Browser Extension Phia Curi Komisi Afiliasi dengan Cookie Stuffing

Dunia keamanan siber kembali digemparkan oleh praktik cookie stuffing yang dilakukan oleh Phia, sebuah browser extension asisten belanja AI yang didirikan oleh Phoebe Gates (putri bungsu Bill Gates) dan Sophia Kianni. Investigasi Bloomberg bekerja sama dengan peneliti independen Ben Edelman dan Capital One Shopping mengungkap bahwa ekstensi ini diam-diam mencuri komisi afiliasi dari publisher lain dengan teknik injeksi kode referral secara otomatis.

Phia mengumpulkan dana lebih dari $43,5 juta (sekitar Rp700 miliar) dengan valuasi $185 juta dalam pendanaan Seri A yang dipimpin Notable Capital, dengan partisipasi Khosla Ventures dan Kleiner Perkins. Ekstensi ini telah diunduh lebih dari 1,2 juta kali dan memiliki investor selebriti seperti Khloé Kardashian, Hailey Bieber, Paris Hilton, dan Sydney Sweeney.

Executive Summary

Bloomberg melaporkan pada 9 Juli 2026 bahwa Phia melakukan cookie stuffing dengan membuka tab latar belakang secara diam-diam saat pengguna checkout di toko online. Tab ini menyisipkan kode afiliasi Phia sendiri dan menimpa kode referral milik publisher lain. Dampaknya adalah komisi afiliasi yang seharusnya diterima oleh blogger, content creator, dan situs rekomendasi seperti Wirecutter malah mengalir ke Phia.

Impact.com, platform afiliasi utama yang digunakan Phia, telah menangguhkan akun perusahaan tersebut. Sementara itu, Awin dikabarkan sedang melakukan review atas temuan ini.

Apa Itu Cookie Stuffing?

Cookie stuffing adalah praktik menempatkan cookie tracking afiliasi ke browser pengguna tanpa adanya interaksi atau klik nyata dari pengguna tersebut. Dalam konteks affiliate marketing, seorang publisher hanya berhak mendapat komisi jika pengguna benar-benar mengklik link referral mereka dan melakukan transaksi.

Cookie stuffing memotong rantai tersebut. Pelaku menyisipkan cookie afiliasi mereka melalui metode tersembunyi seperti tab latar belakang, pixel 1×1 yang tidak terlihat, atau skrip yang dieksekusi tanpa sepengetahuan pengguna. Hal ini menghasilkan komisi yang tidak sah dan merugikan publisher lain yang sah.

“With cookie stuffing, you’re committing a crime against another affiliate or the advertisers who is paying commissions on sales that would have happened anyway. It’s not as eye-opening and it’s harder to catch because the advertiser has still made money.”

– David Sendroff, CEO Forensiq, dalam wawancara dengan Digiday

Teknis Investigasi: Bagaimana Phia Bekerja?

Peneliti keamanan Ben Edelman, yang sebelumnya sukses mengungkap kasus fraud afiliasi eBay senilai $15,5 juta, melakukan analisis teknis mendalam terhadap ekstensi Phia. Berikut temuan utamanya:

1. Feature Flag enable_coupon_auto_drop

Phia menggunakan server-side feature flag bernama enable_coupon_auto_drop yang dikontrol melalui permintaan ke https://featureassets.org/v1/initialize. Server mengembalikan nilai berbeda berdasarkan user-agent, misalnya perangkat iOS menerima nilai true.

Ketika fitur ini aktif, ekstensi secara otomatis memuat link tracking afiliasi Phia di tab latar belakang saat pengguna berada di halaman checkout retailer seperti Nordstrom, Walmart, Nike, dan Zara. Cookie afiliasi langsung tersimpan tanpa ada klik atau tindakan nyata dari pengguna.

2. Kode Aktif Selama Tujuh Bulan

Mekanisme ini diperkenalkan di versi 1.9.33 pada 13 Desember 2025 dan tetap aktif selama kurang lebih tujuh bulan, termasuk periode belanja liburan yang kritis. Bloomberg mengonfirmasi bahwa tab latar belakang terbuka dan menutup secara otomatis dalam hitungan detik, tanpa terlihat oleh pengguna di perangkat mobile.

3. Kegagalan Stand Down pada Kompetitor

Salah satu temuan paling memberatkan adalah Phia secara aktif memonitor rantai redirect dan cookie afiliasi dari publisher lain. Dalam pengujian, ketika pengguna datang melalui link afiliasi yang sah (misalnya dari Savings.com atau Wirecutter), telemetri Phia mendeteksi cookie kompetitor tetapi tetap melanjutkan injeksi kodenya sendiri.

Masalah Privasi Sebelumnya: Full Browsing Logging

Ini bukan pertama kalinya Phia menghadapi masalah keamanan. Pada November 2025, Fortune melaporkan bahwa ekstensi Phia merekam seluruh sesi browsing pengguna, termasuk halaman banking statement dan email pribadi. Praktik ini melanggar prinsip data minimization dalam GDPR (Pasal 5) dan berbagai undang-undang privasi AS seperti CCPA/CPRA.

Phia menyatakan bahwa versi saat ini hanya mencatat URL, meskipun URL sendiri bisa mengandung parameter sensitif seperti kata kunci pencarian, session ID, atau referensi akun. Kritikus mencatat bahwa kebijakan privasi perusahaan tidak mengungkapkan cakupan scraping data yang sebenarnya.

Dampak dan Respons Phia

Setelah laporan Bloomberg dipublikasikan pada 9 Juli 2026, rantai reaksi berlangsung cepat:

• Impact.com langsung menangguhkan akun Phia dari platformnya
• Awin dikabarkan sedang melakukan review atas temuan ini
• Bloomberg melakukan retest dan mengonfirmasi bahwa praktik cookie stuffing sudah berhenti setelah Phia melakukan perbaikan

Phia mengeluarkan pernyataan resmi bahwa masalah ini adalah “coding error” yang diperkenalkan dalam update terbaru dan sudah diperbaiki dalam waktu 24 jam. Perusahaan juga mengklaim telah melewati audit kepatuhan rutin yang dilakukan oleh mitra jaringan afiliasi.

Pembelaan datang dari Jeremy Stamper, yang sudah mengenal Phoebe Gates sejak remaja, mengatakan bahwa temuan Bloomberg lebih mencerminkan technical misconfiguration daripada penipuan yang disengaja.

Pelajaran untuk Ekosistem Browser Extension

Kasus Phia memberikan pelajaran penting bagi ekosistem keamanan siber, khususnya terkait browser extension dan affiliate marketing:

• Audit kode ekstensi secara independen – Browser extension dengan akses ke halaman web pengguna harus diaudit oleh pihak ketiga yang independen secara berkala
• Server-side feature flag sebagai vektor serangan – Feature flag yang memungkinkan perubahan perilaku ekstensi dari server dapat menjadi celah keamanan jika tidak dikelola dengan transparan
• Perlindungan referral code – Jaringan afiliasi perlu meningkatkan deteksi anomali seperti injeksi cookie di luar interaksi pengguna
• Transparansi izin ekstensi – Pengguna harus diedukasi untuk memeriksa izin yang diminta oleh ekstensi browser sebelum menginstalnya

Google sendiri telah memperbarui kebijakan Chrome Web Store pada Maret 2025 untuk melarang ekstensi mengklaim komisi afiliasi tanpa memberikan diskon kepada pengguna. Langkah ini merupakan respons langsung dari skandal Honey yang terungkap pada akhir 2024.

Bagi pengguna browser extension, langkah paling sederhana adalah memeriksa daftar ekstensi yang terpasang secara berkala, membaca izin yang diminta, dan menghapus ekstensi yang meminta akses berlebihan ke data browsing. Di sisi pengembang, praktik cookie stuffing bukan hanya pelanggaran etika – ini adalah tindak pidana yang bisa berujung pada tuntutan hukum berat seperti yang sudah terbukti dalam kasus-kasus sebelumnya.