Kuda Terbang di Kantor Intel

PERETASAN yang menimpa sejumlah aktivis belakangan ini menjadi momok bagi para pegiat antikorupsi dan hak asasi manusia. Direktur Eksekutif Lokataru, Haris Azhar, mengatakan sangat mungkin negara terus memantau aktivitas mereka. “Negara punya alat canggih dan infrastruktur yang menutup celah bagi kami untuk tak terpantau,” ujar Haris saat dihubungi pada Jumat, 26 Juni lalu.

Ketua Umum Yayasan Lembaga Bantuan Hukum Indonesia Asfinawati menyampaikan hal serupa. Lantaran tak ada transparansi mengenai alat-alat sadap yang dimiliki lembaga pemerintah, Asfinawati khawatir alat itu disalahgunakan. Apalagi tidak ada pengawasan ketat terhadap aktivitas penyadapan.

Kepemilikan atas alat-alat sadap canggih ini dibenarkan sejumlah anggota Komisi Pertahanan dan Intelijen Dewan Perwakilan Rakyat yang dihubungi Tempo. Salah satu alat itu adalah Pegasus, program perusak sekaligus mata-mata (spyware) buatan NSO Group Technologies, perusahaan asal Israel. Perangkat lunak ini dapat digunakan untuk menginfeksi telepon seluler dan mengambil data berupa foto, percakapan, serta nomor kontak, juga merekam pembicaraan target dari jarak jauh.

Anggota Komisi Pertahanan dan Intelijen DPR dari Partai Demokrasi Indonesia Perjuangan, Effendi Muara Sakti Simbolon, dan politikus Partai Demokrat, Sjarifuddin Hasan, membenarkan adanya Pegasus. “Barang itu sudah lama digunakan,” ujar Effendi. Menolak menyebut nama lembaga negara yang menggunakan peralatan itu, Effendi mengatakan Pegasus digunakan untuk memata-matai kelompok teroris. Salah satunya untuk Operasi Tinombala di Sulawesi Tengah yang berlangsung sejak 2016. Dia juga mengungkapkan Pegasus dipakai untuk mengejar kelompok bersenjata di Papua.

Seorang sumber yang mengetahui kehadiran Pegasus menyebutkan alat itu dibanderol Rp 450 miliar. Menurut sumber tersebut, alat itu diduga dimiliki lembaga intelijen yang berada di Jakarta Selatan. NSO Group Technologies dalam brosur pengenalan produknya menyatakan Pegasus hanya diperuntukkan bagi organisasi yang berwenang melawan kejahatan dan teroris.

Namun Pegasus—diambil dari nama kuda jantan bersayap dalam legenda Yunani—tak hanya digunakan untuk memantau teroris ataupun pelaku kejahatan. Mantan anggota staf intelijen Amerika Serikat, Edward Snowden, menuding Arab Saudi menggunakan Pegasus untuk mengintai Jamal Khashoggi, yang kritis kepada pemerintah Saudi. Khashoggi tewas dimutilasi di Konsulat Arab Saudi di Istanbul, Turki, pada 2 Oktober 2018.

Irene Poetranto, peneliti senior di The Citizen Lab, laboratorium penelitian interdisipliner yang berbasis di Munk School of Global Affairs, University of Toronto, mengatakan NSO mengambil keuntungan dari celah yang dikenal sebagai zero days, kerentanan tersembunyi dalam sistem operasi perangkat telepon yang dapat disusupi peretas. Hal itu terungkap dalam penelitian yang dirilis Citizen Lab pada 2016, setelah pegiat hak asasi asal Arab, Ahmed Mansoor, melaporkan telepon selulernya menerima pesan berisi tautan daftar orang yang disiksa di penjara Uni Emirat Arab.

Jejak Pegasus di Indonesia terekam dalam dokumen gugatan yang diajukan WhatsApp melalui perusahaan induknya, Facebook, kepada NSO pada Oktober tahun lalu ke pengadilan federal di San Francisco, Amerika Serikat. Facebook menuding NSO meretas 1.400 akun yang sebagian dimiliki aktivis dan jurnalis. Facebook menyebutkan NSO membuat akun WhatsApp yang digunakan untuk mengirim malware ke perangkat target. Akun itu menggunakan nomor telepon Indonesia, Brasil, Israel, Swedia, Belanda, dan Siprus. NSO membantah tudingan peretasan itu.

Alat sadap lain yang diduga digunakan di Indonesia adalah FinFisher. Pada 2015, Citizen Lab menemukan dua server FinFisher dengan Internet Protocol address (IP address) dari sub-jaringan berkode 28 yang diduga berlokasi di Indonesia. Dugaan itu berdasarkan penelusuran IP address yang dipakai karyawan Hacking Team untuk mengirimkan surat elektronik ketika berada di Indonesia pada 6 Februari 2013. Surel itu bocor lantaran perusahaan keamanan digital asal Italia itu dapat diretas.

Penelusuran Citizen Lab menunjukkan surel yang dikirim pada pukul 12.39 itu diduga dilayangkan dari lokasi Lembaga Sandi Negara—kini Badan Siber dan Sandi Negara (BSSN). IP address di surel yang bocor itu sama dengan IP address server FinFisher. Adapun pada pukul 10 karyawan Hacking Team berada di kantor Badan Siber untuk mendemonstrasikan peralatan produksi mereka.

Citizen Lab juga merilis temuannya pada 2013 yang menyebutkan ada delapan server FinFisher di tiga penyedia jasa Internet di Indonesia. Salah satunya PT Telkom Indonesia. Kepala Subbagian Hubungan Media BSSN Abdul Ghofur mengatakan belum bisa memberikan penjelasan tentang penggunaan FinFisher. “Kami masih menunggu izin dari pimpinan,” ujarnya. Sedangkan Assistant Vice President External Communication Corporate Communication Telkom Pujo Pramono tak merespons panggilan telepon ataupun pesan WhatsApp Tempo pada Sabtu, 27 Juni lalu.

Irene Poetranto mengatakan kehadiran server FinFisher di suatu negara belum tentu menjadi bukti bahwa pemerintah membeli atau mengoperasikan peralatan tersebut. “Kami tak punya data lebih jauh alat itu digunakan pemerintah atau bukan. Bisa saja ada orang atau kelompok lain yang menggunakannya,” ujar Irene.

Pakar forensik digital, Ruby Zukri Alamsyah, mengatakan software FinFisher menyerupai Pegasus, tapi lebih dulu populer dan banyak digunakan instansi penegak hukum di dunia. “Menurut bocoran di WikiLeaks, harganya ratusan ribu sampai jutaan dolar Amerika. Tergantung kebutuhan fitur dan jumlah device yang menjadi target,” ujar Ruby. FinFisher dapat menginfeksi komputer ataupun handphone yang tidak dapat terdeteksi oleh anti­virus dan berfungsi mirip dengan Pegasus.

Perangkat lain yang diduga dipakai di Indonesia adalah Cellebrite UFED Touch, untuk melakukan proses analisis mobile forensic, yang digunakan kepolisian. Peralatan ini bisa menyedot data dari telepon seluler meski data itu sudah terhapus. Alat ini dipamerkan dalam peringatan ulang tahun Bhayangkara di lapangan Markas Komando Daerah Militer V/Brawijaya, Surabaya, pada Juli 2019.

Pakar hukum perlindungan data pribadi dari Universitas Padjadjaran, Sinta Dewi Rosadi, menyebutkan, dengan alat sadap yang canggih tersebut, negara tetap harus menjamin privasi warganya. Untuk bisa melakukan penyadapan, kata dia, harus ada izin dari pengadilan. Saat ini, menurut Sinta, ada puluhan aturan mengenai penyadapan yang tumpang-tindih antarlembaga yang perlu diselaraskan. “Negara semestinya melindungi hak privasi warga negaranya, bukan asal main sadap,” ujarnya.

DEVY ERNIS, RAYMUNDUS RIKANG, HUSEIN ABRI DONGORAN