Berapa ratusan aplikasi iPhone yang diretas?

Lapisan kekebalan Apple terhadap malware terpukul dengan penemuan bahwa ratusan aplikasi iOS memiliki kelemahan keamanan yang serius. Semua aplikasi diberi kode di Tiongkok oleh pengembang yang tanpa sadar menggunakan alat pemrograman yang telah disusupi. Aplikasi-aplikasi tersebut dilaporkan mencakup WeChat, yang memiliki 600 juta pengguna di seluruh dunia; WinZip, aplikasi kompresi file populer; CamCard, pembaca kartu nama; dan aplikasi resmi untuk pelanggan telepon nirkabel Ting.

Beberapa situs web telah memposting daftar aplikasi yang terkena dampak – terutama situs web Apple tidak termasuk di dalamnya, meskipun perusahaan telah menarik aplikasi yang terkena dampak dari App Store. Konsumen harus memperbarui atau menghapus instalasi produk.

Inilah jawaban atas tiga pertanyaan besar.

1. Apa yang dilakukan malware?

Tujuan utama malware ini tampaknya adalah mencuri kata sandi, menurut Palo Alto Networks, sebuah perusahaan keamanan yang merinci masalah ini dalam postingan blog selama beberapa hari terakhir. Misalnya, aplikasi yang terpengaruh mungkin membuka kotak dialog palsu yang meminta kredensial login, termasuk kata sandi iCloud. Ini sama baiknya dengan skema phishing – kotak pop-up muncul dari dalam aplikasi dan tidak dapat dibedakan dari peringatan yang sah. Selain itu, aplikasi membaca dan merekam apa pun di clipboard pengguna. Sayangnya, orang sering kali menyalin dan menempelkan kata sandi dari aplikasi seperti 1Password. Data tersebut tidak bertahan lama di clipboard, namun dapat diambil saat malware sedang berjalan.

Data yang dikumpulkan dari aplikasi dikirim ke server yang dijalankan oleh peretas. Belum ada laporan konsumen kehilangan kendali atas akun yang dilindungi kata sandi. Namun, ceritanya baru saja muncul. Selama akhir pekan, 39 aplikasi diketahui terpengaruh. Pada Senin pagi, jumlahnya dilaporkan telah melampaui ratusan, dan masih terus bertambah.

2. Bagaimana hal itu bisa terjadi?

Pengembang di Tiongkok memasukkan malware ke dalam aplikasi mereka tanpa menyadarinya.

Aplikasi Apple iOS dibangun dalam lingkungan pemrograman yang disebut Xcode, berdasarkan bahasa Objective-C. Gratis. Namun, jika Anda berada di Tiongkok, sepertinya memerlukan waktu lama untuk mendapatkan paket Xcode dari server Apple—versi 7.0 diunduh sebesar 3,59 GB. Untuk mempercepat, Palo Alto melaporkan, pengembang sering kali mengambil perangkat lunak dari sumber pihak ketiga. Dalam kasus ini, mereka mengunduh paket Xcode palsu, yang dijuluki XcodeGhost oleh para peneliti di raksasa teknologi Tiongkok, Alibaba. File palsu tersebut muncul di sejumlah situs China sekitar enam bulan lalu.

Identitas para peretas belum diketahui. Dan meskipun tidak ada bukti bahwa XcodeGhost atau paket perangkat lunak serupa telah diposting di situs pengembang di luar Tiongkok, negara tersebut tentu saja bukan satu-satunya negara dengan kecepatan unduh yang lambat.

3. Apakah produk Apple aman?

Semacam itu. Sistem apa pun dapat diretas, sama seperti kunci pintu mana pun yang dapat dibobol. Sebelumnya, hanya segelintir aplikasi iOS di antara lebih dari 1,5 juta aplikasi di App Store yang diketahui mengandung malware. Namun, seiring dengan semakin meluasnya produk Apple, serangan terhadap sistem operasi seluler dan desktop perusahaan pasti akan meluas.

Musim gugur yang lalu, kelemahan dalam sistem kata sandi iCloud Apple memungkinkan peretas mengakses foto telanjang selebriti menggunakan serangan brute force. Dan minggu lalu, tersiar kabar tentang kerentanan pada AirDrop Apple, sebuah fitur yang memungkinkan orang mengirim file langsung dari satu perangkat Apple ke perangkat lainnya. (Perbaikan dirilis minggu lalu dengan iOS 9.) Artinya, pelanggan Apple tidak boleh berasumsi bahwa ancaman keamanan hanya memengaruhi pengguna Android dan Windows. Malware adalah untuk semua orang.

Singapore Prize