Fibonas di Huawei AppGallery: Apa Itu dan Amankah?

Kalau Anda pengguna HP atau tablet Huawei di Indonesia dan belakangan ini sering melihat nama Fibonas muncul saat mencoba mengunduh aplikasi, tenang, teman Gizfin tidak sendirian kok.

Baru-baru ini, jagat media sosial diramaikan oleh klaim heboh dari seorang influencer teknologi yang mempermasalahkan alur unduhan aplikasi di HP Huawei. Dia menyoroti munculnya label bertuliskan “Fibonas” di HUAWEI AppGallery yang dia anggap sebagai pengembang aplikasi terkait, serta tuduhan bahwa akun Google pengguna disusupi karena adanya deteksi login perangkat Samsung misterius saat menggunakan GBox dan microG.

Klaim yang bernada sensasional ini tentu saja memicu kebingungan dan kekhawatiran di kalangan pengguna: sebenarnya apa itu layanan Fibonas Huawei? Apakah aman memasang aplikasi yang disediakan oleh platform eksternal ini, atau justru HP Huawei Anda sedang diintai bahaya keamanan?

Untuk menjawab pertanyaan tersebut secara objektif tanpa bumbu sensasi, Saya telah melakukan pengujian teknis forensik mandiri dan penelusuran rekam jejak digital (open-source intelligence/OSINT).

Berikut adalah pembahasan lengkap fibonas dan hasil analisis mendalam kami untuk membantu teman Gizfin memahami fakta sebenarnya di balik platform Fibonas, GBox, dan microG.

Apa Itu Fibonas?

Fibonas bukan developer aplikasi. Bukan juga individu, grup, atau organisasi yang profilnya bisa teman Gizfin lacak dengan mudah di internet.

Fibonas adalah platform distribusi APK pihak ketiga yang konsepnya serupa dengan APKPure atau APKCombo, yaitu situs yang menyediakan file instalasi aplikasi Android (.apk) untuk diunduh dan diinstal di perangkat Android.

Yang membedakan adalah Fibonas secara khusus hadir di ekosistem Huawei dan terintegrasi dengan Huawei AppGallery via Petal Search (mesin pencari bawaan Huawei).

Cara kerjanya sederhana saja. Saat Anda mencari aplikasi di AppGallery yang mana tidak tersedia secara native (misalnya Discord, WhatsApp, atau Spotify yang membutuhkan layanan Google), AppGallery akan menampilkan bagian “Results from Petal Search” di bawah hasil pencarian aplikasi tersebut. Nah, di situlah Fibonas sering muncul sebagai salah satu opsi utama untuk mengunduh APK-nya.

Di sisi lain, dengan tool WHO.IS, domain fibonas.com milik platform Fibonas sendiri sudah terdaftar sejak April 2022, sekitar empat tahun yang lalu. Tapi, kebingungan tentang identitas Fibonas bukan fenomena baru. Di forum XDA, komunitas Lowyat Malaysia, hingga kolom komentar GSMArena sudah membahasnya sejak akhir 2022 dan 2023. Pertanyaan seperti “who is fibonas actually?” sudah berulang kali muncul di berbagai komunitas global. Yang berbeda sekarang hanya skalanya, lebih banyak orang di Indonesia yang ikut penasaran karena ada salah satu influencer yang membahas Fibonas dengan cukup “kontroversial”.

Kenapa Fibonas Tiba-Tiba Ramai Dibicarakan?

Momentum viral ini datang dari beberapa video yang beredar di media sosial, dibuat oleh kreator konten teknologi yang membahas pengalaman mereka menggunakan tablet Huawei. Dalam video-video tersebut, ada dua klaim utama yang diangkat:

• Klaim pertama: AppGallery mengarahkan pengguna untuk mengunduh aplikasi seperti YouTube, WhatsApp, dan Instagram lewat developer Fibonas, bukan dari developer resminya langsung. Alternatif seperti APKPure atau APKCombo memang tersedia, tapi tersembunyi di balik tautan “More links” yang collapsed sehingga tidak terlihat tanpa interaksi tambahan.
• Klaim kedua: Saat pengguna login ke akun Google lewat GBox di perangkat Huawei, Google mendeteksi perangkat tersebut bukan sebagai Huawei, melainkan sebagai Samsung atau Oppo. Ini dituduhkan sebagai bukti “kelicikan” Huawei untuk membohongi Google demi mengakses layanannya.

Saya mencoba mereplikasi dan menguji kedua klaim ini secara independen. Hasilnya menunjukkan fakta yang tidak sesederhana narasi video yang beredar.

Kenapa Fibonas Jadi Opsi Default, Bukan APKPure atau APKMirror?

Ini pertanyaan yang wajar, teman. APKPure dan APKMirror adalah platform distribusi APK yang jauh lebih dikenal, sudah ada lebih lama, dan memiliki reputasi yang lebih terverifikasi di komunitas Android daripada Fibonas. Lalu, kenapa Fibonas yang sering muncul di posisi paling atas?

Kami menguji hal ini dengan mencari 15 aplikasi berbeda di AppGallery menggunakan perangkat uji Huawei P40 Pro (EMUI 12.0.0).

Berikut adalah rincian data hasil pengujian kami:

Nah, dari pengujian 15 aplikasi di atas, saya rangkum penyebaran metodenya:

• 6 Aplikasi (40%): Default instalasi diarahkan ke Fibonas (direct download berupa berkas APK).
• 7 Aplikasi (47%): Default diarahkan ke sandbox GBox atau dialihkan ke market resmi APKPure.
• 2 Aplikasi (13%): Diarahkan ke Quick App (Progressive Web App / PWA milik Huawei) atau GBox.

Kesimpulan pertama yang perlu diluruskan: Fibonas tidak selalu jadi opsi default. Klaim yang menyiratkan “semua aplikasi yang tidak listing di AppGallery pasti lewat Fibonas” tidak didukung data pengujian ini. Dari sampel di atas, ternyata hanya 40% yang disediakan melalui Fibonas.

Pola mana yang menentukan kapan Fibonas menjadi default direct download dan kapan tidak, itu pertanyaan yang belum bisa Saya jawab dengan pasti. Kemungkinan bergantung pada kategori aplikasi, popularitas, atau ketersediaan versi APK dari sumber lain. Ini pertanyaan terbuka yang layak ditelusuri lebih jauh. Jika teman Gizfin mempunyai informasi terkait hal ini boleh di-share di kolom komentar ya!

Hingga saat ini, belum ada pernyataan resmi dari Huawei Indonesia maupun global mengenai alasan teknis atau komersial di balik prioritas pemilihan Fibonas dibanding platform lain yang lebih mapan. Berdasarkan analisis teknis di atas, prioritas ini kemungkinan besar dipengaruhi oleh algoritma indeksasi Petal Search yang memindai dan mencocokkan ketersediaan berkas APK paling kompatibel secara berkala.

Namun, ada satu hal yang terkonfirmasi. Saat Fibonas muncul sebagai opsi, alternatif seperti APKPure dan APKCombo memang ada, tetapi disembunyikan di balik menu collapsible “More links” yang perlu diklik terlebih dahulu. Pengguna yang kurang jeli kemungkinan besar akan langsung menekan tombol Install tanpa sadar ada opsi lain di bawahnya.

Fibonas, GBox, dan microG. Hubungannya Apa?

Tiga nama ini sering disebut sekaligus oleh para influencer teknologi hingga sering kali tertukar. Padahal ketiganya adalah entitas/platform berbeda dengan fungsi yang berbeda pula. Lihat tabel berikut:

Jika disederhanakan, Fibonas adalah pihak yang menyediakan file installer aplikasi ke HP Android Anda, sedangkan GBox dan microG adalah infrastruktur di dalam HP yang memastikan aplikasi tersebut bisa berjalan dan terhubung ke layanan Google.

Di sini jelas bahwa Fibonas bertindak sebagai penyedia file instalasi APK, sedangkan GBox adalah lingkungan virtual yang menjalankan aplikasi tersebut. Untuk detail hasil uji independen Gizfin mengenai aplikasi GBox, Anda bisa membaca panduan mendalam cara kerja, keamanan, dan batasan GBox di HP Huawei.

Singkatnya: Fibonas = tempat download APK. GBox = aplikasi yang membuat APK bisa jalan di Huawei. microG = teknologi open-source di balik GBox. Ketiganya bisa dipakai sendiri-sendiri atau bersamaan, tergantung kebutuhan.

Gizfin Uji Langsung: Apakah APK dari Fibonas Aman?

Metodologi: Apa yang Gizfin Uji dan Bagaimana

Pengujian dilakukan menggunakan perangkat Huawei P40 Pro dengan EMUI 12.0.0. Saya menguji dua aspek berbeda menggunakan dua aplikasi yang berbeda berdasarkan keterbatasan teknis masing-masing kasus. Semua pengujian menggunakan akun dummy yang dibuat khusus (x*********z@gmail.com), bukan akun pribadi tester.

Hasil Cek Permission: Aplikasi Pinterest

Saya mengunduh Pinterest versi 14.10 dari Fibonas di AppGallery via Petal Search dan memantau perilaku izin (permission behavior)-nya.

Hasilnya: tidak ada izin sensitif yang diminta saat instalasi maupun saat proses registrasi akun. Semua status izin (seperti Storage, Camera, Microphone, dan Contacts) berstatus Denied / Not Granted secara default berdasarkan informasi Apps di pengaturan HP.

Izin baru diminta ketika fitur yang relevan di dalam aplikasi benar-benar digunakan. Misalnya, saat saya mencoba mengunggah gambar untuk membuat Pin baru, sistem memunculkan dialog konfirmasi Android standar: “Allow Pinterest to access Photos and Videos?”. Ini adalah praktik just-in-time permission yang wajar dan sesuai dengan standar Android, bukan meminta semua izin di awal sebelum fitur digunakan. Perilaku ini tidak berbeda dengan aplikasi Pinterest yang diunduh dari Google Play Store resmi.

Hasil Cek Signing Certificate: Aplikasi Discord

Untuk verifikasi keaslian APK, saya menggunakan APK Discord versi 327.12 Stable dari Fibonas. Aplikasi Pinterest tidak bisa digunakan untuk pengujian ini karenadi platform referensi kami (APKMirror) terkena takedown akibat klaim DMCA, sehingga kami tidak memiliki sidik jari (fingerprint) sertifikat sebagai pembanding.

Saya mengekstrak file base.apk dari file .xapk Discord yang diunduh dari Fibonas, kemudian menjalankan perintah apksigner verify --print-certs base.apk melalui terminal untuk membaca SHA-256 fingerprint dari digital signature developer-nya. Hasilnya kemudian kami bandingkan dengan fingerprint yang dirilis di database APKMirror:

Kedua fingerprint tersebut 100% identik. Informasi Certificate Distinguished Name (DN) juga cocok: CN=Jason Citron, O=Hammer and Chisel (Jason Citron adalah pendiri Discord, dan Hammer & Chisel adalah nama lama badan hukum Discord Inc.).

Ini bisa diartikan berkas APK Discord dari Fibonas tidak mengalami proses penandatanganan ulang (re-sign) oleh pihak ketiga. File yang diunduh adalah file asli yang sama dengan yang ditandatangani langsung oleh Discord Inc.

Hasil pemindaian file ini di VirusTotal juga menunjukkan status bersih (0 dari 56 mesin deteksi menyatakan aman). Teman Gizfin bisa cek di halaman VirusTotal untuk APK Discord 327.12 Stable.

Temuan Tambahan: Versi Cenderung Tertinggal

Berdasarkan pengecekan, nampaknya versi aplikasi yang bersumber dari Fibonas tidak selalu up-to-date dengan versi terbaru aplikasi yang ada di Google Play. Berdasarkan pengujian langsung kami per 13 Juli 2026, berikut perbandingan versinya:

Keterlambatan ini memang tidak membuat aplikasi menjadi berbahaya secara langsung, namun teman Gizfin berisiko menggunakan aplikasi versi lawas yang melewatkan pembaruan patch keamanan krusial, perbaikan bug, dan/atau penambahan fitur terbaru dari pengembang aslinya.

Klaim Device-Spoofing: Virtual Machine GBox, Bukan Upaya Huawei Mengelabui Google

Dalam video viral influencer yang beredar, ditunjukkan bahwa setelah login ke Google melalui aplikasi GBox, Google mengirimkan notifikasi keamanan mengenai aktivitas login baru pada tipe perangkat Samsung (seperti SM-A5360 atau SM-A107F), bukan HP Huawei yang riil digunakan untuk login. Hal ini tentu memicu narasi bahwa Huawei berbuat “licik” dengan membohongi sistem Google agar bisa menggunakan layanannya, atau bahkan data pengguna sedang di-hack oleh pihak yang tidak bertanggungjawab.

Saya mencoba mereplikasi pengujian ini secara independen menggunakan perangkat Huawei P40 Pro dan akun Google dummy. Perlu dicatat bahwa video influencer yang beredar melakukan pengujian pada MatePad Mini dan MatePad 12X, perangkat yang berbeda dari yang kami gunakan, namun mekanisme kompatibilitas GBox yang diuji tetap sama.

Saat kami mencoba masuk ke Play Store via GBox lalu menekan tombol Sign In sistem memunculkan dialog persetujuan (consent) bertuliskan “microG Services” (“An app on your device is trying to sign in to a Google account”).

Setelah berhasil masuk, kami memeriksa dasbor keamanan Google Account di menu “Your devices”. Hasilnya: perangkat Huawei P40 Pro kami terdeteksi masuk sebagai SM-A107F (Samsung Galaxy A10s).

Deteksi perangkat masuk sebagai model HP Samsung ini bukanlah pertanda serangan siber atau upaya “licik” dari Huawei untuk membohongi Google. Ini adalah fitur resmi yang terdokumentasi dengan baik milik pengembang GBox (Virtual Cube Pte. Ltd., Singapura), yang disebut sebagai Virtual Machine Simulation.

Agar aplikasi Android yang membutuhkan Google Mobile Services (GMS) dapat berjalan lancar di HP non-GMS, GBox membuat ruang virtual terisolasi (sandbox) yang meniru (spoofing) identitas model perangkat Android populer lain yang sudah bersertifikat resmi Google. Tanpa emulasi identitas Samsung atau Oppo ini, server Google akan langsung menolak proses autentikasi login akun Anda.

Yang perlu ditegaskan adalah fitur simulasi ini bukanlah alat anonimitas. Google tetap dapat membaca lokasi fisik dan aktivitas akun Anda secara akurat. Melalui dasbor keamanan Google, lokasi masuk Saya tetap terbaca presisi sebagai “East Java, Indonesia” sesuai dengan alamat IP yang Saya gunakan.

Menilik Transparansi Legalitas Fibonas

Meskipun hasil uji berkas APK terbukti bersih, sisi operasional dan transparansi hukum platform Fibonas ini membuat platform ini “sus” alias mencurigakan.

Domain fibonas.com memang berumur empat tahun (terdaftar sejak April 2022), namun kualitas pemeliharaan administrasinya sangat rendah. Beberapa temuan Saya yaitu:

1. Identitas Domain DIsembunyikan: Pendaftaran WHOIS menggunakan layanan proteksi privasi sehingga nama pemilik asli domain disamarkan.
2. Kebijakan Hukum Cuma Template: Dokumen Terms of Service dan Privacy Policy di situs Fibonas terbukti menggunakan draf template SaaS generik yang tidak pernah dirapikan. Temuan ini antara lain terdapat teks alternatif gambar logo Fibonas berupa "NEW_APP_NAME logo", kontak Data Protection Officer tertulis menggunakan email contoh support@example.com, isi dokumen banyak membahas biaya langganan (subscription fee) yang tidak relevan dengan layanan hosting APK gratis milik mereka.
3. Formulir Kontak Tidak Ada: Halaman Contact Us hanya berisi judul dan tanda minus (-), tanpa alamat email aktif maupun formulir kontak.
4. Operator/Pemilik Anonim: Saya telah melakukan pencarian resmi terhadap entitas bernama “Fibonas” melalui database Ditjen AHU Indonesia dan sistem Bizfile milik ACRA (Accounting and Corporate Regulatory Authority) di Singapura. Hasil pencarian menunjukkan bahwa tidak ditemukan badan hukum maupun informasi bisnis terdaftar dengan nama Fibonas di kedua negara tersebut. Sehingga, operator/pemilik di balik platform ini berstatus anonim dan tidak terdaftar secara hukum.

Penilaian jujur Saya, buruknya legalitas ini bukan bukti langsung bahwa Fibonas menyebarkan malware. Namun, hal ini menjadi bukti nyata bahwa Fibonas dikelola dengan standar transparansi dan profesionalisme yang sangat rendah untuk sebuah platform yang diintegrasikan sebagai opsi instalasi default di platform distribusi aplikasi dari brand sebesar Huawei. Dua hal ini adalah fakta yang berbeda dan tidak boleh dicampuradukkan.

Jadi, Fibonas Aman atau Tidak?

Berdasarkan hasil pengujian teknis forensik dan analisis OSINT yang Saya lakukan, kesimpulannya adalah sebagai berikut:

Yang Terkonfirmasi Aman

• Sampel file APK (Discord) memiliki sertifikat digital (digital certificate) asli yang identik dengan rilis APKMirror yang lebih ketat tentang APK yang dia sediakan. Nampaknya tidak di-resign oleh pihak ketiga.
• Pemindaian VirusTotal pada sampel berkas menunjukkan status bersih dari deteksi malware.
• Perilaku permohonan izin aplikasi (studi kasus Pinterest) berjalan secara just-in-time sesuai dengan standar sistem keamanan Android.

Yang Perlu Diwaspadai

• Versi aplikasi di Fibonas cenderung tertinggal (tidak diperbarui secara real-time), berisiko melewatkan patch keamanan krusial.
• Legalitas dan transparansi pengelola sangat rendah, tidak ada kontak bantuan jika terjadi masalah teknis.
• Pengujian kami hanya terbatas pada 2 sampel aplikasi (n=2), sehingga tidak bisa digeneralisasi sebagai jaminan keamanan seluruh katalog Fibonas.

Yang Belum Terkonfirmasi

• Hubungan kemitraan formal atau kontrak resmi antara Huawei dan Fibonas. Tidak ada pengumuman resmi dari kedua pihak dan keabsahan hubungan formal ini belum dapat dikonfirmasi.
• Identitas asli pemilik/operator di balik nama Fibonas.

Rekomendasi Keamanan bagi Pengguna Huawei

Bagi teman Gizfin yang ingin tetap menggunakan ekosistem Huawei tanpa Google secara nyaman dan aman, berikut tips yang kami sarankan:

1. Hindari Aplikasi Finansial yang berasal dari Pihak Ketiga: Untuk aplikasi sensitif seperti perbankan (mobile banking) atau dompet digital, hindari mengunduh berkas dari pihak ketiga seperti Fibonas, APKPure, APKMirror dan sebagainya yang versinya kerap terlambat. Prioritaskan jalur unduhan resmi via AppGallery jika aplikasi perbankan terkait sudah listing resmi atau unduh dari situs pengembangnya langsung (misalnya mengunduh APK WhatsApp resmi dari whatsapp.com/android).
2. Manfaatkan Menu “More links”: Saat AppGallery mengarahkan default ke Fibonas, Anda bisa mengeklik menu “More links” untuk melihat opsi sumber APK yang lebih terkenal seperti APKPure atau APKMirror.
3. Lakukan Verifikasi Mandiri: Anda bisa memeriksa integritas berkas APK sendiri dengan mengunggahnya ke VirusTotal, lalu mencocokkan SHA-256 fingerprint di tab Details dengan data sidik jari (fingerprint) yang ada di APKMirror.
4. Pahami Batasan Privasi VM: Ingatlah bahwa emulasi model Samsung pada GBox adalah jalur kompatibilitas bypass. Selalu gunakan email dummy/sekunder untuk layanan Google di dalam GBox guna mengamankan akun Google utama teman Gizfin.
5. Perdalam Pengetahuan Ekosistem Huawei: Bagi teman Gizfin yang ingin memahami lebih jauh cara kerja ekosistem Huawei secara menyeluruh, baca kembali Panduan HP Huawei Tanpa Google di Indonesia.

FAQ Fibonas di Huawei AppGallery

Kesimpulan

Munculnya Fibonas sebagai penyedia file APK di Huawei AppGallery bukanlah bentuk kelicikan sistem atau penyusupan malware, melainkan fitur pencarian aplikasi eksternal Huawei AppGallery via Petal Search yang sudah berjalan sejak tahun 2022. Pengujian forensik membuktikan berkas APK Discord yang didistribusikan memiliki sertifikat digital yang tidak diubah atau di-resign.

Walaupun begitu, keterlambatan pembaruan versi aplikasi dan tidak adanya transparansi operasional badan hukum Fibonas tetap menjadi catatan yang harus diwaspadai oleh teman Gizfin. Untuk aplikasi kasual atau aplikasi yang sederhana, Fibonas aman digunakan, namun untuk aplikasi sensitif seperti perbankan dan finansial, Anda disarankan mencari alternatif sumber resmi yang terkurasi penuh.