Platform sosial video Mitron baru-baru ini menjadi berita utama ketika aplikasi Android ini dengan cepat memperoleh lebih dari 5 juta instalasi dan 250.000 peringkat bintang 5 hanya dalam 48 hari setelah dirilis di Google Play Store.
Dilaporkan oleh The Hacker News, Mitron yang berarti “Teman” dalam bahasa Hindi, sebenarnya bukan produk ‘Made in India’. Aplikasi viral ini juga berisi kerentanan yang sangat kritis dan belum diperbaiki yang dapat memungkinkan siapa saja untuk meretas akun pengguna apa pun tanpa memerlukan interaksi dari pengguna yang ditargetkan atau kata sandi mereka.
Ketidakamanan bahwa TikTok adalah aplikasi Cina dan diduga telah menyalahgunakan data penggunanya untuk pengawasan, sayangnya, mengubah jutaan orang untuk mendaftar ke aplikasi alternatif yang kurang dipercaya dan tidak aman secara membabi buta.
Masalah keamanan yang ditemukan oleh peneliti kerentanan India, Rahul Kankrale, berada dalam cara aplikasi menerapkan fitur ‘Login dengan Google’, yang meminta izin pengguna untuk mengakses informasi profil mereka melalui akun Google saat mendaftar tetapi, ironisnya, tidak menggunakannya atau membuat token rahasia untuk otentikasi.
Dengan kata lain, seseorang dapat masuk ke profil pengguna Mitron yang ditargetkan hanya dengan mengetahui ID unik penggunanya, yang merupakan informasi publik yang tersedia di sumber halaman, dan tanpa memasukkan kata sandi apa pun — seperti yang ditunjukkan dalam demonstrasi video yang dibagikan Rahul dengan The Hacker News dibawah ini;
Saat meninjau kode aplikasi untuk menemukan kerentanan, Rahul menemukan bahwa Mitron sebenarnya adalah sebuah versi re-package aplikasi TicTic yang dibuat oleh perusahaan pengembang perangkat lunak Pakistan Qboxus yang menjualnya sebagai klon yang siap digunakan untuk layanan seperti TikTok, musical.ly atau Dubsmash.
Singkatnya sangat disarankan untuk Anda tidak menginstal atau menggunakan aplikasi yang tidak terpercaya ini. Jika Anda termasuk di antara 5 juta yang telah membuat profil dengan aplikasi Mitron dan memberikannya akses ke profil Google Anda, segera cabut.
Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Hacker News
