Investigasi independen yang dilaporkan WIRED menemukan lebih dari 400 aplikasi dan domain web yang menyamar sebagai layanan AI biasa. Di permukaan, aplikasi itu menawarkan pengolah foto hewan peliharaan, kursus bahasa, atau panduan kebugaran. Di balik layar, sebagian di antaranya mengarahkan pengguna ke alat pembuat konten seksual eksplisit dan deepfake tanpa persetujuan. Apple sudah menghapus 19 aplikasi terafiliasi dari App Store, tetapi masalahnya tidak berhenti di satu toko aplikasi.
Ringkasan singkat
- Lebih dari 400 aplikasi dan domain menyamar sebagai layanan AI, menurut investigasi yang dilaporkan WIRED.
- Server eksternal menentukan apakah pengguna melihat fitur legal atau dialihkan ke alat deepfake.
- Sedikitnya 27 aplikasi terkait di Google Play tercatat lebih dari 350.000 unduhan hingga September 2026.
- Apple menghapus 19 aplikasi, termasuk Viefur, dan memperbarui pedoman App Store pada 16 Oktober 2026.
Modus yang membuat aplikasi lolos peninjauan
Kunci taktiknya adalah pemisahan antara aplikasi yang diuji dan konten yang ditampilkan kemudian. Saat aplikasi diperiksa Apple atau Google, pengembang menampilkan fitur yang sesuai aturan. Setelah aplikasi disetujui dan dipasang, aplikasi menghubungi server eksternal. Server itu yang memutuskan versi mana yang akan ditampilkan.
Menurut laporan tersebut, aplikasi mengirim data seperti bahasa perangkat, sumber rujukan iklan, dan kode identifikasi unik. Jika pengguna datang dari toko aplikasi secara normal, mereka melihat fitur standar. Jika pengguna masuk setelah mengeklik iklan tertentu di Facebook atau Instagram, server mengarahkan mereka ke alat pembuat konten eksplisit. Pola ini disebut bait-and-switch: yang disetujui berbeda dengan yang berjalan.
Contoh yang disebut adalah Viefur. Aplikasi ini dipasarkan sebagai generator foto hewan peliharaan berbasis AI. Peneliti menemukan akses tersembunyi ke platform pembuat rekayasa foto dan video eksplisit. Peneliti juga menemukan bundel JavaScript yang terhubung ke ratusan domain terenkripsi dan pelacak iklan, indikasi infrastruktur bersama yang dikelola sebagai sindikat, bukan proyek pengembang tunggal.
Skala dan jejak infrastruktur
Hingga September 2026, peneliti mengidentifikasi sedikitnya 27 aplikasi terkait di Google Play Store dengan lebih dari 350.000 unduhan. Sebagian besar aplikasi itu lolos klasifikasi rating usia untuk semua umur. Jejak hosting dan kode aplikasi disebut terhubung ke pengembang berbahasa Mandarin serta entitas cangkang di Hong Kong bernama KeLing Technology Limited.
Angka 400 mencakup aplikasi dan domain web, bukan hanya aplikasi yang tersedia di toko resmi. Ini penting karena ekosistemnya tidak bergantung pada satu kanal distribusi. Aplikasi bisa hilang dari toko, tetapi domain dan server tetap hidup, lalu muncul lagi dengan nama lain.
Apple menyatakan aplikasi yang dihapus awalnya mematuhi pedoman peninjauan. Juru bicara Apple, Adam Dema, mengatakan pengembang “secara sepihak mengubah situs web yang memasok konten mereka, mengganti materi yang telah disetujui dengan konten pornografi.” Artinya, masalahnya bukan hanya penilaian aplikasi, tetapi kemampuan pengembang mengubah konten dari server setelah persetujuan.
Respons Apple dan aturan yang berubah
Apple menghapus 19 aplikasi terafiliasi dan memperbarui pedoman App Store pada 16 Oktober 2026. Guideline 1.2 sekarang secara eksplisit melarang penyalahgunaan AI untuk membuat konten seksual tanpa izin. Guideline 2.5.19 memperketat sanksi bagi pengembang yang menyembunyikan fitur setelah persetujuan.
Namun, aturan saja tidak menyelesaikan masalah teknis. Selama aplikasi boleh mengambil konten dari server yang bisa diubah kapan saja, peninjauan berbasis versi aplikasi selalu ketinggalan. Peneliti keamanan menilai taktik pengalihan server masih sulit dideteksi secara real-time. Kebijakan Google Play juga melarang konten seksual non-konsensual, tetapi penegakannya bergantung pada peninjauan dan laporan pengguna.
Bagi pengguna, ini berarti penilaian aplikasi tidak bisa diserahkan sepenuhnya ke toko aplikasi. Anda perlu memeriksa izin, reputasi pengembang, dan perilaku aplikasi setelah dipasang. Aplikasi yang meminta akses ke galeri, kontak, atau layanan aksesibilitas tanpa alasan jelas adalah tanda bahaya, terutama jika fitur utamanya hanya mengedit foto.
Cara memeriksa aplikasi yang sudah terpasang
Mulai dari daftar aplikasi yang benar-benar Anda pakai. Di Android, buka Settings → Apps → See all apps. Di iPhone, buka Settings → General → iPhone Storage. Hapus aplikasi yang tidak pernah dipakai, terutama yang dipasang setelah mengeklik iklan di media sosial.
Periksa izin. Aplikasi pengolah foto tidak perlu akses ke kontak, mikrofon, lokasi latar belakang, atau SMS. Aplikasi kebugaran tidak perlu akses ke seluruh galeri. Jika izin tidak masuk akal, cabut izinnya atau hapus aplikasi. Di Android, buka Settings → Apps → [nama aplikasi] → Permissions.
Aktifkan Google Play Protect dan jalankan pemindaian. Di iPhone, periksa Settings → Privacy & Security → App Privacy Report untuk melihat aplikasi yang sering mengakses data sensitif. Jika Anda menemukan aplikasi mencurigakan, laporkan ke toko aplikasi dan ganti kata sandi akun yang pernah terhubung.
| Tanda bahaya | Tanda lebih aman |
|---|---|
| Iklan menonjol di Facebook/Instagram, bukan pencarian toko | Pengembang punya situs resmi dan kebijakan privasi jelas |
| Meminta kontak, SMS, atau aksesibilitas untuk fitur foto | Izin sesuai fungsi: kamera untuk kamera, galeri untuk editor |
| Rating semua umur untuk aplikasi yang menyebut “AI dewasa” | Rating usia konsisten dengan konten dan fitur |
| Ulasan generik, tanggal rilis baru, pengembang tanpa jejak | Riwayat pembaruan dan dukungan yang bisa diverifikasi |
| Aplikasi berubah perilaku setelah beberapa hari | Fitur dan tampilan konsisten setelah pembaruan |
Kenapa filter jaringan tidak cukup
Sebagian pengguna mencoba memblokir domain mencurigakan lewat Pi-hole atau DNS filtering. Cara ini bisa membantu jika domain sudah diketahui, tetapi daftar domain berubah cepat dan aplikasi bisa memakai domain yang tampak sah. Filter jaringan juga tidak memeriksa isi aplikasi yang sudah terpasang.
Yang lebih efektif adalah mengurangi permukaan serangan: pasang aplikasi hanya dari sumber yang Anda percaya, batasi izin, dan pisahkan aplikasi berisiko ke profil kerja atau perangkat kedua. Untuk aplikasi yang benar-benar perlu akses galeri, pertimbangkan memakai pemilih foto sistem yang hanya memberi satu gambar, bukan seluruh galeri.
Jika Anda pernah mengirim foto diri ke aplikasi yang tidak dikenal, anggap foto itu bisa disalahgunakan. Laporkan aplikasi ke toko, simpan bukti, dan pertimbangkan melapor ke pihak berwenang jika konten disebarkan tanpa izin. Jangan membayar pemerasan; itu tidak menjamin konten dihapus.
Troubleshooting
Aplikasi sudah dihapus tetapi iklan masih muncul
Iklan bisa berasal dari aplikasi lain atau profil browser. Periksa aplikasi yang punya izin notifikasi, reset pengenal iklan, dan bersihkan cache browser. Di Android, buka Settings → Privacy → Ads lalu hapus ID iklan. Jika iklan muncul di browser, hapus data situs dan periksa ekstensi.
Tidak bisa menemukan aplikasi di daftar toko
Aplikasi bisa sudah dihapus atau diganti nama. Cari nama pengembang dan domain di mesin pencari, bukan hanya nama aplikasi. Periksa riwayat unduhan di Play Store atau App Store. Jika aplikasi masih terpasang, hapus lewat pengaturan perangkat.
Ingin melaporkan aplikasi deepfake
Gunakan tombol laporkan di toko aplikasi, sertakan tangkapan layar dan alasan. Untuk konten seksual tanpa izin, laporkan juga ke platform tempat konten disebarkan dan ke hotline perlindungan anak jika melibatkan anak. Simpan tautan dan waktu temuan sebagai bukti.
Kesimpulan
Kasus 400 aplikasi ini memperlihatkan celah struktural dalam peninjauan toko aplikasi: yang diperiksa adalah versi aplikasi, sedangkan yang berjalan bisa ditentukan server. Apple sudah menghapus 19 aplikasi dan memperbarui aturannya, tetapi pengguna tetap harus memeriksa izin dan asal aplikasi. Jangan biarkan iklan di media sosial menjadi jalur instalasi utama. Periksa HP Anda hari ini, cabut izin yang tidak perlu, dan hapus aplikasi yang tidak lagi dipakai.
Baca juga: Cara Pasang Pi-hole di Ubuntu untuk Blokir Iklan Sejaringan · Cara Mengamankan SSH dengan fail2ban di Ubuntu Server · CrowdSec: Blokir IP Penyerang di Semua Server · Cara Self-Host Vaultwarden: Password Manager Pribadi · Authelia: Satu Login untuk Semua Layanan Self-Hosted
Sumber: CNBC Indonesia — 400 Aplikasi Berbahaya Manyusup di HP · Apple — App Store Review Guidelines · Google Play — Developer Program Policy
-Lengkap-Dengan-Gambar.jpg)
Posts
0 comments:
Post a Comment