Pertama kali diterbitkan di ruang berita TikTok.

Kami menyambut dengan baik peninjauan sah terhadap platform kami dan menyadari bahwa untuk menghadapi ancaman siber generasi berikutnya, kami dituntut untuk terus memperkuat keamanan platform kami dan berkolaborasi dengan para ahli terkemuka dalam industri untuk menguji pertahanan kami. Itulah sebabnya kami bekerja sama dengan pemimpin industri seperti HackerOne dan membuka pintu Pusat Transparansi dan Akuntabilitas global kami bagi masyarakat untuk memahami kode sumber dan cara algoritma aplikasi kami beroperasi.

Pada 13 Februari, tim Malcore di Internet 2.0, yang menggambarkan dirinya sebagai perusahaan keamanan siber gabungan AS dan Australia, menerbitkan analisis industri yang sebenarnya meragukan dan dalam kasus terburuk merupakan analisis yang cacat dan bias. Menurut laporan tersebut, Malcore adalah alat analisis otomatis yang dirancang untuk memindai file dan program, mendeteksi malware, dan menilai risiko. Namun, tim Malcore menyatakan bahwa alat tersebut digunakan untuk melakukan analisis yang tidak meyakinkan dan tanpa tinjauan kode sumber yang mendalam. Hasil analisisnya mengandung sejumlah ketidakakuratan yang seharusnya membuat validitas temuan mereka meragukan.

Sebagai tindak lanjut, kami telah memerintahkan peneliti internal kami untuk melakukan analisis teknis terhadap temuan Malcore, dan berikut adalah hasil yang kami temukan.

Praktik Pengumpulan Data Kami

TikTok tidak mengumpulkan nomor IMEI perangkat pengguna, nomor serial SIM, atau nomor identifikasi kartu sirkuit terintegrasi. Aplikasi TikTok versi terbaru tidak menggunakan alamat MAC. Kami mendorong pengguna untuk mengunduh aplikasi versi terbaru, yang mencakup pembaruan keamanan penting.
TikTok tidak mengumpulkan semua akun di satu perangkat.
Di beberapa wilayah seperti Amerika Serikat, Australia, dan Korea Selatan, aplikasi TikTok versi terbaru tidak mengumpulkan informasi GPS yang tepat atau perkiraan informasi GPS dari pengguna. Di wilayah lain di mana pengguna dapat memberikan izin dan tidak memberikan izin kepada TikTok untuk mengumpulkan informasi lokasi GPS, TikTok mengumpulkan informasi lokasi berdasarkan data GPS perangkat pengguna.
Dalam beberapa kasus, di mana pengguna AS menggunakan aplikasi TikTok versi lama yang memungkinkan pengumpulan informasi GPS yang tepat atau perkiraan informasi GPS (rilis terakhir pada Agustus 2020) dan memberikan izin kepada TikTok untuk melakukannya, kami mungkin mengumpulkan informasi tersebut. Pengguna dapat dengan mudah mencegah perangkat mereka membagikan informasi tersebut dengan TikTok atau mencabut izin yang telah diberikan sebelumnya kapan saja melalui pengaturan perangkat mereka.
Kami menggunakan informasi lokasi untuk membantu meningkatkan pengalaman aplikasi dan untuk tujuan yang dijelaskan dalam Kebijakan Privasi kami, seperti menampilkan video dan konten yang populer di wilayah pengguna, dan jika berlaku, iklan yang lebih relevan.
Selain itu, pengguna dapat memilih untuk memberikan akses platform ke foto, daftar kontak, mikrofon, dan kamera perangkat. Kami menjelaskan informasi yang kami kumpulkan dalam kebijakan privasi kami dan di pusat bantuan kami secara mendetail.

Kit Pengembangan Perangkat Lunak (SDK)

SDK adalah seperangkat alat yang membantu pengembang perangkat lunak dalam membuat aplikasi untuk platform tertentu. Kami memiliki suatu prosedur untuk menilai risiko keamanan keseluruhan dari setiap SDK yang diintegrasikan dengan TikTok. Dalam tiga kasus, tim Malcore salah mengidentifikasi integrasi SDK. TikTok tidak menggunakan SDK Pangle, Google CrashLytics, atau Facebook Analytics. Kami menggunakan sisa SDK yang disebutkan dalam analisis Malcore dengan cara-cara berikut:

SDK Login Facebook dan SDK VKontakte (tersedia hanya di 8 negara) digunakan untuk membantu pengguna masuk menggunakan kredensial Facebook atau VK mereka. Fitur Facebook Share memungkinkan pengguna untuk berbagi konten dari TikTok ke Facebook.
Facebook Bolts adalah SDK sumber terbuka yang membantu para insinyur dalam mengembangkan aplikasi seluler. Appsflyer dan Google Firebase Analytics adalah alat pengukuran dan analisis data.

Penilaian dan Pembobotan

Tim Malcore belum memberikan penjelasan mengenai sistem penilaian yang memberi nilai tertinggi (terburuk) kepada TikTok sebesar 63.1, dibandingkan dengan standar industri sebesar 34 untuk semua aplikasi media sosial utama lainnya dan nilai rata-rata sebesar 28.8 untuk semua 21 aplikasi.

Laporan tersebut secara sewenang-wenang mencantumkan bobot nilai untuk lima faktor: pelacak atau SDK, izin berbahaya, peringatan tingkat keparahan tinggi untuk hasil analisis kode, izin yang mencurigakan, dan peringatan tingkat keparahan untuk hasil analisis kode. Tidak ada penjelasan mengenai alasan atau cara pemilihan lima faktor ini.

Selain itu, tidak ada penjelasan atau justifikasi eksternal mengenai alasan pemberian nilai untuk setiap faktor, di mana faktor pelacak atau SDK mendapatkan nilai tertinggi sebesar 2.5, dibandingkan dengan faktor kedua sebesar 0.25 (10 kali lebih rendah) atau faktor kelima (50 kali lebih rendah). Perubahan cara penilaian untuk satu kategori akan secara drastis mengubah nilai risiko untuk TikTok dan aplikasi lainnya.

Tidak dapat dipungkiri, laporan itu sendiri mengakui bahwa "pelacak biasanya adalah kit pengembangan perangkat lunak (SDK) yang sah yang dirancang untuk membantu pengembang memahami penggunaan aplikasi mereka, penyelesaian potensi masalah, dan peningkatan perangkat lunak mereka." Pembobotan yang tidak seimbang terhadap SDK tidak memperhitungkan, misalnya, bahwa beberapa perusahaan menggunakan SDK master, yang akan membuat jumlah SDK menjadi faktor yang tidak terlalu berpengaruh dalam mengevaluasi risiko. Dengan kata lain, sistem penilaian Malcore tidak masuk akal.

Di TikTok, privasi dan keamanan pengguna merupakan salah satu prioritas utama kami. Kami menjalankan tanggung jawab kami untuk menjaga privasi dan keamanan pengguna dengan sungguh-sungguh dan kami menggelontorkan sumber daya dalam jumlah besar untuk mencapai tujuan ini. Kami akan terus memberikan info terbaru mengenai praktik kami melalui ruang berita, pusat bantuan, dan kebijakan privasi kami.

Blog