Polisi meminta warga untuk berhati-hati dengan ponsel atau ponsel China yang menggunakan chip Mediatek. Pasalnya, terkena ‘pembayaran palsu’.
Direktorat Tindak Pidana Siber (Dittipidsiber) Bareskrim Polri menyebut laporan Check Point Research (CPR) menunjukkan beberapa smartphone asal China dengan chip Mediatek rentan terhadap penipuan transaksi pembayaran.
Kerentanan memungkinkan alat untuk dieksploitasi untuk menonaktifkan mekanisme pembayaran seluler. Bahkan, dimungkinkan untuk memalsukan transaksi melalui aplikasi Android yang diunduh oleh perangkat.
“Kerentanan keamanan telah teridentifikasi pada model N9T dan N11,” kata Dittipidsiber Bareskrim Polri melalui akun Instagram @ccicpolri, Sabtu (27/8).
Merujuk laporan tersebut, Dittipidsiber Bareskrim Polri menjelaskan penyebab lemahnya ponsel China adalah kurangnya penguasaan terhadap ponsel versi lama. Ini memungkinkan penyerang atau peretas untuk meluncurkan suatu tindakan.
Penjahat dunia maya dapat mengeksploitasi kerentanan ini melalui aplikasi mereka. Dengan cara ini, mereka dapat membocorkan kunci yang disimpan atau mengeksekusi kode arbitrer dalam konteks aplikasi.
“Dalam hal ini perusahaan ponsel China mengklaim masalah downgrade ini sedang diperbaiki,” ujar Dittipidsiber Bareskrim Polri.
Katadata.co.id browsing langsung ke halaman Research.Checkpoint yang memuat laporan tersebut. Disebutkan bahwa perusahaan yang dimaksud adalah Xiaomi. Peneliti CPR mengklaim sebagai yang pertama menyelidiki masalah keamanan pada aplikasi Xiaomi tepercaya.
“Dalam penelitian kami, kami berfokus pada aplikasi tepercaya dari perangkat yang didukung MediaTek. Perangkat yang diuji adalah Xiaomi Redmi Note 9T 5G dengan OS MIUI Global 12.5.6.0,” ujarnya seperti dikutip dalam laporan, dua pekan lalu (12/8).
Mereka menemukan bahwa peretas dapat mengirim aplikasi versi lama ke ponsel China dan menggunakannya untuk menimpa file aplikasi baru. Oleh karena itu, mereka dapat melewati perbaikan keamanan yang dibuat oleh Xiaomi atau Mediatek.
“Kami menemukan beberapa kerentanan dalam aplikasi tepercaya thhadmin, yang bertanggung jawab atas manajemen keamanan yang dapat dieksploitasi,” demikian dikutip.
Eksploitasi yang dimaksud adalah dapat membocorkan kunci yang disimpan atau mengeksekusi kode dalam konteks aplikasi. Kemudian, dapat dikatakan melakukan pembayaran palsu yang berbahaya.
Ponsel Xiaomi memiliki kerangka pembayaran seluler tersemat yang disebut Tencent Soter yang menyediakan API untuk aplikasi Android pihak ketiga. Ini untuk mengintegrasikan kemampuan pembayaran.
Fungsi utamanya adalah menyediakan kemampuan untuk memverifikasi paket pembayaran yang ditransfer antara aplikasi seluler dan server back-end jarak jauh. Pada dasarnya berfungsi sebagai pengaman dan keamanan dalam bertransaksi.
Menurut Tencent, ratusan juta perangkat Android mendukung Tencent’s Soter.
“Kerentanan yang kami temukan, bernama Xiaomi CVE-2020-14125, sepenuhnya memengaruhi platform soter Tencent. Ini memungkinkan pengguna yang tidak sah untuk menandatangani rencana pembayaran palsu,” katanya.
Peneliti CPR melaporkan bahwa Xiaomi telah memperbaiki beberapa bug yang teridentifikasi.