Pelacakan lokasi permanen: bagaimana ponsel tetap mengikuti Anda meski Anda yakin sudah mencegahnya

Sun, 02 Aug 2026 00:00:00 +0000

Pada 2024, dua peneliti dari Universitas Maryland berulang kali menanyai layanan penentuan posisi berbasis Wi-Fi milik Apple, tanpa hak istimewa apa pun dan tanpa perangkat keras khusus, lalu dalam setahun berhasil merekonstruksi posisi persis lebih dari dua miliar titik akses Wi-Fi di seluruh dunia. Makalah mereka, Surveilling the Masses with Wi-Fi-Based Positioning Systems , memperlihatkan apa yang dimungkinkan peta itu: melacak perangkat yang masuk dan keluar Ukraina, mengamati perpindahan penduduk setelah kebakaran Maui, membuntuti seseorang lewat router internet di rumahnya.

Tidak satu pun perangkat itu mengaktifkan GPS. Posisinya datang dari tempat lain.

Inilah titik buta yang paling meluas dalam soal privasi ponsel: keyakinan bahwa ada satu sakelar lokasi, dan begitu dimatikan, ponsel berhenti tahu di mana ia berada. Keyakinan itu keliru pada tujuh tingkat yang berbeda.

Lokasi bukan fitur yang diaktifkan ponsel Anda. Ia adalah sifat dari apa ponsel itu sendiri.

GPS, alias jalur yang paling tidak merepotkan

Satu-satunya mekanisme yang bisa disebut semua orang justru yang paling tidak perlu Anda khawatirkan.

GNSS, istilah umum yang mencakup GPS Amerika, Galileo, GLONASS, dan BeiDou, bekerja dengan cara mendengarkan. Satelit terus memancarkan sinyal bertanda waktu, penerima menangkap beberapa di antaranya lalu menghitung posisinya dari selisih waktu tempuh. Ketelitian lazim di ruang terbuka: tiga sampai lima meter, sering kali beberapa puluh meter di kota, tempat dinding gedung memantulkan sinyal.

Poin yang menentukan adalah bahwa perhitungan ini pasif. Ponsel tidak memancarkan apa pun ke arah satelit, dan tidak ada operator satelit yang tahu Anda ada. Andai hanya GNSS yang berperan, mematikan GPS sudah cukup.

Namun ada satu nuansa. Untuk mempercepat penentuan posisi pertama, ponsel memakai A-GPS: mereka mengunduh efemeris satelit dari sebuah server, lewat protokol SUPL . Agar mendapat data yang tepat, ponsel mengirimkan ke server itu pengenal sel jaringan tempat ia tersambung. GNSS murni tidak mengkhianati Anda, tetapi akselerator yang dicangkokkan padanya melakukannya.

Jaringan seluler: yang diketahui operator karena rancangannya

Agar sebuah panggilan bisa mencapai Anda, jaringan harus tahu Anda berada di wilayah mana. Ini bukan opsi yang bisa diaktifkan, melainkan syarat keberadaan layanan itu sendiri. Ponsel Anda terus-menerus melaporkan diri ke menara terdekat, dan pendaftaran itu meninggalkan jejak di sisi operator. Tanpa aplikasi terpasang, tanpa izin diberikan: satu kartu SIM aktif sudah cukup.

Ketelitiannya bergantung pada metode:

Pengenal sel saja: dari 200 meter di kawasan perkotaan padat hingga lebih dari 30 kilometer di pedesaan, tempat satu menara mencakup radius yang sangat luas.
Cell ID yang diperkaya, yang menambahkan sektor antena (kebanyakan situs terbagi menjadi tiga sektor 120 derajat) dan kekuatan sinyal: dari 100 meter hingga beberapa kilometer.
Timing advance, yang mengukur jeda pulang pergi antara ponsel dan menara: sekitar 550 meter pada GSM, sekitar 78 meter pada LTE.
Multilaterasi atas tiga menara atau lebih: 50 sampai 300 meter pada LTE perkotaan.

5G mengubah skalanya karena dua alasan yang saling menumpuk. Pertama kepadatan: sel 5G mencakup radius yang jauh lebih pendek, sehingga sekadar tersambung pun sudah merupakan informasi yang halus. Kedua standardisasi: sejak Release 16, 3GPP menyertakan sinyal penentuan posisi bawaan. Sasaran komersialnya di bawah 3 meter di dalam ruangan dan di bawah 10 meter di luar ruangan untuk 80 % perangkat, dan Release 18 turun sampai sentimeter untuk sejumlah penggunaan industri.

Dengan demikian infrastruktur yang menyambungkan Anda berubah menjadi sistem penentuan posisi dengan mutu setara GPS, tanpa Anda mengaktifkan apa pun. Data ini disimpan menurut aturan masing-masing negara dan dapat diakses pihak berwenang lewat prosedur yang beragam. Ini perdebatan mendasar yang sama seperti pada yurisdiksi yang berlaku atas data yang dihosting : perlindungan teknis dan perlindungan hukum tidak saling menutupi.

Wi-Fi: peta dunia yang tersusun dari alamat perangkat keras

Setiap titik akses Wi-Fi terus-menerus menyiarkan pengenal perangkat keras yang unik, yaitu BSSID. Pengenal ini tetap dan stabil secara geografis: sebuah router rumah bertahan bertahun-tahun di tempat yang sama.

Apple, Google, dan sejumlah pemain khusus memelihara basis data yang mengaitkan setiap BSSID dengan koordinat, dibangun oleh ponsel pengguna mereka sendiri, yang melaporkan daftar titik akses yang terlihat bersama sebuah posisi GNSS. Operasinya lalu dibalik: ponsel yang melihat empat titik akses yang sudah dikenal tidak lagi membutuhkan satu satelit pun. Di kawasan perkotaan padat, ketelitiannya lazim mencapai beberapa puluh meter, dan turun di bawah itu di dalam ruangan.

Dua sifat membuat mekanisme ini sulit dinetralkan. Pertama, ponsel tetap memindai bahkan ketika Wi-Fi tampak dimatikan: sejak Android 4.3, sistem mempertahankan pemindaian berkala untuk memperbaiki penentuan lokasi, terlepas dari sakelar di panel cepat. Perilaku ini bergantung pada pengaturan terpisah, terkubur di dalam layanan lokasi, yang nyaris tidak pernah dibuka oleh pengguna mana pun.

Kedua, basis data itu bisa ditanyai dari luar. Itulah celah yang dimanfaatkan Rye dan Levin: antarmuka penentuan posisi mengembalikan bukan hanya posisi yang diminta, melainkan juga posisi titik akses di sekitarnya, sehingga peta bisa dipanen tanpa pernah sekali pun mendekati tempat-tempat itu secara fisik.

Bluetooth dan BLE: dilacak oleh ponsel orang lain

Bluetooth Low Energy menambahkan lapisan kedekatan, dengan jangkauan beberapa meter sampai beberapa puluh meter, jadi jauh lebih halus butirannya daripada jaringan seluler. Ada dua penggunaan yang berdampingan. Beacon komersial, yang dipasang di toko, bandara, atau pusat perbelanjaan, memancarkan pengenal yang dikenali aplikasi di ponsel, sehingga terungkap di depan rak mana Anda berhenti dan berapa lama. Lalu jaringan pelacakan kolaboratif, yang modelnya adalah Find My milik Apple, kemudian ditiru Google dan Samsung.

Mekanisme kedua ini membalik sebuah asumsi tersirat. Analisis rujukan Who Can Find My Devices? , yang terbit dalam prosiding PETS 2021 oleh para peneliti Universitas Teknik Darmstadt, merekonstruksi protokol Apple lewat rekayasa balik. Sebuah perangkat luring memancarkan sinyal BLE, perangkat Apple mana pun di dekatnya menangkapnya, menambahkan posisinya sendiri, lalu mengirimkannya terenkripsi ke server Apple, tanpa sepengetahuan pemiliknya maupun pemilik perangkat yang dilacak.

Akibatnya bersifat struktural: perangkat tanpa kartu SIM, tanpa Wi-Fi, tanpa sambungan jaringan jenis apa pun tetap bisa dilacak, asalkan ada orang asing lewat di dekatnya dengan ponsel di saku. Keterasingan Anda tidak lagi bergantung pada pengaturan Anda, melainkan pada pengaturan orang-orang yang lewat.

Sensor inersia: melacak tanpa izin lokasi

Sebuah ponsel memuat akselerometer, giroskop, magnetometer, dan sering kali barometer. Sensor-sensor ini masuk kategori izin yang terpisah dari lokasi: sebuah aplikasi bisa membacanya tanpa pernah menanyakan Anda ada di mana.

Peneliti Princeton membuktikannya lewat PinMe . Aplikasi mereka berangkat dari alamat IP dan zona waktu untuk posisi kasar, lalu membaca sensor: akselerometer memberi pola akselerasi dan pengereman, giroskop urutan belokan, magnetometer arah hadap, barometer perubahan ketinggian. Sebuah jaringan saraf tiruan mengenali moda transportasi, berjalan kaki, mobil, kereta, atau pesawat, lalu rutenya dicocokkan dengan data publik peta, ketinggian, dan cuaca. Hasilnya: lintasan dengan ketelitian setara GPS, tanpa izin lokasi. Metode ini punya batas, yang didokumentasikan penulisnya, sebab gagal di kawasan tanpa jalan dan memburuk pada tata kota berpetak seragam, tempat banyak rute menghasilkan tanda tangan yang sama. Ia tetap menjadi bukti bahwa izin yang ditolak bukanlah pintu yang tertutup.

Barometer selain itu menyumbang dimensi yang ditangani buruk oleh GNSS, yaitu vertikal. Ketentuan Amerika untuk panggilan darurat mensyaratkan ketelitian lantai plus minus 3 meter untuk 80 % panggilan dari dalam ruangan. Mengetahui seseorang berada di lantai berapa berbeda sifatnya dengan mengetahui ia berada di blok bangunan mana.

Pasar data: jalur yang paling biasa

Mekanisme-mekanisme sebelumnya menjelaskan bagaimana sebuah posisi dihitung. Yang tersisa adalah ke mana posisi itu pergi, dan di situlah sebagian besar risiko sehari-hari dipertaruhkan.

Ribuan aplikasi menyertakan SDK periklanan, komponen perangkat lunak dari pihak ketiga yang ditambahkan pengembang untuk memonetisasi karyanya atau mengukur jumlah penggunanya. Komponen ini mewarisi izin aplikasi induknya: aplikasi cuaca yang memang sah membutuhkan posisi Anda meneruskannya ke pihak-pihak yang namanya tak pernah Anda baca. Ditambah lagi aliran lelang iklan, tempat posisi kasar Anda disiarkan ke puluhan calon pembeli setiap kali sebuah spanduk ditampilkan, termasuk kepada mereka yang tidak membeli apa pun dan cukup menyimak.

Bahan baku ini menghidupi sebuah industri. Electronic Frontier Foundation mendokumentasikan kasus Fog Data Science , yang mengklaim miliaran titik data atas lebih dari 250 juta perangkat, dan menjualnya kepada kepolisian lokal di Amerika Serikat. Brian Krebs menggambarkan Locate X , sebuah produk yang memungkinkan penggunanya menggambar poligon di peta lalu melihat riwayat perangkat yang masuk dan keluar dari kawasan itu.

Jalur ini tidak menuntut kepiawaian teknis apa pun, hanya seseorang yang bersedia membayar. Harganya pun sederhana.

IMSI catcher: pelacakan aktif

Mekanisme yang dibahas sejauh ini memanfaatkan cara kerja yang normal. Ada pula pelacakan aktif, yang dijalankan pihak ketiga yang campur tangan pada jaringan.

IMSI catcher, atau simulator sel, adalah perangkat yang menyamar sebagai menara yang sah. Ponsel dalam jangkauan tersambung kepadanya, sekaligus membuka pengenal pelanggannya dan keberadaannya dalam radius yang sempit.

5G semestinya menutup pintu itu dengan mengganti pengenal permanen yang dikirim terbuka menjadi pengenal terenkripsi, yaitu SUCI. Penutupan itu hanya sebagian. Karya yang dipresentasikan dengan judul 5G SUCI-catchers: still catching them all? mendokumentasikan serangan penautan yang memungkinkan sesi dikorelasikan ulang meski ada enkripsi. Yang lebih penting, perlindungan itu runtuh sepenuhnya jika penyerang memaksa perangkat turun ke generasi sebelumnya, khususnya 2G, yang autentikasinya searah. Ponsel 5G tetap rentan terhadap serangan yang dirancang untuk jaringan era 1990-an, karena ia masih bersedia turun ke sana.

Langkah-langkah penangkal dan keampuhannya yang sebenarnya

Setiap langkah di bawah ini melakukan sesuatu. Tidak ada yang melakukan segalanya, dan jarak antara apa yang benar-benar mereka lakukan dan apa yang diharapkan darinya melahirkan keputusan yang keliru.

Mode pesawat

Mode pesawat memutus pancaran modem seluler, Wi-Fi, dan Bluetooth. Itu nyata, dan itu hasil terbaik untuk usaha sekecil itu.

Yang tidak dilakukannya: ia tidak menghentikan sensor inersia, tidak menghapus posisi yang sudah tersimpan di singgahan, yang akan terkirim saat tersambung kembali, dan pada kebanyakan perangkat ia membolehkan Wi-Fi atau Bluetooth dinyalakan lagi secara terpisah tanpa keluar dari mode itu. Terakhir, ia adalah keadaan perangkat lunak, bukan pemutusan daya: keandalannya bergantung pada keutuhan sistem yang menerapkannya.

Satu detail yang diremehkan: melepas diri dari jaringan lalu tersambung kembali itu sendiri merupakan peristiwa bertanda waktu di sisi operator. Ponsel yang lenyap pukul 21 di satu sel dan muncul lagi pukul 23 di sel lain telah menghasilkan informasi, bukan keheningan.

Pengacakan alamat MAC

Sistem seluler dewasa ini memancarkan alamat MAC acak saat memindai, untuk mencegah pelacakan dari satu tempat ke tempat lain. Niatnya baik, hasilnya belum utuh. Karya rujukan, termasuk Why MAC Address Randomization is not Enough , menunjukkan bahwa isi bingkai penemuan sering sudah cukup untuk mengenali kembali perangkatnya: jumlah elemen informasi, nilainya, dan urutannya membentuk sebuah sidik. Ditambah nomor urut yang bertambah dan karenanya bisa dirangkai, serta tanda waktu khas tiap model. Sejumlah studi melaporkan pelacakan yang benar atas separuh perangkat selama sekurang-kurangnya dua puluh menit.

Terakhir, batas konseptual: pengacakan hanya menyangkut tahap penemuan. Begitu Anda tersambung ke sebuah jaringan, alamat yang dipakai bersifat tetap untuk jaringan itu, memang demikian rancangannya, supaya sambungannya bekerja. Kedai kopi yang Anda datangi setiap pagi mengenali Anda.

Benar-benar mematikan pemindaian

Inilah pengaturan yang paling menguntungkan dan paling diabaikan. Di Android, pencarian Wi-Fi dan pencarian Bluetooth adalah dua opsi terpisah, terletak di layanan lokasi, dan tidak bergantung pada sakelar panel cepat. Selama keduanya aktif, mematikan Wi-Fi dari panel tidak cukup: pemindaian tetap berjalan.

Menonaktifkannya menghapus satu lapisan pengumpulan secara utuh, tanpa biaya lain selain penentuan posisi pertama yang sedikit lebih lambat. Bagi kebanyakan pembaca, inilah perbandingan terbaik antara usaha yang dikeluarkan dan hasil yang diperoleh.

Izin aplikasi

Mencabut izin lokasi dari aplikasi yang jelas-jelas tidak membutuhkannya tetap berguna, dan sistem mutakhir menawarkan tiga tingkatan: izin sekali pakai, izin yang terbatas pada saat aplikasi digunakan, dan lokasi perkiraan, yang hanya meneruskan wilayah seluas kira-kira satu kilometer.

Namun itu tidak melindungi dari SDK yang menumpang di dalam aplikasi yang punya alasan sah untuk mengakses posisi Anda, tidak pula dari sensor inersia, maupun dari lapisan jaringan, yang sama sekali tidak melewati izin apa pun.

Yang tidak dilindungi VPN

Satu hal perlu diluruskan, sebab keyakinan sebaliknya sangat tersebar: VPN tidak menyembunyikan lokasi Anda. Ia menyembunyikan alamat IP publik Anda, jadi ia mengacaukan penentuan lokasi berbasis IP, yang lagi pula merupakan mekanisme paling kasar dalam daftar ini.

VPN tidak menyentuh penerima GNSS, tidak pula pemindaian Wi-Fi, Bluetooth, ataupun sensor. Ia tidak mengubah apa pun dari yang diketahui operator Anda, karena terowongan terenkripsinya justru melewati menara-menara operator itu dan sambungan ke sel tetap terlihat olehnya. Ia juga tidak mencegah aplikasi yang memegang izin lokasi mengirim koordinat persis di dalam terowongan. VPN melindungi isi dan tujuan komunikasi Anda di jaringan yang tidak tepercaya, dan itu sudah banyak. Lokasi tidak termasuk dalam cakupannya.

Batas-batas fisik

Kantong Faraday bekerja dalam arti harfiah: ia menghalangi pancaran dan penerimaan. Melepas baterai juga, di perangkat yang masih memungkinkan. Memakai perangkat khusus, atau sekadar meninggalkan ponsel di tempat lain, tetap merupakan langkah yang paling kokoh.

Solusi-solusi ini berbagi satu cacat yang harus dihadapi terus terang: mereka menciptakan sebuah kejanggalan. Ponsel yang bungkam dua jam setiap Selasa malam sedang mengatakan sesuatu. Menghadapi lawan yang menganalisis pola alih-alih posisi sesaat, ketidakhadiran itu sendiri adalah data.

Tiga lawan, tiga strategi

Inilah pembedaan terpenting dalam tulisan ini, dan yang paling jarang dibaca.

Menghadapi pengiklan atau pialang data, pertarungan ini bisa dimenangkan. Disiplin izin, mematikan pemindaian, sistem tanpa layanan lokasi berpemilik, menyetel ulang pengenal iklan: semuanya bersama-sama menekan volume yang terkumpul dengan sangat kuat. Lawan ini mengincar volume murah, bukan kasus Anda secara khusus.

Menghadapi operator Anda, tidak ada konfigurasi yang memadai. Pelacakan seluler adalah syarat layanan itu sendiri. Satu-satunya variabel nyata bersifat hukum, yaitu apa yang boleh disimpan dan diserahkan menurut undang-undang, dan bersifat material: perangkat yang mana, kartu SIM yang mana, atas nama siapa, dinyalakan di mana.

Menghadapi lawan negara yang menyasar Anda secara khusus, penalarannya berubah lagi, sebab ia memadukan akses hukum ke data operator, pelacakan aktif dengan simulator sel, permintaan data ke platform, dan bila perlu penyusupan ke perangkat itu sendiri. Penangkal di sisi perangkat lunak memperkecil permukaan, tetapi tujuan yang realistis bukanlah lenyap: melainkan tahu persis apa yang masih terbuka.

Pendekatan ArpokratOS

ArpokratOS menjawab lanskap ini dengan pilihan yang mengalir dari pembedaan di atas: apa yang harus dinetralkan, dinetralkan di tingkat sistem, bukan di sebuah menu.

Pada GNSS, penggerak perangkat kerasnya dicopot. Perangkat berperilaku seolah cip itu tidak ada, baik bagi aplikasi maupun bagi sistem itu sendiri. Bedanya dengan sebuah sakelar di pengaturan bukan sekadar kosmetik. Sakelar adalah kebijakan: ia dijalankan oleh sebuah lapisan yang bisa dilewati komponen dengan hak istimewa yang cukup, diaktifkan kembali oleh pembaruan, atau diabaikan sistem yang sudah disusupi. Mencopot jalur kodenya melenyapkan pertanyaannya, sebab tidak ada lagi yang bisa diaktifkan.

Bluetooth ditangani di tingkat Core, dengan logika yang sama. Bluetooth yang dimatikan lewat pengaturan pada praktiknya tetap membiarkan tumpukan perangkat lunaknya hidup di banyak perangkat, untuk menyuapi layanan kedekatan dan jaringan pelacakan kolaboratif. Bila absen di tingkat sistem, ia tidak bisa berdialog dengan beacon toko, tidak bisa ikut serta dalam jaringan sejenis Find My, dan tidak bisa menjadi permukaan serangan tanpa interaksi.

Perlu dikatakan terang-terangan apa yang tidak dilakukannya. ArpokratOS tidak membuat ponsel menjadi tak terdeteksi. Selama kartu SIM aktif, operator tahu sel tempat Anda tersambung, dan tidak ada sistem operasi yang mengubah itu, sekalipun seluruh lalu lintas dialirkan lewat Tor. Perutean melindungi isi dan tujuan, bukan geometri radio. Siapa pun yang menjanjikan ketidaktampakan sedang menjual dongeng.

Yang diberikan arsitektur semacam itu lebih bersahaja: menghapus lapisan aplikasi dan kedekatan, yang dilalui sebagian besar pengumpulan data yang sesungguhnya, serta model ancaman yang eksplisit atas apa yang tersisa. Ini penalaran yang sama seperti saat memilih sistem untuk komputer meja, yang kami uraikan dalam perbandingan sistem operasi kami: pertanyaan yang berguna bukan apakah sebuah alat melindungi, melainkan dari apa ia melindungi dan dengan harga berapa.

Kesimpulan

Tulisan ini tidak menyediakan metode untuk menghilang. Metode itu tidak ada, dan teks yang mengaku sebaliknya terutama menghasilkan rasa aman palsu, yang lebih berbahaya daripada tanpa perlindungan sama sekali karena ia membuat orang mengambil risiko.

Tujuannya adalah mengganti pertanyaan biner, apakah saya bisa dilacak atau tidak, dengan pertanyaan yang berguna: oleh siapa, dengan ketelitian berapa, dengan biaya berapa bagi mereka, dan apakah itu penting bagi saya. Jawabannya berbeda bagi jurnalis yang melindungi sumber, eksekutif yang bepergian ke yurisdiksi yang sensitif, pengacara yang jadwal pertemuannya membocorkan strategi, atau orang biasa yang sekadar jengkel karena pengiklan mengetahui kebiasaannya.

Yang sebenarnya layak diperhatikan bukanlah kinerja masing-masing mekanisme itu secara terpisah, melainkan kenyataan bahwa mereka saling bertumpang tindih. Posisi dengan ketelitian lima puluh meter tidak terlalu menarik. Tetapi posisi dengan ketelitian lima puluh meter, setiap seperempat jam, selama dua tahun, menggambar sebuah tempat tinggal, sebuah tempat kerja, sebuah keyakinan, sebuah kondisi kesehatan, sebuah hubungan, sebuah sumber berita. Data lokasi adalah metadata yang membuat semua metadata lain terbaca, dan justru karena itulah ia mahal.

Sumber

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Pengawasan on Arpokrat