Seorang pelamar kerja di Jakarta gagal di tahap akhir seleksi bukan karena nilai tesnya rendah, melainkan karena sebuah utas media sosial yang ia tulis delapan tahun lalu — saat masih duduk di bangku SMA — ditemukan kembali oleh tim rekrutmen. Cerita semacam ini bukan kejadian langka. Internet bekerja seperti arsip yang tidak pernah tidur: apa pun yang pernah diunggah, dikomentari, atau sekadar diklik, meninggalkan bekas yang bisa dirangkai kembali bertahun-tahun kemudian.
Dua lapis jejak: yang kita buat dan yang merekam kita
Lapis pertama adalah jejak aktif, yaitu apa pun yang sengaja kita produksi: unggahan foto, ulasan produk, balasan di kolom komentar, hingga profil di situs lowongan kerja. Lapis ini relatif mudah disadari karena kita menekan tombol "kirim" dengan sadar.
Lapis kedua jauh lebih sunyi. Jejak pasif terbentuk tanpa persetujuan aktif kita di setiap sesi berselancar: alamat IP yang tercatat di log server, jenis perangkat dan versi sistem operasi, durasi menatap sebuah video, titik koordinat dari foto yang belum dibersihkan metadata EXIF-nya, sampai cookie pihak ketiga yang mengikuti perpindahan kita dari satu situs ke situs lain. Aplikasi belanja yang meminta izin lokasi "selalu aktif", misalnya, dapat membentuk pola perjalanan harian penggunanya — jam berangkat kerja, rute pulang, dan alamat rumah — hanya dari titik-titik yang terkumpul selama sebulan.
Skala persoalannya besar. Survei Asosiasi Penyelenggara Jasa Internet Indonesia (APJII) menunjukkan penetrasi internet nasional sudah menembus sekitar 79 persen populasi, atau lebih dari 220 juta orang. Artinya, mayoritas penduduk Indonesia kini memiliki arsip digital yang terus bertambah setiap hari.
Bagaimana serpihan data berubah jadi penipuan yang meyakinkan
Bagian yang jarang dijelaskan adalah mekanismenya. Kebanyakan korban penipuan digital tidak kehilangan akun karena kata sandinya berhasil ditebak mesin, melainkan karena mereka sendiri menyerahkan kode OTP kepada seseorang yang terdengar sangat kredibel di telepon.
Kredibilitas itu dibangun dari jejak digital korban. Skenarionya kerap berjalan begini: pelaku menemukan unggahan seseorang yang memamerkan kartu ucapan selamat dari sebuah bank, lengkap dengan empat digit awal nomor kartu yang tidak disensor. Dari kolom komentar, pelaku mengetahui nama panggilan korban dan nama anaknya. Dari unggahan lain, terlihat foto paket belanja daring dengan resi yang masih terbaca — memuat sebagian alamat dan nomor telepon. Ketika telepon masuk, penelepon menyebut nama lengkap korban, nama bank, empat digit kartu, bahkan menanyakan kabar paket yang "gagal dikirim". Pada titik itu, korban sudah percaya. Permintaan "kode verifikasi enam digit untuk pembatalan transaksi" terasa wajar, padahal kode itulah kunci masuk ke rekeningnya.
Pola serupa dipakai dalam penipuan berkedok undangan digital atau tagihan palsu berformat APK yang dikirim lewat aplikasi pesan. Semakin banyak detail personal yang dikuasai pelaku, semakin tipis kecurigaan calon korban. Jejak digital yang berserakan adalah bahan baku utamanya.
Payung hukum yang kini berpihak pada pengguna
Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh setelah masa transisi dua tahun, posisi pengguna secara hukum lebih kuat. UU PDP menempatkan warga sebagai "subjek data" yang memiliki sejumlah hak terhadap pengendali data — mulai dari hak memperoleh informasi tentang tujuan pemrosesan datanya, hak memperbarui data yang keliru, hak menarik kembali persetujuan yang pernah diberikan, hingga hak menuntut penghapusan atau pemusnahan data pribadi. Pelanggaran oleh korporasi dapat berujung sanksi administratif berupa denda hingga dua persen dari pendapatan tahunan.
Di sisi konten, Undang-Undang Informasi dan Transaksi Elektronik mengatur konsekuensi pidana atas penyebaran konten yang melanggar kesusilaan, pencemaran nama baik, hingga pengancaman — termasuk ketika materi itu bersumber dari jejak digital orang lain yang disebar tanpa izin.
Audit jejak digital: mulai dari yang paling terlupakan
Membenahi jejak digital tidak perlu dimulai dari menghapus semua akun. Yang lebih efektif adalah mencari titik lemahnya. Coba ketikkan nama lengkap dan nomor telepon sendiri di mesin pencari, lalu lihat apa yang muncul di dua halaman pertama. Hasilnya sering mengejutkan: nomor ponsel yang dulu dicantumkan di iklan jual-beli, alamat rumah di formulir organisasi kampus, atau nomor induk kependudukan pada dokumen yang diunggah panitia sebuah kegiatan.
Berikutnya, telusuri akun-akun lama yang sudah tidak dipakai. Akun e-mail atau forum yang ditelantarkan bertahun-tahun biasanya masih memakai kata sandi lawas dan tidak dilindungi verifikasi dua langkah — pintu masuk paling empuk bagi pengambilalihan akun. Hapus akun tersebut, bukan sekadar berhenti membukanya. Lalu tinjau izin aplikasi pihak ketiga yang pernah diberi akses "login dengan akun media sosial"; cabut yang sudah tidak relevan.
Untuk unggahan baru, kebiasaan kecil punya dampak besar: sensor nomor resi, nomor kursi pesawat, dan boarding pass; matikan tag lokasi otomatis; jangan mengunggah foto dokumen identitas meski hanya "sebagian". Perlakukan setiap unggahan sebagai sesuatu yang mungkin dibaca atasan, calon mertua, atau pelaku penipuan lima tahun lagi.
Ketika data sudah telanjur bocor
Jika menemukan data pribadi disalahgunakan, pengaduan bisa disampaikan ke Kementerian Komunikasi dan Digital melalui kanal aduan konten, sementara insiden keamanan siber berskala lebih luas ditangani Badan Siber dan Sandi Negara. Untuk kasus penipuan finansial, nomor rekening pelaku dapat diperiksa dan dilaporkan lewat layanan cekrekening.id, dan laporan pelayanan publik dapat diteruskan ke Ombudsman RI atau kanal lapor.go.id. Langkah pertama yang tak kalah penting: segera ubah kata sandi, aktifkan autentikasi dua faktor, dan hubungi bank bila menyangkut rekening.
Jejak digital pada akhirnya tidak bisa dinolkan. Yang realistis adalah mengelolanya secara sadar — memastikan arsip yang tertinggal di internet mencerminkan diri kita hari ini, bukan menjadi bahan baku bagi orang lain untuk merugikan kita esok hari.
