PONSEL menyimpan percakapan keluarga, rekening, lokasi, hingga agenda rapat penting. Bayangkan semua itu dibaca orang lain, sementara layar tetap terlihat normal. Inilah ancaman pengintaian digital, terutama bagi pemegang informasi negara.
Setiap isu penyadapan hampir selalu dikaitkan dengan Pegasus. Padahal, dalam laporan A Web of Surveillance (Mei 2024), Amnesty International menelusuri banyak teknologi pengawasan terkait Indonesia sepanjang 2017-2023. Apa saja kemampuannya?
Masalahnya, istilah “ditemukan di Indonesia” sering disalahpahami. Ada catatan transaksi, ada server yang terdeteksi, dan ada bukti forensik pada ponsel korban. Ketiganya tidak setara.
Impor tidak membuktikan alat sudah dipakai; server belum tentu menunjukkan siapa operatornya; situs tiruan pun belum berarti berhasil menginfeksi. Perbedaan ini penting agar kewaspadaan tidak berubah menjadi tuduhan tanpa dasar.
Pegasus: Ponsel Bisa Menjadi Alat Pengintai Pegasus milik NSO Group mampu menyusup ke iPhone dan Android. Dalam serangan zeroclick, korban bahkan tak perlu membuka tautan. Jika perangkat berhasil dikuasai, operator dapat membaca pesan dan dokumen, melacak lokasi, bahkan menyalakan mikrofon dan kamera. Pesan terenkripsi pun dapat terbaca dari perangkat.
Amnesty mengutip dugaan pengadaan Pegasus dari IndonesiaLeaks, tetapi tidak mengonfirmasinya secara independen. Kemampuan teknologi bukan bukti penyadapan di Indonesia.
Circles: Mengintai Melalui Jaringan Telepon Circles, yang berafiliasi dengan NSO Group, mengeksploitasi kelemahan persinyalan seluler seperti SS7. Dalam kondisi tertentu, sistemnya dapat melacak lokasi, memperoleh informasi panggilan, serta mencegat telepon biasa dan SMS.
Circles bekerja pada jaringan, bukan dengan membobol isi ponsel seperti Pegasus. Jejak infrastrukturnya ditemukan di Indonesia, tetapi bukan bukti bahwa WhatsApp atau Telegram seseorang telah dibaca.
FinSpy: Komputer Kantor pun Tidak Aman FinSpy buatan FinFisher bisa menyerang ponsel dan komputer. Setelah terpasang, ia dapat mengambil berkas, membaca komunikasi, serta merekam lewat mikrofon atau kamera. Komputer kantor berisi dokumen rahasia pun berisiko.
Server terkait FinSpy pernah ditemukan di Indonesia. Namun, catatan pengiriman 2021 belum memastikan adanya pengadaan FinSpy.
WINT dan Helios: Dua Jalan Menuju InformasiWintego memasarkan WINT sebagai alat pengawasan taktis, dengan klaim kemampuan mencegat komunikasi, termasuk WhatsApp, pada kondisi tertentu. Bukan berarti semua pesan terenkripsi bisa dibaca cukup dengan nomor telepon.
Helios milik Wintego adalah
spyware Android yang memanfaatkan celah keamanan untuk mengambil alih perangkat. Peneliti Google pernah mengungkap eksploit Wintego terhadap ponsel Samsung. Helios ini berbeda dari produk senama Intellexa. Amnesty menemukan jejak WINT dan Helios di Indonesia, bukan identitas korban.
Predator: Berita Palsu sebagai UmpanPredator dari Intellexa dapat mengakses pesan, surel, foto, lokasi dan mikrofon ponsel terinfeksi. Enkripsi ujung-ke-ujung tidak menolong bila isi pesan sudah dibaca pada ponsel korban.
Serangannya antara lain memakai tautan berita tiruan. Amnesty menemukan domain bertema politik, media dan Papua, serta server terkait Predator di Indonesia. Namun, temuan itu belum mengungkap siapa korban atau serangan mana yang berhasil.
Cyrus: Bukan Cuma Mencuri, Bisa MenyamarCandiru atau Saito Tech menawarkan Cyrus untuk menyusup ke komputer, jaringan dan ponsel. Spyware Candiru dapat mengambil berkas, data peramban, kata sandi dan pesan tertentu. Akun yang dibobol bahkan bisa dipakai mengirim pesan seolah dari pemiliknya.
Amnesty mengaitkan pengiriman lebih dari 33 juta Dolar AS dengan Candiru melalui analisis teknis. Nama produknya tak tercantum langsung; dugaan pengadaan bukan bukti penyalahgunaan.
Metode penyusupannya pun tidak seragam. Ada serangan yang memerlukan klik, ada yang memanfaatkan celah perangkat tanpa tindakan pengguna, dan ada yang bekerja melalui jaringan seluler.
Karena itu, merasa aman hanya karena tidak pernah membuka tautan mencurigakan bisa keliru. Enkripsi melindungi pesan dalam perjalanan, tetapi bukan isi pesan di perangkat yang sudah diambil alih.
Apa yang Mesti Dilakukan? Perbarui sistem operasi, gunakan autentikasi selain SMS, batasi izin aplikasi dan aktifkan PIN akun percakapan. Pejabat perlu memisahkan ponsel pribadi dan dinas, melindungi dokumen sensitif, serta melakukan pemeriksaan keamanan rutin.
Negara pun harus memastikan: produk apa yang dibeli, siapa penggunanya, apa dasar hukumnya, dan bagaimana pengawasannya? Kecanggihan tidak menggantikan batas kewenangan dan pertanggungjawaban.
Pertanyaannya bukan cuma apakah Pegasus ada, melainkan siapa menguasai teknologi pengintaian, apa yang dapat diambil, dan siapa mengawasinya. Sebab ancaman terbesar bukan nama alat, melainkan kekuasaan mengintai tanpa kendali.
Catatan: temuan terkait Indonesia bersumber dari laporan Amnesty International Amnesty International Security Lab. Penjelasan kemampuan teknis dilengkapi penelitian Citizen Lab mengenai Pegasus, Circles dan Candiru The Citizen Lab +2, Amnesty mengenai FinSpy dan Predator Amnesty International Security Lab +1, serta Google Project Zero mengenai Wintego googleprojectzero.blogspot.com. Dosen Utama Tingkat I STIK dan Penyidik Utama Tingkat I Bareskrim Polri
