JBNews.id — Dua peneliti keamanan siber akan memaparkan temuan mengejutkan di konferensi Black Hat: lebih dari 70 perangkat GPS, termasuk jam tangan anak-anak, memiliki celah keamanan serius yang memungkinkan peretas memata-matai pengguna secara diam-diam. Temuan ini mengungkap bahwa jutaan perangkat pelacak GPS di seluruh dunia berasal dari hanya tiga rantai pasokan di Shenzhen, China, dan semuanya memiliki kerentanan signifikan.
Paul Stykas dan Felipe Solferini, dua peneliti keamanan, berhasil membuktikan kerentanan tersebut dengan meretas jam tangan pintar murah yang dikenakan seorang reporter WIRED. Mereka mampu melacak lokasi reporter secara real-time, mengambil foto diam-diam dari kamera jam tangan, hingga mendengarkan percakapan melalui mikrofon perangkat—semuanya tanpa meninggalkan jejak apa pun di layar jam tangan.
Rantai Pasokan yang Rentan
Dalam analisis mereka terhadap lebih dari 70 perangkat GPS-enabled, para peneliti menemukan bahwa lebih dari 30 perangkat menggunakan teknologi dan server backend dari YiQingTeng Electronics, yang juga dikenal dengan merek Wonlex atau aplikasi SETracker. Sementara itu, 30 merek lainnya berjalan di platform NewGPS2012, dan sisanya menggunakan platform SinoTrack. Total, puluhan juta perangkat pelacak GPS berasal dari hanya tiga rantai pasokan tersebut.
Yang lebih mengkhawatirkan, model white-label yang digunakan membuat satu kerentanan di satu backend dapat memengaruhi puluhan merek konsumen sekaligus. “Orang tua di Swedia yang membeli jam tangan ‘SafeKid’ dan orang tua di Spanyol yang membeli jam tangan ‘SaveFamily’ sama-sama mengirim data lokasi anak mereka ke backend myaqsh.com yang rentan di Alibaba Cloud di China daratan, tanpa mengetahui hal itu,” tulis para peneliti dalam whitepaper yang dibagikan kepada WIRED.
Jenis Kerentanan yang Ditemukan
Para peneliti menemukan berbagai kerentanan serius di ketiga platform tersebut. Pada platform SETracker milik YiQingTeng, terdapat celah autentikasi yang memungkinkan siapa pun mengirim perintah ke perangkat mana pun. Untuk platform SinoTrack, mereka menemukan akun demo yang bisa digunakan untuk mengirim perintah ke jutaan perangkat, serta kerentanan SQL injection yang memberi akses ke lokasi, kata sandi, dan catatan kendaraan puluhan ribu perangkat.
Sementara itu, platform NewGPS2012 juga memiliki kerentanan SQL injection dan memungkinkan peneliti menjalankan kode mereka sendiri di server perusahaan. Mereka bahkan menemukan bukti kompromi sebelumnya pada sistem perusahaan, yang mengindikasikan peretas lain mungkin telah memiliki akses tidak sah dalam periode yang tidak diketahui.
Dampak dari kerentanan ini sangat luas: anak-anak yang memakai jam tangan GPS bisa dilacak oleh peretas, lokasi mereka bisa dinonaktifkan atau dipalsukan, pesan teks dan audio bisa disadap, kontak darurat bisa diganti dengan nomor peretas, hingga perekaman audio dan pengambilan foto/video secara diam-diam. Untuk aksesori mobil, peneliti menemukan potensi untuk melacak lokasi atau memalsukan pesan yang bisa membuka kunci atau menonaktifkan kendaraan.
Peringatan yang Terus Berulang
Ini bukan pertama kalinya masalah ini diungkap. Stykas bersama peneliti Michael Gruhn telah mengungkap kerentanan luas pada perangkat GPS pada 2018 dalam penelitian yang disebut Trackmageddon. Sebelumnya, Pen Test Partners dan pemerintah Norwegia juga mengeluarkan peringatan tentang jam tangan anak yang dapat diretas pada 2017 dan 2018. Studi lain oleh Münster University of Applied Sciences pada 2020 menguji enam jam tangan pintar anak-anak dan menemukan kerentanan serius di lima di antaranya.
“Sungguh gila. Semuanya pada dasarnya rusak,” kata Sebastian Schinzel, salah satu peneliti Münster, kepada WIRED saat itu. Namun, peringatan berulang ini tampaknya tidak diindahkan oleh para produsen.
Respons Perusahaan
Para peneliti mengaku telah memperingatkan perusahaan di balik ketiga platform GPS tersebut selama berbulan-bulan. Ketika WIRED menghubungi perwakilan SETracker, awalnya mereka mengklaim “masalah yang Anda sebutkan telah diselesaikan sejak lama” dan menambahkan bahwa mereka “sangat mementingkan keamanan Setracker dan terus memperkuat keamanannya secara berkelanjutan.” Namun, ketika WIRED menunjukkan bahwa peneliti berhasil meretas jam tangan yang menggunakan SETracker pada minggu yang sama, mereka mengulangi klaim bahwa masalah telah diperbaiki.
Menariknya, hanya beberapa jam sebelum presentasi di Black Hat, para peneliti menemukan bahwa teknik peretasan mereka terhadap platform SETracker berhenti berfungsi—meskipun mereka belum yakin apakah semua celah telah diperbaiki sepenuhnya. Sementara itu, SinoTrack dan platform NewGPS2012 tidak menanggapi permintaan komentar WIRED, dan teknik peretasan terhadap sistem mereka masih berfungsi.
“Jutaan anak terpapar dan rentan terhadap eksploitasi. Ini benar-benar bencana. Ini buah jatuh yang sangat mudah dipetik bagi banyak aktor jahat,” kata Stykas. “Pikiran kriminal Anda adalah satu-satunya batasan dalam mengeksploitasi perangkat-perangkat ini.”
Stykas mengungkapkan kekecewaannya karena banyak perusahaan mengabaikan peringatan tentang bug yang dapat diretas di perangkat mereka. “Saya benar-benar berharap kami bisa menyampaikan cerita yang bagus bahwa ada kerentanan dan mereka memperbaikinya. Namun dalam banyak kasus, mereka tidak melakukannya,” ujarnya. “Ini posisi yang sebenarnya tidak ingin saya alami.”
Para peneliti sengaja tidak mengungkapkan detail lengkap kerentanan yang ditemukan, sebagian karena tidak semuanya telah diperbaiki meskipun temuan telah dibagikan kepada perusahaan selama berbulan-bulan. Bagi konsumen, temuan ini menjadi pengingat penting bahwa perangkat GPS murah—baik untuk anak-anak maupun kendaraan—membawa risiko keamanan yang serius dan sulit dideteksi. Kisah serupa tentang kerentanan keamanan pada sistem yang tampaknya tidak terkait juga pernah terjadi, seperti yang diungkap dalam temuan celah keamanan oleh seorang bocah sekolah dasar.
