Data Penumpang dan Driver Bocor, Grab Kena Denda di Singapura

Suara.com - Pengawas privasi Singapura, Komisi Perlindungan Data Pribadi (PDPC) kembali mendenda aplikasi layanan taksi online GrabCar sebesar 10 ribu dolar Singapura.

GrabHitch - unit bisnis startup Grab dinilai telah melakukan update aplikasi yang membuat data bocor dan mengancam penyalahgunaan data pribadi.

Dalam keterangan resmi yang dirilis 10 September 2020 lalu, PDPC menyebutkan pembaharuan aplikasi itu membuat sejumlah data pengguna dan driver berisiko diakses secara tidak sah.

Hal ini termasuk pelanggaran keempat dari peraturan privasi data dan tergolong penyebab kekhawatiran yang signifikan.

Meski pembaruan aplikasi tersebut hanya berlangsung selama 40 menit karena Grab langsung mengembalikan ke aplikasi versi sebelumnya dan mengambil langkah korektif.

Wakil Komisaris PDPC Yeong Zee Kin mengatakan bisnis perusahaan melibatkan pemrosesan data pribadi dalam jumlah besar setiap harinya.

"Ini menjadi penyebab kekhawatiran yang signifikan," kata dia dalam keterangan resmi, dikutip dari channelnewsasia.com, Kamis (17/9/2020).

Pada 30 Agustus 2019, GrabCar melaporkan kepada PDPC bahwa data profil 5.651 pengemudi GrabHitch terpapar risiko akses tidak sah oleh pengemudi GrabHitch lainnya lewat aplikasi Grab. Setelah ditelisik penyebabnya adalah pembaruan pada aplikasi di hari yang sama.

"Pembaruan ini bertujuan untuk mengatasi potensi kerentanan yang ditemukan dalam aplikasi Grab," kata Yeong.

Baca Juga: Ojek Online Masih Diizinkan Beroperasi di PSBB Jakarta, Grab Bersyukur

Dia menjelaskan URL (uniform resource locator) antar muka pemrograman aplikasi tersebut memungkinkan pengemudi GrabHitch untuk mengakses data mereka.

Melalui itu, pengemudi dapat melihat ID pengguna, sehingga berpotensi untuk dimanipulasi dan digunakan untuk mengakses data pengemudi lain.

Untuk memperbaiki risiko tersebut, perseroan melakukan pembaruan dan menghapus ID pengguna dari URL. Kemudian, ID pengguna tersebut disingkat menjadi "pengguna/profil" dengan kode statik (hard-coded).

Namun, perusahaan layanan taksi online itu gagal memperhitungkan mekanisme cache berbasis URL di aplikasi tersebut.

Mekanisme cache itu terkonfigurasi untuk menyegarkan setiap 10 detik. Mekanisme ini menyajikan konten yang disimpan dalam cache sebagai tanggapan atas permintaan data. Sehingga dapat mengurangi beban akses langsung ke database GrabCar.

Dengan pembaruan tersebut, semua URL di aplikasi Grab diakhiri dengan "pengguna/profil" tanpa "userID". Dengan demikian, hal ini mengarahkan permintaan data ke akun pengemudi GrabHitch yang benar. Mekanisme caching tidak dapat lagi membedakan antara pengemudi.