Audio dibuat menggunakan AI.
Dr. Wim Tangkilisan, S.H., M.Sc.
Pemimpin Redaksi PinterPolitik.com
Chairman, PinterPolitik Center for Strategic Policy Analysis
KATA PEMRED #37
PinterPolitik.com
Ponsel itu retak di sudut kanan atas. Layarnya tidak pernah berhenti menyala. Ibu-ibu sedang ramai memperdebatkan harga cabai di grup chat keluarga. Seorang keponakan baru saja mengirim foto makan siangnya. Lalu, di sela percakapan itu, sebuah iklan melintas. Muncul kurang dari 1 detik, lalu hilang. Tidak ada yang mengkliknya. Tidak ada yang mengingatnya. Percakapan berlanjut seperti biasa.
Iklan semacam itu melintas jutaan kali setiap hari di layar orang Indonesia. Baru pada Desember 2025 para peneliti keamanan menemukan apa yang bisa menumpang di baliknya.
Mari mulai dari Athena.
Pada 26 Februari 2026, pengadilan di ibu kota Yunani menjatuhkan vonis yang belum pernah terjadi dalam sejarah industri pengawasan global. Empat orang dinyatakan bersalah, termasuk Tal Dilian, pendiri Intellexa, mantan perwira intelijen Israel. Korban mereka lebih dari 90 orang: menteri, jurnalis, pengusaha, dan perwira militer senior. Media Yunani menyebutnya Watergate Yunani. Untuk pertama kalinya di dunia, eksekutif perusahaan spyware komersial dipidana atas cara produknya digunakan.
Ada detail yang luput dari kebanyakan pemberitaan. Vonis nominalnya 126 tahun per orang. Yang harus dijalani maksimal 8 tahun, karena seluruh dakwaan diadili sebagai pelanggaran ringan. Penyadapan industrial terhadap lebih dari 90 tokoh sebuah negara anggota Uni Eropa, secara hukum, setara kelasnya dengan kejahatan ringan. Itu pun ditangguhkan menunggu banding. Para terpidana pulang ke rumah pada hari vonis dibacakan.
Hukum pidana selalu tertinggal 1 generasi dari teknologi yang diadilinya. Athena baru saja membuktikannya dengan angka.
Publik mengenal Predator sebagai industri spyware. Penamaan itu terlalu sempit. Spyware hanyalah produknya. Yang sesungguhnya diperdagangkan adalah fungsi inti kedaulatan: kemampuan negara untuk mengetahui. Yang dijual bukan perangkat lunak. Yang dijual adalah hak istimewa untuk mengetahui lebih dulu.
Selama sebagian besar sejarah modern, kemampuan intelijen merupakan atribut kedaulatan. Negara membangun badan intelijen seperti membangun tentara atau sistem perpajakan. Kini kemampuan menyusup ke ponsel, membaca pesan, mengaktifkan mikrofon, dan melacak pergerakan seseorang tidak lagi harus dibangun dari nol. Kemampuan itu dapat dibeli melalui kontrak komersial yang tidak jauh berbeda dari pembelian perangkat lunak perusahaan.
Negara dahulu merekrut mata-mata. Kini ia dapat merekrut vendor.
Di sinilah jebakan yang paling jarang dibicarakan: kapasitas tidak sama dengan kedaulatan. Negara yang membeli alat canggih tampak semakin kuat. Secara institusional ia justru bisa semakin rapuh, karena exploit, pemeliharaan, dan pembaruan alat itu dikuasai pihak lain di yurisdiksi lain. Negara yang tidak menguasai rantai pasoknya tidak benar-benar menguasai hasil pengawasannya. Negara yang membeli mata dari luar negeri perlahan meminjam sebagian kedaulatannya dari luar negeri. Ia membeli kekuatan sambil menyewa kelemahannya.
Banyak analis memperingatkan bahwa Indonesia sedang menuju negara pengawas. Saya tidak yakin itu diagnosis yang tepat. Negara pengawas klasik, dari Stasi hingga KGB, membangun seluruh aparatusnya sendiri. Yang muncul hari ini berbeda: vendor asing, reseller, broker data, perantara Singapura. Kita tidak sedang kembali ke abad pengawasan negara. Kita sedang memasuki abad pengawasan yang dialihdayakan.
Indonesia ada di dalam peta itu.
Investigasi Amnesty International Security Lab bersama Haaretz, Inside Story, Tempo, WAV Research Collective, dan Woz menemukan bukti penjualan teknologi pengawasan invasif ke perusahaan dan lembaga negara Indonesia dalam rentang 2017 hingga 2023, termasuk Polri dan BSSN. Pemasoknya datang dari Israel, Yunani, Singapura, dan Malaysia: Q Cyber yang terkait NSO Group, Intellexa pemilik Predator, Candiru, FinFisher, hingga Wintego. Banyak transaksi mengalir melalui perusahaan perantara di Singapura, dengan struktur korporasi berlapis. Kerumitan lintas yurisdiksi itu bukan kecacatan sistem. Ia desain.
Lebih teknis lagi. Server backend Predator terdeteksi di alamat IP Indonesia sejak Desember 2021 dan diyakini aktif hingga Desember 2023. Domain infeksinya dirancang dengan kecerdikan yang dingin: Suaraoposisi[.]net, tiruan situs Suara Papua, dan geloraku[.]id. Korban tidak diserang dengan ancaman. Korban diserang dengan rasa ingin tahunya sendiri. Satu sentuhan pada tautan berita yang tampak sah. Itu saja.
Bagaimana barang semacam ini melewati meja pengadaan? Bocoran dokumen Intellexa mencatat pengiriman senilai sekitar 12,4 juta dolar AS ke 1 negara Asia Tengah dengan deskripsi resmi: kompleks perangkat keras dan lunak untuk “analisis data”. Spyware paling invasif di dunia masuk pembukuan negara dengan nomenklatur pembelian server kantor pajak. Bahayanya bukan pada kerahasiaan operasinya, tetapi pada banalitas administrasinya. Spyware masuk lewat bahasa belanja biasa.
Ada lapisan yang membuat ini mendesak bagi Indonesia hari ini. Negara sedang melakukan konsolidasi digital terbesar dalam sejarahnya: Pusat Data Nasional, INA Digital, identitas kependudukan digital. Semua atas nama efisiensi, dan efisiensi itu nyata. Tetapi konsolidasi memiliki aritmetika keamanannya sendiri: semakin sukses integrasi digital sebuah negara, semakin tinggi nilai 1 akses yang berhasil dikompromikan. Insiden Pusat Data Nasional Sementara pada Juni 2024 memberi kita pratinjau kecilnya. Pada abad lalu, yang dijaga adalah istana. Pada abad ini, yang dijaga adalah database.
Tentu ada argumen yang sah. Dunia tidak sedang menjadi lebih aman. Negara memang membutuhkan kemampuan intelijen. Argumen itu layak didengar.
Tetapi Desember 2025 menghadirkan temuan yang seharusnya membuat setiap pejabat pengguna teknologi ini terdiam. Bocoran internal Intellexa, dianalisis Amnesty Security Lab, Google Threat Intelligence Group, dan Insikt Group, mengungkap satu detail kecil yang akibatnya tidak kecil. Staf Intellexa dapat mengakses dari jarak jauh sistem pengawasan milik klien mereka. Termasuk sistem yang terpasang di fasilitas pemerintah negara pembeli. Alat aksesnya hanya TeamViewer.
Perangkat yang sama dengan yang dipakai teknisi memperbaiki komputer kantor.
Selama ini kita mempelajari satu ancaman: negara menyadap warga. Ancaman yang lebih baru berlapis: vendor menyadap negara yang sedang menyadap warga. Vendor yang hadir saat instalasi, pemeliharaan, dan pembaruan bukan lagi sekadar vendor. Ia pemegang akses strategis. Masalahnya bukan hanya siapa yang disadap. Masalahnya siapa yang memegang kunci atas alat penyadapnya.
Dan mereka yang paling dekat dengan kekuasaan justru paling berkepentingan. Dokumen Predator Files menunjukkan target yang mencakup anggota Kongres Amerika Serikat, pejabat PBB, dan pucuk pimpinan politik berbagai negara. Di Yunani, korbannya termasuk menteri aktif dan panglima militer. Teknologi yang dapat menyadap aktivis dapat menyadap menteri. Teknologi yang dapat menyadap jurnalis dapat menyadap presiden. Infrastrukturnya sama persis. Ini isu integritas komando negara dalam pengertiannya yang paling harfiah.
Industri ini pun luar biasa tangguh. Amerika Serikat menjatuhkan sanksi kepada Intellexa pada 2024. Sanksi itu dicabut tahun berikutnya di bawah pemerintahan Presiden Trump. Yunani sendiri memberi epilog paling jujur: setelah skandal meledak, parlemennya justru melegalkan penggunaan perangkat pengawasan oleh negara dengan syarat tertentu. Pasar tidak melawan regulasi. Ia menunggu regulasi datang menjemputnya.
Di sinilah pekerjaan rumah kita. Indonesia memiliki UU Pelindungan Data Pribadi dan Komdigi. Tetapi Indonesia belum memiliki kerangka yang spesifik mengatur pengadaan, impor, dan pengawasan parlemen atas teknologi intersepsi komersial. Asimetri ini layak disebut dengan nama sebenarnya: instrumen untuk mengatur ekspresi warga tersedia lengkap, kerangka untuk mengatur alat yang mengawasi warga nyaris tidak ada. Yang paling mudah diatur di republik ini ternyata warganya, bukan alat pengawasnya.
Ponsel yang retak itu masih menyala di meja.
Temuan Desember 2025 mencatat satu hal lagi. Intellexa terus mengembangkan vektor infeksi berbasis iklan, advertising intelligence. Infeksi yang menumpang pada ekosistem periklanan digital. Ekosistem yang sama dengan yang menampilkan promosi sepatu di layar Anda, di grup chat keluarga Anda, di sela perdebatan harga cabai. Vektor ini tidak membutuhkan klik. Ia hanya membutuhkan layar yang menyala.
Nasihat lama berbunyi: jangan klik tautan asing. Nasihat itu kini usang. Iklan tidak lagi sekadar menjual produk. Iklan menjual akses. Yang diretas bukan ponsel. Yang diretas adalah ekosistem yang mengantar iklan ke ponsel.
Iklan yang melintas kurang dari 1 detik itu hampir pasti hanya iklan. Hampir pasti. Tetapi kata “hampir” itulah yang kini memiliki harga, distributor, dan rantai pasok global.
Republik Sunyi lahir bukan ketika negara mengawasi warga. Negara selalu melakukan itu sepanjang sejarah. Republik Sunyi lahir ketika fungsi pengawasan itu sendiri mulai diperdagangkan. Ketika kekuasaan tidak lagi datang dengan seragam, gedung besar, atau pidato resmi. Kadang ia datang sebagai lisensi tahunan.
Dan ketika demokrasi sibuk mengawasi negara, ia mungkin belum sepenuhnya menyadari bahwa pasar telah belajar menjual mata kepada negara. Sambil menyimpan kunci duplikatnya.
**********************
Tentang Penulis
Dr. Wim Tangkilisan, S.H., M.Sc.
Pemimpin Redaksi PinterPolitik.com
Chairman, PinterPolitik Center for Strategic Policy Analysis
Hak cipta dilindungi Undang-Undang Nomor 28 Tahun 2014 tentang Hak Cipta. Penggandaan, pengutipan, atau penyebaran sebagian atau seluruh tulisan ini tanpa izin tertulis dapat dikenai ketentuan pidana Pasal 113.
