Jalur Distribusi
ESET menyatakan bahwa saluran distribusi saat ini termasuk situs web palsu, perangkat lunak di toko aplikasi pihak ketiga, dan Google Play.
Untuk menyusup ke Google Play, aplikasi-aplikasi ini diserahkan dengan kebijakan privasi yang sesuai, mengikuti standar Know Your Customer (KYC) yang diperlukan, dan memiliki permintaan izin yang transparan.
Dalam banyak kasus, aplikasi-aplikasi palsu ini menghubungkan ke situs web yang merupakan tiruan dari situs perusahaan yang resmi, bahkan menampilkan foto karyawan dan kantor untuk menciptakan rasa otentisitas yang sebenarnya palsu.
Aplikasi SpyLoan melanggar kebijakan Layanan Keuangan Google dengan memperpendek masa pinjaman pribadi secara sepihak menjadi beberapa hari atau periode lainnya, dan mengancam pengguna dengan celaan jika mereka tidak patuh.
Selain itu, apa yang disebutkan dalam kebijakan privasi adalah menyesatkan, menyajikan alasan-alasan yang tampak sah untuk mendapatkan izin yang berisiko.
Permintaan izin yang diminta oleh aplikasi SpyLoan juga seharusnya tidak diperlukan, seperti akses ke catatan panggilan dan daftar kontak.
ESET menjelaskan bahwa meskipun aplikasi-aplikasi SpyLoan ini secara teknis mematuhi persyaratan memiliki kebijakan privasi, praktik-praktik mereka jelas melampaui cakupan pengumpulan data yang diperlukan untuk menyediakan layanan keuangan dan mematuhi standar perbankan KYC.
"Kami percaya tujuan sebenarnya dari izin-izin ini adalah untuk memata-matai pengguna aplikasi ini dan mengganggu serta memeras mereka dan kontak-kontak mereka," ujar para peneliti dilansir dari Bleeping Computer Kamis (21/3/2024). (Muhammad Diva Farel Ramadhan)
