Para UMKM wajib tahu, dunia keamanan siber kembali dihebohkan oleh nama Graphite, sebuah perangkat lunak mata-mata canggih buatan perusahaan Israel, Paragon Solutions. Produk ini dirancang untuk meretas ponsel dan mengakses komunikasi di aplikasi pesan terenkripsi seperti WhatsApp dan Signal.

Secara resmi, Graphite dipasarkan kepada pemerintah dan lembaga penegak hukum dengan dalih membantu penanganan kejahatan serius. Namun, temuan terbaru menunjukkan teknologi ini juga menyasar aktivis, jurnalis, hingga target politik di sejumlah negara.

Apa Itu Graphite?

Graphite adalah produk spyware—sering disebut sebagai sistem “lawful intercept”—yang mampu membobol perangkat mobile dan membaca isi pesan dari berbagai aplikasi chat. Peneliti dari Citizen Lab mengaitkan infrastruktur spyware Paragon dengan beberapa negara, antara lain Australia, Kanada, Siprus, Denmark, Israel, dan Singapura.

Nama Graphite kembali ramai dibicarakan setelah seorang eksekutif Paragon tanpa sengaja mengunggah foto layar sistem penyadapan tersebut ke LinkedIn. Unggahan itu memperlihatkan antarmuka internal sistem, yang kemudian dianalisis oleh para pakar keamanan siber.

Bagaimana Cara Kerjanya?

Secara teknis, cara kerja Graphite dapat dijelaskan secara sederhana dalam beberapa tahap.

Pertama, infeksi awal. Spyware ini memanfaatkan celah keamanan (vulnerability) pada sistem operasi ponsel, baik iOS maupun Android. Serangan bisa dilakukan melalui metode “zero-click”, di mana korban tidak perlu mengklik apa pun, atau “one-click”, melalui tautan berbahaya yang dikirim lewat pesan atau email.

Kedua, pengambilalihan sistem. Setelah eksploit berhasil, spyware menanamkan komponen di dalam sistem operasi dengan hak akses tingkat tinggi. Karena sudah berada di dalam perangkat, Graphite tidak perlu membobol enkripsi jaringan. Ia cukup membaca data langsung dari ponsel sebelum pesan dienkripsi atau setelah didekripsi oleh aplikasi.

Di sinilah letak keunggulannya. Aplikasi seperti WhatsApp dan Signal menggunakan enkripsi end-to-end, yang melindungi pesan saat dikirim melalui jaringan. Namun, pesan tersebut tetap tampil dalam bentuk terbaca di layar pengirim dan penerima. Graphite bekerja di “endpoint” atau sisi perangkat, sehingga bisa membaca isi percakapan yang sudah terbuka di memori ponsel.

Tak hanya pesan teks, spyware kelas ini umumnya juga mampu mengumpulkan metadata seperti lokasi, daftar kontak, dan riwayat panggilan. Dalam beberapa kasus, ia dapat mengakses file, foto, dokumen, bahkan mengaktifkan mikrofon atau kamera secara diam-diam. Data yang dikumpulkan kemudian dikirim ke server komando dan kontrol milik operator.

Sulit Dideteksi

Graphite dirancang agar nyaris tak terlihat. Ia tidak menampilkan ikon, berjalan sebagai proses sistem, dan meminimalkan penggunaan baterai serta data agar tidak menimbulkan kecurigaan. Dalam beberapa kasus, spyware dapat bertahan lama di perangkat korban, kecuali jika ponsel di-reset atau sistem operasi diperbarui dengan tambalan keamanan terbaru.

Target dan Dampaknya

Investigasi mengungkap sekitar 90 akun WhatsApp—termasuk milik jurnalis dan anggota organisasi masyarakat sipil—pernah menjadi target spyware Paragon. Lembaga penegak hukum di Kanada dan negara lain diduga menggunakan Graphite untuk operasi pengawasan.

Kasus ini kerap dibandingkan dengan Pegasus buatan NSO Group, yang sebelumnya juga menuai kontroversi global. Kedua kasus tersebut menunjukkan bagaimana spyware komersial, meski dipasarkan sebagai alat resmi, dapat mengikis privasi dan kebebasan berekspresi bila tidak diawasi secara ketat.

Apa Artinya bagi Pengguna?

Bagi pengguna umum, risiko menjadi target spyware kelas tinggi seperti Graphite relatif kecil karena biaya dan penggunaannya sangat spesifik. Namun, kasus ini memberi pelajaran penting: menggunakan aplikasi terenkripsi saja tidak cukup jika perangkatnya sendiri berhasil diretas.

Keamanan tidak hanya soal aplikasi, tetapi juga soal perangkat. Memperbarui sistem operasi dan aplikasi secara rutin, berhati-hati terhadap tautan mencurigakan, serta menjaga keamanan ponsel menjadi langkah dasar yang tak bisa diabaikan.

Di era digital, ancaman tidak selalu terlihat. Namun, kesadaran dan kewaspadaan tetap menjadi benteng pertama dalam menjaga privasi.