JAKARTA (IndoTelko) - Pemimpin dalam perlindungan bisnis seluler, Appdome mengumumkan integrasi Customer Identity Protection dari IDAnchor™ miliknya ke dalam MobileBOT™ Defense, solusi pertahanan terhadap bot persembahan Appdome.
Kombinasi andal ini memungkinkan merek dan bisnis seluler membangun Mobile API Gateway virtual di atas infrastruktur backend standar apapun yang mampu mencegah akses API yang tidak sah, menghentikan serangan brute-force bot serta menghilangkan kebutuhan produk perlindungan API dan pertahanan bot terpisah.
Menurut CEO dan salah satu pendiri Appdome, Tom Tovar, kini tidak perlu lagi produk terpisah untuk pertahanan bot dan perlindungan API.
"Dalam satu solusi, IDAnchor dapat memberitahukan tim keamanan jaringan apakah permintaan API berasal dari pengguna, aplikasi dan perangkat yang sah; sementara MobileBOT Defense dapat dengan mudah menghentikan serangan brute-force bot,” jelasnya.
Didukung oleh AI, MobileBOT™ Defense milik Appdome, dengan IDAnchor di dalamnya, memungkinkan tim pengembang seluler untuk menciptakan Mobile API Gateway virtual yang dapat diterapkan di atas infrastruktur backend standar apapun. Bersama-sama, keduanya menyediakan chain of trust yang independen terhadap sistem operasi (OS) yang mencakup di antaranya :
WorkspaceID pengenal utama dari lingkungan DevOps,
ReleaseID pengenal perantara untuk tiap App Release,
InstallID pengenal unik untuk setiap App instance, dan
DeviceID pengenal unik untuk setiap perangkat seluler yang menggunakan aplikasi berkemampuan IDAnchor.
True Device Attributes™ atribut perangkat independen terhadap OS.
Threat Signals sinyal terhadap ancaman identitas, OS, aplikasi dan perangkat.
Selama permintaan koneksi API berlangsung, jika salah satu bagian dari chain of trust tersebut hilang, diubah atau diganti, merek atau bisnis seluler dapat langsung mengidentifikasi bahwa asal permintaan API tersebut mencurigakan atau berbahaya.
Jika penyerang mencoba meniru pengguna, aplikasi, perangkat, lokasi seluler yang sah, atau menggunakan program otomatis untuk mengirim permintaan individual atau dengan metode brute-force, koneksi tersebut dapat dihentikan atau dialihkan untuk mitigasi langsung di dalam aplikasi. Tidak perlu sistem eksternal atau SDK.
Chief Product Officer Appdome, Chris Roeck menjelaskan, platform Appdome memungkinkan merek seluler membangun Mobile API Gateway atau Mobile Application Firewallsesuai kebutuhan mereka.
"Singkatnya, kombinasi MobileBOT™ Defense dan IDAnchor™ menawarkan inspeksi yang mendalam, lebih dari 400 opsi deteksi dan pertahanan, untuk menghentikan akses tidak sah, serangan API, penyalahgunaan API atau serangan bot dalam satu layanan terpadu," ujarnya.
Produk keamanan API dan pertahanan bot lama masih menggunakan cookie dan token berbasis waktu untuk memvalidasi sesi. Mekanisme ini biasanya disimpan secara tidak aman atau dikirimkan tanpa enkripsi sehingga rentan digunakan ulang oleh penyerang. Cookie dan token tidak menyediakan data mengenai perangkat seluler, aplikasi, atau instalasi yang mengirim permintaan API. Singkatnya, cookie dan token tidak bisa membedakan apakah sebuah permintaan berasal dari pengguna, aplikasi, atau perangkat seluler yang asli, palsu, aman atau tidak aman.
Setiap sidik jari IDAnchor dapat diikat secara kriptografis ke pengguna tertentu, sehingga tidak dapat digunakan ulang dan tetap bertahan meski aplikasi diinstal ulang, sistem operasi diperbarui, atau perangkat distel ulang ke pengaturan pabrik. Hal ini secara efektif menjawab berbagai tantangan utama pada strategi perlindungan bot lama, termasuk diantaranya :
1. Pengguna dan Perangkat Palsu
Pengguna dan perangkat yang dipalsukan, disimulasikan, atau disamarkan tidak dapat memberikan identitas IDAnchor yang valid, sehingga mudah diblokir.
2. Teknik Penyembunyian Serangan Bot
Upaya manipulasi atau penggunaan ulang atribut aplikasi, perangkat, atau atribut OS akan menghasilkan ketidaksesuaian IDAnchor sehingga dapat mengungkap penyerang.
3. Kredensial atau Identitas Curian
Termasuk identitas curian dari perangkat berbeda, identitas sintetis, atau deepfake buatan AI, vishing, atau pembajakan sesi.
4. Penipuan Instalasi dan Atribusi
Upaya penipuan yang dilakukan melalui emulator farm, aplikasi yang dikendalikan malware, atau perangkat palsu.
5. Penipuan KYC (Know Your Customer)
Pendaftaran akun palsu atau penggunaan otomatis oleh bot untuk meniru perilaku pengguna asli.
6. Aplikasi Seluler Berbahaya
Aplikasi yang dimodifikasi atau dikendalikan malware akan menghasilkan sidik jari IDAnchor yang berbeda sehingga dapat terdeteksi sebagai ancaman.
7. Serangan Brute-force dengan Credential Stuffing
Serangan yang menggunakan program otomatis atau kredensial curian atau aplikasi dan perangkat palsu untuk mengakses sistem.
8. Triangulasi Sumber Bot
Bot yang terdeteksi dari Aplikasi A dapat diblokir atau ditandai di Aplikasi B, tanpa perlu sinkronisasi intelijen eksternal.
9. Penilaian Risiko Koneksi API
Setiap kecocokan atau ketidaksesuaian IDAnchor dapat direpresentasikan dalam bentuk persentase dan dapat digunakan sebagai proxy untuk ancaman koneksi atau sebagai penentu dalam metode penilaian risiko untuk tujuan tersebut.
Sementara, Field CTO Appdome, Gil Hartman mengungkapkan, serangan dan penyalahgunaan API merupakan bagian dari pertahanan bot secara keseluruhan, dan Anda harus melindungi keduanya.
"MobileBOT™ Defense dengan IDAnchor™ membuktikan bahwa keduanya bisa ditangani dalam satu solusi, dengan fleksibilitas penuh untuk mengatur di mana dan bagaimana Anda menggunakan setiap pertahanan, baik itu per aplikasi, per API, atau per perangkat," katanya.
Appdome telah memamerkan IDAnchor™ dan MobileBOT™ Defense di Black Hat USA di Vegas, 6-7 Agustus 2025. Demo langsung juga dilakukan di booth #4746 di Black Hat Business Hall. (mas)