Pegasus Menunjukkan Masalah Teknologi yang Lebih Tua: Kepercayaan Tanpa Batas

The Core Update

Peneliti keamanan dari Citizen Lab mengonfirmasi bahwa Stelios Kouloglou, jurnalis Yunani dan mantan politisi Eropa, pernah diretas menggunakan spyware Pegasus pada 2022 dan 2023.

Kasus ini menjadi penting karena Kouloglou bukan target biasa. Ia berada di komite PEGA Parlemen Eropa, komite yang bertugas menyelidiki penyalahgunaan spyware oleh pemerintah-pemerintah Eropa.

Dengan kata lain, orang yang ikut menyelidiki penyalahgunaan Pegasus justru ikut menjadi korban Pegasus.

Menurut laporan tersebut, ponsel Kouloglou diretas menggunakan celah keamanan di iPhone. Serangannya bersifat zero-click, sehingga korban tidak perlu menekan tautan, membuka file, atau melakukan tindakan apa pun. Spyware bisa masuk diam-diam dan mengambil data pribadi seperti pesan, korespondensi, lokasi, foto, bahkan berpotensi menangkap percakapan di sekitar perangkat.

Waktu serangan juga sensitif. Salah satu peretasan terjadi menjelang penyusunan draft laporan komite tentang penyalahgunaan spyware di beberapa negara Eropa. Serangan lain terjadi saat Kouloglou melakukan perjalanan dari Athena ke Brussels, dalam periode rapat dan dengar pendapat komite.

Citizen Lab tidak menyebut negara tertentu sebagai pelaku. Namun mereka menemukan bahwa operator Pegasus yang sama memakai alamat email penyerang yang sebelumnya juga digunakan dalam kampanye terhadap jurnalis di Eropa.

Kouloglou menyebut peretasan itu sebagai tindakan yang sembrono. Seorang anggota parlemen Eropa lain menyebutnya sebagai serangan langsung terhadap rule of law.

The Reality Check

Banyak pembahasan tentang spyware berhenti di sisi teknis: celah keamanan, exploit, zero-click, patch, dan vendor. Semua itu penting. Tetapi kasus ini menunjukkan masalah yang lebih besar.

Masalah utamanya bukan hanya bahwa Pegasus bisa meretas ponsel.

Masalahnya adalah siapa yang boleh menggunakannya, untuk tujuan apa, dengan pengawasan seperti apa, dan apa konsekuensinya ketika alat itu dipakai melewati batas.

Secara resmi, spyware seperti Pegasus sering dibingkai sebagai alat untuk melawan kejahatan berat, terorisme, atau ancaman serius. Dalam kondisi tertentu, negara memang membutuhkan kemampuan investigasi digital. Itu bagian dari realitas keamanan modern.

Tetapi argumen itu menjadi lemah ketika targetnya adalah jurnalis, politisi oposisi, aktivis, pengacara, atau orang yang sedang menyelidiki penyalahgunaan alat tersebut.

Di titik itu, teknologi tidak lagi terlihat seperti alat keamanan. Ia mulai terlihat seperti alat kekuasaan.

Inilah bagian yang sering tidak nyaman dibicarakan: teknologi yang kuat tidak otomatis menjadi masalah jika tata kelolanya kuat. Tetapi teknologi yang kuat di tangan institusi yang tidak transparan akan memperbesar risiko yang sudah ada.

Spyware bukan sekadar software. Ia adalah akses ke kehidupan seseorang.

Ponsel hari ini menyimpan lebih dari kontak dan pesan. Ia menyimpan lokasi, kalender, foto keluarga, riwayat kesehatan, percakapan kerja, sumber jurnalistik, strategi politik, dan momen pribadi yang tidak pernah dimaksudkan untuk dibaca pihak lain.

Ketika perangkat seperti itu diretas, yang hilang bukan hanya data. Yang rusak adalah rasa aman.

Kasus Kouloglou juga memberi pelajaran penting untuk organisasi. Banyak perusahaan masih menganggap keamanan digital sebagai urusan patch dan antivirus saja. Padahal ancaman modern sering bergerak di area yang lebih luas:

• siapa yang punya akses ke informasi sensitif
• perangkat siapa yang paling berisiko menjadi target
• data apa yang seharusnya tidak tersimpan sembarangan
• komunikasi mana yang perlu kanal lebih aman
• bagaimana respons jika perangkat penting dicurigai kompromi

Tidak semua bisnis akan menjadi target Pegasus. Itu benar.

Tetapi pola risikonya tetap relevan. Semakin penting posisi seseorang dalam organisasi, semakin besar nilai perangkat dan akunnya. Founder, direktur, finance, legal, sales enterprise, HR, dan tim yang memegang data pelanggan sering menjadi titik masuk yang lebih menarik daripada server utama.

Serangan besar tidak selalu dimulai dari sistem yang paling kompleks. Kadang dimulai dari satu ponsel yang belum update.

The Havedev Way

Dari sudut pandang Havedev, kasus seperti ini sebaiknya tidak membuat bisnis panik membeli semua tool keamanan sekaligus. Reaksi seperti itu sering mahal, melelahkan, dan tidak selalu menyelesaikan masalah dasar.

Langkah yang lebih sehat adalah mulai dari kejelasan risiko.

Siapa orang yang memegang akses paling sensitif? Akun apa yang jika bocor akan membuat bisnis berhenti? Data pelanggan tersimpan di mana saja? Apakah perangkat kerja rutin diperbarui? Apakah akses admin masih terlalu luas? Apakah komunikasi penting bercampur dengan chat biasa tanpa aturan?

Pertanyaan seperti ini terdengar sederhana, tetapi sering lebih berguna daripada dashboard keamanan yang rumit.

Untuk banyak bisnis, dasar keamanan yang rapi sudah memberi dampak besar:

• update perangkat dan aplikasi secara rutin
• aktifkan multi-factor authentication untuk akun penting
• batasi akses admin hanya untuk orang yang benar-benar perlu
• pisahkan akun pribadi dan akun kerja
• gunakan password manager
• hapus akses mantan tim atau vendor
• dokumentasikan respons jika akun atau perangkat dicurigai bocor

Ini bukan solusi untuk melawan spyware tingkat negara. Tetapi ini membangun kebiasaan keamanan yang benar.

Dan untuk sebagian besar bisnis, kebocoran besar lebih sering terjadi karena akses yang longgar, password yang dipakai ulang, perangkat yang tidak terawat, atau proses offboarding yang tidak jelas daripada karena exploit kelas Pegasus.

Namun ada pelajaran lain yang lebih luas: teknologi tidak boleh hanya dinilai dari kemampuannya, tetapi juga dari batas penggunaannya.

AI, automation, analytics, tracking, CRM, dan monitoring internal semuanya bisa membantu bisnis. Tetapi tanpa batas yang jelas, alat yang awalnya dibuat untuk efisiensi bisa berubah menjadi alat kontrol yang membuat tim atau pelanggan kehilangan kepercayaan.

Karena itu, pertanyaan penting sebelum memakai teknologi bukan hanya:

• apakah ini bisa dilakukan?
• apakah ini otomatis?
• apakah ini lebih cepat?

Tetapi juga:

• apakah ini perlu?
• siapa yang boleh melihat datanya?
• berapa lama data disimpan?
• apa risiko jika akses ini disalahgunakan?
• apakah pengguna tahu dan setuju?

Kasus Pegasus mengingatkan bahwa teknologi paling berbahaya sering bukan teknologi yang gagal bekerja. Justru teknologi yang bekerja terlalu baik tanpa akuntabilitas.

Untuk bisnis, pelajarannya jelas: jangan menunggu insiden besar untuk merapikan akses, perangkat, dan data. Keamanan bukan hanya membeli tool. Keamanan adalah membuat batas yang jelas sebelum batas itu dilanggar.

Dapatkan Audit Teknis Gratis untuk meninjau keamanan website, akses internal, dan alur data bisnis Anda sebelum masalah kecil berubah menjadi risiko besar.

---

Sumber referensi berita: TechCrunch