Cara Baru Perusahaan Israel Memata-matai Pengguna Internet

tirto.id - Selagi senggang, Anda sedang membaca berita di ponsel. Di sela paragraf, muncul iklan biasa, mungkin diskon sepatu olahraga atau promosi perangkat audio. Anda mengabaikannya dan terus menggulir.

Tidak ada layar berkedip, peringatan keamanan, atau permintaan mengunduh berkas. Anda tak mengeklik apa pun. Namun, ponsel Anda bisa saja diretas tiba-tiba. Piintu masuknya adalah iklan yang tampak biasa itu.

Dalam operasi tertentu, iklan dirancang untuk mengenali perangkat sasaran dan memulai proses penyusupan spyware, tanpa perlu tindakan aktif dari pemilik ponsel.

Itulah yang terjadi pada sejumlah perangkat milik awak Al Jazeera sepanjang 2024 hingga 2025. Setidaknya 45 perangkat di jaringan kantor berita yang berbasis di Qatar itu ditargetkan menggunakan spyware buatan perusahaan Israel.

Dalam serangan tersebut, iklan dimanfaatkan untuk melacak target dan menyerang perangkat. Ancaman siber bersembunyi di balik praktik periklanan sehari-hari.

Cara Iklan Online Menjadi Alat Mata-Mata

Ada beberapa jenis ancaman yang membayangi pengguna internet, termasuk pelacakan iklan yang merekam kebiasaan baca dan kata kunci pencarian untuk menyajikan promosi sesuai minat. Ada pula penipuan daring, yang pelakunya memanfaatkan rekayasa agar korban menyerahkan kata sandi atau data perbankan.

Ancaman yang lebih serius muncul ketika infrastruktur iklan dimanfaatkan untuk melancarkan serangan tanpa klik (zero-click attack). Dalam metode ini, penyerang mengeksploitasi celah keamanan perangkat atau peramban sehingga pengguna tidak perlu mengeklik tautan untuk menjadi sasaran.

Michael Veale dan Frederik Zuiderveen Borgesius (2022) mengkaji kelemahan sistem tersebut dalam artikel di German Law Journal. Dijelaskan bahwa ketika seseorang membuka situs web atau aplikasi, sistem lelang iklan waktu nyata (real-time bidding atau RTB) menawarkan ruang iklan kepada pengiklan. Mereka mengajukan tawaran berdasarkan informasi tentang pengguna dan perangkatnya. Proses ini berlangsung dalam hitungan milidetik.

Agar pengiklan berani menawar tinggi, bursa iklan mengirim profil pengguna, yang mencakup alamat IP, pengenal perangkat, dan data tentang aplikasi atau situs yang dibuka. Informasi tersebut dapat diteruskan kepada sejumlah pihak dalam ekosistem periklanan.

Veale dan Borgesius menyimpulkan, RTB punya masalah keamanan struktural karena mengedarkan data pribadi tanpa kendali memadai. Selain itu, praktik tersebut melanggar prinsip dasar hukum pelindungan data Uni Eropa.

RTB pada dasarnya dirancang untuk menayangkan iklan bertarget. Tapi, masalah muncul ketika pelaku memanfaatkan data dan mekanisme penayangan iklan untuk mengenali sasaran serta mengirimkan kode berbahaya.

Perusahaan tersebut membangun platform bernama Controlium, yang antarmukanya mirip panel kendali kampanye iklan biasa, tetapi dirancang untuk peretasan yang menyasar perangkat tertentu. Klien dapat mengincar target lewat nomor identitas pengguna, alamat IP, atau nomor pelacak iklan bawaan perangkat Apple atau Android.

Saat target membuka aplikasi atau situs web, Controlium mengikuti lelang RTB, lalu menawar harga tertinggi. Setelah menang, iklan dari jaringan Discover-Tech tampil di layar target. Citizen Lab menamai teknik ini sebagai AdFection. Ketika iklan dimuat, skrip JavaScript di dalamnya menghubungi peladen (server)Discover-Tech. Peladen kemudian menentukan apakah perangkat tersebut memenuhi kriteria sasaran dan perlu menerima kode tambahan.

Begitu iklan tampil, kode itu berjalan di latar belakang dan menghubungi peladen Discover-Tech, yang mengumpulkan data tambahan dari perangkat dan mencocokkannya dengan sasaran klien. Jika tidak cocok, peladen tidak merespons dan iklan pun berlalu seperti biasa. Jika cocok, peladen mengirim instruksi untuk memulai infeksi perangkat lunak mata-mata. Semuanya berlangsung tanpa satu pun klik.

Citizen Lab menganalisis empat miliar catatan penawaran iklan Discover-Tech selama empat bulan. Iklannya menembus lebih dari 120 ribu situs web dan 75.000 aplikasi seluler, termasuk Viber, Truecaller, Duolingo, Yahoo Mail, dan Grindr.

Karena kode berbahaya dikirim secara selektif kepada perangkat yang memenuhi kriteria sasaran, penyaringan iklan tidak selalu mendeteksi aktivitas tersebut.

Peneliti juga menemukan kelemahan teknis pada Controlium. Platform tersebut memakai autentikasi layanan pihak ketiga, Okta, yang mengambil token autentikasi dari metadata pengguna terenkripsi, bukan memakai token sandi sah yang dikembalikan Okta.

Berkat celah kesalahan itu peneliti mampu membongkar cara kerja infrastruktur Discover-Tech dan membuktikan bahwa platform iklan digital bisa diubah menjadi infrastruktur pengawasan global.

Spyware Candiru di Balik Serangan Al Jazeera

Discover-Tech berperan sebagai fasilitator, membungkus layanan spionase dalam rupa agensi teknologi periklanan. Perusahaan yang berbasis di Tel Aviv itu tercatat sebagai penyedia iklan yang disetujui Google selama beberapa tahun. Status tersebut memungkinkan perusahaan mengakses infrastruktur periklanan yang luas lewat Google Ad Manager, bursa Yandex, dan bursa Beeswax milik Comcast.

Menurut Citizen Lab, fungsi utama Discover-Tech adalah menghubungkan industri periklanan dengan vendor alat pengintaian dan peretasan, membantu vendor intelijen dan pembuat spyware komersial melacak gawai di seluruh dunia. Peneliti juga menemukan hubungannya dengan kelompok peretas bayaran, Bindecy, serta firma intelijen periklanan bernama Intelos.

Salah satu perusahaan spyware yang terhubung dengan Discover-Tech adalah Candiru, perusahaan asal Israel yang menjual perangkat lunak untuk menyusup ke perangkat target. Alat retasnya dirancang tanpa meninggalkan jejak.

Pada November 2021, Departemen Perdagangan Amerika Serikat memasukkan Candiru ke dalam Entity List. Sebabnya, perusahaan itu dinilai mengembangkan dan memasok spyware yang digunakan pemerintah asing untuk menyasar pejabat, jurnalis, aktivis, dan kelompok lainnya.

Candiru kemudian berganti nama menjadi Integrity Labs. Lalu, pada 2025, seluruh asetnya diambil alih entitas baru bernama Integrity Partners.

Citizen Lab mengaitkan iklan Discover-Tech dengan infrastruktur Candiru lewat pola waktu operasi. Setelah iklan dimuat, perangkat yang memenuhi kriteria sasaran berkomunikasi dengan peladen milik Discover-Tech. Perangkat tertentu kemudian terhubung ke server Candiru untuk menjalani pemeriksaan lebih lanjut sebelum proses infeksi berlangsung.

Analisis perangkat Windows yang diserahkan tim teknis Al Jazeera menemukan program berbahaya dengan karakteristik yang cocok dengan infrastruktur Candiru. Jika perangkat berhasil disusupi, operator spyware berpotensi mengakses data dan fungsi perangkat sesuai kemampuan perangkat lunak yang ditanamkan.

Komite Pelindung Jurnalis (CPJ) menanggapi dengan pernyataan keras. Menurut mereka, teknologi periklanan komersial telah menjadi mesin represi. Jurnalis, misalnya, memakai ponsel untuk menghubungi sumber anonim dan menyimpan data investigasi. Jika melihat iklan saja bisa mengundang spyware, kerja jurnalistik kehilangan ruang aman.

Operasi tersebut dapat menjangkau banyak pengguna karena Discover-Tech sebelumnya tercatat sebagai penyedia iklan yang disetujui sejumlah pelaku industri. Setelah temuan Citizen Lab disampaikan, Google dan beberapa perusahaan lain mengklaim pihaknya telah memutus atau menangguhkan akses Discover-Tech ke jaringan periklanan.

Namun, investigasi Citizen Lab tidak memiliki bukti identitas klien yang memerintahkan serangan terhadap perangkat jurnalis Al Jazeera.

Indonesia Juga Jadi Ladang Spyware Israel

Apakah metode peretasan lewat iklan yang terjadi di Asia Barat juga mengincar warga Indonesia?

Hingga kini, belum ada bukti yang menunjukkan bahwa metode AdFection milik Discover-Tech digunakan untuk menyerang pengguna di Indonesia. Namun, laporan Amnesty International berjudul “A Web of Surveillance” pada 2024 menemukan bukti perdagangan dan infrastruktur sejumlah produk spyware di Indonesia, termasuk Candiru yang beroperasi dengan nama Saito Tech.

Perusahaan tersebut menawarkan sistem perangkat lunak penyusupan bernama Cyrus, yang mampu mengambil alih komputer Windows, menyusup ke jaringan internal, dan menjebol perangkat iOS maupun Android.

Peneliti juga menemukan sidik jari digital yang menunjukkan peladen pelanggan Candiru beroperasi dari infrastruktur jaringan di Indonesia sejak pertengahan 2021. Pengendali spyware di sini tidak memakai iklan tanpa klik seperti Discover-Tech. Mereka memakai rekayasa sosial satu klik, dengan mendaftarkan puluhan situs palsu yang meniru portal berita arus utama, seperti TribunNews, Tirto, MediaIndonesia, dan ANTARA News.

Domain-domain tersebut diduga digunakan untuk mengarahkan sasaran ke infrastruktur spyware. Namun, Amnesty belum memastikan bahwa semua domain yang ditemukan pernah menjadi peladen infeksi atau bahwa setiap orang yang membukanya terinfeksi.

Memasuki 2022, domain pancingan Candiru yang dikendalikan dari Indonesia makin beragam. Pelaku memalsukan situs tutorial keamanan digital, mencatut nama partai Gelora lewat tautan proyek politiknya, dan meniru situs yayasan amal Islam.

Selain Candiru, laporan yang sama menemukan spyware Helios buatan Wintego beredar di Indonesia lewat perantara Singapura, ESW Systems PTE Ltd, yang juga dikirim ke kepolisian. Sebelumnya, spyware FinFisher dipasok melalui Raedarius M8 Sdn Bhd kepada PT Digital Solusi Prima.

Ada pula spyware Predator buatan konsorsium Intellexa. Sejak akhir 2021, alamat IP di Indonesia berperan sebagai peladen utama Predator, dan infrastrukturnya masih aktif hingga akhir 2023. Taktiknya mirip Candiru: menggunakan domain palsu, seperti suaraoposisi[.]net, ewestpapua[.] org, dan nindonesia[.]news.

Namun temuan itu tidak menerangkan adanya kasus dari dalam negeri tentang peretasan tanpa klik lewat bursa iklan. Operasi Candiru di Indonesia lebih condong memakai tautan berita palsu konvensional.