Pengawasan metadata sedang mengubah wajah privasi, demokrasi, dan keamanan. Jika Anda seorang jurnalis, pembuat kebijakan, pakar teknologi, atau aktivis, mari kita bahas hal ini.
Pengumpulan metadata lebih murah, lebih cepat, dan lebih mudah daripada memata-matai konten yang sebenarnya
Aplikasi kebugaran seperti Strava dapat secara tidak sengaja membocorkan lokasi sensitif dan rutinitas pengguna
Para aktivis dan jurnalis sangat rentan terhadap pelacakan berbasis metadata
Metadata blockchain dapat menghubungkan alamat dompet dengan identitas di dunia nyata.
Sistem AI kini mengotomatiskan penargetan berdasarkan metadata, yang berakibat fatal
Gunakan aplikasi yang dilengkapi enkripsi ujung-ke-ujung dan membatasi penyimpanan metadata
Sembunyikan jejak digital Anda dengan VPN dan peramban yang mengutamakan privasi
Nonaktifkan pelacakan lokasi dan sensor yang tidak diperlukan
Pikirkan baik-baik sebelum membagikan — metadata mengungkapkan lebih banyak daripada yang Anda kira
Setiap pesan teks, check-in lokasi, atau transaksi blockchain meninggalkan jejak metadata — data mengenai data Anda. Tidak perlu menampilkan konten untuk menunjukkan siapa dirimu. Hal ini dapat mengungkap dengan siapa Anda berkomunikasi, kapan, di mana, dan seberapa sering, sehingga membentuk gambaran yang jelas tentang kehidupan Anda. Misalnya, sebuah foto Anda di dalam ruangan putih tidak memberikan banyak informasi sampai metadata tersebut menyebutkan di mana foto itu diambil, kapan, dan dengan perangkat apa.
Pemantauan konten itu mahal dan sering kali dienkripsi. Metadata bukanlah. Badan-badan intelijen telah lama lebih memilih pengawasan metadata karena cara ini menghindari banyak perlindungan hukum yang berlaku bagi konten.**
Program-program seperti PRISM dan Stellar Wind milik NSA mengumpulkan metadata dalam jumlah besar (termasuk catatan panggilan telepon, log IP, dan header email) tanpa surat perintah. Berbeda dengan penyadapan penuh, penyadapan metadata dapat disahkan berdasarkan standar yang lebih longgar seperti doktrin pihak ketiga, yang mengasumsikan bahwa pengguna kehilangan hak privasi saat mereka membagikan metadata kepada penyedia layanan.
Bahkan setelah Undang-Undang USA FREEDOM tahun 2015 membatasi pengumpulan data massal NSA di dalam negeri berdasarkan Pasal 215, kegiatan pengawasan tidak berhenti — hanya saja bentuknya berubah. Pada tahun 2024, AS Senator Ron Wyden mengungkapkan bahwa NSA kini secara rutin membeli metadata dari pialang data komersial. Pembelian-pembelian tersebut mencakup riwayat penelusuran dan data telekomunikasi warga Amerika, yang diperoleh tanpa persetujuan pengguna atau pengawasan yudisial.
Peta panas dari perangkat pelacak kebugaran telah mengungkap rutinitas olahraga orang-orang serta lokasi pangkalan militer. Bahkan metadata kebugaran yang telah dianonimkan pun dapat mengungkap detail pribadi jika digabungkan dengan informasi lokasi publik.**
Strava, sebuah aplikasi kebugaran yang populer, mengumpulkan metadata GPS dalam jumlah sangat besar untuk melacak rute olahraga para penggunanya. Pada tahun 2017, perusahaan tersebut menerbitkan peta panas global yang didasarkan pada tiga triliun titik GPS. Para analis segera menyadari bahwa peta ini secara tidak sengaja mengungkap tata letak pangkalan-pangkalan militer AS, Rusia, dan Turki di zona konflik, seperti Suriah dan Afghanistan. Meskipun tidak ada data pribadi yang terungkap secara langsung, metadata yang dikumpulkan tersebut mengungkap rute patroli, batas wilayah pangkalan, dan zona operasional.
Baru-baru ini, pada tahun 2022, para jurnalis dari Le Monde menunjukkan bagaimana fitur-fitur sosial Strava dapat dimanfaatkan untuk tujuan jahat. Dengan membuat rute lari palsu di dekat pangkalan militer Israel, mereka memicu fitur “atlet terdekat” di Strava dan mengumpulkan metadata dari profil yang terbuka. Hal ini memungkinkan mereka untuk mengidentifikasi tentara Israel, melacak rutinitas mereka, dan bahkan mengamati pergerakan mereka di luar pangkalan saat menjalani kehidupan sipil.
Di Singapura, aplikasi TraceTogether, yang semula ditujukan untuk pelacakan COVID-19, kemudian dialihfungsikan untuk keperluan penyelidikan kriminal. Ini adalah kisah peringatan tentang betapa cepatnya metadata dapat dimanfaatkan sebagai senjata.**
Aplikasi TraceTogether Singapura, yang diluncurkan selama pandemi COVID-19, menggunakan protokol berbasis Bluetooth bernama BlueTrace untuk mencatat kontak erat antar pengguna secara anonim. Meskipun aplikasi tersebut menjanjikan privasi melalui ID yang berganti-ganti dan penyimpanan data kontak terpusat, kemudian terungkap bahwa aparat penegak hukum memiliki akses ke sistem tersebut. Pada tahun 2021, Menteri Dalam Negeri Singapura mengakui bahwa kepolisian telah menggunakan data TraceTogether dalam setidaknya satu penyelidikan pidana, termasuk sebuah kasus pembunuhan.
Pengungkapan ini bertentangan dengan jaminan pemerintah sebelumnya bahwa data tersebut akan digunakan semata-mata untuk kepentingan kesehatan masyarakat. Meskipun pengguna diwajibkan memberikan data pribadi untuk mengaktifkan aplikasi tersebut, anggapan bahwa aplikasi itu menjamin anonimitas membuat banyak orang menggunakannya, hanya untuk kemudian mengetahui bahwa otoritas pusat dapat mengungkap identitas mereka melalui metadata.
Bahkan transaksi yang menggunakan nama samaran pun meninggalkan metadata. Perusahaan forensik menggunakan pola transaksi, kebocoran alamat IP, dan analisis jaringan untuk mengaitkan dompet kripto dengan identitas asli.**
Meskipun Bitcoin sering dianggap bersifat pribadi, buku besar publiknya mencatat setiap transaksi, sehingga menjadi sumber metadata yang sangat kaya. Alat forensik seperti Chainalysis dan Bitquery melacak pola transaksi, kebocoran alamat IP, dan perilaku dompet untuk menghubungkan alamat pseudonim dengan identitas asli. Pihak penegak hukum menggunakannya untuk menyelidiki kasus penipuan dan pencucian uang. Namun, alat-alat yang sama ini juga dapat membongkar identitas para pelapor, aktivis, atau siapa pun yang mengandalkan Bitcoin untuk menjaga privasi.
Penelitian akademis menunjukkan bahwa hanya diperlukan beberapa poin metadata untuk mengungkap identitas pengguna. Dalam satu kasus, para peneliti mengidentifikasi individu-individu dengan mengaitkan transaksi Bitcoin dengan alamat IP dan pola penggunaan ulang dompet. Kerentanan tambahan muncul akibat metadata di tingkat jaringan: jika dompet pengguna terhubung ke sekumpulan node entri yang diketahui atau membocorkan informasi IP selama proses penyiaran, pengguna tersebut dapat diidentifikasi bahkan tanpa pengenal berbasis nama. Hal ini membantah anggapan umum bahwa menggunakan alamat dompet baru dapat menjamin anonimitas yang sesungguhnya.
Kecerdasan buatan (AI) mempercepat analisis metadata, sehingga membantu pemerintah dan pihak swasta mengidentifikasi, membuat profil, dan menargetkan individu dengan lebih cepat daripada sebelumnya. Ekspor sistem pengawasan Israel memberikan gambaran tentang apa yang mungkin dilakukan dan apa yang sudah terjadi.**
Di Gaza, Israel dilaporkan telah mengerahkan sistem kecerdasan buatan (AI) seperti Lavender dan The Gospel untuk mengotomatisasi pengambilan keputusan militer berdasarkan metadata. Lavender mengolah catatan panggilan telepon, data geolokasi, dan grafik sosial untuk mengidentifikasi individu-individu yang terkait dengan Hamas. Menurut +972 Magazine, sistem tersebut mampu secara mandiri menentukan sasaran serangan dengan pengawasan manusia yang minimal, seringkali dengan memanfaatkan metadata seperti pola panggilan atau koneksi menara seluler, alih-alih informasi intelijen yang telah terkonfirmasi.
The Gospel, alat berbasis metadata lainnya, digunakan untuk menentukan bangunan mana yang akan menjadi sasaran, dengan memanfaatkan peta panas yang dibuat berdasarkan data ponsel untuk memperkirakan keberadaan warga sipil. Para pengkritik, termasuk Human Rights Watch dan para ahli PBB, memperingatkan bahwa otomatisasi semacam ini menurunkan ambang batas penggunaan kekuatan mematikan. Apabila metadata digunakan tanpa konteks yang lengkap atau nuansa kecerdasan manusia, kesalahan mudah terjadi, dan konsekuensinya bisa berakibat fatal.