KEPULAUAN RIAU — Pernahkah Anda berpikir bahwa mengunduh VPN langsung dari App Store atau Google Play sudah menjamin keamanan digital? Hasil audit besar-besaran yang dilakukan TechRadar baru-baru ini membantah asumsi tersebut. Tim peneliti mengevaluasi 3.392 aplikasi VPN Android (dengan lebih dari 1.000 unduhan) dan 1.387 aplikasi VPN iOS (dengan setidaknya satu ulasan), dan hasilnya menunjukkan celah pengawasan yang serius di kedua platform.
Kesenjangan Verifikasi: Android vs iOS
Google Play mencatatkan performa yang jauh lebih buruk dibandingkan App Store di hampir semua metrik transparansi. Hanya 40,8% (1.210) aplikasi Android yang lolos seluruh pemeriksaan validitas utama, sementara iOS mencatat angka 61,4% (851 aplikasi). Salah satu indikator paling mendasar adalah keberadaan situs web pengembang yang valid.
Sebanyak 82,7% (1.147) aplikasi iOS memiliki situs web pengembang yang aktif. Sebaliknya, hanya 52,2% (1.774) aplikasi Android yang bisa menunjukkan hal serupa. Lebih parahnya lagi, 46,9% dari situs web Android yang valid (832) dan 47,5% dari total kebijakan privasi Android (1.612) ternyata hanya mengandalkan domain pihak ketiga gratis seperti Google Sites, GitHub, atau Blogger. Lebih dari 1.200 tautan situs web atau kebijakan privasi pengembang Android mengarah langsung ke halaman Google gratis.
Bahaya di Balik Domain Gratis dan Email Publik
Mengandalkan platform gratis seperti Blogger atau Google Sites menandakan kurangnya infrastruktur korporasi yang serius. "Jika pengembang tidak mau mengeluarkan sedikit uang untuk domain sendiri, bagaimana Anda bisa percaya mereka berinvestasi pada enkripsi AES-256 yang aman atau pemeliharaan server?" tulis tim TechRadar. Lebih buruk lagi, jika akun pihak ketiga tersebut ditangguhkan, dokumentasi dukungan dan kebijakan privasi bisa lenyap seketika.
Masalah juga muncul pada persyaratan kontak pengembang. Google Play mewajibkan pengembang mencantumkan alamat email, namun 65,1% (2.208) aplikasi Android menggunakan layanan domain publik gratis seperti @gmail.com atau @yahoo.com. Sementara itu, iOS tidak mewajibkan pencantuman email sama sekali — hanya 16,2% (225) aplikasi VPN iOS yang menyertakannya. Kebijakan ini memungkinkan operator aplikasi tetap anonim, sehingga pengguna sulit menggunakan hak privasi fundamental seperti permintaan penghapusan data berdasarkan GDPR.
Kebijakan Privasi Palsu: Dari Template Kosong hingga Halaman Tutorial
VPN sejati seperti ExpressVPN dan NordVPN menjalani audit independen rutin untuk memverifikasi klaim tanpa-log (no-logs). Sebaliknya, audit ini menemukan ratusan aplikasi VPN menggunakan teks kebijakan privasi yang tidak bermakna, generik, atau bahkan hasil salinan. Salah satu temuan paling konyol: 13 aplikasi iOS berbagi teks template identik yang masih menyisakan placeholder seperti "contact us at support@example.com" — pengembangnya bahkan tidak membaca dokumen hukum mereka sendiri.
Selain itu, banyak aplikasi mengandalkan "peternak generator kebijakan" otomatis. Audit menemukan 48 aplikasi Android menghosting kebijakan di projeto10.top, 40 aplikasi menggunakan freeprivacypolicy.com, dan 19 aplikasi menggunakan termsfeed.com. Generator otomatis semacam itu kerap menyertakan klausul yang menyatakan mereka tidak menjamin keakuratan dokumen.
Temuan paling absurd adalah Sigma VPN, aplikasi Android dengan lebih dari 100.000 unduhan. Tautan kebijakan privasi yang dicantumkan bukanlah kebijakan sama sekali, melainkan artikel dukungan Wix tentang cara membuat kebijakan privasi. Bahkan ketika kebijakannya unik, banyak yang terlalu pendek — 2,3% kebijakan Android (72) dan 6,6% kebijakan iOS (78) hanya terdiri dari 250 kata atau kurang, tanpa pengungkapan penting tentang pencatatan lalu lintas, berbagi data pihak ketiga, yurisdiksi, atau jendela retensi data.
Panduan Praktis: Cara Memilah VPN Sebelum Mengunduh
Bagaimana cara aman memilih VPN di toko aplikasi? Berikut langkah-langkah yang bisa Anda lakukan sebelum menekan tombol unduh:
Periksa Domain. Pastikan penyedia VPN memiliki domain web khusus yang sesuai dengan nama produk, bukan subdomain gratis di Blogger atau Google Sites. Jika mereka tidak memiliki situs sendiri, jangan percayakan lalu lintas internet Anda.
Audit Kebijakan Privasi. Jangan hanya percaya pada label "Kebijakan Privasi". Buka tautannya dan cari placeholder email generik (seperti support@example.com), footer generator, atau istilah VPN yang terlalu umum. Pastikan kebijakan secara eksplisit menyatakan tidak ada pencatatan koneksi atau aktivitas.
Uji Kontak Pengembang. Kirim email ke alamat yang tercantum untuk memastikan saluran dukungan benar-benar berfungsi dan mekanisme penghapusan akun ada. Jika tidak ada balasan, itu pertanda bahaya.
Respons Platform dan Kesimpulan
Menanggapi temuan ini, Apple menolak berkomentar secara resmi dan hanya merujuk pada pedoman keamanan serta proses tinjauan aplikasi mereka. Sementara itu, juru bicara Google menyatakan, "Kami sedang menyelidiki hal ini. Jika mengetahui adanya aplikasi yang melanggar kebijakan, kami akan meninjau aplikasi tersebut dan mengambil tindakan yang sesuai."
Pelajaran akhir dari audit ini adalah: persetujuan di toko aplikasi hanya mencerminkan kepatuhan terhadap formulir pengajuan dasar, bukan legitimasi operasional atau perlindungan privasi. Selalu lakukan riset mandiri sebelum mempercayakan data pribadi Anda kepada aplikasi VPN seluler mana pun.
