- Aplikasi perpesanan mengakumulasi kerentanan teknis, metadata yang berlebihan, dan kesalahan manusia yang dapat menyebabkan kebocoran dan skandal besar.
- WhatsApp, Signal, dan solusi konsumen lainnya tidak menawarkan kontrol atau kepatuhan yang dibutuhkan untuk sektor-sektor penting seperti layanan kesehatan, hukum, atau pemerintahan.
- Organisasi harus beralih ke platform perpesanan perusahaan dengan enkripsi yang kuat, kontrol kunci, audit, dan kedaulatan data.
- Kombinasi antara alat yang tepat, pembaruan, pelatihan, dan praktik terbaik individu secara drastis mengurangi risiko dalam komunikasi digital.
Aplikasi perpesanan telah menjadi bagian penting dari kehidupan digital kita : kita mengoordinasikan pekerjaan, membuat rencana dengan teman, mengirim dokumen sensitif, dan bahkan berbagi detail medis dan keuangan. Namun, penggunaan yang masif ini telah mengungkap kebenaran yang tidak menyenangkan: semakin kita bergantung pada alat-alat ini, semakin menarik alat-alat tersebut bagi penjahat siber, dan semakin serius pula dampak dari setiap kesalahan desain atau kesalahan manusia.
Dalam beberapa tahun terakhir, kerentanan serius telah terungkap di WhatsApp , Signal, Telegram, dan platform lainnya , bersamaan dengan insiden-insiden penting yang melibatkan pemerintah, bisnis, dan organisasi perawatan kesehatan, yang menunjukkan bahwa "obrolan sederhana" dapat menyebabkan denda jutaan dolar, kebocoran data besar-besaran, atau skandal politik yang sesungguhnya. Sepanjang artikel ini, kita akan dengan tenang namun jujur mengkaji mengapa alat-alat ini tidak sepenuhnya aman, risiko nyata apa yang ditimbulkannya, dan alternatif serta praktik terbaik apa yang ada untuk meminimalkan potensi bencana.
Kerentanan besar pada WhatsApp dan kerapuhan nomor telepon.
Salah satu kasus terbaru yang paling mencolok ditemukan oleh tim peneliti dari Universitas Wina dan SBA Research , yang menemukan kelemahan skala besar dalam mekanisme deteksi kontak WhatsApp. Fitur ini, yang dirancang untuk memeriksa nomor mana di buku alamat Anda yang menggunakan aplikasi tersebut, menjadi titik masuk yang ideal untuk pengambilan data akun secara massal.
Berkat kelemahan ini, para peneliti menunjukkan bahwa dimungkinkan untuk melakukan kueri terhadap lebih dari 100 juta nomor telepon per jam melalui infrastruktur WhatsApp, yang pada akhirnya menghitung sekitar 3.500 miliar akun aktif di 245 negara. Sistem tersebut menanggapi sejumlah besar permintaan dari satu sumber, padahal tindakan yang wajar seharusnya adalah menolak atau membatasinya. Perilaku inilah yang justru mengungkap kelemahan tersebut.
Dari setiap nomor yang tervalidasi, penyerang dapat mengekstrak data publik yang terkait dengan profil WhatsApp : kunci publik, stempel waktu, pesan status, gambar profil, dan, dengan melakukan referensi silang informasi ini, bahkan sistem operasi, usia akun, dan jumlah perangkat yang terhubung. Meskipun Meta mengklaim telah menambal kerentanan tersebut dan bahwa hal itu tidak berdampak pada pengguna, sangat sulit untuk membuktikan bahwa tidak ada yang diam-diam mengeksploitasinya sebelum penelitian tersebut dipublikasikan.
Seperti yang dikemukakan oleh pakar keamanan Luis Corrons, penyerang yang cermat akan melakukan pemindaian secara perlahan dan di banyak alamat IP , berbaur dengan lalu lintas normal dan menghindari deteksi. Penemuan ini juga mengungkapkan bahwa sekitar setengah dari nomor yang bocor dalam pengumpulan data Facebook besar-besaran tahun 2021 masih aktif di WhatsApp, menunjukkan bahwa nomor telepon, dalam praktiknya, berfungsi sebagai pengidentifikasi yang hampir permanen.
Pelajaran utama dari episode ini adalah kita harus memperlakukan nomor telepon kita seperti kata sandi, bukan sekadar informasi sepele . Mengonfigurasi WhatsApp agar hanya kontak yang dapat melihat foto profil dan teks informasi Anda, menghindari memposting nomor telepon utama Anda di situs web publik, dan menggunakan nomor khusus untuk iklan atau pertanyaan bisnis adalah langkah-langkah kecil yang secara signifikan mengurangi risiko Anda.
Privasi dan metadata: sisi gelap ruang obrolan "gratis"
Selain kerentanan spesifik, aplikasi perpesanan memiliki masalah struktural: mereka mengumpulkan sejumlah besar data pribadi dan metadata . Bahkan ketika konten dienkripsi ujung-ke-ujung, informasi tentang siapa yang berbicara dengan siapa, kapan, dari mana, dan di perangkat apa dapat menjadi sangat berharga bagi penyerang dan siapa pun yang ingin melakukan pembuatan profil massal.
Dalam kasus WhatsApp, nomor telepon semua kontak, data perangkat, pola penggunaan, keanggotaan grup , gambar profil, pesan status, alamat IP, data lokasi, dan bahkan informasi pembayaran (jika tersedia) dikumpulkan secara sistematis. Data ini dapat digunakan untuk merekonstruksi jaringan sosial dan profesional, peta hubungan internal dalam suatu perusahaan, kebiasaan perjalanan, dan bahkan hierarki organisasi.
Banyak organisasi, yang didorong oleh urgensi atau penghematan biaya, telah mencari perlindungan pada aplikasi konsumen seperti WhatsApp, Telegram, atau Signal untuk mengoordinasikan tugas-tugas sensitif di sektor-sektor penting, pemerintahan, atau bisnis. Namun, apa yang sekilas tampak seperti solusi murah dan familiar seringkali menyembunyikan biaya tersembunyi: hilangnya kendali atas data, ketidakpatuhan terhadap peraturan , pelanggaran kerahasiaan, dan, dalam kasus terburuk, pelanggaran dengan dampak reputasi yang menghancurkan.
Isu sensitif lainnya adalah pencadangan cloud . Meskipun pesan dienkripsi selama transmisi, banyak aplikasi mendorong pencadangan ke layanan pihak ketiga, yang tidak selalu mempertahankan tingkat enkripsi yang sama dan dapat menjadi titik lemah. Pencadangan cloud yang tidak aman dapat sepenuhnya meniadakan manfaat enkripsi ujung-ke-ujung.
Risiko keamanan siber desktop: Electron, kunci, dan malware
Ketika kita beralih dari versi seluler ke versi desktop, segalanya menjadi lebih rumit. Sebagian besar klien pesan desktop dibangun di atas Electron, sebuah kerangka kerja yang membungkus aplikasi web di dalam browser Chromium . Ini sangat nyaman bagi pengembang karena memungkinkan mereka untuk membuat aplikasi "asli" untuk beberapa sistem operasi secara bersamaan, tetapi juga berarti mewarisi kerentanan bawaan Chromium.
Chrome dan Chromium, secara harfiah, adalah target utama bagi penjahat siber . Kerentanan mereka dengan cepat diteliti dan dieksploitasi, dan Google biasanya merespons dengan sering memberikan patch. Masalahnya adalah program berbasis Electron tidak selalu memperbarui mesin tertanamnya dengan kecepatan yang sama, sehingga kerentanan yang sudah diperbaiki di browser dapat tetap aktif selama berbulan-bulan di klien pesan desktop.
Selain itu, terdapat risiko yang sangat serius: kunci enkripsi untuk percakapan disimpan di hard drive komputer . Jika seseorang berhasil membobol perangkat dengan malware, jauh lebih mudah untuk mencuri kunci ini pada komputer desktop daripada pada perangkat seluler, di mana arsitektur sistem dan mekanisme keamanan membuat akses jarak jauh ke jenis informasi ini jauh lebih sulit.
Terakhir, penting untuk tidak melupakan peran aplikasi perpesanan sebagai saluran distribusi file berbahaya . Meskipun lampiran email dan unduhan web biasanya menimbulkan kecurigaan, banyak pengguna mengunduh file yang diterima melalui obrolan tanpa berpikir panjang, terutama jika dikirim oleh rekan kerja yang menggunakan aplikasi yang dipasarkan sebagai "aman." Rasa percaya diri yang berlebihan inilah yang dicari oleh para penyerang.
Kesalahan manusia tingkat tinggi: dari salah kelompok hingga skandal politik
Di luar masalah teknis, ada satu faktor yang tidak dapat diperbaiki oleh perangkat lunak: kesalahan manusia dalam penggunaan aplikasi . Kita semua pernah mengirim pesan ke grup yang salah, mulai dari komentar yang tidak pantas hingga emoji hati yang salah kirim ke atasan. Biasanya itu hanya menjadi anekdot yang memalukan, tetapi ketika pesan dan hal-hal sensitif tercampur, kekacauan dapat meningkat hingga mencapai proporsi yang luar biasa.
Salah satu contoh utamanya adalah obrolan Signal di antara para pejabat tinggi pemerintahan Trump , di mana operasi militer melawan Houthi di Yaman dikoordinasikan. Penasihat Keamanan Nasional Mike Waltz secara keliru menambahkan Jeffrey Goldberg, editor majalah The Atlantic, ke dalam grup bernama "Houthi Small Contact Group," yang memberinya akses ke informasi tentang waktu pasti serangan dan persenjataan yang akan digunakan.
Percakapan tersebut mencakup nama-nama seperti Wakil Presiden JD Vance, Menteri Pertahanan Pete Hegseth, Direktur Intelijen Nasional Tulsi Gabbard, Menteri Luar Negeri Marco Rubio, dan Direktur CIA John Ratcliffe, di antara yang lainnya. Ungkapan terkenal "Saya bergabung dengan obrolan yang salah" berubah dari lelucon menjadi contoh global tentang kecerobohan membahas rahasia militer dalam obrolan terenkripsi tanpa kontrol formal.
Awalnya, Trump mencoba mengecilkan insiden tersebut, mengklaim bahwa tidak ada informasi rahasia atau informasi yang berkaitan dengan keamanan nasional yang dibagikan, dan timnya menuduh majalah tersebut memiliki agenda politik. Namun, di bawah tekanan, The Atlantic memutuskan untuk menerbitkan isi lengkap kelompok tersebut agar publik dapat menilai keseriusan masalah tersebut, dan juga mengungkapkan pernyataan yang meremehkan sekutu Eropa yang telah muncul di pertemuan puncak lainnya.
Insiden tersebut menimbulkan perbandingan dengan penggunaan email pribadi oleh Hillary Clinton dan kembali memicu perdebatan tentang kesesuaian alat pesan instan untuk menangani informasi rahasia , tidak peduli seberapa terenkripsi informasi tersebut. Pelajaran dari kisah ini jelas: enkripsi melindungi dari spionase eksternal, tetapi tidak memperbaiki keputusan yang ceroboh atau kesalahan penerima.
Phishing, peniruan identitas, dan pembajakan akun WhatsApp
Area lain di mana aplikasi perpesanan telah menjadi lahan perburuan bagi para penjahat adalah pencurian identitas dan phishing . Kampanye yang sebelumnya terbatas pada email kini juga disebarkan melalui SMS, WhatsApp, dan saluran lainnya, dengan pesan yang berpura-pura menjadi pemberitahuan sah untuk mengelabui pengguna agar mengklik tautan yang seharusnya tidak mereka klik.
Contoh tipikalnya adalah email yang tampaknya berasal dari WhatsApp dan mengajak Anda untuk "mencadangkan pesan dan riwayat panggilan Anda" melalui sebuah tautan. Mengklik tautan tersebut, alih-alih melakukan pencadangan, malah mengunduh perangkat lunak berbahaya yang dapat mencuri data, mengambil alih akun, atau bahkan menginfeksi perangkat secara permanen.
Dalam beberapa bulan terakhir, juga terjadi peningkatan upaya untuk membajak akun WhatsApp menggunakan rekayasa sosial. Dengan memanfaatkan data pribadi yang dikumpulkan dari pelanggaran sebelumnya atau media sosial, penyerang menyamar sebagai kenalan, dukungan teknis, atau entitas tepercaya, meyakinkan korban untuk memberikan kode verifikasi yang diterima melalui SMS.
Kode tersebut, yang digunakan oleh banyak aplikasi (termasuk perbankan, media sosial, dan sistem otentikasi SMS-ID) sebagai lapisan keamanan kedua , adalah kunci utama. Membagikannya, bahkan "karena seorang teman memintanya," sama saja dengan menyerahkan kendali akun begitu saja. Setelah masuk, pelaku kejahatan dapat menyamar sebagai korban untuk meminta uang, mengakses percakapan sebelumnya, atau memperluas serangan ke layanan lain yang terhubung ke nomor yang sama.
Dalam menghadapi ancaman semacam ini, solusinya melibatkan penguatan kesadaran dan kebersihan keamanan dasar : waspada terhadap pesan tak terduga yang meminta kode atau kata sandi, mengaktifkan sistem verifikasi tambahan (seperti PIN verifikasi dua langkah WhatsApp), dan secara berkala memeriksa perangkat mana yang masuk ke akun kita.
Risiko di lingkungan layanan kesehatan dan korporasi: mengapa "WhatsApp apa pun" tidak akan cukup.
Di organisasi seperti Balearic Islands Health Service , pesan instan telah menjadi alat penting untuk komunikasi cepat antar profesional, tetapi itu tidak berarti Anda dapat menggunakan sembarang aplikasi yang ada di ponsel pribadi Anda. Pilihan alat tersebut secara langsung memengaruhi kerahasiaan data pasien dan kepatuhan hukum.
Oleh karena itu, Microsoft Teams telah dipilih sebagai aplikasi perpesanan perusahaan di lingkungan ini , dengan menegaskan bahwa komunikasi instan antar staf layanan kesehatan harus dilakukan secara eksklusif melalui platform ini. Teams terintegrasi ke dalam ekosistem Office 365, yang menawarkan solusi keamanan khusus untuk mengurangi serangan ransomware, pencurian identitas, pelanggaran data, dan ancaman yang terkait dengan URL dan file berbahaya.
Pada saat yang sama, pentingnya menjaga semua aplikasi tetap mutakhir dan menggunakan kata sandi yang kuat ditekankan untuk mengurangi peluang terpapar kerentanan yang diketahui. Pelatihan pengguna sangat penting: memahami bahwa setiap penundaan dalam pembaruan atau setiap kata sandi yang lemah membuka peluang bagi penyerang potensial.
Di sektor layanan kesehatan, dan di organisasi lain mana pun yang tunduk pada peraturan ketat seperti HIPAA, GDPR, SOX, atau persyaratan pertahanan, aplikasi perpesanan yang dirancang untuk masyarakat umum sering kali kekurangan kontrol bisnis penting : administrasi pengguna terpusat, kebijakan retensi, pelacakan akses penuh, pencegahan kebocoran data, atau integrasi dengan sistem manajemen identitas.
Contoh nyata berlimpah: mulai dari rumah sakit yang didenda jutaan karena mengizinkan penggunaan WhatsApp untuk mengoordinasikan pasien, hingga firma hukum di mana penggunaan Signal dengan klien menimbulkan pertanyaan tentang hak istimewa kerahasiaan antara pengacara dan klien serta menyebabkan tuntutan malpraktik. Situasi-situasi ini memperjelas bahwa, betapapun menggiurkannya memanfaatkan aplikasi populer, harga yang harus dibayar bisa sangat besar.
Salt Typhoon, infrastruktur penting, dan keterbatasan pesan konsumen.
Serangan yang dilakukan oleh kelompok seperti Salt Typhoon terhadap penyedia telekomunikasi utama telah menyoroti kerapuhan infrastruktur komunikasi yang menopang pemerintah, bisnis, dan layanan penting. Menghadapi rasa kerentanan ini, banyak organisasi, hampir secara naluriah, beralih ke aplikasi pesan konsumen sebagai solusi cepat untuk komunikasi internal yang "aman".
Masalahnya adalah, meskipun alat-alat ini menawarkan perlindungan yang lebih baik daripada SMS atau email yang tidak terenkripsi , alat-alat ini tidak dirancang untuk tingkat keamanan yang dibutuhkan untuk komunikasi strategis bernilai tinggi. Alat-alat ini cenderung memusatkan infrastruktur di beberapa pusat data penyedia, menciptakan titik kegagalan tunggal dan target utama bagi penyerang serta tekanan hukum dari pemerintah asing.
Dari sudut pandang regulasi, banyak platform ini tidak selaras dengan persyaratan khusus di sektor-sektor sensitif , seperti kewajiban pengarsipan dan audit di bidang keuangan, penahanan data hukum dalam litigasi, atau pembatasan kedaulatan data dalam kontrak pemerintah. Menggunakannya untuk memproses informasi yang tunduk pada peraturan ini adalah pertaruhan bahwa, cepat atau lambat, inspeksi atau insiden akan mengungkap ketidakpatuhan tersebut.
Dalam ranah kedaulatan data, penggunaan layanan global juga berarti bahwa informasi dapat berakhir tersimpan di yurisdiksi dengan hukum akses yang sangat berbeda , atau bahkan hukum yang bertentangan dengan peraturan setempat. Hal ini membuka pintu bagi pengumpulan intelijen oleh negara pihak ketiga dan juga bagi pertempuran hukum yang kompleks mengenai undang-undang mana yang berlaku untuk setiap informasi.
Oleh karena itu, organisasi yang mengelola infrastruktur kritis atau informasi yang sangat sensitif membutuhkan solusi yang dirancang dari awal untuk realitas mereka: arsitektur tanpa pengetahuan (zero-knowledge architecture), kunci enkripsi di bawah kendali pelanggan , penerapan di lokasi (on-premises) atau hibrida yang menjamin kedaulatan data, dan serangkaian fitur audit, retensi, integrasi, dan otentikasi tingkat lanjut yang lengkap.
Cellcrypt dan platform perusahaan: pendekatan berbeda terhadap keamanan
Menghadapi keterbatasan aplikasi umum, platform yang dirancang khusus untuk komunikasi bisnis dan pemerintahan yang aman , seperti Cellcrypt, semakin populer. Solusi ini didasarkan pada premis yang jelas: penyedia tidak boleh dapat membaca konten atau mengumpulkan metadata lebih dari yang benar-benar diperlukan.
Cellcrypt mengadopsi arsitektur tanpa pengetahuan (zero-knowledge) dengan enkripsi ujung-ke-ujung dan kontrol kunci sisi klien . Hal ini dilengkapi dengan enkripsi pasca-kuantum dua lapis, berdasarkan algoritma standar NIST, yang dirancang untuk menahan serangan saat ini dan skenario "tangkap sekarang, dekripsi nanti" di masa depan ketika komputasi kuantum menjadi ancaman yang nyata.
Di lingkungan di mana rahasia negara atau informasi pertahanan ditangani, solusi jenis ini memiliki persetujuan dari organisasi seperti NATO dan sertifikasi pemerintah , serta audit eksternal yang memvalidasi desain dan implementasinya. Ini bukan hanya soal teknologi, tetapi juga soal menunjukkan, dengan dokumentasi dan bukti, bahwa standar yang paling ketat telah dipenuhi.
Dari sisi administrasi, platform jenis ini menawarkan manajemen pengguna terpusat, kontrol akses berbasis peran, penyediaan dan penghapusan perangkat jarak jauh , penegakan kebijakan keamanan, serta alat audit dan pelaporan yang memungkinkan dokumentasi siapa yang mengakses apa, kapan, dan dari mana—sesuatu yang penting di sektor yang diatur.
Dari segi penerapan, opsinya sangat fleksibel: mulai dari instalasi lokal untuk kontrol data lengkap, hingga model berbasis cloud atau hibrida yang menyeimbangkan adopsi cepat, skalabilitas, dan kedaulatan data . Secara fungsional, fitur-fiturnya meliputi panggilan suara dan video terenkripsi, pesan dan obrolan grup, berbagi file dan layar yang terlindungi, serta langkah-langkah tambahan seperti pemblokiran pengambilan gambar, penghapusan jarak jauh, dan pembatasan geografis untuk membatasi akses ke lokasi tertentu.
Agar transisi ini berhasil, strategi bertahap biasanya diterapkan: audit penggunaan pesan saat ini, penetapan kebijakan, program percontohan terkontrol, peluncuran bertahap, dan implementasi efektif yang mencakup larangan eksplisit terhadap aplikasi konsumen untuk komunikasi sensitif. Tanpa komponen regulasi dan edukasi ini, teknologi saja tidak cukup.
Praktik terbaik bagi pengguna dan sumber daya untuk pembelajaran lebih lanjut.
Pada tingkat individu, ada beberapa panduan yang dapat diikuti siapa pun untuk mengurangi risiko saat menggunakan aplikasi perpesanan. Yang pertama adalah memperlakukan nomor telepon dan kode yang diterima melalui SMS sebagai kredensial sensitif yang tidak boleh dibagikan , bahkan jika orang yang memintanya tampak seperti teman, teknisi, atau aplikasi itu sendiri.
Sebaiknya periksa pengaturan privasi setiap aplikasi untuk membatasi siapa yang dapat melihat foto profil, deskripsi, waktu terakhir dilihat, atau profil publik Anda. Semakin sedikit informasi yang tersedia untuk umum, semakin sulit bagi penyerang untuk membuat penipuan yang meyakinkan atau menghubungkan nomor Anda dengan data lain yang bocor.
Dari sisi teknis, sangat penting untuk menjaga perangkat Anda tetap terlindungi dengan perangkat lunak antivirus dan sistem operasi yang selalu terbaru , dan waspada terhadap tautan atau file yang tidak terduga, bahkan jika berasal dari kontak yang dikenal (akun mereka mungkin juga telah diretas). Berpikir dua kali sebelum mengklik dapat menyelamatkan Anda dari banyak masalah.
Tersedia banyak sumber daya bermanfaat dari organisasi seperti INCIBE: infografis untuk membuat kata sandi yang kuat, postingan blog tentang kesalahan umum pengguna , panduan untuk mengidentifikasi upaya phishing, dan buletin khusus tentang email, pengelola kata sandi, dan cara melaporkan penipuan daring dengan benar. Materi-materi yang jelas ini, yang dirancang untuk masyarakat umum, membantu mengintegrasikan keamanan siber ke dalam kehidupan sehari-hari.
Pada tingkat organisasi, menggabungkan alat perusahaan yang sesuai (Teams, solusi perusahaan terenkripsi seperti Cellcrypt, dll.) dengan pelatihan rutin tentang praktik terbaik dan pemantauan alat akses jarak jauh yang tidak sah serta layanan cloud secara signifikan mengurangi ruang lingkup bagi penyerang dan kelalaian internal. Ini bukan tentang hidup dalam ketakutan, tetapi tentang menyadari bahwa, dengan beberapa langkah yang wajar, sebagian besar bencana dapat dihindari.
Semua yang telah kita lihat menunjukkan bahwa aplikasi perpesanan sama ampuhnya dengan kerentanannya: aplikasi tersebut mempermudah hidup, tetapi kesalahan teknis atau manusia apa pun dapat memiliki konsekuensi yang sangat serius dalam hal privasi, kepatuhan, dan keamanan. Mengevaluasi alat mana yang kita gunakan untuk setiap jenis percakapan, meminimalkan paparan data kita, dan memilih solusi perusahaan ketika informasi tersebut membutuhkannya adalah cara terbaik untuk terus menikmati kemudahan obrolan tanpa menjadikannya titik lemah digital kita.
