Iklan Online Bisa Tanam Spyware Tanpa Sekali Pun Diklik, 75 Ribu Aplikasi Terpapar

Jakarta, CNN Indonesia -- Sebuah investigasi digital mengungkap cara baru penyebaran perangkat lunak mata-mata yang tidak memerlukan interaksi korban. Citizen Lab, unit investigasi digital Universitas Toronto, menemukan bahwa ekosistem iklan digital dipakai untuk menanam spyware ke perangkat pengguna tanpa perlu klik sama sekali.

Teknik ini diberi nama AdFection, gabungan dari kata advertisement (iklan) dan infection (infeksi). Iklan yang ditampilkan di aplikasi atau browser disebut mengandung kode berbahaya yang otomatis berjalan dan mengeksploitasi celah di perangkat, sehingga spyware bisa terpasang begitu saja.

Dalam laporannya, Citizen Lab menyebut pelaku yang dijuluki DARK CARTOGRAPHER memanfaatkan iklan dari Discover-Tech, agensi iklan berbasis di Israel, serta sejumlah vendor tambahan. Menurut laporan tersebut, aksi pengungkapan identitas pengguna secara massal ini berlangsung setidaknya sejak 2019.

Citizen Lab menilai Discover-Tech merupakan kedok untuk menyalurkan alat spionase skala besar. Platform mereka, Controlium, memungkinkan pelaku mengidentifikasi perangkat dan alamat IP, lalu mengirimkan infeksi spyware secara otomatis saat iklan ditayangkan. Iklan yang disebarkan diketahui memuat spyware Candiru yang berafiliasi dengan mata-mata pemerintah Israel.

Jangkauan penyebaran iklan ini terbilang luas. Iklan Discover-Tech telah muncul di lebih dari 75 ribu aplikasi Android dan iOS serta lebih dari 120 ribu situs web. Beberapa aplikasi yang menayangkannya antara lain Yahoo Mail, Opera Mini, Duolingo, dan Ludo Star, sementara di jajaran situs ada media populer seperti BBC, New York Times, dan IMDb.

Meski demikian, tidak semua pengguna yang melihat iklan tersebut menjadi sasaran. Menurut temuan Citizen Lab, spyware hanya dikirim jika identitas atau alamat IP perangkat cocok dengan target intelijen mereka. Satu-satunya korban yang disebut terinfeksi dalam laporan itu adalah perangkat milik staf dan jaringan internal Al Jazeera, media internasional asal Qatar.

Kasus AdFection pun memicu kekhawatiran baru soal keamanan siber dan privasi di ruang digital. Citizen Lab menilai temuan ini menunjukkan minimnya uji keamanan di industri periklanan, sehingga mendorong kebutuhan regulasi yang lebih ketat untuk melindungi pengguna.

"Risiko keamanan ini menunjukkan bahwa ada kebutuhan mendesak untuk kepentingan publik dalam mereformasi periklanan digital," tulis Citizen Lab dalam laporannya.

Untuk mengurangi risiko, Citizen Lab merekomendasikan sejumlah langkah, mulai dari memakai ekstensi pemblokir iklan terpercaya di browser, memilih browser yang menghargai privasi, hingga mereset ID iklan secara berkala dan mengaktifkan fitur opt-out pada aplikasi.