Audit VPN Mobile: Google Play Lebih Rawan dari App Store

Telset.id – Audit besar-besaran terhadap ribuan aplikasi VPN di Google Play Store dan iOS App Store mengungkap fakta mengejutkan: aplikasi VPN yang tersedia di toko resmi tidak menjamin keamanan data pengguna. Google Play tercatat jauh lebih buruk dibandingkan App Store dalam hal transparansi dan validitas pengembang.

Penelitian yang dilakukan terhadap 3.392 aplikasi VPN Android (dengan lebih dari 1.000 unduhan) dan 1.387 aplikasi VPN iOS (dengan setidaknya satu ulasan) menunjukkan bahwa hanya 40,8% aplikasi Android atau sekitar 1.210 aplikasi yang lolos seluruh pemeriksaan validitas utama. Sementara itu, iOS mencatatkan angka 61,4% atau 851 aplikasi yang dinyatakan valid.

Temuan ini menjadi peringatan serius bagi pengguna yang selama ini menganggap aplikasi dari toko resmi pasti aman. Kenyataan di lapangan justru menunjukkan sebaliknya.

Kesenjangan Verifikasi Pengembang

Salah satu temuan paling mencolok dari audit ini adalah perbedaan standar verifikasi antara Google Play dan App Store. Dalam hal kepemilikan situs web pengembang yang valid, Apple unggul jauh dengan 82,7% atau 1.147 aplikasi iOS memiliki situs web yang berfungsi. Sebaliknya, hanya 52,2% atau 1.774 aplikasi Android yang memilikinya.

Yang lebih mengkhawatirkan, 46,9% dari situs web Android yang valid (832) dan 47,5% dari total kebijakan privasi Android (1.612) menggunakan domain pihak ketiga gratis seperti Google Sites, GitHub, dan Blogger. Lebih dari 1.200 tautan situs web atau kebijakan privasi pengembang Android mengarah langsung ke halaman Google gratis.

Apple memang lebih baik, tetapi tetap memiliki celah. Sebanyak 15,6% situs web iOS (179) dan 18,3% kebijakan privasi iOS (217) masih mengandalkan hosting gratis tersebut.

Ketergantungan pada platform gratis seperti Blogger atau Google Sites menandakan kurangnya infrastruktur korporasi yang serius. Jika pengembang tidak mau mengeluarkan biaya untuk domain khusus, bagaimana pengguna bisa percaya mereka berinvestasi pada enkripsi AES-256 atau perawatan server yang memadai? Lebih buruk lagi, jika akun pihak ketiga tersebut ditangguhkan, dokumentasi dukungan dan privasi akan lenyap seketika.

Perbedaan platform juga terlihat pada persyaratan kontak pengembang. Google Play mewajibkan pengembang menampilkan alamat email, tetapi 65,1% aplikasi Android (2.208) menggunakan layanan publik gratis seperti @gmail.com atau @yahoo.com. Sementara itu, iOS tidak mewajibkan pengembang menampilkan alamat email sama sekali, dan hanya 16,2% aplikasi VPN iOS (225) yang mencantumkannya.

Kebijakan Privasi Palsu dan Template Generik

VPN hanya dapat dipercaya jika memiliki kebijakan privasi yang jelas. Penyedia premium seperti ExpressVPN dan NordVPN menjalani audit independen rutin untuk memverifikasi klaim tanpa-catatan (no-logs). Sebaliknya, audit ini menemukan ratusan aplikasi VPN mobile menggunakan teks yang tidak bermakna, generik, atau hasil salinan.

Dalam satu contoh, ditemukan 13 aplikasi iOS berbagi teks template yang identik dan belum diedit. Teks tersebut masih terbaca: “If you have questions about this Privacy Policy, contact us at support@example.com.” Pengembang bahkan tidak membaca dokumen hukum mereka sendiri.

Template yang belum diedit ini tidak mengandung komitmen mengikat apa pun terkait praktik khusus VPN, seperti pencatatan lalu lintas, pelacakan IP, atau pemantauan bandwidth. Pengguna tertipu dengan mengira mereka dilindungi, padahal tidak ada kebijakan hukum yang benar-benar ada.

Lebih parah lagi, sebagian besar aplikasi ini mengandalkan “peternak generator kebijakan” otomatis, situs yang menghosting dokumen privasi generik secara massal. Audit menemukan 48 aplikasi Android menghosting kebijakan di projeto10.top, 40 aplikasi menggunakan freeprivacypolicy.com, dan 19 aplikasi menggunakan termsfeed.com.

Generator kebijakan otomatis sering menyertakan sanggahan hukum yang menyatakan mereka tidak menjamin keakuratan. Selain itu, platform host dapat mengubah atau menghapus halaman tanpa sepengetahuan pengembang, membuat pengguna kehilangan syarat privasi yang valid.

Temuan paling absurd adalah aplikasi Sigma VPN, aplikasi Android dengan lebih dari 100.000 unduhan. Kebijakan privasi yang tercantum bukanlah kebijakan sama sekali, melainkan tautan langsung ke artikel dukungan Wix yang disalin tentang cara membuat kebijakan privasi.

Bahkan ketika kebijakan itu unik, seringkali terlalu pendek untuk berarti. Audit menemukan 2,3% kebijakan Android yang valid (72) dan 6,6% kebijakan iOS yang valid (78) hanya mengandung 250 kata atau kurang. Kebijakan yang sangat pendek ini tidak memiliki pengungkapan hukum yang diperlukan mengenai pencatatan, berbagi data pihak ketiga, yurisdiksi, dan jendela retensi data.

Cara Melindungi Diri Sebelum Mengunduh VPN

Untuk menghindari aplikasi VPN berbahaya, pengguna disarankan melakukan langkah-langkah berikut:

1. Verifikasi Domain: Pastikan penyedia memiliki domain web khusus yang cocok dengan nama produk, bukan subdomain gratis di Blogger atau Google Sites. Jika mereka tidak memiliki situs web sendiri, jangan percayakan lalu lintas web Anda.
2. Audit Kebijakan: Jangan hanya percaya pada kata “Kebijakan Privasi.” Buka tautan dan cari teks untuk placeholder email generik (seperti support@example.com), footer generator, atau persyaratan non-VPN yang luas. Pastikan kebijakan secara eksplisit berkomitmen untuk tidak mencatat koneksi atau aktivitas.
3. Uji Kontak: Uji saluran kontak pengembang sebelum berlangganan. Kirim email cepat untuk memverifikasi bahwa responsivitas dukungan dan mekanisme penghapusan akun benar-benar ada.

Kesimpulan

Metode verifikasi tautan Google Play memungkinkan ratusan aplikasi beroperasi menggunakan blog sementara, halaman kosong, dan situs generator otomatis. Apple memang lebih baik dalam menegakkan tautan web yang valid, tetapi kelemahan utamanya adalah memungkinkan anonimitas total bagi pengembang, meninggalkan pengguna tanpa cara untuk meminta pertanggungjawaban pengembang iOS secara hukum.

Menanggapi penyelidikan ini, Apple menolak berkomentar dan merujuk pada pedoman keamanan dan proses peninjauan aplikasi mereka. Sementara itu, juru bicara Google mengatakan: “Kami sedang menyelidiki ini. Jika mengetahui adanya aplikasi yang melanggar kebijakan kami, kami akan meninjau aplikasi yang dimaksud dan mengambil tindakan yang sesuai.”

Pelajaran penting dari temuan ini adalah: persetujuan daftar toko mencerminkan kepatuhan terhadap formulir pengajuan dasar, bukan legitimasi operasional atau perlindungan privasi. Selalu lakukan riset sendiri sebelum mempercayakan data pribadi Anda ke aplikasi VPN mobile.