Sebuah laporan keamanan siber memperingatkan bahwa sejumlah aplikasi Android populer diduga secara tidak sengaja mengekspos kunci akses (API key) Google Gemini. Kondisi ini dinilai dapat membuka peluang eksploitasi tanpa izin, yang berpotensi tidak disadari oleh pengguna biasa.
Menurut laporan perusahaan keamanan siber CloudSEK, masalah berpusat pada kunci API yang dipakai aplikasi untuk terhubung ke layanan Google. Kunci ini berfungsi layaknya “kunci” yang memungkinkan aplikasi berkomunikasi dengan sistem kecerdasan buatan (AI) milik perusahaan.
CloudSEK menyebut terdapat 22 aplikasi Android yang berpotensi mengalami persoalan tersebut, dengan total lebih dari 500 juta instalasi. Temuan ini menunjukkan dampaknya tidak terbatas pada segelintir aplikasi, melainkan berpotensi menyentuh ratusan juta pengguna.
Laporan itu menjelaskan, sebelumnya kunci-kunci API semacam ini kerap dipandang sebagai komponen teknis yang lazim. Banyak pengembang mengintegrasikannya tanpa kekhawatiran besar, karena kunci tersebut pada awalnya tidak dipahami sebagai akses yang bisa disalahgunakan untuk memperluas penggunaan layanan secara merugikan.
Namun, situasi berubah ketika Google Gemini terintegrasi ke dalam ekosistem Google Cloud. Dalam konteks ini, kunci akses yang lama dinilai menjadi lebih sensitif: tidak lagi sekadar pengenal teknis, tetapi berpotensi menjadi pintu masuk untuk mengakses layanan AI berbayar.
CloudSEK menyoroti bahwa perubahan tersebut terjadi secara “diam-diam”, sehingga sebagian pengembang mungkin tidak menyadari kunci yang sebelumnya dianggap aman dapat dieksploitasi dengan cara yang berbeda. Analogi yang digunakan dalam laporan: kunci yang awalnya hanya membuka pintu samping, kini bisa membuka brankas berisi aset bernilai.
Risiko bagi pengguna dan pemilik akun muncul ketika kunci API terungkap dan disalahgunakan. Pelaku jahat dapat mengirim permintaan ke Gemini seolah-olah mereka adalah pengguna resmi. Setiap permintaan dapat menimbulkan biaya bagi pemegang akun atau pemilik sistem, sehingga tagihan bisa meningkat cepat jika eksploitasi berlangsung terus.
Laporan tersebut juga menyinggung contoh kerugian finansial yang diklaim terjadi di dunia nyata. Disebutkan ada individu yang dilaporkan kehilangan lebih dari 15.000 dolar AS dalam semalam akibat eksploitasi akun tanpa izin, serta sebuah bisnis di Jepang yang mengalami kerugian sekitar 128.000 dolar AS. Angka-angka ini dipaparkan sebagai indikasi bahwa risikonya tidak semata teoretis.
Meski pengguna akhir umumnya tidak dapat memeriksa kunci API atau konfigurasi di balik sebuah aplikasi, CloudSEK menilai pengguna tetap dapat mengurangi risiko dengan langkah dasar: memprioritaskan aplikasi tepercaya yang rutin diperbarui, menghindari pemasangan aplikasi dari sumber tidak dikenal, serta memastikan aplikasi yang sudah lama digunakan diperbarui ke versi terbaru karena pembaruan keamanan kerap dirilis tanpa banyak pemberitahuan.
Dari sisi pengembang, laporan ini menjadi pengingat bahwa perubahan infrastruktur dapat memunculkan konsekuensi besar bila tidak dievaluasi ulang. CloudSEK menekankan pentingnya pengelolaan kunci API yang lebih ketat, pembatasan akses yang lebih jelas, serta penerapan mekanisme pemantauan anomali untuk mendeteksi penggunaan tidak sah sejak dini. Seiring AI semakin terintegrasi dalam aplikasi sehari-hari, keamanan dinilai perlu menjadi komponen inti sejak awal, bukan sekadar tambahan.
