Telset.id – Audit terbaru terhadap aplikasi VPN mobile mengungkapkan bahwa sejumlah besar aplikasi di Apple App Store dan Google Play Store membawa risiko keamanan dan privasi yang signifikan, mulai dari traffic tidak terenkripsi hingga tautan yang mengarah ke malware aktif. Temuan ini menjadi peringatan keras bagi pengguna yang selama ini menganggap lingkungan toko aplikasi resmi sepenuhnya aman.
Audit yang dilakukan terhadap aplikasi VPN di kedua toko aplikasi tersebut menemukan bahwa banyak aplikasi yang justru membahayakan pengguna sebelum aplikasi tersebut diinstal. Risiko ini muncul dalam berbagai bentuk, termasuk protokol tidak aman, tautan tersembunyi, hingga ancaman aktif berupa scareware yang dirancang untuk menipu pengguna agar mengunduh malware sungguhan.
Temuan paling signifikan berkaitan dengan lemahnya penegakan enkripsi. Audit mengungkapkan bahwa 339 tautan Android (5,3 persen) dan 188 tautan iOS (6,8 persen) menggunakan HTTP biasa tanpa enkripsi, bukan HTTPS yang aman. Aplikasi populer seperti Oryx VPN yang memiliki lebih dari 1 juta unduhan dan Stealth Shield VPN termasuk dalam kategori berisiko ini.
Konsekuensi dari tautan HTTP polos ini sangat serius. Saat pengguna mengklik tautan tersebut, penyadap jaringan atau penyerang man-in-the-middle (MitM) dapat mencegat, memanipulasi, atau menyuntikkan konten berbahaya ke dalam traffic antara pengguna dan situs pengembang aplikasi. Ini berarti data pribadi pengguna dapat dengan mudah dicuri atau dimanipulasi tanpa sepengetahuan mereka.
Format URL Berbahaya yang Lolos Moderasi
Selain masalah enkripsi yang lemah, audit juga mengungkapkan beberapa format URL yang sangat mencurigakan yang ternyata lolos dari proses moderasi toko aplikasi. Temuan ini menunjukkan bahwa proses verifikasi tautan keluar di kedua platform masih memiliki celah besar yang dapat dieksploitasi oleh aktor jahat.
Salah satu temuan yang mengkhawatirkan adalah penggunaan URL shortener pada banyak daftar aplikasi. Layanan seperti shorturl.at dan clck.ru berbasis Yandex digunakan untuk menyembunyikan domain tujuan akhir. Praktik ini membuat pengguna maupun pemindai keamanan URL otomatis tidak dapat mengevaluasi keamanan tautan sebelum diklik, karena tujuan akhirnya sengaja disembunyikan.
Lebih buruk lagi, beberapa daftar aplikasi menggunakan alamat IP numerik mentah sebagai pengganti nama domain. Metode ini melewati filter berbasis domain, validasi sertifikat SSL, dan sistem reputasi DNS publik. Akibatnya, keamanan koneksi menjadi mustahil untuk diverifikasi oleh pengguna atau sistem keamanan mana pun.
Audit juga menemukan kebijakan privasi yang mengarah langsung ke file PDF yang dapat diunduh. Sebanyak 13 file PDF ditemukan di iOS dan 1 di Android. Dokumen PDF dapat mengeksekusi JavaScript tertanam, memicu unduhan file lokal otomatis, atau mengeksploitasi kerentanan pembaca PDF di perangkat pengguna.
Ancaman Aktif: Scareware dan Redirect Berbahaya
Temuan paling mengkhawatirkan dari audit ini adalah fakta bahwa mengklik tautan di halaman toko aplikasi resmi Apple atau Google dapat mengarahkan pengguna ke ancaman siber aktif. Para aktor jahat ternyata secara aktif membeli domain yang sudah kedaluwarsa dari pengembang yang telah meninggalkan aplikasi mereka, dengan tujuan mengeksploitasi traffic yang masih mengalir dari daftar toko aplikasi yang sudah tidak terawat tersebut.
Audit memverifikasi beberapa daftar aplikasi aktif yang domainnya kini menampilkan popup antivirus palsu dan redirect iklan. Pengguna yang mempercayai tautan dari toko aplikasi resmi ini terjebak dalam perangkap yang dirancang untuk menampilkan peringatan keamanan palsu. Popup scareware ini sengaja dibuat untuk menekan pengguna yang panik agar mengunduh malware sungguhan dengan dalih “memperbaiki” virus yang sebenarnya tidak ada.
Dalam kasus lain, tautan resmi mengarah ke lingkungan yang sama sekali tidak relevan dan tidak terverifikasi. Tautan resmi ditemukan mengarah ke akun Twitter yang sudah dihapus, halaman Facebook dan Instagram kosong, portal pembayaran seperti Cashpay Iraq, hingga situs opera China. Mengarahkan pengguna ke platform pesan eksternal seperti Telegram atau akun media sosial yang ditinggalkan juga melewati standar keamanan web dan membuat pengguna terpapar lingkungan chat pihak ketiga yang tidak termoderasi serta risiko impersonasi yang serius.
Menariknya, masalah ini terjadi di tengah meningkatnya kekhawatiran tentang keamanan perangkat dan layanan digital. Apple sendiri baru-baru ini mengakui adanya krisis memori yang berdampak pada kenaikan harga perangkat, menunjukkan bahwa bahkan raksasa teknologi pun menghadapi tantangan besar dalam menjaga ekosistemnya tetap aman dan terjangkau.
Baca Juga:
Cara Melindungi Diri dari Risiko VPN Mobile
Meskipun ada langkah-langkah keamanan bawaan dari Apple dan Google, para ahli menekankan bahwa konsumen tetap harus mengambil tindakan sendiri untuk menavigasi daftar aplikasi dengan aman. Kewaspadaan pribadi menjadi pertahanan terakhir yang paling efektif melawan ancaman-ancaman yang telah teridentifikasi ini.
Langkah pertama yang paling penting adalah selalu memeriksa target tautan dengan cermat sebelum mengetuk tautan situs pengembang. Pengguna harus memverifikasi bahwa tujuan tautan menggunakan koneksi HTTPS yang aman, dan tetap waspada terhadap format yang disembunyikan seperti alamat IP numerik mentah atau shortener tautan acak yang menyembunyikan domain sebenarnya.
Pengguna juga harus secara aktif menolak unduhan PDF yang tidak terduga. Hindari membuka tautan PDF langsung dari halaman toko aplikasi, karena file-file ini mungkin mengandung JavaScript tertanam atau mengeksploitasi kerentanan pembaca. Jika mengetuk kebijakan privasi tiba-tiba memicu eksekusi file otomatis atau unduhan, blokir segera.
Yang paling penting, jika tautan resmi toko aplikasi mengarah ke peringatan virus atau meminta izin pemindaian sistem, pengguna harus mengenali bahwa ini adalah tipuan scareware yang dirancang untuk memaksa pengunduhan malware. Jangan klik apa pun di halaman tersebut; tutup tab browser segera untuk melindungi perangkat.
Menariknya, meskipun Apple dan Google memiliki proses review aplikasi, temuan ini menunjukkan bahwa celah dalam verifikasi tautan keluar masih memungkinkan ancaman aktif dan traffic tidak terenkripsi masuk ke halaman produk VPN mobile. Ketika audit ini disampaikan kepada Apple, perusahaan menolak berkomentar secara resmi dan hanya merujuk pada pedoman keamanan serta proses review aplikasi mereka.
Sementara itu, juru bicara Google memberikan tanggapan yang lebih konkret dengan menyatakan, “Kami sedang menyelidiki hal ini. Ketika kami mengetahui adanya aplikasi yang melanggar kebijakan kami, kami akan meninjau aplikasi yang bersangkutan dan mengambil tindakan yang sesuai.” Baik Oryx VPN maupun Stealth Shield VPN tidak memberikan tanggapan saat artikel ini diterbitkan.
Pelajaran utama dari temuan ini adalah bahwa pengguna harus menerapkan kewaspadaan keamanan web yang sama ketatnya di dalam toko aplikasi resmi seperti saat menjelajahi web terbuka. Keamanan tidak boleh dianggap remeh hanya karena aplikasi tersedia di platform resmi. Dengan meningkatnya kompleksitas ancaman siber, layanan berbayar untuk keamanan tambahan mungkin menjadi pertimbangan bagi pengguna yang sangat bergantung pada perlindungan digital.
Bagi pengguna yang ingin tetap aman, kombinasi antara verifikasi manual tautan, menghindari PDF mencurigakan, dan mengenali tanda-tanda scareware adalah langkah-langkah minimum yang harus dilakukan. Sementara itu, baik Apple maupun Google perlu memperketat proses verifikasi tautan keluar mereka agar kasus serupa tidak terus berulang di masa mendatang.
Komentar
Belum ada komentar.