KITA sering menganggap ancaman keselamatan siber hanya bermula apabila seseorang memuat turun aplikasi mencurigakan, menekan pautan palsu atau memberikan maklumat peribadi kepada pihak tidak dikenali. Namun, bagaimana jika ancaman itu sebenarnya sudah berada di dalam peranti sejak keluar dari kilang?
Persoalan ini wajar diberi perhatian susulan pendedahan mengenai malware XCPE yang ditemui dalam sejumlah besar peranti Android TV Box di seluruh dunia. Kes berkenaan menunjukkan risiko keselamatan siber bukan semata-mata berpunca daripada kecuaian pengguna, sebaliknya boleh bermula daripada proses pembuatan, pembangunan perisian tegar (firmware) dan rantaian bekalan peranti elektronik.
Pada 2 November lalu, Google Threat Intelligence Group (GTIG) mendedahkan pihaknya bersama rakan industri berjaya melumpuhkan operasi botnet XCPE yang melibatkan lebih 1.3 juta peranti set-top box. Google mengaitkan operasi itu, dengan tahap keyakinan tinggi, kepada pengeluar peranti Android, Videostrong Technology Co.
Lebih membimbangkan, malware berkenaan dipercayai telah dibina terus ke dalam firmware pelbagai model dan jenama peranti selama beberapa tahun. Ia mempunyai keistimewaan akses pada peringkat sistem serta keupayaan untuk memasang semula dirinya selepas peranti dihidupkan semula.
Peranti yang dijangkiti bukan sekadar berisiko digunakan untuk penipuan pengiklanan, malah boleh dijadikan proksi kediaman bagi menyembunyikan trafik aktiviti jenayah siber, mengumpul maklumat dan memuat turun malware tambahan tanpa pengetahuan pemilik.
Google turut menjelaskan bahawa sebahagian kod berbahaya itu dipasang selepas peranti melalui proses but pertama, sekali gus memperlihatkan bagaimana pemeriksaan keselamatan biasa boleh dieksploitasi sekiranya integriti firmware tidak dipantau dengan teliti. (Google Threat Intelligence Group, 2 November 2026)
Ketua Eksekutif Agensi Keselamatan Siber Negara (NACSA), Megat Zuhairy Megat Tajuddin, turut memberi peringatan bahawa ancaman XCPE berbeza daripada malware konvensional yang lazimnya memerlukan tindakan pengguna seperti memuat turun aplikasi atau menekan pautan tertentu.
Menurut beliau, malware itu mempunyai akses sistem dan mekanisme kecekalan yang membolehkannya memasang semula dirinya daripada bahagian sistem yang dilindungi. Keadaan itu menyebabkan ia sukar dibuang melalui kaedah biasa seperti menyahpasang aplikasi atau melakukan tetapan semula kilang (factory reset).
Beliau turut menjelaskan peranti seperti peti sejuk pintar, kamera litar tertutup (CCTV) dan televisyen pintar berpotensi menjadi sasaran sekiranya mempunyai kelemahan keselamatan.
“Kemajuan teknologi sememangnya membawa kemudahan, namun peningkatan penggunaan peranti yang disambungkan ke internet (Internet of Things, IoT) turut memperluaskan permukaan serangan,” katanya seperti dilaporkan Astro AWANI pada 9 November 2026.
Peringatan itu membawa kepada satu persoalan lebih besar: sejauh manakah pengguna boleh memastikan peranti yang dibeli benar-benar selamat, sekiranya kelemahan atau perisian hasad sudah wujud sebelum produk berkenaan sampai ke tangan mereka?
Ancaman bukan terhad kepada Android TV Box
Isu ini tidak seharusnya dilihat sebagai masalah Android TV Box semata-mata. Risiko keselamatan pada peringkat firmware dan perisian turut wujud dalam kategori peranti elektronik lain, walaupun bentuk ancamannya berbeza.
Pada April 2025, syarikat keselamatan siber Kaspersky mendedahkan penemuan varian trojan Triada yang telah dipasang terlebih dahulu dalam firmware telefon pintar Android tiruan. Lebih 2,600 pengguna di seluruh dunia dilaporkan terjejas.
Malware itu berupaya mencuri maklumat akaun media sosial dan aplikasi pesanan, memanipulasi alamat dompet mata wang kripto, menghantar atau memadam mesej serta mengalihkan panggilan telefon. Berbeza daripada malware yang diperoleh melalui aplikasi berbahaya, varian berkenaan telah disepadukan ke dalam sistem peranti. (Kaspersky, 3 April 2025)
Dalam kategori jam tangan pintar pula, satu kajian yang diterbitkan melalui IEEE pada 2025 menganalisis 176 imej firmware daripada 24 pengeluar jam tangan pintar berasaskan Android. Kajian itu menemukan 1,684 konfigurasi tidak selamat, kelewatan dalam pelaksanaan tampalan keselamatan serta 26.1 peratus aplikasi prapasang mempunyai potensi risiko keselamatan.
Bagaimanapun, dapatan tersebut tidak bermaksud semua jam tangan pintar dijangkiti malware atau sengaja dipasang perisian hasad di kilang. Ia lebih menunjukkan bahawa kelemahan konfigurasi, aplikasi prapasang dan kelewatan kemas kini boleh membuka ruang kepada serangan siber.
Ancaman terhadap peranti IoT juga bukan perkara baharu. Pada Jun 2025, Biro Penyiasatan Persekutuan Amerika Syarikat (FBI) memberi amaran mengenai botnet BadBox 2.0 yang mengeksploitasi peranti bersambung internet seperti peranti penstriman televisyen, projektor digital, sistem hiburan kenderaan dan bingkai gambar digital.
Google sebelum itu melaporkan lebih 10 juta peranti tidak diperakui yang menggunakan perisian sumber terbuka Android telah dikompromi dalam operasi BadBox 2.0. Sebahagian peranti dijangkiti melalui malware yang dipasang sebelum pembelian. (FBI, 5 Jun 2025; Google, 17 Julai 2025)
Kes-kes ini memperlihatkan satu pola yang perlu diberi perhatian. Peranti yang kelihatan berfungsi seperti biasa tidak semestinya bebas daripada ancaman. Malah, pengguna mungkin tidak menyedari peranti mereka sedang digunakan sebagai sebahagian daripada rangkaian jenayah siber.
Tujuh langkah kerajaan perlu dipertimbangkan
Dalam keadaan penggunaan peranti pintar semakin meluas, kerajaan tidak boleh hanya bergantung kepada nasihat keselamatan kepada pengguna selepas sesuatu ancaman dikesan. Pendekatan pencegahan perlu bermula sebelum produk memasuki pasaran.
Sehubungan itu, terdapat tujuh langkah yang wajar dipertimbangkan bagi memperkukuh perlindungan pengguna dan keselamatan ekosistem digital negara.
Pertama, wujudkan pensijilan keselamatan siber mandatori bagi peranti pintar berisiko tinggi.
Ini merupakan langkah paling utama yang perlu diberi perhatian. Kerajaan wajar mempertimbangkan satu skim pensijilan keselamatan siber mandatori bagi kategori peranti yang mempunyai risiko tinggi, khususnya Android TV Box, router, CCTV, kamera pintar dan peranti IoT yang mempunyai sambungan internet serta akses kepada rangkaian rumah pengguna.
Pensijilan itu perlu memastikan peranti menjalani penilaian keselamatan sebelum dibenarkan dipasarkan, termasuk pemeriksaan firmware, aplikasi prapasang, kawalan akses, perlindungan data dan mekanisme kemas kini keselamatan.
Peranti yang gagal memenuhi piawaian ditetapkan tidak sepatutnya dibenarkan memasuki pasaran sehingga kelemahan berkenaan diperbetulkan.
Pendekatan ini bukan bertujuan menyekat kemasukan teknologi atau membebankan industri, sebaliknya memastikan produk yang dijual kepada rakyat memenuhi tahap keselamatan minimum. Kerajaan juga boleh meneliti model pelabelan keselamatan siber seperti yang dilaksanakan Singapura menerusi Cybersecurity Labelling Scheme sebagai rujukan dalam membangunkan mekanisme tempatan.
Kedua, perketat pemeriksaan firmware bagi peranti yang diimport.
Pemeriksaan tidak seharusnya tertumpu kepada spesifikasi fizikal, kelulusan teknikal atau pematuhan piawaian komunikasi semata-mata. Aspek keselamatan perisian yang mengendalikan peranti juga perlu dinilai.
NACSA bersama Suruhanjaya Komunikasi dan Multimedia Malaysia (MCMC) serta agensi berkaitan boleh meneliti mekanisme pemeriksaan berasaskan risiko, khususnya terhadap produk daripada pengeluar yang mempunyai rekod keselamatan meragukan atau pernah dikaitkan dengan insiden malware.
Ketiga, wajibkan pengeluar mengisytiharkan tempoh sokongan keselamatan produk.
Pengguna perlu mengetahui berapa lama sesuatu peranti akan menerima kemas kini firmware dan tampalan keselamatan selepas dibeli.
Pengeluar juga perlu menetapkan saluran rasmi bagi memaklumkan pengguna mengenai kelemahan yang dikesan serta menyediakan kemas kini dalam tempoh munasabah. Peranti yang tidak lagi menerima sokongan keselamatan perlu dimaklumkan dengan jelas sebelum pembelian.
Keempat, wujudkan pangkalan data awam mengenai peranti berisiko.
Kerajaan boleh membangunkan satu pangkalan data yang menyenaraikan model, jenama atau versi firmware yang dikenal pasti mempunyai kelemahan keselamatan serius.
Maklumat itu perlu disertakan dengan panduan tindakan, termasuk sama ada pengguna perlu mengemas kini perisian, menghentikan penggunaan atau mendapatkan penggantian peranti.
Langkah ini membolehkan orang ramai membuat keputusan berdasarkan maklumat yang sahih dan mengelakkan mereka terus menggunakan peranti yang diketahui berisiko.
Kelima, tingkatkan akauntabiliti pengimport dan pengedar.
Pengimport serta pengedar tidak seharusnya sekadar bertanggungjawab membawa masuk dan menjual produk. Mereka juga perlu memastikan sumber produk dapat dikenal pasti, dokumentasi teknikal tersedia dan sokongan selepas jualan disediakan.
Sekiranya malware prapasang atau kelemahan serius disahkan, mekanisme pemulihan perlu diwujudkan, termasuk pembaikan firmware, penarikan balik produk, penggantian atau bayaran balik tertakluk kepada undang-undang perlindungan pengguna yang berkuat kuasa.
Keenam, sediakan saluran aduan dan bantuan teknikal khusus kepada pengguna.
Ramai pengguna tidak mempunyai kepakaran untuk mengenal pasti sama ada peranti mereka telah dikompromi. Justeru, satu saluran aduan yang mudah diakses perlu diwujudkan bagi menerima laporan berkaitan peranti mencurigakan dan memberi panduan tindakan.
Pengguna perlu diberitahu langkah segera yang boleh diambil, termasuk memutuskan sambungan peranti daripada internet, mengenal pasti risiko terhadap rangkaian rumah dan mendapatkan bantuan teknikal bagi proses pemulihan.
Ketujuh, perkukuh kerjasama antarabangsa dalam perkongsian maklumat ancaman.
Ancaman seperti XCPE dan BadBox 2.0 tidak mengenal sempadan negara. Pengeluar, pelayan kawalan dan peranti yang dijangkiti boleh berada di lokasi berbeza.
Malaysia perlu memperkukuh kerjasama dengan syarikat teknologi global, penyedia sistem operasi, firma keselamatan siber dan agensi penguatkuasaan antarabangsa bagi mempercepat perkongsian maklumat, pengesanan malware serta tindakan melumpuhkan infrastruktur yang digunakan penjenayah siber.
Keselamatan bermula sebelum peranti dihidupkan
Hakikatnya, pengguna membeli peranti elektronik dengan kepercayaan bahawa produk berkenaan telah melalui proses pembangunan, pengujian dan kawalan kualiti yang sewajarnya. Mereka tidak sepatutnya menanggung keseluruhan risiko akibat kecuaian atau tindakan tidak bertanggungjawab pihak yang terlibat dalam rantaian pengeluaran dan pengedaran.
Sudah tiba masanya keselamatan siber tidak lagi dianggap sebagai ciri tambahan atau tanggungjawab pengguna semata-mata. Ia perlu menjadi syarat asas dalam pembangunan, pengeluaran, pengimportan dan pemasaran peranti pintar.
Cadangan pensijilan keselamatan siber mandatori bagi peranti berisiko tinggi wajar menjadi titik permulaan kepada perubahan pendekatan itu. Ia perlu disokong dengan pemeriksaan firmware, tanggungjawab pengeluar, pengawasan pasaran dan perlindungan pengguna yang lebih menyeluruh.
Malaysia tidak boleh menunggu sehingga lebih banyak peranti rakyat menjadi sebahagian daripada rangkaian botnet sebelum mengambil tindakan. Dalam dunia yang semakin bergantung kepada teknologi bersambung internet, keselamatan digital bukan sekadar bermula apabila pengguna menekan butang kuasa.
Sebaliknya, ia mesti bermula sejak peranti itu direka, dibangunkan dan dikeluarkan dari kilang.
Mengenai penulis:
Ahmad Fazlan Shah bin Abd Rahman merupakan graduan Universiti Teknologi MARA (UiTM) dalam bidang Kewartawanan serta pengamal media yang berpengalaman lebih 25 tahun dalam industri kewartawanan. Sepanjang penglibatannya dalam bidang media, beliau mempunyai pengalaman luas dalam pelaporan berita, penulisan rencana, komunikasi korporat, perhubungan awam dan komunikasi strategik. Berbekalkan pengalaman serta perspektif kewartawanan yang luas, beliau memberi tumpuan kepada isu semasa, dasar awam, politik, ekonomi dan sosial masyarakat.
