Dari Pegasus ke Predator: Bagaimana teknologi penyadapan "diselundupkan" ke Indonesia

Sejumlah perusahaan asal Israel ditengarai telah menjual teknologi penyadapan ke Indonesia sejak 2017. Berbasis laporan penjualan, data pengadaan, dan skrining internet, investigasi Amnesty International menemukan teknologi dan alat-alat penyadapan itu dipesan sejumlah lembaga negara, di antaranya Polri dan Badan Sandi dan Siber Nasional (BSSN). 

"Alat sadap invasif didesain untuk tertutup dan meninggalkan jejak minimum... Sangat sulit untuk mendeteksi kasus-kasus penyalahgunaan alat-alat ini terhadap masyrakat sipil," tulis Amnesty International dalam laporan investigasi yang diunggah di situs resmi mereka pada 1 Mei 2024.  

Tiga perusahaan Israel yang terdeteksi menjual teknologi penyadapan itu, yakni NSO Group, Candiru, dan Wintego. NSO ialah perusahaan produsen Pegasus, spyware yang dipakai intelijen Arab Saudi untuk memata-matai Jamal Khashoggi. 

Khashoggi ialah jurnalis berkebangsaan Arab Saudi yang tewas dibunuh saat berada di konsulat Arab Saudi di Instanbul, Turki, pada 2 October 2018. Pada 2021, investigasi "The Pegasus Project" menemukan Pegasus digunakan untuk memata-matai setidaknya 50 ribu ponsel di seluruh dunia. 

Candiru atau juga dikenal dengan sebutan Saito Tech ialah perusahaan penyadapan siber yang menawarkan sistem infiltrasi siber bernama Cyrus. Dalam sebuah proposal pemasaran Candiru pada 2020, Cyrus diklaim bisa menginfiltrasi komputer, jaringan internet, serta ponsel berbasis Android dan iOS. 

Serupa, Wintego Systems Ltd ialah perusahaan siber asal Israel yang memasarkan spyware untuk menyadap ponsel dan teknologi yang mampu mengintervensi jejaring internet. Laporan Forbess pada 2016 menemukan bahwa CatchApp, salah satu produk Wintego, mampu mengintersepsi pesan WhatsApp. 

Selain itu, Amnesty juga menemukan penjualan alat sadap oleh konsorsium Intellexa ke klien asal Indonesia. Intellexa ialah kelompok perusahaan yang terekam pernah beroperasi di sejumlah negara, semisal Macedonia Utara, Hungaria, Irlandia, Swiss, British Virgin Islands, Siprus, dan Yunani. 

Salah satu produk Intellexa yang paling populer ialah Predator. Spyware itu bisa menginfeksi ponsel atau perangkat elektronik hanya lewat satu klik. Penelusuran Amnesty menemukan sejumlah situs diciptakan sebagai tempat Predator "berburu mangsa", di antaranya suaraoposisi.net dan geloraku.id. 

Amnesty International mengidentifikasi alamat IP asal Indonesia dijadikan host sebuah peladen yang serupa jejak yang ditinggalkan peladen bagian belakang (backend) Predator. Peladen backend itu terekam di alamat IP 103.106.174.99 dan muncul kali pertama dalam skrining internet pada Desember 2021. 

"Skrining internet mengonfirmasi bahwa sistem pelayanan konsumen Predator mulai beroperasi di Indonesia sejak akhir 2021. Amnesty International meyakini pengguna Predator milik Intellexa masih aktif beroperasi di Indonesia hingga akhir Desember 2023," tulis Amnesty. 

Menurut Amnesty, Intellexa dan vendor-vendor alat-alat penyadapan lazimya menggunakan agen-agen atau makelar internasional dan domestik dalam menegosiasikan penjualan spyware. Meskipun sudah dioperasikan untuk klien di Indonesia, Amnesty belum menemukan data penjualan Predator. 

FinFisher, perusahaan teknologi penyadapan asal Jerman, juga dilaporkan menjual produk-produk mereka ke Indonesia. Sejak 2011, FinSpy, spyware andalan Finfisher dilaporkan telah digunakan untuk menyadap aktivis di Bahrain, tokoh-tokoh oposisi di Turki, dan kalangan aktivis di berbagai belahan dunia lainnya. 

Dalam investigasinya, Amnesty bekerja sama dengan Haaretz, Inside Story, Tempo, WAV research collective dan Woz. Dilaporkan, NSO dan kawan-kawan menjual produk-produk mereka lewat sejumlah perusahaan makelar asal Singapura dan Malaysia. Ada pula yang diimpor langsung dari sejumlah negara di Eropa. 

"Indonesia tampaknya mengandalkan gelapnya ekosistem dagang para penyuplai, makelar, atau reseller alat-alat penyadapan untuk mengaburkan penjualan dan transfer teknologi surveilans spyware," jelas Amnesty International. 

Mayoritas penjualan dan transfer produk dilakukan melalui perusahaan makelar asal Indonesia dan Singapura. Salah satu broker di Indonesia ialah PT. Radika Karya Utama. Menurut laporan Tempo, Radika merupakan pemenang tender pengadaan zero-click intrusion system di Polda Metro Jaya pada 2017. Nilai proyek mencapai Rp98,9 miliar. 

Pada 2018, perusahaan yang kerap "berganti nama" menjadi PT. Royal Cemerlang Teknologi dan PT. Royal Arta Jayamanggala itu juga memenangi tender zero-click intrusion system khusus untuk iOS di Polri dengan nilai proyek sebesar Rp149,8 miliar. 

Radika ditengarai membeli spyware dari Q Cyber Technologies SARL yang berbasis di Luxembourg. Perusahaan ini berafiliasi dengan NSO Group. Q Cyber terdata bertanggung jawab untuk mengapalkan komponen keras ke sebuah perusahaan asal Indonesia pada 15 Desember 2020. 

"Bukti-bukti menunjukkan bahwa Radika telah membeli sistem pengawasan siber dari perusahaan-perusahaan NSO Group, tapi bukti teknis tidak serta-merta mengindikasikan keterlibatan dalam pengadaan atau pengoperasian Pegasus," jelas Amnesty. 

Di Singapura, setidaknya ada tiga perusahaan makelar pengadaan spyware untuk diselundupkan ke Indonesia, yakni ESW Systems PTE Ltd, 3L PTE Ltd dan White Global Holdings PTE Ltd. Ketiga perusahaan itu tidak diketahui siapa pemilik aslinya. 

Namun, laporan perusahaan menunjukkan tiga warga negara Indonesia pernah punya saham di perusahaan-perusahaan itu. Dua di antaranya diketahui punya perusahaan di Indonesia, yakni Sastrawan Kamto dan Stanley Thirtabrata. Sastrawan ialah co-founder PT. Royal Cemerlang Teknologi, induk perusahaan PT Radika, sedangkan Stanley pemilik Softnet Indonesia. 

"Data penjualan menunjukkan White Global Holdings mengapalkan produk 'Android one click installation module' pada 19 Maret 2019 kepada Badan Siber dan Sandi Nasional. Deskripsi produk menunjukkan penjualan spyware satu klik yang bisa menginfeksi perangkat berbasis Android," tulis Amensty.