Pegasus bukan satu-satunya perangkat lunak pengintai yang berpotensi mengancam data di ponsel dan komputer. Laporan A Web of Surveillance yang diterbitkan Amnesty International pada Mei 2024 mencatat jejak sejumlah teknologi pengawasan yang terkait dengan Indonesia dalam periode 2017-2023.
Data pribadi di perangkat digital dapat mencakup percakapan keluarga, informasi rekening, lokasi, serta agenda kerja. Namun, catatan transaksi, keberadaan server, dan bukti forensik pada perangkat korban merupakan tiga hal berbeda yang tidak dapat disamakan sebagai bukti penggunaan alat pengintai.
Pegasus dan Circles Beroperasi dengan Cara Berbeda
Pegasus, spyware buatan NSO Group, dapat menyusup ke perangkat iPhone maupun Android. Dalam serangan tanpa klik atau zeroclick, pengguna tidak perlu membuka tautan agar perangkat dapat disusupi.
Jika perangkat berhasil dikuasai, operator Pegasus berpotensi membaca pesan dan dokumen, mengetahui lokasi, serta mengaktifkan mikrofon dan kamera. Pesan yang memakai enkripsi pun dapat diakses apabila isinya telah dibaca langsung dari ponsel korban.
Amnesty mengutip dugaan pembelian Pegasus oleh Indonesia dari IndonesiaLeaks. Namun, dugaan tersebut tidak dikonfirmasi secara independen oleh Amnesty. Kemampuan teknis Pegasus juga tidak dengan sendirinya membuktikan adanya penyadapan terhadap pengguna di Indonesia.
Sementara itu, Circles yang berafiliasi dengan NSO Group bekerja melalui jaringan seluler. Sistem ini dapat memanfaatkan celah pada protokol persinyalan, termasuk SS7, untuk melacak lokasi, memperoleh data panggilan, dan dalam kondisi tertentu mencegat telepon biasa maupun SMS.
Berbeda dari Pegasus, Circles tidak secara langsung membobol isi ponsel. Jejak infrastruktur terkait Circles memang ditemukan di Indonesia, tetapi temuan itu tidak membuktikan isi percakapan di WhatsApp atau Telegram telah diakses.
FinSpy, WINT, dan Helios
FinSpy yang dibuat FinFisher dapat menyerang perangkat seluler dan komputer. Setelah terpasang, perangkat lunak ini dapat mengambil berkas, mengakses komunikasi, serta merekam audio atau video melalui mikrofon dan kamera. Risiko tersebut juga mencakup komputer kantor yang menyimpan dokumen sensitif.
Server yang dikaitkan dengan FinSpy pernah terdeteksi di Indonesia. Meski demikian, catatan pengiriman pada 2021 belum dapat dipastikan sebagai bukti pengadaan FinSpy.
Wintego memasarkan WINT sebagai perangkat pengawasan taktis yang disebut mampu melakukan penyadapan komunikasi, termasuk WhatsApp, dalam kondisi tertentu. Kemampuan tersebut tidak berarti seluruh komunikasi terenkripsi bisa dibaca hanya bermodal nomor telepon pengguna.
Perusahaan yang sama juga memiliki Helios, spyware Android yang memanfaatkan kelemahan keamanan untuk mengambil alih perangkat. Peneliti Google sebelumnya mengungkap eksploitasi Wintego terhadap ponsel Samsung. Helios ini berbeda dengan produk bernama serupa yang dikaitkan dengan Intellexa.
Amnesty menemukan jejak WINT dan Helios di Indonesia. Akan tetapi, temuan tersebut tidak mengungkap identitas orang yang menjadi sasaran teknologi itu.
Predator dan Cyrus Bisa Memanfaatkan Umpan Digital
Predator, spyware dari Intellexa, dapat mengambil pesan, surel, foto, data lokasi, dan rekaman mikrofon dari ponsel yang telah terinfeksi. Enkripsi ujung ke ujung tidak dapat melindungi isi percakapan apabila perangkat pengguna sudah berada di bawah kendali pihak lain.
Salah satu metode serangan Predator adalah penggunaan tautan berita palsu. Amnesty menemukan domain bertema politik, media, serta Papua dan server yang dikaitkan dengan Predator di Indonesia. Namun, temuan tersebut belum menunjukkan siapa sasaran serangan maupun serangan yang berhasil menginfeksi perangkat.
Candiru atau Saito Tech menawarkan produk bernama Cyrus untuk menyusup ke komputer, jaringan, dan ponsel. Spyware Candiru dapat mengambil berkas, data peramban, kata sandi, serta jenis pesan tertentu. Akun yang berhasil diambil alih juga dapat dipakai untuk mengirim pesan seolah-olah berasal dari pemilik akun.
Melalui analisis teknis, Amnesty mengaitkan nilai pengiriman lebih dari US$33 juta dengan Candiru. Nama produk tidak tercantum secara langsung dalam catatan tersebut, sehingga dugaan pengadaan tidak dapat diperlakukan sebagai bukti penyalahgunaan teknologi. Cara masuk spyware ini pun beragam, mulai dari serangan yang membutuhkan klik hingga eksploitasi celah perangkat atau jaringan seluler.
Langkah Perlindungan dan Pengawasan
Pengguna tidak cukup hanya mengandalkan kebiasaan menghindari tautan mencurigakan. Enkripsi melindungi komunikasi saat data dikirimkan, tetapi tidak mencegah pencurian isi pesan ketika ponsel atau komputer sudah diretas.
Langkah yang dapat dilakukan antara lain memperbarui sistem operasi, memakai metode autentikasi selain SMS, membatasi izin aplikasi, serta mengaktifkan PIN pada akun percakapan. Pejabat juga perlu memisahkan ponsel pribadi dan perangkat dinas, menjaga dokumen sensitif, serta menjalani pemeriksaan keamanan secara berkala.
Menurut ulasan inet, negara perlu memastikan jenis produk pengawasan yang dibeli, pihak yang mengoperasikannya, dasar hukum penggunaannya, serta mekanisme pengawasannya. Temuan terkait Indonesia dalam laporan tersebut bersumber dari Amnesty International Security Lab, dengan penjelasan teknis yang turut merujuk riset Citizen Lab dan Google Project Zero.