient, peneliti keamanan yang ikut dalam penindakan ini, menyusun daftar model yang berpotensi terdampak, banyak berfokus ke MECOOL. Nama model di daftar bukan vonis, dan model yang tidak ada di daftar belum tentu bersih, karena daftar lengkap dari Google belum terbit. Hati-hati dengan kotak berlabel "TV gratis".
  3. Pisahkan jaringannya. Pasang kotak dan perangkat hiburan lain di Wi-Fi tamu atau jaringan terpisah dari kasir dan CCTV. Malwarebytes mengingatkan langkah ini melindungi perangkat lain, bukan kotaknya sendiri.
  4. Cabut yang mencurigakan. Putuskan dari internet, lalu hubungi penjual atau pabriknya untuk firmware bersih atau penggantian. Menghapus aplikasi tidak cukup. Synthient bahkan menyarankan kotak dibuang. Kalau Anda punya vendor IT, minta mereka memblokir domain mqtt.szbboys[.]com, yang disebut BleepingComputer sebagai broker pengendali.
  5. Masukkan semuanya ke daftar aset. Siapa yang beli, kapan, merek dan model apa, tersambung ke jaringan yang mana. Saat mengganti, pilih produsen yang jelas, aktifkan Play Protect, dan jangan pasang aplikasi yang membayar Anda untuk berbagi bandwidth.
Lima langkah cek hari ini: catat kotak, foto label merek dan model, pisahkan jaringan, cabut yang mencurigakan, catat dalam daftar aset

Yang sebenarnya perlu diingat

Kasus ini bukan soal satu vendor. Kotak itu sampai ke rak toko karena berlabel bersertifikat, dan label itu terbukti bisa lolos. Konsekuensinya praktis: usaha yang tahu persis perangkat apa saja yang tersambung ke jaringannya bisa menjawab pertanyaan "apakah kita terdampak?" dalam hitungan menit. Usaha yang tidak punya daftar harus berkeliling dulu, dan itu pun kalau ingat di mana kotaknya.

Kalau Anda ingin membahas perangkat dan jaringan di toko, kafe, atau restoran Anda, chat WhatsApp XETUP di +62 823 1499 5005 untuk konsultasi singkat. Cukup ceritakan perangkat apa yang terpasang, kami bantu menentukan mana yang perlu diperiksa lebih dulu.