Pengkhianatan Ekstensi Honey: Analisis Kode Sumber Membuktikan Pencurian Pendapatan Afiliasi

Honey, alat belanja yang menjanjikan diskon gratis dan telah terpasang di peramban 17 juta pengguna di seluruh dunia, menyimpan sistem penipuan yang dirancang dengan sangat rapi di balik layarnya. Layanan yang diakuisisi oleh PayPal dengan nilai fantastis sebesar 4 miliar dolar ini bukan sekadar mengalami kesalahan teknis biasa. Hasil analisis reverse engineering terhadap kode sumber selama 5 tahun mengungkap realitas penyalahgunaan teknik canggih yang dikembangkan selama bertahun-tahun untuk mencuri pendapatan pihak lain.

Stand-down Selektif dan Penipuan Terhadap Penguji

Dalam pasar pemasaran afiliasi, terdapat etika bisnis yang berlaku, yaitu prinsip stand-down: tidak menimpa cookie pengguna yang datang melalui saluran lain. Namun, Honey secara selektif mengabaikan prinsip ini melalui kodenya. Terutama untuk menghindari pengawasan, mereka bahkan menjalankan mesin profiling untuk menentukan apakah pengguna tersebut adalah pakar keamanan atau konsumen biasa.

• Ambang Batas 65.000 Honey Gold: Akun dengan poin kumulatif di bawah sekitar 650 dolar diklasifikasikan sebagai penguji. Logika kecurangan dirancang untuk tidak aktif pada akun-akun ini guna menghindari radar pemantauan.
• Deteksi Cookie Industri: Jika catatan login dasbor jaringan afiliasi seperti Rakuten atau Awin ditemukan di peramban, Honey akan segera berpura-pura menjadi aplikasi yang "baik" dan menghentikan aktivitas mencurigakan.

Sejarah Evolusi Logika Kecurangan dalam 6 Tahap

Sistem Honey menjadi semakin licik seiring berjalannya waktu. Ini bukan sekadar pemeliharaan kode biasa, melainkan lonjakan teknis setiap tahun untuk menyembunyikan tindakan curang mereka.

Tahap Evolusi	Periode	Perubahan Teknis Utama	Metode Kontrol Logika Afiliasi
Tahap Awal	~2019	Hardcoding berbasis if-else sederhana	Penerapan aturan statis
Masa Stagnasi	2020-2021	Stabilisasi sistem setelah akuisisi PayPal	Menjalankan fungsi dasar
Transisi Dinamis	2022-2023	Pengenalan konfigurasi dinamis berbasis JSON	Kontrol waktu nyata dari server
Bypass Keamanan	2024~	Implementasi mesin VIM (interpreter)	Melumpuhkan regulasi Manifest V3

Mesin VIM yang Melumpuhkan Regulasi Keamanan Google

Google secara ketat melarang tindakan mengambil dan mengeksekusi kode eksternal demi memperkuat keamanan ekstensi peramban. Inilah yang disebut regulasi Manifest V3. Alih-alih mematuhi aturan ini secara langsung, Honey memilih cara yang tidak biasa dengan membangun lingkungan eksekusi JavaScript mandiri di dalam ekstensi tersebut.

Parser JavaScript Acorn yang tertanam di dalam Honey menginterpretasikan data JSON yang diunduh dari server bukan sebagai informasi biasa, melainkan sebagai logika yang dapat dieksekusi. Alat analisis statis Google menganggap ini hanya sebagai data biasa sehingga meloloskannya. Akibatnya, Honey memegang kekuasaan penuh untuk memanipulasi perilaku peramban pengguna secara real-time tanpa perlu memperbarui ekstensi.

Attribution Hijacking dan Pencurian Keuntungan

Cara Honey mencuri keuntungan sangat rahasia dan mematikan. Saat pengguna mencapai halaman pembayaran, Honey membuka tab berukuran 1x1 piksel yang tidak terlihat di latar belakang untuk memanggil tautan afiliasi secara paksa. Dalam proses ini, cookie rekomendasi yang seharusnya diterima oleh pembuat konten asli dihapus, dan pengidentifikasi Honey mengambil alih posisi tersebut.

Berdasarkan kasus analisis nyata, Honey memberikan poin hanya senilai 0,89 dolar kepada pengguna, sementara di balik layar mereka mencuri seluruh komisi senilai 35,60 dolar yang seharusnya menjadi hak pembuat konten. Bahkan sebelum pengguna menekan tombol terapkan kupon, kode tersebut sudah dikirim ke server, menyebabkan kebocoran kode VIP atau kode sekali pakai yang dikeluarkan pedagang kecil khusus untuk pelanggan tertentu ke dalam basis data publik.

Keunggulan Teknis dan Hilangnya Etika

Kasus Honey menunjukkan betapa destruktifnya hasil yang ditimbulkan ketika teknologi mengabaikan panduan etika. Saat ini, jaringan afiliasi besar termasuk Rakuten telah memblokir Honey secara permanen, dan gugatan kelompok dari para pembuat konten yang dirugikan terus berlanjut.

Kita harus ingat bahwa layanan gratis mungkin sebenarnya adalah imbalan dari pencurian nilai kerja keras orang lain yang sah. Jika sebuah ekstensi peramban meminta izin untuk membaca dan mengubah semua data situs web, Anda patut mencurigai tujuannya. Perilaku tidak pantas Honey bukanlah kesalahan yang tidak disengaja, melainkan produk dari desain yang diperhitungkan secara cermat demi maksimalisasi keuntungan.