Pada September 2015, manajer Apple menghadapi dilema: haruskah, atau tidak, memberi tahu 128 juta pengguna iPhone tentang apa yang masih menjadi kompromi massal terburuk yang pernah tercatat? Pada akhirnya, semua bukti menunjukkan, mereka memilih diam.
Peretasan massal pertama kali terungkap ketika para peneliti menemukan 40 aplikasi App Store yang berbahaya, jumlah yang menjamur menjadi 4.000 karena lebih banyak peneliti yang mencari-cari. Aplikasi berisi kode yang menjadikan iPhone dan iPad sebagai bagian dari botnet yang mencuri informasi pengguna yang berpotensi sensitif.
Sebuah email yang masuk ke pengadilan minggu ini dalam gugatan Epic Games terhadap Apple menunjukkan bahwa, pada sore hari tanggal 21 September 2015, manajer Apple telah menemukan 2.500 aplikasi berbahaya yang telah diunduh sebanyak 203 juta kali oleh 128 juta pengguna, 18 juta di antaranya berada di AS.
“Joz, Tom, dan Christine — karena banyaknya pelanggan yang berpotensi terpengaruh, apakah kita ingin mengirim email ke mereka semua?” VP App Store Matthew Fischer menulis, merujuk pada Wakil Presiden Senior Pemasaran Dunia Apple Greg Joswiak dan orang-orang Humas Apple Tom Neumayr dan Christine Monaghan.
Sekitar 10 jam kemudian, Bagwell membahas logistik untuk memberi tahu semua 128 juta pengguna yang terpengaruh, melokalkan pemberitahuan ke setiap bahasa pengguna, dan “secara akurat memasukkan nama aplikasi untuk setiap pelanggan”.
Sayangnya, Apple tidak pernah menindaklanjuti rencananya. Perwakilan Apple tidak dapat menunjukkan bukti bahwa email semacam itu pernah dikirim. Pernyataan yang dikirim perwakilan tersebut mencatat bahwa Apple hanya menerbitkan postingan yang sekarang sudah dihapus ini.
Infeksi ini disebabkan oleh pengembang sah yang menulis aplikasi menggunakan salinan Xcode palsu, alat pengembangan aplikasi iOS dan OS X Apple. Alat yang dikemas ulang yang dijuluki XcodeGhost secara diam-diam memasukkan kode berbahaya di samping fungsi aplikasi normal.
Dari sana, aplikasi menyebabkan iPhone melaporkan ke server perintah dan kontrol dan memberikan berbagai informasi perangkat, termasuk nama aplikasi yang terinfeksi, pengenal app-bundle, informasi jaringan, detail “identifierForVendor” perangkat, dan nama, jenis, dan pengenal unik perangkat.
Selengkapnya: Ars Technica
