Serangan ini menjadi berbahaya karena mampu memanfaatkan aplikasi pembaruan Android palsu untuk mengambil alih WhatsApp korban. Setelah terpasang, spyware Morpheus tidak hanya memantau perangkat, tetapi juga bisa membuka jalan bagi pelaku untuk masuk ke akun WhatsApp dan memperoleh akses ke pesan maupun kontak.
Cara kerja serangan ini terlihat sederhana di permukaan, namun justru mengandalkan rekayasa sosial yang rapi. Korban lebih dulu menerima SMS saat data seluler tiba-tiba terputus, lalu diarahkan memasang aplikasi untuk memulihkan konektivitas sekaligus memperbarui ponsel, padahal file yang diunduh bukan pembaruan sistem resmi.
Temuan ini diungkap oleh organisasi hak digital Italia, Osservatorio Nessuno, dan sebelumnya juga disorot oleh TechCrunch. Dalam laporan itu, serangan disebut tidak berjalan acak karena melalui tahapan yang sengaja disusun, bahkan menurut peneliti kemungkinan melibatkan dukungan aktif dari operator seluler korban.
Morpheus digolongkan sebagai spyware berbiaya rendah karena tidak bergantung pada eksploit zero-click seperti Pegasus milik NSO Group atau alat milik Paragon Solutions. Sebaliknya, serangan ini bertumpu pada manipulasi korban agar memasang aplikasi berbahaya secara manual dari luar toko aplikasi resmi.
Sebelum aplikasi itu dipasang, data seluler target disebut lebih dulu diputus secara sengaja oleh penyedia layanan telekomunikasi yang bekerja sama dengan otoritas yang menjalankan operasi ini. Saat koneksi hilang, SMS kemudian muncul sebagai langkah berikutnya dan memberi kesan seolah ada masalah teknis biasa yang perlu segera diperbaiki.
Setelah file berbahaya terpasang, Morpheus memanfaatkan izin aksesibilitas Android untuk membaca isi layar dan berinteraksi dengan aplikasi lain yang sedang berjalan. Izin ini membuat spyware bisa mengamati aktivitas pengguna dan membantu menjalankan langkah lanjutan tanpa terlihat mencurigakan.
Di tahap berikutnya, layar pembaruan sistem palsu ditampilkan agar aktivitas berbahaya tampak seperti proses normal. Sesudah itu, ponsel diminta melakukan reboot, sehingga korban makin percaya bahwa perangkat memang sedang menjalani pembaruan yang sah.
Begitu ponsel menyala kembali, Morpheus meniru antarmuka WhatsApp dan meminta verifikasi biometrik. Korban dibuat mengira langkah tersebut adalah pemeriksaan akun rutin, padahal satu sentuhan biometrik itu justru memberi otorisasi bagi spyware untuk menambahkan perangkat baru ke akun WhatsApp.
Dampaknya cukup serius karena setelah tahap itu berhasil, pelaku dapat memperoleh akses penuh ke pesan dan kontak. Pola ini menunjukkan bahwa rekayasa sosial bisa menggantikan teknik peretasan yang lebih canggih, sebab korban sendiri yang tanpa sadar menyetujui tindakan yang membuka jalan bagi penyadapan.
Selain cara penyebarannya, Osservatorio Nessuno juga menemukan fragmen kode berbahasa Italia dan referensi budaya di dalam malware. Peneliti menilai ciri tersebut sejalan dengan pola yang pernah terlihat dalam kampanye spyware lain yang berkaitan dengan Italia.
Dalam laporan yang sama, Morpheus dikaitkan dengan IPS, perusahaan Italia yang disebut memiliki pengalaman lebih dari 30 tahun menyediakan teknologi lawful interception untuk aparat penegak hukum dan badan intelijen. IPS juga dilaporkan beroperasi di lebih dari 20 negara dan mencantumkan sejumlah kepolisian Italia sebagai kliennya.
Peneliti meyakini Morpheus dipakai untuk menargetkan aktivis politik, meski identitas target tidak diungkap. Kasus ini menambah daftar vendor pengawasan asal Italia yang sebelumnya sudah terekspos, termasuk CY4GATE, eSurv, RCS Lab, dan SIO.
Pengguna Android perlu mewaspadai pola yang mirip karena Morpheus tidak menyebar melalui Google Play Store dan tidak dapat terpasang sendiri secara diam-diam. Serangan hanya berhasil jika korban mengunduh dan memasang file APK dari luar toko aplikasi resmi.
SMS tak terduga yang meminta pembaruan ponsel patut dicurigai, terutama bila muncul bersamaan dengan hilangnya data seluler secara mendadak. Peneliti juga menekankan bahwa izin aksesibilitas Android sangat kuat dan tidak seharusnya diberikan kepada aplikasi yang datang dari tautan pesan teks.
Dalam contoh lain yang masih terkait ekosistem ancaman serupa, WhatsApp pada April 2026 memberi tahu 200 pengguna bahwa mereka telah memasang versi palsu aplikasi tersebut yang memuat spyware terkait SIO. Rangkaian temuan itu memperkuat kekhawatiran bahwa aplikasi palsu tetap menjadi salah satu pintu masuk yang efektif untuk operasi pengawasan terhadap perangkat pribadi.