400 Aplikasi Berbahaya Manyusup di HP, Korbannya Sudah Banyak
Jakarta, CNBC Indonesia - Sebuah skandal keamanan siber baru menguncang industri teknologi global. Hasil investigasi independen mengungkap keberadaan lebih dari 400 aplikasi terhubung dan domain web yang berkamuflase sebagai layanan kecerdasan buatan (artificial intelligence/AI) ramah pengguna, mulai dari pengolah foto hewan peliharaan, aplikasi kursus bahasa, hingga panduan kebugaran (fitness).
Namun, di balik antarmuka yang tampak tidak berbahaya tersebut, aplikasi-aplikasi ini diam-diam menyusupkan fitur manipulasi media (deepfake) untuk menghasilkan konten pornografi dan video eksplisit tanpa persetujuan (nonconsensual sexual imagery) menggunakan foto orang asli.
Temuan ini memperkuat riset sebelumnya yang menunjukkan bahwa aplikasi pembuat citra seksual liar masih berhasil menembus benteng peninjauan App Store milik Apple dan Google Play Store.
Modus Menyembunyikan Fitur Terlarang
Berdasarkan laporan investigasi WIRED, jaringan peretas ini menggunakan metode manipulasi server jarak jauh (remote server) untuk mengelak dari pemantauan sistem penguji aplikasi.
Saat aplikasi dipasang (install) di ponsel pengguna, sistem secara otomatis menghubungi server eksternal dan memancarkan data sensitif pengguna, seperti bahasa perangkat, sumber rujukan iklan (referral), hingga kode identifikasi unik (unique identifier).
Server eksternal tersebut kemudian menentukan apakah aplikasi akan menampilkan fitur legal yang diiklankan, atau secara otomatis mengalihkan pengguna ke situs pembuat deepfake eksplisit.
Pengguna yang mengunduh aplikasi secara normal di toko aplikasi hanya akan melihat fitur standar. Sebaliknya, pengguna yang masuk setelah mengklik iklan khusus di Facebook atau Instagram akan disalurkan langsung ke alat pembuat konten pornografi terselubung tersebut.
Salah satu contoh kasusnya adalah aplikasi bernama Viefur. Di atas kertas, aplikasi ini diiklankan sebagai generator foto hewan peliharaan berbasis AI. Namun di balik layar, peneliti menemukan akses tersembunyi ke platform pembuat rekayasa foto dan video eksplisit yang bermuatan kekerasan.
Peneliti juga menemukan bundel JavaScript yang terhubung ke ratusan domain terenkripsi serta pelacak iklan. Infrastruktur bersama ini mengindikasikan adanya sindikat operasi siber yang terorganisasi, bukan sekadar aksi individu pengembang.
Hingga September 2026, peneliti mengidentifikasi sedikitnya 27 aplikasi terkait di Google Play Store yang telah mengantongi lebih dari 350.000 pengunduhan (downloads). Mayoritas dari aplikasi tersebut bahkan meloloskan klasifikasi rating usia untuk semua umur.
Jejak teknis infrastruktur hosting dan kode aplikasi juga terhubung ke pengembang berbahasa Mandarin serta sebuah entitas cangkang yang terdaftar di Hong Kong, yakni KeLing Technology Limited.
Tanggapan Apple dan Celah Peninjauan Aplikasi
Merespons laporan tersebut, Apple langsung mengambil tindakan tegas dengan menghapus 19 aplikasi terafiliasi dari App Store, termasuk Viefur. Juru Bicara Apple, Adam Dema, mengklaim bahwa aplikasi-aplikasi tersebut pada awalnya mematuhi seluruh regulasi peninjauan standar App Store.
Namun, pengembang memanfaatkan celah teknis dengan mengubah konten pada server eksternal setelah aplikasi berhasil dipublikasikan.
"Para pengembang secara sepihak mengubah situs web yang memasok konten mereka, mengganti materi yang telah disetujui dengan konten pornografi," jelas Dema, dikutip dari WIRED, Selasa (3/11/2026).Â
Kasus ini menyingkap kelemahan krusial dalam mekanisme evaluasi aplikasi digital. Pengembang dapat dengan mudah mengubah konten yang disajikan dari server luar tanpa perlu mengajukan versi aplikasi baru (update) untuk diperiksa ulang oleh tim penilai Apple maupun Google.
Sebagai langkah antisipasi, Apple resmi memperbarui Pedoman Komunitas (App Store Guidelines) pada 16 Oktober 2026. Guideline 1.2 kini secara eksplisit melarang penyalahgunaan AI untuk pembuatan konten seksual tanpa izin. Sementara Guideline 2.5.19 memperketat sanksi bagi pengembang yang menyembunyikan fitur aktif pasca-persetujuan (bait-and-switch).
Meski demikian, para pakar keamanan siber menilai pengetatan aturan tersebut belum sepenuhnya mampu menghentikan taktik pengalihan server eksternal, sehingga menjadi tantangan besar bagi raksasa teknologi dalam mendeteksi ancaman kejahatan digital berbasis AI secara real-time.
(fab/fab) [Gambas:Video CNBC]