Kedua aplikasi tersebut, yang dipublikasikan di platform Google Play Store oleh pengembang yang sama, ditemukan menyimpan data dalam bucket penyimpanan awan atau cloud storage tanpa autentikasi memadai, membuatnya dapat diakses oleh pihak yang mengetahui alamat direktori tersebut.
Akibatnya, data pengguna yang semestinya terlindungi dapat diunduh tanpa persetujuan, menimbulkan risiko pelanggaran privasi besar-besaran. Aplikasi pertama yang teridentifikasi adalah Video AI Art Generator & Maker, alat yang populer digunakan untuk mengubah foto dan video menjadi karya seni AI.
Menurut temuan, bagian penyimpanan Google Cloud yang tidak terlindungi tersebut berisi lebih dari 1,5 juta foto asli pengguna, lebih dari 385.000 video pribadi, serta jutaan file media hasil proses AI. Total data yang terekspos diperkirakan mencapai lebih dari 12TB sejak aplikasi ini dirilis pada Juni 2023.
Selain itu, peneliti turut menemukan bahwa aplikasi lain bernama IDMerit juga membuka akses terhadap data Know Your Customer (KYC) dan informasi identitas pribadi bagi pengguna di lebih dari 25 negara, terutama Amerika Serikat.
Informasi yang terekspos termasuk nama lengkap, alamat, tanggal lahir, nomor identitas, dan data kontak, data yang umum diminta dalam proses verifikasi identitas oleh layanan digital. Kedua aplikasi tersebut didistribusikan melalui Google Play Store oleh pengembang yang sama.
Namun setelah insiden terungkap, tim peneliti berhasil menghubungi pengembangnya dan konfigurasi penyimpanan yang bermasalah telah diperbaiki. Meski demikian, kejadian ini menjadi pengingat bahwa banyak aplikasi AI masih memiliki celah keamanan serius yang bisa dimanfaatkan oleh pihak tidak bertanggung jawab untuk mengakses data sensitif.
Pakar keamanan digital menyatakan bahwa fenomena ini mencerminkan risiko luas di ekosistem aplikasi Android, khususnya aplikasi yang memanfaatkan teknologi AI namun tidak menerapkan konfigurasi perlindungan data tepat.
Banyak aplikasi serupa yang juga menanamkan rahasia yang dikodekan secara permanen atau hardcoded secrets seperti kunci API langsung di dalam kode, berpotensi membuka jalur akses tidak sah ke layanan cloud.
Pengguna Android diimbau untuk lebih berhati-hati dalam memilih aplikasi AI yang diunduh, terutama yang meminta izin akses data sensitif atau menyimpan hasil unggahan di server pihak ketiga. Pengguna juga disarankan untuk memeriksa ulasan dan reputasi pengembang sebelum memberikan data pribadi pada aplikasi semacam ini.
Cek Berita dan Artikel yang lain di
Google News
