Home

Pendahuluan: Sinyal dari Serbia

Pada September 2026, dunia akademik dan aktivisme digital dikejutkan oleh sebuah temuan forensik. Citizen Lab, laboratorium riset keamanan siber dari University of Toronto, bersama SHARE Foundation, mengonfirmasi bahwa iPhone milik seorang anggota gerakan protes mahasiswa di Serbia telah terinfeksi Pegasus, spyware komersial buatan NSO Group asal Israel. Yang membuat kasus ini istimewa: infeksi terjadi tanpa korban mengeklik tautan, membuka file, atau melakukan interaksi apa pun. Serangan berlangsung melalui zero-click exploit pada iMessage, dengan indikator infeksi yang kuat pada periode Desember 2025 hingga Januari 2026. Apple kemudian menambal celah tersebut melalui pembaruan iOS 18.4.1 pada April 2025, tetapi perangkat yang tidak diperbarui tetap menjadi sasaran empuk.

Bagi mahasiswa Indonesia, pertanyaan yang segera muncul: apakah ini relevan dengan kita? Jawabannya, sangat relevan. Kasus Serbia bukan sekadar berita teknologi. Ia adalah potret bagaimana teknologi pengawasan yang dijual secara komersial dapat diarahkan kepada mahasiswa, akademisi, jurnalis, dan aktivis di negara mana pun—termasuk Indonesia, yang menurut sejumlah laporan telah menjadi bagian dari rantai pasok dan penggunaan spyware global.

Artikel ini akan membedah apa itu Pegasus, bagaimana ia bekerja, siapa yang menjadi target, apa yang terjadi di Serbia dan Indonesia, serta mengapa literasi spyware harus menjadi bagian dari kesadaran kampus.

1. Apa Itu Pegasus?

Pegasus adalah spyware mobile kelas militer yang dikembangkan oleh NSO Group, perusahaan cyber-arms Israel yang didirikan pada 2010. Produk ini dipasarkan secara eksklusif kepada agen pemerintah untuk “memerangi kejahatan dan terorisme”, tetapi dalam praktiknya telah digunakan untuk mengawasi jurnalis, aktivis HAM, politisi oposisi, akademisi, hingga kepala negara. Versi awal untuk Android dikenal sebagai Chrysaor, sementara varian iOS menjadi yang paling banyak didokumentasikan.

Yang membuat Pegasus berbeda dari malware biasa adalah spektrum kemampuannya setelah infeksi. Pegasus dapat:

• Membaca pesan, panggilan, kontak, kalender, dan kredensial akun.

• Mengakses foto, catatan, dan lokasi perangkat.

• Mengaktifkan mikrofon dan kamera secara diam-diam untuk mengintai lingkungan sekitar korban.

• Menyadap komunikasi terenkripsi ujung-ke-ujung (end-to-end) bukan dengan memecahkan enkripsi, melainkan dengan mengambil data langsung dari perangkat yang sudah terinfeksi.

Dengan kata lain, Pegasus tidak “mendengar” kabel jaringan. Ia duduk di dalam ponsel, sejajar dengan pemilik perangkat, dan dapat melakukan hampir semua hal yang bisa dilakukan pengguna—tanpa sepengetahuan pengguna.

2. Anatomi Serangan: Mengapa “Zero-Click” Begitu Berbahaya

Serangan siber konvensional mengandalkan rekayasa sosial: korban harus tergoda mengeklik tautan, mengunduh lampiran, atau memasang aplikasi. Pegasus generasi terbaru justru bergerak menjauh dari ketergantungan pada kelengahan manusia. Ia mengeksploitasi kerentanan perangkat lunak yang diproses secara otomatis, sehingga interaksi pengguna tidak diperlukan sama sekali.

a. Dari Trident hingga FORCEDENTRY

Perjalanan teknis Pegasus tercatat dalam beberapa babak. Pada 2016, Trident menggabungkan kerentanan WebKit Safari dengan kerentanan kernel untuk menembus iPhone dan mematikan penegakan code-signing. Pada 2021, Amnesty International dan Citizen Lab mendokumentasikan FORCEDENTRY (CVE-2021-30860): sebuah PDF yang disamarkan sebagai GIF dikirim melalui iMessage, lalu memicu integer overflow di decoder gambar JBIG2 pada framework CoreGraphics Apple. Eksploit ini tidak sekadar merusak memori; ia membangun mesin virtual Turing-complete di dalam parser gambar, menggunakan operasi logika JBIG2 (AND, OR, XOR, XNOR) sebagai gerbang logika, untuk kemudian mengambil alih kendali perangkat.

b. Generasi Berikutnya: PWNYOURHOME, FINDMYPWN, BLASTPASS

Pegasus terus berevolusi. Setelah FORCEDENTRY ditambal, rantai infeksi berikutnya menargetkan fungsi pemrosesan HomeKit (PWNYOURHOME), Find My (FINDMYPWN), dan PassKit (BLASTPASS). Pada 2019, dokumen pengadilan mengungkap bahwa NSO mengembangkan beberapa vektor WhatsApp, termasuk “Heaven” (menggunakan klien WhatsApp tiruan dan WhatsApp Installation Server), “Eden” (bagian dari keluarga Hummingbird, menginfeksi sekitar 1.400 perangkat secara global), dan “Erised” yang memanfaatkan server relay WhatsApp.

c. Mengapa Sulit Dideteksi?

Zero-click attack menghasilkan jejak yang minimal. Pengguna tidak melihat tautan mencurigakan, tidak menerima peringatan “file berbahaya”, dan tidak perlu memberikan izin apa pun. Infeksi dapat berlangsung saat perangkat menerima pesan, memproses data, atau bahkan saat pengguna tidur. Pegasus juga menerapkan teknik anti-forensik: menonaktifkan pembaruan sistem operasi otomatis dan menjalankan ulang eksploit saat startup untuk mempertahankan persistensi.

Indikator compromise (IoC) yang dapat diamati bersifat side-channel: drainase baterai abnormal, lonjakan penggunaan data terutama pada malam hari, perangkat terasa panas saat idle, dan penurunan performa yang tidak dapat dijelaskan. Namun, tidak satu pun dari gejala ini bersifat konklusif. Deteksi yang dapat diandalkan memerlukan analisis forensik oleh organisasi seperti Citizen Lab, Amnesty Security Lab, atau Access Now.

3. Siapa yang Menjadi Target?

Data dari Pegasus Project—kolaborasi lebih dari 80 jurnalis dari media seperti The Guardian, Le Monde, dan Washington Post—mengungkap bahwa dari sekitar 50.000 nomor telepon yang bocor, sedikitnya 189 jurnalis, 600 politisi dan pejabat pemerintah, 85 aktivis HAM, dan 64 eksekutif bisnis menjadi sasaran potensial atau terkonfirmasi. Citizen Lab mencatat penggunaan Pegasus di 45 negara.

Pola ini bukan kebetulan. Spyware komersial sering kali diarahkan kepada mereka yang menyuarakan kepentingan publik: jurnalis yang menginvestigasi korupsi, aktivis yang mengorganisir protes, politisi oposisi yang mengkritik rezim, dan—seperti yang terjadi di Serbia—mahasiswa dan rektor universitas yang mendukung gerakan pro-demokrasi.

4. Studi Kasus Serbia: Ketika Kampus Menjadi Sasaran

Serbia dalam dua tahun terakhir menjadi laboratorium gelap penggunaan spyware terhadap masyarakat sipil. Pada Februari 2025, Amnesty International menemukan bukti bahwa dua jurnalis Balkan Investigative Reporting Network (BIRN) ditargetkan dengan Pegasus. Pada Desember 2025–Januari 2026, seorang anggota gerakan protes mahasiswa menjadi korban infeksi zero-click melalui iMessage.

Yang paling mengguncang dunia akademik terjadi pada 2026: Prof. Vladan Đokić, Rektor University of Belgrade dan pendukung vokal gerakan mahasiswa, terkonfirmasi terinfeksi Pegasus. Infeksi terjadi enam hari sebelum pemilihan parlemen snap pada 25 Oktober 2026. Đokić sebelumnya menolak memfasilitasi tindakan represif pemerintah terhadap para demonstran; kantornya digeledah pada 31 Maret 2026. Citizen Lab mencatat bahwa setidaknya 16 tokoh masyarakat sipil Serbia—termasuk mahasiswa, aktivis, anggota parlemen oposisi, dan seorang jaksa yang menginvestigasi korupsi—telah menjadi target atau terinfeksi spyware komersial pada 2026.

Pola waktunya sulit diabaikan: pengawasan bersamaan dengan siklus elektoral dan mobilisasi mahasiswa. Ini bukan sekadar kejahatan siber individual; ini adalah penggunaan teknologi pengawasan untuk mempengaruhi proses demokrasi.

5. Indonesia dalam Peta Spyware Global

Indonesia bukan sekadar penonton. Berbagai investigasi—termasuk laporan Amnesty International “A Web of Surveillance” (Mei 2024) dan riset ELSAM—mengungkap bahwa jaringan impor dan penggunaan spyware telah menyentuh institusi negara dan perusahaan swasta di Indonesia.

a. Korban dan Jejak Infeksi

Citizen Lab dan Amnesty Tech antara 2019 dan 2021 menemukan jejak infeksi spyware pada perangkat sejumlah aktivis dan jurnalis Indonesia. Laporan lain menyebut 54 orang Indonesia teridentifikasi sebagai korban dalam gelombang penyadapan WhatsApp yang melibatkan Pegasus pada 2019. Pada 2022, laporan menyebut sejumlah pejabat senior Indonesia—termasuk menteri dan pejabat militer—menjadi target spyware FORCEDENTRY yang dikaitkan dengan NSO Group.

b. Rantai Pasok dan “Middleman”

ELSAM mengungkap bahwa Indonesia telah bekerja sama dengan perusahaan penyedia spyware sejak 2013, dengan jejak Pegasus mulai terdeteksi pada 2018. Yang lebih mengkhawatirkan, Indonesia disebut berperan sebagai “middleman” dalam rantai distribusi global: perusahaan-perusahaan penyedia spyware asal Uni Eropa membentuk anak perusahaan di Indonesia—antara lain PT Radika Karya Utama, PT Terra Lentera Asia, dan PT Maracipta Utama—untuk menghindari sanksi dan pelacakan transaksi langsung. Entitas-entitas ini menerima produk dari jaringan yang berafiliasi dengan NSO Group, FinFisher, Intellexa Consortium, dan Polus Group.

c. Anggaran dan Transparansi

Dalam forum “Privasi dalam Rumah Kaca” (30 Juli 2026), ELSAM dan FITRA mengungkap bahwa belanja alat intelijen dan surveillance di empat kementerian/lembaga—BSSN, Kejaksaan RI, Kementerian Pertahanan, dan Polri—mencapai Rp36,1 triliun sepanjang 2018–2024, dengan Polri sebagai penyumbang terbesar. Mayoritas pengadaan dilakukan melalui penunjukan langsung dengan dalih kerahasiaan negara, sehingga luput dari kompetisi dan pengawasan publik.

Kombinasi ini—teknologi intrusif, rantai pasok yang tidak transparan, anggaran besar, dan payung hukum yang kosong—menciptakan risiko struktural terhadap privasi dan kebebasan sipil di Indonesia.

6. Hukum, Akuntabilitas, dan Batas Kekuasaan

Salah satu perkembangan hukum paling penting datang dari WhatsApp v. NSO Group di Pengadilan Distrik Northern California. Pada Mei 2025, juri memutuskan NSO bertanggung jawab atas peretasan WhatsApp dan awalnya menjatuhkan ganti rugi $168 juta**. Pada Oktober 2025, hakim mengurangi ganti rugi punitif menjadi **$4 juta, tetapi tetap menerbitkan injunction permanen yang melarang NSO menargetkan WhatsApp dan penggunanya, mengumpulkan data dari pengguna, membuat simulasi aplikasi, membuka akun WhatsApp untuk riset atau serangan, dan merekayasa balik kode sumber.

Namun, injunction ini memiliki batas: ia hanya berlaku untuk WhatsApp, tidak mencakup platform Meta lainnya seperti Facebook dan Instagram, dan tidak berlaku bagi pemerintah asing yang menjadi klien NSO karena mereka bukan pihak dalam perkara. Pada Juni 2026, WhatsApp bahkan mengajukan permohonan contempt of court terhadap NSO karena diduga melanggar injunction dengan kampanye serangan baru.

Di Indonesia, tantangannya berbeda. Hingga kini, tidak ada bukti resmi bahwa Indonesia membeli Pegasus melalui anggaran negara, tetapi juga tidak ada mekanisme akuntabilitas yang memadai untuk memastikan bahwa teknologi pengawasan tidak disalahgunakan. ELSAM mencatat bahwa payung hukum yang mengatur penggunaan spyware masih kosong, sementara pengadaan berjalan di bawah selubung kerahasiaan.

7. Mengapa Ini Penting bagi Mahasiswa dan Kampus?

Pegasus bukan hanya persoalan “orang penting” atau “negara jauh”. Ia menyentuh tiga hal yang intim dengan kehidupan kampus.

Pertama, kebebasan akademik dan berekspresi. Ketika rektor universitas dapat diawasi secara diam-diam karena mendukung mahasiswa, maka ruang kampus sebagai arena gagasan dan kritik menjadi rentan. Serbia menunjukkan bahwa musim protes dan musim elektoral adalah momen ketika pengawasan meningkat tajam.

Kedua, literasi keamanan digital. Mahasiswa adalah pengguna ponsel paling aktif, tetapi juga sering kali paling sedikit mendapat pelatihan tentang ancaman spyware. Memahami zero-click exploit, pentingnya pembaruan sistem operasi, dan cara mengenali sinyal awal infeksi adalah bagian dari keterampilan hidup di abad digital, bukan hanya mata kuliah keamanan siber.

Ketiga, akuntabilitas publik. Indonesia mengalokasikan triliunan rupiah untuk teknologi pengawasan, tetapi publik tidak memiliki cara untuk mengetahui siapa yang diawasi, atas dasar apa, dan dengan pengawasan siapa. Mahasiswa—sebagai bagian dari masyarakat sipil dan calon pemimpin—memiliki kepentingan langsung dalam mendorong transparansi pengadaan, audit independen, dan kerangka hukum yang melindungi privasi.

8. Langkah Protektif yang Realistis

Tidak ada solusi tunggal untuk spyware sekelas Pegasus. Namun, risiko dapat dikurangi secara signifikan dengan praktik berikut:

1. Perbarui sistem operasi dan aplikasi secara konsisten. Eksploit seperti zero-click iMessage di Serbia telah ditambal pada iOS 18.4.1. Perangkat yang tertinggal pembaruan adalah target termudah.

2. Aktifkan Apple Threat Notifications dan fitur peringatan serupa. Notifikasi ini bukan bukti infeksi, tetapi merupakan indikator keyakinan tinggi bahwa perangkat sedang ditargetkan dan harus segera diperiksa oleh ahli.

3. Waspadai gejala side-channel. Drainase baterai abnormal, panas berlebih saat idle, dan lonjakan data malam hari patut dicurigai—meskipun tidak konklusif.

4. Gunakan perangkat keras terpisah untuk komunikasi sensitif bila memungkinkan, dan hindari menyimpan informasi yang tidak perlu di ponsel utama.

5. Dukung organisasi yang melakukan riset forensik independen. Deteksi Pegasus hampir tidak mungkin dilakukan secara individual; dukungan terhadap Citizen Lab, Amnesty Security Lab, dan organisasi lokal seperti ELSAM dan SAFEnet adalah bagian dari ekosistem pertahanan sipil.

Kesimpulan: Dari Ponsel ke Kebijakan

Pegasus adalah simbol dari sebuah pergeseran besar: pengawasan telah menjadi komoditas. Ia tidak lagi eksklusif milik negara adidaya dengan anggaran intelijen raksasa; ia dijual, dipaketkan, dan dikirim melalui rantai pasok global yang melibatkan perusahaan cangkang, perantara, dan yurisdiksi yang berbeda. Serbia menunjukkan bahwa mahasiswa dan akademisi berada di garis depan target. Indonesia menunjukkan bahwa rantai pasok itu telah menyentuh institusi dan anggaran publik kita, bahkan ketika payung hukumnya belum selesai dibangun.

Bagi kampus, respons yang paling bermakna bukanlah kepanikan, melainkan literasi yang terorganisir: memahami cara kerja teknologi ini, mengenali pola penyalahgunaannya, dan menuntut akuntabilitas dari mereka yang menggunakan kekuasaan pengawasan. Sebab pada akhirnya, pertanyaan tentang Pegasus bukan hanya “apakah ponsel saya aman?”, tetapi juga “siapa yang berhak mengawasi siapa, dan dengan batas apa?” Pertanyaan itu adalah pertanyaan tentang demokrasi itu sendiri—dan kampus seharusnya menjadi tempat pertama di mana pertanyaan itu diajukan.