JAKARTA, RIWARA.id — Ponsel yang berada di genggaman seseorang ternyata bisa menjadi pintu masuk pengawasan digital. Dengan teknologi tertentu, perangkat lunak pengintai atau spyware dapat menembus sistem keamanan telepon seluler, mengakses informasi pribadi, hingga memantau aktivitas digital tanpa sepengetahuan pemiliknya.
Persoalan tersebut menjadi perhatian setelah Amnesty International Security Lab menerbitkan laporan investigasi berjudul A Web of Surveillance: Unravelling a Murky Network of Spyware Exports to Indonesia pada 1 Mei 2024.
Investigasi yang melibatkan sejumlah mitra media internasional dan Indonesia, termasuk Tempo, mengungkap jaringan perdagangan teknologi pengawasan digital ke Indonesia sepanjang 2017–2023.
Penelusuran tersebut menemukan jejak penjualan dan pengiriman sejumlah perangkat pengawasan canggih yang berasal dari perusahaan di Israel, Yunani, Singapura, dan Malaysia. Beberapa perusahaan yang teridentifikasi memiliki keterkaitan dengan produk spyware invasif, antara lain Wintego Systems, Saito Tech atau Candiru, Intellexa Consortium, Q Cyber Technologies yang terkait dengan NSO Group, serta FinFisher.
Salah satu temuan yang menarik perhatian adalah catatan pengiriman sistem pengawasan siber kepada Kepolisian Negara Republik Indonesia (Polri) dengan nilai transaksi puluhan juta dolar Amerika Serikat.
Temuan ini sekaligus membuka pertanyaan mengenai transparansi pengadaan, pengawasan penggunaan teknologi intelijen, serta perlindungan hak privasi masyarakat.
Transaksi spyware mencapai Rp496 miliar
Laporan Amnesty International mengungkap sejumlah catatan perdagangan yang menunjukkan adanya pengiriman perangkat pengawasan digital melalui perusahaan perantara di Singapura.
Salah satu transaksi yang ditelusuri berkaitan dengan Wintego Systems, perusahaan teknologi pengawasan asal Israel.
Berdasarkan data perdagangan yang diperoleh Amnesty, pada 9 September 2019 terdapat pengiriman barang dengan keterangan WINT SYSTEM ADVAN C/W ACCESSORIES BAIK, BARU dari perusahaan Singapura ESW Systems PTE LTD kepada Slog Polri.
Nilai yang tercantum dalam dokumen tersebut mencapai US$5.594.053,87.
Dengan asumsi kurs Rp15.000 per dolar AS, nilainya setara sekitar Rp83,9 miliar.
Wintego dikenal mengembangkan teknologi pengawasan siber, termasuk produk Helios untuk perangkat Android dan sistem intelijen jaringan dengan merek WINT.
Amnesty juga menemukan catatan perdagangan lain yang dikaitkan dengan sistem Candiru.
Dalam periode 2020–2021, terdapat tiga pengiriman dari perusahaan Singapura Heha PTE LTD kepada Kepolisian Negara Republik Indonesia. Dokumen perdagangan menyebut barang tersebut sebagai komponen sistem Cyber Intelligence Infiltration and Exfiltration System.
Nilai gabungan ketiga pengiriman mencapai US$33.089.849,96 atau sekitar Rp496,3 miliar dengan asumsi kurs Rp15.000 per dolar AS.
Dari penelusuran spesifikasi perangkat keras, lisensi perangkat lunak, waktu pengiriman, dan dokumen penawaran yang beredar, Amnesty menilai terdapat korelasi kuat antara pengiriman tersebut dengan sistem pengawasan Candiru.
Temuan ini penting karena menunjukkan bahwa pengadaan teknologi pengawasan digital dapat melibatkan jaringan perusahaan lintas negara yang tidak selalu memperlihatkan identitas produsen secara langsung dalam dokumen perdagangan.
Namun, angka Rp496,3 miliar tersebut merupakan nilai tiga pengiriman yang dikaitkan dengan sistem Candiru, bukan keseluruhan anggaran pengadaan spyware pemerintah Indonesia.
Demikian pula, nilai pengiriman Wintego merupakan transaksi tersendiri dan tidak boleh langsung dijumlahkan sebagai total belanja seluruh teknologi pengawasan negara.
Mengapa pengadaan dilakukan melalui perusahaan Singapura?
Salah satu aspek yang disoroti Amnesty adalah penggunaan perusahaan perantara atau broker dalam perdagangan teknologi pengawasan.
Dalam sejumlah transaksi yang diteliti, perusahaan berbasis Singapura berperan sebagai pengirim atau perantara pengadaan perangkat yang berasal dari perusahaan teknologi pengawasan di negara lain.
Pola tersebut membuat proses penelusuran asal produk, produsen sebenarnya, pemilik manfaat perusahaan, hingga pengguna akhir menjadi lebih rumit.
Dalam industri teknologi keamanan siber, perangkat keras dan perangkat lunak juga dapat diperdagangkan secara terpisah.
Akibatnya, nama produsen tidak selalu tercantum secara langsung pada dokumen pengiriman. Peneliti harus mencocokkan spesifikasi perangkat, lisensi, dokumen perdagangan, dan infrastruktur jaringan untuk mengidentifikasi kemungkinan hubungan antara produk dan pemasoknya.
Amnesty menilai struktur perdagangan yang tidak transparan dapat menyulitkan pengawasan independen oleh pemerintah, regulator, lembaga peradilan, maupun masyarakat sipil.
Polri dan BSSN masuk dalam temuan investigasi
Laporan Amnesty International mengidentifikasi adanya penjualan dan penerapan teknologi pengawasan yang berkaitan dengan sejumlah perusahaan dan lembaga negara Indonesia.
Dua institusi yang disebut dalam laporan tersebut adalah Kepolisian Negara Republik Indonesia dan Badan Siber dan Sandi Negara (BSSN).
1. Kepolisian Negara Republik Indonesia
Nama Polri muncul secara eksplisit dalam sejumlah catatan perdagangan yang ditelusuri Amnesty.
Dalam pengiriman Wintego pada September 2019, Slog Polri tercantum sebagai penerima barang.
Sementara itu, tiga pengiriman sistem yang dikaitkan dengan Candiru pada 2020 dan 2021 juga mencantumkan Kepolisian Negara Republik Indonesia sebagai penerima.
Amnesty menyatakan telah meminta klarifikasi kepada Polri mengenai pengadaan, impor, dan penggunaan teknologi pengawasan tersebut.
Dalam laporan yang diterbitkan Mei 2024, Amnesty menyebut Polri tidak memberikan jawaban substantif terhadap pertanyaan mengenai temuan investigasi tersebut.
2. Badan Siber dan Sandi Negara
BSSN juga masuk dalam peta investigasi Amnesty mengenai perdagangan dan penerapan teknologi pengawasan di Indonesia.
Namun, temuan mengenai BSSN perlu dibedakan dari catatan pengiriman Wintego dan Candiru yang secara eksplisit mencantumkan Polri sebagai penerima.
Penelusuran Amnesty turut menggunakan pemetaan infrastruktur internet untuk mengidentifikasi keberadaan sistem pengawasan yang berkaitan dengan Indonesia.
Metode tersebut dapat membantu menghubungkan infrastruktur spyware dengan jaringan di suatu negara, tetapi tidak selalu dapat memastikan lembaga tertentu sebagai operatornya.
Karena itu, penyebutan BSSN dalam laporan tidak boleh ditafsirkan bahwa lembaga tersebut otomatis menjadi pengguna seluruh produk spyware yang diidentifikasi.
Lima perusahaan yang muncul dalam investigasi spyware Indonesia
Investigasi Amnesty mengidentifikasi sejumlah perusahaan dan konsorsium yang produknya memiliki keterkaitan dengan perdagangan atau penerapan teknologi pengawasan di Indonesia.
Berikut profil singkatnya.
Wintego Systems
Wintego merupakan perusahaan teknologi pengawasan asal Israel yang mengembangkan perangkat pengintai untuk telepon seluler serta teknologi intersepsi jaringan.
Salah satu produknya adalah Helios, yang berkaitan dengan pengawasan perangkat Android.
Dalam penelusuran Amnesty, perusahaan ini dikaitkan dengan pengiriman sistem WINT kepada Slog Polri melalui perusahaan perantara di Singapura.
Saito Tech atau Candiru
Candiru merupakan nama yang dikenal dalam industri spyware komersial dan kini dikaitkan dengan Saito Tech.
Amnesty menemukan infrastruktur digital yang dikaitkan dengan sistem Candiru serta tiga pengiriman perangkat dan lisensi ke Indonesia dengan nilai gabungan sekitar US$33,09 juta.
Penelusuran juga menemukan sejumlah domain yang menyerupai situs media dan sumber informasi Indonesia. Domain semacam ini dapat digunakan sebagai bagian dari infrastruktur serangan digital untuk mengelabui calon target.
Intellexa Consortium
Intellexa merupakan konsorsium perusahaan teknologi pengawasan yang dikenal melalui produk Predator.
Amnesty mengidentifikasi infrastruktur yang berkaitan dengan Predator dan sejumlah domain yang diduga dirancang untuk menyasar pengguna di Indonesia.
Predator termasuk spyware invasif yang menjadi perhatian berbagai organisasi pembela hak digital dan hak asasi manusia.
Q Cyber Technologies dan NSO Group
Q Cyber Technologies memiliki keterkaitan dengan NSO Group, perusahaan Israel yang dikenal melalui produk Pegasus.
IndonesiaLeaks pada 2023 sebelumnya melaporkan informasi mengenai pasokan teknologi pengawasan dari jaringan NSO Group kepada otoritas Indonesia.
Namun, Amnesty menyatakan bahwa informasi mengenai akses Pegasus yang dilaporkan IndonesiaLeaks belum dapat dikonfirmasi secara independen dalam penelitiannya.
FinFisher
FinFisher dikenal sebagai pengembang perangkat lunak pengawasan FinSpy.
Amnesty menelusuri infrastruktur FinFisher dan hubungan perdagangan perangkat keras dengan perusahaan yang memiliki keterkaitan dengan Indonesia.
Salah satu temuan historis yang menjadi rujukan adalah penelitian Citizen Lab mengenai server FinSpy yang dikaitkan dengan Lembaga Sandi Negara, institusi yang kemudian berubah menjadi BSSN pada 2017.
Temuan historis tersebut tidak otomatis membuktikan bahwa BSSN mengoperasikan seluruh produk FinFisher maupun perangkat spyware lain yang disebut dalam laporan.
Cara kerja spyware: Dari tautan jebakan hingga penguasaan ponsel
Salah satu hal yang membuat teknologi spyware modern menjadi perhatian adalah kemampuannya mengumpulkan informasi dari perangkat tanpa sepengetahuan pemiliknya.
Berbeda dengan aplikasi berbahaya biasa, spyware tingkat tinggi dapat memanfaatkan celah keamanan pada sistem operasi maupun aplikasi yang digunakan sehari-hari.
Meski demikian, setiap produk memiliki kemampuan dan metode serangan berbeda. Tidak semua spyware dapat melakukan seluruh fungsi pengawasan.
Berikut beberapa mekanisme yang dikenal dalam teknologi tersebut.
1. Menyusup melalui tautan yang menyerupai situs berita
Salah satu metode yang ditemukan dalam investigasi adalah serangan one-click.
Target menerima tautan yang tampak seperti berita, informasi politik, layanan digital, atau situs yang terlihat meyakinkan.
Ketika tautan dibuka, perangkat dapat diarahkan ke infrastruktur serangan yang memanfaatkan kelemahan pada browser atau sistem operasi.
Amnesty menemukan sejumlah domain yang menyerupai situs media nasional dan regional Indonesia dalam pemetaan infrastruktur spyware.
Strategi tersebut menunjukkan bahwa konten yang terlihat biasa dapat dimanfaatkan sebagai umpan untuk membawa pengguna ke halaman berbahaya.
2. Menyerang tanpa perlu mengeklik tautan
Metode lain yang lebih canggih dikenal sebagai zero-click exploit atau eksploitasi tanpa interaksi pengguna.
Pada metode ini, penyerang memanfaatkan celah keamanan dalam komponen perangkat lunak, misalnya sistem pemrosesan pesan atau layanan komunikasi.
Apabila eksploitasi berhasil, perangkat dapat disusupi tanpa korban membuka tautan atau memasang aplikasi tertentu.
Kemampuan semacam ini pernah menjadi perhatian dalam berbagai kasus spyware komersial, termasuk Pegasus.
Namun, tidak semua produk yang disebut dalam investigasi Amnesty terbukti menggunakan metode zero-click.
3. Mengakses data dan komunikasi pribadi
Setelah memperoleh akses yang cukup tinggi ke perangkat, spyware tertentu dapat mengumpulkan berbagai informasi yang tersimpan di dalam ponsel.
Data yang berpotensi diakses antara lain:
Daftar kontak dan informasi komunikasi.
Pesan yang tersimpan dalam perangkat.
Foto, video, dan dokumen pribadi.
Riwayat aktivitas internet.
Informasi lokasi dan pergerakan perangkat.
Data aplikasi yang dapat dijangkau oleh perangkat lunak tersebut.
Pada produk tertentu, kemampuan pengawasan juga dapat mencakup perekaman audio, pengambilan gambar, dan pemantauan aktivitas perangkat.
Kemampuan aktual bergantung pada jenis spyware, versi sistem operasi, celah keamanan yang dimanfaatkan, serta tingkat akses yang berhasil diperoleh.
4. Mengapa pesan terenkripsi tetap berisiko?
Aplikasi komunikasi seperti WhatsApp dan Signal menggunakan teknologi enkripsi untuk melindungi isi pesan ketika dikirimkan melalui jaringan.
Namun, enkripsi tidak otomatis membuat perangkat yang telah terinfeksi spyware menjadi aman.
Apabila perangkat berhasil dikuasai dengan hak akses yang memadai, penyerang dapat berupaya mengambil informasi langsung dari perangkat sebelum pesan dienkripsi atau setelah pesan diterima dan dibuka.
Dengan kata lain, serangan tidak selalu harus membobol sistem enkripsi aplikasi. Perangkat pengguna itu sendiri dapat menjadi titik lemah.
5. Menyembunyikan aktivitas dari pemilik ponsel
Spyware canggih dirancang agar aktivitasnya tidak mudah dikenali.
Sejumlah teknik dapat digunakan untuk menyamarkan komunikasi dengan server pengendali, mengurangi jejak aktivitas, serta menghindari deteksi perangkat keamanan.
Namun, tidak tepat menyimpulkan bahwa seluruh spyware memiliki kemampuan menghapus dirinya secara otomatis ketika antivirus atau pemeriksaan forensik dijalankan.
Kemampuan tersebut harus dibuktikan melalui pemeriksaan teknis terhadap masing-masing produk.
Ancaman terbesar bukan hanya penyadapan, tetapi hilangnya privasi
Teknologi pengawasan digital memang dapat memiliki kegunaan dalam penegakan hukum, pemberantasan kejahatan, dan perlindungan keamanan nasional.
Namun, kemampuan mengakses informasi pribadi dalam skala luas juga menimbulkan risiko serius apabila penggunaannya tidak dibatasi oleh hukum dan mekanisme pengawasan yang memadai.
Jurnalis, aktivis, pembela hak asasi manusia, akademisi, hingga masyarakat umum dapat menghadapi risiko ketika teknologi pengawasan digunakan secara tidak sah.
Informasi pribadi yang terkumpul dapat mencakup komunikasi, hubungan sosial, aktivitas digital, dan lokasi seseorang.
Dalam konteks tersebut, persoalan spyware tidak hanya berkaitan dengan keamanan teknologi, tetapi juga perlindungan kebebasan berekspresi, hak atas privasi, serta kebebasan berkumpul dan berorganisasi.
Amnesty International menyoroti perlunya pengaturan yang lebih kuat terhadap perdagangan dan penggunaan perangkat pengawasan invasif, termasuk transparansi pengadaan dan mekanisme pertanggungjawaban.
Bagaimana hukum Indonesia mengatur penyadapan?
Di Indonesia, penyadapan dan intersepsi komunikasi bukan tindakan yang dapat dilakukan secara bebas oleh siapa pun.
Pasal 31 Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah terakhir melalui Undang-Undang Nomor 1 Tahun 2024 mengatur larangan intersepsi atau penyadapan atas informasi elektronik dan dokumen elektronik dalam kondisi yang tidak dibenarkan hukum.
Ketentuan tersebut juga mengenal pengecualian untuk kepentingan penegakan hukum berdasarkan peraturan perundang-undangan.
Artinya, kepemilikan perangkat pengawasan canggih tidak serta-merta memberikan kewenangan tanpa batas kepada suatu lembaga untuk memantau komunikasi masyarakat.
Penggunaan teknologi semacam ini tetap harus memiliki dasar kewenangan yang sah dan tunduk pada ketentuan hukum yang berlaku.
Persoalan lainnya adalah bagaimana memastikan proses pengadaan, pengoperasian, penyimpanan hasil pengawasan, serta penghapusan data dilakukan secara bertanggung jawab.
Amnesty tidak memastikan siapa korban penyadapan di Indonesia
Ada satu hal penting yang perlu diperhatikan ketika membaca laporan tersebut.
Investigasi Amnesty International berfokus pada perdagangan, pengiriman, dan pemetaan infrastruktur teknologi pengawasan. Penelitian itu bukan pemeriksaan forensik terhadap seluruh perangkat milik individu di Indonesia.
Karena itu, laporan tersebut tidak dapat dijadikan bukti bahwa seseorang atau kelompok tertentu telah menjadi korban penyadapan oleh lembaga negara yang disebut.
Amnesty juga menjelaskan bahwa sifat operasi spyware yang tersembunyi membuat identifikasi korban dan pembuktian penyalahgunaan menjadi sangat sulit.
Dengan demikian, temuan perdagangan dan infrastruktur harus dibedakan dari bukti bahwa perangkat telah digunakan untuk menyadap individu tertentu.
Pembedaan ini penting agar informasi mengenai teknologi pengawasan tidak berkembang menjadi tuduhan yang belum terverifikasi.
Transparansi pengadaan menjadi pekerjaan rumah pemerintah
Temuan Amnesty International memperlihatkan bahwa perdagangan teknologi pengawasan digital melibatkan jaringan perusahaan lintas negara dengan struktur yang tidak sederhana.
Pengadaan perangkat semacam ini tidak cukup hanya dinilai berdasarkan kemampuan teknis dan kepentingan operasional.
Pemerintah juga perlu memastikan adanya dasar hukum yang jelas, mekanisme pengawasan independen, pembatasan penggunaan, serta pertanggungjawaban apabila terjadi penyalahgunaan.
Publik juga membutuhkan kejelasan mengenai bagaimana negara mengawasi perdagangan teknologi berisiko tinggi, siapa yang memiliki kewenangan mengoperasikannya, dan bagaimana perlindungan terhadap data pribadi dijalankan.
Pada akhirnya, persoalan spyware bukan semata-mata tentang seberapa canggih teknologi yang dibeli atau berapa besar nilai transaksinya.
Pertanyaan yang jauh lebih mendasar adalah siapa yang mengawasi penggunaan teknologi tersebut, bagaimana kewenangannya dibatasi, dan bagaimana negara memastikan perangkat yang digunakan atas nama keamanan tidak berubah menjadi ancaman bagi privasi warga negara.*
,%20Prof.%20Dr.%20Suparji%20Ahmad,%20S.H.,%20M.H..jpg)
.jpg)
Amnesty mengungkap jejak perdagangan spyware di Indonesia, transaksi Rp496 miliar, perusahaan pemasok, Polri, BSSN, dan ancaman privasi digital.