HTMLZERO: Benarkah Membuka Website Bisa Mengambil Alih Laptop dan Smartphone?

Sebuah halaman web tidak harus memasang aplikasi untuk menimbulkan kerusakan. Riset keamanan telah membuktikan bahwa fitur browser yang sah dapat disalahgunakan untuk mengenkripsi file lokal. Kini, AI berpotensi membuat teknik semacam itu lebih mudah dirangkai.

Bayangkan Anda sedang menggunakan smartphone Android. Anda menemukan website yang menawarkan layanan gratis untuk memperjelas foto profil. Tidak perlu mengunduh APK, tidak perlu memasang aplikasi, dan tidak perlu membuat akun.

Anda cukup membuka halaman web, menekan tombol Process Image, lalu menyetujui permintaan akses ke folder foto.

Beberapa saat kemudian, file pribadi Anda tidak bisa dibuka.

Kedengarannya seperti adegan film peretasan. Namun, konsep ransomware yang berjalan melalui browser bukan sekadar fiksi. Peneliti keamanan telah mendemonstrasikannya melalui penelitian akademis pada 2023. Pada Juli 2026, penelitian lain menunjukkan bagaimana kode yang dikaitkan dengan AI dapat menghubungkan ide serangan yang semula tidak sempurna dengan kemampuan nyata browser modern.

Di internet, fenomena semacam ini dikaitkan dengan berbagai istilah, termasuk HTMLZERO. Namun, sebelum menyimpulkan bahwa HTMLZERO merupakan malware yang dapat mengambil alih semua perangkat hanya dengan membuka halaman web, kita perlu memisahkan klaim tersebut dari fakta teknis yang sudah terbukti.

Sebab, ancaman yang sesungguhnya justru lebih menarik daripada sensasi judulnya.

1. HTML Bukan Malware, tetapi Browser Modern Memiliki Kemampuan yang Berbahaya Jika Disalahgunakan

Selama bertahun-tahun, banyak orang memahami website sebagai kumpulan HTML, CSS, dan JavaScript yang ditampilkan oleh browser.

HTML mengatur struktur halaman. CSS mengatur tampilan. JavaScript memberikan interaksi.

Secara normal, JavaScript tidak dapat begitu saja membaca seluruh isi penyimpanan laptop, mengambil kata sandi sistem operasi, menyalakan kamera tanpa batas, atau menjalankan perintah administrator.

Browser memiliki mekanisme keamanan, termasuk sandbox, kebijakan same-origin, dan sistem izin pengguna. Mekanisme ini dirancang untuk membatasi dampak ketika sebuah website berperilaku jahat.

Namun, browser modern bukan lagi sekadar alat untuk membaca dokumen.

Aplikasi web sekarang dapat mengedit foto, mengolah video, menjalankan IDE, mengelola dokumen, dan berinteraksi dengan file lokal. Untuk mendukung kebutuhan tersebut, browser menyediakan berbagai API yang memberi website kemampuan tambahan.

Salah satunya adalah File System Access API.

API ini memungkinkan aplikasi web membaca atau menyimpan perubahan pada file dan folder yang dipilih pengguna, sesuai dukungan browser dan izin yang diberikan.

Fitur tersebut sangat bermanfaat. Bayangkan aplikasi pengedit foto yang dapat menyimpan hasil edit langsung ke file lokal tanpa mengharuskan Anda mengunduh hasilnya berulang kali.

Masalahnya, kemampuan yang sama dapat disalahgunakan.

Website yang tampak seperti aplikasi produktivitas dapat mencoba meyakinkan pengguna agar memberikan akses ke folder yang tidak semestinya. Jika izin yang dibutuhkan diberikan, situs berbahaya dapat melakukan tindakan terhadap file dalam cakupan akses tersebut.

Dengan demikian, pertanyaan keamanannya bukan sekadar apakah HTML berbahaya.

Pertanyaan yang lebih tepat adalah: kemampuan apa yang diberikan browser kepada website, dan apa yang bisa dilakukan website setelah pengguna memberikan izin?

2. Tahun 2023: Peneliti Sudah Mendemonstrasikan Ransomware Berbasis Browser

Pada 2023, para peneliti mempresentasikan penelitian berjudul RøB: Ransomware over Modern Web Browsers dalam konferensi USENIX Security Symposium.

Penelitian ini dilakukan oleh Harun Oz, Ahmet Aris, Abbas Acar, Güliz Seray Tuncay, Leonardo Babun, dan Selcuk Uluagac.

Mereka meneliti bagaimana File System Access API dan WebAssembly dapat dimanfaatkan untuk membuat ransomware yang beroperasi melalui browser.

Temuannya cukup penting: aplikasi web berbahaya dapat mengenkripsi file lokal yang telah diberikan akses kepadanya.

Penelitian tersebut juga mengevaluasi dampak pada berbagai sistem operasi, direktori, penyimpanan eksternal, folder yang terintegrasi dengan layanan cloud, dan folder jaringan.

Artinya, risiko ini tidak selalu berhenti pada satu file yang sedang dibuka di browser. Dampaknya dapat menjalar ke kumpulan file lain apabila file tersebut berada dalam cakupan akses yang tersedia.

Yang perlu digarisbawahi, demonstrasi tersebut bukan berarti peneliti menemukan satu celah yang secara otomatis menembus semua sistem operasi. Serangan memanfaatkan kemampuan browser yang tersedia dan memerlukan kondisi akses tertentu.

Penelitian ini juga bukan bukti bahwa semua browser memiliki kelemahan yang sama.

Sumber primer:

• USENIX Security Symposium 2023 — RøB: Ransomware over Modern Web Browsers
  https://www.usenix.org/conference/usenixsecurity23/presentation/oz
• Publikasi penelitian melalui Google Research
  https://research.google/pubs/røb-ransomware-over-modern-web-browsers/

Penelitian ini mengubah cara kita memandang keamanan aplikasi web. Website tidak harus memasang executable konvensional untuk menjadi ancaman terhadap file pengguna.

3. Oktober 2020 hingga Januari 2025: Kemampuan Browser Berkembang ke Smartphone

File System Access API tersedia di Chrome desktop sejak Chrome 86, yang dirilis pada 2020.

Pada 14 Januari 2025, Chrome 132 memperluas dukungan File System Access API ke Android dan WebView.

Dokumentasi resmi Chrome menjelaskan bahwa setelah pengguna memberikan akses, aplikasi web dapat membaca atau menyimpan perubahan pada file dan folder yang dipilih. API tersebut juga memungkinkan aplikasi membuka direktori dan menelusuri isinya.

Perubahan ini membawa manfaat nyata bagi pengembang aplikasi web yang ingin membangun pengalaman serupa aplikasi native.

Namun, perluasan kemampuan tersebut juga berarti bahwa pengembang perlu mempertimbangkan risiko keamanan di lebih banyak lingkungan.

Sebuah website yang memanfaatkan API tertentu mungkin memiliki kemampuan yang berbeda pada Chrome desktop, Chrome Android, Safari, atau Firefox. Dukungan API dan mekanisme perlindungannya tidak identik.

Jadi, tidak tepat mengatakan bahwa semua smartphone bisa diambil alih dengan cara yang sama.

Pada Android yang menggunakan browser Chromium dengan dukungan API terkait, risiko penyalahgunaan akses file perlu diperhatikan. Pada iPhone, mekanisme akses file web berbeda dan tidak menyediakan API pemilih direktori Chromium tersebut melalui Safari.

Sumber primer:

• Chrome 132 Release Notes, 14 Januari 2025
  https://developer.chrome.com/release-notes/132
• Dokumentasi File System Access API
  https://developer.chrome.com/docs/capabilities/web-apis/file-system-access

4. Juli 2026: AI Menghubungkan Ide Serangan dengan Kemampuan Browser yang Nyata

Pada 1 Juli 2026, Check Point Research menerbitkan penelitian berjudul Browser-Only Ransomware: From LLM Hallucinations to a Practical Attack Technique.

Penelitian yang ditulis Alexey Bukhteyev ini menjadi bagian penting dalam pembahasan hubungan AI generatif dan keamanan siber.

Peneliti menganalisis hampir 3.000 file yang dikaitkan dengan DeepSeek dan ditemukan melalui telemetri publik selama sekitar satu tahun. Dari kumpulan tersebut, 1.383 file diklasifikasikan sebagai berbahaya atau berisiko berdasarkan deteksi VirusTotal atau analisis kode statis.

Angka tersebut tidak berarti terdapat 1.383 serangan ransomware browser yang berhasil. Klasifikasi itu mencakup file dengan jenis dan tingkat risiko yang berbeda.

Di antara sampel yang diteliti, peneliti menemukan kode yang berusaha menggabungkan berbagai kemampuan malware ke dalam aplikasi berbasis web.

Kode tersebut memuat rancangan pencurian data, pemantauan input, akses file lokal, dan tampilan pesan tebusan. Namun, sebagian besar kemampuan yang diklaim tidak berfungsi sebagaimana digambarkan oleh kode tersebut.

Satu bagian yang menarik perhatian peneliti adalah penggunaan kemampuan File System Access API yang benar-benar tersedia pada browser tertentu.

Sampel awalnya belum mengimplementasikan seluruh alur serangan secara andal. Akan tetapi, penelitian lanjutan menunjukkan bahwa AI dapat membantu menghasilkan proof of concept yang lebih berfungsi melalui rangkaian permintaan dan penyusunan kode.

Temuan pentingnya bukan bahwa AI menciptakan kerentanan baru pada browser.

Temuan pentingnya adalah bahwa AI dapat membantu menghubungkan kemampuan teknis yang sudah tersedia menjadi rangkaian serangan yang lebih praktis untuk diterapkan.

Peneliti juga menyatakan bahwa mereka belum menemukan bukti penggunaan teknik persis tersebut secara luas dalam serangan nyata pada saat laporan diterbitkan.

Dengan kata lain, penelitian ini menunjukkan kelayakan teknis dan potensi ancaman, bukan bukti adanya wabah ransomware browser yang telah menyerang semua pengguna.

Sumber primer:

• Check Point Research, 1 Juli 2026
  https://research.checkpoint.com/2026/browser-only-ransomware-from-llm-hallucinations-to-a-practical-attack-technique/

5. Bagaimana Website Bisa Mengunci File Tanpa Menginstal APK?

Untuk memahami risiko ini, kita perlu membedakan tiga hal: kode yang dijalankan, izin yang diberikan, dan batas akses yang berlaku.

Berikut gambaran sederhananya.

Tahap pertama: korban tertarik pada layanan yang terlihat bermanfaat

Penyerang dapat membuat website yang menyamar sebagai layanan pengolah gambar, editor dokumen, atau alat produktivitas.

Tidak ada keharusan bagi halaman tersebut untuk terlihat seperti malware. Justru, semakin mirip layanan yang biasa digunakan, semakin mudah pengguna menganggapnya aman.

Tahap kedua: website meminta akses file

Ketika pengguna memilih fitur tertentu, website dapat memunculkan dialog pemilihan file atau folder yang disediakan browser.

Dialog tersebut merupakan bagian dari mekanisme keamanan browser. Akan tetapi, pengguna mungkin tidak memahami bahwa memberikan akses ke sebuah folder bisa memiliki konsekuensi yang lebih luas daripada mengunggah satu foto.

Tahap ketiga: website menggunakan akses yang telah diberikan

Bergantung pada API, browser, jenis izin, dan interaksi pengguna, website dapat membaca file atau menyimpan perubahan pada file yang telah diizinkan.

Jika kode tersebut berbahaya, kemampuan yang awalnya dirancang untuk aplikasi produktivitas dapat digunakan untuk mengambil data atau merusak file.

Tahap keempat: dampak terhadap file

Dalam skenario ransomware, file yang dapat diakses bisa dienkripsi atau ditimpa sehingga tidak dapat digunakan seperti sebelumnya.

Dampak akhirnya bergantung pada implementasi serangan, cakupan akses, dan perlindungan lain yang tersedia pada perangkat.

Penting untuk dipahami bahwa proses ini bukan berarti website memperoleh akses bebas ke seluruh sistem operasi. Aksesnya tetap dibatasi oleh kemampuan browser, izin, dan mekanisme keamanan yang berlaku.

Namun, jika folder yang diberikan berisi dokumen kerja, foto pribadi, atau file proyek, kerusakan pada folder tersebut saja bisa menimbulkan kerugian besar.

6. Apakah Ini Berarti Laptop, Server, dan Smartphone Bisa Diambil Alih?

Istilah “mengambil alih perangkat” sering digunakan terlalu longgar dalam pembahasan keamanan siber.

Padahal, terdapat beberapa tingkat kompromi yang berbeda.

Pertama, kompromi data dalam browser.

Website dapat mengakses data yang tersedia melalui mekanisme web tertentu, misalnya data situs atau file yang diberikan kepada aplikasi melalui mekanisme izin.

Kedua, penyalahgunaan akses file.

Website dapat membaca atau mengubah file dalam cakupan izin yang diberikan, apabila API dan kondisi browser mendukung tindakan tersebut.

Ketiga, kompromi browser atau sistem operasi.

Pengambilalihan yang lebih luas bisa membutuhkan kerentanan tambahan, misalnya eksploitasi untuk keluar dari sandbox, menjalankan kode dengan hak istimewa yang lebih tinggi, atau memanfaatkan kelemahan lain pada sistem target.

Keempat, kompromi server.

Server merupakan kasus yang berbeda. Membuka halaman web di browser tidak otomatis memberikan akses administratif kepada server yang menyajikan halaman tersebut.

Kompromi server dapat terjadi melalui kerentanan backend, kredensial yang dicuri, konfigurasi yang lemah, atau akses administratif yang disalahgunakan.

Ada pula risiko tidak langsung. Jika komputer developer berhasil dikompromikan dan komputer itu menyimpan token deployment, kunci SSH, atau kredensial cloud, sistem lain dapat ikut terancam.

Namun, itu adalah rantai risiko lanjutan, bukan bukti bahwa satu halaman HTML otomatis mengambil alih semua server yang terhubung.

Karena itu, klaim bahwa HTMLZERO bisa menguasai laptop, server, dan smartphone hanya dengan membuka halaman web harus diperiksa berdasarkan demonstrasi, kode, versi perangkat, dan bukti teknis yang spesifik.

7. Pelajaran untuk Developer: Fitur yang Sah Tidak Selalu Aman dalam Semua Konteks

Bagi developer, ada beberapa pelajaran yang lebih penting daripada sekadar mengetahui nama teknik serangan.

7.1. Least privilege harus berlaku juga di frontend

Prinsip least privilege berarti memberikan akses minimum yang diperlukan untuk menyelesaikan suatu pekerjaan.

Jika aplikasi hanya perlu mengolah satu foto, jangan meminta akses ke seluruh folder foto apabila akses satu file sudah mencukupi.

Jika aplikasi hanya perlu membaca file, jangan meminta kemampuan menulis tanpa alasan yang jelas.

Semakin luas akses yang diberikan, semakin besar pula potensi kerusakan jika aplikasi disalahgunakan atau mengalami kompromi.

7.2. Jangan menganggap permission dialog sebagai jaminan keamanan

Dialog izin browser adalah mekanisme perlindungan, tetapi bukan pengganti desain keamanan yang baik.

Pengguna bisa memberikan izin kepada website yang menipu mereka.

Developer perlu menjelaskan mengapa akses dibutuhkan, file atau folder mana yang akan digunakan, serta tindakan apa yang akan dilakukan terhadap data tersebut.

Permintaan izin sebaiknya muncul pada saat yang relevan, bukan sebagai kejutan setelah pengguna melakukan tindakan yang tidak berhubungan.

7.3. Audit API yang digunakan aplikasi

Developer sebaiknya memahami seluruh kemampuan sensitif yang digunakan aplikasi, termasuk:

• File System Access API.
• Clipboard API.
• Kamera dan mikrofon.
• Geolocation API.
• WebUSB dan Web Bluetooth.
• Service worker serta penyimpanan browser.
• API autentikasi dan integrasi pihak ketiga.

Tidak semua API memiliki tingkat risiko yang sama. Beberapa membutuhkan izin eksplisit, beberapa dibatasi oleh konteks keamanan, dan beberapa memiliki model akses tersendiri.

Tujuannya bukan menghindari semua API modern, melainkan memahami konsekuensi dari setiap kemampuan yang digunakan.

7.4. Keamanan frontend harus menjadi bagian dari threat modeling

Threat modeling membantu developer mengidentifikasi aset yang perlu dilindungi, pihak yang mungkin menyerang, jalur serangan, dan kontrol keamanan yang diperlukan.

Untuk aplikasi pengolah file, misalnya, asetnya bukan hanya akun pengguna atau database server. File lokal pengguna juga merupakan aset yang harus dipertimbangkan.

Pertanyaan yang perlu diajukan antara lain:

• Apa dampaknya jika website berperilaku jahat?
• Apa yang dapat dilakukan jika pengguna memberikan izin yang terlalu luas?
• Apakah operasi penulisan dapat merusak file asli?
• Apakah aplikasi mengirim isi file ke server?
• Bagaimana pengguna membatalkan operasi?
• Apakah tersedia backup atau mekanisme pemulihan?

Pendekatan ini membantu mengidentifikasi risiko yang mungkin tidak terlihat dalam pengujian fungsional biasa.

7.5. AI-generated code tetap membutuhkan security review

AI dapat mempercepat penulisan kode, tetapi kode yang terlihat masuk akal belum tentu aman.

Developer perlu memeriksa penggunaan API sensitif, aliran data, dependensi, penanganan izin, dan efek samping operasi.

Pengujian otomatis, code review, analisis statis, serta pengujian keamanan tetap diperlukan. Jangan menjadikan kemampuan AI menghasilkan kode yang berjalan sebagai bukti bahwa kode tersebut aman.

7.6. Backup adalah bagian dari strategi keamanan

Pencegahan tidak selalu berhasil. Karena itu, file penting harus memiliki mekanisme pemulihan yang terpisah dari lingkungan yang berpotensi terkena serangan.

Backup yang selalu terhubung dan dapat ditulis oleh perangkat yang sama bisa ikut terdampak dalam skenario tertentu.

Untuk proyek pengembangan, pertimbangkan repositori Git, backup terpisah, pembatasan hak akses, dan prosedur pemulihan yang telah diuji.

Git membantu melacak perubahan kode, tetapi bukan pengganti backup untuk seluruh data, konfigurasi, dan file yang tidak berada dalam repositori.

8. Apa yang Harus Dilakukan Pengguna?

Ancaman ini bukan alasan untuk berhenti menggunakan aplikasi web. Yang dibutuhkan adalah kebiasaan keamanan yang lebih baik.

Beberapa langkah praktis yang dapat dilakukan:

1. Jangan memberikan akses folder hanya karena sebuah website memintanya.
2. Periksa nama situs dan alasan permintaan akses sebelum menyetujuinya.
3. Jika aplikasi hanya membutuhkan satu file, pilih file tersebut daripada seluruh folder.
4. Hindari memberikan akses ke folder yang berisi dokumen rahasia, kredensial, atau data yang tidak berkaitan dengan fungsi aplikasi.
5. Perbarui browser dan sistem operasi untuk memperoleh perbaikan keamanan terbaru.
6. Simpan backup file penting pada lokasi yang tidak selalu dapat ditulis oleh perangkat yang sama.
7. Jika website mencurigakan meminta akses yang tidak masuk akal, batalkan proses dan tutup halaman.

Untuk developer yang menggunakan laptop kerja, pembatasan akses kredensial juga penting. Jangan menyimpan seluruh kunci produksi atau token administrator dalam lingkungan yang sama tanpa kontrol yang memadai.

9. Jadi, Apakah HTMLZERO Benar-Benar Nyata?

Sampai ada sumber primer yang mengidentifikasi HTMLZERO secara jelas, nama tersebut belum dapat dipastikan sebagai nama resmi malware, eksploitasi, atau proyek keamanan tertentu.

Namun, ada dua fakta yang dapat diverifikasi.

Pertama, penelitian RøB pada 2023 mendemonstrasikan ransomware yang memanfaatkan kemampuan browser untuk mengenkripsi file yang diberikan akses.

Kedua, penelitian Check Point Research pada Juli 2026 menunjukkan bagaimana sampel kode yang dikaitkan dengan DeepSeek menghubungkan ide serangan yang tidak sepenuhnya berfungsi dengan kemampuan File System Access API yang nyata.

Keduanya tidak membuktikan bahwa semua perangkat dapat diambil alih hanya dengan membuka halaman web. Keduanya juga tidak membuktikan bahwa HTMLZERO merupakan nama resmi dari teknik yang diteliti.

Perbedaan ini penting agar kita tidak mencampuradukkan demonstrasi teknis, potensi ancaman, dan serangan yang telah teramati di dunia nyata.

Penutup: Jangan Hanya Bertanya Apakah Kode Bisa Berjalan

Selama bertahun-tahun, perkembangan web berfokus pada kemampuan membuat aplikasi semakin cepat, interaktif, dan menyerupai aplikasi native.

Kini, developer juga perlu bertanya: apa yang terjadi jika kemampuan tersebut disalahgunakan?

Sebuah fitur dapat dirancang dengan tujuan yang baik, didokumentasikan secara resmi, dan berfungsi sesuai spesifikasi. Namun, kombinasi fitur, desain izin, perilaku pengguna, serta kode yang tidak aman dapat menciptakan jalur serangan yang tidak diinginkan.

AI menambah dimensi baru dalam persoalan ini. AI dapat membantu developer membangun aplikasi yang lebih baik, tetapi juga berpotensi membantu pihak yang berniat jahat merangkai kemampuan yang sebelumnya sulit mereka implementasikan.

Pelajaran untuk kita bukan bahwa HTML harus ditakuti atau aplikasi web harus ditinggalkan.

Pelajarannya adalah bahwa setiap kemampuan harus diberikan dengan batas yang jelas, setiap izin harus memiliki alasan yang kuat, dan setiap alur yang menyentuh data penting harus dirancang dengan mempertimbangkan kemungkinan penyalahgunaan.

Bagi developer, pertanyaan yang paling penting bukan hanya “Apakah aplikasi ini berfungsi?”, melainkan juga “Apa kerusakan yang dapat ditimbulkannya jika digunakan oleh pihak yang salah?”

Di situlah keamanan berubah dari sekadar fitur tambahan menjadi bagian mendasar dari rekayasa perangkat lunak.

---

Referensi

1. Oz, H. et al. (2023). RøB: Ransomware over Modern Web Browsers. USENIX Security Symposium.
   https://www.usenix.org/conference/usenixsecurity23/presentation/oz
2. Bukhteyev, A. (2026, 1 Juli). Browser-Only Ransomware: From LLM Hallucinations to a Practical Attack Technique. Check Point Research.
   https://research.checkpoint.com/2026/browser-only-ransomware-from-llm-hallucinations-to-a-practical-attack-technique/
3. Chrome for Developers. Chrome 132 Release Notes.
   https://developer.chrome.com/release-notes/132
4. Chrome for Developers. The File System Access API.
   https://developer.chrome.com/docs/capabilities/web-apis/file-system-access

Catatan editorial: Nama HTMLZERO dipertahankan sebagai istilah dalam klaim yang sedang diverifikasi, bukan sebagai nama malware yang telah dikonfirmasi oleh sumber primer. Artikel ini membahas ransomware berbasis browser dan risiko penyalahgunaan API yang telah didokumentasikan dalam penelitian, tanpa menyamakan risiko tersebut dengan pengambilalihan penuh sistem operasi.