Waspada, Pemendek URL Bisa Undang Malware

Jakarta, CNN Indonesia -- Pemendek Uniform Resource Locator (URL) kerap digunakan saat berbagi tautan blog, jejaring sosial dan layanan pesan. Namun ternyata hal ini bisa menimbulkan risiko keamanan yang serius.

Seorang peneliti, Vitaly Shmatikov dari Cornell Tech bekerja sama dengan Martin Georgiev baru saja meneliti pemendek URL yang digunakan oleh Microsoft OneDrive dan Google Maps selama 18 bulan.

Pilihan Redaksi Pelopor Email Meninggal Dunia Gara-gara 'Typo' Hacker Gagal Curi Rp13 Triliun dari Bank Cegah Malware, Google dan Microsoft Bikin Standar Email Baru Teknologi di Balik Terungkapnya 'Panama Papers'

Hasilnya cukup mengerikan. Mereka menemukan bahwa Microsoft menggunakan layanan Bitly untuk menghasilkan URL pendek yang menghubungkan file yang ada pada akun OneDrive.

Kedua peneliti tersebut juga menemukan adanya struktur yang dapat diprediksi dari URL pendek pada OneDrive.

Hal tersebut memudahkan peretas untuk menemukan URL lengkap dari sebuah file lalu dimanfaatkan untuk menelusuri file lainnya yang dibagikan oleh pengguna yang sama.

Bukan cuma soal menemukan informasi yang sensitif dari file yang berhasil diakses, tetapi juga ada sejumlah file yang bisa diubah walaupun persentasenya terbilang kecil.

Jika sudah begini, bisa saja peretas menyisipkan malware dan virus ke dalam sebuah file yang ada di dalam OneDrive.

Sementara pada URL Google Maps, Shmatikov dan Georgiev mengatakan bahwa mereka mampu memindainya dengan sebuah token lalu terlihatlah lokasi dan tujuan seseorang.

Tak hanya sebatas itu, mereka juga bisa melakukan berbagai hal tanpa diketahui pengguna, seperti mencari arah tempat tinggal pengguna.

Untungnya, setelah diingatkan oleh kedua peneliti ini, Microsoft dan Google langsung berbenah diri.

Google kini sudah menggunakan metode yang berbeda untuk menghasilkan URL pendek sehingga bot lebih sulit untuk memindainya.

Sementara Microsoft memilih untuk menghilangkan opsi memperpendek URL pada akun OneDrive Maret 2015 lalu.

Sebenarnya ada cara yang aman ketimbang menghilangkan opsi tersebut, di antaranya adalah menggunakan in-house resolver (bukan layanan publik seperti Bitly), menerapkan metode seperti CAPTCHA, dan mengembangkan Application Programming Interface (API) yang menyulitkan peretas untuk mengakses file melalui sebuah URL. (tyo)