Anatomi Penyadapan: Menggugat Regulasi, Akuntabilitas Infrastruktur, dan Masa Depan Keamanan Komunikasi RI

____________

KEY FACTS:

■ ​Penyadapan ilegal di luar prosedur penegakan hukum diatur secara tegas dalam UU ITE Pasal 31 dan Undang-Undang Telekomunikasi dengan ancaman pidana penjara masing-masing hingga 10 dan 15 tahun.
■ ​Peretasan komunikasi kepala negara dikategorikan sebagai serangan langsung terhadap kedaulatan negara yang berpotensi dijerat dengan pasal spionase, makar, atau pembocoran rahasia negara dalam KUHP.
■ ​Eksploitasi celah keamanan telekomunikasi banyak memanfaatkan protokol usang seperti 2G dan SS7 yang rentan disadap menggunakan perangkat IMSI catcher atau Stingray.
■ ​Teknologi enkripsi E2EE mengamankan transmisi pesan di tengah jalan, namun tetap rentan jika gawai pengguna telah disusupi oleh perangkat perusak (spyware) seperti Pegasus.

____________________________

___________________________

Skandal penyadapan yang kembali menimpa institusi kepresidenan Republik Indonesia tidak sekadar mengonfirmasi kerentanan infrastruktur digital kita, tetapi juga membuka kotak pandora mengenai rapuhnya perlindungan hukum dan arsitektur privasi di negeri ini. 

Di Indonesia, hak atas kerahasiaan komunikasi sejatinya telah dibentengi oleh konstitusi dan perangkat perundang-undangan yang tegas. Berdasarkan Undang-Undang Informasi dan Transaksi Elektronik (UU ITE) Pasal 31, setiap bentuk intersepsi atau penyadapan atas informasi elektronik dalam suatu sistem elektronik yang tidak bersifat publik merupakan tindak pidana. 

Larangan ini diperkuat oleh Undang-Undang Telekomunikasi yang melarang keras perekaman atau penyadapan informasi yang disalurkan melalui jaringan telekomunikasi. Penyadapan baru dapat dinyatakan legal apabila dilakukan dalam koridor penegakan hukum (pro-justitia) berdasarkan perintah undang-undang—seperti yang diamanatkan kepada KPK, Kepolisian, atau Kejaksaan—dengan prosedur pengawasan yang sangat ketat. Di luar instrumen penegak hukum yang sah, setiap tindakan menguping atau merekam komunikasi digital adalah bentuk pelanggaran berat terhadap hak asasi dan keamanan.

Ancaman Hukuman Tidak Main-main

Bagi mereka yang terbukti melakukan penyadapan ilegal, hukum di Indonesia tidak main-main. Ancaman pidana berdasarkan UU ITE bisa mencapai 10 tahun penjara dan/atau denda miliaran rupiah, sementara UU Telekomunikasi juga mengatur ancaman pidana maksimal 15 tahun penjara. 

Namun, sebuah pertanyaan krusial muncul: adakah perbedaan sanksi jika yang disadap adalah seorang presiden? Secara tekstual pada pasal-pasal penyadapan di UU ITE maupun UU Telekomunikasi, tidak ada pembedaan hukuman berdasarkan status sosial atau jabatan korban; asas equality before the law berlaku di sana. 

Kendati demikian, dalam praktiknya, meretas dan menyadap komunikasi seorang kepala negara adalah serangan langsung terhadap kedaulatan. Tindakan ini secara otomatis akan menarik eskalasi hukum ke ranah keamanan nasional. Pelakunya tidak hanya akan dijerat dengan undang-undang siber, tetapi berpotensi besar dihadapkan pada pasal-pasal spionase, makar, atau pembocoran rahasia negara dalam Kitab Undang-Undang Hukum Pidana (KUHP), yang ancaman hukumannya jauh lebih berat, bahkan bisa mencapai pidana seumur hidup.

Persoalan menjadi semakin pelik ketika penyadapan tersebut mengeksploitasi celah keamanan yang melekat pada infrastruktur telekomunikasi, seperti jaringan 2G atau protokol SS7 (Signaling System No. 7) yang sudah usang. 

Sistem lawas ini bertindak layaknya kantor pos tradisional yang mengirimkan pesan SMS dan suara seperti kartu pos tanpa amplop; siapa pun yang mencegatnya di tengah jalan, misalnya menggunakan alat IMSI catcher atau Stingray, dapat dengan mudah membacanya. Jika kelalaian ini terus dibiarkan, operator seluler tentu tidak bisa lepas tangan. Melalui Undang-Undang Pelindungan Data Pribadi (UU PDP) dan regulasi penyelenggaraan sistem elektronik, operator diwajibkan untuk menjamin keandalan dan keamanan sistem mereka. 

Jika terbukti ada pengabaian standar keamanan (negligence) yang menyebabkan jaringan mereka terus-menerus bisa dieksploitasi oleh pihak ketiga tanpa mitigasi, operator dapat dimintai pertanggungjawaban hukum, baik berupa sanksi administratif pencabutan izin hingga gugatan perdata atas kegagalan melindungi data dan privasi pelanggannya.

Lalu, apakah bermigrasi ke aplikasi pesan seperti WhatsApp yang mengusung teknologi End-to-End Encryption (E2EE) adalah jalan keluar yang absolut? Jawabannya adalah ya, namun dengan catatan kaki yang besar. Secara teknis, enkripsi E2EE jauh lebih aman dibandingkan panggilan telepon atau SMS biasa. E2EE bekerja dengan analogi mengirimkan brankas baja yang terkunci rapat; pesan diacak sejak keluar dari gawai pengirim dan hanya bisa dibuka oleh gawai penerima. 

Bahkan pihak aplikasi maupun penyedia internet yang mengantarkan pesan tersebut di tengah jalan (in-transit) hanya akan melihat rentetan kode acak yang tidak bermakna. Akan tetapi, keamanan E2EE menjadi ilusi jika gawai pengirim atau penerima telah disusupi oleh perangkat lunak perusak (spyware) kelas militer, seperti Pegasus. Kuda Troya digital semacam ini tidak mencegat pesan di tengah jalan, melainkan merekam langsung dari layar atau mikrofon ponsel sesaat sebelum pesan itu dienkripsi atau sesaat setelah dibuka. Oleh karena itu, aplikasi E2EE mengamankan jalurnya, tetapi tidak menjamin keamanan "ruang tamu" di dalam ponsel itu sendiri.

Membangun Saluran Komunikasi Berdaulat

Menghadapi lansekap ancaman yang begitu asimetris ini, langkah drastis dan komprehensif harus segera diambil oleh seluruh pemangku kepentingan. Pemerintah tidak bisa lagi mengandalkan saluran komunikasi komersial atau jaringan publik untuk urusan strategis kenegaraan; sudah saatnya negara membangun saluran komunikasi berdaulat (sovereign encrypted network) khusus bagi pejabat tinggi dengan arsitektur Zero Trust dan pengamanan perangkat yang diverifikasi secara ketat. 

Di sisi lain, operator telekomunikasi harus dipaksa untuk segera mempensiunkan protokol-protokol rentan peninggalan era 2G dan 3G, serta menerapkan audit keamanan jaringan secara berkala untuk mendeteksi anomali pada sistem pensinyalan seluler mereka. Sementara itu, bagi masyarakat luas, insiden ini adalah teguran keras akan pentingnya kebersihan digital (digital hygiene). 

Kesadaran untuk selalu memperbarui sistem operasi, tidak sembarangan mengklik tautan phishing, dan menggunakan aplikasi berbasis enkripsi tepercaya harus menjadi budaya hidup. Keamanan komunikasi di era hiper-koneksi ini bukanlah sekadar tombol yang bisa ditekan lalu ditinggalkan, melainkan sebuah peperangan abadi melawan kerentanan yang menuntut kewaspadaan tanpa jeda. ■

*) Ardi Sutedja K., adalah pemerhati dan praktisi manajemen resiko dan keamanan & ketahanan siber yang telah berpengalaman dan bergiat lebih dari 3 dekade di dalam industri komunikasi dan keamanan & ketahanan siber baik di dalam maupun luar negeri. Beliau juga adalah ketua dan salah satu pendiri perkumpulan profesi terdaftar, Indonesia Cyber Security Forum (ICSF). Email: [email protected].