Kebocoran Vault 7 pada 7 Maret 2017 membuka gambaran tentang kemampuan siber Badan Intelijen Pusat Amerika Serikat (CIA) untuk menyusupi perangkat yang digunakan dalam kehidupan sehari-hari. WikiLeaks menyebut publikasi tersebut sebagai salah satu kebocoran dokumen rahasia terbesar dalam sejarah CIA.
Rilis awal yang diberi nama “Year Zero” memuat 8.761 dokumen dan berkas yang diduga berasal dari jaringan berkeamanan tinggi milik Center for Cyber Intelligence di Langley, Virginia. Isinya mencakup rincian teknis mengenai perangkat lunak, eksploitasi, backdoor, trojan, virus, serta alat lain yang dikembangkan untuk operasi siber rahasia.
Dari televisi pintar hingga ponsel
Salah satu program yang paling menyita perhatian adalah Weeping Angel, hasil pengembangan CIA bersama badan intelijen Inggris, MI5. Perangkat ini menargetkan televisi pintar Samsung seri F. Setelah berhasil disusupi, televisi dapat dibuat seolah-olah mati melalui mode “Fake-Off”. Layar terlihat padam, tetapi perangkat tetap aktif di latar belakang.
Dalam kondisi tersebut, mikrofon televisi dapat merekam percakapan di dalam ruangan dan mengirimkannya melalui internet ke server rahasia CIA. Nama Weeping Angel disebut terinspirasi dari karakter monster dalam serial fiksi ilmiah yang hanya bergerak ketika tidak diawasi.
Dokumen Vault 7 juga mengungkap kemampuan Mobile Devices Branch (MDB) dalam mengembangkan eksploitasi untuk sistem operasi iOS dan Android. Laporan TechCrunch yang terbit setelah dokumen dirilis turut menyebut adanya metode untuk meretas perangkat buatan Apple dan perangkat Android.
Jika kendali atas ponsel berhasil diperoleh, perangkat tersebut berpotensi mengungkap lokasi dan riwayat komunikasi pengguna. Kamera serta mikrofon juga disebut dapat diaktifkan dari jarak jauh tanpa sepengetahuan pemiliknya.
Target lain dan sumber kebocoran
Sejak Oktober 2014, CIA disebut telah menjajaki cara menyusupi sistem kendali mobil dan truk modern yang terhubung ke jaringan digital. Dokumen yang bocor tidak menjelaskan tujuan pasti kemampuan itu. Namun, WikiLeaks menyatakan akses tersebut berpotensi digunakan dalam operasi tersembunyi yang sulit dilacak, termasuk terhadap target tertentu.
Dokumen-dokumen itu diduga berasal dari Engineering Development Group (EDG), kelompok pengembang di bawah Center for Cyber Intelligence yang bertugas merancang dan menguji perangkat operasi siber. WikiLeaks tidak langsung merilis seluruh kode program dengan alasan ingin menunggu konsensus publik mengenai cara menganalisis dan menetralkan “senjata” digital tersebut.
Penyelidikan kemudian mengarah kepada Joshua Adam Schulte, mantan pengembang CIA yang bekerja di EDG sekitar 2012 hingga 2016. Menurut jaksa, Schulte menggunakan hak administratornya untuk mencuri data pada April 2016 dan meneruskannya kepada WikiLeaks. Motifnya diduga berkaitan dengan konflik internal di tempat kerja.
Agen FBI menggeledah apartemennya di New York pada 2017. Schulte didakwa pada 2018 atas pengungkapan informasi rahasia tanpa izin dan pencurian materi pemerintah. Ia dinyatakan bersalah atas tuduhan spionase terkait Vault 7 pada pertengahan 2022, lalu kembali dinyatakan bersalah dalam perkara terpisah pada 2023. Pada Februari 2024, ia dijatuhi hukuman 40 tahun penjara serta pengawasan seumur hidup setelah bebas.
Dampak terhadap keamanan siber
Vault 7 memicu kekhawatiran konsumen dan perusahaan seperti Apple, Google, Microsoft, serta Samsung. Kasus ini juga memperkuat perdebatan mengenai Vulnerability Equities Process, mekanisme yang seharusnya mendorong pemerintah melaporkan celah keamanan kepada produsen, bukan menyimpannya untuk kepentingan intelijen.
Investigasi yang disebut dalam laporan mengenai CIA menilai kebocoran terjadi akibat praktik keamanan internal yang “sangat longgar”. Kasus tersebut menyoroti risiko dari ancaman orang dalam, kontrol akses yang lemah, dan minimnya pengawasan terhadap pegawai dengan hak istimewa tinggi.
