Data kesehatan warga Eropa dijual ke perusahaan AS yang dijalankan mantan personel intelijen Israel

• Perusahaan keamanan data Belanda Zivver diakuisisi oleh Kiteworks dari AS, sehingga data kesehatan dan administrasi sensitif milik warga Eropa kini berada di bawah kendali perusahaan Amerika
• Sebagian besar eksekutif Kiteworks berlatar belakang unit intelijen militer Israel, dan CEO Jonathan Yaron juga pernah bertugas di unit siber khusus militer Israel
• Zivver adalah layanan yang digunakan oleh rumah sakit, pengadilan, dan otoritas imigrasi di UE dan Inggris untuk mengirim dokumen rahasia; meski menyediakan enkripsi, investigasi menemukan bahwa perusahaan tetap dapat melihat isi dokumen di internalnya
• Pakar keamanan siber dan intelijen memperingatkan bahwa akuisisi ini seharusnya dicegah sejak awal atau ditinjau secara ketat
• Muncul kekhawatiran serius soal kedaulatan data dan keamanan karena data sensitif warga Eropa kini masuk ke dalam pengaruh hukum AS dan jaringan intelijen Israel

---

Akuisisi Zivver dan perpindahan data

• Kiteworks mengakuisisi Zivver pada Juni 2025, dan CEO Yaron menyebutnya sebagai “momen yang membanggakan bagi semua pihak”
  • Ia mengatakan akuisisi ini menjadi “tonggak penting dalam misi melindungi data sensitif di semua saluran komunikasi”
• Namun, transaksi ini membuat informasi pribadi warga Eropa dan Inggris jatuh ke tangan perusahaan AS
  • Zivver adalah layanan pesan aman utama yang digunakan oleh rumah sakit, perusahaan asuransi, lembaga pemerintah, dan otoritas imigrasi di Belanda, Jerman, Belgia, Inggris, dan negara lain
• Menurut artikel tersebut, dokumen terenkripsi di Zivver pun dapat diakses oleh perusahaan

Latar belakang eksekutif Kiteworks

• Sebagian besar pimpinan tertinggi Kiteworks berasal dari Pasukan Pertahanan Israel, khususnya unit intelijen militer
  • Termasuk CEO Jonathan Yaron, beberapa eksekutif memiliki pengalaman di unit yang ahli dalam pemecahan komunikasi terenkripsi dan penyadapan
• Susunan personel seperti ini memperjelas keterkaitan dengan badan intelijen Israel

Kekhawatiran para ahli

• Pakar keamanan siber dan intelijen menilai akuisisi ini seharusnya diblokir sejak awal atau diperiksa secara menyeluruh
• Data yang diproses Zivver dinilai sangat bernilai bagi kelompok kriminal maupun badan intelijen asing
• Setelah akuisisi, data tersebut menjadi subjek hukum pengawasan AS dan berada di bawah pengelolaan perusahaan yang terkait dengan jaringan intelijen Israel

Metode investigasi

• Follow the Money menyelidiki proses akuisisi Zivver dan latar belakang eksekutif Kiteworks
  • Fakta-fakta diverifikasi melalui wawancara dengan pakar intelijen dan keamanan siber
• Laporan ini juga merupakan bagian dari seri ‘The EU Files’ yang membahas isu kedaulatan data di UE

Implikasi yang lebih luas di Eropa

• Terungkap adanya risiko bahwa infrastruktur komunikasi aman yang digunakan lembaga publik Eropa dapat terhubung dengan jaringan intelijen asing
• Ini menjadi contoh nyata benturan antara regulasi perlindungan data dan keamanan nasional, serta berpotensi menjadi isu inti dalam perdebatan soal kedaulatan digital di UE

[GN⁺]

Komentar Hacker News

• CEO perusahaan teknologi AS disebut sebagai mantan anggota unit siber elite militer Israel, jadi tampaknya artikel itu menyebut Unit 8200
  Cara pembingkaian yang menggambarkan unit ini seolah hanya pilihan memegang komputer alih-alih senjata terasa agak aneh. Menurut saya artikel itu butuh konteks tambahan

  • Unit 8200 bukan sekadar unit keamanan siber, melainkan bertugas dalam pengumpulan dan analisis signal intelligence
    Jika Jack Ryan orang Israel, dia mungkin akan berada di unit ini alih-alih di CIA
    Unit ini juga menjalankan pekerjaan analitis seperti penentuan target, dan hal itu dijelaskan dengan baik dalam artikel 972mag
  • Sebenarnya ini bukan konsep ‘pengecualian’. Semua warga negara menjalani wajib militer, dan penempatan unit ditentukan berdasarkan kemampuan
    Kalau punya bakat, tentu lebih memilih masuk unit seperti ini daripada patroli di Gaza
  • Bertugas di 8200 juga pada akhirnya merupakan bagian dari wajib militer

• Saya sedikit tahu soal ini karena dulu pernah bergaul dengan salah satu engineer awal Zivver (pengembang Scala)
  Ide intinya adalah enkripsi end-to-end, jadi organisasi yang baru mengakuisisi seharusnya tidak bisa melihat langsung data pelanggan
  Saat masa COVID, perusahaan ini sangat sukses di Belanda ketika pengiriman laporan digital diwajibkan
  Namun akuisisi sekarang bisa berdampak buruk pada diskusi tentang kedaulatan digital di Belanda

  • Saya penasaran apakah enkripsinya juga mencakup metadata. Misalnya, apakah informasi seperti siapa mengirim ke siapa juga ikut dilindungi

• Walaupun layanannya berbasis di UE, jika diakuisisi perusahaan asing tetap ada risiko data sensitif terekspos ke yurisdiksi lain. Cukup mengkhawatirkan

• Saya penasaran apakah ada cara untuk menolak ikut serta (opt-out). Saya juga bertanya-tanya apakah Komisi Eropa benar-benar menandatangani kontrak kolektif tanpa pendapat warganya

• Sejak era Google, big tech AS terus menurunkan standar dasar privasi
  Pada akhirnya mereka menormalkan anggapan bahwa “privasi itu tidak ada” demi keuntungan modal
  Di Eropa memang ada layanan alternatif, tetapi jika warga tidak memilihnya secara sadar, efek sampingnya akan muncul

  • Perlu diingat bahwa data HN juga dibagikan dan dilisensikan ke startup-startup Y Combinator
    Bahkan jika akun dihapus, datanya tidak benar-benar lenyap. Fakta seperti ini tidak diberitahukan dengan jelas saat pendaftaran
  • Kebanyakan orang telah memakai layanan Google gratis selama puluhan tahun, tetapi marah ketika muncul model berbayar
    Obsesi pada “internet gratis” pada akhirnya menciptakan mimpi buruk privasi
    Kecuali Eropa membangun layanan publik yang didanai pajak seperti EuroTube atau EuroGram, secara realistis alternatif akan sulit
  • Apple cukup baik sebagai pembela privasi, tetapi sering tetap diserang karena standar kabel atau masalah UI
    Menarik melihat standar ganda ketika membenci perusahaan tertentu menjadi semacam ‘tren’
  • Pemerintah UE bukan hanya gagal dalam GDPR, tetapi juga memaksa warga memberikan data pribadi ke perusahaan AS
    Ada alternatif berbayar seperti Proton, tetapi kebanyakan orang lebih memilih layanan gratis
    Kecuali pemerintah membangun sendiri ‘kanal berdaulat’, ketergantungan pada FANG pada akhirnya hanya akan makin dalam
    Mungkin sekarang terasa sedikit lebih murah, tetapi pada akhirnya ini adalah struktur yang berujung bencana
  • Penegakan GDPR yang longgar di Irlandia khususnya hanya merugikan perusahaan Eropa, sementara peningkatan privasi nyata hampir tidak ada
    Meski begitu, mencoba subject access request tetap pengalaman yang menarik

• Halaman artikel ini memaksa pembuatan akun
  Jika menghapus kelas "quickSubscribe" dari HTML, Anda bisa scroll gratis

  • Atau lebih mudah cari saja tautan arsip di komentar

• Singkatnya, sebuah perusahaan data kesehatan UE mengenkripsi dokumen melalui portal web yang dijalankan oleh mantan ahli kriptografi militer
  Namun struktur seperti ini pada akhirnya bisa tetap tunduk pada hukum AS, dan secara teknis ada kemungkinan akses saat pengunggahan
  Meragukan keandalannya hanya karena mereka berasal dari Israel terasa seperti pembingkaian yang berlebihan

  • Pada dasarnya model seperti ini bisa rusak keamanannya hanya dengan modifikasi kode browser
    Saya juga pernah merasa tidak nyaman karena tenaga medis mengirim surat melalui layanan ini tanpa persetujuan saya
  • Penekanan kata ‘Israel’ di judul artikel tampak seperti provokasi yang disengaja. Sepertinya penulis mengejar klik

• Dulu saya sering menerima pesan Zivver dari institusi medis, tetapi sejak pengumuman akuisisi belum menerima satu pun

• Saya belum pernah melihat Zivver di sistem medis Jerman
  Jerman sudah mulai mengadopsi messenger berbasis Matrix dan email S/MIME untuk keperluan medis
  Justru yang lebih bermasalah adalah mantan menteri kesehatan yang ingin memberikan data kesehatan ke OpenAI dan lainnya
  Untuk detailnya, lihat artikel Heise

  • Dalam jangka panjang, sepertinya opt-out penuh dari rekam kesehatan elektronik tidak akan dimungkinkan
    Karena itu penting memilih politisi yang memahami ‘Neuland’ di era digital dan punya kepekaan teknis
  • Walaupun di permukaan tampak tidak memakai Zivver, di internal perusahaan asuransi kemungkinan layanan ini tetap dipakai di backend seperti Office 365 atau SAP
    Bagaimanapun pengguna tidak mungkin mengetahui semua perangkat lunak internal yang digunakan