Mereka menyebut, mayoritas korban berada di Meksiko, India, Thailand, Indonesia, Nigeria, Filipina, Mesir, Vietnam, Singapura, Kenya, Kolombia, dan Peru.
ESET juga mengatakan bahwa aplikasi ini berhasil melewati perlindungan Google karena dikirimkan dengan kebijakan privasi yang sesuai, standar KYC yang diwajibkan, dan permintaan izin yang transparan.
Namun, mereka juga tertaut ke situs web yang jelas-jelas merupakan peniruan identitas perusahaan sebenarnya.
Setelah diinstal, aplikasi SpyLoan langsung meminta agar pengguna memberikan informasi pribadi seperti alamat, informasi kontak, bukti penghasilan, informasi rekening bank, serta foto kartu identitas bagian depan dan belakang.
Aplikasi itu juga menyedot data sensitif yang ada di perangkat korban seperti log panggilan, event kalender, informasi perangkat, daftar aplikasi yang diinstal, informasi jaringan Wi-Fi lokal, hingga metadata foto.
Selain itu, mereka juga mengincar daftar kontak, data lokasi pengguna, dan SMS.
"Setelah itu, operator aplikasi pinjol berbahaya akan memeras dan mengancam pengguna untuk segera membayar pinjaman, bahkan ketika pengguna tidak meminjam uang atau pinjamannya ditolak. Bahkan ada attacker yang mengancam akan membunuh keluarga pengguna," seperti dikutip dari Gizmodo, Selasa (13/12/2023).
Dari 18 aplikasi yang ditemukan, Google telah menghapus 17 aplikasi dari repositori aplikasinya.
Yang terakhir sekarang tersedia dengan serangkaian izin baru dan dengan demikian diizinkan untuk tetap ada.