Google Play Store Melarang Aplikasi Setelah Menemukan Kode Pencuri Data

Google Play Retailer Melarang Aplikasi Setelah Menemukan Kode Pencuri Information

Gambar untuk artikel berjudul Aplikasi Doa Muslim Mega-Populer Diam-diam Memanen Nomor Telepon

Foto: Pavlo Gonchar/Sopa Photographs/LightRocket (Gambar Getty)

Google baru saja boot lebih dari selusin aplikasi dari Play Retailer—di antaranya aplikasi doa Muslim dengan lebih dari 10 juta unduhan, pemindai kode batang, dan jam—setelah para peneliti menemukan kode pengumpulan knowledge rahasia yang tersembunyi di dalamnya. Lebih menyeramkan lagi, kode rahasia itu direkayasa oleh perusahaan yang terkait dengan kontraktor pertahanan Virginia, yang membayar pengembang untuk memasukkan kodenya ke dalam aplikasi mereka untuk mencuri knowledge pengguna.

Saat melakukan penelitian, para peneliti menemukan sepotong kode yang telah ditanamkan di beberapa aplikasi yang digunakan untuk menyedot pengenal pribadi dan knowledge lain dari perangkat. Kode, equipment pengembangan perangkat lunak, atau SDK, “tanpa diragukan lagi dapat digambarkan sebagai malware,” kata seorang peneliti.

Untuk sebagian besar, aplikasi yang dimaksud tampaknya memiliki fungsi dasar yang berulang—jenis yang mungkin diunduh seseorang dan kemudian segera dilupakan. Namun, setelah ditanamkan ke ponsel pengguna, program yang menggunakan SDK mengumpulkan poin knowledge penting tentang perangkat dan penggunanya seperti nomor telepon dan alamat e-mail, ungkap peneliti.

Itu Jurnal Wall Road awalnya melaporkan bahwa kode invasif yang aneh, ditemukan oleh sepasang penelitis, Serge Egelman, dan Joel Reardon, keduanya ikut mendirikan organisasi bernama AppCensus, yang mengaudit aplikasi seluler untuk privasi dan keamanan pengguna. Di dalam posting weblog tentang temuan mereka, Reardon menulis bahwa AppCensus awalnya menghubungi Google tentang temuan mereka pada Oktober 2021. Namun, aplikasi tersebut pada akhirnya tidak dihapus dari Play Retailer hingga 25 Maret setelah Google melakukan investigasi, lapor Journal. Google mengeluarkan pernyataan sebagai tanggapan: “Semua aplikasi di Google Play harus mematuhi kebijakan kami, terlepas dari pengembangnya. Saat kami menentukan sebuah aplikasi melanggar kebijakan ini, kami mengambil tindakan yang sesuai.”

Salah satu aplikasinya adalah pemindai QR dan kode batang yang, jika diunduh, diinstruksikan oleh SDK untuk mengumpulkan nomor telepon pengguna, alamat e-mail, informasi IMEI, knowledge GPS, dan SSID router. Lain adalah suite aplikasi doa Muslim termasuk Al Moazin dan Qibla Compass — diunduh sekitar 10 juta kali — yang juga mencuri nomor telepon, informasi router, dan IMEI. Widget cuaca dan jam dengan lebih dari satu juta unduhan menyedot jumlah knowledge yang sama dengan perintah kode. Secara keseluruhan, aplikasi, beberapa di antaranya juga dapat menentukan lokasi pengguna, telah mengumpulkan lebih dari 60 juta unduhan.

“Database yang memetakan e-mail dan nomor telepon seseorang yang sebenarnya ke riwayat lokasi GPS mereka yang tepat sangat menakutkan, karena dapat dengan mudah digunakan untuk menjalankan layanan untuk mencari riwayat lokasi seseorang hanya dengan mengetahui nomor telepon atau e-mail mereka, yang dapat digunakan untuk menargetkan jurnalis, pembangkang, atau saingan politik, ”tulis Reardon di postingan blognya.

Lalu siapa dalang di balik semua ini? Menurut peneliti, perusahaan yang terdaftar di Panama bernama Sistem Pengukuran. Para peneliti menulis dalam laporan mereka bahwa Sistem Pengukuran sebenarnya didaftarkan oleh sebuah perusahaan bernama Vostrom Holdings—sebuah perusahaan yang berbasis di Virginia dengan ikatan industri pertahanan nasional. Vostrom membuat kontrak dengan pemerintah federal melalui anak perusahaan bernama Packet Forensics, yang tampaknya berspesialisasi dalam intelijen siber dan pertahanan jaringan untuk agen federal, lapor Journal.

Pengembang aplikasi yang berbicara kepada surat kabar mengklaim bahwa Sistem Manajemen telah membayar mereka untuk menanamkan SDK ke dalam aplikasi mereka, yang memungkinkan perusahaan untuk “diam-diam mengumpulkan knowledge” dari pengguna perangkat. Pengembang lain mencatat bahwa perusahaan meminta mereka untuk menandatangani perjanjian kerahasiaan. Dokumen yang dilihat oleh Journal tampaknya mengungkapkan bahwa perusahaan sebagian besar menginginkan knowledge tentang pengguna yang berbasis di “Timur Tengah, Eropa Tengah dan Timur dan Asia.”

Industri pertahanan telah lama bermasalah hubungan dengan industri pialang knowledge—sesuatu yang dengan cepat ditunjukkan oleh para peneliti knowledge di Twitter setelah cerita Journal turun:

Daftar lengkap aplikasi yang ditemukan mengandung kode SDK menyeramkan dapat ditemukan di Reardon’s tulisan di situs internet AppCensus.

Total
0
Shares
Leave a Reply

Your email address will not be published.

Related Posts