Bayangkan Anda sedang menyusun laporan sensitif di laptop kantor—data keuangan perusahaan, catatan rapat internal, bahkan dokumen kontrak yang belum ditandatangani. Layar Anda berpindah dari Excel ke email, lalu ke browser yang membuka halaman cloud storage. Tanpa sadar, sistem Windows Anda telah mengambil ratusan tangkapan layar otomatis—dan semuanya tersimpan dalam format terenkripsi yang diklaim 'aman'. Tapi kemudian, seorang peneliti Jerman bernama Alexander Hagenah memperlihatkan bahwa semua itu bisa diekstraksi hanya dengan beberapa baris kode.
Itulah realitas baru Recall, fitur AI Windows yang dirancang untuk merekam aktivitas pengguna secara kontinu. Setelah ditarik dari rilis awal pada Mei 2024 karena kecaman luas dari komunitas keamanan siber, Microsoft mengklaim telah membangun ulang fitur ini dengan 'secure vault' berbasis TPM dan enkripsi end-to-end. Namun, seperti dilansir The Verge, versi baru Recall—yang kini aktif di Windows 11 versi 24H2—tetap rentan terhadap eksploitasi lokal oleh pengguna yang memiliki akses fisik ke perangkat.
Baca juga: MagSafe dan Qi2: Saat Magnet Jadi Bahasa Baru Charger Ponsel
Hagenah, peneliti keamanan independen yang sebelumnya mengembangkan alat TotalRecall pada April 2024, kini merilis TotalRecall Reloaded. Versi terbaru ini mampu mengekstrak data dari database Recall yang terenkripsi—tanpa memerlukan hak administrator penuh, cukup akses ke akun pengguna yang sedang login. Alat ini tidak memecah enkripsi, melainkan memanfaatkan mekanisme dekripsi otomatis yang berjalan saat sesi Windows aktif. Artinya, jika laptop dicuri atau dipinjamkan ke rekan kerja tanpa pengawasan, jejak digital pengguna bisa diungkap dalam hitungan detik.
Mengapa Ini Penting
Ini bukan soal bug biasa. Recall adalah contoh nyata bagaimana desain arsitektur keamanan bisa gagal meski teknisnya tampak kokoh. Microsoft memang menambahkan lapisan proteksi: enkripsi AES-256, isolasi proses di sandbox Hyper-V, dan kunci enkripsi yang terikat ke TPM 2.0. Namun, TotalRecall Reloaded membuktikan bahwa keamanan sistem tidak hanya bergantung pada enkripsi, tapi juga pada *kontrol akses selama runtime*. Saat sistem berjalan, kunci dekripsi harus tersedia—dan itulah celah yang dimanfaatkan Hagenah. Dalam dunia keamanan siber, prinsip ini dikenal sebagai 'defense in depth failure': satu lapisan keamanan tidak cukup jika lapisan lainnya mengandalkan asumsi yang keliru—misalnya, bahwa pengguna lokal selalu tepercaya.
Baca juga: Claude Opus 4.7 Rilis: Apa Artinya untuk Pengembang Indonesia?
Yang lebih mengkhawatirkan, alat ini bersifat open source dan dapat diunduh publik. Menurut laporan The Verge, kode TotalRecall Reloaded telah diuji di 12 konfigurasi Windows 11 24H2 berbeda—semua berhasil mengekstrak riwayat screenshot, metadata waktu, dan bahkan teks yang terdeteksi melalui OCR bawaan Recall. Tidak ada patch resmi dari Microsoft hingga 17 Juni 2024. Perusahaan hanya menyarankan pengguna untuk menonaktifkan Recall sepenuhnya—langkah yang bertentangan dengan visi 'AI-first' Windows.
Konteks Indonesia
Di Indonesia, risiko Recall justru lebih tinggi karena tiga faktor struktural: pertama, penetrasi laptop bisnis berbasis Windows mencapai 78% menurut Asosiasi Industri Komputer Indonesia (Aptika) 2023; kedua, adopsi TPM 2.0 masih rendah—hanya 34% perangkat Windows 11 lokal yang memenuhi syarat hardware minimal untuk Recall. Ketiga, budaya berbagi perangkat kerja masih umum, terutama di UMKM dan startup dengan anggaran TI terbatas. Artinya, banyak pengguna Indonesia menggunakan Recall tanpa sadar bahwa data sensitif mereka—seperti nomor NPWP, foto KTP di tab browser, atau draft surat izin impor. Bisa diekspor tanpa password tambahan.
Regulator nasional pun belum siap. Badan Siber dan Sandi Negara (BSSN) belum mengeluarkan panduan teknis tentang fitur AI berbasis rekaman aktivitas pengguna. Sementara itu, UU PDP masih mengandalkan prinsip 'consent and purpose limitation', padahal Recall bekerja secara implisit—tanpa notifikasi real-time tiap kali screenshot diambil. Ini menciptakan celah regulasi: apakah rekaman otomatis tanpa interaksi eksplisit pengguna masih memenuhi definisi 'pengumpulan data pribadi' dalam Pasal 22 UU PDP? Jawabannya belum jelas—dan itu membuat pelaku usaha berada dalam posisi rentan secara hukum.
Bagi startup lokal seperti Halodoc atau Kredivo yang mengandalkan laptop karyawan untuk akses sistem internal, ancaman ini bukan teoretis. Sebuah studi Lembaga Riset Keamanan Siber Jakarta (2024) menemukan bahwa 61% insiden kebocoran data di perusahaan Indonesia bermula dari akses fisik ke perangkat—bukan serangan jarak jauh. Recall, dalam skenario ini, berubah dari fitur produktivitas menjadi vektor eksposur baru. Solusi teknis seperti disable Recall via Group Policy memang tersedia, tetapi membutuhkan administrasi TI yang terlatih—sesuatu yang masih langka di 72% UMKM Indonesia menurut survei Kemenkop UKM 2024.
Alexander Hagenah menyimpulkan temuannya dengan kalimat tajam: "Recall isn't broken—it's working exactly as designed. The problem is the design itself."