Audit Forensik 22 Aplikasi Berisiko Komdigi: Celah Enkripsi, Data Broker Asing, dan Ultimatum Denda 500 Juta Per Hari

JAKARTA / INDONESIA — Kementerian Komunikasi dan Digital (Komdigi) merilis lembar fakta teknis terkait dasar penetapan 22 aplikasi berisiko tinggi bagi anak di Indonesia. Audit forensik siber menemukan adanya transmisi telemetri tanpa enkripsi ujung-ke-ujung (E2EE), kebocoran metadata ke jaringan pialang data asing, serta ketiadaan verifikasi usia mandiri.

Keputusan Komdigi melabeli 22 Produk, Layanan, dan Fitur (PLF) digital populer—termasuk Telegram, Discord, game online kompetitif, dan platform streaming—sebagai platform berisiko tinggi bukan sekadar imbauan administratif. Langkah ini didasari hasil uji penetrasi (penetration testing) dan analisis lalu lintas data (traffic sniffing) yang dilakukan Badan Siber dan Sandi Negara (BSSN) bersama tim independen.

Temuan Forensik: Telemetri Anak Dijual ke Pialang Data

Dalam laporan audit setebal 84 halaman, tim forensik mendeteksi bahwa sejumlah aplikasi obrolan dan game daring secara diam-diam menyematkan software development kit (SDK) pelacak pihak ketiga. SDK ini merekam koordinat lokasi GPS presisi, pengenal perangkat unik (IMEI/IDFA), serta pola kebiasaan daring anak di bawah umur tanpa meminta persetujuan eksplisit (verifiable parental consent) dari orang tua.

Data perilaku ini kemudian ditransmisikan ke server agregator data (data brokers) di yurisdiksi luar negeri yang tidak terikat regulasi perlindungan data pribadi Indonesia. Dampaknya, profil digital anak rentan dimanfaatkan untuk penargetan iklan predator komersial hingga risiko rekayasa sosial (grooming).

Ultimatum Kepatuhan Berjenjang UU Perlindungan Data Pribadi

Komdigi memberikan tenggat waktu 60 hari kerja bagi ke-22 Penyelenggara Sistem Elektronik (PSE) untuk mengintegrasikan fitur verifikasi usia berbasis identitas kependudukan digital, menyaring fitur obrolan suara bebas dengan orang asing pada akun remaja, serta menonaktifkan transaksi mikro agresif (loot box).

PSE yang mengabaikan tenggat waktu ini akan menghadapi sanksi berjenjang sesuai Peraturan Pemerintah No. 71/2019 dan UU No. 27/2022 tentang Perlindungan Data Pribadi (UU PDP). Sanksi dimulai dari pemblokiran akses parsial (throttling bandwidth), denda administratif hingga Rp500 juta per hari keterlambatan, hingga sanksi pemutusan akses penuh (takedown) secara permanen di seluruh jaringan internet Indonesia.