Audit Google Play: 14 Aplikasi VPN 10 Juta Unduhan Punya Situs Palsu

Telset.id – Audit terbaru terhadap aplikasi VPN Android di Google Play Store mengungkap temuan mengejutkan: 14 aplikasi VPN dengan masing-masing lebih dari 10 juta unduhan ternyata memiliki tautan situs web yang tidak ada, rusak, atau palsu. Temuan ini menunjukkan bahwa metrik unduhan tinggi tidak menjamin kualitas, keamanan, atau kepatuhan aplikasi terhadap aturan toko aplikasi.

Audit yang dilakukan terhadap ratusan aplikasi VPN di Google Play menemukan bahwa sistem pemeriksaan otomatis Google Play memungkinkan aplikasi dengan jutaan unduhan dan jaringan aplikasi komersial untuk menghindari persyaratan situs web pengembang. Alih-alih portal dukungan yang nyata, para pengembang ini menggunakan placeholder domain kosong, halaman error, dan file teks monetisasi iklan untuk mengakali sistem.

## Infrastruktur Rusak pada Aplikasi dengan 10 Juta+ Unduhan

Saat pengguna membayar untuk layanan VPN premium, mereka mendapatkan infrastruktur korporasi khusus, saluran dukungan 24/7, dan dokumentasi hukum yang transparan. Namun di Google Play, beberapa aplikasi dengan peringkat teratas yang diaudit justru beroperasi seperti kota hantu.

Audit mengidentifikasi 14 aplikasi VPN Android terpisah dengan masing-masing lebih dari 10 juta unduhan yang memelihara tautan situs web yang tidak ada, rusak, atau palsu. Sebagai contoh, USA VPN – Get USA IP dan VPN Indonesia – Indonesian IP mengarahkan pengguna ke tap2free.net, yang merupakan halaman kosong total.

Aplikasi lain dengan volume tinggi mengarahkan ke kesalahan server aktif. AnonyTun mengarahkan pengguna ke error HTTP ‘403 forbidden’. Tautan untuk v2RayTun hanya timeout, dan contoh seperti Fast VPN mengarah ke pesan “Invalid URL”.

Bahkan ketika situs web berhasil dimuat, sering kali situs tersebut kosong dari informasi. VPN 365 adalah salah satu dari beberapa contoh yang menampilkan banner sambutan satu baris generik seperti “Welcome to facefaster.com!” tanpa konten lain. MTM Tunnel Lite menautkan ke halaman Blogspot gratis kosong yang berisi satu postingan dengan tulisan “there’s nothing here.”

Yang paling memalukan adalah Armada VPN, yang menunjuk ke halaman putih kosong yang salah mengeja nama produk aplikasi itu sendiri sebagai “Aramda VPN”. Beberapa listing utama lainnya juga ditemukan menghilangkan URL situs web sepenuhnya dari halaman toko resmi mereka.

## Risiko Pembajakan yang Lebih Besar

Tautan yang hilang dan rusak ini mengindikasikan aset web yang ditinggalkan atau tidak terpelihara sama sekali, meningkatkan risiko degradasi layanan yang tenang atau pembajakan domain di masa depan. Yang lebih penting, hal ini membuat jutaan pengguna aktif tanpa saluran yang jelas atau mudah untuk mencari dukungan teknis, melaporkan kerentanan keamanan yang serius, atau secara hukum meminta penghapusan akun dan data.

Kondisi ini juga mencegah pengguna untuk memverifikasi detail pendaftaran perusahaan atau membaca syarat layanan yang mengikat di luar klien aplikasi.

## Masalah Cincin Pengembang Multi-Aplikasi

Tautan rusak pada aplikasi individu sudah cukup buruk, tetapi audit juga mengungkap “cincin pengembang” besar-besaran—entitas tunggal yang membuat puluhan aplikasi klon untuk membanjiri hasil pencarian dan mengelabui sistem otomatis Google.

Salah satu cara paling umum jaringan pengembang ini mengakali aturan adalah melalui eksploitasi “app-ads.txt”. App-ads.txt adalah format standar yang digunakan situs web untuk mengelola iklan Google mereka, dan banyak situs menyediakan file ini secara gratis. Pengembang hanya perlu menempelkan tautan file monetisasi mentah ini ke dalam formulir pengajuan toko aplikasi mereka untuk memenuhi persyaratan situs web Google tanpa harus membangun situs sungguhan.

Eksploitasi ini terjadi dalam skala industri. Akun pengembang Karastm mengoperasikan 39 aplikasi VPN, dan 35 di antaranya menautkan kembali ke Google Play melalui file teks iklan generik. Pengembang lain, helalik, mengoperasikan 19 aplikasi VPN, termasuk tujuh dengan lebih dari 1 juta unduhan, yang semuanya menunjuk ke satu file adzonemax.site. Eksploitasi file iklan serupa ditemukan di beberapa jaringan lain dengan ukuran serupa.

Ketika cincin pengembang tidak menggunakan file iklan, mereka menggunakan blog dummy. Pengembang BanglaTach mengoperasikan 26 aplikasi VPN (termasuk dua dengan lebih dari 1 juta unduhan) yang semuanya menunjuk ke naruto24.com, template WordPress dummy generik yang tidak berisi informasi tentang layanan VPN. Jaringan seperti BD IT POINT (8 aplikasi) menunjuk listing toko mereka ke feed blog kosong, akun yang dihapus, atau domain placeholder.

## Dampak pada Pengguna

Jaringan multi-aplikasi ini menciptakan ilusi variasi perangkat lunak yang berbahaya. Mereka mengelabui pengguna agar percaya bahwa mereka memilih di antara penyedia privasi yang berbeda dan bersaing, padahal sebenarnya mereka mengunduh aplikasi klon dengan tampilan ulang. Armada aplikasi white-label ini berbagi infrastruktur yang identik, bug yang identik, dan praktik pencatatan data yang identik, sambil berhasil menghindari kewajiban transparansi operasional dan dukungan Google.

## Saran dan Tindakan untuk Konsumen

Karena cara Google Play mengizinkan aplikasi masuk ke tokonya dan kelemahan dalam hal ini, pengguna harus menjadi auditor keamanan mereka sendiri untuk menavigasi toko aplikasi dengan aman.

Mulailah dengan sepenuhnya mengabaikan metrik unduhan. Perlakukan total unduhan tinggi hanya sebagai indikator popularitas distribusi masa lalu, bukan bukti keamanan saat ini, pemeliharaan teknis, atau legitimasi.

Sebelum mengunduh, selalu klik nama pengembang di listing toko aplikasi untuk mengaudit portofolio mereka. Jika Anda melihat mereka mengoperasikan lusinan aplikasi klon identik dengan nama generik, hindari perangkat lunak mereka sepenuhnya.

Terakhir, perhatikan URL yang disediakan. Jangan mengunduh aplikasi jika tautan situs web toko resminya diakhiri dengan ekstensi “/app-ads.txt” atau menunjuk ke domain blogging gratis seperti Blogspot. Pada akhirnya, perusahaan privasi yang sah berinvestasi dan memiliki domain web mereka sendiri.

## Kesimpulan

Data audit menunjukkan bahwa, saat ini, metode verifikasi aplikasi Google Play menawarkan ruang gerak yang cukup bagi aplikasi untuk menggunakan tautan mati, halaman kosong, dan file monetisasi iklan untuk mendaftarkan aplikasi mereka sebagai pengganti pusat informasi yang benar-benar membantu bagi pengguna.

Sampai pemeriksaan pengajuan otomatis diganti dengan verifikasi korporasi yang asli, konsumen harus mengevaluasi audit keamanan independen dan kepemilikan domain korporasi yang jelas daripada mengasumsikan popularitas toko aplikasi mencerminkan keandalan pengembang.

Saat dihubungi mengenai temuan ini, Google merespons dengan pernyataan: “Kami sedang menelusuri hal ini. Ketika mengetahui adanya aplikasi yang melanggar kebijakan kami, kami akan meninjau aplikasi yang bersangkutan dan mengambil tindakan yang tepat.” Semua VPN yang disebutkan dalam artikel juga telah dihubungi untuk memberikan komentar mengenai masalah yang ditemukan. Hingga artikel diterbitkan, belum ada tanggapan yang diterima.