TIAP kali isu penyadapan mencuat di negeri ini, ada satu nama yang nyaris selalu disebut layaknya hantu di dunia digital: Pegasus. Apalagi setelah kasus dugaan penyadapan terhadap Presiden Prabowo Subianto meledak pada awal November 2026 ini.
Obrolan dari warung kopi sampai lini masa media sosial tiba-tiba dipenuhi spekulasi liar soal perangkat lunak mata-mata buatan NSO Group asal Israel tersebut. Pertanyaan yang awalnya wajar pun segera berubah menjadi vonis prematur: "Wah, Presiden pasti disadap pakai Pegasus, dan alat ini pasti masih gentayangan di Indonesia!".
Sebagai seorang penyidik, saya ingin mengajak kita semua duduk sebentar untuk mengurai benang kusut ini secara jernih.
Ada tiga hal yang harus kita pisahkan secara tegas: fakta dari perkara hukum yang sedang berproses, hasil investigasi independen di masa lalu, dan sekadar dugaan tentang kondisi hari ini. Jangan sampai ketiganya dicampur aduk cuma gara-gara nama Pegasus terdengar lebih dramatis dan memancing klik.
Mari kita bedah tiga mitos besar yang terlanjur dipercaya banyak orang.
Mitos pertama: Pegasus dipakai untuk menyadap Presiden di kasus terbaru.Faktanya, dalam keterangan resmi Bareskrim Polri soal penetapan tersangka kasus ini, sama sekali tidak ada penyebutan nama Pegasus ataupun NSO Group. Yang sebenarnya terjadi—dan sudah dijelaskan secara terbuka kepada publik—adalah adanya dugaan penyalahgunaan sebuah sistem yang disebut
Lawful Interception Management System (LIMS).
Inilah realitas dan fakta hukum perkaranya. Merek
spyware apa pun yang tidak pernah disebut dalam keterangan penyidik sama sekali bukanlah fakta perkara.
Perbedaannya pun bukan sekadar perkara merek dagang. LIMS dan Pegasus itu ibarat dua dunia yang berbeda. LIMS adalah sistem pengelolaan intersepsi legal yang beroperasi dari sisi jaringan operator telekomunikasi.
Masalah dalam kasus ini menyangkut dugaan penyalahgunaan akses dan prosedur operasional pada sistem jaringan tersebut. Sementara itu, Pegasus bekerja dengan cara yang 180 derajat berbeda: ia adalah
spyware yang secara diam-diam menyusup langsung ke dalam ponsel yang menjadi sasaran.
Menyamakan keduanya sama konyolnya dengan menyamakan pencurian data lewat pusat server operator dengan penyusupan maling lewat jendela kamar Anda. Keduanya memang berbahaya dan butuh pengawasan ekstra ketat, tapi cara kerja teknis dan jalur pembuktiannya benar-benar tidak sama.
Mitos kedua: Pegasus di Indonesia sudah terbukti aktif dipakai ke mana-mana.Lalu, apakah eksistensi Pegasus di Indonesia sepenuhnya isapan jempol? Tentu tidak. Kita tidak boleh menyapu sejarah ke bawah karpet. Pada bulan Mei 2024, Amnesty International Security Lab merilis sebuah investigasi penting bertajuk "
A Web of Surveillance: Unravelling a murky network of spyware exports to Indonesia". Laporan itu melacak secara spesifik rantai pemasok, perantara, dan infrastruktur teknologi pengawasan di Indonesia sejak 2017 hingga 2023.
Di situ muncul nama-nama "elite" di dunia intelijen siber seperti Q Cyber Technologies (yang terkait erat dengan NSO Group), konsorsium Intellexa (lewat Predator), Saito Tech (atau Candiru), hingga Wintego. Laporan tersebut juga mengaitkan rekam jejak impor teknologi ini dengan beberapa entitas negara.
Tapi, batas dari temuan ini harus kita baca secara teliti. Investigasi Amnesty fokus meneliti rantai pasokan perdagangan dan jejak akses infrastruktur, bukan membedah forensik ponsel. Mereka sama sekali tidak menyajikan bukti forensik konkret bahwa Pegasus telah menginfeksi ponsel individu tertentu di Indonesia.
Adanya jejak rantai pasokan NSO Group tidak serta-merta membuktikan bahwa Pegasus pernah diaktifkan untuk menargetkan seseorang, apalagi menuding alat itu digunakan dalam kasus penyalahgunaan LIMS tahun 2026 ini.
Mengambil kesimpulan bahwa jejak 2017–2023 berarti Pegasus masih aktif dipakai hari ini untuk menyadap sembarang orang adalah lompatan logika yang terlalu jauh. Kita harus bisa memvalidasi tiga hal: produk apa yang sebenarnya dibeli, apakah pernah dioperasikan terhadap seseorang, dan apakah sistem itu masih menyala hari ini?
Laporan Amnesty tahun 2024 tidak menjawab ketiganya, meski laporan itu juga tidak boleh dijadikan dalih kepolisian untuk menutup pemeriksaan lanjutan. Terlebih, pada 2023, seorang pejabat bidang TI Polri dalam wawancaranya dengan Jaring.id sudah membantah keras penggunaan Pegasus dan mengonfirmasi penggunaan metode penyadapan yang lain. Yang kita butuhkan saat ini adalah ruang verifikasi yang terukur dan valid, bukan sekadar asumsi.
Mitos ketiga: Semua teknologi penyadapan canggih itu pasti Pegasus.Dunia spionase digital tak sesempit itu. Ada banyak alat lain dengan karakter yang jauh berbeda, seperti Predator, Candiru, hingga Wintego. LIMS sendiri sama sekali bukan
spyware layaknya nama-nama tersebut.
Melabeli semua bentuk intersepsi dengan cap "Pegasus" hanya akan membuat kita salah merumuskan perbaikan. Kita jadi keliru menentukan fokus: apakah yang harus diaudit itu akses jaringan operatornya, proses pengadaan
software invasifnya, atau kemungkinan infeksi pada ponselnya?
Saya sangat memahami jika teman-teman masyarakat sipil mendesak agar potensi penggunaan
spyware ikut diinvestigasi. Itu adalah bagian dari pengawasan demokrasi yang sehat. Namun, desakan untuk memeriksa belum bisa dianggap sebagai bukti konfirmasi pemakaian Pegasus.
Penyidikan wajib bersandar pada petunjuk baru, bukan sekadar memuaskan opini publik tanpa alat bukti yang kuat. Publik memang berhak menuntut transparansi, tapi pertanyaannya jangan langsung diubah menjadi vonis.
Tentu saja, ketiadaan bukti Pegasus dalam kasus spesifik ini tidak berarti ancaman komersialisasi
spyware di Indonesia adalah fiktif. Jejak rantai pasokan dari Amnesty harus tetap menjadi alarm. Negara harus mau secara transparan menjelaskan kerangka pengadaan alat sadap, batas tegas penggunaannya, serta menghidupkan pengawasan independen. Kewenangan yang seolah legal bisa menjadi malapetaka kalau prosedurnya cuma jadi pajangan kertas yang tak pernah diuji.
Di sisi lain, ada juga yang terlalu kelewat santai dan meremehkan. Ada mitos kebalikannya: "Pegasus sudah tamat karena Apple dan Google sudah menambal celah keamanan tanpa klik (
zero-click)." Memang betul, Apple sempat merilis pembaruan keamanan iOS 18.4.1 pada April 2025. Tapi, menutup satu celah bukan berarti kiamat bagi bisnis
spyware.
Buktinya, Citizen Lab sukses mendeteksi infeksi Pegasus via iMessage tanpa klik pada seorang aktivis di Serbia sepanjang bulan Desember 2025 hingga Januari 2026. Ini adalah permainan kucing-kucingan abadi antara
hacker dan
developer keamanan. Mengklaim Pegasus ada di mana-mana itu keliru, tapi merasa super aman dan bilang alat itu mustahil beroperasi lagi juga terlampau gegabah.
Pada akhirnya, tugas kami sebagai penyidik bukanlah memenangkan adu narasi yang paling viral, melainkan membuktikan peristiwa dengan sejelas mungkin. Tugas publik juga bukan sekadar nyinyir, melainkan memastikan kritiknya berpijak pada fondasi bukti yang solid.
Mungkin saja kebenaran yang sesungguhnya terdengar membosankan—hanya sekadar persoalan dugaan penyalahgunaan prosedur LIMS—tapi justru kebenaran faktual itulah yang jauh lebih penting untuk ditegakkan ketimbang kita larut dalam fiksi sensasional.
Hukum dan kebijakan yang tangguh selalu lahir dari fakta yang teruji keringat, bukan dari mitos yang paling asyik buat dibagikan di grup percakapan.
Penulis adalah Penyidik Utama Tingkat I Bareskrim Polri dan Dosen Utama STIK/PTIK
