Sebagai pengguna Android, mengunduh aplikasi dari Google Play Store mungkin dianggap aman. Hal tersebut dapat dimaklumi, tetapi tidak sepenuhnya akurat.

Pemeriksaan keamanan yang ketat membuat Play Store menjadi tempat teraman untuk mendapatkan aplikasi Android, tetapi tidak sepenuhnya aman. Toko aplikasi Google adalah target utama bagi penjahat siber maupun pengembang yang memonetisasi (dan oleh karena itu mengompromikan) data, dan tidak akan pernah 100% bebas risiko.

Oleh karena itu, penting untuk memilih aplikasi dengan cermat: memeriksa aplikasi sebelum mengunduhnya, mengaudit aplikasi yang sudah diunduh, dan mengamankan data perangkat jika terjadi pembobolan.

Cara aplikasi berbahaya melewati Google

Tahun lalu, Google memblokir 1,75 juta aplikasi yang melanggar kebijakan(jendela baru) agar tidak dipublikasikan dan mencekal lebih dari 80.000 akun pengembang. Google Play Protect(jendela baru), yang disematkan di sebagian besar perangkat Android, memblokir 266 juta upaya instalasi yang berisiko.

Namun, kemampuan Google terbatas. Penjahat siber terus menemukan cara untuk melewati pemindaian pra-publikasi dan pra-instalasi Google.

Strategi populer:

  • Mengirimkan aplikasi bersih untuk ditinjau lalu memasukkan aktivitas berbahaya melalui pembaruan jarak jauh.
  • Menyamarkan aplikasi berbahaya sebagai aplikasi utilitas sederhana (dan berfungsi) seperti pemindai dokumen atau pembaca PDF.
  • Menyamarkan aplikasi berbahaya sebagai aplikasi keamanan atau antivirus, penyamaran yang sangat licik dan efektif — jika pengguna khawatir untuk memperbaiki masalah, mereka akan cenderung kurang teliti sebelum menginstal.

2.029 aplikasi(jendela baru) dipublikasikan di Play Store setiap hari, jadi tidak terhindarkan bahwa beberapa aplikasi berbahaya lolos dari pengawasan Google. Tahun lalu, Bitdefender mengungkap kampanye penipuan iklan sandi Vapor(jendela baru) yang melibatkan setidaknya 331 aplikasi berbahaya, beberapa di antaranya mengumpulkan kredensial pengguna dan data kartu kredit.

Aplikasi ini diunduh dari Play Store lebih dari 60 juta kali.

Aplikasi sah masih dapat membahayakan data

Aplikasi berbahaya bukan satu-satunya bahaya yang harus diwaspadai di Play Store. Ada juga aplikasi sah yang diam-diam mengumpulkan dan menyimpan data pribadi serta data pelacakan, lalu membagikannya kepada pihak ketiga, seperti jaringan iklan.

Tahun lalu, NowSecure menguji 25.000 aplikasi(jendela baru) di iOS dan Android serta menemukan bahwa 75% aplikasi iOS dan 70% aplikasi Android yang diuji mengumpulkan data sensitif sekaligus domain pelacakan.

Google mengizinkan aplikasi ini di Play Store karena pengembangnya secara terbuka mengungkapkan data apa yang dikumpulkan dan alasannya di bagian keamanan data pada halaman produk aplikasi.

Google memperketat kebijakannya pada tahun 2025, memblokir 255.000 aplikasi(jendela baru) agar tidak mendapatkan “akses berlebih” ke data sensitif. Hal itu menyisakan ribuan aplikasi tidak diblokir yang mengumpulkan data sesuai dengan ketentuan kebijakan Google, tetapi masih jauh melebihi apa yang diharapkan pengguna.

Ini bukan hanya masalah privasi: ini juga berbahaya. Aplikasi yang sah tetapi haus data secara rutin membagikan data pengguna dengan SDK iklan dan mitra analitik. Pihak ketiga ini kemudian dapat meneruskan data tersebut kepada pialang data yang tidak jujur.

Setiap tautan dalam rantai ini merupakan titik potensi pembobolan. Jika data dikompromikan, hal tersebut mungkin baru diketahui setelah terlambat.

Hal yang perlu diwaspadai: daftar periksa lima poin

Tidak ada daftar hitam resmi dan terbaru tentang aplikasi yang dilarang (dan yang seharusnya dilarang) yang dapat dijadikan acuan.

Namun, ada beberapa hal yang dapat diperhatikan untuk mengidentifikasi aplikasi yang berisiko:

  1. Periksa bagian keamanan data: Apakah pengembang telah menjelaskan data apa yang mereka kumpulkan dan bagaimana mereka akan menggunakannya? Bagian keamanan data yang kosong tentu saja merupakan peringatan besar, begitu juga kebijakan yang tidak sesuai dengan fungsionalitas aplikasi. Aplikasi senter tidak seharusnya membutuhkan akses ke kontak.
  2. Baca izin saat menginstal: Setelah menginstal aplikasi, aplikasi tersebut sering kali akan meminta akses ke lokasi, kontak, penyimpanan, lokasi, dan/atau mikrofon. Terkadang hal itu masuk akal, tetapi di lain waktu mungkin tampak berlebihan. Sekali lagi, apakah aplikasi wallpaper perlu mengetahui lokasi?
  3. Periksa nama dan riwayat pengembang: Apakah pengembangnya merupakan perusahaan bernama dengan aplikasi lain yang dipublikasikan dan memiliki kehadiran web? Ataukah itu akun perorangan yang hanya memiliki satu aplikasi ini atas nama mereka, dan tanpa jejak untuk menambahkan konteks? 
  4. Periksa apakah ulasan tersebut asli: Ulasan palsu cenderung muncul dalam pola yang jelas. Kumpulan ulasan bintang lima yang diposting dalam waktu singkat adalah taktik manipulasi yang umum. Periksa ulasan kritis yang diselingi dengan ulasan positif, dan rentang tanggal yang luas.
  5. Waspadai aplikasi utilitas gratis: Penyamaran paling umum untuk aplikasi berbahaya dan aplikasi pengumpul data adalah aplikasi senter dan baterai gratis, aplikasi keyboard, editor foto gratis, aplikasi cuaca dengan akses lokasi, dan game yang didukung iklan. Jika suatu aplikasi gratis dan tidak terlihat bagaimana fungsinya dapat menghasilkan uang bagi pengembangnya, maka jawabannya mungkin adalah data pengguna menjadi model pendapatan mereka.

Cara melindungi data

Meskipun telah melakukan uji tuntas, aplikasi berbahaya mungkin masih terunduh dari Play Store. Namun dengan perlindungan yang tepat, kerusakan yang dapat ditimbulkan oleh aplikasi tersebut dapat dibatasi.

Enkripsi koneksi dengan Proton VPN

Aplikasi berbahaya sering kali mencoba mengirimkan data (termasuk riwayat penelusuran, lokasi, dan pengenal perangkat) melalui koneksi yang tidak terenkripsi.

Memperkenalkan Proton VPN: VPN aman(jendela baru) yang

  • Mengenkripsi semua data ke dan dari ponsel pada tingkat jaringan, membuat transmisi dan penyadapan riwayat penelusuran, lokasi, serta pengenal perangkat menjadi jauh lebih sulit
  • Mencegah pengawasan tingkat jaringan pada WiFi publik (vektor serangan umum(jendela baru) untuk aplikasi yang dikompromikan) 
  • Memblokir transmisi data yang diandalkan oleh SDK analitik (melalui pemblokir pelacak bawaan NetShield(jendela baru)), membatasi data yang dapat dibagikan oleh pengembang kepada pihak ketiga

Lindungi kredensial dengan Proton Pass

Aplikasi berbahaya menggunakan keylogger tak terlihat dan hamparan phishing untuk mencuri kredensial masuk. Hal ini dapat sangat merugikan jika — seperti kebanyakan orang — menggunakan kembali kata sandi yang sama di beberapa akun.

Proton Pass adalah pengelola kata sandi aman yang mengatasi kedua masalah tersebut:

  • Menghasilkan kata sandi unik untuk setiap akun yang dibuat, sehingga jika salah satu dibobol, tidak semuanya ikut dibobol
  • Melindungi kata sandi, kunci sandi, dan kartu kredit dengan enkripsi end-to-end berteknologi zero-knowledge. Artinya, kredensial dienkripsi di perangkat sebelum dikirim, dan bahkan Proton pun tidak dapat mengaksesnya.

Ketahui cara menghapus malware

Jika khawatir perangkat mungkin telah dikompromikan, atau ingin mengetahui apa yang harus diperhatikan jika hal itu terjadi, pastikan untuk mengenali tanda-tanda ponsel telah diretas.