Skrip Analitik Pihak Ketiga: Risiko Tersembunyi bagi Ponsel
Kasus skrip analitik Plerdy yang disusupi menunjukkan risiko rantai pasok web. Pahami dampaknya dan langkah praktis pengguna serta pemilik situs.
Apa yang dilaporkan?
Fakta: Pada 6 November 2026, CSIRT Komdigi memuat peringatan mengenai kampanye “Poisoned Source”. Laporan teknis Sekoia menyebut skrip layanan analitik web Plerdy sempat disusupi antara 27 Agustus dan 3 September 2026. Skrip itu digunakan banyak situs; pengunjung perangkat mobile yang belum diperbarui dapat diarahkan ke rantai eksploitasi untuk iOS atau Android.
Fakta: Sekoia mengaitkan kampanye tersebut dengan APT29 dengan tingkat keyakinan moderat hingga tinggi, berdasarkan kesamaan teknis dan pola operasi—bukan kepastian identitas pelaku. Kerentanan yang dipakai sudah memiliki perbaikan (N-day), bukan zero-day. Plerdy menyatakan insiden telah ditangani pada 3 September, kredensial diganti, kata sandi akun pelanggan direset, dan belum ada bukti pengunjung terkompromi melalui insiden ini.
Mengapa skrip analitik penting?
Interpretasi — keyakinan tinggi: Situs dapat tampak normal bagi pengunjung walau komponen JavaScript yang dimuat dari vendor luar mengalami perubahan. Karena banyak situs memakai satu komponen, kompromi di penyedia dapat memperluas jangkauan risiko tanpa mengubah konten halaman yang terlihat. Ini bukan berarti setiap pengguna Plerdy atau setiap situs yang memasang analitik pasti terdampak; cakupan dan kompromi nyata harus ditentukan melalui bukti forensik.
Peristiwa ini relevan bagi semua pengguna internet Indonesia sebagai pengingat bahwa keamanan perangkat dan rantai pasok web saling terkait. Kasus yang dilaporkan berfokus pada situs dan sasaran di luar Indonesia; sumber yang ditinjau tidak menyatakan adanya korban Indonesia.
Langkah aman bagi pengguna ponsel
- Pasang pembaruan sistem dan browser. Aktifkan pembaruan otomatis jika tersedia, lalu periksa pembaruan yang tertunda. Kerentanan lama tetap bisa dimanfaatkan pada perangkat yang tidak mendapat patch.
- Gunakan browser dan aplikasi dari sumber resmi. Hindari memasang APK atau profil konfigurasi dari tautan tak dikenal.
- Jangan mengandalkan tampilan situs. Halaman yang tampak biasa tidak membuktikan seluruh skrip di baliknya aman; pembaruan perangkat tetap lapisan pertahanan penting.
- Jika perangkat lama tak lagi mendapat pembaruan, hindari menggunakannya untuk akun sensitif dan pertimbangkan beralih ke perangkat yang masih didukung.
- Jika ada dugaan konkret kompromi, hubungi dukungan resmi vendor atau tim keamanan organisasi. Jangan mengunduh “pembersih” dari iklan atau pesan.
Checklist bagi pemilik situs dan UMKM
- Inventaris semua skrip pihak ketiga dan pemiliknya; hapus tag yang sudah tidak diperlukan.
- Batasi hak akses akun vendor, gunakan autentikasi multifaktor, dan cabut akses staf yang tidak lagi bertugas.
- Pantau perubahan pada tag/script, sumber jaringan, dan kebijakan keamanan konten; siapkan prosedur menonaktifkan integrasi secara cepat.
- Gunakan kontrol integritas seperti Subresource Integrity bila cocok dengan cara distribusi skrip. Ini tidak selalu praktis untuk skrip yang berubah dinamis, sehingga perlu pengujian agar pembaruan sah tidak memutus layanan.
- Mintalah notifikasi insiden dan panduan respons dari vendor; dokumentasikan versi, waktu perubahan, serta keputusan yang diambil.
Yang belum diketahui
Sumber yang dirujuk belum memastikan jumlah pengunjung yang benar-benar terkompromi, dampak terhadap pengguna di Indonesia, atau adanya hubungan dengan insiden lokal. Pernyataan Plerdy menyebut belum memiliki bukti bahwa pengunjung terkompromi, tetapi ketiadaan bukti publik bukan bukti bahwa semua kemungkinan telah tersingkirkan. Klaim atribusi pelaku juga tetap merupakan penilaian analis.
Kesimpulan — keyakinan tinggi: memperbarui perangkat dan meninjau skrip eksternal adalah langkah pencegahan masuk akal; keyakinan sedang untuk atribusi APT29 karena bersandar pada asesmen Sekoia, bukan penetapan independen final. Pantau advisori vendor/perangkat dan hasil investigasi lanjutan.
Sumber: CSIRT Komdigi — Peringatan APT29 bajak skrip web analytics; Sekoia TDR — Poisoned Source: laporan teknis; Plerdy — Pernyataan insiden keamanan Agustus–September 2026.