Meta Tuding NSO Group Coba Bobol WhatsApp Lewat Phishing

Hampir seluruh kehidupan digital kita bermuara di satu aplikasi pesan instan: foto keluarga, dokumen pekerjaan, hingga percakapan pribadi yang paling sensitif. Maka ketika platform dengan lebih dari 2,7 miliar pengguna aktif bulanan seperti WhatsApp menjadi sasaran upaya penyusupan, persoalan ini bukan lagi sekadar urusan teknis di balik layar — ini menyangkut keamanan privasi hampir sepertiga populasi dunia. Meta, induk perusahaan WhatsApp, baru-baru ini melontarkan tudingan serius kepada NSO Group, perusahaan teknologi asal Israel, yang disebut berupaya menembus akun pengguna lewat teknik phishing, yakni pengelabuan digital menggunakan umpan palsu untuk mencuri kredensial korban. Pihak WhatsApp menyatakan sistem pertahanannya berhasil mendeteksi gelagat mencurigakan tersebut dan memutus akses sebelum kerugian meluas ke pengguna.

Bagaimana Pola Serangan yang Dituduhkan?

Ibarat pencuri yang tidak mendobrak pintu, melainkan menyaru sebagai kurir paket agar penghuni rumah sukarela membukakan kunci — begitulah cara kerja phishing. Pelaku mengirim pesan atau tautan yang tampak meyakinkan, lalu menunggu korban lengah dan mengeklik. Dalam konteks WhatsApp, umpan semacam ini bisa berujung pada pengambilalihan akun, pencurian kode verifikasi, hingga penyusupan perangkat lunak berbahaya ke ponsel korban.

Meta menilai pola tersebut konsisten dengan modus yang selama ini diasosiasikan dengan NSO Group. Perusahaan yang berkantor di Herzliya, Israel, dan berdiri sejak 2010 itu dikenal sebagai pengembang Pegasus, spyware (perangkat mata-mata) yang mampu menyadap ponsel, membaca pesan terenkripsi, mengaktifkan kamera dan mikrofon, hingga menyalin data tanpa disadari pemilik perangkat. NSO selalu berdalih produknya hanya dijual kepada lembaga pemerintah untuk memerangi terorisme dan kejahatan serius. Namun berbagai penelitian keamanan siber oleh lembaga riset independen berulang kali menemukan jejak Pegasus di ponsel jurnalis, aktivis hak asasi manusia, dan tokoh oposisi di sejumlah negara.

Rekam Jejak Panjang di Ruang Sidang

Ketegangan antara WhatsApp dan NSO Group bukan cerita baru. Pada Oktober 2019, WhatsApp menggugat NSO ke pengadilan federal Amerika Serikat dengan tuduhan mengeksploitasi celah keamanan pada fitur panggilan suara untuk menyusupkan Pegasus ke sekitar 1.400 perangkat milik pengguna di berbagai negara. Yang membuat kasus ini fenomenal adalah teknik serangannya yang bersifat zero-click, artinya korban tidak perlu mengeklik apa pun — panggilan tak terjawab saja cukup menjadi pintu masuk.

Perjalanan hukum itu membuahkan hasil penting. Pada Desember 2024, hakim federal Amerika Serikat memutuskan NSO Group bertanggung jawab atas pelanggaran tersebut. Lalu pada Mei 2025, juri pengadilan menjatuhkan kewajiban ganti rugi sekitar 167 juta dolar Amerika Serikat (setara lebih dari Rp2,7 triliun), salah satu vonis terbesar dalam sejarah litigasi spyware. Putusan itu dipandang banyak pengamat sebagai preseden bahwa pembuat perangkat mata-mata komersial bisa diseret ke meja hijau dan dimintai pertanggungjawaban.

Mengapa Enkripsi Saja Tidak Cukup?

WhatsApp menerapkan enkripsi ujung-ke-ujung (end-to-end encryption), teknologi yang membuat pesan hanya bisa dibaca pengirim dan penerima — bahkan Meta sendiri tidak bisa mengintip isinya. Namun implementasi enkripsi terkuat sekalipun menjadi tidak berarti bila perangkat di ujung sudah dikuasai penyusup. Ibarat brankas baja terbaik di dunia: percuma canggih jika pencuri sudah berdiri di dalam ruangan dan membaca isi brankas begitu dibuka pemiliknya. Di sinilah phishing berperan sebagai jembatan — bukan merusak algoritma enkripsi, melainkan mengelabui manusianya.

Untuk memperkuat ekosistem pertahanannya, WhatsApp selama ini mengombinasikan deteksi anomali berbasis machine learning (pembelajaran mesin, yakni sistem yang belajar mengenali pola dari data), pembaruan keamanan berkala, serta notifikasi proaktif kepada pengguna yang diduga menjadi target serangan canggih. Upaya mitigasi terbaru ini menunjukkan bahwa perlawanan terhadap spyware komersial kini berlangsung di banyak lapis sekaligus: teknologi, hukum, dan edukasi pengguna.

Apa yang Bisa Dilakukan Pengguna?

Bagi pengguna awam, ada beberapa langkah konkret yang direkomendasikan para peneliti keamanan. Pertama, aktifkan verifikasi dua langkah (two-step verification) agar akun tidak mudah dibajak meski kode verifikasi bocor. Kedua, jangan mengeklik tautan mencurigakan, sekalipun tampak berasal dari kontak yang dikenal. Ketiga, perbarui aplikasi dan sistem operasi ponsel secara rutin karena pembaruan umumnya menambal celah keamanan. Keempat, manfaatkan fitur pemeriksaan keamanan bawaan aplikasi dan waspadai siapa pun yang meminta kode verifikasi Anda.

Kasus terbaru ini menjadi pengingat bahwa inovasi di industri spyware berjalan secepat inovasi pertahanan siber. Selama perangkat mata-mata komersial masih menjadi komoditas yang diperjualbelikan, disrupsi terhadap privasi digital akan terus mengintai. Dan selama itu pula, kewaspadaan pengguna tetap menjadi benteng pertama yang tidak tergantikan oleh teknologi secanggih apa pun.