5 aplikasi berbahaya yang dimiliki hampir semua orang

Aplikasi paling berbahaya di ponsel Anda belum tentu merupakan virus atau malware yang terlihat jelas. Seringkali, risiko terbesar datang dari layanan yang sah dan populer yang dipasang oleh jutaan orang dan diperbarui melalui toko aplikasi resmi (lihat juga bagaimana data digunakan untuk memanipulasi pengguna dan mengapa menghapus akun tidak sepenuhnya menghapus data Anda).

Dalam artikel ini kita akan melihat 5 jenis aplikasi yang dimiliki hampir semua orang, menjelaskan risiko spesifik yang ditimbulkannya, dan menunjukkan apa yang dapat Anda lakukan untuk mengurangi potensi bahaya.

Penting: ini tentang kategori, bukan merek tertentu. Risiko sebenarnya bergantung pada pengaturan, undang-undang, dan model ancaman pribadi Anda.

Messenger dan jejaring sosial

Messenger dan jejaring sosial paling mengetahui tentang Anda, karena mereka menangani:

• Pesan pribadi, foto, dan catatan suara.
• Daftar kontak Anda dan grup serta komunitas tempat Anda bergabung.
• Metadata: siapa berbicara kepada siapa, kapan, dan seberapa sering.

Bahkan dengan enkripsi end-to-end, metadata dan informasi grafik sosial tetap sangat berharga untuk penargetan, rekomendasi, dan analisis perilaku.

Apa yang harus dilakukan:

• Aktifkan fitur keamanan terkuat yang tersedia (kunci layar, kunci aplikasi, pemeriksaan keamanan).
• Hapus riwayat secara berkala, terutama obrolan grup besar dan media.
• Batasi akses ke kontak dan lokasi sedapat mungkin.

Aplikasi navigasi, peta, dan transportasi

Aplikasi navigasi dan transportasi online secara efektif menyimpan riwayat pergerakan Anda secara berkelanjutan:

• Rumah, kantor, dan lokasi yang sering dikunjungi.
• Saat-saat ketika Anda biasanya di rumah versus bepergian.
• Sinyal pendapatan dan gaya hidup kasar berdasarkan lingkungan dan jenis perjalanan.

Data ini berharga tidak hanya bagi layanan itu sendiri tetapi juga bagi siapa pun yang mendapatkan akses jika ada pelanggaran atau melalui berbagi data secara luas.

Apa yang harus dilakukan:

• Nonaktifkan akses lokasi konstan; izinkan hanya saat aplikasi sedang digunakan.
• Hapus riwayat perjalanan dan alamat yang disimpan secara teratur.
• Jika memungkinkan, pisahkan perjalanan pribadi dan perjalanan kerja di berbagai layanan atau profil.

Klien email dan ekosistem “all-in-one”.

Aplikasi email dan ekosistem besar lihat tagihan, peringatan bank, pesan pemerintah, dan banyak lagi:

• Konten email, lampiran, dan tautan.
• Pemberitahuan dari layanan lain yang diteruskan ke kotak masuk Anda.
• Kontak dan korespondensi pribadi dan profesional jangka panjang.

Bahkan jika tidak ada orang yang membaca email Anda, analisis mesin dapat memberikan gambaran yang sangat detail tentang kehidupan finansial dan sosial Anda.

Apa yang harus dilakukan:

• Aktifkan autentikasi dua faktor dan gunakan kata sandi yang kuat dan unik.
• Pisahkan alamat email berdasarkan peran: satu untuk perbankan dan dokumen, satu lagi untuk langganan dan pendaftaran.
• Berhati-hatilah dengan izin “masuk dengan email” di aplikasi pihak ketiga.

Pelacak kebugaran dan aplikasi kesehatan

Aplikasi kebugaran dan kesehatan mengumpulkan beberapa data paling sensitif yang dapat Anda bagikan:

• Denyut jantung, tidur, tingkat aktivitas, berat badan, terkadang suasana hati dan jurnal.
• Informasi tentang kondisi, pengobatan, dan pengobatan.
• Data lokasi dari lari dan jalan kaki.

Pelanggaran besar-besaran terhadap jenis data ini telah terjadi, dan konsekuensinya bisa jauh lebih serius daripada kebocoran email biasa — mulai dari diskriminasi hingga pemerasan.

Apa yang harus dilakukan:

• Minimalkan data sensitif yang dimasukkan secara manual (diagnosis, catatan rinci).
• Tinjau dengan siapa aplikasi berbagi data (perusahaan asuransi, pemberi kerja, jejaring sosial).
• Lebih memilih solusi yang lebih berfokus pada privasi atau lokal dibandingkan ekosistem global jika Anda bisa.

Aplikasi utilitas dan hiburan “gratis”.

Aplikasi cuaca, senter, pemindai dokumen, filter foto dan video — ini sering kali merupakan pengumpul data yang lebih banyak daripada produk:

• Aplikasi ini meminta izin berlebihan (kontak, kamera, mikrofon, lokasi).
• Ini menggabungkan beberapa iklan dan analitik SDKs.
• Data dapat dijual ke broker dan agregator.

Aplikasi ini sering kali dipasang “dengan autopilot” dan bertahan selama bertahun-tahun, lama setelah Anda lupa keberadaannya.

Apa yang harus dilakukan:

• Audit aplikasi yang Anda instal dan hapus apa pun yang sudah lama tidak Anda gunakan.
• Periksa izin: mengapa aplikasi cuaca memerlukan akses mikrofon atau kontak?
• Jika memungkinkan, gunakan utilitas versi web daripada menginstal aplikasi terpisah.

Mengapa App Store Resmi Tidak Menjamin Keamanan

Banyak pengguna percaya bahwa menginstal aplikasi dari toko resmi — Google Play Market dan Apple App Store — secara otomatis menjamin keamanan. Platform ini melakukan moderasi, analisis kode otomatis, dan menegakkan kebijakan privasi. Namun, dalam praktiknya, bahkan toko resmi pun tidak dapat menjamin perlindungan penuh terhadap aplikasi berbahaya dan berpotensi berbahaya.

Masalah utamanya adalah skala ekosistem. Jutaan aplikasi dipublikasikan di Play Market dan App Store, dan sebagian besar pemeriksaan dilakukan secara otomatis.

Hal ini mengarah pada situasi di mana:

• Fungsi berbahaya dapat disamarkan.
• Mekanisme berbahaya mungkin tidak segera aktif.
• Perilaku aplikasi dapat berubah setelah pembaruan.

Selain itu, toko-toko tersebut memprioritaskan pertumbuhan ekosistem, kenyamanan pengembang, dan efisiensi komersial dibandingkan keselamatan pengguna secara mutlak.

Bagaimana Aplikasi Berbahaya Masuk Play Market dan App Store

Skenario umum meliputi:

• Aplikasi yang awalnya aman kemudian diperbarui dengan kode berbahaya.
• Logika dinamis dimuat dari server eksternal.
• Aplikasi dijual atau ditransfer ke pengembang lain.
• Fitur berbahaya diaktifkan berdasarkan waktu, wilayah, atau perilaku pengguna.

Pembaruan otomatis sangat berbahaya karena diinstal tanpa tinjauan pengguna tambahan.

Izin Berlebihan sebagai Ancaman Besar

Bahkan tanpa virus atau trojan, aplikasi bisa berbahaya.

Izin yang umum diminta meliputi:

• Akses ke mikrofon dan kamera.
• Membaca kontak dan log panggilan.
• Akses ke SMS dan notifikasi.
• Pelacakan lokasi konstan.

Seringkali izin ini tidak diperlukan untuk fungsi inti tetapi memungkinkan pembuatan profil digital pengguna yang terperinci.

SDKs dan Perpustakaan Pihak Ketiga — Ancaman Tersembunyi di Dalam Aplikasi

Salah satu ancaman yang paling diremehkan adalah SDKs (Software Development Kits) dan pustaka pihak ketiga yang tertanam dalam aplikasi.

Meskipun pengembang tidak membuat malware, mereka sering kali mengintegrasikan SDKs untuk:

• Periklanan dan monetisasi.
• Analisis perilaku pengguna.
• Pemberitahuan push.
• Melacak instalasi dan konversi.

Setiap SDK adalah modul terpisah dengan servernya sendiri, kebijakan pengumpulan data, dan tingkat keamanannya sendiri.

Mengapa SDKs Berbahaya

Risiko utama menggunakan SDKs:

• Pengumpulan data tanpa persetujuan pengguna langsung.
• Berbagi informasi dengan pihak ketiga.
• Melacak aktivitas di beberapa aplikasi.
• Kontrol jarak jauh atas perilaku aplikasi.

Pengguna berinteraksi dengan aplikasi, namun data mereka mungkin diproses oleh lusinan perusahaan eksternal.

Mengapa Toko Tidak Memblokir Aplikasi Tersebut

SDKs sendiri tidak dianggap berbahaya. Mereka banyak digunakan secara legal, jadi:

• Toko tidak menganalisis secara mendalam setiap perpustakaan.
• Tanggung jawab secara formal ada pada pengembang.
• Kebijakan privasi seringkali bersifat formal dan tidak jelas.

Akibatnya, aplikasi mungkin mematuhi peraturan toko namun tetap aktif mengumpulkan dan berbagi data.

Aplikasi Palsu dan Kloning di Toko Resmi

Bahkan Play Market dan App Store secara rutin menampilkan:

• Klon layanan populer.
• Aplikasi perbankan atau kripto palsu.
• Aplikasi dengan nama dan ikon serupa.

Pengguna mempercayai toko resmi dan mungkin tidak memperhatikan adanya penggantian, sehingga menyebabkan kebocoran kredensial login, kata sandi, dan data keuangan.

Mengapa aplikasi “gratis” tidak benar-benar gratis

Jika sebuah aplikasi berharga $0, aplikasi tersebut masih memiliki pengeluaran: pengembangan, server, dukungan, analisis, dan pemasaran. Jika Anda tidak membayar dengan uang, bisnis tersebut harus menghasilkan uang di tempat lain. Terkadang hal itu masuk akal (proyek hobi, alat sumber terbuka). Namun seringkali, “gratis” adalah strategi penetapan harga, bukan kurangnya biaya.

Model 1: pembuatan profil periklanan dan perilaku

Model klasiknya sederhana: aplikasi menampilkan iklan dan menghasilkan uang per tayangan atau klik. Bagian tersulitnya adalah memaksimalkan pendapatan. Untuk itu, pengiklan menginginkan:

• Penargetan yang akurat (siapa Anda, apa yang mungkin Anda beli)
• Pengukuran (iklan mana yang menghasilkan pemasangan, pembelian, atau langganan)
• Penargetan ulang (menampilkan iklan lagi kepada Anda nanti, di aplikasi dan situs lain)

Di sinilah pelacakan muncul. Banyak ekosistem iklan membangun profil terperinci dari pola penggunaan dan pengidentifikasi (lihat mengapa iklan mungkin mengenal Anda lebih baik daripada teman).

Model 2: SDKs tertanam (aplikasi Anda adalah kumpulan pihak ketiga)

Aplikasi “gratis” seringkali bukan hanya kode satu perusahaan. Ini mencakup perpustakaan pihak ketiga untuk:

• Iklan dan mediasi
• Analitik dan pelaporan kerusakan
• Atribusi (“kampanye mana yang membawa pengguna ini”)
• Anti-penipuan dan reputasi perangkat
• Pemberitahuan push dan keterlibatan

Setiap SDK dapat mengumpulkan peristiwa, pengidentifikasi perangkat, sinyal IP/lokasi, dan data perilaku. Meskipun aplikasinya sendiri tampak tidak berbahaya, rantai pasokan SDK dapat menjadikannya berisiko (lihat aplikasi berbahaya dan SDK tersemat).

Model 3: perantara data (langsung atau tidak langsung)

Beberapa aplikasi melakukan monetisasi melalui kumpulan data:

• Menjual “wawasan” tentang kelompok (secara agregat, namun dalam praktiknya sering kali dapat diidentifikasi ulang)
• Berbagi peristiwa dan pengidentifikasi dengan mitra yang kemudian menggabungkannya dengan sumber lain
• Ekspor “disamarkan” yang menjadi pribadi lagi ketika digabungkan

Bahayanya semakin besar: satu aliran data mungkin saja lemah, namun jika digabungkan dengan banyak aliran data lainnya, aliran data tersebut menjadi pengenal yang kuat (lihat risiko penyimpanan data terpusat).

Model 4: langganan yang disamarkan sebagai gratis (corong)

Banyak aplikasi yang gratis untuk dipasang tetapi dimonetisasi melalui corong konversi:

• Tingkat atau uji coba gratis terbatas
• Permintaan terus-menerus untuk meningkatkan
• Paywall untuk fitur dasar
• Langganan yang diperpanjang secara otomatis

Model ini pada dasarnya tidak buruk. Masalah privasinya adalah corong sering kali dioptimalkan dengan analisis agresif: layar mana yang membuat Anda berlangganan, apa yang membuat Anda tetap terlibat, “rasa sakit” apa yang membuat Anda membayar. Itu adalah eksperimen perilaku dalam skala besar (lihat bagaimana data digunakan untuk memanipulasi pengguna).

Model 5: monetisasi afiliasi dan perdagangan

Beberapa aplikasi memperoleh komisi dengan mendorong Anda untuk:

• Membeli produk melalui tautan afiliasi
• Instal aplikasi lain
• Mendaftar untuk layanan mitra
• Menggunakan penyedia pembayaran atau pengiriman tertentu

Hal ini biasanya melibatkan pelacakan dan atribusi, dan ini dapat mendorong pola gelap (pilihan “yang direkomendasikan” yang sebenarnya merupakan penempatan berbayar).

Mengapa ini menjadi masalah keamanan, bukan hanya masalah privasi

Aplikasi gratis berkorelasi dengan risiko yang lebih tinggi karena beberapa alasan:

• Izin lebih lanjut: banyak aplikasi yang meminta kontak, notifikasi, SMS, lokasi “untuk berjaga-jaga.”
• Lebih banyak kode pihak ketiga: permukaan serangan bertambah setiap SDK.
• Insentif yang lebih rendah untuk kepercayaan jangka panjang: aplikasi dapat dijual, diganti mereknya, atau ditinggalkan, sementara basis instalasinya tetap ada.
• Retensi dan kebocoran data: semakin banyak data yang dikumpulkan, semakin besar nilai pelanggarannya (lihat tempat penipu mendapatkan data Anda).

Dan bahkan jika nanti Anda mencopot pemasangan aplikasi, beberapa data mungkin tetap berada di sistem mitra dan saluran analitik (lihat apa yang terjadi pada data setelah menghapus aplikasi).

Cara mengurangi risiko aplikasi secara keseluruhan

Meskipun Anda belum siap menghadapi perubahan drastis, Anda dapat menurunkan risiko keseluruhan dari aplikasi yang sudah Anda gunakan:

• Jalankan audit penuh. Periksa daftar aplikasi Anda dan copot semua yang tidak perlu atau jarang digunakan.
• Perketat izin. Hapus akses konstan ke lokasi, mikrofon, kamera, dan kontak.
• Pisahkan perangkat atau profil. Hindari meletakkan semuanya — terutama tugas sensitif — di satu ponsel.
• Pantau berita pelanggaran. Setelah terjadi insiden serius, ubah kata sandi dan pertimbangkan kembali untuk menggunakan layanan tersebut.
• Periksa pengembang dan perbarui riwayat.
• Analisis daftar izin sebelum instalasi.

Tujuannya bukan untuk hidup tanpa aplikasi, namun untuk secara sadar memilih bagian hidup mana yang Anda percayakan kepada siapa, dan untuk membatasi dampak buruk ketika terjadi kesalahan.