Amnesty mengaitkan pengiriman lebih dari US$33 juta dengan Candiru melalui analisis teknis. Nama produknya tak tercantum langsung; dugaan pengadaan bukan bukti penyalahgunaan. Metode penyusupannya pun tidak seragam.
Ada serangan yang memerlukan klik, ada yang memanfaatkan celah perangkat tanpa tindakan pengguna, dan ada yang bekerja melalui jaringan seluler. Karena itu, merasa aman hanya karena tidak pernah membuka tautan mencurigakan bisa keliru. Enkripsi melindungi pesan dalam perjalanan, tetapi bukan isi pesan di perangkat yang sudah diambil alih.
Perbarui sistem operasi, gunakan autentikasi selain SMS, batasi izin aplikasi dan aktifkan PIN akun percakapan. Pejabat perlu memisahkan ponsel pribadi dan dinas, melindungi dokumen sensitif, serta melakukan pemeriksaan keamanan rutin.
Negara pun harus memastikan: produk apa yang dibeli, siapa penggunanya, apa dasar hukumnya, dan bagaimana pengawasannya? Kecanggihan tidak menggantikan batas kewenangan dan pertanggungjawaban.
Pertanyaannya bukan cuma apakah Pegasus ada, melainkan siapa menguasai teknologi pengintaian, apa yang dapat diambil, dan siapa mengawasinya. Sebab ancaman terbesar bukan nama alat, melainkan kekuasaan mengintai tanpa kendali.
Catatan: temuan terkait Indonesia bersumber dari laporan Amnesty International Amnesty International Security Lab. Penjelasan kemampuan teknis dilengkapi penelitian Citizen Lab mengenai Pegasus, Circles dan Candiru The Citizen Lab +2, Amnesty mengenai FinSpy dan Predator Amnesty International Security Lab +1, serta Google Project Zero mengenai Wintego googleprojectzero.blogspot.com.
*Irjen Pol. Dr. Umar Surya Fana, S.H., S.I.K., M.H., Penyidik Utama Tingkat I Bareskrim Polri dan Dosen Utama STIK/PTIK.
