Benarkah TikTok Mata-matai Pengguna?

Kerisauan TikTok jadi alat mata-mata China sejauh ini masih belum didampingi bukti konkret meski potensinya ada. Pemerintah AS pun didorong lebih mengurusi penguatan undang-undang perlindungan data warga.

Pada Kamis (23/3) CEO TikTok Shou Chew memberi keterangan dalam rapat dengan Kongres AS selama lebih dari 5 jam terkait kecurigaan terhadap hubungan platform dengan pemerintah China.

Nampaknya, anggota parlemen AS tetap yakin bahwa TikTok adalah ancaman mendesak bagi keamanan nasional.

Sejumlah anggota parlemen menyatakan sangat skeptis tentang upaya TikTok untuk melindungi data pengguna AS dan meredakan kekhawatiran tentang hubungannya dengan China.

Saat sidang berlangsung, Ketua DPR AS Kevin McCarthy mengaku mendukung undang-undang yang bakal secara efektif memblokir TikTok.

Sementara, Menteri Luar Negeri AS Antony Blinken mengatakan TikTok harus "diakhiri dengan satu atau lain cara", dan Departemen Keuangan mengeluarkan pernyataan yang isinya sumpah untuk "menjaga keamanan nasional", tanpa menyebut nama TikTok.

Kekhawatiran tentang koneksi TikTok ke China itu pun memicu negara-negara lain, terutama konco AS, melarang aplikasi tersebut pada perangkat pemerintah.

Ketakutan tersebut telah menjadi salah satu faktor penyebab hubungan AS-China yang semakin tegang belakangan ini.

TikTok sendiri tidak beroperasi di China. Namun, pemerintah China menikmati pengaruh yang signifikan atas bisnis di bawah yurisdiksinya.

Secara tidak langsung, TikTok bisa saja dipaksa untuk bekerja sama dengan berbagai aktivitas keamanan, termasuk kemungkinan transfer data TikTok.

Saham induk TikTok, ByteDance, sendiri dimiliki oleh investor global (60 persen), pendiri perusahaan (20 persen), dan karyawan (20 persen).

"Bukannya kami tahu TikTok telah melakukan sesuatu, tetapi ketidakpercayaan terhadap China dan kesadaran spionase China telah meningkat," kata James Lewis, pakar keamanan informasi di Pusat Kajian Strategis dan Internasional.

Direktur keamanan siber Badan Keamanan Nasional (NSA) Rob Joyce mengatakan untuk mengartikulasikan masalah keamanannya tentang TikTok, dia menawarkan peringatan umum daripada tuduhan khusus.

"Orang-orang selalu mencari senjata api dalam teknologi ini, tapi saya mencirikannya lebih sebagai senapan yang terkokang," ujar dia.

Apa yang bikin AS khawatir?

Pemerintah AS mengaku khawatir China dapat menggunakan undang-undang keamanan nasional untuk mengakses sejumlah besar informasi pribadi yang dikumpulkan TikTok, seperti kebanyakan aplikasi media sosial, dari penggunanya di AS.

Undang-undang yang dipermasalahkan sangat luas, menurut para pakar hukum barat, China mewajibkan setiap organisasi atau warga negara untuk "mendukung, membantu, dan bekerja sama dengan pekerjaan intelijen negara.

Jika Beijing mendapatkan akses ke data pengguna TikTok, salah satu kekhawatirannya adalah informasi tersebut dapat digunakan untuk mengidentifikasi peluang intelijen.

Misalnya, dengan membantu China mengungkap sifat buruk, kecenderungan, atau titik tekanan dari target negara yang hendak dimata-matai.

Bahkan jika banyak pengguna TikTok adalah remaja yang tampaknya tidak menyembunyikan apa pun, mungkin beberapa dari orang Amerika itu tumbuh menjadi pejabat pemerintah atau industri yang history di media sosialnya terbukti berguna bagi musuh asing.

Kekhawatiran lain adalah jika China memiliki pandangan tentang algoritma TikTok atau operasi bisnis, China dapat mencoba menekan perusahaan untuk membentuk apa yang dilihat pengguna di platform.

Baik dengan menghapus konten melalui penyensoran atau dengan mendorong konten dan propaganda pilihan kepada pengguna. Hal ini bisa berdampak besar pada pemilu AS, pembuatan kebijakan, dan wacana demokrasi lainnya.

Chew dalam sidang itu mengatakan bahwa pemerintah China tidak pernah meminta datanya dari TikTok, dan perusahaan akan menolak permintaan tersebut.

"Saya pikir banyak risiko yang ditunjukkan adalah risiko hipotetis dan teoretis," kata Chew.

"Saya belum melihat bukti apapun. Saya sangat menantikan diskusi di mana kita dapat berbicara tentang bukti dan kemudian kita dapat mengatasi kekhawatiran yang diangkat," sambungnya.

Deret isu

Pellaeon Lin, seorang peneliti yang berbasis di Taiwan di Lab Publik Universitas Toronto, dalam analisisnya 2021, mengungkap TikTok mengumpulkan informasi dalam jumlah yang hampir sama dengan Facebook atau Twitter.

Lin juga menilai TikTok mengambil cukup banyak data termasuk informasi video yang ditonton, komentar yang ditulis, pesan pribadi yang dikirim, dan geolokasi tepat, dan daftar kontak pengguna.

Kebijakan privasi TikTok juga mengklaim perusahaan mengumpulkan alamat email, nomor telepon, usia, riwayat pencarian dan penelusuran, informasi tentang apa yang ada di foto dan video yang pengguna unggah.

Jika Anda setuju, konten papan klip perangkat juga dapat menyalin dan menempelkan informasi ke dalam aplikasi.

Lin juga mengungkap kode sumber (source code) TikTok sangat mirip dengan platform kembarannya yang berbasis di China, Douyin. Menurutnya, itu menyiratkan kedua aplikasi dikembangkan dengan basis kode yang sama dan disesuaikan untuk pasar masing-masing.

Secara teoritis, kata dia, TikTok dapat memiliki "fitur tersembunyi yang melanggar privasi" yang dapat dihidupkan dan dimatikan dengan men-tweak kode servernya dan yang mungkin tidak diketahui publik.

Namun, keterbatasan percobaan rekayasa balik aplikasi membuatnya tidak mungkin untuk mengetahui apakah konfigurasi atau fitur tersebut benara ada.

Lin berandai-andai kekhawatiran AS itu bisa jadi nyata jika ada bukti berupa penggunaan protokol komunikasi yang tidak terenkripsi, percobaan akses daftar kontak atau data geolokasi tanpa izin, atau jika TikTok menghindari perlindungan privasi tingkat sistem yang dibangun di iOS atau Android.

Namun, dia tidak menemukan hal-hal semacam itu.

"Kami tidak menemukan kerentanan terbuka terkait protokol komunikasi mereka, kami juga tidak menemukan masalah keamanan terbuka di dalam aplikasi," kata Lin.

"Mengenai privasi, kami juga tidak melihat aplikasi TikTok menunjukkan perilaku yang mirip dengan malware," aku dia.

Kegagalan menghasilkan UU yang efektif lindungi warga di halaman berikutnya...

Belum Ada Bukti

Ilustrasi. Rangkaian tudingan soal spionase secara sistematis oleh China lewat TikTok belum terbukti. (iStockphoto)

TikTok juga menghadapi tudingan browser dalam aplikasinya melacak entri keyboard penggunanya, jenis perilaku yang dikenal sebagai keylogging yang dapat menimbulkan risiko keamanan.

Peneliti privasi Felix Krause, dalam analisisnya tahun lalu, mengatakan keylogging bukanlah aktivitas jahat yang inheren.

Namun, secara teoritis berarti TikTok dapat mengumpulkan kata sandi, informasi kartu kredit, atau data sensitif lainnya yang mungkin dikirimkan pengguna ke situs web saat mereka mengunjunginya.

Namun, Krause menyebut tidak ada bukti publik soal itu. TikTok mengatakan fungsi keylogging digunakan untuk "debugging, pemecahan masalah, dan pemantauan kinerja", serta untuk mendeteksi bot dan spam.

Penelitian lain menunjukkan bahwa penggunaan keylogger sangat luas di industri teknologi.

Ada pula sejumlah penelitian yang melaporkan TikTok melacak pengguna di internet bahkan saat mereka tidak menggunakan aplikasi. Itu dilakukan lewat penyematan piksel pelacakan di situs web pihak ketiga.

TikTok sendiri mengatakan menggunakan data tersebut untuk meningkatkan bisnis periklanannya.

Dalam hal ini, TikTok tidak unik; alat yang sama digunakan oleh raksasa teknologi AS termasuk induk Facebook Meta dan Google dalam skala yang jauh lebih besar, menurut Malwarebytes, perusahaan keamanan siber terkemuka.

Di Kongres, Chew mengatakan perusahaan melakukan keystroke logging untuk "mengidentifikasi bot", bukan untuk melacak apa yang dikatakan pengguna.

Dia juga berulang kali mencatat bahwa TikTok tidak mengumpulkan lebih banyak data pengguna daripada sebagian besar pesaingnya di industri ini.

Secara terpisah, sebuah laporan tahun lalu menemukan TikTok memata-matai jurnalis, mengintai data pengguna dan alamat IP mereka untuk mencari tahu kapan atau apakah reporter tertentu berbagi lokasi yang sama dengan karyawan perusahaan.

TikTok kemudian mengonfirmasi kejadian tersebut dan ByteDance memecat beberapa karyawan yang mengakses data TikTok dua jurnalis secara tidak benar.

[Gambas:Photo CNN]

Keadaan seputar insiden tersebut menunjukkan bahwa itu bukanlah jenis upaya intelijen skala besar yang diarahkan oleh pemerintah yang terutama ditakuti oleh pejabat keamanan nasional AS.

Alih-alih, itu tampaknya menjadi bagian dari upaya internal khusus oleh beberapa karyawan ByteDance untuk memburu bocoran ke pers.

Sebelumnya, Joyce mengatakan pada Desember 2022 bahwa yang benar-benar dia khawatirkan adalah kampanye "pengaruh skala besar" yang memanfaatkan data TikTok, bukan "penargetan individual melalui [TikTok] untuk melakukan hal-hal jahat".

UU yang kurang kuat

Berdasarkan analisis para pakar di atas, tidak ada kelemahan mencolok yang menunjukkan aplikasi itu saat ini memata-matai orang atau membocorkan informasi mereka.

Pada 2020, The Washington Post bekerja dengan peneliti privasi untuk melihat ke balik dapur TikTok, juga menyimpulkan aplikasi tidak mengumpulkan data lebih banyak daripada jejaring sosial arus utama.

Peiter 'Mudge' Zatko, ethical hacker yang dulunya mantan kepala keamanan Twitter, menyebut TikTok bisa melakukan pengumpulan data dalam jumlah besar secara diam-diam.

Namun, sejauh yang diketahui para peneliti, hal itu tidak lebih invasif atau ilegal daripada yang dilakukan perusahaan teknologi AS lainnya.

"Kami harus percaya bahwa perusahaan-perusahaan itu melakukan hal yang benar dengan informasi dan akses yang kami berikan kepada mereka," kata Zatko.

Lin juga mengatakan keinginan pemerintah dan parlemen AS mengekang TikTok dan perusahaan media sosial lainnya ini lebih mencerminkan kegagalan untuk menghasilkan undang-undang privasi yang kuat yang bisa mengatur industri teknologi secara besar-besaran.

"TikTok hanyalah produk dari seluruh ekonomi kapitalisme pengawasan," kata Lin.

Ia menilai pemerintah di seluruh dunia mengabaikan tugas mereka untuk melindungi informasi pribadi warga negara, memungkinkan perusahaan teknologi besar mengeksploitasi informasi pengguna sebagai keuntungan.

"Pemerintah harus berusaha melindungi informasi pengguna dengan lebih baik ketimbang berfokus [menuding] pada satu aplikasi tertentu tanpa bukti yang kuat," tandas Lin.