Lebih dari 20 Aplikasi VPN di Google Play Ternyata Berbagi Kode dan Infrastruktur yang Sama

Ilustrasi(freepik)

SEBUAH studi baru mengungkap lebih dari 20 aplikasi VPN di Google Play Store ternyata menggunakan kode dan infrastruktur yang sama. Walaupun masing-masing aplikasi mempromosikan diri sebagai layanan independen. Bersama-sama, aplikasi ini termasuk 20 dari 100 VPN terpopuler di platform tersebut, dengan total 700 juta pengguna.

Temuan ini menimbulkan pertanyaan serius terkait kepercayaan dan transparansi dalam industri yang seharusnya menekankan privasi. Selain itu, riset ini juga menunjukkan kualitas pengawasan toko aplikasi terhadap penyedia VPN masih lemah.

Studi ini dilakukan The Citizen Lab, University of Toronto, yang melacak aplikasi-aplikasi tersebut ke tiga keluarga VPN utama, beberapa dengan koneksi ke Rusia dan Tiongkok. Peneliti menggunakan analisis APK Android dan dokumen perusahaan untuk menemukan keterkaitan tersembunyi ini.

• Keluarga A terkait dengan Innovative Connecting, Autumn Breeze, dan Lemon Clove, termasuk Turbo VPN, VPN Proxy Master, dan Snap VPN, yang semuanya berbagi kode dan aset identik.
• Keluarga B, terkait dengan Matrix Mobile, ForeRaya Technology, dan Wildlook Tech, mengoperasikan XY VPN, 3X VPN, dan Melon VPN, yang menggunakan alamat VPN yang sama.
• Keluarga C, terdiri dari Fast Potato dan Free Connected Limited, mengendalikan Fast Potato VPN dan X-VPN.

Selain masalah transparansi, studi juga menemukan kerentanan keamanan serius:

• Beberapa aplikasi menggunakan ulang kredensial login ShadowSocks, alat untuk melewati firewall.
• Lainnya masih memakai algoritme enkripsi usang, yang meningkatkan risiko bagi pengguna.

Ketiga keluarga VPN rentan terhadap serangan on-path. Artinya hacker yang berada di jaringan yang sama, seperti Wi-Fi publik, bisa mencegat lalu lintas data tanpa diketahui pengguna.

Para peneliti menekankan toko aplikasi memiliki keterbatasan dalam memverifikasi siapa pengelola VPN atau bagaimana aplikasi dibangun, karena sistem review mereka lebih fokus pada malware dan pelanggaran privasi. Sebagai solusi, mereka menyarankan penerapan “lencana audit keamanan” untuk VPN, sehingga pengguna bisa lebih percaya pada aplikasi yang mereka pilih.

Proses review Google sendiri belum sepenuhnya transparan. Menurut halaman dukungan Google, developer harus menyediakan kebijakan privasi, mengungkap adanya iklan, memperoleh rating konten, serta menyampaikan praktik privasi dan keamanan aplikasi agar lolos review.

Dalam pernyataan kepada Mashable, juru bicara Google menegaskan perusahaan tetap berkomitmen pada kepatuhan terhadap sanksi dan hukum perdagangan yang berlaku. “Ketika kami menemukan akun yang melanggar hukum atau kebijakan kami, kami mengambil tindakan yang tepat,” tulis pernyataan tersebut. (Mashable/Z-2)