Pegasus Bukan Satu-satunya: Mengenali Mesin Pengintai Ponsel Kita

law-justice.co - Telepon genggam menyimpan percakapan keluarga, rekening, lokasi, hingga agenda rapat penting. Bayangkan semua itu dibaca orang lain, sementara layar tetap terlihat normal. Inilah ancaman pengintaian digital, terutama bagi pemegang informasi negara.

Setiap isu penyadapan hampir selalu dikaitkan dengan Pegasus. Padahal, dalam laporan A Web of Surveillance (Mei 2024), Amnesty International menelusuri banyak teknologi pengawasan terkait Indonesia sepanjang 2017-2023. Apa saja kemampuannya?

Masalahnya, istilah “ditemukan di Indonesia” sering disalahpahami. Ada catatan transaksi, ada server yang terdeteksi, dan ada bukti forensik pada ponsel korban. Ketiganya tidak setara.

Impor tidak membuktikan alat sudah dipakai; server belum tentu menunjukkan siapa operatornya; situs tiruan pun belum berarti berhasil menginfeksi. Perbedaan ini penting agar kewaspadaan tidak berubah menjadi tuduhan tanpa dasar.

Pegasus: Ponsel Bisa Menjadi Alat Pengintai 

Pegasus milik NSO Group mampu menyusup ke iPhone dan Android. Dalam serangan zeroclick, korban bahkan tak perlu membuka tautan. Jika perangkat berhasil dikuasai, operator dapat membaca pesan dan dokumen, melacak lokasi, bahkan menyalakan mikrofon dan kamera. Pesan terenkripsi pun dapat terbaca dari perangkat.

Amnesty mengutip dugaan pengadaan Pegasus dari IndonesiaLeaks, tetapi tidak mengonfirmasinya secara independen. Kemampuan teknologi bukan bukti penyadapan di Indonesia.

Circles: Mengintai Melalui Jaringan Telepon

Circles, yang berafiliasi dengan NSO Group, mengeksploitasi kelemahan persinyalan seluler seperti SS7. Dalam kondisi tertentu, sistemnya dapat melacak lokasi, memperoleh informasi panggilan, serta mencegat telepon biasa dan SMS.

Circles bekerja pada jaringan, bukan dengan membobol isi ponsel seperti Pegasus. Jejak infrastrukturnya ditemukan di Indonesia, tetapi bukan bukti bahwa WhatsApp atau Telegram seseorang telah dibaca.

FinSpy: Komputer Kantor pun Tidak Aman

FinSpy buatan FinFisher bisa menyerang ponsel dan komputer. Setelah terpasang, ia dapat mengambil berkas, membaca komunikasi, serta merekam lewat mikrofon atau kamera. Komputer kantor berisi dokumen rahasia pun berisiko.

Server terkait FinSpy pernah ditemukan di Indonesia. Namun, catatan pengiriman 2021 belum memastikan adanya pengadaan FinSpy.

WINT dan Helios: Dua Jalan Menuju Informasi

Wintego memasarkan WINT sebagai alat pengawasan taktis, dengan klaim kemampuan mencegat komunikasi, termasuk WhatsApp, pada kondisi tertentu. Bukan berarti semua pesan terenkripsi bisa dibaca cukup dengan nomor telepon.

Helios milik Wintego adalah spyware Android yang memanfaatkan celah keamanan untuk mengambil alih perangkat. Peneliti Google pernah mengungkap eksploit Wintego terhadap ponsel Samsung. Helios ini berbeda dari produk senama Intellexa. Amnesty menemukan jejak WINT dan Helios di Indonesia, bukan identitas korban.

Predator: Berita Palsu sebagai Umpan

Predator dari Intellexa dapat mengakses pesan, surel, foto, lokasi dan mikrofon ponsel terinfeksi. Enkripsi ujung-ke-ujung tidak menolong bila isi pesan sudah dibaca pada ponsel korban.

Serangannya antara lain memakai tautan berita tiruan. Amnesty menemukan domain bertema politik, media dan Papua, serta server terkait Predator di Indonesia. Namun, temuan itu belum mengungkap siapa korban atau serangan mana yang berhasil.

Cyrus: Bukan Cuma Mencuri, Bisa Menyamar

Candiru atau Saito Tech menawarkan Cyrus untuk menyusup ke komputer, jaringan dan ponsel. Spyware Candiru dapat mengambil berkas, data peramban, kata sandi dan pesan tertentu. Akun yang dibobol bahkan bisa dipakai mengirim pesan seolah dari pemiliknya.

Amnesty mengaitkan pengiriman lebih dari 33 juta Dolar AS dengan Candiru melalui analisis teknis. Nama produknya tak tercantum langsung; dugaan pengadaan bukan bukti penyalahgunaan.

Metode penyusupannya pun tidak seragam. Ada serangan yang memerlukan klik, ada yang memanfaatkan celah perangkat tanpa tindakan pengguna, dan ada yang bekerja melalui jaringan seluler.

Karena itu, merasa aman hanya karena tidak pernah membuka tautan mencurigakan bisa keliru. Enkripsi melindungi pesan dalam perjalanan, tetapi bukan isi pesan di perangkat yang sudah diambil alih.

Apa yang Mesti Dilakukan?

Perbarui sistem operasi, gunakan autentikasi selain SMS, batasi izin aplikasi dan aktifkan PIN akun percakapan. Pejabat perlu memisahkan ponsel pribadi dan dinas, melindungi dokumen sensitif, serta melakukan pemeriksaan keamanan rutin.

Negara pun harus memastikan: produk apa yang dibeli, siapa penggunanya, apa dasar hukumnya, dan bagaimana pengawasannya? Kecanggihan tidak menggantikan batas kewenangan dan pertanggungjawaban.

Pertanyaannya bukan cuma apakah Pegasus ada, melainkan siapa menguasai teknologi pengintaian, apa yang dapat diambil, dan siapa mengawasinya. Sebab ancaman terbesar bukan nama alat, melainkan kekuasaan mengintai tanpa kendali.