JAKARTA, KALAWACA.COM — Badan intelijen siber Inggris, National Cyber Security Centre (NCSC), memperkirakan sekitar 100 negara kini telah membeli perangkat lunak penyadap komersial yang mampu membobol ponsel dan komputer. Pada 2023, jumlahnya masih 80 negara. Peringatan itu disampaikan di konferensi CYBERUK 2026 di Glasgow, April lalu. NCSC juga menyebut sasarannya kini meluas hingga bankir, eksekutif senior, dan orang-orang kaya.
Industri ini menjual produknya dengan klaim untuk memburu teroris dan pelaku kejahatan berat. Namun, dalam satu dekade terakhir, laboratorium forensik independen seperti Citizen Lab di Universitas Toronto dan Security Lab Amnesty International berulang kali menemukan spyware yang sama di ponsel jurnalis, pengacara, dan aktivis. Bagi pembaca di Indonesia, persoalan ini dekat: investigasi Amnesty pada 2024 menemukan jejak impor spyware ke lembaga negara di dalam negeri.
Dari puluhan produk di pasar, tiga nama paling sering muncul dalam temuan forensik: Pegasus, Predator, dan Graphite.
1. Pegasus (NSO Group, Israel)
Pegasus adalah nama paling dikenal di industri ini. Daya tariknya bagi pembeli adalah kemampuan zero-click: menginfeksi ponsel tanpa korban perlu mengeklik apa pun.
Jejak penyalahgunaannya panjang. Citizen Lab dan Access Now mengonfirmasi 35 kasus jurnalis dan anggota masyarakat sipil yang ponselnya berhasil diinfeksi Pegasus antara Juli 2020 dan November 2021. Di Thailand, sedikitnya 30 pegiat prodemokrasi terkonfirmasi secara forensik menjadi korban dalam periode yang hampir sama.
Tekanan hukum terhadap NSO meningkat. Pada Oktober 2025, Hakim Distrik California Utara, Phyllis Hamilton, menjatuhkan perintah permanen yang melarang NSO menyasar pengguna WhatsApp, sekaligus memangkas ganti rugi punitif dari 167,3 juta dolar AS menjadi 4 juta dolar AS. Bukti di persidangan menunjukkan NSO membongkar kode WhatsApp untuk memasang spyware secara diam-diam. NSO menanggapi bahwa perintah itu tidak berlaku bagi pelanggannya dan hanya terbatas pada WhatsApp. Departemen Perdagangan AS juga telah memasukkan NSO ke daftar hitam yang melarangnya memakai teknologi Amerika.
2. Predator (Konsorsium Intellexa)
Predator dipasarkan oleh Intellexa, jaringan perusahaan yang didirikan mantan perwira militer Israel, Tal Dilian, dan pernah bermarkas di Yunani. Menurut Departemen Keuangan AS, Predator memungkinkan kliennya—sebagian besar aktor negara—mengakses foto, data lokasi, pesan pribadi, dan rekaman mikrofon di ponsel korban.
Berbeda dengan Pegasus, Predator banyak ditemukan dalam serangan one-click: korban dibujuk membuka tautan. Kasus terbaru dilaporkan Amnesty pada Februari 2026. Pada Mei 2024, iPhone jurnalis Angola, Teixeira Cândido, terinfeksi Predator setelah ia membuka tautan yang dikirim lewat WhatsApp. Selama April hingga Juni 2024, penyerang menyamar sebagai mahasiswa untuk membangun kepercayaan sebelum mengirim tautan itu. Amnesty menyatakan pengguna Predator di negara itu belum dapat diidentifikasi secara pasti.
Sanksi belum menghentikan bisnis ini. Analisis Google Threat Intelligence Group pada Desember 2025 menunjukkan Intellexa terus menghindari pembatasan. Di sisi lain, pengadilan mulai bergerak: pada Februari 2026, pengadilan Yunani menjatuhkan hukuman delapan tahun penjara kepada Tal Dilian dalam perkara Predator yang menyasar pejabat dan jurnalis.
3. Graphite (Paragon Solutions, Israel)
Graphite adalah pemain yang lebih baru. Paragon memasarkannya sebagai alternatif yang lebih tertib dibandingkan Pegasus, tetapi klaim itu kini dipersoalkan.
Pada Januari 2025, WhatsApp memberi tahu sekitar 90 pengguna di sejumlah negara bahwa perangkat mereka disasar Graphite. Di Italia, Citizen Lab mengonfirmasi secara forensik bahwa Graphite dipakai dalam serangan zero-click terhadap sedikitnya tiga jurnalis Eropa, termasuk dua editor media investigasi Fanpage.it. Pada Maret 2026, jaksa Italia mengeluarkan konfirmasi independen pertama bahwa direktur Fanpage, Francesco Cancellato, diretas dengan spyware tersebut. Italia dan Paragon sama-sama menyatakan telah memutus kontrak, tetapi memberikan versi yang berbeda soal alasannya.
Klaim bahwa Graphite hanya menyasar aplikasi pesan juga dipertanyakan. Pada Februari 2026, penasihat hukum Paragon mengunggah tangkapan layar panel kendali Graphite ke LinkedIn. Peneliti keamanan sempat menyimpan gambar itu sebelum dihapus; sejumlah analis menilai gambar tersebut memperlihatkan akses hingga tingkat perangkat. Graphite juga dipakai di Amerika Serikat: pada April 2026, Badan Imigrasi dan Bea Cukai AS (ICE) mengonfirmasi penggunaannya dalam penyelidikan perdagangan narkoba.
Jejak di Indonesia
Pada Mei 2024, Security Lab Amnesty bersama Tempo, Haaretz, dan sejumlah media lain menerbitkan laporan A Web of Surveillance. Laporan itu menemukan bukti penjualan dan penggunaan spyware yang sangat invasif di Indonesia, bersumber dari Israel, Yunani, Singapura, dan Malaysia, antara 2017 dan 2023. Sebagian impor melewati perusahaan perantara di Singapura yang punya riwayat memasok teknologi pengawasan ke lembaga negara Indonesia. The Jakarta Post melaporkan, laporan itu menyebut Polri dan Badan Siber dan Sandi Negara (BSSN) di antara lembaga yang terkait.
Ada batasan penting dalam temuan ini. Riset Amnesty tidak mencakup pemeriksaan forensik atau upaya mengidentifikasi individu yang mungkin menjadi sasaran. Meski begitu, Amnesty menemukan nama domain berbahaya dan infrastruktur jaringan yang terhubung ke beberapa platform spyware dan tampaknya ditujukan ke orang-orang di Indonesia.
Direktur Eksekutif Amnesty International Indonesia, Usman Hamid, ketika itu mendesak pemerintah dan DPR segera membuat regulasi yang bermakna, termasuk melarang spyware yang sangat invasif. Menurut Amnesty, spyware jenis itu tidak mungkin dipakai dengan cara yang menghormati hak asasi manusia.
Mengapa sulit dikendalikan
Ketiga kasus di atas memperlihatkan pola yang sama. Vendor menjual ke pemerintah, sementara identitas pengguna akhir jarang bisa dipastikan. Perusahaan berganti nama dan struktur ketika terkena sanksi. Penjualan juga melewati perantara di yurisdiksi yang tidak membuka data kepemilikan perusahaan.
Putusan pengadilan di AS, Yunani, dan Italia menunjukkan pertanggungjawaban mulai bisa ditempuh. Namun, kasus-kasus itu baru terungkap karena ada notifikasi dari Apple, Google, atau WhatsApp, serta laboratorium forensik yang mau memeriksa ponsel korban.
Yang bisa dilakukan pengguna
Tidak ada perlindungan sempurna terhadap spyware kelas negara, tetapi beberapa langkah dapat mengurangi risiko:
- Perbarui sistem operasi dan aplikasi segera setelah pembaruan keamanan tersedia.
- Aktifkan Lockdown Mode di iPhone atau mode perlindungan lanjutan di Android bila Anda jurnalis, pembela HAM, atau pengacara yang menangani perkara sensitif.
- Waspadai tautan dari kontak baru, sekalipun pengirimnya tampak meyakinkan.
- Anggap serius notifikasi ancaman dari penyerang yang didukung negara dari Apple, Google, atau Meta, dan laporkan ke Security Lab Amnesty International atau Digital Security Helpline Access Now untuk pemeriksaan forensik.
Baca juga: Bisa Kuras Rekening Anda, Kenali Bahaya GB WhatsApp dan Social Spy
